- 相關(guān)推薦
基線(xiàn)配置核查與電網(wǎng)信息安全研究論文
摘要:電力信息安全基線(xiàn)，主要包括有相關(guān)操作系統、應用程序和網(wǎng)絡(luò )設備的安全基準配置，為進(jìn)一步提高基線(xiàn)配置核查平臺的安全系數，需要深入健全基線(xiàn)體系，并基于電網(wǎng)信息安全合規庫來(lái)優(yōu)化配置平臺。本文通過(guò)對貴州電網(wǎng)基線(xiàn)配置核查工具為例，結合基線(xiàn)配置核查平臺與信息安全合規庫的聯(lián)合應用研究，以期推動(dòng)電網(wǎng)信息安全防護水平的持續提升。
關(guān)鍵詞:基線(xiàn)；核查平臺；合規庫
伴隨現代科技實(shí)力的飛速提升，電力信息系統建設質(zhì)量得以飛速提升，針對流程、業(yè)務(wù)邏輯的標準也不斷優(yōu)化，基于計算機、網(wǎng)絡(luò )控制技術(shù)為主體的信息技術(shù)，已逐漸融入到電力生產(chǎn)、運作階段的每一細節中，為提高信息安全系數，電力行業(yè)在優(yōu)化相關(guān)設備的同時(shí)，不斷探索更加高效、穩定、可擴展的基線(xiàn)配置核查方法。
1基線(xiàn)配置核查平臺建設
基線(xiàn)配置核查平臺要整體核查所有業(yè)務(wù)內容，以保持業(yè)務(wù)邏輯的嚴謹性。在核查階段，要構建安全規范統一的設備安全規范，并保證定期檢查，考慮到電力系統內的信息數量和設備種類(lèi)龐大、復雜，核查工具要保證高效性、穩定性以及良好的可定制性。核查階段需針對設備展開(kāi)迅速安全配置和檢測。此外，還要明確基線(xiàn)配置核查的安全結果，以良好的可視化效果對使用者進(jìn)行展現，方便安全管理人員和業(yè)務(wù)系統管理人員的整改工作。
1.1基線(xiàn)配置核查策略研究
制定安全基線(xiàn)之后，要做到定期核查業(yè)務(wù)系統安全質(zhì)量，通過(guò)梳理業(yè)務(wù)系統與業(yè)務(wù)邏輯，進(jìn)一步細分基線(xiàn)配置核查平臺框架以及平臺實(shí)現層。其中，平臺實(shí)現層內的安全基線(xiàn)標準包括安全漏洞、安全配置兩大核查項。第一，安全漏洞。一般由于系統本身出現問(wèn)題，而引發(fā)信息安全隱患。主要體現在登錄漏洞和緩沖區溢出，可看出系統本身存在的安全弊端。第二，安全配置。一般體現在人為配置缺陷，即口令、賬戶(hù)、授權等，同樣可反應出系統本身存在的安全弊端。
1.2基線(xiàn)配置核查策略庫
通過(guò)建設基線(xiàn)配置核查策略，結合中國南方電網(wǎng)信息安全合規庫的業(yè)務(wù)需求，和國內系統、設施、應用環(huán)境的獨特性，參考相關(guān)標準制定相對應的Checklist表格與操作坐標，即基線(xiàn)核查策略庫，重點(diǎn)應用在檢查新業(yè)務(wù)系統的上線(xiàn)安全系數以及第三方入網(wǎng)安全系數�；�(xiàn)配置核查策略庫的研究界限大致分為操作系統、網(wǎng)絡(luò )設施、數據庫和安全設施。
1.3開(kāi)發(fā)基線(xiàn)配置核查工具
基線(xiàn)配置核查工具檢查工作的開(kāi)展，要以智能化配置安全核查系統為前提，能夠借助于遠程讀取、設備系統內參數信息的下載，和電力行業(yè)合規庫配置標準中的相關(guān)規范展開(kāi)對比分析。為提高基線(xiàn)配置核查工具的便捷性，便于多元化需求的滿(mǎn)足。并側重于和相關(guān)系統的有機組合和后續的再次開(kāi)發(fā)工作�？蛇x取模塊化設計，平臺工作框架具體包括有:
(1)專(zhuān)用平臺。該平臺已得到改善，安全系數相對高。
(2)調度核心板塊。重點(diǎn)用于評估、檢查已實(shí)現目標，如對主機存活狀態(tài)的判斷、識別操作系統、剖析并匹配模板。
(3)Checklist知識庫。即對安全配置參數、數據的核查，核心調度模塊以及數據解析等模塊的運行基礎。
(4)掃描結果庫。是掃描結果文件得以生成的關(guān)鍵，同樣是檢索、解析結果的數據參考。
(5)數據解析模塊。該模塊的工作內容在于對報表數據、發(fā)展趨勢的整體分析，屬于任務(wù)合并、分布型數據整合歸納后的內容。
(6)配置模板庫。管理方可借助該模塊在任務(wù)評估前，針對所核查設備配置相對應的安全配置核查點(diǎn)，和各項核查點(diǎn)權重。
(7)WEB頁(yè)面版塊。使用者使用瀏覽器并借助SSL加密通道與系統WEB頁(yè)面板塊展開(kāi)交互，便于使用者展開(kāi)管理。
(8)系統升級板塊。借助該板塊能夠不斷更新、豐富Checklist知識庫，并借助該板塊實(shí)現相關(guān)模塊的更新升級。
(9)分布型模塊�？紤]到基線(xiàn)配置核查工具后續會(huì )展開(kāi)相應的部署工作，這一模塊可將核查信息提交至管理系統。
(10)拓展模塊。伴隨業(yè)務(wù)系統的逐漸增加與繁瑣化，可借助該模塊逐步更新基線(xiàn)配置核查平臺可檢測到的系統，以保障基線(xiàn)核查質(zhì)量。
1.4貴州電網(wǎng)基線(xiàn)配置核查建設成果
目前貴州電網(wǎng)已經(jīng)實(shí)現省地兩級基線(xiàn)配置平臺部署，完成基線(xiàn)配置核查腳本定制開(kāi)發(fā)656項，實(shí)現中國南方電網(wǎng)公司基線(xiàn)合規庫自動(dòng)化腳本轉發(fā)率94%。實(shí)現了貴州電網(wǎng)有限責任公司配置核查工作的自動(dòng)化工作。加大的加強了公司對信息系統、網(wǎng)絡(luò )設備、安全設備的配置核查水平，有效的增強了公司網(wǎng)絡(luò )安全防護能力。
2電力行業(yè)合規庫的聯(lián)合應用效益
目前，基線(xiàn)配置核查平臺在通用設備安全配置方面的應用，已在入網(wǎng)安評、運作維護環(huán)節得到運用，切實(shí)提供了安全核查質(zhì)量，以保證業(yè)務(wù)系統和合規標準的契合，同時(shí)，同南網(wǎng)合規庫高度契合�；�(xiàn)配置核查工具安全檢查系數和質(zhì)量，都遠遠高于人工檢查，實(shí)現減小成本、高效運營(yíng)的目標。
2.1經(jīng)濟效益
精確部署“安全基線(xiàn)自動(dòng)核查工具系統”，將信息系統中暗藏的風(fēng)險隱患控制在一定范疇下，切實(shí)提高設備自身的安全防護水平。該方式所形成的經(jīng)濟效益具體反映在:將業(yè)務(wù)系統出現弊端所產(chǎn)生的系列經(jīng)濟、形象損失控制在合理范疇內，是提高經(jīng)濟效益的主要手段。第一，減少信息安全隱患，提高經(jīng)濟效益。在信息安全范疇內，ALE(年損益預算)占關(guān)鍵位置，指的是一年周期內由于某風(fēng)險而出現的可預期資產(chǎn)虧損，即:ALE=SLE×AROSLE:單一損益預算;ARO即年度發(fā)生率。以貴州電網(wǎng)為例，借助于IT設備基線(xiàn)將156個(gè)應用系統加固，20000套PC終端，1546套主機、中間件、網(wǎng)絡(luò )和相關(guān)數據庫系統，假設參考某主機系統、應用系統信息風(fēng)險事件比例是1%，信息風(fēng)險事件虧損為50000元/起，PC終端信息風(fēng)險事件比例為2%/年，且數據丟失虧損為10000元/次，則直觀(guān)經(jīng)濟虧損為:ALE=(SLE×ARO)=(156+1546)*1%*50000+20000*2%*10000=485.1萬(wàn)元Σ核算2015—2016年的經(jīng)濟虧損，為485.1*2=970.2萬(wàn)。同時(shí)，營(yíng)銷(xiāo)與生產(chǎn)系統、協(xié)調辦公系統等由于數據丟失而出現的虧損無(wú)法用實(shí)際資金虧損來(lái)估算。一旦上述系統由于風(fēng)險事件而出現的金額損失長(cháng)數以萬(wàn)計，所以，具體節省的直觀(guān)經(jīng)濟成本已高出上述經(jīng)濟數額。第二，優(yōu)化運維效率，節省人力資源�；�(xiàn)配置核查平臺實(shí)現了相關(guān)信息、參數的自動(dòng)化核查，取代了之前的人力核查手段，系統智能核查效率遠高出人力核查的300倍，可自動(dòng)生成相應的文件，為運維方提供了相對精細的優(yōu)化策略，降低了人力勞動(dòng)強度。其覆蓋范疇包括公司本部、信息中心和地市供電單位，參考各單位2人/月，以5000元/人次來(lái)核算，貴州電網(wǎng)公司在該兩年間的人力成本大致節省了2*5*12*2*5000元=120萬(wàn)。第三，借助統兩級級聯(lián)的架構策略，硬、軟件投資以基線(xiàn)配置核查平臺選取中心部署(省公司本部)分級級聯(lián)、分散式收集(省公司本部、信息中心和地區供電局)的全面性構架措施，整體歸納由相關(guān)信息設施的基線(xiàn)配置核查參數，可及時(shí)發(fā)現信息設施基線(xiàn)配置核查平臺中存在的弊端，引導平臺進(jìn)行加固。將各地區供電單位節省軟件經(jīng)費45萬(wàn)、硬件經(jīng)費25萬(wàn)，將電網(wǎng)公司整體成本節省4*700000=280萬(wàn)。
2.2社會(huì )效益
首先，可科學(xué)部署基線(xiàn)配置核查平臺的內部架構，全面提高平臺的風(fēng)險防護水平，通過(guò)提供高質(zhì)量的供電服務(wù)，有利于推動(dòng)當地民生經(jīng)濟的可持續發(fā)展。其次，借助于基線(xiàn)配置核查平臺的安全運作，對信息系統的科學(xué)構建與運作維護發(fā)揮引導作用，盡可能降低電網(wǎng)公司信息風(fēng)險事件的發(fā)生概率，防止因信息風(fēng)險事件對電網(wǎng)公司的健康運營(yíng)造成負面影響。
3結語(yǔ)
基于對基線(xiàn)配置核查平臺的構建研究，全面打造了整體統一的基線(xiàn)配置核查安全標準，有效發(fā)現信息系統內的漏洞，提高了運行維護的工作質(zhì)量，進(jìn)而實(shí)現信息系統安全系數的整體上升，避免了出現因信息安全事件造成的經(jīng)濟、社會(huì )形象損失，尤其是和信息安全合規庫聯(lián)合應用后，成效較為顯著(zhù)，切實(shí)強化了電網(wǎng)信息系統的安全防護水平。同時(shí)，基線(xiàn)配置核查平臺的優(yōu)化需要循序漸進(jìn)，要科學(xué)結合信息系統安全防護標準的變化，來(lái)優(yōu)化核查規范，使其可適用于動(dòng)態(tài)發(fā)展的信息安全態(tài)勢。
參考文獻
[1]鄒玉林.面向信息安全等級測評的安全配置核查系統[D].中國海洋大學(xué)，2013.
[2]尚杰.基于業(yè)務(wù)的安全基線(xiàn)檢查平臺的設計和實(shí)現[D].北京郵電大學(xué)，2011.
[3]張辰冬，楊闖.增值業(yè)務(wù)平臺安全基線(xiàn)體系建設方案解析[C].//遼寧省通信學(xué)會(huì )2015年信息網(wǎng)絡(luò )與信息技術(shù)年會(huì )論文集.2015:446-451.
[4]南方電網(wǎng)科學(xué)研究院有限責任公司，電子科技大學(xué).基于SCAP的安全基線(xiàn)評估方法:中國，CN201410180456.0[P].2014-7-16.
[5]張震，馮偉，顏金韜等.一種基于云掃描技術(shù)的系統安全配置基線(xiàn)核查機制及方法[J].電信工程技術(shù)與標準化，2012，25(4):31-34.
[6]馬文，江翰，彭秋霞等.電力信息安全基線(xiàn)自動(dòng)化核查[J].云南電力技術(shù)，2013，41(1):89-90.
[7]楊慶明.信息安全基線(xiàn)管理在企業(yè)信息化中的應用與研究[J].信息系統工程，2013，(7):71-72，50.
[8]左曉軍，陳亮，陳澤等.信息安全基線(xiàn)技術(shù)在電網(wǎng)企業(yè)中的研究與應用[J].科技視界，2015，(3):287-288.
[9]崔高智，張躍斌，李斌等.關(guān)于電力信息安全基線(xiàn)自動(dòng)化核查的探討[J].科技創(chuàng )新與應用，2013，(33):163-163.
[10]陳軍，饒婕，陳虹等.基于SCAP的自動(dòng)化安全基線(xiàn)核查研究[J].計算機時(shí)代，2016，(4):28-31.
[11]邢靜宇.電力信息網(wǎng)絡(luò )節點(diǎn)安全檢測和評估技術(shù)研究[D].北京郵電大學(xué)，2015.
[12]中國聯(lián)合網(wǎng)絡(luò )通信集團有限公司.一種安全基線(xiàn)核查方法和設備:中國，CN201410563532.6[P].2015-2-18.
【基線(xiàn)配置核查與電網(wǎng)信息安全研究論文】相關(guān)文章：
企業(yè)信息數據安全的研究論文09-08
電子信息安全交換研究論文05-27
關(guān)于工控系統信息安全在智能電網(wǎng)環(huán)境下的探究論文09-01
省級電網(wǎng)公司信息安全技術(shù)監督體系設計與實(shí)現論文09-01
數字圖書(shū)館網(wǎng)絡(luò )信息安全研究論文07-17
公路信息系統機房安全管理研究論文08-22
人力資源優(yōu)化配置經(jīng)濟價(jià)值研究論文09-17
云計算下的信息安全應急系統研究論文06-18