CN103227797A - 分布式电力企业信息网络安全管理系统 - Google Patents

Abstract

本发明提供了一种分布式电力企业信息网络安全管理系统，通过防火墙、网关、入侵防御系统IPS、安全评估系统、访问控制及隔离子系统、防病毒软件、身份认证子系统和备份子系统，以及安全监控模块、安全预警模块、安全响应模块、安全运维模块和安全评估模块，解决网络安全技术相互独立、交互协同差、安全事件响应慢、网络故障定位难、告警失误率高等问题，使IT及安全管理员脱离繁琐的管理工作，提高工作效率。

Description

分布式电力企业信息网络安全管理系统

技术领域

本发明涉及一种分布式电力企业信息网络安全管理系统。

背景技术

进入21世纪，由于电力企业的管理信息系统(Management InformationSystem,MIS)与Internet或其他外部网络连接，监测管理并过滤电力企业信息网和外部网络之间传递的信息,保护企业内部敏感信息或关键数据达到机密性、可用性、完整性、可控性和可审查性，已经成为一个非常严峻而实际的问题。国内外对网络信息安全极为重视，网络信息安全不仅对保证企业资源和运营安全至关重要，而且，涉及到国家的安全与社会的稳定。

随着信息技术的快速发展和广泛应用，电力企业的网络安全问题更加突出。由于其自身的“木桶效应”，个别的网络漏洞或隐患将影响全局的安全，传统单一的网络安全举措已经很难应对各种繁杂的安全问题，急需一种分布式集成网络安全技术的网络安全管理系统（United Threat Management,UTM)进行整体信息化监测与管理。

发明内容

本发明的目的在于提供一种分布式电力企业信息网络安全管理系统，能够解决网络安全技术相互独立、交互协同差、安全事件响应慢、网络故障定位难、告警失误率高等问题，使IT及安全管理员脱离繁琐的管理工作，提高工作效率。

为解决上述问题，本发明提供一种分布式电力企业信息网络安全管理系统，包括：防火墙、网关、入侵防御系统IPS、安全评估系统、访问控制及隔离子系统、防病毒软件、身份认证子系统和备份子系统。

进一步的，在上述系统中，包括：安全监控模块、安全预警模块、安全响应模块、安全运维模块和安全评估模块。

进一步的，在上述系统中，所述安全监控模块包括：管理主页子模块、全网拓扑子模块、VPN监控子模块、设备监控子模块、事件告警子模块、实时报表子模块和安全态势子模块。

进一步的，在上述系统中，所述安全预警模块包括：关联分析子模块、预警规则子模块、安全趋势子模块和威胁趋势子模块。

进一步的，在上述系统中，所述安全响应模块包括：告警响应子模块、策略调整子模块、解决指导子模块、攻击朔源子模块和攻击拓扑子模块。

进一步的，在上述系统中，所述安全运维模块包括：资产管理子模块、策略管理子模块、知识管理子模块、日志审计子模块、权限管理子模块、人员管理子模块、设备升级子模块和VPN组网子模块。

进一步的，在上述系统中，所述安全评估模块包括单机分析子模块和态势分析子模块。

进一步的，在上述系统中，包括管控设备层、管理中心层和控制台层，其中，

所述管控设备层管理的对象主要包括：在网络中的防火墙、VPN、IDS、IPS、UTM、路由器、交换机、服务器、计算机；

所述管理中心层分析、检测、防御、组织、处理网络中的安全事件、告警、日志、审计、设备运行信息，传递运行数据，并完成各管理功能的处理；

所述控制台层，供用户通过IE浏览器登录，远程连接访问所述管理中心层，并可进行设备监控、报警管理、事件分析检测审计等。

与现有技术相比，本发明通过防火墙、网关、入侵防御系统IPS、安全评估系统、访问控制及隔离子系统、防病毒软件、身份认证子系统和备份子系统，以及安全监控模块、安全预警模块、安全响应模块、安全运维模块和安全评估模块，解决网络安全技术相互独立、交互协同差、安全事件响应慢、网络故障定位难、告警失误率高等问题，使IT及安全管理员脱离繁琐的管理工作，提高工作效率。

附图说明

图1是本发明一实施例的网络系统逻辑结构图；

图2是本发明一实施例的电力企业信息NSMS功能结构图；

图3是本发明一实施例的NSMS及网络安全技术部署图；

图4是本发明一实施例的NSMS分布式部署组网图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

电力企业信息系统具有分散控制管理、统一联合运行的特点。系统的运行涉及到发电厂、变电站、调度中心，发、输、配电系统一体化，系统中集成了各种独立系统和联合电网的控制保护技术、通信技术、运行管理技术等。随着电力信息网络的建设，电力企业关键业务不断拓展，建立在Internet架构上的分布式跨地区、全行业系统内部信息网正在完善，使网络安全的重要性和影响力更加显现，因此，电力信息网络系统的安全“层次化”管理极为重要。网络安全是一个系统的、全局的管理问题，网络系统中的任何一个漏洞，都会导致全网的安全问题，应该用系统工程的观点和方法，需要网络安全的综合及具体措施。

电力企业信息系统按业务性质可分为四种：

一是电网运行实时控制系统，包括电网自动发电控制系统及支持其运行的调度自动化系统、火电厂分布控制系统、水电厂计算机监控系统、变电所及集控站综合自动化系统、电网继电保护及安全自动装置、电力市场技术支持系统；

二是电力营销系统、电量计费系统、负荷管理系统；

三是支持企业经营、管理、运营的管理信息系统；

四是不直接参与电力企业过程控制、生产管理的各类经营、开发、采购、销售等多种经营公司，电力企业信息NSMS的主要功能需求应当包括：对企业的主要业务信息进行网络安全的集中管理、分析、检测、防御、监控、分布式处理、安全技术及策略的实施、网络攻击及计算机病毒防范、安全审计、应急备份、告警、交互、传输、部署、URL及垃圾邮件过滤和审计等。

分布式电力企业信息网络安全管理系统（Network Security ManagementSystem,NSMS)属于计算机网络安全（Network Security）技术领域，是综合计算机科学与技术学科，计算机网络技术、信息安全技术、通信技术、计算数学、密码技术和信息论等多学科的综合性交叉学科的新交叉学科，涉及“攻（攻击）、防（防范）、测（检测）、控（控制）、管（管理）、评（评估）”等多方面的基本理论和实施技术。网络安全管理系统属于统一威胁管理新技术，可将网络安全信息资源的统一配置、监控、预警、评估、响应，策略、检测、防御、响应一体化，并提供病毒及漏洞攻击防御、URL及垃圾邮件过滤和审计等。可对电力企业的网络安全信息及时进行采集、统一控制和管理，协同交互、互相支撑、有机联动，具有极为重要而广泛的应用，对于其他相近或相关学科在网络信息安全管理、检测、防御和安全信息处理等方面也有较好地应用和重要的作用。

本实施例在分析地区电力信息系统的网络状况及NSMS需求的基础上，设计出一种新的适合地区电力企业信息的分布式NSMS架构，构建出分布式NSMS的功能结构和逻辑结构，并概述了对电力企业信息NSMS的功能实现，以及NSMS网络安全技术的部署策略和方式。通过动态监网络之间的信息交换和访问行为，实现对网络安全的有效管理，可有效地保证电力企业生产、运行、经营的正常进行。

（1）电力企业信息网安全层次结构分析

从电力企业信息网安全层次结构分析，具有不同层次与安全强度的网络安全防护框架。第一是分层管理。电力信息网可分为四级网，每级为一层，层间使用网络防火墙进行网络隔离。第二是分区管理。结合电力企业信息安全的特点，分析相关业务系统的重要程度和数据流程、现状和安全要求，可将电力企业信息系统分为四个安全区：I实时控制区、II非控制生产区、III生产管理区和IV管理信息区，可确定不同的安全等级和防护水平。区间可以采用网络物理隔离措施，对实时控制区等关键业务实施重点防护，并采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护。

1）实时控制区。是安全防御核心，其业务系统是对电力生产的重要环节，通过调度数据网络或专用通道进行实时监控。主要系统为：调度自动化系统（SCADA/EMS）、配电自动化系统、变电站自动化系统、发电厂自动监控系统、电力调度数据网SPInet—VPN1，以及继电保护、安全自动控制系统、低频/低压自动减载系统、负荷控制系统等。

2）非控制生产区。其业务系统主要以非控制方式实现电力生产的必要功能，主要包括水调自动化系统、继电保护及故障录波信息管理系统、电能量计量系统、批发电力交易系统、调度员培训模拟系统（DTS）等。

3）生产管理区。主要以非控制方式对电力生产进行管理，主要包括：SPMS（Scheduling Production Management System）、统计报表系统、雷电监测系统、气象信息接入等。

4）管理信息区。具有电力信息管理和办公自动化功能，包括管理信息系统（MIS）、办公自动化系统（OA）、客户服务等。

电力企业信息网安全监管平台层次结构及管理业务，如表1所示：

表1

企业内部网络（Intranet）与各地区电业局、电厂、修造设计机构与电力企业，各县（区）电业局与地区电业局，以及地区电力公司与网局、国电公司相连。企业外部与地区级电力公司与地区电力公司二级机构与国际互联网，各级电力公司提供的远程访问服务，以及各级电力公司与外系统如银行、政府机构等部门相连。

（2）电力企业信息NSMS逻辑结构分析

针对电力企业信息网络的特点，需要进行网络安全分析。

1）电力企业网络系统逻辑结构分析。电力企业网络系统逻辑结构，如图1所示。

2）网络安全风险分析。网络的安全风险分析及相关对业务的影响情况，如表2所示：

表2

本发明提供一种分布式电力企业信息网络安全管理系统，包括：防火墙、网关、入侵防御系统IPS、安全评估系统、访问控制及隔离子系统、防病毒软件、身份认证子系统和备份子系统。

具体的，分布式电力企业NSMS的总体设计思路如下：

1）设计目标。在建立健全电力企业信息网络安全管理制度及规范基础上，采用业界先进、主流和稳定的网络安全技术措施和手段，建立深度防御及风险管理体系，解决企业所面临的安全问题，提高整体安全防御能力，保证业务系统的正常运行。

2）设计原则。根据企业性质和任务，建立信息安全总体框架及管理体系、技术体系，遵循统一规划、统一标准、分级组织实施。网络结构优化，网络环境综合治理，网络及信息安全防御网络化，集中管理分布控制。

3）网络安全技术配备。企业配备的网络安全技术及其主要功能，如表3所示：

表3

总体上，在系统安全风险需求分析的基础上，制定防火墙部署的总体方案及安全政策，与防火墙部署相关的配套设备的设置。对于核心网络的重要部位（如主Internet出口）部署ASIC或NP架构的具有专有操作系统的、功能齐全、性能稳定的防火墙或智能IPS(Intrusion Prevention System)。同时配置专人员管理、关注各种设备的协同工作情况并管理、采用默认的策略、不断的更新防火墙策略、容灾准备、严格规范的文档管理。

进一步的，如图2所示，所述系统包括安全监控模块、安全预警模块、安全响应模块、安全运维模块和安全评估模块。

可选的，所述安全监控模块包括：管理主页子模块、全网拓扑子模块、VPN监控子模块、设备监控子模块、事件告警子模块、实时报表子模块和安全态势子模块。

可选的，所述安全预警模块包括：关联分析子模块、预警规则子模块、安全趋势子模块和威胁趋势子模块。

可选的，所述安全响应模块包括：告警响应子模块、策略调整子模块、解决指导子模块、攻击朔源子模块和攻击拓扑子模块。

可选的，所述安全运维模块包括：资产管理子模块、策略管理子模块、知识管理子模块、日志审计子模块、权限管理子模块、人员管理子模块、设备升级子模块和VPN组网子模块。

可选的，所述安全评估模块包括单机分析子模块和态势分析子模块。

进一步的，所述系统包括管控设备层、管理中心层和控制台层，其中，

所述管控设备层管理的对象主要包括：在网络中的防火墙、VPN、IDS、IPS、UTM（Unified Threat Management）、路由器、交换机、服务器、计算机等安全设备和网络设备，所述管控设备层还可包括设备代理，主要用于在安全或网络设备上进行部署，采集运行数据、传发设备控制信息，支持与安全管理中心通过SNMP协议、SYSLOG协议、文件或专用加密通道交互通信；

所述管理中心层分析、检测、防御、组织、处理网络中的安全事件、告警、日志、审计、设备运行信息，传递运行数据，并完成各管理功能的处理，具体的，管理中心层是NSMS的核心，在专用服务器上，主要分析、检测、防御、组织、处理网络中的安全事件、告警、日志、审计、设备运行信息等，可连接其他模块、传递运行数据，并完成各管理功能的处理，数据库部署在专用服务器上或与管理中心一起部署，承担存储异常事件、日志、信息、告警、中间统计数据及系统运行控制数据，事件服务器完成信息采集、分析、检测、防御及分布式处理；

所述控制台层，供用户通过IE浏览器登录，以HTTP方式连接服务器，远程连接访问所述管理中心层，并可进行设备监控、报警管理、事件分析检测审计等。

本实施例的企业信息NSMS可通过SNMP管理协议、ICMP、SYSLOG等协议与安全设备通信，以标准平台服务：发现、轮询、内核、访问接口、数据管理、权限认证、级联、调度、日志、事件检测与防御、告警和通知服务为基础，通过管理及WEB客户端为用户提供日志审计、告警管理、设备管理、设备监控、策略管理、权限管理、级联管理等服务，并支持定制管理上级管理中心级联与第三方的集成。

详细的，本实施例的分布式NSMS网络安全技术的部署具体如下：

1）物理隔离与防火墙。在SPMS的安全区Ⅱ和安全区Ⅲ间（物理接口PI3处），部署专用物理隔离设施，实施对安全区Ⅰ、Ⅱ的安全隔离。在MIS的接入点和公共网络接入点，即物理接口PI5和PI8，以隔离装置实施访问控制策略。防火墙主要部署在内外网之间。

2）入侵防御系统IPS。在SPMS中部署基于网络和基于主机的IPS，实现对网络和服务器攻击及异常行为的监测、防御与响应策略。主要监控和防御DMIS系统与SPInet之间的访问，DMIS系统内部服务器访问，以及系统外部单位和DMIS系统之间的访问。以安全监测中心实现对IPS的统一管理与控制，分布式电力企业信息NSMS及网络安全技术构建的部署图可参见图3和图4。其中，分布式NSMS部署在客户端及管理区，分别对各子网或分支机构网络中的各种设备日志进行收集与审计，各子网或分支机构的NSMS将日志压缩整理后汇总到地区总部的进行二次关联分析不受地域限制、分级分权管理、事件备份，借助安全事件二次关联分析检测，提高决策准确性，不影响网络运行。

3）身份认证（PKI）系统。在SPMS中布置PKI系统，用于用户及远程维护人员与系统或进程之间的身份认证。完整的PKI系统包括注册机构(RA)、认证机构(Certificate Authority，CA)、目录(LDAP)服务等[7]。

4）安全评估系统。主要布置在DMIS系统中，可辅助管理员自主地对SPMS进行安全评估，分析检测系统存在的安全漏洞，并依据安全评估结果进行整改，完善防火墙和隔离设备的访问控制规则，及时加固与系统升级。

5）云安全防病毒软件。在SPMS内部的所有主机和服务器上安装最新的云安全防病毒软件，并配置一台病毒监管中心，实施全面的防病毒方案，并及时升级更新。

另外，电力企业信息NSMS的功能实现上，本实施例的NSMS可由数据库服务器、管理控制台、客户端三层架构组成，数据库系统采用SQL Server双层结构，不设中间层，借助Weblogic访问技术，可使客户端及管理控制台与数据库服务器快速交互传输。数据库服务器端是整个系统的数据中心，负责对系统中各种数据和信息的采集、分析、存储、备份及管理。系统管理员可通过管理控制台，对安装有客户端系统的整个网络范围内的计算机和用户进行集中监控与管理。利用网络安全监管平台及NSMS功能结构设计的子系统，分别负责分布式NSMS系统设计的相应主要功能，除此之外还包括：网络规划和计算机分配，采用基于MAC地址的地址绑定技术，将每台工作站的IP地址、计算机名、工作权限、网络参数设置等进行集中管理，并实现网络管理策略的自动分发和网络远程信息采集、监控和维护、VLAN规划、地址管理、远程监控、设置管理策略、分发管理策略等功能。

在电力企业信息NSMS功能实现中，应当注重企业网络信息安全监控管理体系的构建，并覆盖地区电网，实现由点到面的网络信息安全管控模式。以统一管理控制平台界面实现对系统运行状态的集中监控和管理，主要包括：安全设备、主机设备、网络设备、存储设备、备份设备、数据库管理、中间件、应用软件等，确保电力信息网络安全运行。同时，建立安全风险分析机制和安全知识库及专家系统，为电力网络安全提供决策支持，实现入侵检测防御、防火墙等安全技术的联动，可通过网络浏览器进行采集信息监测的异常数据，可利用JAVA语言实现网络安全监管平台及NSMS功能结构的集成。实现上一级的安全监视及综合管理平台可对下一级平台状况的监控和检查，下一级平台将管理范围内的网络安全信息定期以报表的形式向上一级平台自动汇报，公司内部可通过该平台网络进行网络安全信息的交流、协同、动态监控与管理等。

综上，本实施例采用现代系统工程的设计思想和统一威胁管理（UTM)新技术，构建一种新的适合地区电力企业信息的分布式NSMS，设计上要集成网络安全技术、网络软件工程技术、分布式数据库技术、网络安全管理技术和策略与机制，针对网络的不同层次结构，采取不同的网络安全措施，构建出多层次的网络安全机制，多层次、全方位地保障网络安全，统筹兼顾网络安全系统的规划、建设、应用和管理，在开发上需要充分考虑系统的实用性、安全性和可扩展性，便于新系统的管理、维护和扩展。

在系统分析设计的基础上，本实施例进一步深入探究基于先进的移动代理技术、数据挖掘及分析技术，集成安全事件的采集、检测、分析、防御、响应、审计等功能于一体，解决网络安全技术相互独立、交互协同差、安全事件响应慢、网络故障定位难、告警失误率高等问题，使IT及安全管理员脱离繁琐的管理工作，提高工作效率。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

显然，本领域的技术人员可以对发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包括这些改动和变型在内。

Claims (8)

1.一种分布式电力企业信息网络安全管理系统，其特征在于，包括：防火墙、网关、入侵防御系统IPS、安全评估系统、访问控制及隔离子系统、防病毒软件、身份认证子系统和备份子系统。

2.如权利要求1所述的分布式电力企业信息网络安全管理系统，其特征在于，包括：安全监控模块、安全预警模块、安全响应模块、安全运维模块和安全评估模块。

3.如权利要求2所述的分布式电力企业信息网络安全管理系统，其特征在于，所述安全监控模块包括：管理主页子模块、全网拓扑子模块、VPN监控子模块、设备监控子模块、事件告警子模块、实时报表子模块和安全态势子模块。

4.如权利要求2所述的分布式电力企业信息网络安全管理系统，其特征在于，所述安全预警模块包括：关联分析子模块、预警规则子模块、安全趋势子模块和威胁趋势子模块。

5.如权利要求2所述的分布式电力企业信息网络安全管理系统，其特征在于，所述安全响应模块包括：告警响应子模块、策略调整子模块、解决指导子模块、攻击朔源子模块和攻击拓扑子模块。

6.如权利要求2所述的分布式电力企业信息网络安全管理系统，其特征在于，所述安全运维模块包括：资产管理子模块、策略管理子模块、知识管理子模块、日志审计子模块、权限管理子模块、人员管理子模块、设备升级子模块和VPN组网子模块。

7.如权利要求2所述的分布式电力企业信息网络安全管理系统，其特征在于，所述安全评估模块包括单机分析子模块和态势分析子模块。

8.如权利要求1所述的分布式电力企业信息网络安全管理系统，其特征在于，包括管控设备层、管理中心层和控制台层，其中，

所述管控设备层管理的对象主要包括：在网络中的防火墙、VPN、IDS、IPS、UTM、路由器、交换机、服务器、计算机；

所述管理中心层分析、检测、防御、组织、处理网络中的安全事件、告警、日志、审计、设备运行信息，传递运行数据，并完成各管理功能的处理；

所述控制台层，供用户通过IE浏览器登录，远程连接访问所述管理中心层，并可进行设备监控、报警管理、事件分析检测审计等。

Images