廣東電網(wǎng)有限責(zé)任公司茂名供電局 陳良成

引言

隨著信息化建設(shè)的不斷深入，供電企業(yè)已廣泛利用視頻監(jiān)控、油色譜在線監(jiān)測(cè)系統(tǒng)、電壓監(jiān)測(cè)系統(tǒng)等物聯(lián)網(wǎng)應(yīng)用，這些應(yīng)用為供電企業(yè)管理逐步向自動(dòng)化、綜合化、集中化、智能化方向發(fā)展提供有力的技術(shù)保障。大大提升企業(yè)服務(wù)質(zhì)量及經(jīng)濟(jì)效益。虛擬化技術(shù)的應(yīng)用，幫助供電企業(yè)實(shí)現(xiàn)了IT資源使用及管理的集約化，有效節(jié)省了業(yè)務(wù)系統(tǒng)的資源投入成本和管理維護(hù)成本。但物聯(lián)網(wǎng)和虛擬化技術(shù)的廣泛應(yīng)用，也給供電企業(yè)的網(wǎng)絡(luò)安全防護(hù)及運(yùn)維管理帶來(lái)新的風(fēng)險(xiǎn)及挑戰(zhàn)。

1.供電企業(yè)物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用架構(gòu)

物聯(lián)網(wǎng)（The Internet of Things)是指通過(guò)信息傳感設(shè)備，按約定的協(xié)議，將任何物品與網(wǎng)絡(luò)相連接，進(jìn)行信息交換和通信，以實(shí)現(xiàn)智能化識(shí)別、定位、跟蹤、監(jiān)控和管理的一種網(wǎng)絡(luò)。物聯(lián)網(wǎng)應(yīng)用中有兩項(xiàng)關(guān)鍵技術(shù)，分別是傳感器技術(shù)和嵌入式技術(shù)。物聯(lián)網(wǎng)架構(gòu)可分為三層，分別是感知層、網(wǎng)絡(luò)層和應(yīng)用層。供電企業(yè)物聯(lián)網(wǎng)應(yīng)用感知層主要由智能終端組成。網(wǎng)絡(luò)層主要采用光纖專(zhuān)網(wǎng)作為遠(yuǎn)程通信網(wǎng)絡(luò)技術(shù)，無(wú)線公網(wǎng)、無(wú)線專(zhuān)網(wǎng)等作為補(bǔ)充的通信方式，應(yīng)用服務(wù)層即物聯(lián)網(wǎng)系統(tǒng)的應(yīng)用或控制中心，實(shí)現(xiàn)對(duì)現(xiàn)場(chǎng)數(shù)據(jù)的集中存儲(chǔ)、分析和處理，并進(jìn)行智能化的決策、控制和服務(wù)。

虛擬化是一種資源管理技術(shù)，計(jì)算機(jī)虛擬化架構(gòu)通常由宿主機(jī)、虛擬化層軟件和虛擬機(jī)三部分構(gòu)成。供電企業(yè)利用計(jì)算機(jī)虛擬化技術(shù)主要是服務(wù)器和桌面虛擬化，即在一臺(tái)物理主機(jī)內(nèi)安裝一個(gè)虛擬化軟件，從而實(shí)現(xiàn)服務(wù)器虛擬化層的部署，再在虛擬化層上安裝虛擬機(jī)，讓一臺(tái)服務(wù)器變成十幾臺(tái)甚至上百臺(tái)相互隔離的虛擬服務(wù)器或計(jì)算機(jī)終端。

2.供電企業(yè)物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

2.1 供電企業(yè)物聯(lián)網(wǎng)應(yīng)用主要風(fēng)險(xiǎn)

物聯(lián)網(wǎng)架構(gòu)簡(jiǎn)單但組成復(fù)雜，包含各種應(yīng)用和各類(lèi)設(shè)備，不僅面臨傳統(tǒng)管理信息系統(tǒng)和網(wǎng)絡(luò)模式的安全問(wèn)題，還存在傳感器設(shè)備、智能終端等帶來(lái)的新的安全問(wèn)題。

感知層面臨的主要風(fēng)險(xiǎn)：（1）智能終端或設(shè)備被物理操控，實(shí)施破壞、軟硬件更換等操作。（2）智能設(shè)備或終端被遠(yuǎn)程植入控制程序，實(shí)現(xiàn)非法控制智能設(shè)備或終端并發(fā)動(dòng)網(wǎng)絡(luò)攻擊。如2016年10月黑客控制了大量美國(guó)的網(wǎng)絡(luò)攝像頭和DVR 錄像機(jī)，然后操縱這些攝像頭攻擊了包括 Twitter、Paypal、Spotify 在內(nèi)多個(gè)知名網(wǎng)站，超過(guò)半數(shù)人無(wú)法上網(wǎng)，造成大規(guī)模斷網(wǎng)。（3）短距離無(wú)線通信被惡意利用，利用無(wú)線信道的開(kāi)放特性，攻擊者通過(guò)監(jiān)聽(tīng)、偽造、重放等技術(shù)手段，在無(wú)線網(wǎng)絡(luò)上非法接入設(shè)備、阻塞信道、破壞路由和發(fā)送虛假信息等。（4）篡改或偽造的業(yè)務(wù)指令使設(shè)備誤動(dòng)。對(duì)于未采用消息源認(rèn)證和消息完整性鑒別機(jī)制的物聯(lián)網(wǎng)系統(tǒng)，智能設(shè)備和終端將無(wú)法判定業(yè)務(wù)指令是否被偽造或已被惡意篡改，攻擊者可使用精心編制的指令非法控制現(xiàn)場(chǎng)的智能設(shè)備或終端，造成配置更改或設(shè)備誤動(dòng)等。

網(wǎng)絡(luò)層風(fēng)險(xiǎn)：供電企業(yè)物聯(lián)網(wǎng)應(yīng)用采用了移動(dòng)互聯(lián)網(wǎng)、有線網(wǎng)、Wi-Fi、WiMAX等多種網(wǎng)絡(luò)接入技術(shù)，出現(xiàn)了不同網(wǎng)絡(luò)間通信時(shí)安全認(rèn)證、訪問(wèn)控制等安全風(fēng)險(xiǎn)。同時(shí)主要數(shù)據(jù)傳輸主要依賴(lài)于傳統(tǒng)網(wǎng)絡(luò)技術(shù)，網(wǎng)絡(luò)層典型的攻擊風(fēng)險(xiǎn)有鄰居發(fā)現(xiàn)協(xié)議攻擊、蟲(chóng)洞攻擊、黑洞攻擊等。

應(yīng)用服務(wù)層風(fēng)險(xiǎn)：物聯(lián)網(wǎng)應(yīng)用層主要是指建立在物聯(lián)網(wǎng)服務(wù)與支撐數(shù)據(jù)上的各種應(yīng)用平臺(tái)，如云計(jì)算、分布式系統(tǒng)、海量信息處理等，典型的安全風(fēng)險(xiǎn)包括操作系統(tǒng)、應(yīng)用平臺(tái)、應(yīng)用軟件漏洞被利用，主機(jī)遭受病毒攻擊、拒接服務(wù)流攻擊。

2.2 供電企業(yè)虛擬化技術(shù)應(yīng)用主要風(fēng)險(xiǎn)

（1）破壞了正常的網(wǎng)絡(luò)架構(gòu)。虛擬機(jī)連接到同一個(gè)虛擬交換機(jī)上，通過(guò)虛擬交換機(jī)就把所有的虛擬的服務(wù)器同外部網(wǎng)絡(luò)聯(lián)系了起來(lái)。一方面造成了傳統(tǒng)網(wǎng)絡(luò)邊界設(shè)置防火墻功能失去了防護(hù)作用，另一方面給所有的虛擬服務(wù)器增加了安全風(fēng)險(xiǎn)。當(dāng)一個(gè)虛擬服務(wù)器遭受到攻擊或出現(xiàn)狀況時(shí)，其它的虛擬服務(wù)器也會(huì)受到影響。（2）虛擬機(jī)補(bǔ)丁更新帶來(lái)的安全風(fēng)險(xiǎn)。每個(gè)虛擬機(jī)就是一臺(tái)服務(wù)器，都需要安裝補(bǔ)丁，工作量太大。如果利用補(bǔ)丁服務(wù)器推送將占用大量網(wǎng)絡(luò)帶寬，影響虛擬化運(yùn)行穩(wěn)定性，同時(shí)用于虛擬機(jī)的災(zāi)難恢復(fù)的鏡像沒(méi)有及時(shí)安裝新的補(bǔ)丁，從而會(huì)給災(zāi)難恢復(fù)的虛擬機(jī)帶來(lái)運(yùn)行的安全風(fēng)險(xiǎn)。（3）如虛擬化平臺(tái)每臺(tái)虛擬機(jī)按傳統(tǒng)部署防病毒軟件，當(dāng)多臺(tái)虛擬機(jī)同時(shí)開(kāi)啟病毒查殺或病毒庫(kù)升級(jí)時(shí)，會(huì)因物理主機(jī)的相關(guān)資源消耗過(guò)大影響虛擬機(jī)服務(wù)或造成虛擬機(jī)宕機(jī)。（4）同一物理主機(jī)上不同虛擬機(jī)之間的互相攻擊和互相入侵的安全風(fēng)險(xiǎn)。

3.解決物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的相應(yīng)對(duì)策

3.1 物聯(lián)網(wǎng)應(yīng)用網(wǎng)絡(luò)安全風(fēng)險(xiǎn)對(duì)策

感知層安全防護(hù) 。非智能設(shè)備主要是采用防竊、防破壞、用電安全等措施；智能終端設(shè)備除防竊、防破壞、用電安全物理保護(hù)裝置外，還應(yīng)配備安全模塊保證原始數(shù)據(jù)不被篡改，修改終端配置默認(rèn)密碼，密碼長(zhǎng)度不小于8位，復(fù)雜性要求為大小寫(xiě)字母+數(shù)字+特殊字符的組合，及時(shí)修復(fù)程序漏洞。

網(wǎng)絡(luò)層安全防護(hù)。感知設(shè)備利用短距離無(wú)線通信網(wǎng)絡(luò)傳輸數(shù)據(jù)，需要采用標(biāo)準(zhǔn)的802.11i或者WAPI安全機(jī)制，并采用隱藏接入點(diǎn)SSID、綁定IP/MAC地址等技術(shù)措施，防止DoS等攻擊；采用無(wú)線公網(wǎng)傳輸業(yè)務(wù)數(shù)據(jù)時(shí)，應(yīng)采用VPN或APN服務(wù)，采用端到端的安全密碼算法，保障無(wú)線公網(wǎng)上傳輸數(shù)據(jù)的機(jī)密性、完整性；利用內(nèi)部網(wǎng)絡(luò)傳輸數(shù)據(jù)時(shí)，進(jìn)行網(wǎng)絡(luò)安全接入認(rèn)證、邊界訪問(wèn)控制、信息內(nèi)容過(guò)濾等措施，實(shí)現(xiàn)邊界安全控制。

應(yīng)用層安全防護(hù)：限制可登錄終端的網(wǎng)絡(luò)地址范圍，對(duì)登錄服務(wù)器的用戶(hù)進(jìn)行身份鑒別并控制用戶(hù)對(duì)資源的訪問(wèn)。對(duì)用戶(hù)登錄/登出、連接超時(shí)、配置變更、時(shí)間變更等重要事件進(jìn)行審計(jì)。及時(shí)修復(fù)服務(wù)器操作系統(tǒng)、中間件平臺(tái)、數(shù)據(jù)庫(kù)平臺(tái)、應(yīng)用程序漏洞。定期檢測(cè)計(jì)算機(jī)病毒，并進(jìn)行隔離或清除。制定切合實(shí)際的數(shù)據(jù)備份策略，采用災(zāi)難恢復(fù)技術(shù)及相適應(yīng)的存儲(chǔ)介質(zhì)進(jìn)行備份。

3.2 虛擬化技術(shù)風(fēng)險(xiǎn)對(duì)策

虛擬化技術(shù)破壞了網(wǎng)絡(luò)架構(gòu)導(dǎo)致傳統(tǒng)防火墻對(duì)虛擬機(jī)安全防護(hù)失效，必須構(gòu)建虛擬化安全平臺(tái)，該平臺(tái)應(yīng)具有防惡意軟件、IDS/IPS、防火墻、Web 應(yīng)用程序防護(hù)和應(yīng)用程序控制防護(hù)，數(shù)據(jù)完整性監(jiān)控等安全功能，平臺(tái)防火墻應(yīng)能無(wú)需修改虛擬交換機(jī)配置即可實(shí)現(xiàn)虛擬機(jī)隔離，防止虛擬機(jī)之間的相互攻擊，通過(guò)實(shí)施有關(guān) IP地址、Mac 地址、端口及其他內(nèi)容的防火墻規(guī)則過(guò)濾通信流，支持檢測(cè)端口掃描等活動(dòng)，還可限制非 IP 通信流，如 ARP 通信流，可以對(duì)虛擬機(jī)進(jìn)行安全策略綁定，無(wú)論虛擬機(jī)漂移至虛擬化資源池中的任何宿主機(jī)均可提供全時(shí)的堅(jiān)實(shí)防護(hù)。

部署自動(dòng)化補(bǔ)丁管理工具，制定出詳細(xì)的更新補(bǔ)丁的計(jì)劃表，從而能夠有計(jì)劃、有步驟的對(duì)各個(gè)虛擬機(jī)進(jìn)行補(bǔ)丁更新，避免出現(xiàn)遺漏。虛擬機(jī)管理員經(jīng)常檢查關(guān)閉的虛擬機(jī)的補(bǔ)丁狀態(tài)，同時(shí)定期更新虛擬機(jī)模板，保證用來(lái)創(chuàng)建新虛擬機(jī)的鏡像模板內(nèi)安裝的軟件版本是最新的。

（3）選擇專(zhuān)為虛擬環(huán)境所打造的防病毒系統(tǒng)，該系統(tǒng)只在每臺(tái)宿主物理服務(wù)器上安裝一次，即可實(shí)現(xiàn)病毒安全防護(hù)，能實(shí)現(xiàn)自動(dòng)繼承的保護(hù)，虛擬鏡像可即裝即防，裸機(jī)也能立即保護(hù)。已經(jīng)在虛擬化環(huán)境采用了傳統(tǒng)的防病毒病毒和惡意代碼軟件虛擬機(jī)，則應(yīng)該細(xì)化虛擬機(jī)的病毒防護(hù)策略，對(duì)虛擬機(jī)實(shí)行分時(shí)升級(jí)和病毒掃描策略，避免所有虛擬機(jī)同時(shí)升級(jí)和掃描形成“病毒風(fēng)暴”而導(dǎo)致系統(tǒng)服務(wù)異常，同時(shí)虛擬機(jī)管理員還應(yīng)定期開(kāi)啟關(guān)閉的虛擬機(jī)進(jìn)行病毒庫(kù)升級(jí)和掃描。

結(jié)束語(yǔ)

綜上所述，物聯(lián)網(wǎng)和虛擬化的發(fā)展是大勢(shì)所趨，但在他們深入應(yīng)用的同時(shí)帶來(lái)了相應(yīng)的網(wǎng)絡(luò)安全問(wèn)題，不解決好物聯(lián)網(wǎng)和虛擬化的安全問(wèn)題就不能正常運(yùn)作物聯(lián)網(wǎng)和虛擬化應(yīng)用，還可能造成重大安全事件，因此解決物聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)迫在眉睫。對(duì)物聯(lián)網(wǎng)和虛擬化應(yīng)用網(wǎng)絡(luò)安全風(fēng)險(xiǎn)一定要做到管理和技術(shù)并重，要加強(qiáng)各種手段預(yù)防物聯(lián)網(wǎng)和虛擬化應(yīng)用網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。