電力監(jiān)控仿真系統(tǒng)堡壘機(jī)培訓(xùn)探討

導(dǎo)語：電力監(jiān)控仿真系統(tǒng)堡壘機(jī)培訓(xùn)探討一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

摘要：分析了自動(dòng)化運(yùn)維安全管控現(xiàn)狀，介紹了堡壘機(jī)的基本功能，并按相關(guān)要求在電力監(jiān)控仿真培訓(xùn)系統(tǒng)中部署了堡壘機(jī)，提出了堡壘機(jī)“一個(gè)目標(biāo)、三種角色”的培訓(xùn)方案，開發(fā)了堡壘機(jī)培訓(xùn)項(xiàng)目，以提高自動(dòng)化運(yùn)維安全管控水平。

關(guān)鍵詞：自動(dòng)化運(yùn)維；安全管控；堡壘機(jī)；培訓(xùn)

電力行業(yè)關(guān)系到國計(jì)民生，電力監(jiān)控系統(tǒng)的安全問題至關(guān)重要，如果維護(hù)人員違規(guī)操作導(dǎo)致信息安全事件，會(huì)造成難以挽回的損失和影響。堡壘機(jī)在特定的網(wǎng)絡(luò)環(huán)境中，通過不同方式進(jìn)行網(wǎng)絡(luò)活動(dòng)分析處理，確保網(wǎng)絡(luò)安全穩(wěn)定。堡壘機(jī)的安全穩(wěn)定運(yùn)行與企業(yè)數(shù)據(jù)安全有著直接聯(lián)系。堡壘機(jī)從最早的跳板機(jī)發(fā)展為目前的第三代堡壘機(jī)，可接管終端計(jì)算機(jī)對網(wǎng)絡(luò)和服務(wù)器的訪問，并可融合多種用戶使用要求，其支持的協(xié)議也逐漸增加，例如FTP協(xié)議、數(shù)據(jù)庫協(xié)議、Web應(yīng)用協(xié)議、網(wǎng)管協(xié)議等。目前電力運(yùn)維堡壘機(jī)的建設(shè)工作陸續(xù)開展，但現(xiàn)場工作人員對堡壘機(jī)功能和使用方法的了解有待加強(qiáng)。本文在調(diào)度自動(dòng)化仿真系統(tǒng)中部署堡壘機(jī)，并對學(xué)員開展堡壘機(jī)相關(guān)培訓(xùn)。堡壘機(jī)可在不改變業(yè)務(wù)系統(tǒng)原有架構(gòu)的情況下實(shí)現(xiàn)對內(nèi)部違規(guī)操作風(fēng)險(xiǎn)的有效控制，從而提升學(xué)員的職業(yè)素養(yǎng)，預(yù)防內(nèi)部信息安全事件的發(fā)生。

1自動(dòng)化運(yùn)維安全管控現(xiàn)狀

傳統(tǒng)運(yùn)維模式下，運(yùn)維人員主要通過KVM（Key?boardVideoMouse，簡稱KVM）或直連信息設(shè)備進(jìn)行變更、配置、備份與維護(hù)等操作，存在一定安全風(fēng)險(xiǎn)［1］。

1.1賬號及授權(quán)管理混亂

自動(dòng)化維護(hù)安全管控在現(xiàn)場操作中涉及到系統(tǒng)管理員、運(yùn)維人員、第三方廠商三類人。三類人員的賬號和權(quán)限應(yīng)不同，目前管控中賬號管理較混亂，存在多人共用和混用賬號現(xiàn)象。權(quán)限界定不清晰，存在一人擁有多個(gè)權(quán)限和多個(gè)賬號的情況。權(quán)限管理粗放，資源亂用現(xiàn)象時(shí)有發(fā)生。交換機(jī)、服務(wù)器、運(yùn)維工具、業(yè)務(wù)軟件等賬戶管理混亂，IP地址管理與分配依靠人工操作，安全性差，審計(jì)不嚴(yán)，取證困難，導(dǎo)致事后責(zé)任無法追溯到人，存在較大安全隱患。

1.2身份認(rèn)證缺失

隨著信息技術(shù)的發(fā)展，自動(dòng)化運(yùn)維復(fù)雜程度日益增加，進(jìn)行自動(dòng)化運(yùn)維的人員數(shù)量不斷增多，采用人工核對運(yùn)維人員身份信息的方法無法實(shí)現(xiàn)運(yùn)維人員身份的全過程認(rèn)證及實(shí)名管理［2-3］。

1.3運(yùn)維操作審計(jì)力度匱乏

僅依靠工作票等手段對運(yùn)維操作進(jìn)行事前審批，操作過程中沒有有效的監(jiān)控手段，出現(xiàn)安全事件無法進(jìn)行審計(jì)溯源。缺乏運(yùn)維審計(jì)、數(shù)據(jù)庫審計(jì)手段，不能及時(shí)記錄、分析、處理網(wǎng)絡(luò)管理員、系統(tǒng)管理員、運(yùn)維人員和開發(fā)人員的各種運(yùn)維操作行為，僅僅常態(tài)化分析審計(jì)信息無法掌握事件的發(fā)生和事件的具體細(xì)節(jié)，發(fā)現(xiàn)非法操作行為。

2堡壘機(jī)主要功能

為保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，堡壘機(jī)運(yùn)用各種技術(shù)手段監(jiān)控和記錄運(yùn)維人員對網(wǎng)絡(luò)內(nèi)服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫等設(shè)備的操作行為，以實(shí)現(xiàn)集中報(bào)警、及時(shí)處理及審計(jì)定責(zé)。因此，需開展運(yùn)維安全堡壘機(jī)建設(shè)，優(yōu)化運(yùn)維訪問網(wǎng)絡(luò)接入點(diǎn)，支持運(yùn)維安全全要素管控，實(shí)現(xiàn)運(yùn)維行為全過程記錄。堡壘機(jī)在不改變現(xiàn)有網(wǎng)絡(luò)環(huán)境和網(wǎng)絡(luò)拓?fù)涞那闆r下，接入核心交換機(jī)，物理上采用旁路，邏輯上采用串聯(lián)的模式，不改變管理員、運(yùn)維人員的操作習(xí)慣，不影響正常業(yè)務(wù)運(yùn)營，支持靜態(tài)路由，實(shí)現(xiàn)多網(wǎng)段管理目標(biāo)設(shè)備［4-6］。

2.1事前授權(quán)

堡壘機(jī)主要作用是解決運(yùn)維混亂的問題。堡壘機(jī)承擔(dān)運(yùn)維人員在運(yùn)維過程中的唯一入口作用，劃分所有用戶的權(quán)限，通過精細(xì)化授權(quán)，明確“哪些人以哪些身份訪問哪些設(shè)備”，從而使運(yùn)維變得有序。運(yùn)維人員通過運(yùn)維工作站登錄至堡壘機(jī)，借助堡壘機(jī)分配的網(wǎng)絡(luò)通道，可訪問運(yùn)維對象。在運(yùn)維過程中，堡壘機(jī)與運(yùn)維工作站之間建立了雙因子認(rèn)證通道，實(shí)現(xiàn)運(yùn)維人員的實(shí)名認(rèn)證及準(zhǔn)入控制。

2.2事中監(jiān)控

堡壘機(jī)可對主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的管理維護(hù)進(jìn)行操作審計(jì)，對策略配置、系統(tǒng)維護(hù)、內(nèi)部訪問等進(jìn)行記錄，并支持操作過程的全程回放；與運(yùn)維對象之間建立協(xié)議代理通道，實(shí)現(xiàn)細(xì)顆粒度授權(quán)、行為管控和操作記錄，并基于既定安全策略實(shí)現(xiàn)對高風(fēng)險(xiǎn)操作指令的二次審核、告警和阻斷功能；與網(wǎng)絡(luò)安全管理平臺之間建立數(shù)據(jù)集成通道，接收運(yùn)維任務(wù)文件，上傳安全告警、運(yùn)維記錄等信息。

2.3事后審計(jì)

安全審計(jì)是實(shí)現(xiàn)事后可恢復(fù)、可審計(jì)、可追溯的運(yùn)維管控審計(jì)防護(hù)目標(biāo)的重要組成部分。堡壘機(jī)遵循“4W（who、when、where、what）要素”原則審計(jì)運(yùn)維人員的操作全過程。采用錄像的形式記錄運(yùn)維人員從登錄到退出的全過程，即“誰在哪個(gè)時(shí)間登錄哪臺設(shè)備，做了哪些操作”。審計(jì)平臺可以進(jìn)行命令記錄、文字記錄、SQL記錄等，存放審計(jì)日志文件，并可對審計(jì)日志進(jìn)行全文檢索，輸出審計(jì)報(bào)表，符合等級保護(hù)的相關(guān)要求。堡壘機(jī)的應(yīng)用可及時(shí)發(fā)現(xiàn)和阻斷正在發(fā)生的異常訪問和危險(xiǎn)操作，對數(shù)據(jù)庫等操作進(jìn)行異常檢測，有效識別對數(shù)據(jù)庫的惡意訪問和操作并及時(shí)阻斷。

3堡壘機(jī)的部署與培訓(xùn)實(shí)施

某學(xué)院建設(shè)了智能電網(wǎng)調(diào)度技術(shù)支持系統(tǒng)數(shù)字物理混合仿真實(shí)訓(xùn)室，這是國內(nèi)首家以D5000系統(tǒng)為主體的綜合仿真培訓(xùn)平臺。實(shí)訓(xùn)室設(shè)備按照電力監(jiān)控網(wǎng)絡(luò)安全要求分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)又分為安全I(xiàn)區(qū)和安全I(xiàn)I區(qū)。

3.1堡壘機(jī)的部署

按照堡壘機(jī)的設(shè)計(jì)思路及部署原則分別將堡壘機(jī)部署于安全I(xiàn)區(qū)、安全I(xiàn)I區(qū)和管理信息大區(qū)，如圖1所示。考慮到現(xiàn)場多采用遠(yuǎn)程維護(hù)操作，遠(yuǎn)程操作通常通過RDP（RemoteDesktopProtocol，簡稱RDP）方式訪問各自業(yè)務(wù)應(yīng)用系統(tǒng)的服務(wù)器，這種操作方式存在重大的安全隱患。鑒于這方面的安全需求，堡壘機(jī)需以旁路的方式部署安裝到安全接入?yún)^(qū)，同時(shí)要改變邊界防火墻的“訪問控制”策略，使其具有唯一性。堡壘機(jī)本身IP地址和端口作為唯一可以從外到內(nèi)訪問的IP地址和端口，禁用其他任何IP地址和端口從外到內(nèi)的訪問。堡壘機(jī)是通過WEB界面登錄進(jìn)行管理的，按照上述方式部署安裝堡壘機(jī)，登錄堡壘機(jī)并進(jìn)行設(shè)置，按照業(yè)務(wù)類別添加不同的組別和用戶。用戶按照角色主要分為管理員、運(yùn)維用戶、審計(jì)員等。

3.2培訓(xùn)實(shí)施

培訓(xùn)項(xiàng)目開發(fā)后，在學(xué)員中開展堡壘機(jī)培訓(xùn)。培訓(xùn)采用任務(wù)引導(dǎo)式培訓(xùn)模式，進(jìn)行分組演練，每組設(shè)三種角色，完成一個(gè)目標(biāo)。1）一個(gè)目標(biāo)。自動(dòng)化運(yùn)維安全管控最終目的是保障電力監(jiān)控系統(tǒng)安全運(yùn)行，有效防御網(wǎng)絡(luò)攻擊，避免誤操作對電力監(jiān)控系統(tǒng)造成的影響。安全生產(chǎn)貫穿一切工作，學(xué)員牢固樹立安全責(zé)任意識，做安全行為的第一責(zé)任人。學(xué)員應(yīng)努力實(shí)現(xiàn)事前“不想、不敢、不能”，事后“可恢復(fù)、可審計(jì)、可追溯”的運(yùn)維管控審計(jì)防護(hù)目標(biāo)。2）三種角色。三種角色包括管理員、運(yùn)維人員和審計(jì)人員，每種角色具有不同的職責(zé)和權(quán)限，其關(guān)系如圖2所示。管理員對所有服務(wù)器、網(wǎng)絡(luò)設(shè)備賬號的集中管理具有最高權(quán)限。培訓(xùn)師擔(dān)任管理員角色，負(fù)責(zé)對學(xué)員進(jìn)行身份管理和權(quán)限分配，給每位學(xué)員創(chuàng)建唯一的自然賬號，配置所要管轄的設(shè)備資源，同時(shí)建立設(shè)備的資源賬號。根據(jù)業(yè)務(wù)需要，配置相應(yīng)的訪問控制策略，即每位學(xué)員以何種身份訪問哪些設(shè)備，建立人員與設(shè)備賬號的對應(yīng)關(guān)系。根據(jù)時(shí)間、登錄IP、目標(biāo)資源等進(jìn)行詳細(xì)授權(quán)，將學(xué)員進(jìn)行分組，一組為運(yùn)維人員，一組為審計(jì)人員，根據(jù)身份分配不同的IP地址和權(quán)限。整個(gè)過程可以進(jìn)行教學(xué)展示，采用訪問控制限定人員對資源設(shè)備的訪問。只有被賦予訪問權(quán)限的人員才可以對相應(yīng)資源進(jìn)行訪問，從而避免了未授權(quán)的訪問和越權(quán)訪問，保護(hù)了用戶資源和系統(tǒng)安全。運(yùn)維人員實(shí)名制認(rèn)證。優(yōu)化數(shù)字證書與生物特征識別技術(shù)，實(shí)現(xiàn)運(yùn)維人員實(shí)名制身份認(rèn)證，可準(zhǔn)確定位電力監(jiān)控系統(tǒng)運(yùn)維人員身份信息，有效解決通用賬號亂用、共享等問題。扮演運(yùn)維人員的學(xué)員只需記住一個(gè)賬號和口令，借助堡壘機(jī)分配的網(wǎng)絡(luò)通道，最終可訪問運(yùn)維對象。在運(yùn)維過程中，堡壘機(jī)與運(yùn)維工作站之間建立了雙因子認(rèn)證通道，實(shí)現(xiàn)運(yùn)維人員的實(shí)名認(rèn)證及準(zhǔn)入控制。學(xué)員10人作為一個(gè)小組，每人分配一個(gè)專屬賬號，登錄系統(tǒng)，具有繪制廠站接線圖和數(shù)據(jù)庫填寫操作權(quán)限。運(yùn)維人員可登錄堡壘機(jī)對業(yè)務(wù)應(yīng)用服務(wù)器進(jìn)行RDP維護(hù)和遠(yuǎn)程桌面操作。審計(jì)人員可以查看統(tǒng)計(jì)報(bào)表，進(jìn)行操作審計(jì)。擔(dān)任審計(jì)人員角色的學(xué)員登錄堡壘機(jī)后，可查看操作系統(tǒng)、服務(wù)器，記錄、分析、處理網(wǎng)絡(luò)管理員、系統(tǒng)管理員、運(yùn)維人員和開發(fā)人員的各種運(yùn)維操作行為，可查看審計(jì)事件的統(tǒng)計(jì)報(bào)表，同時(shí)還可查看終端用戶登錄服務(wù)器的錄像回放。全程實(shí)時(shí)監(jiān)控，可及時(shí)發(fā)現(xiàn)和阻斷正在發(fā)生的異常訪問和危險(xiǎn)操作。全過程錄像可實(shí)現(xiàn)運(yùn)維事后審計(jì)，并能進(jìn)行問題的追本溯源，直接定位問題根源所在，追溯到責(zé)任人。審計(jì)人員可對違規(guī)行為進(jìn)行事中控制、實(shí)時(shí)告警與阻斷。運(yùn)維堡壘機(jī)系統(tǒng)記錄、存儲運(yùn)維人員的所有操作行為的相關(guān)信息，并能進(jìn)行分析、回放和審計(jì)。例如，針對一起操作人員非法IP登錄服務(wù)器并篡改服務(wù)器數(shù)據(jù)事件，審計(jì)人員發(fā)現(xiàn)堡壘機(jī)發(fā)出報(bào)警，通過查看錄像回放，找出非法登錄的IP地址，鎖定操作人員。可見，通過讓學(xué)員進(jìn)行角色扮演，可使其更好地掌握堡壘機(jī)的功能，切實(shí)體會(huì)到事后審計(jì)的重要性。通過培訓(xùn)可幫助學(xué)員樹立運(yùn)維安全管控目標(biāo)、健全運(yùn)維安全責(zé)任體系、健全運(yùn)維過程管控機(jī)制、加強(qiáng)系統(tǒng)用戶權(quán)限管理、加強(qiáng)網(wǎng)絡(luò)邊界封閉管理、加強(qiáng)關(guān)鍵行為審計(jì)管理、規(guī)范運(yùn)維操作。

4結(jié)語

本文分析了自動(dòng)化運(yùn)維安全管控現(xiàn)狀，介紹了堡壘機(jī)的基本功能，并在電力監(jiān)控仿真培訓(xùn)系統(tǒng)中部署堡壘機(jī)，提出堡壘機(jī)“一個(gè)目標(biāo)、三種角色”的培訓(xùn)方案，實(shí)現(xiàn)堡壘機(jī)培訓(xùn)，有助于提高自動(dòng)化運(yùn)維人員安全意識，規(guī)范操作流程，提高自動(dòng)化運(yùn)維安全管控水平。

參考文獻(xiàn)

［1］韓榮杰，于曉誼.基于堡壘主機(jī)概念的運(yùn)維審計(jì)系統(tǒng)［J］.安全視窗，2012（1）：56-58.

［2］王棟，來風(fēng)剛，李靜.數(shù)據(jù)中心IT運(yùn)維審計(jì)體系研究［J］.電力信息化，2012，10（1）：20-23.

［3］郝永清.堡壘主機(jī)搭建全攻略與流行黑客攻擊技術(shù)深度分析［M］.北京：科學(xué)出版社，2010.

［4］戴瑩.淺談如何運(yùn)用堡壘機(jī)系統(tǒng)解決單位信息管理內(nèi)控風(fēng)險(xiǎn)［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2015（8）：53-54.

［5］陸茂蘭.淺談運(yùn)維堡壘機(jī)系統(tǒng)［J］.無線互聯(lián)科技，2014（6）：65.

［6］陳健鋒，李永寧，張勇.淺析運(yùn)維堡壘機(jī)的設(shè)計(jì)和應(yīng)用前景［J］.有線電視技術(shù)，2015（5）：81-84.

作者：王璐璐 王致君 單位：國家電網(wǎng)有限公司技術(shù)學(xué)院分公司 山東博康電力有限公司