电力系统网络安全风险评估与防御技术研究

电力行业网络安全风险评估

电力行业的网络安全风险评估主要包括以下几个方面：

1. 基础设施安全风险：电力行业依赖于各种基础设施，包括发电厂、输电系统和配电网络等。网络攻击可能导致这些基础设施受损，进而造成电力供应中断或故障。评估应重点关注系统的脆弱性和攻击风险。

2. 运营系统安全风险：电力行业的运营系统包括发电调度、负荷管理和供电控制等。攻击者可能利用网络漏洞入侵系统，破坏数据完整性、篡改操作指令，导致系统失控或工作异常。评估应考察系统的安全措施、网络隔离和入侵检测等方面。

3. 数据安全风险：电力行业产生大量的实时数据，如能源消耗情况、电网运行状态等。这些数据的泄露、篡改或丢失可能对能源供应和市场运行产生重大影响。评估应重点关注数据安全管理、备份和还原等方面。

4. 信息系统安全风险：电力行业的信息系统包括计算机网络、数据库和应用系统等。针对这些系统的攻击可能形成数据泄露、拒绝服务或远程控制等安全风险。评估应着重检查系统的安全配置、漏洞管理和访问控制等方面。

5. 人员安全风险：电力行业的网络安全还受到员工的行为和操作水平的影响。员工可能因为社会工程攻击、密码泄露或安全意识不足而成为网络攻击的入口。评估应关注员工的安全意识培训、权限管理和监控等方面。

综上所述，电力行业的网络安全风险评估应综合考虑基础设施、运营系统、数据、信息系统和员工等多个方面的风险因素，以确保电力供应的可靠性和安全性。

Ｖｏ１．３０　ＮＯ．１　Ｆｅｂ．２０１１　河北电力技术　

ＨＥＢＥＩ　ＥＬＥＣＴＲＩＣ　Ｐ０ＷＥＲ　第３Ｏ卷第１期　２０１１年２月　

基于模糊神经网络的电力系统信息安全风险评估　

Ｒｉｓｋ　Ａｓｓｅｓｓｍｅｎｔ　ｏｆ　Ｐｏｗｅｒ　Ｓｙｓｔｅｍ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　

Ｂａｓｅｄ　ｏｎ　Ｆｕｚｚｙ　Ｎｅｕｒａｌ　Ｎｅｔｗｏｒｋ　

陈连栋　，吕春梅　

（１．河北省电力公司信息中心，石家庄０５００２１；２．华北电力大学，河北　保定０７１００３）　

摘要：结合信息系统等级保护划分策略，介绍一种基于模糊　神经网络的风险评估方法，分析使用该方法构建的电力系统　信息安全网络评估指标体系，并验证了该方法的准确性。・　关键词：电力信息系统；风险评估；信息安全；ＢＰ神经网络；　模糊理论　Ａｂｓｔｒａｃｔ：Ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｃｌａｓｓｉｆｉｅｄ　ｓｅｃｕｒｉｔｙ　ｍｅａｓｕｒｅｍｅｎｔ　ｓｔｒａｔｅ—　ｇｙ　ｏｆ　ｓｙｓｔｅｍ，ｔｈｉｓ　ｐａｐｅｒ　ｓｅｔｓ　ｕｐ　ａ　ｒｉｓｋ　ａｓｓｅｓｓｍｅｎｔ　ｉｎｄｅｘ　ｓｙｓ—　ｔｅｒｎ　ｂａｓｅｄ　ｏｎ　ｆｕｚｚｙ　ｎｅｕｒａｌ　ｎｅｔｗｏｒｋ，ａｎａｌｙｚｅｓ　ｅｌｅｃｔｒｉｃ　ｐｏｗｅｒ　ｓｙｓｔｅｍ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ　ｎｅｔｗｏｒｋ　ａｓｓｅｓｓｍｅｎｔ　ｉｎｄｅｘ　ｓｙｓ—　ｔｅｒｎ　ｗｉｔｈ　ｔｈｅ　ａｓｓｅｓｓｍｅｎｔ　ｍｅｔｈｏｄ，ａｎｄ　ｖａｌｉｄａｔｅｓ　ｔｈｅ　ａｃｃｕｒａｔｅ　ｏｆ　ｔｈｅ　ｍｅｔｈｏｄ．　Ｋｅｙ　ｗｏｒｄｓ：ｐｏｗｅｒ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｙｓｔｅｍ；ｒｉｓｋ　ａｓｓｅｓｓｍｅｎｔ；ｉｎｆｏｒ—　ｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ；ＢＰ　ｎｅｕｒａｌ　ｎｅｔｗｏｒｋ；ｆｕｚｚｙ　ｔｈｅｏｒｙ　中图分类号：ＴＭ７３４　文献标志码：Ｂ　文章编号：１００１—９８９８（２０１１）０１—００１１一Ｏ３　

信息网络的安全是亟待解决的关键问题，也是安全风险评　估需要解决的主要内容。本文对主要的信息安全风险评估　方法进行了讨论，具体提出了电力系统信息安全风险评估　的策略。　一．信息安全风险评估的相关概念　信息安全风险是人为或自然的威胁利用系统存在的脆　弱性引发的安全事件，并由于受损信息资产的重要性而对　机构造成的影响…。风险的关键要素是资产、威胁与脆弱　点。资产指对组织有价值的任何东西（信息资产、系统资　产、软件资产、硬件资产、人员资产）。威胁指对组织或　系统产生危害的有害事件的潜在原因（基于网络方式访问　造成的威胁、基于物理方式访问造成的威胁、系统问题以　及其他问题等）。脆弱点指资产或资产组能够被威胁利用　的弱点（组织弱点和设计弱点、实现弱点、配置弱点等技　术弱点）。风险指威胁利用脆弱点对资产或资产组产生影　响的潜在可能性和潜在影响的结合。而风险评估则是围绕　这些关键要素及其相关属性依据国家有关管理要求和技术　标准，对信息系统及由其存储、处理和传输的信息的机密　性、完整性和可用性等安全属性进行科学、公正的综合评　价的过程。　电力系统的信息安全风险评估内容应覆盖电力系统的　网络，应用系统、业务流程以及相关管理制度。　二　对信息安全风险评估方法的分析与评价　信息安全风险评估标准始于１９８５美国国防部ＴＣＳＥＣ　的正式颁布。信息安全评估标准是信息安全技术的基础，　也是信息安全评估的依据　。国际上较为认可的信息安　全风险评估标准有ＩＳＯ／ＩＥＣ　ＴＲ　１　３３３５　ＩＴ安全管理指　南、ＡＳ／ＮＺＳ４３６０风险管理标准、ＢＳ７７９９—１基于风险管　理的信息安全管理体系等几种。它们均对风险评估给予了　明确的定义和指导。另外，ＮＩＳＴ　ＳＰ８００—５３和ＳＰ８００—６０　描述了信息系统与安全目标及风险级别对应指南，ＮＩＳＴ　ＳＰ８００－２６、ＳＰ８００－３０分别描述了自评估指南和风险管理　。曼．墅墼．量　三　＼　懒Ⅳ１＾　ｎｓｃ・晦∞　险管理，有的强调具体的安全技术，有的只定义某一方面　的安全等级，有的则强调国际通用的规范和认证。国内目　前的风险评估标准基本还处于制定阶段，已出台的相关标　准的可操作性也不强。目前业内使用的安全风险评估方法，　基本是由这几个标准演化而来。比较流行的有以下几类，　现分别阐述。　１．基于专家知识的方法　基于专家知识的风险评估方法主要是依靠经验进行　的，经验从安全专家处获取并凭此来解决相似场景的风险　评估问题。它涉及到对来自类似组织（包括规模、目标和　市场等）的“最佳惯例”的重用。通过采集相关信息，识　别组织的风险所在和当前的安全措施（包括识别重要资　产、安全需求分析、当前安全实践分析、威胁和弱点发现、　基于资产的风险分析和评估等），与特定的标准和惯例进　行比较，找出不适合的地方，并按照标准或最佳惯例的推　荐．选择安全措施，最终达到消减和控制风险的目的。在　评估时可以采用一些辅助性自动化工具来简化评估工作。　这些工具可以帮助组织拟订符合特定标准要求的问卷，然　后对结果进行综合分析。这种方法的优越性在于能够直接　提供推荐的保护措施、结构框架和实施计划。上述方法比　较集中在管理方面，对技术层面涉及较少。组织相似性的　判定、被评估组织的安全需求分析以及关键资产的确定都　是该方法的制约点。适用于使用典型ＩＴ系统和对保密性、　完整性及可用性为一般要求的组织。　２．基于模型的方法　基于模型的评估可以分析出系统自身内部机制中存在　的危险性因素，同时又可以发现系统与外界环境交互中的　不正常且有害的行为，从而完成系统脆弱点和安全威胁的　分析评估。　采用ＵＭＬ建模语言分析和描述被评估信息系统及其　安全风险相关要素，可以运用面向对象的分析方法，采用　图形化建模技术，提高系统及其相关安全要素描述的精确　性，提高评估结果质量。ＵＭＬ在风险评估中的应用，有　利于风险评估过程与系统开发过程的相互支持，有利于对　ｊＩＪ：ｏ　∞ｌＪｍ　３△ｌ＿ｌｕｏｏ　－Ｉｏ　二　Ｚ　、≤　维普资讯 安全风险相关要素进行模式抽象和总结，通过模式的复用，　以及开发应用基于模型方法的工具集，提高效率，降低成　本，提高风险评估的生产率。　文献［３］采用了基于三角白化权函数的灰色评估法来　建立信息安全风险评估模型，充分考虑了影响评估因素的　耦合及其他一些未知因素，尽量消除因为评估的主观性所　带来的偏差，比传统的加权求和算法更符合客观实际。文　献［４］提出了信息系统的安全保护模型，如图１所示。上　述方法的分析过程都基于面向对象的模型来进行，提高了　对安全相关特性描述的精确性，改善了分析结果的质量；　图形化的建模机制便于沟通，减少了理解上的偏差；加强　了不同评估方法互操作的效率。　生亩蕊　规划　设计　磁　还仃　爱耳　丹析事缱使姑　置匿评估　；麓ｊ！程　理　运开监控．定　擅篝缝薹　避开值皇　、　保护疽　毫　砖《　缝　接毒疑设计　斛　《　斟讦估宣汁　妻主譬理　－　芒责任　信旦摹筑所有　盏理、．手估柠　信息　缒所有　信息葶鲢雕有者详　ｕ　者行醇王营　信息葶缝　测　诅证、纤　者　佶柱　估硷　椅．开　王　手　承建奢　讥籀　帆树　政主ｔ机犄　帆梅　警｝辫　统　专　、　黜核心　信　妄主晟睦谔估管理　芏　图１信息系统安全保护模型　３．基于定量或定性算法的风险分析方法　定量分析方法是对构成风险的各个要素和潜在损失的　水平赋予数值或货币值。首先评估特定资产的价值Ｖ，一　般按功能单元进行分解，然后根据客观数据计算威胁的频　率Ｐ，最后计算威胁影响系数。因为针对每一个风险．并　非所有的资产所遭受的危害程度都是一样的。程度的范围　可能从无危害到彻底危害（即完全破坏）。根据上述三个　参数，计算损失估算值。定量风险分析方法的结果直观，　容易理解．它要求特别关注资产的价值和威胁的量化数据。　文献［５］介绍了威胁树模型。根节点分别是系统信息资产　的Ｃ　ＩＡ属性．然后逐层进行分解。上层节点由下层节点　构成．下层节点描述的威胁可以触发上层威胁。　Ｔ－｛Ｇ、Ｅ、Ｑ｝　Ｇ：节点；Ｅ：节点问的通路；Ｑ：影响系统功能的子　树通路。　对一个威胁通路可以表示为：　ｑ，：Ｇ，ｔｕ　ｔｖ　ｔＹ　…））））　其中ｑ代表通路；Ｇ代表节点：Ｕ、Ｖ、Ｘ、Ｙ等分　别代表中间节点和叶子节点。　对分析主题的威胁可以用各子树的通路集表示：　ＴＣ＝Ｉｑｌ、ｑ２、ｑ３…ｑ　｝　威胁树中的叶子节点表示了系统可能受到的最小威　胁。　但是资产价值的确定、发生概率的确定、最终数值的　界定是比较困难的。因此，真正使用此类方法来评估是很　Ｉ　管理豳　

电力信息化行业网络安全主动防御技术研究陈广亮

发表时间：2019-11-20T13:18:01.703Z 来源：《中国电业》2019年15期 作者： 陈广亮

[导读] 在电力企业建设信息化网络时，会有被恶意木马攻击的情况出现

【摘要】在电力企业建设信息化网络时，会有被恶意木马攻击的情况出现，这时候采取网络安全主动防御技术对电力信息化行业的稳定运行起到不可忽视的作用。电力信息化行业加强主动防御，才能提高信息化网络的安全性，才能确保电力企业的数据不被泄漏，才能保

障电力的正常供应。文中将对在电力信息化时代电力企业如何在网络上进行安全主动的防御，通过分析网络安全主动防御技术，解决一些

电力信息化行业存在的网络问题。

【关键词】电力信息化行业;网络安全;主动防御技术

由于在电力信息化行业运行的过程当中，会涉及到非常多的软件设备、硬件设备以及复杂的网络环境，因此为了保证网络的安全性，必须要加强对电力信息化行业的保护，通过采取自动的防御技术来提高网络的安全性。由于电力信息化行业网络承载着很多的应用，还接

触到不同的硬件设备，由于这些软件和硬件采用的是不同的开发技术，当把它们集成在一起时容易产生各种类型的漏洞，给黑客提供了恶

意攻击的机会，所以要提升智能电网的运行，通过先进的主动防御技术来保障电力信息化行业的网络安全。

1.电力信息化行业网络受到的安全威胁

1.1存在病毒的威胁

由于现代化的电力行业实行信息化的建设，因此电力信息化行业信息化行业上承载着很多有关电力系统运行的软件，这很容易会造成出现漏洞的情况，一旦出现漏洞网络软硬件就容易受到病毒的攻击。如果信息终端受到恶意的访问，就会造成信息的泄漏，还会影响到电

力系统的运行[1]。比如说勒索病毒，它是一种变异木马，当电力通信网络被感染后，将会阻止用户访问文件系统。勒索病毒可以分为加密

型和锁定型这两种类型，勒索病毒的入侵会造成资金的浪费，还会被恶意访问数据从而影响到数据资源的安全性。