- 相關(guān)推薦
基線配置核查與電網(wǎng)信息安全研究論文
摘要:電力信息安全基線，主要包括有相關(guān)操作系統(tǒng)、應(yīng)用程序和網(wǎng)絡(luò)設(shè)備的安全基準配置，為進一步提高基線配置核查平臺的安全系數(shù)，需要深入健全基線體系，并基于電網(wǎng)信息安全合規(guī)庫來優(yōu)化配置平臺。本文通過對貴州電網(wǎng)基線配置核查工具為例，結(jié)合基線配置核查平臺與信息安全合規(guī)庫的聯(lián)合應(yīng)用研究，以期推動電網(wǎng)信息安全防護水平的持續(xù)提升。
關(guān)鍵詞:基線；核查平臺；合規(guī)庫
伴隨現(xiàn)代科技實力的飛速提升，電力信息系統(tǒng)建設(shè)質(zhì)量得以飛速提升，針對流程、業(yè)務(wù)邏輯的標準也不斷優(yōu)化，基于計算機、網(wǎng)絡(luò)控制技術(shù)為主體的信息技術(shù)，已逐漸融入到電力生產(chǎn)、運作階段的每一細節(jié)中，為提高信息安全系數(shù)，電力行業(yè)在優(yōu)化相關(guān)設(shè)備的同時，不斷探索更加高效、穩(wěn)定、可擴展的基線配置核查方法。
1基線配置核查平臺建設(shè)
基線配置核查平臺要整體核查所有業(yè)務(wù)內(nèi)容，以保持業(yè)務(wù)邏輯的嚴謹性。在核查階段，要構(gòu)建安全規(guī)范統(tǒng)一的設(shè)備安全規(guī)范，并保證定期檢查，考慮到電力系統(tǒng)內(nèi)的信息數(shù)量和設(shè)備種類龐大、復雜，核查工具要保證高效性、穩(wěn)定性以及良好的可定制性。核查階段需針對設(shè)備展開迅速安全配置和檢測。此外，還要明確基線配置核查的安全結(jié)果，以良好的可視化效果對使用者進行展現(xiàn)，方便安全管理人員和業(yè)務(wù)系統(tǒng)管理人員的整改工作。
1.1基線配置核查策略研究
制定安全基線之后，要做到定期核查業(yè)務(wù)系統(tǒng)安全質(zhì)量，通過梳理業(yè)務(wù)系統(tǒng)與業(yè)務(wù)邏輯，進一步細分基線配置核查平臺框架以及平臺實現(xiàn)層。其中，平臺實現(xiàn)層內(nèi)的安全基線標準包括安全漏洞、安全配置兩大核查項。第一，安全漏洞。一般由于系統(tǒng)本身出現(xiàn)問題，而引發(fā)信息安全隱患。主要體現(xiàn)在登錄漏洞和緩沖區(qū)溢出，可看出系統(tǒng)本身存在的安全弊端。第二，安全配置。一般體現(xiàn)在人為配置缺陷，即口令、賬戶、授權(quán)等，同樣可反應(yīng)出系統(tǒng)本身存在的安全弊端。
1.2基線配置核查策略庫
通過建設(shè)基線配置核查策略，結(jié)合中國南方電網(wǎng)信息安全合規(guī)庫的業(yè)務(wù)需求，和國內(nèi)系統(tǒng)、設(shè)施、應(yīng)用環(huán)境的獨特性，參考相關(guān)標準制定相對應(yīng)的Checklist表格與操作坐標，即基線核查策略庫，重點應(yīng)用在檢查新業(yè)務(wù)系統(tǒng)的上線安全系數(shù)以及第三方入網(wǎng)安全系數(shù)�；�配置核查策略庫的研究界限大致分為操作系統(tǒng)、網(wǎng)絡(luò)設(shè)施、數(shù)據(jù)庫和安全設(shè)施。
1.3開發(fā)基線配置核查工具
基線配置核查工具檢查工作的開展，要以智能化配置安全核查系統(tǒng)為前提，能夠借助于遠程讀取、設(shè)備系統(tǒng)內(nèi)參數(shù)信息的下載，和電力行業(yè)合規(guī)庫配置標準中的相關(guān)規(guī)范展開對比分析。為提高基線配置核查工具的便捷性，便于多元化需求的滿足。并側(cè)重于和相關(guān)系統(tǒng)的有機組合和后續(xù)的再次開發(fā)工作。可選取模塊化設(shè)計，平臺工作框架具體包括有:
(1)專用平臺。該平臺已得到改善，安全系數(shù)相對高。
(2)調(diào)度核心板塊。重點用于評估、檢查已實現(xiàn)目標，如對主機存活狀態(tài)的判斷、識別操作系統(tǒng)、剖析并匹配模板。
(3)Checklist知識庫。即對安全配置參數(shù)、數(shù)據(jù)的核查，核心調(diào)度模塊以及數(shù)據(jù)解析等模塊的運行基礎(chǔ)。
(4)掃描結(jié)果庫。是掃描結(jié)果文件得以生成的關(guān)鍵，同樣是檢索、解析結(jié)果的數(shù)據(jù)參考。
(5)數(shù)據(jù)解析模塊。該模塊的工作內(nèi)容在于對報表數(shù)據(jù)、發(fā)展趨勢的整體分析，屬于任務(wù)合并、分布型數(shù)據(jù)整合歸納后的內(nèi)容。
(6)配置模板庫。管理方可借助該模塊在任務(wù)評估前，針對所核查設(shè)備配置相對應(yīng)的安全配置核查點，和各項核查點權(quán)重。
(7)WEB頁面版塊。使用者使用瀏覽器并借助SSL加密通道與系統(tǒng)WEB頁面板塊展開交互，便于使用者展開管理。
(8)系統(tǒng)升級板塊。借助該板塊能夠不斷更新、豐富Checklist知識庫，并借助該板塊實現(xiàn)相關(guān)模塊的更新升級。
(9)分布型模塊�？紤]到基線配置核查工具后續(xù)會展開相應(yīng)的部署工作，這一模塊可將核查信息提交至管理系統(tǒng)。
(10)拓展模塊。伴隨業(yè)務(wù)系統(tǒng)的逐漸增加與繁瑣化，可借助該模塊逐步更新基線配置核查平臺可檢測到的系統(tǒng)，以保障基線核查質(zhì)量。
1.4貴州電網(wǎng)基線配置核查建設(shè)成果
目前貴州電網(wǎng)已經(jīng)實現(xiàn)省地兩級基線配置平臺部署，完成基線配置核查腳本定制開發(fā)656項，實現(xiàn)中國南方電網(wǎng)公司基線合規(guī)庫自動化腳本轉(zhuǎn)發(fā)率94%。實現(xiàn)了貴州電網(wǎng)有限責任公司配置核查工作的自動化工作。加大的加強了公司對信息系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備的配置核查水平，有效的增強了公司網(wǎng)絡(luò)安全防護能力。
2電力行業(yè)合規(guī)庫的聯(lián)合應(yīng)用效益
目前，基線配置核查平臺在通用設(shè)備安全配置方面的應(yīng)用，已在入網(wǎng)安評、運作維護環(huán)節(jié)得到運用，切實提供了安全核查質(zhì)量，以保證業(yè)務(wù)系統(tǒng)和合規(guī)標準的契合，同時，同南網(wǎng)合規(guī)庫高度契合。基線配置核查工具安全檢查系數(shù)和質(zhì)量，都遠遠高于人工檢查，實現(xiàn)減小成本、高效運營的目標。
2.1經(jīng)濟效益
精確部署“安全基線自動核查工具系統(tǒng)”，將信息系統(tǒng)中暗藏的風險隱患控制在一定范疇下，切實提高設(shè)備自身的安全防護水平。該方式所形成的經(jīng)濟效益具體反映在:將業(yè)務(wù)系統(tǒng)出現(xiàn)弊端所產(chǎn)生的系列經(jīng)濟、形象損失控制在合理范疇內(nèi)，是提高經(jīng)濟效益的主要手段。第一，減少信息安全隱患，提高經(jīng)濟效益。在信息安全范疇內(nèi)，ALE(年損益預算)占關(guān)鍵位置，指的是一年周期內(nèi)由于某風險而出現(xiàn)的可預期資產(chǎn)虧損，即:ALE=SLE×AROSLE:單一損益預算;ARO即年度發(fā)生率。以貴州電網(wǎng)為例，借助于IT設(shè)備基線將156個應(yīng)用系統(tǒng)加固，20000套PC終端，1546套主機、中間件、網(wǎng)絡(luò)和相關(guān)數(shù)據(jù)庫系統(tǒng)，假設(shè)參考某主機系統(tǒng)、應(yīng)用系統(tǒng)信息風險事件比例是1%，信息風險事件虧損為50000元/起，PC終端信息風險事件比例為2%/年，且數(shù)據(jù)丟失虧損為10000元/次，則直觀經(jīng)濟虧損為:ALE=(SLE×ARO)=(156+1546)*1%*50000+20000*2%*10000=485.1萬元Σ核算2015—2016年的經(jīng)濟虧損，為485.1*2=970.2萬。同時，營銷與生產(chǎn)系統(tǒng)、協(xié)調(diào)辦公系統(tǒng)等由于數(shù)據(jù)丟失而出現(xiàn)的虧損無法用實際資金虧損來估算。一旦上述系統(tǒng)由于風險事件而出現(xiàn)的金額損失長數(shù)以萬計，所以，具體節(jié)省的直觀經(jīng)濟成本已高出上述經(jīng)濟數(shù)額。第二，優(yōu)化運維效率，節(jié)省人力資源。基線配置核查平臺實現(xiàn)了相關(guān)信息、參數(shù)的自動化核查，取代了之前的人力核查手段，系統(tǒng)智能核查效率遠高出人力核查的300倍，可自動生成相應(yīng)的文件，為運維方提供了相對精細的優(yōu)化策略，降低了人力勞動強度。其覆蓋范疇包括公司本部、信息中心和地市供電單位，參考各單位2人/月，以5000元/人次來核算，貴州電網(wǎng)公司在該兩年間的人力成本大致節(jié)省了2*5*12*2*5000元=120萬。第三，借助統(tǒng)兩級級聯(lián)的架構(gòu)策略，硬、軟件投資以基線配置核查平臺選取中心部署(省公司本部)分級級聯(lián)、分散式收集(省公司本部、信息中心和地區(qū)供電局)的全面性構(gòu)架措施，整體歸納由相關(guān)信息設(shè)施的基線配置核查參數(shù)，可及時發(fā)現(xiàn)信息設(shè)施基線配置核查平臺中存在的弊端，引導平臺進行加固。將各地區(qū)供電單位節(jié)省軟件經(jīng)費45萬、硬件經(jīng)費25萬，將電網(wǎng)公司整體成本節(jié)省4*700000=280萬。
2.2社會效益
首先，可科學部署基線配置核查平臺的內(nèi)部架構(gòu)，全面提高平臺的風險防護水平，通過提供高質(zhì)量的供電服務(wù)，有利于推動當?shù)孛裆?jīng)濟的可持續(xù)發(fā)展。其次，借助于基線配置核查平臺的安全運作，對信息系統(tǒng)的科學構(gòu)建與運作維護發(fā)揮引導作用，盡可能降低電網(wǎng)公司信息風險事件的發(fā)生概率，防止因信息風險事件對電網(wǎng)公司的健康運營造成負面影響。
3結(jié)語
基于對基線配置核查平臺的構(gòu)建研究，全面打造了整體統(tǒng)一的基線配置核查安全標準，有效發(fā)現(xiàn)信息系統(tǒng)內(nèi)的漏洞，提高了運行維護的工作質(zhì)量，進而實現(xiàn)信息系統(tǒng)安全系數(shù)的整體上升，避免了出現(xiàn)因信息安全事件造成的經(jīng)濟、社會形象損失，尤其是和信息安全合規(guī)庫聯(lián)合應(yīng)用后，成效較為顯著，切實強化了電網(wǎng)信息系統(tǒng)的安全防護水平。同時，基線配置核查平臺的優(yōu)化需要循序漸進，要科學結(jié)合信息系統(tǒng)安全防護標準的變化，來優(yōu)化核查規(guī)范，使其可適用于動態(tài)發(fā)展的信息安全態(tài)勢。
參考文獻
[1]鄒玉林.面向信息安全等級測評的安全配置核查系統(tǒng)[D].中國海洋大學，2013.
[2]尚杰.基于業(yè)務(wù)的安全基線檢查平臺的設(shè)計和實現(xiàn)[D].北京郵電大學，2011.
[3]張辰冬，楊闖.增值業(yè)務(wù)平臺安全基線體系建設(shè)方案解析[C].//遼寧省通信學會2015年信息網(wǎng)絡(luò)與信息技術(shù)年會論文集.2015:446-451.
[4]南方電網(wǎng)科學研究院有限責任公司，電子科技大學.基于SCAP的安全基線評估方法:中國，CN201410180456.0[P].2014-7-16.
[5]張震，馮偉，顏金韜等.一種基于云掃描技術(shù)的系統(tǒng)安全配置基線核查機制及方法[J].電信工程技術(shù)與標準化，2012，25(4):31-34.
[6]馬文，江翰，彭秋霞等.電力信息安全基線自動化核查[J].云南電力技術(shù)，2013，41(1):89-90.
[7]楊慶明.信息安全基線管理在企業(yè)信息化中的應(yīng)用與研究[J].信息系統(tǒng)工程，2013，(7):71-72，50.
[8]左曉軍，陳亮，陳澤等.信息安全基線技術(shù)在電網(wǎng)企業(yè)中的研究與應(yīng)用[J].科技視界，2015，(3):287-288.
[9]崔高智，張躍斌，李斌等.關(guān)于電力信息安全基線自動化核查的探討[J].科技創(chuàng)新與應(yīng)用，2013，(33):163-163.
[10]陳軍，饒婕，陳虹等.基于SCAP的自動化安全基線核查研究[J].計算機時代，2016，(4):28-31.
[11]邢靜宇.電力信息網(wǎng)絡(luò)節(jié)點安全檢測和評估技術(shù)研究[D].北京郵電大學，2015.
[12]中國聯(lián)合網(wǎng)絡(luò)通信集團有限公司.一種安全基線核查方法和設(shè)備:中國，CN201410563532.6[P].2015-2-18.
【基線配置核查與電網(wǎng)信息安全研究論文】相關(guān)文章：
智能電網(wǎng)信息安全防護建設(shè)初探論文10-16
企業(yè)信息數(shù)據(jù)安全的研究論文09-08
電子信息安全交換研究論文05-27
關(guān)于工控系統(tǒng)信息安全在智能電網(wǎng)環(huán)境下的探究論文09-01
省級電網(wǎng)公司信息安全技術(shù)監(jiān)督體系設(shè)計與實現(xiàn)論文09-01
企業(yè)信息安全風險管理研究論文08-15
數(shù)字圖書館網(wǎng)絡(luò)信息安全研究論文07-17