高峰 王治華 金明輝

摘? ?要：就終端的事前接入和事中配置行為進(jìn)行在線管控。提出了準(zhǔn)入認(rèn)證、合規(guī)校驗(yàn)方法，以提升現(xiàn)有網(wǎng)絡(luò)空間對(duì)行為安全的管控能力，并結(jié)合電力監(jiān)控系統(tǒng)的特點(diǎn)介紹實(shí)際應(yīng)用效果。

關(guān)鍵詞：行為安全;接入認(rèn)證;配置合規(guī);在線管控

中圖分類(lèi)號(hào)：TM711? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 文獻(xiàn)標(biāo)識(shí)碼：A

Application of Online Management and Control for? Terminal

Behavior Safety in Electric Power Supervisory Control System

GAO? Feng WANG? Zhi-hua，JIN Ming-hui

（State Grid Shanghai Municipal Electric Power Company，Shanghai 200122，China）

Abstract：As the online controlling of the terminals' pre-access and configuration behaviors，this paper proposes access authentication and compliance verification methods to improve the existing network space's ability to control behavioral security.Combined with the characteristics of electric power supervisory control system，the practical application results are introduced.

Key words：behavioral security;access authentication;configuration compliance;online management and control

隨著國(guó)家電網(wǎng)公司的“S G l86”工程上線以來(lái)，各級(jí)電網(wǎng)企業(yè)的網(wǎng)絡(luò)信息化建設(shè)穩(wěn)步推進(jìn)。作為承載電網(wǎng)業(yè)務(wù)的基石之一，網(wǎng)絡(luò)對(duì)電力調(diào)度業(yè)務(wù)的重要性不斷提升，隨之而來(lái)的是企數(shù)據(jù)安全威脅也不斷增加[1]。

網(wǎng)絡(luò)帶來(lái)巨大便利的同時(shí)，各環(huán)節(jié)中存在的潛在隱患和風(fēng)險(xiǎn)產(chǎn)生的危害不容小覷。當(dāng)前的電力監(jiān)控系統(tǒng)中，經(jīng)過(guò)多年的建設(shè)，已在物理安全、邊界安全、本體安全等方面取得了較為顯著的成績(jī)，但是在終端的行為安全管控方面還有待進(jìn)一步完善。由于可能存在操作無(wú)審計(jì)、終端行為無(wú)審計(jì)、網(wǎng)絡(luò)終端配置混亂等潛在安全隱患 ，所以電力系統(tǒng)終端行為安全問(wèn)題目前已成為省市級(jí)電力公司普遍關(guān)注的問(wèn)題 ，但由于電力設(shè)備終端種類(lèi)繁多，數(shù)量巨大，如何針對(duì)電網(wǎng)調(diào)度設(shè)計(jì)安全的終端行為管控策略，提高整體電力調(diào)度網(wǎng)絡(luò)的防護(hù)能力和可控水平也是當(dāng)前電網(wǎng)企業(yè)在信息化建設(shè)時(shí)的研究重點(diǎn)。

本文將闡述適于電力監(jiān)控系統(tǒng)需求的終端行為安全管控方法及其實(shí)踐效果，實(shí)現(xiàn)終端以及與其相關(guān)的人員行為安全風(fēng)險(xiǎn)的預(yù)控在控，從而將網(wǎng)絡(luò)空間的安全防線前移，構(gòu)筑更加安全的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)空間。

1? ?電力監(jiān)控系統(tǒng)終端安全管控現(xiàn)狀與隱患

在電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中，常用的終端類(lèi)型有兩大類(lèi)：實(shí)際業(yè)務(wù)終端和網(wǎng)絡(luò)設(shè)備終端。實(shí)際業(yè)務(wù)終端指電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中業(yè)務(wù)承載的基本單元，包含用戶的PC機(jī)、移動(dòng)接入設(shè)備、小型機(jī)和服務(wù)器等;網(wǎng)絡(luò)設(shè)備終端則指的是電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中業(yè)務(wù)的傳輸分發(fā)控制設(shè)備，如交換機(jī)、路由器、防火墻等。下面針對(duì)不同終端類(lèi)型潛在的安全隱患進(jìn)行詳述。

1.1? ?實(shí)際業(yè)務(wù)終端管理現(xiàn)狀

目前，在電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中實(shí)際業(yè)務(wù)接入終端存在以下不可控的人員行為和管理薄弱點(diǎn)：終端跨網(wǎng)訪問(wèn)互聯(lián)網(wǎng)，存在非法網(wǎng)絡(luò)混連風(fēng)險(xiǎn);非法用戶隨意接入內(nèi)部網(wǎng)絡(luò)，終端不能及時(shí)更新系統(tǒng)補(bǔ)丁，用戶私自安裝軟件、開(kāi)啟危險(xiǎn)服務(wù);內(nèi)部合法用戶濫用權(quán)限，空口令、弱口令泛濫等。針對(duì)上述問(wèn)題，現(xiàn)有的管理手段匱乏，缺乏對(duì)合法終端濫用網(wǎng)絡(luò)資源的安全管理，無(wú)法防止惡意終端的蓄意破壞，需要通過(guò)技術(shù)手段將管理的要求程序化。同時(shí)，終端數(shù)量大、分布廣、管理困難、成本很高，無(wú)法及時(shí)掌握終端的更新和變化信息，缺乏行之有效的管理及緊急響應(yīng)手段[2]。

1.2? ?網(wǎng)絡(luò)設(shè)備終端管理現(xiàn)狀

現(xiàn)有電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中，網(wǎng)絡(luò)系統(tǒng)規(guī)模越來(lái)越大，資產(chǎn)分布愈加廣泛，但網(wǎng)絡(luò)設(shè)備配置合規(guī)檢查手段簡(jiǎn)單，測(cè)評(píng)不夠全面，缺乏統(tǒng)一配置規(guī)范。在電力行業(yè)的整體合規(guī)監(jiān)管和全網(wǎng)規(guī)范核查要求下顯得不盡人意[3]。

同時(shí)網(wǎng)絡(luò)設(shè)備管理復(fù)雜，規(guī)則條目不夠完善，通過(guò)手工核實(shí)耗費(fèi)大量時(shí)間和人力，無(wú)法做到持續(xù)性合規(guī)。

2? ?終端行為安全管控系統(tǒng)

終端行為安全管控系統(tǒng)整體采用C/S架構(gòu)設(shè)計(jì)模式，極大的簡(jiǎn)化網(wǎng)絡(luò)系統(tǒng)的操作與維護(hù)，針對(duì)不同終端類(lèi)型設(shè)計(jì)了不同的管控模塊，每個(gè)管控模塊由多個(gè)邏輯功能組件構(gòu)成，各個(gè)模塊間相互獨(dú)立的同時(shí)也能產(chǎn)生聯(lián)動(dòng)。系統(tǒng)依據(jù)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全規(guī)范規(guī)定，采用分布式架構(gòu)部署，降低了系統(tǒng)操作難度和維護(hù)成本。

邏輯架構(gòu)組網(wǎng)圖如圖1所示[4]，其中實(shí)際業(yè)務(wù)終端、網(wǎng)絡(luò)設(shè)備終端有各自的管理模塊，各個(gè)模塊之間彼此聯(lián)動(dòng)，主要在安全準(zhǔn)入、配置合規(guī)校驗(yàn)兩個(gè)維度進(jìn)行整理管控。

針對(duì)終端安全準(zhǔn)入控制，系統(tǒng)可以實(shí)現(xiàn)對(duì)不同接入業(yè)務(wù)終端賦予不同的角色和權(quán)限[5]，進(jìn)而根據(jù)其對(duì)應(yīng)的角色和權(quán)限進(jìn)行行為管控和實(shí)時(shí)監(jiān)控，保證業(yè)務(wù)終端有控制的入網(wǎng)，達(dá)到安全認(rèn)證準(zhǔn)入的目的。

針對(duì)配置合規(guī)在線校驗(yàn)，系統(tǒng)可根據(jù)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)的安全基線要求和國(guó)家相關(guān)發(fā)文規(guī)定，使用不同的合規(guī)規(guī)則，對(duì)網(wǎng)絡(luò)設(shè)備終端進(jìn)行安全合規(guī)檢查，例如是否使用弱口令、空口令，是否使用不安全的登陸方式，是否開(kāi)啟危險(xiǎn)功能等，進(jìn)一步降低網(wǎng)絡(luò)設(shè)備層面的潛在安全風(fēng)險(xiǎn)。

2.1? ?安全準(zhǔn)入控制模塊設(shè)計(jì)

安全準(zhǔn)入控制模塊的設(shè)計(jì)目的是為了進(jìn)一步解決現(xiàn)有電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)中終端接入安全控制力度不足的問(wèn)題。目前多數(shù)電力企業(yè)使用的終端身份認(rèn)證機(jī)制較為簡(jiǎn)易，易被破解，存在較大安全隱患[6]。因此，在使能本模塊功能后，未認(rèn)證終端及認(rèn)證失敗終端將會(huì)被拒絕接入網(wǎng)絡(luò)，同時(shí)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)的管控人員可以對(duì)所有接入終端進(jìn)行集中管控。用戶在成功接入系統(tǒng)之前要經(jīng)過(guò)身份認(rèn)證、安全檢查、動(dòng)態(tài)授權(quán)三個(gè)階段，并在接入系統(tǒng)后受到實(shí)時(shí)監(jiān)控。

在身份認(rèn)證階段，當(dāng)實(shí)際業(yè)務(wù)接入終端發(fā)起網(wǎng)絡(luò)接入請(qǐng)求時(shí)，需要進(jìn)行口令驗(yàn)證。業(yè)務(wù)終端輸入用戶名和口令，該口令使用高安全性加密算法進(jìn)行加密后，通過(guò)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)傳遞至終端準(zhǔn)入控制模塊，由于管控模塊與終端之間使用共享密鑰認(rèn)證交互消息[7]，用戶口令在網(wǎng)絡(luò)傳輸過(guò)程中均為密文形式，極大提高了網(wǎng)絡(luò)傳輸?shù)陌踩訹8]。終端準(zhǔn)入控制模塊收到終端網(wǎng)絡(luò)接入請(qǐng)求后，將會(huì)查詢(xún)用戶信息數(shù)據(jù)庫(kù)（該數(shù)據(jù)庫(kù)內(nèi)預(yù)置用戶信息如用戶名、密碼、用戶角色、用戶權(quán)限、可訪問(wèn)資源池等[9]。根據(jù)用戶名查詢(xún)到對(duì)應(yīng)終端信息，使用相同加密算法對(duì)預(yù)存口令加密后進(jìn)行驗(yàn)證比對(duì)，驗(yàn)證失敗則拒絕該終端接入，驗(yàn)證成功則返回成功信息并通知終端進(jìn)入第二階段即安全檢查階段[10]。

隨后終端發(fā)起安全檢查請(qǐng)求，服務(wù)端收到請(qǐng)求后，按照預(yù)設(shè)的終端安全規(guī)則下發(fā)給終端進(jìn)行安全檢查。終端進(jìn)行安全檢查后將檢查結(jié)果上報(bào)給認(rèn)證端。

對(duì)于安全檢查不通過(guò)，即存在高風(fēng)險(xiǎn)項(xiàng)的終端，認(rèn)證端會(huì)返回修復(fù)策略并拒絕下發(fā)資源權(quán)限;當(dāng)安全檢查通過(guò)后，認(rèn)證端將預(yù)置的用戶權(quán)限和角色下發(fā)給業(yè)務(wù)終端，并針對(duì)低風(fēng)險(xiǎn)項(xiàng)（不影響用戶認(rèn)證成功的警告項(xiàng)）的修復(fù)策略和在線監(jiān)控任務(wù)下發(fā)給終端，至此完成整套準(zhǔn)入流程，如圖2所示。

簡(jiǎn)化后的邏輯組網(wǎng)圖如圖3所示，主要由認(rèn)證客戶端、安全聯(lián)動(dòng)設(shè)備、認(rèn)證策略服務(wù)器、第三方服務(wù)器等組件組成。

2.2? ?配置合規(guī)模塊設(shè)計(jì)

網(wǎng)絡(luò)設(shè)備是電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)業(yè)務(wù)運(yùn)行的主要載體，對(duì)設(shè)備終端進(jìn)行周期性配置合規(guī)檢查是保障監(jiān)控生產(chǎn)網(wǎng)絡(luò)業(yè)務(wù)穩(wěn)定運(yùn)行的關(guān)鍵。在以往的網(wǎng)絡(luò)設(shè)備配置合規(guī)管控中，存在大量人為手工變更核查工作，既費(fèi)時(shí)費(fèi)力，也容易埋下眾多安全隱患，缺乏有效的風(fēng)險(xiǎn)預(yù)警[11]。

本配置合規(guī)模塊設(shè)計(jì)為一個(gè)通過(guò)采集網(wǎng)絡(luò)設(shè)備相關(guān)信息，使用配置合規(guī)算法分析的自動(dòng)化系統(tǒng)[12]。

如圖4所示，為配置合規(guī)檢查模塊的完整閉環(huán)邏輯：

（1）模塊提前收集各個(gè)網(wǎng)絡(luò)設(shè)備的SNMP協(xié)議團(tuán)體字信息、TELNET或SSH登陸用戶名密碼信息、登陸服務(wù)端口、權(quán)限分級(jí)信息等，預(yù)存到模塊對(duì)接的設(shè)備用戶信息數(shù)據(jù)庫(kù)中。

（2）通過(guò)上述收集信息，在安全合法的合規(guī)管控下，通過(guò)只讀方式讀取到設(shè)備相關(guān)的SNMP對(duì)應(yīng)MIB節(jié)點(diǎn)信息、設(shè)備配置信息和相關(guān)命令回顯等，通過(guò)網(wǎng)絡(luò)協(xié)議報(bào)文回傳給模塊本身，并進(jìn)行數(shù)據(jù)塊解析，通過(guò)內(nèi)部定義正則表達(dá)式。在收集的信息中提取出我們所需的參數(shù)。

例如，過(guò)濾某交換機(jī)12端口即interface 12 的端口信息時(shí)，要求提取滿足interface 空格數(shù)字這樣格式的字符串中的這個(gè)數(shù)字，則可以定義正則表達(dá)式：interface （＼d+）。

（3）根據(jù)提前預(yù)置的設(shè)備安全管理基線，對(duì)回傳的信息進(jìn)行配置合規(guī)檢查，若符合規(guī)則的判斷邏輯，則認(rèn)為是合規(guī);若不符合判斷邏輯，則認(rèn)為設(shè)備配置違規(guī)，并生成相應(yīng)的違規(guī)記錄告警。

（4）當(dāng)設(shè)備終端運(yùn)行配置變動(dòng)時(shí)，觸發(fā)二次合規(guī)檢查，系統(tǒng)會(huì)自動(dòng)采集設(shè)備變動(dòng)后的配置信息進(jìn)行合規(guī)檢查，預(yù)防電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)因配置變更產(chǎn)生不合規(guī)的潛在風(fēng)險(xiǎn)。

（5）配置合規(guī)模塊的預(yù)置安全基線規(guī)則，支持使用JavaScript和Python語(yǔ)言進(jìn)行編寫(xiě)。通過(guò)只讀命令采集設(shè)備回顯信息，使用相應(yīng)的腳本語(yǔ)言構(gòu)建邏輯判斷條件和函數(shù)，得出最終的判斷結(jié)果。配置合規(guī)模塊也支持使用正則表達(dá)式對(duì)回顯信息進(jìn)行塊狀解析和定義類(lèi)型參數(shù)，為后續(xù)的分支判斷提供有效支持。

（6）同時(shí)具備多種的風(fēng)險(xiǎn)控制功能，對(duì)于不成功的設(shè)備配置變更支持快速追溯復(fù)原。

針對(duì)上述第（3）點(diǎn)，下面通過(guò)簡(jiǎn)單示例，著重描述數(shù)據(jù)塊與判定參數(shù)在模塊判定條件間的傳遞。

條件A：1）確定數(shù)據(jù)獲取方式，當(dāng)前命令display current-configuration，含義為收集當(dāng)前運(yùn)行全部配置信息;2）塊解析打開(kāi);3）參數(shù)提取打開(kāi)，添加判定參數(shù)p1、p2;4）滿足判定執(zhí)行配置，下一條件為條件B。

條件B：1）確定數(shù)據(jù)獲取方式，使用條件A中的前一解析塊，即條件B會(huì)將條件A的3個(gè)數(shù)據(jù)塊作為輸入并依次遍歷，相當(dāng)于條件B用不同的輸入數(shù)據(jù)執(zhí)行3次;2）塊解析關(guān)閉，前一解析塊不會(huì)再被分塊，輸入的塊和輸出的塊保持一致;3）參數(shù)提取打開(kāi)，設(shè)置參數(shù)p1、p3，此時(shí)p1將覆蓋前一條件的p1，即同名參數(shù)覆蓋;4）滿足判定執(zhí)行配置，下一條件為條件C。

條件C：1）確定數(shù)據(jù)獲取方式，使用條件B中的前一解析塊，即條件C會(huì)將條件A的3個(gè)數(shù)據(jù)塊作為輸入并依次遍歷;2）塊解析打開(kāi)，前一解析塊的每個(gè)塊又會(huì)被繼續(xù)分塊;3）參數(shù)提取打開(kāi)設(shè)置參數(shù)p1、p2、p4，p1、p2覆蓋前一條件的p1、p2。

如圖5所示，每個(gè)條件，根據(jù)不同的判定參數(shù)得到的最終判定值即判定結(jié)果，如條件A 中，數(shù)據(jù)塊1中p1=1;條件B中數(shù)據(jù)塊2中p3=e。系統(tǒng)根據(jù)不同的判定結(jié)果進(jìn)一步進(jìn)行邏輯判定，如繼續(xù)執(zhí)行/中斷/報(bào)警等。

除上述之外，配置合規(guī)模塊還具有良好的可擴(kuò)展性，能根據(jù)電力監(jiān)控系統(tǒng)的實(shí)際業(yè)務(wù)調(diào)整或最新規(guī)定來(lái)自定義安全合規(guī)的規(guī)則。自定義的規(guī)則應(yīng)按照不同的設(shè)備廠商、型號(hào)和軟件版本進(jìn)行劃分，規(guī)定自己的適配范圍，只能對(duì)適配范圍內(nèi)的設(shè)備型號(hào)生效，達(dá)到合規(guī)檢查范圍控制的效果。配置合規(guī)模塊設(shè)計(jì)了典型變更控制流程，當(dāng)運(yùn)維人員提交了一個(gè)設(shè)備變更服務(wù)請(qǐng)求之后，變更核實(shí)人應(yīng)在模塊系統(tǒng)上評(píng)估配置變更的風(fēng)險(xiǎn)，將可實(shí)施的變更任務(wù)指定分配給相關(guān)實(shí)施人員進(jìn)行變更實(shí)施。運(yùn)維人員在規(guī)定的變更窗口進(jìn)行變更操作后，模塊將啟動(dòng)應(yīng)急回退準(zhǔn)備措施，以防變更發(fā)生風(fēng)險(xiǎn)，變更完成后將再次進(jìn)行配置合規(guī)檢查，并在控制流程上完成最終閉環(huán)。

以服務(wù)配置為例，當(dāng)用戶使用網(wǎng)絡(luò)設(shè)備終端遠(yuǎn)程管理服務(wù)進(jìn)行設(shè)備管理時(shí)，應(yīng)使用加密模式登錄，推薦SSH（數(shù)據(jù)加密）登錄，并關(guān)閉TELNET（數(shù)據(jù)非加密）協(xié)議登錄功能。電力監(jiān)控系統(tǒng)涉及設(shè)備數(shù)量較大，部署范圍較廣，如果純粹靠人力進(jìn)行逐次審核設(shè)備配置情況，工作量巨大，易產(chǎn)生疏漏。針對(duì)此場(chǎng)景部署終端行為管控后，配置合規(guī)模塊可自動(dòng)收集設(shè)備配置信息，檢查是否開(kāi)啟了SSH服務(wù)及其賬戶，同時(shí)設(shè)備是否關(guān)閉了TELNET協(xié)議登錄服務(wù)，當(dāng)某些網(wǎng)絡(luò)設(shè)備終端配置異常，會(huì)產(chǎn)生合規(guī)告警并形成配置違規(guī)報(bào)告以幫助用戶審計(jì)設(shè)備配置情況，并可在線采取必要的控制措施，如：下線等。

3? ?應(yīng)用效果實(shí)例

以某公司電力監(jiān)控系統(tǒng)某網(wǎng)絡(luò)為例，說(shuō)明對(duì)用戶調(diào)試終端管控的實(shí)際應(yīng)用效果。從現(xiàn)有資源整合上，本方法考慮了整體資源的融合和利用，結(jié)合電力監(jiān)控系統(tǒng)的基礎(chǔ)軟件環(huán)境要求進(jìn)行操作系統(tǒng)和數(shù)據(jù)庫(kù)的適配，并基于現(xiàn)有的網(wǎng)絡(luò)安全管理平臺(tái)進(jìn)行模塊嵌入，達(dá)到資源共享并有效利用。

在終端準(zhǔn)入和管控方面，以某變電站現(xiàn)場(chǎng)工作調(diào)試為例，調(diào)試人員筆記本在未經(jīng)授權(quán)接入到交換機(jī)中，會(huì)按照終端準(zhǔn)入規(guī)則進(jìn)行審計(jì)，該終端未經(jīng)授權(quán)接入網(wǎng)絡(luò)，將立即將終端踢下線，并產(chǎn)生非法接入告警，通知管理員該未經(jīng)授權(quán)終端的相關(guān)信息：IP、MAC、主機(jī)名、接入設(shè)備IP、接入設(shè)備端口、接入設(shè)備的實(shí)際部署位置和涉及審計(jì)規(guī)則等。如果用戶未經(jīng)許可，個(gè)人使用未經(jīng)授權(quán)終端多次嘗試，會(huì)被拉近黑名單，從而杜絕非法接入，防止出現(xiàn)網(wǎng)絡(luò)混連情況，實(shí)際應(yīng)用效果顯著。如圖6（1）（2）為實(shí)際環(huán)境中測(cè)試演示圖。

網(wǎng)絡(luò)設(shè)備配置合規(guī)審計(jì)方面，如圖7（1）（2）所示。在實(shí)際應(yīng)用中通過(guò)現(xiàn)場(chǎng)實(shí)際網(wǎng)絡(luò)情況梳理和具體規(guī)則分析，整理出的符合現(xiàn)場(chǎng)情況的合規(guī)規(guī)則，對(duì)合規(guī)檢測(cè)存在違規(guī)的網(wǎng)絡(luò)設(shè)備終端，進(jìn)行記錄、告警，并整理出具配置合規(guī)報(bào)告書(shū)（支持不同格式下載），從設(shè)備合規(guī)告警數(shù)量、嚴(yán)重等級(jí)、具體策略規(guī)則等多方面反饋現(xiàn)場(chǎng)合規(guī)情況，配合用戶完善網(wǎng)絡(luò)設(shè)備配置，規(guī)避潛在風(fēng)險(xiǎn)。

綜上所述，電力終端安全行為管控方法從根本上解決了以前電力監(jiān)控網(wǎng)內(nèi)存在大量“不經(jīng)認(rèn)證仍聯(lián)入網(wǎng)絡(luò)的非法IP”的問(wèn)題。通過(guò)流量審計(jì)獲取所有聯(lián)網(wǎng)IP，與各地址注冊(cè)的終端準(zhǔn)入賬戶IP進(jìn)行比較，對(duì)比結(jié)果不一致IP作為不達(dá)標(biāo)業(yè)務(wù)考核項(xiàng)，并設(shè)立黑白名單機(jī)制（白名單放通設(shè)備管理IP，非智能終端設(shè)備_打印機(jī)等），周期性自動(dòng)列出不經(jīng)認(rèn)證聯(lián)網(wǎng)的IP地址供考核參考。

在網(wǎng)絡(luò)設(shè)備終端方面，根據(jù)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)的實(shí)際業(yè)務(wù)情況，梳理出業(yè)內(nèi)幾大主流廠商的統(tǒng)一適配規(guī)則，定制相關(guān)配置模板，實(shí)行自動(dòng)化配置合規(guī)安全檢查，解決了大量變電站設(shè)備由人工完成配置檢查修改，工作效率低下的問(wèn)題，響應(yīng)了電力行業(yè)等保測(cè)試和總部文件合規(guī)的要求，實(shí)現(xiàn)合規(guī)管理，配置管理以及變更管理的自動(dòng)化和智能化。同時(shí)，也可根據(jù)實(shí)際運(yùn)維經(jīng)驗(yàn)整理出合規(guī)規(guī)范以及最佳實(shí)踐配置策略，并定期輸出合規(guī)報(bào)表，幫助分析網(wǎng)絡(luò)配置變更情況以及網(wǎng)絡(luò)合規(guī)情況。

目前根據(jù)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)實(shí)際情況，共整理配置合規(guī)模塊基線規(guī)則80條，當(dāng)網(wǎng)絡(luò)設(shè)備配置發(fā)生變更（即產(chǎn)生變更告警），立即啟動(dòng)配置合規(guī)任務(wù)進(jìn)行合規(guī)檢查，更提升了網(wǎng)絡(luò)設(shè)備配置合規(guī)的安全性和風(fēng)險(xiǎn)預(yù)警能力。

綜上所述，終端安全行為管控方法的實(shí)際應(yīng)用效果顯著，為電力監(jiān)控各類(lèi)終端管控提供了重要手段，提高了網(wǎng)絡(luò)整體的主動(dòng)抵抗能力。但該方法在整體上還存在可完善空間，例如在信息平臺(tái)各級(jí)電力系統(tǒng)之間的聯(lián)動(dòng)，信息的核實(shí)與上報(bào)匯總，針對(duì)這些方面還需要后續(xù)進(jìn)一步的開(kāi)發(fā)與完善。

4? ?結(jié)? ?論

針對(duì)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)終端類(lèi)型眾多、數(shù)量較大，分布較廣、管理困難的現(xiàn)狀，為進(jìn)一步解決電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)所面臨的安全威脅和穩(wěn)定隱患，提出終端安全管控的整體設(shè)計(jì)方案。將終端行為安全管控系統(tǒng)部署在用戶的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理平臺(tái)，從終端安全準(zhǔn)入、設(shè)備配置合規(guī)維度給出了電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)信息化、系統(tǒng)化、科學(xué)化的解決方案。該系統(tǒng)能夠?qū)崿F(xiàn)智能電網(wǎng)大規(guī)模網(wǎng)絡(luò)及終端不同硬件、不同操作系統(tǒng)的分級(jí)分區(qū)部署、安全準(zhǔn)入、流量監(jiān)控、行為審計(jì)等需求，杜絕了內(nèi)網(wǎng)外聯(lián)、仿冒終端等網(wǎng)絡(luò)安全隱患，能夠有效保障電力系統(tǒng)信息網(wǎng)絡(luò)的內(nèi)網(wǎng)、外網(wǎng)及終端的正常運(yùn)行與安全防御。該方案為電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)的終端安全管控加固提供了重要手段，提高了網(wǎng)絡(luò)終端的主動(dòng)抵抗能力，同時(shí)能為后續(xù)其他省市的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)提供寶貴經(jīng)驗(yàn)，對(duì)未來(lái)電力系統(tǒng)自動(dòng)化、智能化發(fā)展有著重要意義。

參考文獻(xiàn)

[1]? ? 陳樹(shù)勇，宋書(shū)芳，李蘭欣. 智能電網(wǎng)技術(shù)綜述[J]. 電網(wǎng)技術(shù)，2009，33（8）：1—7.

[2]? ?JEAN-LUC B，YVES C，PATRICK P .Cybersecurity for modern distribution automation grids[J]. CIRED-Open Access Proceedings Journal，2017：1002—1005.

[3]? ?史簡(jiǎn)，郭山清，謝立.統(tǒng)一網(wǎng)絡(luò)安全管理平臺(tái)的研究與實(shí)現(xiàn)

[J]. 計(jì)算機(jī)應(yīng)用研究，2006，23（9）：92—95.

[4]? ? 王寧波，王先培.容侵技術(shù)在電力系統(tǒng)數(shù)據(jù)網(wǎng)絡(luò)安全中的應(yīng)用[J]. 電力自動(dòng)化備，2004，24（10）：35—38.

[5]? ? 李斌，薄志謙. 面向智能電網(wǎng)的保護(hù)控制系統(tǒng)[ J ] .電力系統(tǒng)自動(dòng)，2019，33（20）：7—11.

[6]? ? 吳光斌，郭向勇. 校園網(wǎng)多層次網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)

[J]. 華中科技大學(xué)學(xué)報(bào)，2003，3l（10）：138—140.

[7]? ? 孫中偉，張榮剛. 智能配電網(wǎng)通信系統(tǒng)訪問(wèn)控制研究[J]. 電力系統(tǒng)保護(hù)與控制，20l0，38（21）：118—12l.

[8]? ? LIM I H，HONG S，CHOI M S. Security protocols against cyber attacks in the distribution automation system[J].IEEE transactions，2009：448—455.

[9]? ? 林世溪，林小迪. 電力企業(yè)網(wǎng)絡(luò)信息安全防護(hù)體系的建立[J]. 華東電力，2010，38（5）：480—186.

[10]? 范寶鋒. 統(tǒng)一網(wǎng)絡(luò)安全管理平臺(tái)技術(shù)研究[D]. 成都：四川大學(xué)，2005.

[11]? 風(fēng)琦，王震宇，李向東. 基于802.1X 的可信網(wǎng)絡(luò)連接技術(shù)[J]. 計(jì)算機(jī)工程，2009，35（5）：25—29.

[12]? 季欣榮，陳飛，李珺，等. 終端準(zhǔn)入控制系統(tǒng)在電力調(diào)度中的應(yīng)用[J]. 動(dòng)化技術(shù)與應(yīng)用，2018，37—1.