电力系统信息安全漏洞运维管理的研究

娄一艇++严钰君++叶明达++戚浩金

摘 要：漏洞管理流程的响应速度，能否抢在攻击者利用之前完成修补，是一个重要的衡量标准。基于电力行业系统的特性，论文实现了电力系统信息安全漏洞的运维管理，通过安全漏洞原理分析、漏洞误报分析、漏洞风险分析（是否能被利用）、切实有效的加固方法，形成安全漏洞闭环式管理。这种管理方式，改变了传统的漏洞扫描、报告、修复、审核流程，通过引入漏洞情报和对资产的预先梳理和持续监控，把漏洞管理流程向外扩展了漏洞分析环节的漏洞修复建议、漏洞修复环节的修复方案，以及对整个管理过程的评估、对比和优化。

关键词：漏洞；闭环式管理

Abstract： The speed of response of a vulnerability management process， whether it can be stolen before the attacker can use it， is an important measure. On the basis of the characteristics of electric power industry system， this paper implements the operations management of electric power system information security vulnerabilities， by principle analysisof security vulnerability、vulnerabilitymis-report analysis、vulnerability risk analysis （whether they can be used）、the effective reinforcement method to form a closed-loop type management of security holes. Change the traditional vulnerability scanning， report， repair， and audit process， by introducing vulnerabilities intelligence and advance for assets and continuous monitoring， expanding the vulnerability management process to vulnerability repair adviceof vulnerability analysis link and repair planof bug fix link， as well as to the evaluation、comparison and optimization of the whole process of management.

Key words： vulnerability； closed-loop type management

1 引言

随着国家、上级监管部门对安全要求的日益严格和信息安全行业整体的技术发展，同时因业务需求发展壮大以及互联网资产暴露面随之不断扩大，信息安全风险与日俱增，安全管理及运维工作风险与挑战并存。

近十年来互联网大发展，电力公司的应用越来越多、安全域不断调整、设备数量种类不断增加、业务逻辑越来越复杂。与此同时安全漏洞也多有发生，随时威胁着系统、数据、业务的安全，安全漏洞的研究与管理势在必行。众所周知，信息安全领域涵盖IT行业多个细分领域，对信息安全运维、管理工作者有着较高的技术、管理要求。因此本文主要探讨安全漏洞的管理与如何提升安全管理效率，降低安全管理門槛。

2 安全漏洞的产生

安全漏洞的产生总的来说由于逻辑错误、安全策略等造成硬件（主板、CPU），软件（Oracle、Java、PHP、OpenSSL等）、协议存在缺陷，非法访问者或攻击者可以在未经授权的情况下越权访问系统[2]。例如逻辑错误导致的安全漏洞：业务系统中经常发现的万能密码，由于开发者在登录查询中SQL语句逻辑编写不严谨，导致SQL注入漏洞，从而非法访问者可通过任意密码进行登录系统。安全策略不严谨导致的安全漏洞：最容易安全加固但也是信息安全中危害最大之一的弱口令问题，就是由于密码安全策略安全级别配置不够导致。

3 安全漏洞的发现

在日常运维工作中，发现安全漏洞的主要途径有两种。

3.1 通过安全产品进行漏洞扫描

目前主流的漏洞扫描产品扫描范围基本覆盖主机设备，如网络层（交换机、路由器、防火墙等），主机（Windows、Unix、Linux等），数据库（Oracle、DB2、Mysql、SQL Server等），中间件（WebLogic、JBoss、Apache、IIS等）等。漏洞扫描原理大致分为两类：第一类通过远程识别目标主机中服务的软件版本、类型，然后根据版本从漏洞库中搜索出相对应的版本漏洞，称之为版本扫描；第二类通过远程识别目标主机中服务的软件版本、类型，然后模拟黑客对服务漏洞的利用过程，称之为原理扫描[1]。

3.2 人工渗透测试

通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。渗透测试对人员的技术水平和经验要求很高，但是往往能发现系统架构层面和逻辑层面的漏洞，这些漏洞一般是工具无法直接扫描出来的，但是对系统的危害性又非常大。所以，渗透测试是漏洞发掘工作重要一项内容[1]。

总之，这两种途径对检查信息系统漏洞都是至关重要的，工具扫描可以快速、大范围地检查漏洞，渗透测试可以重点、深入地发现漏洞，二者互为补充，成为目前发现漏洞的不可缺少环节。endprint

4 安全漏洞管理策略

安全漏洞管理离不开实际生产环境，根据等级保护、行业等相关要求，从电力公司实际安全性考虑，业务系统进行了分级分域管理，那么对于安全漏洞的管理也需要充分考虑安全漏洞归属资产的实际业务环境[3]。再者需要结合安全漏洞管理本身的性质，例如是否属于软件版本漏洞，还是属于原理扫描发现的安全漏洞。

4.1 漏洞管理的基本思路

4.1.1 确定资产安全等级

根据“安全风险模型”对网管中心业务系统相关资产进行安全定级。影响定级的因素主要包含资产重要性（承载的业务及数据重要性）；面临安全风险大小（是否允许外网访问，存在外部攻击风险）两个方面。

4.1.2 定漏洞整改优先级

根据资产重要性、漏洞风险值、漏洞易利用程度等方面对漏洞整改优先级进行确定。

4.1.3 分步治理长期运营

确立漏洞修复计划，优先对安全等级高的业务系统资产中整改优先级高的漏洞进行整改加固；针对不同安全等级资产设定不同的安全漏洞复查周期。

根据以上的思路结合电力行业的特性，总结出三点漏洞管理的策略。

4.2 分级分域管理策略

分级分域管理主要针对不同安全域的资产划分资产重要性，设置资产权重，目的就是为了对资产权重高的资产做重点管理[4]。例如电力公司划分了DMZ区、办公区、核心系统区。DMZ区的资产主要为了提供互联网服务，那么这部分资产面临的威胁主要来自于互联网的攻击，虽然DMZ区部署有各类安全设备但从保护业务安全性的角度考虑，一旦被非法攻击直接影响业务生产，因此DMZ区的资产权重应该为最高。

核心系统区安全策略复杂，且严格控制其他安全域的访问控制，因此核心系统区的资产权重相对较低。办公区的多数为个人使用终端各类敏感数据较多，一旦被非法攻击影响较大，因此办公区的权重介于DMZ与核心系统区之间。假设权重分为1～5分，那么DMZ的权重分为5，办公区的权重为4，核心系统区的权重为3。通俗来说，权重的划分主要依据相关安全域资产一旦被非法攻击之后的影响程度。如图1所示。

4.3 根据安全漏洞性质管理策略

对于具体漏洞的管理可分为两个维度综合来管理，一是漏洞的可利用情况，二是漏洞类型（版本漏洞还是逻辑漏洞）。可用性验证需要通过手工或者第三方工具来验证漏洞是否真实可以利用。版本验证可通过漏洞扫描报告中对目标资产的探测信息进行分析，分析是否利用端口探测发现的安全漏洞，还是通过软件版本探测发现的安全漏洞。

验证完漏洞的性质就需要对漏洞在安全加固中处于个什么样的级别进行划分。例如可利用的原理扫描漏洞，这类漏洞属于风险级别较高的漏洞，在安全加固过程中需要优先进行加固。例如不可利用的版本扫描，这类漏洞风险级别较低，在安全加固过程中可酌情加固或者无需加固。

具体事例：弱口令漏洞属于可利用原理扫描的安全漏洞，在加固过程汇总就需要优先加固。Oracle版本漏洞在系统中经常被发现，但是综合考虑Oracle的域环境和在加固过程中带来的加固风险，可能影响正常业务运行，因此类似Oracle的这类漏洞无需加固，可通过访问控制策略进行访问限制。

漏洞的性质管理需要在日常安全运维过程中，做大量的漏洞样本测试，为了提升漏洞管理效率，还需要形成公司自身的安全加固经验库。一旦系统中再出相同的安全漏洞，便可在加固经验库中搜索结果、引用结果。同时对于安全漏洞的验证、管理专业性要求较高，因此经验的累计必不可少。如图2所示。

4.3 漏洞生命周期管理策略

通过漏洞的具体环境及漏洞性质管理策略，基本上可以把90%以上的安全漏洞进行分类划分，如何针对漏洞的生命周期管理，就需要在日常安全运维过程中对漏洞扫描报告、渗漏测试报告进行统一管理，统一分析。同时，形成单一资产、单一漏洞的历史记录，通过历史记录和直观反应出漏洞大致出现日期，再可通过安全漏洞管理策略分析出漏洞形成的原因，这时可以引用历史加固策略对单一漏洞进行有效的处理[4]。

5 结束语

安全漏洞的验证、管理、加固是系统基础安全防御的重要组成部分，但由于其专业性导致日常运维部门面对安全漏洞时束手复查。同时安全漏洞管理需要结合具体的业务生产环境，因此日常运维过程中需要付出大量的加固论证及可行性验证。一句话来说，安全漏洞管理是以技术为依托，不断地累计漏洞处理经验的过程，最终形成完善的漏洞管理体系。

参考文献

[1] 吴世忠，刘晖，郭涛，易锦，著.信息安全漏洞分析基础[M].北京：科学出版社，2013.

[2] 王雨晨.系统漏洞原理与常见攻击方法[D].华北计算技术研究所.

[3] http：//www.cnki.com.cn/Article/CJFDTotal-TXSJ201623003.htm.

[4] （美）Park Foreman著.吴世忠，郭涛，董国伟，張普含，译.漏洞管理[M].北京：机械工业出版社，2013.endprint