在關(guān)系國(guó)計(jì)民生的電力行業(yè)，安全事件如同一把利刃，將系統(tǒng)割得七凌八落，嚴(yán)重影響了國(guó)計(jì)民生。雖然國(guó)家出臺(tái)了一些相關(guān)保護(hù)法規(guī)，部分方案提供商也設(shè)計(jì)了相應(yīng)的防護(hù)模型，但真正切實(shí)的應(yīng)急響應(yīng)系統(tǒng)仍有待出現(xiàn)。

       電力安全事件預(yù)警

       如某電力公司的門(mén)戶網(wǎng)站被黑客非法篡改，在網(wǎng)頁(yè)上用紅色醒目字體留言：電價(jià)將在某日后上漲，而日后電費(fèi)又沒(méi)有漲價(jià)。這是一個(gè)典型的黑客攻擊例子。究其原因在于當(dāng)時(shí)沒(méi)有網(wǎng)站備用系統(tǒng)，沒(méi)有應(yīng)急處理預(yù)案，網(wǎng)管員不能及時(shí)恢復(fù)網(wǎng)頁(yè)。

       又如，另一電力公司的郵件服務(wù)器由于其地市電力員工的郵件中繼攻擊而癱瘓；還有某電力公司內(nèi)部員工出于某種目的進(jìn)入電量計(jì)費(fèi)系統(tǒng)數(shù)據(jù)庫(kù)非法更改用電量等。這些安全事件在社會(huì)上造成了較大的影響，嚴(yán)重威脅到電網(wǎng)安全、穩(wěn)定的運(yùn)行。

       筆者在做安全咨詢時(shí)，經(jīng)常有電力企業(yè)的員工問(wèn)，單位已經(jīng)部署了網(wǎng)絡(luò)防病毒系統(tǒng)，自己也安裝了客戶端殺毒軟件，但機(jī)器上還是經(jīng)常感染病毒。

       后來(lái)，筆者發(fā)現(xiàn)他們殺毒軟件的病毒庫(kù)一直沒(méi)有更新，還是最初安裝時(shí)的病毒庫(kù)。因?yàn)椴《痉N類(lèi)在不斷變化，只有在線或定期更新病毒庫(kù)，經(jīng)常查殺病毒，不打開(kāi)來(lái)路不明的郵件及其附件，才能拒病毒于千里之外。

        種種安全事件說(shuō)明，電力的員工的安全意識(shí)還需要進(jìn)一步提高。

        遵從法規(guī)

       由于電力系統(tǒng)是關(guān)系到國(guó)計(jì)民生的基礎(chǔ)設(shè)施，其信息安全問(wèn)題已經(jīng)受到國(guó)家、電力企業(yè)以及社會(huì)的高度重視。為了防范電腦黑客、病毒惡意代碼等對(duì)電力系統(tǒng)的攻擊侵害及由此引發(fā)的電力系統(tǒng)事故，保證系統(tǒng)的安全穩(wěn)定運(yùn)行，原國(guó)家經(jīng)貿(mào)委在2002年發(fā)布了30號(hào)令《電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)定》。

        該規(guī)定要求兩類(lèi)隔離：各電力監(jiān)控系統(tǒng)必須與辦公自動(dòng)化系統(tǒng)（OA）或管理信息系統(tǒng)（MIS）等電力軟件實(shí)行有效（物理）隔離措施；電力調(diào)度數(shù)據(jù)專(zhuān)用網(wǎng)絡(luò)必須與綜合信息網(wǎng)絡(luò)及因特網(wǎng)實(shí)行物理隔離。

        此后，國(guó)家電網(wǎng)公司研究了電力系統(tǒng)安全防護(hù)的模型，并制定了電力系統(tǒng)信息安全防護(hù)總體框架，包含安全技術(shù)措施和安全管理制度。目前，正在建立電力信息化安全保障體系，安全應(yīng)急響應(yīng)就是其中的重要內(nèi)容。

        進(jìn)一步升華

       作為該框架制定的參與者和推廣者，筆者深切體會(huì)到電力系統(tǒng)應(yīng)急響應(yīng)體系建設(shè)的必要性和重要性。同時(shí)，筆者也認(rèn)為該框架還需要進(jìn)一步細(xì)化，各個(gè)單位需要根據(jù)自己業(yè)務(wù)系統(tǒng)的實(shí)際情況和特點(diǎn)，制定一套切實(shí)有效的應(yīng)急響應(yīng)體系。

        解讀應(yīng)急響應(yīng)

       應(yīng)急響應(yīng)體系可以保障電力系統(tǒng)和數(shù)據(jù)的高可用性，為電力用戶提供安全事件的流程化處理方法，提高事件處理效率，降低安全事件帶來(lái)電力系統(tǒng)的資產(chǎn)損失，提高業(yè)務(wù)系統(tǒng)的安全水平和應(yīng)用水平。

        那么，什么是應(yīng)急響應(yīng)？電力行業(yè)的應(yīng)急響應(yīng)系統(tǒng)都受到哪些因素的影響？如何建設(shè)完善的應(yīng)急響應(yīng)體系？筆者想在這里談?wù)勛约旱恼J(rèn)識(shí)和見(jiàn)解。

        所謂應(yīng)急響應(yīng)是指對(duì)監(jiān)控到的危及電力系統(tǒng)安全的事件、行為、過(guò)程及時(shí)做出處理，以防危害進(jìn)一步擴(kuò)大。電力系統(tǒng)的運(yùn)行涉及到調(diào)度中心、變電站、發(fā)電廠；發(fā)、輸、配電系統(tǒng)一體化，系統(tǒng)中包括了各種獨(dú)立系統(tǒng)和聯(lián)合電網(wǎng)的控制保護(hù)技術(shù)、通信技術(shù)、運(yùn)行管理技術(shù)等。

        電力系統(tǒng)的信息安全是一項(xiàng)涉及電網(wǎng)調(diào)度自動(dòng)化、繼電保護(hù)及安全控制裝置、廠站自動(dòng)化、配電網(wǎng)自動(dòng)化、電力市場(chǎng)交易、生產(chǎn)管理、電力營(yíng)銷(xiāo)、辦公自動(dòng)化系統(tǒng)等有關(guān)生產(chǎn)、經(jīng)營(yíng)和管理方面的多領(lǐng)域、復(fù)雜的大型系統(tǒng)工程。

        電網(wǎng)調(diào)度自動(dòng)化、繼電保護(hù)及安全控制裝置、廠站自動(dòng)化、配電網(wǎng)自動(dòng)化、電力市場(chǎng)交易等系統(tǒng)屬于監(jiān)控系統(tǒng)，主要負(fù)責(zé)電力系統(tǒng)的生產(chǎn)控制業(yè)務(wù)；生產(chǎn)管理、電力營(yíng)銷(xiāo)、辦公自動(dòng)化等系統(tǒng)屬于管理信息系統(tǒng)，主要負(fù)責(zé)電力系統(tǒng)的信息化管理。

       監(jiān)控系統(tǒng)的安全等級(jí)高于管理信息系統(tǒng)，實(shí)時(shí)生產(chǎn)系統(tǒng)的安全等級(jí)最高。電力系統(tǒng)的多樣性決定了電力系統(tǒng)信息安全防護(hù)非常復(fù)雜，應(yīng)急響應(yīng)也非常復(fù)雜。

       這就要求針對(duì)不同的系統(tǒng)，建立不同的電力系統(tǒng)安全事件應(yīng)急體系和預(yù)案，用于保護(hù)、分析對(duì)系統(tǒng)資源的非法訪問(wèn)和網(wǎng)絡(luò)攻擊，并配備必要的應(yīng)急設(shè)施，統(tǒng)一調(diào)度，進(jìn)行經(jīng)常性地演練，從而形成對(duì)重大安全事件（遭到自然災(zāi)害、黑客、病毒攻擊和其他人為破壞等）的快速響應(yīng)能力，最大限度地降低電力系統(tǒng)的風(fēng)險(xiǎn)。

       揭開(kāi)“龍骨”內(nèi)幕

       電力系統(tǒng)應(yīng)急響應(yīng)體系像只龐大的恐龍，只有探析到它的骨骼結(jié)構(gòu)，才好構(gòu)建完美的恐龍模型。

       根據(jù)多年工作經(jīng)驗(yàn)，筆者認(rèn)為，電力系統(tǒng)應(yīng)急響應(yīng)體系的“骨骼”結(jié)構(gòu)應(yīng)如圖1所示。即由技術(shù)體系和管理體系兩部分組成。

        技術(shù)充左膀

        技術(shù)體系應(yīng)該包括3方面內(nèi)容：安全知識(shí)庫(kù)、網(wǎng)絡(luò)和系統(tǒng)監(jiān)控、數(shù)據(jù)和系統(tǒng)備份。

        安全知識(shí)庫(kù)包括各電力應(yīng)用的操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)以及業(yè)務(wù)系統(tǒng)的漏洞、補(bǔ)丁、安全事件、解決方案、應(yīng)急預(yù)案等。

        從處理方法上來(lái)看，安全事件可以分為兩類(lèi)，一類(lèi)是曾經(jīng)發(fā)生過(guò)，并明確知道原因、后果和處理方法的安全事件。該類(lèi)安全事件已經(jīng)存在安全知識(shí)庫(kù)中，如發(fā)生過(guò)的病毒、攻擊入侵事件等。

        另一類(lèi)是安全知識(shí)庫(kù)中沒(méi)有的、沒(méi)有立即解決措施的安全事件。如新出現(xiàn)的病毒、攻擊入侵事件等。前者可以在網(wǎng)絡(luò)和系統(tǒng)運(yùn)行現(xiàn)場(chǎng)立即予以解決；后者可以先提出臨時(shí)解決方案，然后經(jīng)過(guò)安全專(zhuān)家發(fā)現(xiàn)問(wèn)題的根源，找到最終解決方案后再存入知識(shí)庫(kù)。安全知識(shí)庫(kù)的作用是能迅速地對(duì)安全事件進(jìn)行合理、科學(xué)地處理。

       網(wǎng)絡(luò)監(jiān)控就是在電力網(wǎng)絡(luò)的邊界接口處安裝基于網(wǎng)絡(luò)的入侵檢測(cè)和預(yù)警系統(tǒng)，提高對(duì)網(wǎng)絡(luò)及設(shè)備自身安全漏洞和內(nèi)外部攻擊行為的檢測(cè)、管理、監(jiān)控和實(shí)時(shí)處理能力。

       系統(tǒng)監(jiān)控就是在電力系統(tǒng)內(nèi)部局域網(wǎng)的關(guān)鍵服務(wù)器上部署基于主機(jī)的入侵檢測(cè)和預(yù)警系統(tǒng)，在主機(jī)一級(jí)對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行監(jiān)控，對(duì)異常的用戶行為進(jìn)行報(bào)警等處理，最大限度防止系統(tǒng)攻擊、濫用及惡意篡改等安全事件的發(fā)生。

       對(duì)于系統(tǒng)備份，筆者建議采用的策略應(yīng)該是全備份和增量備份相結(jié)合的方式。這樣做，既利用了全備份恢復(fù)簡(jiǎn)單的特點(diǎn)，又考慮了備份時(shí)間少的優(yōu)點(diǎn)。

       電力系統(tǒng)關(guān)鍵應(yīng)用數(shù)據(jù)與應(yīng)用系統(tǒng)的備份，確保了數(shù)據(jù)損壞、系統(tǒng)崩潰情況下快速恢復(fù)數(shù)據(jù)與系統(tǒng)的可用性，同時(shí)對(duì)實(shí)時(shí)控制系統(tǒng)、電力市場(chǎng)交易系統(tǒng)進(jìn)行異地的數(shù)據(jù)與系統(tǒng)備份，可提供系統(tǒng)級(jí)容災(zāi)功能，保證在發(fā)生大規(guī)模災(zāi)難情況下，保持系統(tǒng)業(yè)務(wù)的連續(xù)性。

        管理?yè)?dān)右臂

        電力系統(tǒng)應(yīng)急響應(yīng)的管理體系包括領(lǐng)導(dǎo)小組、工作小組，以及相應(yīng)的管理制度、應(yīng)急處理流程和應(yīng)急預(yù)案的演練。

        領(lǐng)導(dǎo)小組主要由各級(jí)電力企業(yè)管理層組成，目前基本上是各單位的一把手負(fù)責(zé)。

        工作小組可以分為三個(gè)級(jí)別：

        第一級(jí)是安全值班員，可以由網(wǎng)管中心值班人員兼任，主要負(fù)責(zé)7×24小時(shí)的安全事件監(jiān)視，按照安全事件的處理指南和安全知識(shí)庫(kù)處理已知的安全告警事件；

       第二級(jí)是安全專(zhuān)家小組，由企事業(yè)單位內(nèi)部的安全專(zhuān)家和網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)的專(zhuān)家組成，負(fù)責(zé)對(duì)第一級(jí)發(fā)現(xiàn)提交的未知安全事件進(jìn)行分析判斷，完成絕大多數(shù)安全事件的處理，對(duì)不能及時(shí)找到完整解決方案，需要在將該問(wèn)題提交第三級(jí)以外，還必須及時(shí)找到臨時(shí)解決方案；

第三級(jí)是電力系統(tǒng)安全實(shí)驗(yàn)室，負(fù)責(zé)針對(duì)重大安全隱患和網(wǎng)絡(luò)攻擊進(jìn)行會(huì)診，同時(shí)還負(fù)責(zé)撰寫(xiě)安全事件分析報(bào)告，提交安全策略和配置的變更建議。