李国桐
（内蒙古电力（集团）有限责任公司包头供电局 内蒙包头 014060）
摘要：电力企业希望通过部署终端管理产品，有效解决非法终端接入内网并对安全生产造成破坏的风险。电网公司希望选择一个既能紧密结合电网公司网络规模大、使用部门多和应用系统复杂的特点，有效防止不符合规定的终端接入内网和访问资源的限制，同时，又能清晰划分电网公司的网络边界，并能顺应不断变化的信息安全发展新趋势的终端管理产品，来有效解决终端接入对内网造成破坏的风险。
关键词：终端准入控制系统；电力调度；应用
由于存在系统崩溃、网络瘫痪、数据丢失等潜在安全隐患，故网络信息安全问题目前已成为省市级电力公司普遍关注的问题，但由于电力设备终端种类繁多，数量巨大，因此，对其接入网络的管控及接入后的防护问题一直未得到有效解决。
一、电力终端准入控制系统现状
伴随着电力公司数字化、信息化、智能化建设的推进，行业内涉及到的网络业务愈加频繁，存在的网络安全隐患也愈发严重。目前，针对病毒的防御体系还是以孤立的单点防御为主，不能有效应对潜在威胁，其当前现状可归纳为：①主动抵抗能力差，无法有效监控各终端安全状态，缺乏有效隔离手段；②控制病毒交叉感染能力差，易造成整个网络始终处于被感染、被攻击状态；③安全策略不统一，缺乏全局防御能力，无法有效地从网络接入点进行安全防范；④内部网络终端缺乏网络身份认证和准入机制，没有进行网络域的集中管理模式和相关的策略性定义；⑤终端安全管理措施不足，无法确定终端安全等级，无法及时发现、追踪和审计网络内部安全问题。在汇总并分析以上现状的基础上，将电力调度内网的安全加固与准入控制系统设计视为当务之急，并对安全控制策略提出以下实现功能：①电力调度内网的安全加固策略应具有严格的身份验证机制，绑定接入终端的MA C 地址、I P 地址、所在V L A N、S S ID、接入设备端口号等信息；②可区分用户身份，对外来接入用户提供临时接入和定时回收权限功能；③具有统一监控各服务器和各终端的病毒库版本、系统补丁、应用软件等配置信息；④具有基于角色的网络授权功能，规范用户网络行为；⑤可针对不同等级的用户制定灵活可变的终端准入控制策略。
二、终端准入控制系统在电力调度中的应用
1.网络准入控制系统功能。
作为终端安全管理整体解决方案，供电企业已经部署了桌面安全管理系统，但无有效地技术手段控制客户端的准入。因此终端安全准入控制系统建设重要性突显出来，与桌面管理系统同时作为整体方案的两块重要部分，二者缺一不可。一个完整的网络准入控制系统，在终端设备接入时，需提供以下５步检查和控制流程，缺少其中一个方面的内容，就不是完善的准入解决方案，都无法达到完整的安全风险控制、预防和响应要求，会给准入控制系统的部署和推广使用带来问题。第１步，注册登记：内部终端要访问网络资源之前，需要在网络上注册登记（用户账户登记、终端ID注册等），取得接入网络的权限。第２步，接入检查：终端在接入网络时，准入控制系统会检查其用户账户、安全设置状态、终端硬件合法性等。第３步，安全隔离：如果在接入检查时，发现终端不符合安全规定，需要对终端进行隔离或拒绝其访问网络资源，例如：发现是外来终端则拒绝接入或进入“访客区”网段，或者是内部不符合安全规定的终端，则让其进入“修复区”。第４步，安全通知：对被隔离的终端进行通知，告知其被隔离的原因，在访问网页资源时也会有相应的安全通知告示。第５步，安全修复：自动引导被隔离的终端，让其修复安全设置或者进行注册登记，使得其可以正常访问网络资源。
2.安全联动设备管理模块设计。
期刊文章分类查询,尽在期刊图书馆
在该终端准入控制系统中，其安全策略服务器是管理与控制中心，负责完成用户管理、安全策略管理、安全状态评估、安全联动控制等任务，以及安全事件审计等功能。而安全联动设备是电力调度网络中安全策略的实施点，由H3C 交换机、路由器、VPN 网关或SecPath IAG 构成，起到强制用户准入认证、隔离不合格终端、为合法用户提供网络服务的作用。分别采用802.1x、VPN 和Portal 等不同认证方式进行端点准入控制。因此，安全联动设备管理模块的作用即定义设备准入控制措施，完成用户终端安全状态评估配置、补丁检查项配置、终端修复配置以及对终端用户的隔离方式配置，同时对电力企业网络中的多种接入终端可能要求不同级别的安全检查和控制，评估安全客户端上报的安全状态，控制安全联动设备对用户的隔离与开放，下发用户终端的安全策略。通过安全策略服务器的控制，安全客户端、安全联动设备与防病毒服务器才可以协同工作，配合完成端到端的安全准入控制。该模块在对各联动设备进行监测的过程中，将安全策略服务器收集到的安全事件形成安全日志进行上报，为电网调度管控人员及时掌控整个网络状态提供参考。
3.行为控制模块设计。
当用户终端接入电力调度网络后，需对其访问权限、网络行为等进行管控，因此其行为控制模块的设计是必要的。将数据区和保密区以此进行区分，在该模块中设置一个数据交换区，交换区与保密区的数据流通是单向的，两个区域的之间初始状态处于隔离状态，彼此间数据不流通。电力调度管控人员可根据所接入终端的实际需求对其操作进行判别，分别授权使其对保密区的行为类型。另外，该模块还具有对接入用户进行授权访问认证等功能，其授权访问认证成功的操作是指为控制保密区中常用文件等涉密内容，需首先对用户身份进行识别并绑定地址，对传输内容进行透明加密处理，即只对接入许可的终端用户为透明加密，对于已经发送或者通过其他途径传送则是以密文的形式存在的，这样以便保护电力企业的内部数据和文件，防止秘密的泄露。若接入用户所要访问的是普通数据区，则可选择明文选项，即所操作的文件都以明文的方式进行传输、改写与存储。授权访问认证失败的操作是指为防止外来接入终端在电力调度网络中传输、散布计算机病毒、木马，导致整个局域网内各大服务器交叉感染，对接入的终端用户实施禁用和只读操作行为控制。同时对所读取的文件进行监控，将常规的增删等操作以数据报表的形式向电力调度管控人员发出提示。
4.终端准入流程说明。
该系统的工作流程可描述为1）终端用户在接入电力调度网络时，需先通过安全联动设备和安全策略服务器配合进行用户身份认证，将认证信息上报安全策略服务器，对非法用户拒绝其接入网络；2）在授权合法用户进行网络之后，终端准入控制系统安全策略服务器检测用户安全状态，包括系统补丁、病毒库版本等是否合格；3）由终端管控系统协同安全策略服务器通知接入设备，将该用户的访问权限限制到隔离区内；4）安全策略服务器根据检查结果控制用户的访问权限，安全联动设备对安全状态合格的用户提供网络服务；将安全状态不合格用户隔离到隔离区，并进行系统的修复和补丁、病毒库的升级，直到安全状态合格；用户升级完成后，可重新进行安全认证。如果合格则解除隔离，可正常访问其他授权（ACL、VLAN）的网络资源。
终端准入控制系统将按照制定的策略实行相应的准入控制决策：允许、拒绝、隔离或限制。通过实施网络准入控制系统，可以有效地保障终端接入的信息安全。
参考文献：
[1]吴光斌，郭向勇. 校园网多层次网络安全系统的设计和实现[J]. 华中科技大学学报，2017，3l（10）：138-140.
[2]王东升. 面向智能电网愿景的企业信息化建设研究[D]. 北京：华北电力大学，2016.
[3]孙中伟，张荣刚. 智能配电网通信系统访问控制研究[J]. 电力系统保护与控制，20l6，38（21）：118-12l.
论文作者:李国桐
论文发表刊物:《河南电力》2018年7期
论文发表时间:2018/9/13
标签：终端论文; 用户论文; 网络论文; 控制系统论文; 电力论文; 安全策略论文; 状态论文; 《河南电力》2018年7期论文;