實(shí)現(xiàn)企業(yè)IT設(shè)施安全的最優(yōu)途徑大型電力系統(tǒng)NERC法

1、實(shí)現(xiàn)企業(yè)IT設(shè)施安全的最優(yōu)途徑大型電力系統(tǒng)NERC法規(guī)白皮書垂直安全解決方案介紹在安全變得越來(lái)越被關(guān)注的大環(huán)境下，對(duì)關(guān)鍵設(shè)施的控制和監(jiān)控至關(guān)緊要，這些設(shè)施往往也是最為易受攻擊的目標(biāo)。電氣安全漏洞可能導(dǎo)致電源可靠性問(wèn)題。即使是很輕微的性能下降或極短暫的斷電都會(huì)對(duì)用戶、公司及至外部產(chǎn)生影響。對(duì)公司及其用戶而言，系統(tǒng)停機(jī)時(shí)間、數(shù)據(jù)丟失和設(shè)備控制故障迅速成為了商業(yè)中的關(guān)鍵問(wèn)題。北美洲電力可靠性協(xié)會(huì)(NERC)重要基礎(chǔ)設(shè)施保護(hù)(CIP)的電氣安全標(biāo)準(zhǔn)(CIP 002到009)定義了可靠性需求，幫助北美及加拿大的大電力系統(tǒng)所有者、維護(hù)人員和用戶解決網(wǎng)絡(luò)安全弱點(diǎn)問(wèn)題。違反NERC可能導(dǎo)致昂貴的經(jīng)濟(jì)制裁及要求

2、立即進(jìn)行補(bǔ)救措施。此外，NERC可對(duì)每次違反標(biāo)準(zhǔn)評(píng)定最高一天一百萬(wàn)美金的罰金。通過(guò)美國(guó)聯(lián)邦能源監(jiān)管委員會(huì)(FERC)和加拿大國(guó)家能源局(NEB)的監(jiān)督，電氣安全標(biāo)準(zhǔn)法規(guī)對(duì)電力設(shè)備企業(yè)的優(yōu)先級(jí)也越來(lái)越高。FERC對(duì)NERC標(biāo)準(zhǔn)的強(qiáng)制執(zhí)行也用于對(duì)美國(guó)輸送能源的加拿大發(fā)電廠。一些網(wǎng)絡(luò)和應(yīng)用層內(nèi)的重要的電氣安全投資可以有效簡(jiǎn)單化NERC法規(guī)。這篇文檔描述了在不需要完全替換網(wǎng)絡(luò)架構(gòu)即可實(shí)現(xiàn)維護(hù)安全的高性能網(wǎng)絡(luò)，通過(guò)統(tǒng)一威脅管理(UTM)方式及漏洞評(píng)估(VA)策略來(lái)實(shí)現(xiàn)企業(yè)信息技術(shù)(IT)基礎(chǔ)設(shè)施安全的最優(yōu)途徑。大電力系統(tǒng)網(wǎng)絡(luò)安全的挑戰(zhàn)大電力系統(tǒng)的挑戰(zhàn)是迎合或超過(guò)安全法規(guī)標(biāo)準(zhǔn)，阻擋網(wǎng)絡(luò)中潛在的攻擊，因此，

3、在平衡性能和總體擁有成本(TCO)的同時(shí)，需要實(shí)現(xiàn)全網(wǎng)可靠性保證。目前，企業(yè)需要警惕來(lái)自現(xiàn)有或以前員工及合作伙伴的有意或無(wú)意的內(nèi)部威脅，同樣，來(lái)自黑客及網(wǎng)絡(luò)犯罪分子的外部威脅也同樣重要。除了傳輸中的數(shù)據(jù)問(wèn)題外，用戶信息、記費(fèi)財(cái)務(wù)系統(tǒng)數(shù)據(jù)庫(kù)也可能存在漏洞。真實(shí)環(huán)境中的安全漏洞企業(yè)評(píng)估加強(qiáng)了有效的網(wǎng)絡(luò)及應(yīng)用安全需求。為了提升這個(gè)重要問(wèn)題的透明度，美國(guó)審計(jì)署(GAO)與田納西流域管理局(TVA)(一個(gè)完全由政府所有企業(yè)，為美國(guó)7個(gè)州的8,700,000居民提供電力)在2008年5月頒布了相關(guān)的報(bào)告。在報(bào)告中認(rèn)為：“在控制系統(tǒng)網(wǎng)絡(luò)內(nèi)，防火墻配置不正確或已被旁路、密碼沒(méi)有被有效的執(zhí)行、某些活動(dòng)性日志被限

4、制、控制系統(tǒng)軟件配置管理策略執(zhí)行不一致、服務(wù)器及工作站缺少關(guān)鍵補(bǔ)丁和有效的病毒保護(hù)?！蓖瑫r(shí)，入侵檢測(cè)系統(tǒng)有嚴(yán)重的局限性，企業(yè)網(wǎng)絡(luò)中的一些工作站有不適當(dāng)?shù)陌踩O(shè)置或缺少關(guān)鍵軟件補(bǔ)丁，許多的網(wǎng)絡(luò)基礎(chǔ)設(shè)備在安全配置上被做了限制或根本無(wú)效。2007年3月在愛(ài)達(dá)荷州能源局的實(shí)驗(yàn)室里，一個(gè)發(fā)電站的復(fù)制控制系統(tǒng)被Aurora實(shí)驗(yàn)網(wǎng)絡(luò)攻擊行為破壞，造成了一臺(tái)發(fā)電機(jī)自行損壞。一些專家認(rèn)為，這種攻擊的范圍如果更廣泛一些，可能要花費(fèi)幾個(gè)月的時(shí)間來(lái)修復(fù)。終端安全同樣與之有關(guān)。在一次事件中，核工業(yè)安全協(xié)會(huì)報(bào)告員工的電腦可能通過(guò)點(diǎn)對(duì)點(diǎn)文件共享感染了病毒，造成數(shù)據(jù)泄漏，福井、新滹、靜岡和鹿兒島地區(qū)核電站的運(yùn)行狀況等敏感數(shù)據(jù)

5、和安全檢查報(bào)表被竊取。數(shù)據(jù)庫(kù)漏洞相關(guān)問(wèn)題也越來(lái)越多。在2006年，愛(ài)達(dá)荷州電力公司，為大約460,000用戶提供服務(wù)，約230塊SCSI驅(qū)動(dòng)器中的用戶信件和其它私有信息等數(shù)據(jù)被泄漏。盡管這次泄漏是一個(gè)物理安全策略的案例，數(shù)據(jù)庫(kù)泄漏的費(fèi)用已升至接近每記錄$200，2005-2007年間，在美國(guó)有150,000,000條數(shù)據(jù)庫(kù)記錄丟失。NERC CIP審計(jì)法規(guī)管理NERC通過(guò)事件報(bào)表和關(guān)鍵網(wǎng)絡(luò)資產(chǎn)(CCAs)恢復(fù)為安全控制邊界和訪問(wèn)管理提供了可靠的結(jié)構(gòu)。CCA最簡(jiǎn)單的定義了使用非專用基于IP的資源連接到控制中心或其它外部機(jī)構(gòu)的設(shè)備。通過(guò)統(tǒng)一威脅管理的方法為關(guān)鍵網(wǎng)絡(luò)資產(chǎn)實(shí)現(xiàn)網(wǎng)絡(luò)安全需求，可以節(jié)省時(shí)間

6、并減少?gòu)?fù)雜性。CIP描述概要NERC CIP-002-1關(guān)鍵網(wǎng)絡(luò)資產(chǎn)鑒定基于風(fēng)險(xiǎn)的資產(chǎn)方法論的鑒定及文檔資料用于鑒別關(guān)鍵網(wǎng)絡(luò)資產(chǎn)NERC CIP-003-1安全管理控制網(wǎng)絡(luò)安全策略的文檔資料和執(zhí)行帶來(lái)的義務(wù)和能力，以實(shí)現(xiàn)關(guān)鍵網(wǎng)絡(luò)資產(chǎn)安全NERC CIP-004-1人員及培訓(xùn)維護(hù)及安全意識(shí)規(guī)劃文件編制以確保人員加強(qiáng)健全的安全習(xí)慣NERC CIP-005-1電子安全范圍圍繞關(guān)鍵網(wǎng)絡(luò)資產(chǎn)和所有訪問(wèn)點(diǎn)位置的電子安全范圍鑒定NERC CIP-006-1關(guān)鍵網(wǎng)絡(luò)資產(chǎn)的物理安全物理安全計(jì)劃的創(chuàng)建和維護(hù)，包括過(guò)程、工具及監(jiān)控邊界訪問(wèn)的程序NERC CIP-007-1系統(tǒng)安全管理確保在電子安全范圍內(nèi)的新的網(wǎng)絡(luò)資

7、產(chǎn)和對(duì)現(xiàn)有網(wǎng)絡(luò)資產(chǎn)的重要改變不對(duì)影響現(xiàn)有網(wǎng)絡(luò)安全控制NERC CIP-008-1事件報(bào)告與響應(yīng)計(jì)劃開發(fā)及維護(hù)網(wǎng)絡(luò)安全事件響應(yīng)計(jì)劃，包括地址分類、響應(yīng)動(dòng)作及報(bào)表NERC CIP-009-1關(guān)鍵網(wǎng)絡(luò)資產(chǎn)的恢復(fù)計(jì)劃關(guān)鍵網(wǎng)絡(luò)資產(chǎn)的創(chuàng)建和恢復(fù)計(jì)劃審查圖1：NERC重要設(shè)備保護(hù)(CIP)表縱覽CIP 002到009，CIP-005電子安全范圍最適用于網(wǎng)絡(luò)安全。根據(jù)CIP-005，在一個(gè)安全區(qū)域內(nèi)實(shí)現(xiàn)整個(gè)范圍內(nèi)最小化所有的網(wǎng)絡(luò)連接，必須有適當(dāng)?shù)姆阑饓ε渲?，僅允許認(rèn)證后的流量和連接通過(guò)。這個(gè)需求包括基于IP地址的數(shù)據(jù)包過(guò)濾、TCP和UDP傳輸層檢查、應(yīng)用層流量審查，如Telnet、 和 S。同樣，大電力系統(tǒng)提

8、供商及相關(guān)實(shí)體必須在網(wǎng)絡(luò)電子范圍內(nèi)對(duì)設(shè)備和應(yīng)用進(jìn)行鑒別，保護(hù)物理設(shè)備和軟件定義的接口，并對(duì)必需的接口和服務(wù)基于指定的組進(jìn)行認(rèn)證。當(dāng)使用公網(wǎng)或共享IP服務(wù)時(shí)，加密虛擬專用網(wǎng)(VPN)可能也是必要的。責(zé)任和審計(jì)是所有NERC需求的關(guān)鍵基礎(chǔ)，因此，多層次和基于端到端的網(wǎng)絡(luò)安全報(bào)表和監(jiān)控是法律程序的主要組成部分，例如，對(duì)定期審計(jì)或?qū)崟r(shí)分析的日志記錄及告警，尤其是IP協(xié)議出現(xiàn)問(wèn)題的時(shí)候。一個(gè)分階段的時(shí)間表列出了NERC法規(guī)基于實(shí)體類型的轉(zhuǎn)折點(diǎn)，2008年6月完成了一些必需的最初的執(zhí)行階段，其它的將在2009年6月或2010年6月完成：開始工作(階段1)，充分符合法規(guī)(階段2),符合法規(guī)(階段3)及審計(jì)后

9、條例法規(guī)(階段4)。盡管早期的罰款主要集中在一些表面問(wèn)題上，例如巴爾的摩燃?xì)饧半娏?$180,000罰款)和中美能源公司($75,000罰款)，網(wǎng)絡(luò)安全監(jiān)督很快就會(huì)隨著法規(guī)的時(shí)間表執(zhí)行。統(tǒng)一威脅管理探討為了遵循法規(guī)并保護(hù)控制系統(tǒng)，企業(yè)需要5個(gè)關(guān)鍵的網(wǎng)絡(luò)安全組成部分。構(gòu)建安全邊界的防火墻通過(guò)隔離技術(shù)實(shí)現(xiàn)內(nèi)部邊界分割網(wǎng)絡(luò)內(nèi)的防病毒控制網(wǎng)絡(luò)內(nèi)的入侵保護(hù)系統(tǒng)(IPS)網(wǎng)絡(luò)邊界上基于組進(jìn)行認(rèn)證NERC CIP也考慮到了在一臺(tái)主機(jī)內(nèi)防病毒不能被執(zhí)行的情況。通過(guò)在主機(jī)設(shè)備上安裝保護(hù)措施并不能減輕風(fēng)險(xiǎn)。即使這種保護(hù)措施能實(shí)現(xiàn)安全，一些主機(jī)的操作系統(tǒng)已不再被基于主機(jī)的安全解決方案所支持。例如，象一些數(shù)據(jù)采集

10、與監(jiān)視控制系統(tǒng)(SCADA)和可編程邏輯控制器(PLCs) 等終端解決方案，通常被企業(yè)用來(lái)自動(dòng)控制各種工業(yè)程序，不允許在主機(jī)內(nèi)運(yùn)行防病毒程序，防病毒必須被應(yīng)用在網(wǎng)絡(luò)中。企業(yè)也需要通過(guò)把主機(jī)與其它主機(jī)或操作PC隔離，實(shí)現(xiàn)減少控制。例如使用內(nèi)部邊界分割隔離技術(shù)。還有就是一些設(shè)備放在很遠(yuǎn)的地方，只有少量或根本沒(méi)有操作人員，當(dāng)帶內(nèi)訪問(wèn)出現(xiàn)問(wèn)題時(shí)，必須使用帶外訪問(wèn)解決問(wèn)題。盡量一些實(shí)例中會(huì)使用防火墻配合撥號(hào)Modem實(shí)現(xiàn)遠(yuǎn)程問(wèn)題，但基于撥號(hào)Modem的解決方案有越來(lái)越多的安全問(wèn)題。CIP要求使用防火墻建立安全邊界，網(wǎng)絡(luò)分區(qū)和基于組的認(rèn)證，防病毒控制和IPS實(shí)現(xiàn)。要部署所有這些類型的安全技術(shù)可能需要六臺(tái)或

11、更多分離的安全設(shè)備，過(guò)高的花費(fèi)可能會(huì)被電廠管理人員阻止購(gòu)買。多點(diǎn)產(chǎn)品解決方案也會(huì)帶來(lái)管理困難，需要多個(gè)管理接口；因各廠商的產(chǎn)品沒(méi)有集成，單獨(dú)一個(gè)廠商無(wú)法提出問(wèn)題解答。多點(diǎn)產(chǎn)品的部署維護(hù)花費(fèi)也很高，如需要與多個(gè)廠商簽定合同和更新進(jìn)度，昂貴的支持許可，數(shù)據(jù)資源分配(電源、機(jī)架位置、風(fēng)扇)，給網(wǎng)絡(luò)性能帶來(lái)負(fù)擔(dān)的多個(gè)檢查步驟等。此外，集成性的短缺可能導(dǎo)致安全性降低。因?yàn)槠髽I(yè)控制系統(tǒng)需要一直順暢運(yùn)行，因此系統(tǒng)的可用性是所有安全網(wǎng)絡(luò)架構(gòu)中最重要的方面。因此，在大多數(shù)環(huán)境中的部署解決方案需要配置為高可性用，并降低復(fù)雜性及成本。統(tǒng)一威脅管理(UTM)平臺(tái)，也被稱為“下一代防火墻”，在傳統(tǒng)防火墻上擴(kuò)展了多種安全

12、技術(shù)。UTM平臺(tái)被國(guó)際數(shù)據(jù)公司(IDC)定義為最低限度需要包含防火墻、VPN，入侵保護(hù)和防病毒功能。在網(wǎng)絡(luò)中管理6個(gè)或更多各種有限集成的安全產(chǎn)品很困難，一種新型的在高可用性模式下運(yùn)行的UTM平臺(tái)能更有效的保護(hù)控制系統(tǒng)平臺(tái)針對(duì)NERC法規(guī)包含了上述5種主要安全組成部分。UTM解決方案減少了廠商和設(shè)備的數(shù)量，提供全面的安全，宕機(jī)時(shí)間實(shí)現(xiàn)最小化，安全管理實(shí)現(xiàn)簡(jiǎn)單化，提供檢測(cè)能力，并配備有安全告警、日志報(bào)表功能。表2 多點(diǎn)解決方案 vs. UTMFortinet解決方案通過(guò)在FortiGate設(shè)備中智能集成了定制的基于ASIC芯片的高速處理硬件，F(xiàn)ortinet UTM平臺(tái)可提供高性能和最優(yōu)網(wǎng)絡(luò)安全。

13、Fortinet通過(guò)專用硬件、軟件、先進(jìn)安全內(nèi)容處理的UTM解決方案，提供高效的安全防護(hù)及可升級(jí)的升級(jí)。Fortinet的第三方認(rèn)證可確保安全功能都經(jīng)過(guò)嚴(yán)格驗(yàn)證。統(tǒng)一管理的方式可實(shí)現(xiàn)多種安全報(bào)表，輸出的日志/報(bào)表信息都使用公用的格式對(duì)所有大型企業(yè)都是核心要素。ASIC內(nèi)容處理器(特殊引擎用以執(zhí)行與已知威脅模板進(jìn)行高速匹配)只是在硬件中實(shí)現(xiàn)邏輯掃描，不能用于存儲(chǔ)威脅模板數(shù)據(jù)，連續(xù)存儲(chǔ)是靠?jī)?nèi)存實(shí)現(xiàn)。因此，對(duì)新威脅的更新只是簡(jiǎn)單的更新軟件。表3 內(nèi)置內(nèi)容處理器UTM高層架構(gòu)此外，內(nèi)容處理器也包含了加密引擎，在進(jìn)行加密通信時(shí)，可減輕通用處理器高強(qiáng)度的運(yùn)算工作。用于遠(yuǎn)程安全連接的VPN設(shè)備和日常維護(hù)會(huì)耗

14、費(fèi)大量的系統(tǒng)資源，F(xiàn)ortinet的硬件加速在這方面是一個(gè)理想的選擇。另一個(gè)同樣需要注意的是，F(xiàn)ortinet取代了很容易被獲得的現(xiàn)成產(chǎn)品(COTS)技術(shù)，這種技術(shù)會(huì)暴露系統(tǒng)的漏洞，F(xiàn)ortinet使用加固的FortiOS操作系統(tǒng)提供附加保護(hù)。針對(duì)NERC法規(guī)Fortinet解決方案Fortinet完善了大電力系統(tǒng)提供商目前NERC法規(guī)網(wǎng)絡(luò)安全實(shí)現(xiàn)的全面評(píng)估，接著根據(jù)用戶需求，提出了改進(jìn)的解決方案細(xì)節(jié)，附有清晰的產(chǎn)品預(yù)算和項(xiàng)目服務(wù)。Fortinet針對(duì)NERC法規(guī)的企業(yè)安全解決方案由完整的產(chǎn)品包、專業(yè)服務(wù)、技術(shù)評(píng)估管理及客戶培訓(xùn)服務(wù)解決方案組成。圖4 Fortinet針對(duì)NERC法規(guī)定制解決方

15、案NERC CIP是有詳細(xì)配置的綜合要求。沒(méi)有專業(yè)指導(dǎo)自己實(shí)現(xiàn)會(huì)導(dǎo)致浪費(fèi)大量時(shí)間及過(guò)多缺陷。Fortinet專業(yè)服務(wù)通過(guò)設(shè)計(jì)、文檔歸納、實(shí)現(xiàn)、針對(duì)網(wǎng)絡(luò)安全的NERC法規(guī)培訓(xùn)包括專業(yè)培訓(xùn)服務(wù)、定制解決方案培訓(xùn)及認(rèn)證培訓(xùn)(201, 301, FCNSP)，為企業(yè)IT設(shè)施提供最佳的方法。每次設(shè)計(jì)選用的產(chǎn)品包括FortiGate、FortiManager、FortiAnalyzer及FortiDB，以自動(dòng)實(shí)現(xiàn)網(wǎng)絡(luò)安全需求。企業(yè)技術(shù)客戶管理及技術(shù)服務(wù)Fortinet直接服務(wù)級(jí)別協(xié)議(SLA)使產(chǎn)品包更加完善。NERC CIPFortinet解決方案(描述)NERC CIPFortinet解決方案(產(chǎn)品)

16、CIP-002架構(gòu)設(shè)計(jì)/評(píng)估CIP-002Fortinet專業(yè)服務(wù)CIP-003數(shù)據(jù)庫(kù)安全策略實(shí)現(xiàn)及漏洞評(píng)估CIP-005,CIP-006,CIP-007,CIP-008,CIP-009FortiGateCIP-004培訓(xùn)CIP-005,CIP-007,CIP-008,CIP-009FortiManager/FortiAnalizer/FortiDBCIP-005建立電子安全范圍CIP-002,CIP-003,CIP-005,CIP-007FortiDBCIP-006物理安全資產(chǎn)電子保護(hù)CIP-004Fortinet培訓(xùn)服務(wù)CIP-007安全系統(tǒng)管理/數(shù)據(jù)庫(kù)行為監(jiān)控CIP-004, CIP-0

17、07Fortinet技術(shù)客戶管理CIP-008事件報(bào)表CIP-009恢復(fù)計(jì)劃及備份表5 Fortinet NERC定制解決方案CIP實(shí)現(xiàn)典型的Fortinet部署實(shí)例包括在控制中心的高可用性FortiGate UTM平臺(tái)、用來(lái)記錄日志和產(chǎn)生報(bào)表的FortiAnalyzer及用來(lái)集中管理的FortiManager。數(shù)據(jù)庫(kù)安全產(chǎn)品FortiDB包含漏洞評(píng)估、數(shù)據(jù)庫(kù)行為監(jiān)控及審計(jì)報(bào)表，對(duì)存儲(chǔ)在數(shù)據(jù)庫(kù)中的用戶信息、記費(fèi)、安全報(bào)告及財(cái)務(wù)數(shù)據(jù)提供保護(hù)。遠(yuǎn)端不同型號(hào)的FortiGate UTM設(shè)備可以保護(hù)遠(yuǎn)程辦公室及區(qū)域電站。圖6 Fortinet部署舉例Fortinet根據(jù)設(shè)計(jì)的架構(gòu)和評(píng)估應(yīng)對(duì)CIP-00

18、2關(guān)鍵網(wǎng)絡(luò)資產(chǎn)鑒定。Fortinet專業(yè)服務(wù)與用戶一起設(shè)計(jì)或重新設(shè)計(jì)網(wǎng)絡(luò)解決方案，僅能使用可路由協(xié)議與電子安全范圍(R3.1)外部或在控制中心(R3.2)內(nèi)進(jìn)行通訊，例如OSPF、BGP、RIP及PIM可路由協(xié)議。這方面還包括路由設(shè)計(jì)制定、消除撥號(hào)連接或提高撥號(hào)連接(R3.3)的安全性及基于內(nèi)部或合作公司狀態(tài)的訪問(wèn)控制。FortiDB通過(guò)自動(dòng)發(fā)現(xiàn)功能幫助鑒定數(shù)據(jù)庫(kù)資產(chǎn)。CIP描述Fortinet解決方案CIP-002, R3.1網(wǎng)絡(luò)資產(chǎn)使用可路由協(xié)議與電子安全范圍外部通訊Fortinet專業(yè)服務(wù)把網(wǎng)絡(luò)設(shè)計(jì)為僅使用可路由協(xié)議與電子安全范圍外部通訊CIP-002, R3.2網(wǎng)絡(luò)資產(chǎn)在控制中心內(nèi)部使

19、用可路由協(xié)議Fortinet專業(yè)服務(wù)把網(wǎng)絡(luò)設(shè)計(jì)為在控制中心內(nèi)僅能使用可路由協(xié)議通訊CIP-002, R3.3網(wǎng)絡(luò)資產(chǎn)通過(guò)撥號(hào)訪問(wèn)Fortinet專業(yè)服務(wù)針對(duì)所有基于撥號(hào)Modem解決方案消除撥號(hào)連接或配置防火墻提高撥號(hào)連接的安全性圖7 通過(guò)Fortinet針對(duì)NERC定制解決方案應(yīng)對(duì)CIP-002FortiGate通過(guò)對(duì)所有鑒別的重要網(wǎng)絡(luò)資產(chǎn)建立電子范圍應(yīng)對(duì)CIP-005。 關(guān)鍵獨(dú)立CIP子需求包括訪問(wèn)控制、安全認(rèn)證、單點(diǎn)入口問(wèn)題，報(bào)表和文件歸檔也需要滿足。CIP描述Fortinet解決方案CIP-005, R1.1到電子安全范圍的訪問(wèn)應(yīng)包括任意外部連接通訊終點(diǎn)(例如撥號(hào)Modem)終結(jié)在電子

20、安全范圍內(nèi)的任意設(shè)備Fortinet 防火墻為所有鑒定的網(wǎng)絡(luò)安全資產(chǎn)建立邊界；FortiClient為PC或遠(yuǎn)程設(shè)備等終端增加附加的安全保護(hù)建立安全的帶外管理建立安全范圍內(nèi)對(duì)設(shè)備的安全訪問(wèn)控制通過(guò)SSL安全認(rèn)證訪問(wèn)為合作公司和廠商(安全邊界內(nèi)設(shè)備支持)建立單點(diǎn)入口，提供基于角色認(rèn)證的安全訪問(wèn)CIP-005, R1.2對(duì)可撥號(hào)訪問(wèn)的非路由協(xié)議的重要網(wǎng)絡(luò)資產(chǎn)，責(zé)任實(shí)體應(yīng)對(duì)撥號(hào)單訪問(wèn)點(diǎn)定義一個(gè)電子安全范圍同CIP-005, R1.1CIP-005, R1.3分離的電子安全范圍通訊鏈路連接不應(yīng)該被視為電子安全范圍的一部分。然而，這些在電子安全范圍內(nèi)通訊鏈路的終端應(yīng)該被視為電子安全范圍的訪問(wèn)點(diǎn)Forti

21、Gate協(xié)議訪問(wèn)點(diǎn)進(jìn)入安全范圍CIP-005, R1.4任意在指定電子安全范圍內(nèi)的非重要網(wǎng)絡(luò)資產(chǎn)應(yīng)被依照CIP-005標(biāo)準(zhǔn)需求鑒定并保護(hù)FortiGate帶有訪問(wèn)控制的防火墻、物理或虛擬分區(qū)從所有的重要網(wǎng)絡(luò)資產(chǎn)中分離出所有的非常重要網(wǎng)絡(luò)資產(chǎn)CIP-005, R1.5在電子安全范圍的訪問(wèn)控制和監(jiān)控中使用網(wǎng)絡(luò)資產(chǎn)，應(yīng)提供在CIP-003標(biāo)準(zhǔn)、CIP-004標(biāo)準(zhǔn)需求R3、CIP-005標(biāo)準(zhǔn)需求R2和R3、CIP-006標(biāo)準(zhǔn)需求R2和R3、CIP-007標(biāo)準(zhǔn)需求R1，R3到R9、CIP-008標(biāo)準(zhǔn)及CIP-009標(biāo)準(zhǔn)中所指定的保護(hù)措施。FortiGateFortiManager、FortiAnalyz

22、er及第二級(jí)認(rèn)證服務(wù)器的防火墻保護(hù)按照每個(gè)CIP認(rèn)證安全訪問(wèn)控制的管理和日志記錄CIP-005, R2.1這些過(guò)程和機(jī)制應(yīng)該使用默認(rèn)拒絕訪問(wèn)的訪問(wèn)控制模塊，必須定義清晰的訪問(wèn)許可FortiGate防火墻訪問(wèn)控制、第二級(jí)認(rèn)證服務(wù)器、安全的RADIUS認(rèn)證、LDAP、本地?cái)?shù)據(jù)庫(kù)訪問(wèn)控制；FortiManager本地訪問(wèn)控制管理CIP-005, R2.2在所有去電子安全范圍的訪問(wèn)點(diǎn)，責(zé)任實(shí)體僅應(yīng)該開啟電子安全范圍內(nèi)針對(duì)運(yùn)行及監(jiān)控網(wǎng)絡(luò)資產(chǎn)所需的端口及服務(wù)，應(yīng)該歸檔、個(gè)別或通過(guò)指定分組配置這些端口和服務(wù)FortiGate防火墻通過(guò)認(rèn)證方法建立接口和服務(wù)當(dāng)認(rèn)證時(shí)，僅允許用戶指定的必須的端口及服務(wù)；通過(guò)認(rèn)證

23、阻止CIP-005, R2.3責(zé)任實(shí)體應(yīng)針對(duì)到電子安全范圍的安全撥號(hào)訪問(wèn)維護(hù)一個(gè)手續(xù)FortiGate通過(guò)SSL解決方案，帶外解決方案，建立單點(diǎn)入口(撥號(hào)訪問(wèn))CIP-005, R2.4在外部到電子安全范圍內(nèi)的訪問(wèn)已被開啟的地方，責(zé)任實(shí)體應(yīng)該在訪問(wèn)點(diǎn)執(zhí)行有力的程序上或技術(shù)上的控制，在技術(shù)可行的前提下，確保訪問(wèn)人的真實(shí)性FortiGate單點(diǎn)訪問(wèn)單一化外部訪問(wèn)報(bào)表；通過(guò)可選2級(jí)認(rèn)證SSL解決方案建立單入口訪問(wèn)點(diǎn)(撥號(hào)訪問(wèn))；建立安全傳輸(VPN、按指定的每用戶認(rèn)證隔離到到內(nèi)部設(shè)備的遠(yuǎn)程訪問(wèn)連接)CIP-005, R2.6適當(dāng)?shù)氖褂锰崾驹诩夹g(shù)可行前提下，電子訪問(wèn)控制設(shè)備應(yīng)所有有訪問(wèn)嘗試時(shí)在用戶屏幕

24、顯示適當(dāng)?shù)奶崾?。?zé)任實(shí)體應(yīng)維護(hù)識(shí)別標(biāo)題內(nèi)容的文檔FortiGate防火墻認(rèn)證控制頁(yè)眉和頁(yè)腳(適當(dāng)使用提示)CIP-005, R3監(jiān)控電子訪問(wèn)責(zé)任實(shí)體應(yīng)在訪問(wèn)點(diǎn)針對(duì)到電子安全范圍全天候監(jiān)控并記錄日志執(zhí)行和歸檔一份電子或手工的流程FortiManager, FortiAnalyzer 集中安全管理CIP-005, R3.1對(duì)使用非路由協(xié)議撥號(hào)訪問(wèn)重要網(wǎng)絡(luò)資產(chǎn)，責(zé)任實(shí)體應(yīng)在技術(shù)可靠的前提下，對(duì)訪問(wèn)撥號(hào)設(shè)備的訪問(wèn)點(diǎn)執(zhí)行和歸檔監(jiān)控流程FortiManager, FortiAnalyzer 通過(guò)可選2級(jí)認(rèn)證SSL解決方案在建立的單點(diǎn)入口提供報(bào)表；記錄所有訪問(wèn)方法，通過(guò)FortiAnalyzer記錄所有訪問(wèn)

25、被拒絕或允許CIP-005, R3.2在技術(shù)上可行前提下，安全監(jiān)控程序應(yīng)該對(duì)當(dāng)前企圖非法認(rèn)證的訪問(wèn)探測(cè)及告警。告警應(yīng)該把適當(dāng)?shù)奶崾拘畔l(fā)送到指定的響應(yīng)人員。告警在技術(shù)上不可行時(shí)，責(zé)任實(shí)體應(yīng)對(duì)當(dāng)前企圖非法認(rèn)證的訪問(wèn)日志最少每90天進(jìn)行審查或其它評(píng)估訪問(wèn)FortiGate把認(rèn)證失敗報(bào)告發(fā)送到FortiAnalyzer和FortiManager，記錄并為IT人員發(fā)送認(rèn)證失敗企圖記錄；FortiGate入侵檢測(cè)和保護(hù)把入侵企圖報(bào)告發(fā)送到FortiAnalyzer，記錄并為IT人員發(fā)送對(duì)重要設(shè)備的入侵企圖CIP-005, R4網(wǎng)絡(luò)漏洞評(píng)估責(zé)任實(shí)體應(yīng)實(shí)現(xiàn)至少每年一次對(duì)電子安全范圍電子訪問(wèn)點(diǎn)的網(wǎng)絡(luò)漏洞評(píng)估F

26、ortiDB數(shù)據(jù)庫(kù)安全漏洞評(píng)估CIP-005, R5.3責(zé)任實(shí)體應(yīng)至少保留90天電子訪問(wèn)日志。與報(bào)告事件相關(guān)的日志應(yīng)依照CIP-008標(biāo)準(zhǔn)保存FortiAnalyzer日志保存能力由日志量和FortiAnalyzer能力決定近線或在線備份存儲(chǔ)對(duì)網(wǎng)絡(luò)安全的統(tǒng)一解決方案使Fortinet在不影響性能的前提下，不僅可以應(yīng)對(duì)NERC法規(guī)，而且通過(guò)全面的功能有效的降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。總結(jié)為大電力系統(tǒng)的控制和監(jiān)控系統(tǒng)實(shí)現(xiàn)NERC法規(guī)，保證了可靠的能源產(chǎn)生及分配。使用定制的基于ASIC硬件處理器的FortiGate UTM解決方案可實(shí)現(xiàn)高速網(wǎng)絡(luò)，如內(nèi)網(wǎng)分區(qū)，并使用保護(hù)和處理接近線速的流量成為可能。為了實(shí)現(xiàn)最

27、大的益處并提供最高層的安全效能，專用硬件與軟件和安全內(nèi)容處理完美集成是根本。Fortinet在不犧牲性能的同時(shí)，使網(wǎng)絡(luò)條例安全法規(guī)變得簡(jiǎn)單。參考文獻(xiàn)Barbara A. Connors, B. (2007). Commission approves NERCs assignment of violation risk factors associated with approved reliability standards. FERC DocketNos: RR07-9-000 and RR07-10-000. Retrieved November 6, 2008, from :/ /new

28、s/news-releases/2007/2007-2/05-17-07-E-8.aspReport to Congressional Requesters: TVA Needs to Address Weaknesses in Control Systems and Networks (May 2008). Document GAO-08-526. U.S. Government Accountability Office. Retrieved November 6, 2008, from :/ /new.items/d08526.pdfJeanne Meserve, Mouse click

29、 could plunge city into darkness, experts say (September 2007). CNN. Available at :/www n /2007/US/09/27/power.at.risk/index.html?eref=rss_topstories (last visited November 6, 2008).Nuclear Power Plant Data Leaked Via Virus-Infected PC, Posted on Net (2005). Kyodo News International (RedOrbit). Retr

30、ieved November 6, 2008, from :/ redorbit /news/science/183189/ nuclear_power_plant_data_leaked_via_virusinfected_pc_posted_on/Bernard Woodall (2008). U.S. electricity watchdog issues first violations (June 2008). Reuters. Retrieved on November 13, 2008, from :/uk.reuters /article/rbssIndustryMaterialsUtilitiesNews/idUKN0431655020080604Idaho utility hard drives - and data - turn up on eBay (2006). Computerworld. Retried on November 17, 2008, from :/www puterworld /action/article.do?command=vi