應 用 摘 要 　　電力局電力調(diào)度通信中心計算機網(wǎng)絡系統(tǒng)是一個覆蓋整個電力局電力調(diào)度通信中心及其下級調(diào)度中心的局域網(wǎng)，是電力局系統(tǒng)網(wǎng)絡的一個重要的子系統(tǒng)，同時它與EMS相連接。這個系統(tǒng)的建立和應用，對于電力局電力調(diào)度通信中心的現(xiàn)代化建設起到十分重要的作用。電力局電力調(diào)度通信中心計算機網(wǎng)絡系統(tǒng)的應用應該主要包括兩個方面：其一是處理電力局業(yè)務信息（電力調(diào)度信息），其二是辦公自動化。無論是哪一種應用都會涉及到一些敏感或涉密信息，所以，采取相應的技術(shù)措施加強信息系統(tǒng)的安全保密是一項十分重要的工作。 　　應 用 領(lǐng) 域 　　能源 　　方 案 內(nèi) 容 　　方案背景： 　　電力局電力調(diào)度通信中心計算機網(wǎng)絡系統(tǒng)總體上是一個星型結(jié)構(gòu)的網(wǎng)絡，從管理的分工上可以分為三個層次： 　　第一層次：電力局電力調(diào)度通信中心局域網(wǎng)，該局域網(wǎng)是省局網(wǎng)絡的心臟部分。 　　第二層：與電力局電力調(diào)度通信中心網(wǎng)絡相連的電力下級網(wǎng)。 　　第三層：與Internet連接的對外服務器網(wǎng)絡。 　　主要應用包含： 　　 基于數(shù)據(jù)交換的業(yè)務應用 　　 辦公自動化 　　 郵件服務 　　 Web服務 　　 Internet 　　原拓撲如下圖所示： 解決方案： 　　網(wǎng)絡風險分析及安全方案設計： 　　風險分析的一個步驟是判定需要保護的所有資源，特別是受安全問題影響的資源。這些資源包括：主機、工作站、各種網(wǎng)絡設備等硬件;源程序、應用程序、操作系統(tǒng)等軟件;在線存儲、傳輸、及備份數(shù)據(jù);等等。 　　XX電力局電力調(diào)度通信中心計算機網(wǎng)絡系統(tǒng)是一個混合網(wǎng)絡，包含了上述幾乎所有的網(wǎng)絡資源，系統(tǒng)較為復雜，目前尚未建立系統(tǒng)的安全防護體制，存在著明顯的安全威脅。 　　1） 全網(wǎng)易受入侵。首先，網(wǎng)絡各個部分沒有按照其應用的安全要求不同劃分為不同的安全域;同時，整個網(wǎng)絡通過基本簡單靜態(tài)的通行字進行身份鑒別（可能），一旦身份鑒別通過，用戶即可訪問整個網(wǎng)絡。侵襲者可以通過三種方式很容易地獲取通行字：一是內(nèi)部的管理人員因安全管理不當而造成泄密;二是通過在公用網(wǎng)上搭線竊取通行字;三是通過假冒，植入嗅探程序，截獲通行字。侵襲者一旦掌握了通行字，即可在任何地方通過網(wǎng)絡訪問全網(wǎng)，并可能造成不可估量的損失。而且由于不可控制的接入點比較多，導致全網(wǎng)受攻擊點明顯增多。 　　2） 與Internet的直接連接，如不采取有效的訪問控制措施，面臨著來自Internet網(wǎng)絡的安全威脅。 　　3） 系統(tǒng)保密性差。由于覆蓋全市的網(wǎng)絡系統(tǒng)大多是通過公用網(wǎng)絡連接，全部線路上的信息多以明文的方式傳送，其中包括登錄通行字和一些敏感信息（甚至是涉密信息，如電力調(diào)度信息），可能被侵襲者截獲、竊取和篡改，造成泄密。 　　4） 易受欺騙性。由于網(wǎng)絡主要采用的是TCP/IP協(xié)議，不法分子就可能獲取IP地址，在合法用戶關(guān)機時，冒充該合法用戶，從而竄入網(wǎng)絡服務或應用系統(tǒng)，竊取甚至篡改有關(guān)信息，乃至會破壞整個網(wǎng)絡。 　　5） 數(shù)據(jù)易損。由于目前尚無安全的數(shù)據(jù)庫及個人終端安全保護措施，還不能抵御來自網(wǎng)絡上的各種對數(shù)據(jù)庫及個人終端的攻擊;同時一旦不法分子針對網(wǎng)上傳輸數(shù)據(jù)作出偽造、刪除、竊取、竄改等攻擊，都將造成十分嚴重的影響和損失。 　　6） 缺乏對全網(wǎng)的安全控制與管理。當網(wǎng)絡出現(xiàn)攻擊行為或網(wǎng)絡受到其它一些安全威脅時（如內(nèi)部人員的違規(guī)操作等），無法進行實時的檢測、監(jiān)控、報告與預警。同時，當事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索及破案依據(jù)，即缺乏對網(wǎng)絡的可控性與可審查性。 　　7） 缺乏防范泄密行為的安全措施。XX電力局電力調(diào)度通信中心計算機網(wǎng)絡系統(tǒng)目前應該有一些涉密信息，如果這些信息由內(nèi)部工作人員有意或無意通過網(wǎng)絡傳播或擴散出去，可能造成十分嚴重的影響和損失。 　　了解了攻擊手段和安全隱患之后，國恒聯(lián)合科技結(jié)合現(xiàn)有的網(wǎng)絡技術(shù)，設計了如下圖所示的動態(tài)安全防護體系。通過這樣的設計可以盡可能地阻止來著外部的攻擊、監(jiān)控和管理內(nèi)部的訪問，盡量杜絕現(xiàn)存的安全隱患。 　　技 術(shù) 路 線 　　系統(tǒng)架構(gòu)網(wǎng)絡拓撲圖： 　　整個方案設計分為以下幾部分： 　　1、 根據(jù)對電力局電力調(diào)度通信中心的網(wǎng)絡需求分析，建議對其網(wǎng)絡拓撲做適當調(diào)整，主要是根據(jù)安全需求和安全等級的不同劃分不同的安全域，同時添加適當?shù)陌踩a(chǎn)品。 　　具體調(diào)整如下： 　　1） 以省電力調(diào)度通信中心計算機網(wǎng)絡為中心，將與其連接的Internet、電力信息上級網(wǎng)等定義為外網(wǎng)。將省電力調(diào)度通信中心計算機局域網(wǎng)定義為內(nèi)網(wǎng)。 　　2） 由于存在對外提供服務的對外服務器，而這些服務器同時提供對內(nèi)和對外的訪問服務，在安全等級劃分中，他們的安全等級高于外網(wǎng)而低于內(nèi)網(wǎng)，并且存在較多的安全隱患，故應將其單獨劃分成一個安全域——DMZ區(qū)，即?；饏^(qū)。 　　3） 由于省電力調(diào)度通信中心局域網(wǎng)中有一部分機器與核心業(yè)務網(wǎng)EMS之間有信息交互，建議將這一部分機器單獨劃分出來，組成單獨的調(diào)度MIS。從安全性角度和易管理性方面考慮，可以選擇部分機器專職完成調(diào)度MIS工作。 　　4） 核心業(yè)務系統(tǒng)EMS是重中之重，是整個網(wǎng)絡中安全等級最高的區(qū)域，應在不改變其結(jié)構(gòu)的條件下，做重點防護。 　　5） 對于省局網(wǎng)和電力信息下級網(wǎng)，從狹義的角度上講，也可將其視為外網(wǎng)的一部分，在此，我們主要考慮它們與調(diào)度中心之間的安全隔離，以及它們相互之間不要通過調(diào)度通信中心的連接，把安全隱患帶到彼此的網(wǎng)絡。 　　總的來講，可將整個網(wǎng)絡劃分成EMS、調(diào)度MIS、公共MIS、對外服務器網(wǎng)絡（DMZ區(qū)）、省局網(wǎng)、電力信息下級網(wǎng)、電力信息上級網(wǎng)、Internet等八個部分，它們的安全等級各不相同，應采用相應的安全設備將其劃分成不同的安全域。 　　2、 對于電力局電力調(diào)度通信中心局域網(wǎng)安全保護的基本措施，是采用防火墻進行訪問控制。關(guān)于這一措施應該從兩個層次進行考慮，即對于局域網(wǎng)與外部網(wǎng)之間的訪問控制和內(nèi)部網(wǎng)中各個安全域之間的訪問控制。 　　1） 省電力調(diào)度中心局域網(wǎng)與電力信息上級網(wǎng)、Internet之間的訪問控制 　　在路由器后面安裝防火墻（速通防火墻 1）來實現(xiàn)對省電力調(diào)度中心局域網(wǎng)的安全保護，利用防火墻的過濾功能來實現(xiàn)它與電力上級網(wǎng)、Internet之間相互訪問控制。 　　2） 省電力調(diào)度中心局域網(wǎng)與省局網(wǎng)、電力下級網(wǎng)之間的訪問控制 　　在路由器后面安裝防火墻（速通防火墻 2）來實現(xiàn)對省電力調(diào)度中心局域網(wǎng)的安全保護，利用防火墻的過濾功能來實現(xiàn)它與省局網(wǎng)、電力下級網(wǎng)之間相互訪問控制。同時速通防火墻自帶的認證功能，可以實現(xiàn)內(nèi)部用戶認證，同時可以結(jié)合用戶原有的域用戶認證或者radius認證，實現(xiàn)用戶級的訪問控制。 　　3）EMS與省電力調(diào)度中心局域網(wǎng)之間的訪問控制 　　在EMS與省電力調(diào)度中心局域網(wǎng)之間安裝防火墻（速通防火墻 3）來實現(xiàn)對EMS的安全保護，利用防火墻的過濾功能來實現(xiàn)EMS與省電力調(diào)度中心局域網(wǎng)之間相互訪問控制，防止將省電力調(diào)度中心局域網(wǎng)的安全問題帶到EMS中，實現(xiàn)對EMS的重點防護。在這里，可利用防火墻的多端口結(jié)構(gòu)，將調(diào)度MIS和公共MIS分開。 　　3、 入侵檢測和病毒防護。速通防火墻自帶的入侵檢測功能采用了基于模式匹配的入侵檢測系統(tǒng)，超越了傳統(tǒng)防火墻中的基于統(tǒng)計異常的入侵檢測功能，實現(xiàn)了可擴展的攻擊檢測庫，真正實現(xiàn)了抵御目前已知的各種攻擊方法，并通過升級入侵檢測庫的方法，不斷抵御新的攻擊方法。速通防火墻的入侵檢測模塊，可以自動檢測網(wǎng)絡數(shù)據(jù)流中潛在的入侵、攻擊和濫用方式，并防火墻模塊實現(xiàn)聯(lián)動，自動調(diào)整控制規(guī)則，為整個網(wǎng)絡提供動態(tài)的網(wǎng)絡保護。速通防火墻入侵檢測模塊中包含了對網(wǎng)絡上傳輸病毒和蠕蟲的檢測，可以在計算機病毒和蠕蟲傳輸?shù)剿拗鳈C之前檢測出來，在網(wǎng)關(guān)上防止網(wǎng)絡病毒的傳播，防患于未然。真正實現(xiàn)了少花錢多辦事的效果。對于網(wǎng)絡內(nèi)部的病毒防護建議使用網(wǎng)絡防病毒軟件進行整體防護。 　　4、 數(shù)據(jù)備份與恢復技術(shù)：利用備份系統(tǒng)可以快速地全盤恢復運行計算機系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。根據(jù)系統(tǒng)安全需求可選擇的備份機制有：場點內(nèi)高速度、大容量的自動數(shù)據(jù)存儲、備份與恢復;場點外的數(shù)據(jù)存儲、備份與恢復;對系統(tǒng)設備的備份。備份不僅在網(wǎng)絡系統(tǒng)硬件故障或人為失誤時起到保護作用，也在入侵者非授權(quán)訪問或?qū)W(wǎng)絡攻擊及破壞數(shù)據(jù)完整性時起到保護作用，同時亦是系統(tǒng)災難恢復的前提之一。 　　5、 建成之后的計算機信息網(wǎng)絡系統(tǒng)將是一個比較復雜的系統(tǒng)，因此需要對網(wǎng)絡活動進行有效控制和管理。網(wǎng)絡管理員可隨時監(jiān)測系統(tǒng)中的所有網(wǎng)絡設備運行狀況，能夠在不改變系統(tǒng)運行的情況下對網(wǎng)絡進行調(diào)整;也不管網(wǎng)絡設備的物理位置在何處，都能對網(wǎng)絡進行管理與維護。網(wǎng)絡管理應具有一體化管理措施和方法，能對網(wǎng)絡設備進行遠程管理和維護，能合理配置和調(diào)整網(wǎng)絡資源，能提供用戶訪問權(quán)管理、網(wǎng)絡性能管理以及故障管理，能準確報告與故障有關(guān)的事件，并能監(jiān)視網(wǎng)絡狀態(tài)與控制網(wǎng)絡運行。 　　本方案的特點在于：根據(jù)電力調(diào)度中心的實際需要，充分結(jié)合了各種網(wǎng)絡安全產(chǎn)品和管理軟件，實現(xiàn)了各系統(tǒng)的協(xié)同工作。