纵向加密装置网络安防探究

纵向加密装置网络安防探究

吴姮

国网福建龙岩市永定区供电有限公司福建龙岩364100

摘要：在电力二次系统中，纵向加密装置对于其网络安全而言有着十分重要的作用。本文首先对纵向加密装置的潜在威胁进行了分析，并在此基础上，对纵向加密装置的网络安防措施进行了探讨，仅供参考。

关键词：纵向加密装置；网络威胁；安防措施

1.引言

现阶段，我们国家对于纵向加密认证装置相关的研究一般围绕加密技术或者是纵向加密装置的使用进行开展，在纵向加密装置的可用性以及其安全性方面的研究力度往往不足。由于纵向加密装置是进入到变电站监控系统的必须要经过的地方，因此，有很多黑客或者是不法分子对其进行攻击，所以，对纵向加密装置的网络安防措施进行研究具有十分重要的现实意义。

2.纵向加密装置的潜在威胁

通常来说，纵向加密装置的功能主要是对调度主站与变电站数据网关中的网络建立一条加密隧道，从而对调度主站的控制指令以及变电站的运行数据进行传输，同时对存在于白名单之外的数据报文与网络连接进行有效拒绝。对于这条加密隧道来说，其可靠性与证书和加密算法有着重要的关系，其中，加密算法一般是国家商用密码管理局授权提供的，其是纵向加密装置中的核心。

纵向加密装置的性能指标主要包括两大方面：一方面，安全性，数据经过纵向加密传输是否能够保证不会发生丢失、泄漏、篡改等问题；另一方面，可用性，是否能够对外提供加密与过滤的服务，是否能够对并发的多个连接和大吞吐量的数据进行有效处理。

加密算法一般安全性比较高，对加密隧道进行攻击会产生巨大的成本消耗，对此，黑客或攻击人员不会对暴力方式进行采取来对加密算法进行破解或者是对加密隧道进行攻击。所以，对于纵向加密装置来说，其存在的主要安全威胁并不是针对纵向加密装置安全性的攻击行为，这是因为经过加密隧道实现的数据传输，其安全性比较高。在已经存在的管理体制中，电子证书需要通过IC卡介质来实现其交换传递，此过程在进行的过程中会涉及到比较繁杂的程序，因此容易被攻击者利用。

纵向加密装置的应用如下图1所示。调度数据网经过路由器实现数据传输，之后经过纵向加密装置，并对其进行一定的过滤与解密处理之后，由变电站数据网关机对其进行处理。假如攻击者物理位置在变电站外面的时候，可以对图1中的两种攻击方式进行实行，以此实现纵向加密装置的拒绝服务。Attack1截断从某种意义上来说，较为传统，且攻击方式属于直接的拒绝服务，Attack2旁路是对某种方式进行利用来使装置的过滤与通信报文的加解密工作停止，实现旁路的直接通信，这种攻击方式也可以称之为间接拒绝服务。

图1纵向加密装置典型应用场景

3.直接拒绝服务攻击

在设计结构方面，尽管电力调度数据网与公众的网络未连接在一起，但是，其仍然能够通过横向隔离装置与电力企业信息网络相连接。对于部分网络架构，例如调控主站、电厂、厂矿等的网络架构，在设计中并未按照电监会的有关要求进行，或者是在执行具体的部署过程中不严谨，很有可能会使得电力企业信息网的数据进入到调度数据网中。如下图2所示，某地调度主站主要是对2M专线进行采用从而直接接入变电站中，在部署调整网络过程中，将2M专线错误地接入到了内部信息网中，2M专线网中会有较多的数据流量进入，对数据网关机产生直接的冲击，继而使得调度主站内的通信发生中断。这说明，一方面相关人员在对路由器、纵向加密装置等设备进行调整部署的过程中要严格按照二次安防的有关规范进行，另一方面也说明了不法分子会对网络架构的弱点进行利用，对物理手段或者是入侵手段进行采取，在调度网络中对企业信息或者是办公网的流量进行引入，如果数据流量达到一定负荷的时候，就能够致使纵向加密装置或者是路由器发生瘫痪，达到拒绝服务攻击的效果。

图2调度数据网网络结构

进一步考虑，在部署调整相关设备期间严格按照电网二次安全防护的有关规定进行，严禁从外部引入非法流量至调度数据网内，但是，在此情况下，调度数据网仍然存在被侵入的可能，比如配网系统的通信节点在各个配电箱、配电室、配电柜中都有设置，一般来说，其防护等级是比较低的，不法分子入侵相对来说比较简单。如果成功入侵，攻击者能够对网络测试仪，例如SPIＲENT、IXIA等品牌打入大流量的网络报文在纵向加密装置中，致使纵向加密装置出现瘫痪。

4.间接拒绝服务攻击

目前，在我国纵向加密装置产品的操作系统大多是对Linux进行利用。作为开源操作系统，Linux灵活性较强、可伸缩性较为明显，并且能够自由裁剪。基于电力行业具有连续工作的特点，假如纵向加密装置投入使用，在对应用程序或者是操作系统的升级方面是很难进行的。并且由于纵向加密装置的应用程序总是以特定版本的Linux操作系统开发为基础，一旦对操作系统进行升级，会涉及到很多方面，因此，在厂商方面对程序进行升级的动力也是比较缺乏的。尽管对操作系统与应用程序进行升级缺乏客观条件与主观动力，但是，Linux系统的漏洞是客观存在的，老版本系统上的已知漏洞也是公开的。

不法分子可以对Linux中存在的已知漏洞进行利用来对纵向加密装置进行侵入，也可以对相应的工具进行利用来对应用程序存在的潜在漏洞进行扫描，并对其存在的漏洞进行利用来入侵加密装置。入侵成功之后，获得权限提升，可以对纵向加密装置的配置进行更改，并对装置的服务进行关闭。举例来说，可以对白名单中的IP和端口进行更改，从而使正常通信的合法报文无法有效过滤。

在对漏洞进行利用来侵入到纵向加密装置之后，除了能够使装置的正常服务无法顺利进行，还可以开展其他攻击。例如对控制报文进行伪造发送给远动装置，造成变电站内开关错误分开或者是合上；对遥信报文进行伪造，并将其发送给调度主站，使主站在对变电站开关与刀闸的位置进行判断的过程中产生错误。

5.纵向加密装置网络安防措施

现阶段，随着网络攻击手段的不断进步，按照电网二次安全防护规定采取的安全措施并不能够有效解决电力调度数据网面临的威胁。因此，应该对电网二次安防设备自身的安全防护措施进行加强，特别是需要加强纵向加密装置的网络安全防护。增设网络安全设备于调度数据网和变电站监控系统的网络边界上，使其能够与纵向加密装置之间相配合，实现梯次配置。

图3防火墙防御

在路由器与纵向加密装置之间对抵抗DDoS攻击的设备或者是具备抵抗DDoS攻击能力的防火墙进行设置，如下图3所示。抵抗DDoS攻击的设备负责对网络攻击进行防护，纵向加密装置主要是对通信报文的加解密工作进行负责，二者之间相互配合，实现纵向加密装置的网络安全防护。

如下图4所示，可以对路由器和纵向加密装置之间对IPS(入侵防御系统)和防火墙进行进一步的串行部署。IPS主要是对网络边界内入侵行为的防御工作比较偏重，防火墙主要是对纵向加密装置的直接拒绝服务攻击等网络攻击比较侧重，纵向加密装置主要是对加密隧道的维护工作进行负责，承担加解密等工作。

除了对网络安全设备进行增加部署之外，还应该对二次安全防护的有关规定进行严格的落实，并对网络结构进行优化，同时还需要对人员的管理进行加强。网络安全系统需要对木桶理论进行遵循，严格控制系统内的安全短板，建立健全相关规章制度，切实加强人员管理。

6.结语

在网络边界上部署的网络设备，对于网络数据传输的实现有着十分重要的作用。为了能够使纵向加密装置以及数据网关的正常运行得以切实保证，切实实现纵向加密装置的网络安全防护，必须要对变电站的重要性、网络结构以及安全设备的价格等因素进行综合的考虑，对网络安全设备进行增加，并对相关的安全规章制度进行制定并使其落到实处，实现纵向加密装置的网络安全。

【参考文献】

[1]梁智强，范颖.电力二次系统安全防护的DDoS攻击原理及防御技术[J].计算机安全，2010(9)：70-72．

[2]王保义，杨丽.基于安全网关的电力二次系统安全防护[J].电力系统通信，2008，29(12)：28-32．

[3]荆铭，邱夕兆，延峰.电力调度数据网安全技术及其应用[J].电网技术，2008，32（52）：173-176.