電力單位信息安全現(xiàn)狀與研究

摘要

隨著計(jì)算機(jī)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)系統(tǒng)應(yīng)用已經(jīng)成為人類(lèi)生活的一部分。但是

計(jì)算機(jī)網(wǎng)絡(luò)在給我們提供快捷、方便的同時(shí)，也帶來(lái)了不容忽視的安全問(wèn)題。網(wǎng)

絡(luò)信息安全的防范已成為全社會(huì)的迫切要求，網(wǎng)絡(luò)安全已成為經(jīng)濟(jì)及國(guó)防安全的

重要組成部分。當(dāng)前，某電力單位的網(wǎng)絡(luò)安全也面臨著巨大的威脅，從該單位網(wǎng)

絡(luò)安全設(shè)計(jì)實(shí)際出發(fā)，深入研究了計(jì)算機(jī)網(wǎng)絡(luò)當(dāng)前和未來(lái)面臨的主要安全問(wèn)題，

在此基礎(chǔ)上，設(shè)計(jì)并實(shí)現(xiàn)了某電力單位信息安全系統(tǒng)。

本文首先對(duì)某電力單位信息安全現(xiàn)狀進(jìn)行了分析，在此基礎(chǔ)上，從網(wǎng)絡(luò)可用

性、訪問(wèn)可控性、數(shù)據(jù)保密性、重要操作可管理性四個(gè)方面提出了某電力單位信

息安全系統(tǒng)的需求。其次，針對(duì)實(shí)際需求，提出了某電力單位信息安全系統(tǒng)的設(shè)

計(jì)目標(biāo)及系統(tǒng)數(shù)據(jù)庫(kù)設(shè)計(jì)內(nèi)容。構(gòu)建了一個(gè)基于B/S的，用JSP開(kāi)發(fā)的某電力單

位信息安全系統(tǒng)，采用Oracle%作為該系統(tǒng)的數(shù)據(jù)庫(kù)。其中重點(diǎn)論述某電力單位

信息安全系統(tǒng)中防火墻技術(shù)模塊和入侵檢測(cè)模塊。這是因?yàn)榉阑饓Φ陌踩c否直

接決定了整個(gè)系統(tǒng)的安全與否，而入侵檢測(cè)是防火墻屏障作用的護(hù)衛(wèi)兵，其兩者

是某單位信息安全系統(tǒng)的重要組成部分。某電力單位采用的防火墻是把防火墻程

序做到芯片里面由硬件執(zhí)行這些功能，這種做法能減少CPU的負(fù)擔(dān)，使路由更穩(wěn)

定。入侵檢測(cè)系統(tǒng)是某電力單位信息安全系統(tǒng)的子模塊，它主要包括數(shù)據(jù)嗅探器

模塊、協(xié)議分析模塊、預(yù)處理器模塊、檢測(cè)引擎模塊、報(bào)警記錄模塊、規(guī)則模塊、

日志文件/數(shù)據(jù)庫(kù)組成。

然后，對(duì)設(shè)計(jì)好的某電力單位信息系統(tǒng)進(jìn)行了實(shí)現(xiàn)，主要概述了系統(tǒng)的運(yùn)行

環(huán)境、網(wǎng)絡(luò)產(chǎn)品的選擇與部署。系統(tǒng)的實(shí)現(xiàn)主要從用戶(hù)登錄模塊、防火墻系統(tǒng)實(shí)

現(xiàn)和入侵檢測(cè)實(shí)現(xiàn)三部分構(gòu)成。系統(tǒng)WEB服務(wù)架構(gòu)是

HTML+Ajax+javascript+HTTPserver+CGLWEB端頁(yè)面設(shè)計(jì)采用AjaxAnywhere

技術(shù)。

最后，對(duì)某電力單位信息安全測(cè)試內(nèi)容分為服務(wù)器安全、網(wǎng)絡(luò)安全、應(yīng)用安

全、數(shù)據(jù)安全、安全信息措施檢測(cè)以及系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估等五個(gè)方面。對(duì)該系統(tǒng)

進(jìn)行了屬性測(cè)試、功能測(cè)試及用戶(hù)界面測(cè)試，通過(guò)測(cè)試得出該系統(tǒng)運(yùn)行情況良好。

該系統(tǒng)目前已經(jīng)在某電力單位內(nèi)部進(jìn)行了全面部署，滿(mǎn)足了某電力單位現(xiàn)階

段信息安全需要，并為某電力單位下一步構(gòu)建完善的抵御攻擊系統(tǒng)打下了良好的

基礎(chǔ)。

關(guān)鍵詞：信息安全，防火墻技術(shù)，網(wǎng)絡(luò)檢測(cè)，入侵檢測(cè)

Abstract

ABSTRACT

Alongwiththerapiddevelopmentofcomputertechnology,thenetworksystem

applicationhasbecomeapartofthehumanlife.Butcomputernetworkingiveusto

providefast,convenientandatthesametime,alsobroughttoignoresecurityproblems.

Networkinformationsecurityguardhasbecometheurgentrequirementofthewhole

society,networksecurityhasbecometheeconomicandnationaldefensesecurityisan

importantpartof.Atpresent,apowerunitnetworksecurityisfacedwithgreatthreat,

fromtheunitnetworksecuritydesignreality,adeepresearchonthecomputernetwork

currentandfuturesecurityproblemsofmainfacing,andbasedonthis,adesignandan

implementationofapowerunitofinformationsecuritysystem.

Thispaperfirstforapowerunitinformationsecurityanalysisofthecurrent

situation,onthisbasis,fromnetworkavailability,accesscontrol,dataprivacy,the

importantoperationmanipuilityfouraspectsputforwardapowerunitofinformation

securitysystemneeds.Secondly,inviewoftheactualdemand,putforwardapower

unitinformationsecuritysystemdesigntargetandsystemdatabasedesigncontent.

ConstructabasedonB/S,withJSPdevelopmentofapowerunitofinformationsecurity

system,adoptingOracle9iasthesystemdatabase.Whichfocusesonapowerunit

informationsecuritysystemfirewalltechnologymoduleandintrusiondetectionmodule.

Thisisbecausethefirewallsafetyornotdirectlydeterminethewholesystem'ssecurity

ornot,andintrusiondetectionisabarrierfunctionoftheguards,thebothisaunitof

informationsecuritysystemimportantconstituent.Apowerunitusingfirewallisthe

firewallprogramdochipinsidebythehardwareimplementthesefunctions,this

approachcanreducetheburdenoftheCPU,makeroutingmorestable.Intrusion

detectionsystemisapowerunitofinformationsecuritysystemsonmodule,which

mainlyincludesdatasniffermodule,protocolanalysismodule,preprocessormodule,

testenginemodule,alarmrecordmodule,rulesmodule,logfiles/databasecomposition.

Then,todesignagoodpowerunitinformationsystemwasrealized,mainly

summarizestheoperationofthesystemenvironment,networkproductselectionand

deployment.Therealizationofthesystemmainlyfromtheuserloginmodule,firewall

in

Abstract

andintrusiondetectionsystemimplementationrealizationiscomposedofthreeparts.

SystemWEBservicearchitectureisHTML+Ajax+javascript+HTTPserver+CGI.

WEBendpagedesignUSESAjaxAnywheretechnology.

Finally,toapowerunitinformationsecuritytestcontentisdividedintoserver

security,networksecurity,applicationsecurity,datasecurity,safetyinformation

measurestestingandsystemsafetyriskassessmentinfiveaspectssuchas.Thesystem

attributetest,functiontestanduserinterfacetest,throughthetestsshowedthatthe

systemisrunningingoodcondition.

Thesystemhasbeeninapowerunitinteriorcarriesonthecomprehensive

deployment,meetapowerunitatpresentinformationsecurityneeds,andforapower

unitnextbuildperfectagainstattackssystemhavelaidagoodfoundation.

Keywords:informationsecurity,firewall,intrusiondetection

IV

目錄

目錄

第一章緒論1

1.1論文選題背景及研究意義1

1.2國(guó)內(nèi)外研究現(xiàn)狀1

1.3本文的主要章節(jié)安排2

第二章相關(guān)技術(shù)研究3

2.1系統(tǒng)體系結(jié)構(gòu)3

2.2JSP開(kāi)發(fā)技術(shù)3

2.3數(shù)據(jù)庫(kù)技術(shù)4

2.4TOMCAT服務(wù)器5

2.5防火墻技術(shù)5

2.6虛擬專(zhuān)網(wǎng)（VPN）5

2.7SNORT簡(jiǎn)介6

2.7.1Snort的架構(gòu)及檢測(cè)流程6

2.7.2Snort規(guī)則簡(jiǎn)介7

2.8風(fēng)險(xiǎn)評(píng)估技術(shù)8

2.9本章小結(jié)8

第三章某電力單位信息系統(tǒng)需求分析與設(shè)計(jì)9

3.1某電力單位信息安全的現(xiàn)狀9

3.2某電力單位信息安全的問(wèn)題分析11

3.3某電力單位信息安全系統(tǒng)需求分析11

3.4系統(tǒng)設(shè)計(jì)目標(biāo)12

3.5系統(tǒng)總體設(shè)計(jì)12

3.6系統(tǒng)數(shù)據(jù)庫(kù)設(shè)計(jì)13

3.6本章小結(jié)17

第四章某電力單位信息安全系統(tǒng)實(shí)現(xiàn)18

4.1系統(tǒng)運(yùn)行環(huán)境18

4.1.1網(wǎng)絡(luò)環(huán)境18

4.1.2軟件配置18

v

目錄

4.1.3硬件配置18

4.2網(wǎng)絡(luò)產(chǎn)品選擇與部署18

4.3系統(tǒng)實(shí)現(xiàn)20

4.3.1防火墻技術(shù)的實(shí)現(xiàn)21

4.3.2系統(tǒng)管理端實(shí)現(xiàn)21

4.4本章小結(jié)27

第五章某電力單位信息安全系統(tǒng)測(cè)試28

5.1軟件測(cè)試28

5.2實(shí)驗(yàn)測(cè)試29

5.3測(cè)試結(jié)果31

5.4本章小結(jié)32

第六章論文總結(jié)與展望33

致謝34

參考文獻(xiàn)錯(cuò)誤！未定義書(shū)簽。

附錄I

VI

第一章緒論

第一章緒論

1.1論文選題背景及研究意義

總所周知，電力行業(yè)是我國(guó)國(guó)民經(jīng)濟(jì)的支柱行業(yè)，電力行業(yè)的信息化也是一

直以來(lái)所有領(lǐng)導(dǎo)都在關(guān)心的事情。據(jù)計(jì)算，電力行業(yè)的信息化已經(jīng)發(fā)展了大概

30多年之久。在電力信息化發(fā)展的過(guò)程中，一項(xiàng)最重要的工作就是電力信息安

全的保障。這是因?yàn)椋畔踩渤蔀榱水?dāng)今不可忽視的課題。信息的保密性、

完整性和可用性成為某電力單位信息安全保障的核心。

隨著我國(guó)電力信息化建設(shè)的不斷推進(jìn)，電力信息系統(tǒng)的安全性一直以來(lái)都是

國(guó)際學(xué)術(shù)界最關(guān)注的一個(gè)話(huà)題。但是，目前國(guó)內(nèi)信息系統(tǒng)安全性評(píng)估理論的研究

較少，成熟的安全性自動(dòng)化評(píng)估工具也很缺乏，針對(duì)特定領(lǐng)域的研究更是少之又

少也比如DoS/DDoS拒絕服務(wù)攻擊、Web應(yīng)用攻擊、緩沖區(qū)溢出攻擊、SQL注

入攻擊、XSS跨站腳本攻擊和木馬蠕蟲(chóng)攻擊等有害攻擊和惡意攻擊，這些攻擊

嚴(yán)重影響著電力系統(tǒng)的安全、穩(wěn)定運(yùn)行，據(jù)不完全統(tǒng)計(jì)，自進(jìn)入二十一世界以來(lái)

電力行業(yè)信息安全事故多有發(fā)生，如眾所周知的“二灘電廠停機(jī)事件”、“故障錄

波器事件”、“邏輯炸彈事件”、“換流站病毒感染事件”等，這些事件的發(fā)生對(duì)電

力行業(yè)的運(yùn)行帶來(lái)了很多的重創(chuàng)。從另一個(gè)方面來(lái)說(shuō)也反應(yīng)了電力行業(yè)發(fā)展在信

息安全中存在的問(wèn)題。這些問(wèn)題主要體現(xiàn)在網(wǎng)絡(luò)安全接入方面、安全生產(chǎn)管理方

面、人員信息安全培訓(xùn)等方面。在這種情況下研究電力信息安全系統(tǒng)顯得尤為必

要。

1.2國(guó)內(nèi)外研究現(xiàn)狀

電力信息安全一直是目前比較熱門(mén)的話(huà)題，電力信息安全的受到了世界各國(guó)

的密切關(guān)注，并投入了大量的研究。在美國(guó)，某部的相關(guān)研究辦公室開(kāi)展了探索

新的技術(shù)環(huán)境下電力系統(tǒng)安全運(yùn)行的新理論與新方法的包括了28個(gè)大學(xué)和2個(gè)

電力單位的項(xiàng)目研究，項(xiàng)目為期5年，投資3000萬(wàn)美元，充分說(shuō)明了美國(guó)對(duì)電

力系統(tǒng)安全的重視程度。2008年6月，美國(guó)能源部主持召開(kāi)了“美國(guó)電力傳輸

技術(shù)展望”專(zhuān)題研討會(huì)，提出了到2010年建成國(guó)家電網(wǎng)控制中心，到2030年建

成國(guó)家智能電網(wǎng)即“Grid2030研究計(jì)劃”。

歐洲在電力安全系統(tǒng)方面，采用了工業(yè)界、研究單位、大學(xué)和系統(tǒng)運(yùn)行人員

四類(lèi)人員都參加了由歐盟部分支持的OMASES工業(yè)研究項(xiàng)目，該項(xiàng)目的主要研

1

究?jī)?nèi)容涵蓋了暫態(tài)穩(wěn)定評(píng)估，市場(chǎng)仿真器，EMS運(yùn)行人員的培訓(xùn)仿真器。目前

該系統(tǒng)已在意大利和希臘進(jìn)行投入使用，效果明顯，成效可觀。

在網(wǎng)絡(luò)迅速發(fā)展的當(dāng)今社會(huì)，電力系統(tǒng)的生產(chǎn)運(yùn)行變得越來(lái)越依靠計(jì)算機(jī)通

信技術(shù)，在最近幾年顯得尤為突出，以“智能電網(wǎng)”為代表的電力行業(yè)信息化是

十二五發(fā)展規(guī)劃中的發(fā)展方向，我國(guó)的電力行業(yè)信息化相對(duì)于國(guó)外發(fā)達(dá)國(guó)家的疏

散及不集中控制的發(fā)展模式來(lái)說(shuō)，我國(guó)的電力行業(yè)信息化發(fā)展是采用大集中模式

進(jìn)行發(fā)展的，這種模式具有更為明顯的優(yōu)勢(shì)。

但在取得一系列成效的同時(shí)一，問(wèn)題和不足也相對(duì)明顯，主要體現(xiàn)在由于互聯(lián)

網(wǎng)的開(kāi)放性，使得網(wǎng)絡(luò)和數(shù)據(jù)安全防護(hù)體系越發(fā)不完善，所帶來(lái)的危害也越來(lái)越

大。因此，維護(hù)網(wǎng)絡(luò)和數(shù)據(jù)安全成為行業(yè)信息安全保障工作的重要組成部分，這

也是“十二五”電力安全規(guī)劃的重中之重。

1.3本文的主要章節(jié)安排

本文首先對(duì)某電力單位網(wǎng)絡(luò)安全需求進(jìn)行分析并遵循了《國(guó)家信息安全等級(jí)

保護(hù)管理辦法》網(wǎng)絡(luò)安全的基本設(shè)計(jì)原則，為某電力單位設(shè)計(jì)了一個(gè)合理的信息

安全網(wǎng)絡(luò)系統(tǒng)的應(yīng)用方案，并最終在網(wǎng)絡(luò)安全管理中實(shí)現(xiàn)了此方案。

第一章緒論部分，介紹了論文研究的背景和意義，論文課題在國(guó)內(nèi)外的研究

現(xiàn)狀，論文的主要內(nèi)容和基本組織結(jié)構(gòu)。

第二章介紹了與開(kāi)發(fā)某電力單位信息安全網(wǎng)絡(luò)系統(tǒng)相關(guān)的技術(shù)，如：防火墻

系統(tǒng)的功能和技術(shù)；研究了虛擬專(zhuān)網(wǎng)的工作原理和關(guān)鍵技術(shù)；為后面章節(jié)中網(wǎng)絡(luò)

安全系統(tǒng)的設(shè)計(jì)提供了理論依據(jù)。

第三章通過(guò)對(duì)某電力單位網(wǎng)絡(luò)安全的現(xiàn)狀解讀，找出了網(wǎng)絡(luò)安全的隱患，從

物理安全、網(wǎng)絡(luò)邊界防護(hù)、入侵檢測(cè)與防護(hù)、網(wǎng)絡(luò)設(shè)備安全配置、網(wǎng)絡(luò)設(shè)備及服

務(wù)器無(wú)授權(quán)訪問(wèn)風(fēng)險(xiǎn)、網(wǎng)絡(luò)接入安全、系統(tǒng)安全、終端安全等8個(gè)常見(jiàn)的網(wǎng)絡(luò)安

全隱患點(diǎn)進(jìn)行分析，最終提出了某電力單位網(wǎng)絡(luò)安全新需求。介紹了某電力單位

信息安全系統(tǒng)設(shè)計(jì)的總體概述及系統(tǒng)功能設(shè)計(jì)要求。

第四章完成了對(duì)某電力單位信息安全系統(tǒng)的實(shí)現(xiàn)；從用戶(hù)登錄模塊、里程碑

計(jì)劃管理模塊、安全管理模塊、工程管理模塊、質(zhì)量管理模塊、合同管理模塊等

幾個(gè)方面加以實(shí)現(xiàn)。

第五章主要完成了對(duì)某電力單位信息安全系統(tǒng)的測(cè)試，對(duì)測(cè)試中遇到的問(wèn)題

提出了相應(yīng)的解決方法。

第六章主要完成了論文的工作總結(jié)，及對(duì)下一步工作的展望。

2

第二章相關(guān)技術(shù)研究

第二章相關(guān)技術(shù)研究

本章主要是對(duì)系統(tǒng)的需求，以及項(xiàng)目的完成所需要的技術(shù)進(jìn)行分析與介紹。

主要是介紹了系統(tǒng)實(shí)現(xiàn)的系統(tǒng)的架構(gòu)，采用的開(kāi)發(fā)和方法，還有相關(guān)的實(shí)現(xiàn)的軟

件和硬件的平臺(tái)進(jìn)行了介紹。

2.1系統(tǒng)體系結(jié)構(gòu)

目前管理信息系統(tǒng)較多采用的應(yīng)用軟件系統(tǒng)架構(gòu)有：Client/Server(C/S)模式

與Browser/Server(B/S)模式。兩種模式各自有其自身的優(yōu)點(diǎn)和缺點(diǎn)，本系統(tǒng)根

據(jù)某電力單位現(xiàn)有的業(yè)務(wù)特點(diǎn)選擇了B/S的體系結(jié)構(gòu)。

隨著基于HtmRHttp的Web信息技術(shù)和檢索發(fā)布技術(shù)的不斷發(fā)展，傳統(tǒng)的

C/S客戶(hù)瀏覽器應(yīng)用系統(tǒng)的主從體系結(jié)構(gòu)無(wú)法滿(mǎn)足當(dāng)前靈活的多級(jí)分布式結(jié)構(gòu)的

需求，以Web技術(shù)為核心的信息網(wǎng)絡(luò)體系結(jié)構(gòu)在這種背景下應(yīng)運(yùn)而生，這就是瀏

覽器/服務(wù)器B/S(Browser/Server)結(jié)構(gòu)。這種模式是當(dāng)前較新型的分布層多級(jí)構(gòu)建，

模型系統(tǒng)由瀏覽器和服務(wù)器兩部分組成。服務(wù)器上可以用來(lái)存放應(yīng)用程序和數(shù)據(jù)，

且該服務(wù)器是多層結(jié)構(gòu)的體系，瀏覽器則是用來(lái)為服務(wù)器服務(wù)的，瀏覽器可以用

來(lái)下載服務(wù)器上的動(dòng)態(tài)擴(kuò)展應(yīng)用程序，通過(guò)以上可以看出B/S系統(tǒng)處理的數(shù)據(jù)類(lèi)

型可以是動(dòng)態(tài)擴(kuò)展的。這也從側(cè)面說(shuō)明了以B/S模式的有點(diǎn)是服務(wù)器上集中了所

有系統(tǒng)的維護(hù)工作，而客戶(hù)端不需要任何維護(hù)，這大大減輕了客戶(hù)端的負(fù)擔(dān)，客

戶(hù)只要有合法授權(quán)的瀏覽器就可以方便使用⑹。典型的B/S結(jié)構(gòu)如圖2-1所示：

B/S結(jié)構(gòu)是一個(gè)開(kāi)放的結(jié)構(gòu)，是C/S結(jié)構(gòu)的漸變模型，在這種模型下，用戶(hù)的

所有活動(dòng)都可以在WWW瀏覽器中進(jìn)行，在服務(wù)器端進(jìn)行一些相關(guān)事務(wù)的處理，

對(duì)處理完的相關(guān)程序從客戶(hù)端利用Web瀏覽器進(jìn)行下載執(zhí)行、應(yīng)用。B/S的主要

特征在于具有廣泛的信息發(fā)布能力，因?yàn)锽/S結(jié)構(gòu)建立在廣域網(wǎng)上；能夠?qū)?/p>

VBScript,JavaScript,PerkActiveX技術(shù)融會(huì)貫通，可以大大節(jié)約或降低開(kāi)發(fā)成

本，再者B/S體系結(jié)構(gòu)對(duì)前端的用戶(hù)數(shù)目沒(méi)有限制，適用于系統(tǒng)同用戶(hù)交互量不

大的情形。

2.2JSP開(kāi)發(fā)技術(shù)

3

JSP的英文全稱(chēng)是JavaServerPage,中文全稱(chēng)是Java服務(wù)器語(yǔ)言，是一種基

于JavaServlet的動(dòng)態(tài)網(wǎng)頁(yè)開(kāi)發(fā)技術(shù)，尉^Java程序片段（Scriptlet）和JSP標(biāo)記（tag）

加入傳統(tǒng)的網(wǎng)頁(yè)HTML文件中，這就是JSP網(wǎng)頁(yè)（*.JSP）。一個(gè)運(yùn)行JSP的體系至

少包括Web服務(wù)器、JSP引擎和JVMQava虛擬機(jī)）三個(gè)邏輯部分。使用JSP可以

將業(yè)務(wù)邏輯和網(wǎng)頁(yè)界面設(shè)計(jì)分開(kāi)，用Html或XML標(biāo)識(shí)設(shè)計(jì)頁(yè)面，用JSP標(biāo)識(shí)或

Java腳本程序生成動(dòng)態(tài)內(nèi)容，并封裝在JavaBean中。

JSP具有以下優(yōu)點(diǎn)：

（1）固定的小模塊編寫(xiě)，便于開(kāi)發(fā)程序的引用和調(diào)用。

（2）JSP具有優(yōu)越的跨平臺(tái)性能，具有更高的可擴(kuò)展性，更容易的廣泛的應(yīng)用

與推廣性。

（3）JSP具有強(qiáng)大的可伸縮性，可處理的腳本程序小到幾K,大到幾百幾千甚

至是多個(gè)服務(wù)器端或服務(wù)器/客戶(hù)機(jī)端的大量處理信息和數(shù)據(jù)。

（4）JSP具有強(qiáng)大的功能組件和開(kāi)發(fā)包，且下載非常容易。

2.3數(shù)據(jù)庫(kù)技術(shù)

“數(shù)據(jù)庫(kù)管理系統(tǒng)（DBMS）是用來(lái)建立數(shù)據(jù)庫(kù)、使用數(shù)據(jù)庫(kù)、提供數(shù)據(jù)操作

語(yǔ)言、對(duì)數(shù)據(jù)的合法性和安全性等進(jìn)行管理的軟件系統(tǒng)”[⑶。隨著信息技術(shù)的發(fā)

展，數(shù)據(jù)庫(kù)技術(shù)也在發(fā)生很多的變化，從之前的Access等小型數(shù)據(jù)庫(kù)管理系統(tǒng)、

MySQL、Sybase到當(dāng)前的企業(yè)廣泛應(yīng)用的Oracle,這些都預(yù)示著企業(yè)在數(shù)據(jù)庫(kù)的

應(yīng)用上越來(lái)越注重其安全性。

在Oracle眾多版本中，目前使用最為廣泛的是Oracle11g數(shù)據(jù)庫(kù)。這是因?yàn)?/p>

（1）Oracle11g提供深入的以業(yè)務(wù)需求為指導(dǎo)的IT系統(tǒng)服務(wù)，這種功能能夠直接

監(jiān)控和管理企業(yè)。同時(shí)一，該功能還能通過(guò)用戶(hù)體驗(yàn)管理、商務(wù)交易管理以及企業(yè)

服務(wù)管理幫助企業(yè)實(shí)現(xiàn)業(yè)務(wù)創(chuàng)新和效益的增長(zhǎng)（2）Oracle企業(yè)管理器11g是在

6.5版的功能上建立起來(lái)的新的應(yīng)用系統(tǒng)，11g在原來(lái)的基礎(chǔ)上增加了Oracle電子

商務(wù)套件及OracleSiebelCRM、還包括了基于Java的應(yīng)用軟件，雖然Oracle11g

集成了這么強(qiáng)大的功能，但是它只有一個(gè)控制臺(tái)就可以實(shí)現(xiàn)以上所有功能。（3）

Oracle11g通過(guò)自動(dòng)發(fā)現(xiàn)交易可實(shí)現(xiàn)端到端的可視性交易，這種交易對(duì)跨不同部門(mén)

的IT單位具有良好的使用效率，也能很好的解決業(yè)務(wù)中所遇到的問(wèn)題等方法有效

實(shí)現(xiàn)商務(wù)交易管理。（4）Oracle11g能夠在全面的服務(wù)狀態(tài)顯示板中自動(dòng)發(fā)現(xiàn)企業(yè)

服務(wù)，如開(kāi)具賬單和付運(yùn)，以及深入了解服務(wù)實(shí)施情況，為企業(yè)提供端到端的性

4

第二章相關(guān)技術(shù)研究

能分析和診斷。(5)集成式應(yīng)用至磁盤(pán)管理，它能夠全面管理Oracle的產(chǎn)品，包

括應(yīng)用軟件、中間件、數(shù)據(jù)庫(kù)、操作系統(tǒng)、虛擬化和硬件，能夠自動(dòng)查找問(wèn)題并

自行將問(wèn)題進(jìn)行解決。

2.4Tomcat月艮務(wù)器

Tomcat是一個(gè)基于Java的可運(yùn)行servlet和JSPWeb應(yīng)用軟件的開(kāi)放源代碼容

器⑼。TomcatServer是執(zhí)行servlet和JSP規(guī)范的服務(wù)器，換一種說(shuō)法，我們可以

說(shuō)TomcatServer執(zhí)行了Apache.Jakarta規(guī)范。

當(dāng)前，Tomcat第四版的性能比較穩(wěn)定，它是在JavaServlet2.2和JavaServer

Pages1.1技術(shù)的版本上發(fā)展而來(lái)的，具有更強(qiáng)的穩(wěn)定性和應(yīng)用性，特別是Apache

服務(wù)適配器，兼容了ServletAPI2.2和JSP1.1的Servlet/JSP容器。為此目前WEB

服務(wù)器采用較多的還是Tomcat。

2.5防火墻技術(shù)

防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟硬件組合。防火墻對(duì)

經(jīng)過(guò)它的網(wǎng)絡(luò)通信進(jìn)行掃描，這樣能夠過(guò)濾一些攻擊,以免其在目標(biāo)計(jì)算機(jī)上被執(zhí)

行。

防火墻是一種成熟的主動(dòng)防御技術(shù)，傳統(tǒng)上主要分為3類(lèi):包過(guò)濾防火墻

(packetfilter)＞應(yīng)用級(jí)防火墻(proxyfilter)＞鏈路級(jí)防火墻。它可通過(guò)監(jiān)測(cè)、限制、

更改跨越防火墻的數(shù)據(jù)流，對(duì)內(nèi)部信息進(jìn)行保密，不讓外部環(huán)境影響內(nèi)部信息的

流通和運(yùn)行情況。更能很好的阻止外部網(wǎng)絡(luò)的信息摻雜到內(nèi)部網(wǎng)絡(luò)中，具有很好

的屏障作用。最終起到保護(hù)訪問(wèn)內(nèi)部網(wǎng)絡(luò)資源;保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)

互聯(lián)設(shè)備，以此來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)安全。

目前已有一些防火墻廠家已經(jīng)開(kāi)發(fā)出一種狀態(tài)檢查多級(jí)防火墻，其目的是將

目前所存在的幾種防火墻進(jìn)行整合，整合成一種多級(jí)防火墻的形式，這種防火墻

對(duì)應(yīng)用層的數(shù)據(jù)具有良好的識(shí)別和處理功能，對(duì)網(wǎng)絡(luò)的包過(guò)濾也可以很好的查處，

最后還提供了…些輔助性工作，如內(nèi)容過(guò)濾，反病毒保護(hù)，入侵防護(hù)和網(wǎng)絡(luò)行為

和使用報(bào)表等，集合了普通防火墻的大部分功能，具有很好的應(yīng)用價(jià)值。

2.6虛擬專(zhuān)網(wǎng)(VPN)

5

虛擬專(zhuān)網(wǎng)(VPN,VirtualPrivateNetwork)是一種通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行封包和加

密，在公網(wǎng)上傳輸私有數(shù)據(jù)，同時(shí)保證私有網(wǎng)絡(luò)的安全，從而利用公網(wǎng)構(gòu)筑某電

力單位專(zhuān)用的組網(wǎng)技術(shù)?網(wǎng)。簡(jiǎn)單地說(shuō)，VPN就是通過(guò)Internet實(shí)現(xiàn)低成本通訊的

一種技術(shù)。從客觀上可以認(rèn)為VPN就是一種具有私有和專(zhuān)用特點(diǎn)網(wǎng)絡(luò)通信環(huán)境。

它是通過(guò)虛擬的組網(wǎng)技術(shù)，而非構(gòu)建物理的專(zhuān)用網(wǎng)絡(luò)的手段來(lái)達(dá)到的。

2.7Snort簡(jiǎn)介

Snort是一個(gè)基于libpcap的輕量級(jí)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，通過(guò)誤用檢測(cè)規(guī)則來(lái)檢

測(cè)攻擊“久它具有實(shí)時(shí)數(shù)據(jù)流量分析和日志IP網(wǎng)絡(luò)數(shù)據(jù)包的能力，能夠快速地檢

測(cè)網(wǎng)絡(luò)攻擊，及時(shí)地發(fā)出警報(bào)；能夠進(jìn)行協(xié)議分析，對(duì)內(nèi)容搜索/匹配，能夠檢測(cè)

多種方式的攻擊和探測(cè)，對(duì)攻擊進(jìn)行實(shí)時(shí)警報(bào)例如：緩沖區(qū)溢出，CGI攻擊，SMB

檢測(cè)，探測(cè)操作系統(tǒng)質(zhì)問(wèn)特征的企圖等等。Snort主要有兩種設(shè)置模式：

□sniffer模式:sniffer模式在數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)時(shí)，拷貝一份數(shù)據(jù)包做比對(duì)，如果

檢測(cè)到符合規(guī)則(rule),就會(huì)做日志(log)記錄，但是在這種模式下不能做切斷之類(lèi)

的其他操作［23。

2)inline模式:該模式在實(shí)際運(yùn)作過(guò)程中不需要另外復(fù)制一份數(shù)據(jù)包，它直接對(duì)

包掃描，判斷是否存在入侵情況，決定要做告警、替換、拒絕、通過(guò)等操作。inline

模式需要運(yùn)用iptables控制策略。由iptables送到由ip_queue隊(duì)列的中，而snort

再?gòu)钠渲凶x取封包來(lái)做比對(duì)。

Snort是指“通過(guò)對(duì)行為、安全日志或?qū)徲?jì)數(shù)據(jù)或其它網(wǎng)絡(luò)上可以獲得的信息

進(jìn)行操作，檢測(cè)到對(duì)系統(tǒng)的闖入或闖入的企圖”(參見(jiàn)國(guó)標(biāo)GB/T18336)。入浸檢測(cè)

技術(shù)是為保證計(jì)算機(jī)系統(tǒng)的安全而設(shè)計(jì)與配置的一種能夠及時(shí)發(fā)現(xiàn)并報(bào)告系統(tǒng)未

授權(quán)或異常現(xiàn)象的技術(shù)，是一種用于檢測(cè)計(jì)算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。

2.7.1Snort的架構(gòu)及檢測(cè)流程

Snort入侵檢測(cè)系統(tǒng)主要由四部分組成:數(shù)據(jù)嗅探模塊(Sniffer)、數(shù)據(jù)包解碼器

(decoder)＞預(yù)處理器(PreProcessor)、檢測(cè)引擎(DetectionEngine)和告警與記錄模

塊(Alert/Logging嚴(yán)工下圖顯示了snort的主要系統(tǒng)組成和基本的數(shù)據(jù)處理流程。

數(shù)據(jù)嗅探模塊(Sniffer)是Snort工作的開(kāi)始，Snort沒(méi)有自己的捕包工具，它使

用一個(gè)外部的捕包程序庫(kù)Libpcap從物理鏈路上進(jìn)行捕包。Snort按照TCP/IP協(xié)議

的不同層次對(duì)收集來(lái)的包進(jìn)行解碼，解碼后的包數(shù)據(jù)將堆滿(mǎn)一個(gè)數(shù)據(jù)結(jié)構(gòu)。包數(shù)

6

第二章相關(guān)技術(shù)研究

據(jù)一被存入數(shù)據(jù)結(jié)構(gòu)中，就會(huì)迅速被送到預(yù)處理程序和檢測(cè)引擎進(jìn)行分析，然后

在引擎包中被檢測(cè)出來(lái)。這些檢測(cè)出來(lái)的信息都是觸發(fā)規(guī)則鏈中的某些信息規(guī)則

的。

數(shù)據(jù)包解碼器主要是對(duì)各種協(xié)議棧上的數(shù)據(jù)包進(jìn)行解析、預(yù)處理，以便提交

給檢測(cè)引擎進(jìn)行規(guī)則匹配。解碼器運(yùn)行在各種協(xié)議棧之上，從數(shù)據(jù)鏈路層到傳輸

層，最后到應(yīng)用層，因?yàn)楫?dāng)前網(wǎng)絡(luò)中的數(shù)據(jù)流速度很快，如何保障較高的速度是

解碼器子系統(tǒng)中的一個(gè)重點(diǎn)。

報(bào)警輸出與記錄模塊的功能是主要對(duì)檢測(cè)中告警信息，通過(guò)網(wǎng)絡(luò)、soeket通信

服務(wù)、WindowsPopup、SMB或SNMP的trap命令等方式發(fā)送到服務(wù)器中，并寫(xiě)

入系統(tǒng)日志，進(jìn)而可以選擇只在數(shù)據(jù)庫(kù)進(jìn)行記錄，供用戶(hù)日后查詢(xún)，或者直接以

Web的方式顯示出來(lái)。

2.7.2Snort規(guī)則簡(jiǎn)介

規(guī)則集是Snort的攻擊特征庫(kù)，它是由一條條規(guī)則組成。這些規(guī)則都是針對(duì)入侵

行為提煉出它的特征值，并按照規(guī)范寫(xiě)成檢測(cè)規(guī)則。Snort通過(guò)它來(lái)識(shí)別攻擊行為。

Snort使用一種簡(jiǎn)單的、輕量級(jí)的規(guī)則描述語(yǔ)言，這種語(yǔ)言靈活而強(qiáng)大。

Snort規(guī)則可以分為規(guī)則頭和規(guī)則選項(xiàng)兩個(gè)邏輯部分：規(guī)則選項(xiàng)則主要存儲(chǔ)包含

告警信息和用于確定是否觸發(fā)規(guī)則響應(yīng)動(dòng)作而需檢查的數(shù)據(jù)包的詳細(xì)信息而規(guī)

則頭主要用于存儲(chǔ)包含規(guī)則行為、協(xié)議、源和目標(biāo)IP地址、子網(wǎng)掩碼以及源和

目的端口等信息。

針對(duì)每一條Snort規(guī)則，我們從邏輯上，都可以把它劃分為兩部分，規(guī)則頭(括

號(hào)左邊的內(nèi)容)和規(guī)則選項(xiàng)(括號(hào)內(nèi)的內(nèi)容)。

每一個(gè)規(guī)則頭包含都還有規(guī)則行為、所使用協(xié)議類(lèi)型、源IP地址及源端口、

數(shù)據(jù)的傳輸方向、目標(biāo)IP地址及目標(biāo)通信端口。動(dòng)作包括三類(lèi):告警(Alert),日志

(Log)和通行(Pass)。這三類(lèi)代表了Snort對(duì)包的三種處理方式，我們用的最多的就

是alert動(dòng)作，當(dāng)時(shí)用著個(gè)動(dòng)作時(shí)，則其會(huì)將報(bào)警信息寫(xiě)入到相關(guān)的日志中去。

在源、目的地址、端口中可以使用any來(lái)代表任意的地址或端口，還可以使用

符號(hào)!來(lái)表明取非運(yùn)算。IP地址可以被指定為一個(gè)CIDR的地址塊，端口也可以指定

一個(gè)范圍，在目的和源地址之間可以使用標(biāo)識(shí)符來(lái)指明方向。

Snort系統(tǒng)入侵檢測(cè)引擎是規(guī)則選項(xiàng)部分的核心內(nèi)容，其作用是在規(guī)則頭信息

7

的基礎(chǔ)上對(duì)規(guī)則選項(xiàng)作出進(jìn)一步分析，然后對(duì)復(fù)雜的攻擊進(jìn)行進(jìn)一步確認(rèn)。規(guī)則

選項(xiàng)部分的內(nèi)容由一個(gè)或幾個(gè)選項(xiàng)組成，“；”分隔用來(lái)表示選項(xiàng)之間的參數(shù)”

分隔表示關(guān)鍵字和值之間的參數(shù)分類(lèi)，其內(nèi)容主要包括以下4類(lèi):數(shù)據(jù)包相關(guān)特征的

說(shuō)明選項(xiàng)、規(guī)則的說(shuō)明選項(xiàng)、動(dòng)作選項(xiàng)、修飾。

下面是…個(gè)規(guī)則范例：

alerttcpanyany->/24111(content:"1000186a5l";msg:"mountd

access";)

該規(guī)則表示監(jiān)控的網(wǎng)絡(luò)數(shù)據(jù)的協(xié)議為T(mén)CP協(xié)議，源地址、源端口為任意值，方

向?yàn)橛赏庀騼?nèi)，內(nèi)部的網(wǎng)絡(luò)地址為子網(wǎng)/24,端口號(hào)111,當(dāng)發(fā)現(xiàn)數(shù)據(jù)包

中有“000186a5”內(nèi)容時(shí)，Snort會(huì)發(fā)送報(bào)警信息mountdaccesso

2.8風(fēng)險(xiǎn)評(píng)估技術(shù)

風(fēng)險(xiǎn)評(píng)估是對(duì)信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生的可能

性的評(píng)估12支它是確認(rèn)安全風(fēng)險(xiǎn)及其大小的過(guò)程，即利用定性或定量的方法，借

助于風(fēng)險(xiǎn)評(píng)估工具，確定信息資產(chǎn)的風(fēng)險(xiǎn)等級(jí)和優(yōu)先風(fēng)險(xiǎn)控制，它是網(wǎng)絡(luò)安全防

御中的一項(xiàng)重要技術(shù)，掃描器采用模擬攻擊的形式對(duì)目標(biāo)可能存在的已知安全漏

洞進(jìn)行逐項(xiàng)檢查，然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提供周密可靠的安全性分析報(bào)

告，為提高網(wǎng)絡(luò)安全水平提供重要依據(jù)。

2.9本章小結(jié)

本章對(duì)網(wǎng)絡(luò)安全與防護(hù)的關(guān)鍵技術(shù)進(jìn)行了探討，主要介紹了網(wǎng)絡(luò)安全與防護(hù)

三種關(guān)鍵技術(shù)：防火墻、入侵檢測(cè)技術(shù)、VPN。介紹了安全隔離技術(shù)的分類(lèi)，防

火墻系統(tǒng)的功能和技術(shù)；研究了虛擬專(zhuān)網(wǎng)的工作原理和關(guān)鍵技術(shù)；Snort及iptables

工作原理，為后面章節(jié)中網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計(jì)提供了理論依據(jù)。

8

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

第三章某電力單位信息系統(tǒng)需求分析與設(shè)計(jì)

某省電力是國(guó)家電網(wǎng)公司的全資子公司，負(fù)責(zé)該省南部地區(qū)電網(wǎng)規(guī)劃建設(shè)、

運(yùn)營(yíng)管理和電力交易。營(yíng)業(yè)區(qū)域包括石家莊、保定、衡水、滄州、邢臺(tái)、邯鄲6

市，102個(gè)縣（區(qū)、市），面積&36萬(wàn)平方公里，人口約4600萬(wàn)人。公司現(xiàn)有供

電、科研、設(shè)計(jì)、施工、修造、培訓(xùn)中心等基層單位16個(gè)，職工人數(shù)2.64萬(wàn)人，

資產(chǎn)總額307.42億元。根據(jù)該單位的情況我們按照軟件工程的規(guī)范進(jìn)行了系統(tǒng)

的需求分析與設(shè)計(jì)。

3.1某電力單位信息安全的現(xiàn)狀

經(jīng)過(guò)調(diào)研得知某電力單位傳統(tǒng)的局域網(wǎng)絡(luò)體系結(jié)構(gòu)存在諸多不安全因素。下

面將從物理層安全、網(wǎng)絡(luò)層邊界防護(hù)和訪問(wèn)控制、通信保密、入侵檢測(cè)、蠕蟲(chóng)病

毒防護(hù)、網(wǎng)絡(luò)接入安全、系統(tǒng)安全、終端安全等幾個(gè)方面，針對(duì)某電力單位的實(shí)

際情況，從具體的網(wǎng)絡(luò)結(jié)構(gòu)出發(fā)，分析網(wǎng)絡(luò)的安全狀況。

物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體設(shè)備免遭地震、水災(zāi)、

火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過(guò)

程儂L某電力單位網(wǎng)絡(luò)的物理層安全主要包括三個(gè)方面：

（1）網(wǎng)絡(luò)邊界防護(hù)

不同安全區(qū)域之間存在非法攻擊的現(xiàn)象。某電力單位的網(wǎng)絡(luò)大體上分為四個(gè)

層次，某電力單位局域網(wǎng)絡(luò)、生產(chǎn)網(wǎng)絡(luò)的連接、省廣域網(wǎng)絡(luò)、國(guó)家局的廣域網(wǎng)絡(luò)

和互聯(lián)網(wǎng)網(wǎng)絡(luò)，四個(gè)層次屬于不同的網(wǎng)絡(luò)安全域，不同的安全區(qū)域之間可能會(huì)存

在非法訪問(wèn)和非法攻擊。

數(shù)據(jù)中心（服務(wù)器群）核心與局域網(wǎng)交換核心之間處于不同的安全邊界，需

要考慮邊界防護(hù)mi。某電力單位服務(wù)器群是數(shù)據(jù)應(yīng)用中心，這里包括與生產(chǎn)、

物流、營(yíng)銷(xiāo)、財(cái)務(wù)等業(yè)務(wù)相關(guān)的重要服務(wù)器。內(nèi)部的網(wǎng)絡(luò)交換和外部線(xiàn)路接入都

有可能對(duì)這些重要服務(wù)器安全造成威脅，合理的保護(hù)這些服務(wù)器群，就需要對(duì)這

些服務(wù)器進(jìn)行群安全隔離和控制，并做好數(shù)據(jù)中心的邊界防護(hù)。

（2）入侵檢測(cè)

某電力單位重要的數(shù)據(jù)中心（服務(wù)器群）、核心網(wǎng)段以及Internet邊界都需

要有網(wǎng)絡(luò)監(jiān)控與實(shí)時(shí)防護(hù)措施，如果沒(méi)有一個(gè)監(jiān)控的手段，對(duì)來(lái)源于外網(wǎng)穿過(guò)防

火墻的非法攻擊和內(nèi)部的非法攻擊都將無(wú)法監(jiān)控。

（3）網(wǎng)絡(luò)設(shè)備配置安全

9

某電力單位網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備包括路由器、交換機(jī)、防火墻等。設(shè)備配置安

全十分重要，如果設(shè)備出現(xiàn)故障，會(huì)出現(xiàn)局部甚至整個(gè)網(wǎng)絡(luò)癱瘓的嚴(yán)重后果。某

電力單位網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備都沒(méi)有進(jìn)行安全配置，部分網(wǎng)絡(luò)設(shè)備配置存在安全漏

洞，存在一定的安全隱患，攻擊者可以輕易的獲得、修改系統(tǒng)的重要參數(shù)，這樣

攻擊者很容易獲得管理權(quán)限，所以需要對(duì)網(wǎng)絡(luò)設(shè)備自身的安全性做好嚴(yán)格控制。

（4）網(wǎng)絡(luò)設(shè)備及服務(wù)器無(wú)授權(quán)訪問(wèn)風(fēng)險(xiǎn)

某電力單位網(wǎng)絡(luò)里有很多的路由、交換、和重要的服務(wù)器設(shè)備，這些設(shè)備目

前大部分沒(méi)有進(jìn)行安全優(yōu)化和安全加固，一旦被一些未授權(quán)的用戶(hù)非法訪問(wèn)，可

能會(huì)對(duì)網(wǎng)絡(luò)整體安全造成很大的影響。

（5）網(wǎng)絡(luò)接入安全

病毒、蠕蟲(chóng)和間諜軟件等新興網(wǎng)絡(luò)安全威脅繼續(xù)損害客戶(hù)利益并使機(jī)構(gòu)損失

大量的金錢(qián)、生產(chǎn)率和機(jī)會(huì)。與此同時(shí)，移動(dòng)計(jì)算的普及進(jìn)一步加劇了威脅。移

動(dòng)用戶(hù)能夠從家里或公共結(jié)點(diǎn)連接互聯(lián)網(wǎng)或辦公室網(wǎng)絡(luò)，常在無(wú)意中輕易地感染

病毒并將其帶進(jìn)某電力單位環(huán)境，進(jìn)而感染網(wǎng)絡(luò)。網(wǎng)絡(luò)接入安全也是一項(xiàng)重要的

工作。

對(duì)于某電力單位網(wǎng)絡(luò)的主機(jī)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)而言，存在主要的風(fēng)險(xiǎn)是病毒

的入侵和系統(tǒng)漏洞。

目前某電力單位的防病毒體系并不完善。某電力單位布置了防病毒系統(tǒng)防病

毒產(chǎn)品是Symantec某電力單位版，但由于沒(méi)有及時(shí)更新升級(jí)，未能做到對(duì)病毒

的有效防范。常見(jiàn)的漏洞隱患主要有：允許空連接（低風(fēng)險(xiǎn)）；管理員/用戶(hù)弱口

令（高風(fēng)險(xiǎn)）；SQLServersa用戶(hù)口令為空（高風(fēng)險(xiǎn)）；RPCdcom漏洞（高風(fēng)險(xiǎn)）；

webdav漏洞（高風(fēng)險(xiǎn)）；WindowsMessenger遠(yuǎn)程溢出漏洞（高風(fēng)險(xiǎn)）；其他漏洞

比如SQLServer的漏洞，ExchangeServer等的漏洞。

在整個(gè)信息安全體系中，個(gè)人終端計(jì)算機(jī)的安全是最脆弱的，也是最易被利

用，很大一部分蠕蟲(chóng)、病毒和特洛伊木馬都是針對(duì)微軟的操作系統(tǒng)的漏洞實(shí)施攻

擊，微軟幾乎每5天就要發(fā)布一次安全補(bǔ)丁，對(duì)于某電力單位來(lái)說(shuō)，如何管理好

終端的安全性成為一個(gè)迫切需要解決的問(wèn)題。

終端的安全問(wèn)題，其根源在于兩個(gè)方面：

1、安全補(bǔ)丁是否能夠及時(shí)更新。

2、是否能夠建立統(tǒng)一的、強(qiáng)制的系統(tǒng)安全策略。

由于終端使用者的安全意識(shí)和技術(shù)能力薄弱，無(wú)法對(duì)終端操作系統(tǒng)進(jìn)行基本

的安全管理配置和及時(shí)的補(bǔ)丁更新，同時(shí)，在使用過(guò)程中，也缺乏安全意識(shí)。使

得這些終端工作站最容易成為黑客攻擊目標(biāo)，同時(shí)，也往往成為網(wǎng)絡(luò)蠕蟲(chóng)病毒爆

發(fā)的重災(zāi)區(qū)，嚴(yán)重影響了業(yè)務(wù)系統(tǒng)的正常運(yùn)行。

10

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

3.2某電力單位信息安全的問(wèn)題分析

隨著某電力單位業(yè)務(wù)的發(fā)展，對(duì)網(wǎng)絡(luò)系統(tǒng)的可靠性、安全性、可管理性以及

可用性方面的要求也越來(lái)越高。從總體上來(lái)講，現(xiàn)有的網(wǎng)絡(luò)體系已經(jīng)不能很好地

適應(yīng)和滿(mǎn)足某電力單位未來(lái)業(yè)務(wù)的需要，主要體現(xiàn)在以下幾個(gè)方面：

（1）重要的安全區(qū)域缺乏有效的安全隔離措施，供電網(wǎng)和管理網(wǎng)沒(méi)有有效

的安全隔離機(jī)制，供電網(wǎng)和管理網(wǎng)之間也沒(méi)有網(wǎng)絡(luò)安全監(jiān)控措施，對(duì)來(lái)源于外網(wǎng)

穿過(guò)防火墻的非法攻擊和內(nèi)部的非法攻擊都將無(wú)法監(jiān)控。

（2）缺乏有效的入侵防范機(jī)制，盡管Internet出口處已經(jīng)部署了防火墻，

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，單純依靠防火墻已經(jīng)無(wú)法滿(mǎn)足網(wǎng)絡(luò)安全的需要，各種

各樣的來(lái)自?xún)?nèi)、外部的黑客都在嘗試著用不同的方式來(lái)攻擊現(xiàn)有的網(wǎng)絡(luò)體系，一

旦卷煙廠的核心應(yīng)用區(qū)域受到攻擊手段的破壞，將造成災(zāi)難性的后果。

（3）缺乏對(duì)桌面終端的管理手段和工具，目前很多員工的工作基于計(jì)算機(jī)

進(jìn)行,桌面終端所帶來(lái)的安全隱患也將會(huì)影響到整個(gè)網(wǎng)絡(luò)體系，一旦某一個(gè)漏洞、

弱點(diǎn)被攻擊者利用，后果也十分嚴(yán)重。

（4）缺少安全管理方面有效的手段和工具，隨著未來(lái)網(wǎng)絡(luò)規(guī)模的發(fā)展，越

來(lái)越多的應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端的增加，需要一個(gè)個(gè)全面的網(wǎng)絡(luò)

安全綜合管理平臺(tái)，以及嚴(yán)格的安全管理機(jī)制，通過(guò)建立相應(yīng)的事先預(yù)警機(jī)制和

出現(xiàn)問(wèn)題后的及時(shí)發(fā)現(xiàn)、解決問(wèn)題的手段和工具，并且能對(duì)網(wǎng)絡(luò)的狀況做實(shí)時(shí)的

監(jiān)控和評(píng)測(cè)以發(fā)現(xiàn)潛在的故障和安全隱患。一旦無(wú)法及時(shí)發(fā)現(xiàn)、控制、解決問(wèn)題，

也將影響到某電力單位的運(yùn)營(yíng)。

（5）缺乏有效的蠕蟲(chóng)病毒防范機(jī)制，全廠盡管都部署了網(wǎng)絡(luò)防毒軟件系統(tǒng),

但根據(jù)實(shí)際效果來(lái)看，都不是很理想，對(duì)病毒的預(yù)警、防范、查殺和控制擴(kuò)散方

面都存在著嚴(yán)重的不足，這主要體現(xiàn)在管理策略不夠理想；蠕蟲(chóng)或者病毒的傳播

速度特別快，只需要短短幾分鐘便可襲擊整個(gè)網(wǎng)絡(luò)。哪怕這種攻擊不會(huì)對(duì)整個(gè)網(wǎng)

絡(luò)造成太多的破壞，但也可能會(huì)產(chǎn)生大量的網(wǎng)絡(luò)流量，嚴(yán)重影響某電力單位開(kāi)展

業(yè)務(wù)的能力，從而導(dǎo)致網(wǎng)絡(luò)中斷。

根據(jù)現(xiàn)有計(jì)算機(jī)網(wǎng)絡(luò)的業(yè)務(wù)應(yīng)用特點(diǎn)，在當(dāng)前復(fù)雜的網(wǎng)絡(luò)應(yīng)用環(huán)境下，必須

保證網(wǎng)絡(luò)中的數(shù)據(jù)具有實(shí)時(shí)性，問(wèn)題如果得不到解決，某電力單位的效率將會(huì)受

到嚴(yán)重影響。因此，必須重新分析局域網(wǎng)的安全新需求。

3.3某電力單位信息安全系統(tǒng)需求分析

隨著電力行業(yè)計(jì)算機(jī)信息網(wǎng)絡(luò)建設(shè)的不斷發(fā)展，各類(lèi)應(yīng)用的不斷深入，電力

行業(yè)的經(jīng)營(yíng)模式已經(jīng)由傳統(tǒng)模式逐漸向網(wǎng)絡(luò)經(jīng)營(yíng)的模式轉(zhuǎn)變。電力行業(yè)競(jìng)爭(zhēng)尤為

II

激烈，加上某電力單位技術(shù)中心業(yè)務(wù)量的飛速增長(zhǎng)，對(duì)內(nèi)對(duì)外信息交流越來(lái)越頻

繁，同時(shí)為響應(yīng)全國(guó)電力行業(yè)網(wǎng)的建設(shè)要求，所以某電力單位技術(shù)中心建設(shè)高性

能的局域網(wǎng)是非常必要的。網(wǎng)絡(luò)的開(kāi)放性、互連性和共享性，以及隨著網(wǎng)絡(luò)上電

子商務(wù)、網(wǎng)絡(luò)電子銀行等新業(yè)務(wù)的興起，使得網(wǎng)絡(luò)安全問(wèn)題變得越來(lái)越重要。

目前某電力單位內(nèi)部網(wǎng)絡(luò)有以下幾個(gè)方面的需求：

(1)訪問(wèn)可控性：系統(tǒng)要求能夠可靠確認(rèn)訪問(wèn)者的身份，謹(jǐn)慎授權(quán)，并對(duì)任

何訪問(wèn)進(jìn)行跟蹤記錄，對(duì)關(guān)鍵網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)的訪問(wèn)必須得到有效的控制【26】。

(2)數(shù)據(jù)保密性。

(3)重要操作可管理性。

根據(jù)以上對(duì)某電力單位內(nèi)部網(wǎng)絡(luò)的業(yè)務(wù)與安全性分析可以看出，建立新的網(wǎng)

絡(luò)安全防護(hù)系統(tǒng)顯得尤為必要。

3.4系統(tǒng)設(shè)計(jì)目標(biāo)

根據(jù)以上的需求分析，依據(jù)公安部頒布的《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)

要求》(GB/T22239-2008)和《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》(GB”

22240-2008)中相關(guān)規(guī)定和標(biāo)準(zhǔn)規(guī)范，以安全等級(jí)保護(hù)和風(fēng)險(xiǎn)評(píng)估為手段，對(duì)重

要信息系統(tǒng)實(shí)施等級(jí)劃分和安全保護(hù)，實(shí)現(xiàn)物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)

用安全、數(shù)據(jù)安全及備份恢復(fù)等功能。

目前，電力信息安全系統(tǒng)屬于信息系統(tǒng)安全等級(jí)保護(hù)三級(jí)。通過(guò)對(duì)電力信息

安全系統(tǒng)重要業(yè)務(wù)和數(shù)據(jù)資源的安全保障需求進(jìn)行分析發(fā)現(xiàn)，在逐步建立和完善

國(guó)家電力信息網(wǎng)絡(luò)系統(tǒng)、業(yè)務(wù)應(yīng)用系統(tǒng)的同時(shí)，必須適度構(gòu)建電力系統(tǒng)信息安全

保障體系。通過(guò)部署防火墻(VPN)、入侵檢測(cè)/防御設(shè)備，加強(qiáng)網(wǎng)絡(luò)區(qū)域邊界安

全；在各操作系統(tǒng)、應(yīng)用系統(tǒng)中部署流量控制設(shè)備、病毒與惡意代碼防范措施，

提高系統(tǒng)通訊防護(hù)能力；通過(guò)設(shè)立安全互聯(lián)部件和跨級(jí)系統(tǒng)安全管理中心，實(shí)現(xiàn)

跨級(jí)業(yè)務(wù)系統(tǒng)之間的數(shù)據(jù)安全交換。為保證機(jī)房的供電和環(huán)境溫濕度，需要適時(shí)

添置精密空調(diào)和改造供電環(huán)境。

3.5系統(tǒng)總體設(shè)計(jì)

為了保護(hù)電力系統(tǒng)的安全，我們通過(guò)防火墻技術(shù)和入侵檢測(cè)技術(shù)實(shí)現(xiàn)對(duì)病

毒、非法訪問(wèn)、木馬、惡意攻擊等的防御，使電力系統(tǒng)免受攻擊。系統(tǒng)的核心是

防護(hù)墻和入侵檢測(cè)，他們?yōu)橄到y(tǒng)系統(tǒng)了保護(hù)的作用。為了使用戶(hù)能夠很好的使用

系統(tǒng)提供的防火墻及入侵檢測(cè)系統(tǒng)，我們?cè)O(shè)計(jì)了系統(tǒng)管理模塊，他包括系統(tǒng)的登

錄模塊、系統(tǒng)的管理模塊、網(wǎng)絡(luò)配置模塊、防火墻配置模塊、入侵檢測(cè)配置模塊。

12

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

3.6系統(tǒng)數(shù)據(jù)庫(kù)設(shè)計(jì)

從以上目標(biāo)出發(fā)，該系統(tǒng)的數(shù)據(jù)庫(kù)設(shè)計(jì)主要圍繞工作流進(jìn)行設(shè)計(jì)，具體設(shè)計(jì)

方法如下：

通過(guò)創(chuàng)建表FlowActivitylnfo,FlowRoutelnfo和FlowRulelnfo用來(lái)存取活

動(dòng)和路由相應(yīng)的屬性值。具體如圖3-1,3-2,3-3。

其中主要字段設(shè)定如下：

ActivityID和RoutelD可以由員工自己定義，ActivityName和RouteName為

固定值，ActivityType定義了五種類(lèi)型如表3-1：

表3-1ActivityType各值含義

ActivityType代表含義

FlowStart流程開(kāi)始

Start活動(dòng)的開(kāi)始

Auto自動(dòng)方式

Manual手動(dòng)方式

End結(jié)束

RouteType定義了兩種類(lèi)型，見(jiàn)表3-2。

表3-2RouteType與RouteName對(duì)應(yīng)表

RouteTypeRouteName

Sequence順序路由

Branch分支路由

FlowActivityText中除了前面的ID和Name外，還有賦予了NextRoute的值，

定義了該活動(dòng)后由哪個(gè)路由來(lái)引導(dǎo)。

FlowRuleText中則對(duì)NextActivity賦值，定義了該路由的終點(diǎn)，也就是下一

個(gè)活動(dòng)。

IconUrl里是圖標(biāo)所在的路徑。

結(jié)合以上內(nèi)容實(shí)現(xiàn)工作流設(shè)計(jì)器，對(duì)執(zhí)行者相關(guān)表進(jìn)行如下創(chuàng)建：

a.部門(mén)、機(jī)構(gòu)、人員表結(jié)構(gòu)，見(jiàn)表3?3、表3-4和表3?5。

表3-3部門(mén)信息表

13

字段名描述類(lèi)型長(zhǎng)度是否允空是否主鍵

DeptName部門(mén)名稱(chēng)varchar30否否

DeptTelephone部門(mén)電話(huà)varchar50是否

DeptID部門(mén)ID號(hào)（標(biāo)識(shí)）int4否是

CorpID機(jī)構(gòu)1D號(hào)int4否否

DeptFunotion部門(mén)職責(zé)varchar500是否

DeptLevel部門(mén)級(jí)別int4是否

DeptAcronym部門(mén)縮寫(xiě)varchar10是否

IsValid是否有效char1否否

說(shuō)明：部門(mén)是機(jī)構(gòu)的下一級(jí)單位,一個(gè)機(jī)構(gòu)可以有多個(gè)部門(mén)，但一個(gè)部門(mén)只能屬于一個(gè)

機(jī)構(gòu)，且只屬于一個(gè)機(jī)構(gòu)。

表3-4機(jī)構(gòu)信息表

字段名描述類(lèi)型長(zhǎng)度是否允空是否主鍵

CorpCode機(jī)構(gòu)代碼varchar6否否

CorporationName機(jī)構(gòu)名稱(chēng)varchar60否否

ServerIP服務(wù)器IP地址varchar50是否

CorpType機(jī)構(gòu)類(lèi)型char1否否

Address地址varchar200是否

City所在城市varchar30是否

CorpTelephone機(jī)構(gòu)電話(huà)varchar50是否

IsDefault是否默認(rèn)bit1否否

CorpID機(jī)構(gòu)ID號(hào)（標(biāo)識(shí)）int4否是

PostalCode郵政編碼varchar50是否

URL鏈接varchar50是否

ArtificialPerson法人int4是否

CorpAcronym機(jī)構(gòu)縮寫(xiě)varchar10是否

IsValid是否有效char1否否

DisplayOrder顯示順序int4否否

說(shuō)明：機(jī)構(gòu)在本系統(tǒng)中是行政級(jí)別的最高級(jí)別。

表3-5人員信息表

字段名描述類(lèi)型長(zhǎng)度是否允空是否主鍵

UserID用戶(hù)ID號(hào)（標(biāo)識(shí)）int4否是

14

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

EmployeelD員工姓名縮寫(xiě)varchar10否否

Password密碼char50否否

CorpID機(jī)構(gòu)ID號(hào)int4否否

Manager領(lǐng)導(dǎo)int4是否

Email電子郵箱varchar100是否

Telephone電話(huà)varchar50是否

EmployeeName員工姓名varchar50是否

Mobile手機(jī)varchar20是否

PostlnfoBoxSize信箱大小int4否否

AccountName賬戶(hù)名稱(chēng)varchar50是否

DesPassword重復(fù)密碼varchar100是否

說(shuō)明：人員信息表記錄的是用戶(hù)的相關(guān)信息，包括個(gè)人基本信息、工作信息、，賬戶(hù)信息等,

表3-6安全信息表

字段名描述類(lèi)型長(zhǎng)度是否允空是否主鍵

UserID用戶(hù)ID號(hào)（標(biāo)識(shí)）int4否是

EmployeelD員工姓名縮寫(xiě)varchar10否否

Password密碼char50否否

CorpID機(jī)構(gòu)ID號(hào)int4否否

RiskManage風(fēng)險(xiǎn)管理varchar50是否

AssertManage資產(chǎn)管理varchar100是否

SecurityEventM安全事件管理varchar50是否

VulnerabilityM

脆弱性管理varchar50是否

Earlywarning

預(yù)警功能varchar20是否

WorkOrderM

工單管理varchar50是否

ReportManagement

報(bào)表管理varchar50是否

權(quán)限訪問(wèn)控制是通過(guò)用戶(hù)、角色、模塊三級(jí)結(jié)構(gòu)實(shí)現(xiàn)的，見(jiàn)表3-6,3-7,3-8。

表3-7角色信息表

字段名描述類(lèi)型長(zhǎng)度是否允空是否主鍵

RoleName角色名稱(chēng)varchar50否否

RoleDesc角色描述varchar100是否

15

CorpID機(jī)構(gòu)ID號(hào)int4否否

RolelD角色I(xiàn)D號(hào)（;標(biāo)識(shí)）int4否