電力安全事件預警

       如某電力公司的門戶網(wǎng)站被黑客非法篡改，在網(wǎng)頁上用紅色醒目字體留言：電價將在某日后上漲，而日后電費又沒有漲價。這是一個典型的黑客攻擊例子。究其原因在于當時沒有網(wǎng)站備用系統(tǒng)，沒有應急處理預案，網(wǎng)管員不能及時恢復網(wǎng)頁。

       又如，另一電力公司的郵件服務器由于其地市電力員工的郵件中繼攻擊而癱瘓；還有某電力公司內(nèi)部員工出于某種目的進入電量計費系統(tǒng)數(shù)據(jù)庫非法更改用電量等。這些安全事件在社會上造成了較大的影響，嚴重威脅到電網(wǎng)安全、穩(wěn)定的運行。

       筆者在做安全咨詢時，經(jīng)常有電力企業(yè)的員工問，單位已經(jīng)部署了網(wǎng)絡防病毒系統(tǒng)，自己也安裝了客戶端殺毒軟件，但機器上還是經(jīng)常感染病毒。

       后來，筆者發(fā)現(xiàn)他們殺毒軟件的病毒庫一直沒有更新，還是最初安裝時的病毒庫。因為病毒種類在不斷變化，只有在線或定期更新病毒庫，經(jīng)常查殺病毒，不打開來路不明的郵件及其附件，才能拒病毒于千里之外。

        種種安全事件說明，電力的員工的安全意識還需要進一步提高。

        遵從法規(guī)

       由于電力系統(tǒng)是關系到國計民生的基礎設施，其信息安全問題已經(jīng)受到國家、電力企業(yè)以及社會的高度重視。為了防范電腦黑客、病毒惡意代碼等對電力系統(tǒng)的攻擊侵害及由此引發(fā)的電力系統(tǒng)事故，保證系統(tǒng)的安全穩(wěn)定運行，原國家經(jīng)貿(mào)委在2002年發(fā)布了30號令《電網(wǎng)和電廠計算機監(jiān)控系統(tǒng)及調度數(shù)據(jù)網(wǎng)絡安全防護的規(guī)定》。

        該規(guī)定要求兩類隔離：各電力監(jiān)控系統(tǒng)必須與辦公自動化系統(tǒng)（OA）或管理信息系統(tǒng)（MIS）等電力軟件實行有效（物理）隔離措施；電力調度數(shù)據(jù)專用網(wǎng)絡必須與綜合信息網(wǎng)絡及因特網(wǎng)實行物理隔離。

        此后，國家電網(wǎng)公司研究了電力系統(tǒng)安全防護的模型，并制定了電力系統(tǒng)信息安全防護總體框架，包含安全技術措施和安全管理制度。目前，正在建立電力信息化安全保障體系，安全應急響應就是其中的重要內(nèi)容。

        進一步升華

       作為該框架制定的參與者和推廣者，筆者深切體會到電力系統(tǒng)應急響應體系建設的必要性和重要性。同時，筆者也認為該框架還需要進一步細化，各個單位需要根據(jù)自己業(yè)務系統(tǒng)的實際情況和特點，制定一套切實有效的應急響應體系。

        解讀應急響應

       應急響應體系可以保障電力系統(tǒng)和數(shù)據(jù)的高可用性，為電力用戶提供安全事件的流程化處理方法，提高事件處理效率，降低安全事件帶來電力系統(tǒng)的資產(chǎn)損失，提高業(yè)務系統(tǒng)的安全水平和應用水平。

        那么，什么是應急響應？電力行業(yè)的應急響應系統(tǒng)都受到哪些因素的影響？如何建設完善的應急響應體系？筆者想在這里談談自己的認識和見解。

        所謂應急響應是指對監(jiān)控到的危及電力系統(tǒng)安全的事件、行為、過程及時做出處理，以防危害進一步擴大。電力系統(tǒng)的運行涉及到調度中心、變電站、發(fā)電廠；發(fā)、輸、配電系統(tǒng)一體化，系統(tǒng)中包括了各種獨立系統(tǒng)和聯(lián)合電網(wǎng)的控制保護技術、通信技術、運行管理技術等。

        電力系統(tǒng)的信息安全是一項涉及電網(wǎng)調度自動化、繼電保護及安全控制裝置、廠站自動化、配電網(wǎng)自動化、電力市場交易、生產(chǎn)管理、電力營銷、辦公自動化系統(tǒng)等有關生產(chǎn)、經(jīng)營和管理方面的多領域、復雜的大型系統(tǒng)工程。

        電網(wǎng)調度自動化、繼電保護及安全控制裝置、廠站自動化、配電網(wǎng)自動化、電力市場交易等系統(tǒng)屬于監(jiān)控系統(tǒng)，主要負責電力系統(tǒng)的生產(chǎn)控制業(yè)務；生產(chǎn)管理、電力營銷、辦公自動化等系統(tǒng)屬于管理信息系統(tǒng)，主要負責電力系統(tǒng)的信息化管理。

       監(jiān)控系統(tǒng)的安全等級高于管理信息系統(tǒng)，實時生產(chǎn)系統(tǒng)的安全等級最高。電力系統(tǒng)的多樣性決定了電力系統(tǒng)信息安全防護非常復雜，應急響應也非常復雜。

       這就要求針對不同的系統(tǒng)，建立不同的電力系統(tǒng)安全事件應急體系和預案，用于保護、分析對系統(tǒng)資源的非法訪問和網(wǎng)絡攻擊，并配備必要的應急設施，統(tǒng)一調度，進行經(jīng)常性地演練，從而形成對重大安全事件（遭到自然災害、黑客、病毒攻擊和其他人為破壞等）的快速響應能力，最大限度地降低電力系統(tǒng)的風險。

       揭開“龍骨”內(nèi)幕

       電力系統(tǒng)應急響應體系像只龐大的恐龍，只有探析到它的骨骼結構，才好構建完美的恐龍模型。

       根據(jù)多年工作經(jīng)驗，筆者認為，電力系統(tǒng)應急響應體系的“骨骼”結構應如圖1所示。即由技術體系和管理體系兩部分組成。

        技術充左膀

        技術體系應該包括3方面內(nèi)容：安全知識庫、網(wǎng)絡和系統(tǒng)監(jiān)控、數(shù)據(jù)和系統(tǒng)備份。

        安全知識庫包括各電力應用的操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及業(yè)務系統(tǒng)的漏洞、補丁、安全事件、解決方案、應急預案等。

        從處理方法上來看，安全事件可以分為兩類，一類是曾經(jīng)發(fā)生過，并明確知道原因、后果和處理方法的安全事件。該類安全事件已經(jīng)存在安全知識庫中，如發(fā)生過的病毒、攻擊入侵事件等。

        另一類是安全知識庫中沒有的、沒有立即解決措施的安全事件。如新出現(xiàn)的病毒、攻擊入侵事件等。前者可以在網(wǎng)絡和系統(tǒng)運行現(xiàn)場立即予以解決；后者可以先提出臨時解決方案，然后經(jīng)過安全專家發(fā)現(xiàn)問題的根源，找到最終解決方案后再存入知識庫。安全知識庫的作用是能迅速地對安全事件進行合理、科學地處理。

       網(wǎng)絡監(jiān)控就是在電力網(wǎng)絡的邊界接口處安裝基于網(wǎng)絡的入侵檢測和預警系統(tǒng)，提高對網(wǎng)絡及設備自身安全漏洞和內(nèi)外部攻擊行為的檢測、管理、監(jiān)控和實時處理能力。

       系統(tǒng)監(jiān)控就是在電力系統(tǒng)內(nèi)部局域網(wǎng)的關鍵服務器上部署基于主機的入侵檢測和預警系統(tǒng)，在主機一級對業(yè)務系統(tǒng)進行監(jiān)控，對異常的用戶行為進行報警等處理，最大限度防止系統(tǒng)攻擊、濫用及惡意篡改等安全事件的發(fā)生。

       對于系統(tǒng)備份，筆者建議采用的策略應該是全備份和增量備份相結合的方式。這樣做，既利用了全備份恢復簡單的特點，又考慮了備份時間少的優(yōu)點。

       電力系統(tǒng)關鍵應用數(shù)據(jù)與應用系統(tǒng)的備份，確保了數(shù)據(jù)損壞、系統(tǒng)崩潰情況下快速恢復數(shù)據(jù)與系統(tǒng)的可用性，同時對實時控制系統(tǒng)、電力市場交易系統(tǒng)進行異地的數(shù)據(jù)與系統(tǒng)備份，可提供系統(tǒng)級容災功能，保證在發(fā)生大規(guī)模災難情況下，保持系統(tǒng)業(yè)務的連續(xù)性。

        管理擔右臂

        電力系統(tǒng)應急響應的管理體系包括領導小組、工作小組，以及相應的管理制度、應急處理流程和應急預案的演練。

        領導小組主要由各級電力企業(yè)管理層組成，目前基本上是各單位的一把手負責。

        工作小組可以分為三個級別：

        第一級是安全值班員，可以由網(wǎng)管中心值班人員兼任，主要負責7×24小時的安全事件監(jiān)視，按照安全事件的處理指南和安全知識庫處理已知的安全告警事件；

       第二級是安全專家小組，由企事業(yè)單位內(nèi)部的安全專家和網(wǎng)絡和業(yè)務系統(tǒng)的專家組成，負責對第一級發(fā)現(xiàn)提交的未知安全事件進行分析判斷，完成絕大多數(shù)安全事件的處理，對不能及時找到完整解決方案，需要在將該問題提交第三級以外，還必須及時找到臨時解決方案；

第三級是電力系統(tǒng)安全實驗室，負責針對重大安全隱患和網(wǎng)絡攻擊進行會診，同時還負責撰寫安全事件分析報告，提交安全策略和配置的變更建議。