<address id="n1rrn"><pre id="n1rrn"><ruby id="n1rrn"></ruby></pre></address>

           

          電網變電站基于可信主動安全防御系統的終端安全防護建設

          2022-11-21 18:17:10來源:深圳融安網絡科技有限公司

          一.背景概述

          可信計算技術是提升系統主動防御能力的重要措施,網絡安全等級保護2.0等國家有關規定明確要在各安全等級系統采用可信計算技術實施保護,相關工作已納入電力行業十四五規劃,行業內已開展推廣部署。電網公司下發電力監控系統通用主機可信計算應用工作方案,部署全網可信計算應用有關要求,要求各單位有序開展電力監控系統可信計算應用推廣工作,提升電力監控系統主動防御和安全免疫水平。


          二.電力監控系統面臨的安全風險

          大部分的電力監控系統攻擊事件,都是以主機為突破口,攻擊整個電力監控系統。在電力監控系統里,最脆弱、最不可控和最容易受到攻擊的就是主機。

          電力監控系統主機存在以下幾個方面安全風險:

          (1)外設無管控、移動介質隨意使用風險:外部移動介質在無管控狀態下隨意接入,甚至運維主機的接入,存在較大病毒感染風險。

          (2)控制系統關鍵文件防護:主機系統文件、關鍵配置文件可能因為病毒感染、人員誤操作等問題受到破壞,無法對主機系統關鍵控制軟件文件安全進行保護。

          (3)惡意軟件及代碼運行風險:依賴已知特征庫完成識別處理,所謂的“識別未知病毒”并不準確,對于新的安全問題難以做到提前主動預防,應對大規模惡意代碼攻擊事件的及時性也往往不能得到良好保證。


          三.建設目標

          本方案在電力監控系統的部署可信主動安全防御系統:

          • 通過“計算+保護”的雙計算體系,建立可信的計算環境;
          • 形成自動識別“自我”和“非我”程序的安全免疫機制,實現對未知病毒木馬的安全免疫。
          • 實現對電力監控系統進行安全加固,從系統底層為出發點,打造系統本身的免疫系統。


          四.建設方案

          可信主動安全防御系統概述

          融安網絡可信主動安全防御系統主要包含可信安全管理平臺、可信終端安全模塊、雙因子接入模塊、移動介質管控模塊四部分組成??尚虐踩芾砥脚_實現對可信終端安全模塊、雙因子接入模塊、移動介質管控模塊的統一管理,雙因子接入模塊可以對非法登錄行為進行鑒別,移動介質管控模塊可以對外部接入設備如U盤進行接入控制,以及訪問控制、基線核查等其他安全防護功能。通過上述多種機制提升主機的安全防護水平。

          可信安全管理平臺

          通過在電網調度中心或者變電站部署可信安全管理平臺實現對可信終端安全模塊的認證注冊、狀態監控、安全策略、安全審計等的集中管理。

          可信終端安全模塊

          可信終端安全模塊由可信根及可信軟件基組成??尚鸥杏布蛙浖煞N形態,可根據主機安全等級和實際需求采用硬件或軟件形式??尚跑浖苫诳尚鸥鶎崿F對操作系統引導程序、系統程序、應用程序、重要配置參數的可信驗證??尚沤K端安全模塊對操作系統、業務系統來說應是透明的,在正常情況下應不對操作系統和業務系統的功能產生影響。

          計算環境的可信驗證,包括基于可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進行可信驗證,在應用程序的關鍵執行環節進行動態可信驗證,在檢測到可信性收到破壞后進行報警,并且可信驗證的結果應發送至可信安全管理平臺。

          • 對系統引導程序可信度量在系統引導階段,對系統啟動程序目錄下的關鍵文件(如內核文件、初始盤文件、程序文件、配置文件等)進行靜態度量并校驗,如果校驗通過,系統引導程序可正常加載啟動;如果校驗失敗,主動阻斷系統的啟動,形成審計記錄。
          • 對系統程序可信度量在受保護系統程序(系統內核層程序、系統文件等)加載時,可信驗證模塊應檢查其絕對路徑、文件名、文件內容的正確性,對其進行靜態度量并校驗。如果校驗通過,系統程序可正常加載啟動;如果校驗失敗,主動阻斷系統程序的啟動,形成審計記錄并告警。
          • 對應用程序可信度量在受保護應用程序(動態庫、可執行程序等)加載時,可信驗證模塊應檢查應用程序的絕對路徑、文件名、文件內容的正確性,對其進行靜態度量并校驗。如果校驗通過,應用程序可正常加載啟動;如果校驗失敗,主動阻斷應用程序的啟動,形成審計記錄并告警。
          • 對重要配置參數可信度量對重要配置參數文件(如配置文件、文本文件、配置腳本等)被訪問、執行時需要進行可信驗證,驗證內容包括但不限于文件的絕對路徑、文件名、文件內容等。

          雙因子接入模塊

          系統提供基于UKEY認證(內置證書)或動態口令的雙因子身份認證檢查。通過軟硬件(UKEY)相結合的方式,對登錄設備的用戶進行準確身份驗證,只有通過雙重身份認證的用戶才允許登錄系統。UKEY認證主要支持國際和國密非對稱加解密算法。對于動態口令方式,是通過設備自動生成動態口令,然后結合系統密碼進行登陸。

          移動介質管控模塊

          通過為主機配置移動介質管控模塊對U盤的認證、權限設置以及行為記錄,從而實現對內網U盤的行為管理。通過認證機制,區分內部安全U盤與外部U盤,使內網U盤的使用行為更規范;支持對內部U盤的權限設置,只允許高級權限的U盤復制主機數據,禁止內網數據的隨意傳遞,防止了核心數據的泄露。

          • 支持文件過濾技術,可根據用戶系統特點及相應配置,過濾可疑文件,切斷病毒傳播途徑;
          • 支持對U盤文件進行病毒掃描,隔離攜帶病毒文件拒絕主機訪問感染病毒的文件;
          • 對接入主機的U盤進行訪問控制實現只讀、只寫和讀寫模式訪問;
          • 對接入主機U盤里的文件進行控制,實現黑白名單/黑名單里的文件主機不能正常打開杜絕U盤里的機密文件通過U盤傳輸。


          五.可信主動安全防御系統部署

          融安網絡可信主動安全防御系統平臺的網絡部署方式采用C/S架構,可信管理平臺部署在調度(中調、地調)、工作站的可信終端安全模塊部署在各局變電站,并通過網絡連接通信,實現主動安全防護系統功能。

          變電站部署方式

          網絡部署:在每臺工作站上安裝部署可信終端安全模塊,并通過網絡連接可信管理平臺,接受可信安全管理平臺的統一管理。


          地市供電局部署方式

          (1)直接管理部署方式

          可信主動安全防御系統平臺網絡部署的直接管理模式是指,各可信計算節點上的可信終端安全模塊與可信安全管理中心直接通信,并接受可信安全管理中心的統一管理。

          其典型部署架構如下圖所示。


          (2)間接管理部署方式

          主動安全防護系統平臺網絡部署的間接管理模式是指,可信安全管理中心通過態勢感知的網絡對變電站側各可信計算節點的可信終端安全模塊進行通信和統一安全管理,態勢感知采集裝置將通信數據通過調度數據網傳到態勢感知平臺,態勢感知平臺將通信數據轉發至可信安全管理中心。

          其典型部署架構如下圖所示。

          六.實現價值

          • 在滿足電力監控系統目前基本的、必須的安全需求的基礎上,要求隨著應用和網絡安全技術的發展,不斷調整安全策略,應對不斷變化的網絡安全環境。
          • 遵循可信計算規范,具備可鑒別、完整性、私密性三大屬性,支持用戶的身份認證,平臺軟硬件配置的正確性,應用程序的完整性和合法性,平臺之間的可驗證性。
          • 為公司建設電力監控系統可信主動防御系統,進一步加強電力監控系統的安全性水平,使電力監控系統的安全穩定運行得到更好的保障,為公司生產和管理工作的正常有序開展打下堅實的基礎。

          分享:

          微博
          微信公眾號
          cao死你狠狠cao弄

                <address id="n1rrn"><pre id="n1rrn"><ruby id="n1rrn"></ruby></pre></address>