等级保护2.0时代下的电力系统身份安全研究

◆杨 轶 宋延成 迟宏哲

等级保护2.0时代下的电力系统身份安全研究

◆杨 轶1宋延成2迟宏哲2

（1.中电投东北新能源发展有限公司 辽宁 110181；2.国家电投东北电力有限公司 辽宁 110181）

在信息化建设过程中，网络防护、数据保护、黑客入侵防范等建设往往被更多关注，而“身份与访问控制”被选择性忽略，从而形成信息安全短板。本文基于信息安全技术网络安全等级保护基本要求，分析了网络安全等级保护发展历程、等保2.0的特点、面向电力系统网络身份安全面临的挑战，提出了针对电力系统身份安全的等保措施，建立应用的攻防对抗机制，多层次多角度减少内部误操作，遏制外部攻击。

网络防护；等保2.0；身份安全；攻防对抗

随着电网互联的进一步发展，要求各地市供电公司和相关单位具有一个稳定可靠的网络平台来保证电力企业的安全运行，但各地市供电公司以及相关单位的局域网和城域网安全防护手段单一，缺乏对安全威胁态势的动态感知和提前预警。随着电力部门对外开放的接口不断增加，进行双网隔离后仍旧无法抵御各种持续变化和升级的攻击手段。相对部署逻辑强隔离的专网，电力系统的外网安全更是岌岌可危。而公司需要通过安全等级较低的外网进行比如财务报税，员工收发邮件、移动终端接入等必要行为，这将存在很大的安全隐患及潜在脆弱性，成为整个电力系统网络的信息安全洼地，被恶意攻击所利用，成为安全防御体系的突破口，从而造成巨大的经济损失。

据Imperva调查发现：有73%的企业员工表示，他们可以很轻松访问到内部敏感数据，Gartner的报告显示，全球网络安全支出2019年将超1240亿美元人，而Facebook安全事件造成用户身份泄露，被罚款50亿美元。身份安全验证是保证信息不被泄露的基本保障，如何保证身份安全是面向电力系统网络安全的首要前提。

2019年5月10日，《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》（以下称等保2.0）正式发布，将于2019年12月1日正式实施。等保2.0的发布，是对除传统信息系统之外的新型网络系统安全防护能力提升的有效补充，是贯彻落实《中华人民共和国网络安全法》、实现国家网络安全战略目标的基础。等保2.0较之前的旧标准有突破性的进展，尤其在移动互联、云计算、物联网等新的业务环境均提供了安全建设标准和指导，也为电力系统网络安全建设，特别是身份安全研究指明了方向。

1 网络安全等级保护发展历程

1994年，国务院147号令第一次提出“计算机信息系统实行安全等级保护”概念；

2007年，《信息安全等级保护管理办法》发布信息安全等级保护制度正式实施，进入等保1.0时代；

2008年，GB/T 22239-2008 《信息安全技术信息系统安全等级保护基本要求》国家标准发布实施；

2017年《网络安全法》第二十一条规定国家实行网络安全等级保护制度，标志着等级保护制度的法律地位；

2019年5月13日，GB/T22239-2019《信息安全技术网络安全等级保护基本要求》国家标准正式颁布，标志着“等保2.0”时代正式到来。

2 等保2.0的特点

网络安全等级保护2.0新标准具有以下三个特点：

（1）在等保的基本要求方面、测评要求方面和安全设计技术要求方面框架统一，也就是说，安全管理中心具有三重防护结构框架；

（2）等保2.0不但体现通用安全要求，同时也考虑新型应用安全扩展要求，将包括云计算、移动互联、物联网、工业控制系统等列入标准规范；

（3）将可信计算及验证列入各级别和各环节主要功能要求。

作为等保2.0的性特点，可信计算的基本思想是，首先在计算机系统中构建一个信任根，信任根的可信性由物理安全、技术安全和管理安全共同确保；再建立一条信任链，从信任根开始到软硬件平台、到操作系统、再到应用，一级度量认证一级、一级信任一级，把这种信任扩展到整个计算机系统，从而确保整个计算机系统的可信。可信计算为身份安全提供了保证和支撑。相比等保1.0，等保2.0增加了可信计算的相关要求。可信计算贯穿等保2.0从一级到四级整个标准，在安全通信网络、安全区域边界与安全计算环境中均有明确要求。

3 身份安全面临的挑战

（1）缺乏身份标准规范

主要表现为缺乏权威身份数据的确认，缺乏身份认证的统一标准，各系统创建账号缺乏统一规范等。

（2）缺乏管控流程

主要举措应包括人员的录转调离的管控，权限最小化管控流程，对外部人员的管理，对应用上线管控等。

（3）缺乏技术保障

主要表现为没有完整的自助服务，依赖员工自觉遵守，需要记忆各种账号密码，缺乏统一的登录入口等。

（4）身份混乱

主要表现为应用系统多，每个系统都建立不同的账号，难以识别；内外部用户多，包含集成商、供应商等；关键资源特权账号root，dba管控混乱等。

（5）账号和权限混乱

主要表现为IT不知道员工需要哪些权限，无法对人员全生命周期进行合理管理，员工离职，容易造成漏删账号，形成安全隐患。

（6）标准形同虚设

主要表现为将过于复杂密码写在文档或便签上，轻松绕过标准（如堡垒机），出借账号给其他人员，轻易被钓鱼等。

4 面向电力系统的等保措施

（1）身份鉴别

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听，应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

（2）可信验证

可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

（3）访问控制

应对登录的用户分配账户和权限；应重命名或删除默认账户，修改默认账户的默认口令；应及时删除或停用多余的、过期的账户，避免共享账户的存在；应授予管理用户所需的最小权限，实现管理用户的权限分离；应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问；访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

（4）安全审计

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；应对审计进程进行保护，防止未经授权的中断。

（5）数据保密性

采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

（6）数据完整性

应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

（7）个人信息保护

应仅采集和保存业务必需的用户个人信息；应禁止未授权访问和非法使用用户个人信息。

5 结束语

等保2.0更加普适性，覆盖行业范围更广，技术领域更加全面，保护业务与数据安全为核心，要求身份可信与业务边界安全。等级保护2.0提供了企业网络安全战略规划目标，配套网络安全法，将对企业管理者提供方向上的指引。本文基于等保2.0规范，回顾了网络安全等级保护发展历程、等保2.0的特点、重点分析了面向电力系统网络身份安全面临的挑战，开展了电力系统身份安全等保措施研究，以期为电力系统的网络安全建设提供理论支撑和技术支持。

[1]CNCERT.2014年我国互联网网络安全态势报告.2015，4.

[2] GB/T 22239.3，信息安全技术网络安全等级保护基本要求[S].

[3]全国信息安全标准化技术委员会. GB/T 22239-2008信息系统安全等级保护基本要求[S].中国标准出版社，2008..

[4]沈昌祥．我国信息安全等级保护制度的创新与发展[J].网络空间安全，2016，7（11/12）：5-6.

[5]胡建康，徐霞,等.基于决策树的Webshell检测方法[J].网络新媒体技术，2012，12，第I卷第6期.

[6]傅钰．网络安全等级保护2.0下的安全体系建设[J].网络安全技术与应用，2018，18（8）：16-19.

[7]陈广勇，祝国邦，范春玲.《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）标准解读[J].信息网络安全，2019（07）：1-7.

[8]贾觐.信息安全等级保护制度在计算机网络搭建中的应用[J].信息与电脑（理论版），2019（12）：203-204.

[9]宫平.信息安全等级保护测评中网络安全现场测评方法研究[J].网络安全技术与应用，2019（05）：17-18.

[10]魏兴民，贺江敏.信息安全等级保护技术之强制访问控制技术探讨[J].电子世界，2019（08）：148-150.

[11]余入丽，马先平，杨雅.通过信息安全等级保护提升信息系统管理水平[J].信息与电脑（理论版），2019（07）：196-197.