摘要：本文分析和论述了当前电力行业面临的网络安全威胁, 指出这些威胁给电力行业带来的严重危害与巨大损失。鉴于此, 本文提出利用动态防御的思想来保护电力行业的网络安全, 并给出具体的应用措施。该措施在实施过程中, 具有实施简单、操作方便, 防护能力强的特点。
关键词：电力行业,大数据,网络安全,动态防御
Application of Dynamic Defense Technology in Network Security Protection of Power Industry
Abstract：This paper analyzes the network security threats faced by the power industry and points out the serious harm and great loss caused by these threats to the power view of this, this paper puts forward the idea of using dynamic defense to protect the network security of power industry and gives specific application the process of implementation, this measure has the characteristics of simple operation, convenient operation and strong protection ability.
Keyword：power industry,big data,network security,dynamic defense
1、电力行业面临的网络安全风险与防御需求
当前, 我国的电力行业已经全面进入了信息化的时代。以云计算机技术、互联网技术以及大数据技术为代表的信息技术极大地提升了电力行业的调度运行、生产经营、日常管理的效率。但是我们看到这些技术在为电力行业运行提供便利的同时, 也不应忽视存在的一些严重的网络安全问题。如电力行业的内网经常受到病毒、木马、拒绝服务、漏洞扫描等的攻击, 2010年9月发生的“震网病毒”攻击伊朗核电站的事件和2015年12月发生的“乌克兰停电事件”就是电力行业网络安全攻击最好的例证。此外, 得益于云计算技术和大数据技术的成熟和快速发展, 在电力行业内部产生了大量的极具价值的数据, 如智能电表每日产生的大量的、不同类型的用电相关数据等。这些大数据在用户能源分析、用电方案优化、物资管理以及业务融合等方面起着重要的作用。但是面对频发的网络安全攻击事件, 这些大数据也存在着数据泄露、外界攻击的安全风险。目前, 电力行业普遍采用的网络安全防御措施还是一些传统的和静态的安全技术, 如认证、访问控制、信息加密、入侵检测、防火墙以及各种病毒、木马的防范技术等。这些技术虽然在一定层度上为电力行业网络提供了安全保证, 但随着网络攻击的自动化、高速化和攻击方式多样化的快速发展, 这些传统的网络防御技术在抵御网络攻击方面已经显得力不从心, 疲于应付。
与此同时, 电力行业网络环境复杂性的不断增加也使得网络管理和维护人员的工作日益繁重, 不能在第一时间为用户提供急需的网络安全应急服务。因此, 电力行业亟需要建立全新的网络安全防御措施, 以有效地限制电力行业内网中各种脆弱性攻击面的暴露机会, 提高电力行业内网的弹性和健壮性, 同时也极大地缓解网络管理人员和维护人员的工作强度, 从而最终实现电力行业内网的自主可控、安全保障和自动管理。
2、动态防御技术的创新
当前, 网络安全中的动态防御思想受到了各国的极大关注与追捧。动态防御的思想最早出现在美国。在2010年发布的《网络安全游戏规则的研究与发展建议》中将动态防御的内涵描述为:希望能够创建、分析、评估和部署多样化的、随时间持续变化的机制和策略, 以增加攻击者实施攻击的复杂度和攻击成本, 降低由于系统脆弱性攻击面的暴露而被攻击的几率, 提高系统的弹性和健壮性。其中攻击面是指能够被攻击者利用并对系统发动攻击的系统资源。动态防御的安全思想与传统的网络安全思路不一样。在动态防御思想中, 防御的一方不需要建立一种完美无瑕的安全体系来与攻击者进行全面的对抗。
相反, 动态防御是通过降低网络系统的确定性、静态性和同构性来增加攻击者攻击的复杂度和代价, 从而对一个网络系统进行防护。当前已有大量具体的动态防御机制被提出来, 这些动态防御机制通过诸如IP地址、通信端口以及程序执行环境的变换来迷惑攻击者, 从而阻止其实施攻击。Ehab Al-Shaer[1]提出了变形网络的思想。在变形网络中可以生成动态的、不断变化的IP地址。同时, 该动态IP地址通过使用加密函数和随机秘钥在网络中进行全局同步, 使得攻击者不能识别和解密正确的IP地址, 从而也就不能实施攻击。avi[2]提出了在异构的平台间动态地迁移关键基础设施应用的机制。该机制通过使用操作系统层次的虚拟化技术创建应用程序的虚拟执行环境, 使得应用程序在保留当前运行状态的前提下, 可以在不同的平台间进行动态地和不断地迁移, 以此来阻止对其实施的攻击。而美国国防高级研究计划局资助的APOD (Application That Participate In Their Own Defense) 项目则通过同时采取端口和地址变换的机制来持续的改变IP地址和TCP端口号, 以使得攻击者不能识别出真实的IP地址, 从而不能实施攻击。
此外, Ehab Al-Shaer还提出一种应用于软件定义网 (Software Defined Network, SDN) 的地址随机化技术OF-RHM (Open Flow Random Host Mutation) [3]。在该技术中, 通过Open Flow控制器频繁地为主机分配随机的虚拟IP地址。并且在真实的IP地址和虚拟IP地址之间由OF-switch执行转换, 这就使得网络中传输的数据的IP地址均为虚拟IP地址, 以此增加攻击者扫描主机IP地址的难度。当前, 国内对动态防御的研究主要集中于端口跳变和地址跳变方面以及由邬江兴院士提出的拟态安全防御思想。在端口跳变和地址跳变方面具有代表性的成果是石乐义和贾春福等人提出的服务跳变和端跳变的概念[4]。然而, 服务跳变实际上并没有一个准确的定义, 可将其看为端口跳变和地址跳变诸多技术的'总称, 它只是一个概念。而端跳变指的是端到端的通信中, 交互的双方按照事前的协定随机地改变通信的端口、地址、时隙以及加密算法等内容, 它通过将攻击者的攻击和干扰破坏掉来实现动态防御。其主要的工作包括提出了一个基于通信端口和地址的变换机制, 以及基于时间戳的同步机制, 然后开发了一个原型系统开展试验评估, 证明了该策略的合理性。拟态安全防御[5]的思想则通过在主动和被动的条件触发下动态地、伪随机地选择执行各种硬件环境以及相应的软件环境, 让内部外的攻击者无法确定硬件执行环境和软件工作状况, 从而无法针对其漏洞展开攻击, 由此实现保护网络系统安全的目的。但是拟态安全防御的思想与动态防御的思想还是有一些不同之处, 其主要表现在:拟态安全防御希望在功能等价的条件下, 以提供目标环境的动态性、非确定性、异构性、非持续性为目的, 来动态地构建网络平台、运行环境、以及软件、数据等多样性的拟态环境, 使得攻击者难以观察到和预测到目标环境的变化, 从而加大攻击的难度和代价。从拟态安全防御的思想来看, 其对目标及防御手段的描述比动态防御更为清楚。
3、动态防御技术在电力行业安全防护中的应用
在电力行业的网络安全防护中, 我们可以采用以下的步骤, 利用动态防御技术来保障网络安全稳定的运行。
首先, 根据网络系统攻击面的定义, 确定电力行业网络架构中, 哪些是需要变换的主要攻击面和次要攻击面。
其次, 基于软件定义网络的基本架构设计针对电力行业网络的动态防御系统。该防御系统主要分为控制层和数据层。在控制层中添加相应IP替换和转发操作的流表, 数据层则根据控制层生成的流表项对数据包进行操作。为了保证防御系统动态虚拟变换的特性, 系统中相关的属性均需进行动态变换, 以增加网络的探测难度。
第三, 防御系统通过不断随机跳变通信过程中的网络拓扑和节点网络属性, 使得内网中已被渗透的节点难以获得其他用户的真实信息, 从而无法寻找攻击目标。
第四, 防御系统在网络空间中实施地址随机化, 使得攻击者不能知晓真实的IP地址。
最后, 防御系统通过使用逻辑隔离技术, 把网络中被入侵的主机从网络中隔离开, 避免传染和波及到网络中其他的主机, 阻止攻击影响的进一步扩大。
综上所述, 通过在电力行业中使用动态防御技术, 使得行业中的网络安全防护能力大幅度的提升, 增加了攻击者的攻击难度和攻击代价, 有效地限制了电力行业网络中各种脆弱性攻击面的暴露机会, 提高了网络的安全性和健壮性, 同时也可以极大地缓解了网络管理人员和维护人员的工作强度, 从而最终实现了电力行业网络的自主可控、安全保障和自动管理。
参考文献
[1]JAFARIAN J H, AL-SHAER E, QI flow random host mutation:transparent moving target defense using software defined networking[Z].2012:127-132.
[2]OKHRAVI H, HOBSON T, BIGELOW D, et ing focus in the BLUR of Moving-Target techniques[J] Security&Privacy, 2014, 12 (2) :16-26.
[3]AL-SHAER E, DUAN Q, JAFARIAN J om host mutation for moving target defense[M].[S.l.]:Springer Berlin Heidelberg, 2012.
[4]石乐义, 贾春福, 吕述望.基于端信息跳变的主动网络防护研究[J].通信学报, 2008, 29 (2) :106-110.
[5]邬江兴.网络空间拟态防御研究[J].信息安全学报, 2016, 1 (4) :1-10.
