電力單位信息安全現(xiàn)狀與研究

摘要

隨著計(jì)算機(jī)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)系統(tǒng)應(yīng)用已經(jīng)成為人類生活的一部分。但是

計(jì)算機(jī)網(wǎng)絡(luò)在給我們提供快捷、方便的同時，也帶來了不容忽視的安全問題。網(wǎng)

絡(luò)信息安全的防范已成為全社會的迫切要求，網(wǎng)絡(luò)安全已成為經(jīng)濟(jì)及國防安全的

重要組成部分。當(dāng)前，某電力單位的網(wǎng)絡(luò)安全也面臨著巨大的威脅，從該單位網(wǎng)

絡(luò)安全設(shè)計(jì)實(shí)際出發(fā)，深入研究了計(jì)算機(jī)網(wǎng)絡(luò)當(dāng)前和未來面臨的主要安全問題，

在此基礎(chǔ)上，設(shè)計(jì)并實(shí)現(xiàn)了某電力單位信息安全系統(tǒng)。

本文首先對某電力單位信息安全現(xiàn)狀進(jìn)行了分析，在此基礎(chǔ)上，從網(wǎng)絡(luò)可用

性、訪問可控性、數(shù)據(jù)保密性、重要操作可管理性四個方面提出了某電力單位信

息安全系統(tǒng)的需求。其次，針對實(shí)際需求，提出了某電力單位信息安全系統(tǒng)的設(shè)

計(jì)目標(biāo)及系統(tǒng)數(shù)據(jù)庫設(shè)計(jì)內(nèi)容。構(gòu)建了一個基于B/S的，用JSP開發(fā)的某電力單

位信息安全系統(tǒng)，采用Oracle%作為該系統(tǒng)的數(shù)據(jù)庫。其中重點(diǎn)論述某電力單位

信息安全系統(tǒng)中防火墻技術(shù)模塊和入侵檢測模塊。這是因?yàn)榉阑饓Φ陌踩c否直

接決定了整個系統(tǒng)的安全與否，而入侵檢測是防火墻屏障作用的護(hù)衛(wèi)兵，其兩者

是某單位信息安全系統(tǒng)的重要組成部分。某電力單位采用的防火墻是把防火墻程

序做到芯片里面由硬件執(zhí)行這些功能，這種做法能減少CPU的負(fù)擔(dān)，使路由更穩(wěn)

定。入侵檢測系統(tǒng)是某電力單位信息安全系統(tǒng)的子模塊，它主要包括數(shù)據(jù)嗅探器

模塊、協(xié)議分析模塊、預(yù)處理器模塊、檢測引擎模塊、報(bào)警記錄模塊、規(guī)則模塊、

日志文件/數(shù)據(jù)庫組成。

然后，對設(shè)計(jì)好的某電力單位信息系統(tǒng)進(jìn)行了實(shí)現(xiàn)，主要概述了系統(tǒng)的運(yùn)行

環(huán)境、網(wǎng)絡(luò)產(chǎn)品的選擇與部署。系統(tǒng)的實(shí)現(xiàn)主要從用戶登錄模塊、防火墻系統(tǒng)實(shí)

現(xiàn)和入侵檢測實(shí)現(xiàn)三部分構(gòu)成。系統(tǒng)WEB服務(wù)架構(gòu)是

HTML+Ajax+javascript+HTTPserver+CGLWEB端頁面設(shè)計(jì)采用AjaxAnywhere

技術(shù)。

最后，對某電力單位信息安全測試內(nèi)容分為服務(wù)器安全、網(wǎng)絡(luò)安全、應(yīng)用安

全、數(shù)據(jù)安全、安全信息措施檢測以及系統(tǒng)安全風(fēng)險評估等五個方面。對該系統(tǒng)

進(jìn)行了屬性測試、功能測試及用戶界面測試，通過測試得出該系統(tǒng)運(yùn)行情況良好。

該系統(tǒng)目前已經(jīng)在某電力單位內(nèi)部進(jìn)行了全面部署，滿足了某電力單位現(xiàn)階

段信息安全需要，并為某電力單位下一步構(gòu)建完善的抵御攻擊系統(tǒng)打下了良好的

基礎(chǔ)。

關(guān)鍵詞：信息安全，防火墻技術(shù)，網(wǎng)絡(luò)檢測，入侵檢測

Abstract

ABSTRACT

Alongwiththerapiddevelopmentofcomputertechnology,thenetworksystem

applicationhasbecomeapartofthehumanlife.Butcomputernetworkingiveusto

providefast,convenientandatthesametime,alsobroughttoignoresecurityproblems.

Networkinformationsecurityguardhasbecometheurgentrequirementofthewhole

society,networksecurityhasbecometheeconomicandnationaldefensesecurityisan

importantpartof.Atpresent,apowerunitnetworksecurityisfacedwithgreatthreat,

fromtheunitnetworksecuritydesignreality,adeepresearchonthecomputernetwork

currentandfuturesecurityproblemsofmainfacing,andbasedonthis,adesignandan

implementationofapowerunitofinformationsecuritysystem.

Thispaperfirstforapowerunitinformationsecurityanalysisofthecurrent

situation,onthisbasis,fromnetworkavailability,accesscontrol,dataprivacy,the

importantoperationmanipuilityfouraspectsputforwardapowerunitofinformation

securitysystemneeds.Secondly,inviewoftheactualdemand,putforwardapower

unitinformationsecuritysystemdesigntargetandsystemdatabasedesigncontent.

ConstructabasedonB/S,withJSPdevelopmentofapowerunitofinformationsecurity

system,adoptingOracle9iasthesystemdatabase.Whichfocusesonapowerunit

informationsecuritysystemfirewalltechnologymoduleandintrusiondetectionmodule.

Thisisbecausethefirewallsafetyornotdirectlydeterminethewholesystem'ssecurity

ornot,andintrusiondetectionisabarrierfunctionoftheguards,thebothisaunitof

informationsecuritysystemimportantconstituent.Apowerunitusingfirewallisthe

firewallprogramdochipinsidebythehardwareimplementthesefunctions,this

approachcanreducetheburdenoftheCPU,makeroutingmorestable.Intrusion

detectionsystemisapowerunitofinformationsecuritysystemsonmodule,which

mainlyincludesdatasniffermodule,protocolanalysismodule,preprocessormodule,

testenginemodule,alarmrecordmodule,rulesmodule,logfiles/databasecomposition.

Then,todesignagoodpowerunitinformationsystemwasrealized,mainly

summarizestheoperationofthesystemenvironment,networkproductselectionand

deployment.Therealizationofthesystemmainlyfromtheuserloginmodule,firewall

in

Abstract

andintrusiondetectionsystemimplementationrealizationiscomposedofthreeparts.

SystemWEBservicearchitectureisHTML+Ajax+javascript+HTTPserver+CGI.

WEBendpagedesignUSESAjaxAnywheretechnology.

Finally,toapowerunitinformationsecuritytestcontentisdividedintoserver

security,networksecurity,applicationsecurity,datasecurity,safetyinformation

measurestestingandsystemsafetyriskassessmentinfiveaspectssuchas.Thesystem

attributetest,functiontestanduserinterfacetest,throughthetestsshowedthatthe

systemisrunningingoodcondition.

Thesystemhasbeeninapowerunitinteriorcarriesonthecomprehensive

deployment,meetapowerunitatpresentinformationsecurityneeds,andforapower

unitnextbuildperfectagainstattackssystemhavelaidagoodfoundation.

Keywords:informationsecurity,firewall,intrusiondetection

IV

目錄

目錄

第一章緒論1

1.1論文選題背景及研究意義1

1.2國內(nèi)外研究現(xiàn)狀1

1.3本文的主要章節(jié)安排2

第二章相關(guān)技術(shù)研究3

2.1系統(tǒng)體系結(jié)構(gòu)3

2.2JSP開發(fā)技術(shù)3

2.3數(shù)據(jù)庫技術(shù)4

2.4TOMCAT服務(wù)器5

2.5防火墻技術(shù)5

2.6虛擬專網(wǎng)（VPN）5

2.7SNORT簡介6

2.7.1Snort的架構(gòu)及檢測流程6

2.7.2Snort規(guī)則簡介7

2.8風(fēng)險評估技術(shù)8

2.9本章小結(jié)8

第三章某電力單位信息系統(tǒng)需求分析與設(shè)計(jì)9

3.1某電力單位信息安全的現(xiàn)狀9

3.2某電力單位信息安全的問題分析11

3.3某電力單位信息安全系統(tǒng)需求分析11

3.4系統(tǒng)設(shè)計(jì)目標(biāo)12

3.5系統(tǒng)總體設(shè)計(jì)12

3.6系統(tǒng)數(shù)據(jù)庫設(shè)計(jì)13

3.6本章小結(jié)17

第四章某電力單位信息安全系統(tǒng)實(shí)現(xiàn)18

4.1系統(tǒng)運(yùn)行環(huán)境18

4.1.1網(wǎng)絡(luò)環(huán)境18

4.1.2軟件配置18

v

目錄

4.1.3硬件配置18

4.2網(wǎng)絡(luò)產(chǎn)品選擇與部署18

4.3系統(tǒng)實(shí)現(xiàn)20

4.3.1防火墻技術(shù)的實(shí)現(xiàn)21

4.3.2系統(tǒng)管理端實(shí)現(xiàn)21

4.4本章小結(jié)27

第五章某電力單位信息安全系統(tǒng)測試28

5.1軟件測試28

5.2實(shí)驗(yàn)測試29

5.3測試結(jié)果31

5.4本章小結(jié)32

第六章論文總結(jié)與展望33

致謝34

參考文獻(xiàn)錯誤！未定義書簽。

附錄I

VI

第一章緒論

第一章緒論

1.1論文選題背景及研究意義

總所周知，電力行業(yè)是我國國民經(jīng)濟(jì)的支柱行業(yè)，電力行業(yè)的信息化也是一

直以來所有領(lǐng)導(dǎo)都在關(guān)心的事情。據(jù)計(jì)算，電力行業(yè)的信息化已經(jīng)發(fā)展了大概

30多年之久。在電力信息化發(fā)展的過程中，一項(xiàng)最重要的工作就是電力信息安

全的保障。這是因?yàn)?，信息安全也成為了?dāng)今不可忽視的課題。信息的保密性、

完整性和可用性成為某電力單位信息安全保障的核心。

隨著我國電力信息化建設(shè)的不斷推進(jìn)，電力信息系統(tǒng)的安全性一直以來都是

國際學(xué)術(shù)界最關(guān)注的一個話題。但是，目前國內(nèi)信息系統(tǒng)安全性評估理論的研究

較少，成熟的安全性自動化評估工具也很缺乏，針對特定領(lǐng)域的研究更是少之又

少也比如DoS/DDoS拒絕服務(wù)攻擊、Web應(yīng)用攻擊、緩沖區(qū)溢出攻擊、SQL注

入攻擊、XSS跨站腳本攻擊和木馬蠕蟲攻擊等有害攻擊和惡意攻擊，這些攻擊

嚴(yán)重影響著電力系統(tǒng)的安全、穩(wěn)定運(yùn)行，據(jù)不完全統(tǒng)計(jì)，自進(jìn)入二十一世界以來

電力行業(yè)信息安全事故多有發(fā)生，如眾所周知的“二灘電廠停機(jī)事件”、“故障錄

波器事件”、“邏輯炸彈事件”、“換流站病毒感染事件”等，這些事件的發(fā)生對電

力行業(yè)的運(yùn)行帶來了很多的重創(chuàng)。從另一個方面來說也反應(yīng)了電力行業(yè)發(fā)展在信

息安全中存在的問題。這些問題主要體現(xiàn)在網(wǎng)絡(luò)安全接入方面、安全生產(chǎn)管理方

面、人員信息安全培訓(xùn)等方面。在這種情況下研究電力信息安全系統(tǒng)顯得尤為必

要。

1.2國內(nèi)外研究現(xiàn)狀

電力信息安全一直是目前比較熱門的話題，電力信息安全的受到了世界各國

的密切關(guān)注，并投入了大量的研究。在美國，某部的相關(guān)研究辦公室開展了探索

新的技術(shù)環(huán)境下電力系統(tǒng)安全運(yùn)行的新理論與新方法的包括了28個大學(xué)和2個

電力單位的項(xiàng)目研究，項(xiàng)目為期5年，投資3000萬美元，充分說明了美國對電

力系統(tǒng)安全的重視程度。2008年6月，美國能源部主持召開了“美國電力傳輸

技術(shù)展望”專題研討會，提出了到2010年建成國家電網(wǎng)控制中心，到2030年建

成國家智能電網(wǎng)即“Grid2030研究計(jì)劃”。

歐洲在電力安全系統(tǒng)方面，采用了工業(yè)界、研究單位、大學(xué)和系統(tǒng)運(yùn)行人員

四類人員都參加了由歐盟部分支持的OMASES工業(yè)研究項(xiàng)目，該項(xiàng)目的主要研

1

究內(nèi)容涵蓋了暫態(tài)穩(wěn)定評估，市場仿真器，EMS運(yùn)行人員的培訓(xùn)仿真器。目前

該系統(tǒng)已在意大利和希臘進(jìn)行投入使用，效果明顯，成效可觀。

在網(wǎng)絡(luò)迅速發(fā)展的當(dāng)今社會，電力系統(tǒng)的生產(chǎn)運(yùn)行變得越來越依靠計(jì)算機(jī)通

信技術(shù)，在最近幾年顯得尤為突出，以“智能電網(wǎng)”為代表的電力行業(yè)信息化是

十二五發(fā)展規(guī)劃中的發(fā)展方向，我國的電力行業(yè)信息化相對于國外發(fā)達(dá)國家的疏

散及不集中控制的發(fā)展模式來說，我國的電力行業(yè)信息化發(fā)展是采用大集中模式

進(jìn)行發(fā)展的，這種模式具有更為明顯的優(yōu)勢。

但在取得一系列成效的同時一，問題和不足也相對明顯，主要體現(xiàn)在由于互聯(lián)

網(wǎng)的開放性，使得網(wǎng)絡(luò)和數(shù)據(jù)安全防護(hù)體系越發(fā)不完善，所帶來的危害也越來越

大。因此，維護(hù)網(wǎng)絡(luò)和數(shù)據(jù)安全成為行業(yè)信息安全保障工作的重要組成部分，這

也是“十二五”電力安全規(guī)劃的重中之重。

1.3本文的主要章節(jié)安排

本文首先對某電力單位網(wǎng)絡(luò)安全需求進(jìn)行分析并遵循了《國家信息安全等級

保護(hù)管理辦法》網(wǎng)絡(luò)安全的基本設(shè)計(jì)原則，為某電力單位設(shè)計(jì)了一個合理的信息

安全網(wǎng)絡(luò)系統(tǒng)的應(yīng)用方案，并最終在網(wǎng)絡(luò)安全管理中實(shí)現(xiàn)了此方案。

第一章緒論部分，介紹了論文研究的背景和意義，論文課題在國內(nèi)外的研究

現(xiàn)狀，論文的主要內(nèi)容和基本組織結(jié)構(gòu)。

第二章介紹了與開發(fā)某電力單位信息安全網(wǎng)絡(luò)系統(tǒng)相關(guān)的技術(shù)，如：防火墻

系統(tǒng)的功能和技術(shù)；研究了虛擬專網(wǎng)的工作原理和關(guān)鍵技術(shù)；為后面章節(jié)中網(wǎng)絡(luò)

安全系統(tǒng)的設(shè)計(jì)提供了理論依據(jù)。

第三章通過對某電力單位網(wǎng)絡(luò)安全的現(xiàn)狀解讀，找出了網(wǎng)絡(luò)安全的隱患，從

物理安全、網(wǎng)絡(luò)邊界防護(hù)、入侵檢測與防護(hù)、網(wǎng)絡(luò)設(shè)備安全配置、網(wǎng)絡(luò)設(shè)備及服

務(wù)器無授權(quán)訪問風(fēng)險、網(wǎng)絡(luò)接入安全、系統(tǒng)安全、終端安全等8個常見的網(wǎng)絡(luò)安

全隱患點(diǎn)進(jìn)行分析，最終提出了某電力單位網(wǎng)絡(luò)安全新需求。介紹了某電力單位

信息安全系統(tǒng)設(shè)計(jì)的總體概述及系統(tǒng)功能設(shè)計(jì)要求。

第四章完成了對某電力單位信息安全系統(tǒng)的實(shí)現(xiàn)；從用戶登錄模塊、里程碑

計(jì)劃管理模塊、安全管理模塊、工程管理模塊、質(zhì)量管理模塊、合同管理模塊等

幾個方面加以實(shí)現(xiàn)。

第五章主要完成了對某電力單位信息安全系統(tǒng)的測試，對測試中遇到的問題

提出了相應(yīng)的解決方法。

第六章主要完成了論文的工作總結(jié)，及對下一步工作的展望。

2

第二章相關(guān)技術(shù)研究

第二章相關(guān)技術(shù)研究

本章主要是對系統(tǒng)的需求，以及項(xiàng)目的完成所需要的技術(shù)進(jìn)行分析與介紹。

主要是介紹了系統(tǒng)實(shí)現(xiàn)的系統(tǒng)的架構(gòu)，采用的開發(fā)和方法，還有相關(guān)的實(shí)現(xiàn)的軟

件和硬件的平臺進(jìn)行了介紹。

2.1系統(tǒng)體系結(jié)構(gòu)

目前管理信息系統(tǒng)較多采用的應(yīng)用軟件系統(tǒng)架構(gòu)有：Client/Server(C/S)模式

與Browser/Server(B/S)模式。兩種模式各自有其自身的優(yōu)點(diǎn)和缺點(diǎn)，本系統(tǒng)根

據(jù)某電力單位現(xiàn)有的業(yè)務(wù)特點(diǎn)選擇了B/S的體系結(jié)構(gòu)。

隨著基于HtmRHttp的Web信息技術(shù)和檢索發(fā)布技術(shù)的不斷發(fā)展，傳統(tǒng)的

C/S客戶瀏覽器應(yīng)用系統(tǒng)的主從體系結(jié)構(gòu)無法滿足當(dāng)前靈活的多級分布式結(jié)構(gòu)的

需求，以Web技術(shù)為核心的信息網(wǎng)絡(luò)體系結(jié)構(gòu)在這種背景下應(yīng)運(yùn)而生，這就是瀏

覽器/服務(wù)器B/S(Browser/Server)結(jié)構(gòu)。這種模式是當(dāng)前較新型的分布層多級構(gòu)建，

模型系統(tǒng)由瀏覽器和服務(wù)器兩部分組成。服務(wù)器上可以用來存放應(yīng)用程序和數(shù)據(jù)，

且該服務(wù)器是多層結(jié)構(gòu)的體系，瀏覽器則是用來為服務(wù)器服務(wù)的，瀏覽器可以用

來下載服務(wù)器上的動態(tài)擴(kuò)展應(yīng)用程序，通過以上可以看出B/S系統(tǒng)處理的數(shù)據(jù)類

型可以是動態(tài)擴(kuò)展的。這也從側(cè)面說明了以B/S模式的有點(diǎn)是服務(wù)器上集中了所

有系統(tǒng)的維護(hù)工作，而客戶端不需要任何維護(hù)，這大大減輕了客戶端的負(fù)擔(dān)，客

戶只要有合法授權(quán)的瀏覽器就可以方便使用⑹。典型的B/S結(jié)構(gòu)如圖2-1所示：

B/S結(jié)構(gòu)是一個開放的結(jié)構(gòu)，是C/S結(jié)構(gòu)的漸變模型，在這種模型下，用戶的

所有活動都可以在WWW瀏覽器中進(jìn)行，在服務(wù)器端進(jìn)行一些相關(guān)事務(wù)的處理，

對處理完的相關(guān)程序從客戶端利用Web瀏覽器進(jìn)行下載執(zhí)行、應(yīng)用。B/S的主要

特征在于具有廣泛的信息發(fā)布能力，因?yàn)锽/S結(jié)構(gòu)建立在廣域網(wǎng)上；能夠?qū)?/p>

VBScript,JavaScript,PerkActiveX技術(shù)融會貫通，可以大大節(jié)約或降低開發(fā)成

本，再者B/S體系結(jié)構(gòu)對前端的用戶數(shù)目沒有限制，適用于系統(tǒng)同用戶交互量不

大的情形。

2.2JSP開發(fā)技術(shù)

3

JSP的英文全稱是JavaServerPage,中文全稱是Java服務(wù)器語言，是一種基

于JavaServlet的動態(tài)網(wǎng)頁開發(fā)技術(shù)，尉^Java程序片段（Scriptlet）和JSP標(biāo)記（tag）

加入傳統(tǒng)的網(wǎng)頁HTML文件中，這就是JSP網(wǎng)頁（*.JSP）。一個運(yùn)行JSP的體系至

少包括Web服務(wù)器、JSP引擎和JVMQava虛擬機(jī)）三個邏輯部分。使用JSP可以

將業(yè)務(wù)邏輯和網(wǎng)頁界面設(shè)計(jì)分開，用Html或XML標(biāo)識設(shè)計(jì)頁面，用JSP標(biāo)識或

Java腳本程序生成動態(tài)內(nèi)容，并封裝在JavaBean中。

JSP具有以下優(yōu)點(diǎn)：

（1）固定的小模塊編寫，便于開發(fā)程序的引用和調(diào)用。

（2）JSP具有優(yōu)越的跨平臺性能，具有更高的可擴(kuò)展性，更容易的廣泛的應(yīng)用

與推廣性。

（3）JSP具有強(qiáng)大的可伸縮性，可處理的腳本程序小到幾K,大到幾百幾千甚

至是多個服務(wù)器端或服務(wù)器/客戶機(jī)端的大量處理信息和數(shù)據(jù)。

（4）JSP具有強(qiáng)大的功能組件和開發(fā)包，且下載非常容易。

2.3數(shù)據(jù)庫技術(shù)

“數(shù)據(jù)庫管理系統(tǒng)（DBMS）是用來建立數(shù)據(jù)庫、使用數(shù)據(jù)庫、提供數(shù)據(jù)操作

語言、對數(shù)據(jù)的合法性和安全性等進(jìn)行管理的軟件系統(tǒng)”[⑶。隨著信息技術(shù)的發(fā)

展，數(shù)據(jù)庫技術(shù)也在發(fā)生很多的變化，從之前的Access等小型數(shù)據(jù)庫管理系統(tǒng)、

MySQL、Sybase到當(dāng)前的企業(yè)廣泛應(yīng)用的Oracle,這些都預(yù)示著企業(yè)在數(shù)據(jù)庫的

應(yīng)用上越來越注重其安全性。

在Oracle眾多版本中，目前使用最為廣泛的是Oracle11g數(shù)據(jù)庫。這是因?yàn)?/p>

（1）Oracle11g提供深入的以業(yè)務(wù)需求為指導(dǎo)的IT系統(tǒng)服務(wù)，這種功能能夠直接

監(jiān)控和管理企業(yè)。同時一，該功能還能通過用戶體驗(yàn)管理、商務(wù)交易管理以及企業(yè)

服務(wù)管理幫助企業(yè)實(shí)現(xiàn)業(yè)務(wù)創(chuàng)新和效益的增長（2）Oracle企業(yè)管理器11g是在

6.5版的功能上建立起來的新的應(yīng)用系統(tǒng)，11g在原來的基礎(chǔ)上增加了Oracle電子

商務(wù)套件及OracleSiebelCRM、還包括了基于Java的應(yīng)用軟件，雖然Oracle11g

集成了這么強(qiáng)大的功能，但是它只有一個控制臺就可以實(shí)現(xiàn)以上所有功能。（3）

Oracle11g通過自動發(fā)現(xiàn)交易可實(shí)現(xiàn)端到端的可視性交易，這種交易對跨不同部門

的IT單位具有良好的使用效率，也能很好的解決業(yè)務(wù)中所遇到的問題等方法有效

實(shí)現(xiàn)商務(wù)交易管理。（4）Oracle11g能夠在全面的服務(wù)狀態(tài)顯示板中自動發(fā)現(xiàn)企業(yè)

服務(wù)，如開具賬單和付運(yùn)，以及深入了解服務(wù)實(shí)施情況，為企業(yè)提供端到端的性

4

第二章相關(guān)技術(shù)研究

能分析和診斷。(5)集成式應(yīng)用至磁盤管理，它能夠全面管理Oracle的產(chǎn)品，包

括應(yīng)用軟件、中間件、數(shù)據(jù)庫、操作系統(tǒng)、虛擬化和硬件，能夠自動查找問題并

自行將問題進(jìn)行解決。

2.4Tomcat月艮務(wù)器

Tomcat是一個基于Java的可運(yùn)行servlet和JSPWeb應(yīng)用軟件的開放源代碼容

器⑼。TomcatServer是執(zhí)行servlet和JSP規(guī)范的服務(wù)器，換一種說法，我們可以

說TomcatServer執(zhí)行了Apache.Jakarta規(guī)范。

當(dāng)前，Tomcat第四版的性能比較穩(wěn)定，它是在JavaServlet2.2和JavaServer

Pages1.1技術(shù)的版本上發(fā)展而來的，具有更強(qiáng)的穩(wěn)定性和應(yīng)用性，特別是Apache

服務(wù)適配器，兼容了ServletAPI2.2和JSP1.1的Servlet/JSP容器。為此目前WEB

服務(wù)器采用較多的還是Tomcat。

2.5防火墻技術(shù)

防火墻就是一個位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟硬件組合。防火墻對

經(jīng)過它的網(wǎng)絡(luò)通信進(jìn)行掃描，這樣能夠過濾一些攻擊,以免其在目標(biāo)計(jì)算機(jī)上被執(zhí)

行。

防火墻是一種成熟的主動防御技術(shù)，傳統(tǒng)上主要分為3類:包過濾防火墻

(packetfilter)＞應(yīng)用級防火墻(proxyfilter)＞鏈路級防火墻。它可通過監(jiān)測、限制、

更改跨越防火墻的數(shù)據(jù)流，對內(nèi)部信息進(jìn)行保密，不讓外部環(huán)境影響內(nèi)部信息的

流通和運(yùn)行情況。更能很好的阻止外部網(wǎng)絡(luò)的信息摻雜到內(nèi)部網(wǎng)絡(luò)中，具有很好

的屏障作用。最終起到保護(hù)訪問內(nèi)部網(wǎng)絡(luò)資源;保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)

互聯(lián)設(shè)備，以此來實(shí)現(xiàn)網(wǎng)絡(luò)安全。

目前已有一些防火墻廠家已經(jīng)開發(fā)出一種狀態(tài)檢查多級防火墻，其目的是將

目前所存在的幾種防火墻進(jìn)行整合，整合成一種多級防火墻的形式，這種防火墻

對應(yīng)用層的數(shù)據(jù)具有良好的識別和處理功能，對網(wǎng)絡(luò)的包過濾也可以很好的查處，

最后還提供了…些輔助性工作，如內(nèi)容過濾，反病毒保護(hù)，入侵防護(hù)和網(wǎng)絡(luò)行為

和使用報(bào)表等，集合了普通防火墻的大部分功能，具有很好的應(yīng)用價值。

2.6虛擬專網(wǎng)(VPN)

5

虛擬專網(wǎng)(VPN,VirtualPrivateNetwork)是一種通過對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行封包和加

密，在公網(wǎng)上傳輸私有數(shù)據(jù)，同時保證私有網(wǎng)絡(luò)的安全，從而利用公網(wǎng)構(gòu)筑某電

力單位專用的組網(wǎng)技術(shù)?網(wǎng)。簡單地說，VPN就是通過Internet實(shí)現(xiàn)低成本通訊的

一種技術(shù)。從客觀上可以認(rèn)為VPN就是一種具有私有和專用特點(diǎn)網(wǎng)絡(luò)通信環(huán)境。

它是通過虛擬的組網(wǎng)技術(shù)，而非構(gòu)建物理的專用網(wǎng)絡(luò)的手段來達(dá)到的。

2.7Snort簡介

Snort是一個基于libpcap的輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)，通過誤用檢測規(guī)則來檢

測攻擊“久它具有實(shí)時數(shù)據(jù)流量分析和日志IP網(wǎng)絡(luò)數(shù)據(jù)包的能力，能夠快速地檢

測網(wǎng)絡(luò)攻擊，及時地發(fā)出警報(bào)；能夠進(jìn)行協(xié)議分析，對內(nèi)容搜索/匹配，能夠檢測

多種方式的攻擊和探測，對攻擊進(jìn)行實(shí)時警報(bào)例如：緩沖區(qū)溢出，CGI攻擊，SMB

檢測，探測操作系統(tǒng)質(zhì)問特征的企圖等等。Snort主要有兩種設(shè)置模式：

□sniffer模式:sniffer模式在數(shù)據(jù)包通過網(wǎng)絡(luò)時，拷貝一份數(shù)據(jù)包做比對，如果

檢測到符合規(guī)則(rule),就會做日志(log)記錄，但是在這種模式下不能做切斷之類

的其他操作［23。

2)inline模式:該模式在實(shí)際運(yùn)作過程中不需要另外復(fù)制一份數(shù)據(jù)包，它直接對

包掃描，判斷是否存在入侵情況，決定要做告警、替換、拒絕、通過等操作。inline

模式需要運(yùn)用iptables控制策略。由iptables送到由ip_queue隊(duì)列的中，而snort

再從其中讀取封包來做比對。

Snort是指“通過對行為、安全日志或?qū)徲?jì)數(shù)據(jù)或其它網(wǎng)絡(luò)上可以獲得的信息

進(jìn)行操作，檢測到對系統(tǒng)的闖入或闖入的企圖”(參見國標(biāo)GB/T18336)。入浸檢測

技術(shù)是為保證計(jì)算機(jī)系統(tǒng)的安全而設(shè)計(jì)與配置的一種能夠及時發(fā)現(xiàn)并報(bào)告系統(tǒng)未

授權(quán)或異?，F(xiàn)象的技術(shù)，是一種用于檢測計(jì)算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。

2.7.1Snort的架構(gòu)及檢測流程

Snort入侵檢測系統(tǒng)主要由四部分組成:數(shù)據(jù)嗅探模塊(Sniffer)、數(shù)據(jù)包解碼器

(decoder)＞預(yù)處理器(PreProcessor)、檢測引擎(DetectionEngine)和告警與記錄模

塊(Alert/Logging嚴(yán)工下圖顯示了snort的主要系統(tǒng)組成和基本的數(shù)據(jù)處理流程。

數(shù)據(jù)嗅探模塊(Sniffer)是Snort工作的開始，Snort沒有自己的捕包工具，它使

用一個外部的捕包程序庫Libpcap從物理鏈路上進(jìn)行捕包。Snort按照TCP/IP協(xié)議

的不同層次對收集來的包進(jìn)行解碼，解碼后的包數(shù)據(jù)將堆滿一個數(shù)據(jù)結(jié)構(gòu)。包數(shù)

6

第二章相關(guān)技術(shù)研究

據(jù)一被存入數(shù)據(jù)結(jié)構(gòu)中，就會迅速被送到預(yù)處理程序和檢測引擎進(jìn)行分析，然后

在引擎包中被檢測出來。這些檢測出來的信息都是觸發(fā)規(guī)則鏈中的某些信息規(guī)則

的。

數(shù)據(jù)包解碼器主要是對各種協(xié)議棧上的數(shù)據(jù)包進(jìn)行解析、預(yù)處理，以便提交

給檢測引擎進(jìn)行規(guī)則匹配。解碼器運(yùn)行在各種協(xié)議棧之上，從數(shù)據(jù)鏈路層到傳輸

層，最后到應(yīng)用層，因?yàn)楫?dāng)前網(wǎng)絡(luò)中的數(shù)據(jù)流速度很快，如何保障較高的速度是

解碼器子系統(tǒng)中的一個重點(diǎn)。

報(bào)警輸出與記錄模塊的功能是主要對檢測中告警信息，通過網(wǎng)絡(luò)、soeket通信

服務(wù)、WindowsPopup、SMB或SNMP的trap命令等方式發(fā)送到服務(wù)器中，并寫

入系統(tǒng)日志，進(jìn)而可以選擇只在數(shù)據(jù)庫進(jìn)行記錄，供用戶日后查詢，或者直接以

Web的方式顯示出來。

2.7.2Snort規(guī)則簡介

規(guī)則集是Snort的攻擊特征庫，它是由一條條規(guī)則組成。這些規(guī)則都是針對入侵

行為提煉出它的特征值，并按照規(guī)范寫成檢測規(guī)則。Snort通過它來識別攻擊行為。

Snort使用一種簡單的、輕量級的規(guī)則描述語言，這種語言靈活而強(qiáng)大。

Snort規(guī)則可以分為規(guī)則頭和規(guī)則選項(xiàng)兩個邏輯部分：規(guī)則選項(xiàng)則主要存儲包含

告警信息和用于確定是否觸發(fā)規(guī)則響應(yīng)動作而需檢查的數(shù)據(jù)包的詳細(xì)信息而規(guī)

則頭主要用于存儲包含規(guī)則行為、協(xié)議、源和目標(biāo)IP地址、子網(wǎng)掩碼以及源和

目的端口等信息。

針對每一條Snort規(guī)則，我們從邏輯上，都可以把它劃分為兩部分，規(guī)則頭(括

號左邊的內(nèi)容)和規(guī)則選項(xiàng)(括號內(nèi)的內(nèi)容)。

每一個規(guī)則頭包含都還有規(guī)則行為、所使用協(xié)議類型、源IP地址及源端口、

數(shù)據(jù)的傳輸方向、目標(biāo)IP地址及目標(biāo)通信端口。動作包括三類:告警(Alert),日志

(Log)和通行(Pass)。這三類代表了Snort對包的三種處理方式，我們用的最多的就

是alert動作，當(dāng)時用著個動作時，則其會將報(bào)警信息寫入到相關(guān)的日志中去。

在源、目的地址、端口中可以使用any來代表任意的地址或端口，還可以使用

符號!來表明取非運(yùn)算。IP地址可以被指定為一個CIDR的地址塊，端口也可以指定

一個范圍，在目的和源地址之間可以使用標(biāo)識符來指明方向。

Snort系統(tǒng)入侵檢測引擎是規(guī)則選項(xiàng)部分的核心內(nèi)容，其作用是在規(guī)則頭信息

7

的基礎(chǔ)上對規(guī)則選項(xiàng)作出進(jìn)一步分析，然后對復(fù)雜的攻擊進(jìn)行進(jìn)一步確認(rèn)。規(guī)則

選項(xiàng)部分的內(nèi)容由一個或幾個選項(xiàng)組成，“；”分隔用來表示選項(xiàng)之間的參數(shù)”

分隔表示關(guān)鍵字和值之間的參數(shù)分類，其內(nèi)容主要包括以下4類:數(shù)據(jù)包相關(guān)特征的

說明選項(xiàng)、規(guī)則的說明選項(xiàng)、動作選項(xiàng)、修飾。

下面是…個規(guī)則范例：

alerttcpanyany->/24111(content:"1000186a5l";msg:"mountd

access";)

該規(guī)則表示監(jiān)控的網(wǎng)絡(luò)數(shù)據(jù)的協(xié)議為TCP協(xié)議，源地址、源端口為任意值，方

向?yàn)橛赏庀騼?nèi)，內(nèi)部的網(wǎng)絡(luò)地址為子網(wǎng)/24,端口號111,當(dāng)發(fā)現(xiàn)數(shù)據(jù)包

中有“000186a5”內(nèi)容時，Snort會發(fā)送報(bào)警信息mountdaccesso

2.8風(fēng)險評估技術(shù)

風(fēng)險評估是對信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生的可能

性的評估12支它是確認(rèn)安全風(fēng)險及其大小的過程，即利用定性或定量的方法，借

助于風(fēng)險評估工具，確定信息資產(chǎn)的風(fēng)險等級和優(yōu)先風(fēng)險控制，它是網(wǎng)絡(luò)安全防

御中的一項(xiàng)重要技術(shù)，掃描器采用模擬攻擊的形式對目標(biāo)可能存在的已知安全漏

洞進(jìn)行逐項(xiàng)檢查，然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提供周密可靠的安全性分析報(bào)

告，為提高網(wǎng)絡(luò)安全水平提供重要依據(jù)。

2.9本章小結(jié)

本章對網(wǎng)絡(luò)安全與防護(hù)的關(guān)鍵技術(shù)進(jìn)行了探討，主要介紹了網(wǎng)絡(luò)安全與防護(hù)

三種關(guān)鍵技術(shù)：防火墻、入侵檢測技術(shù)、VPN。介紹了安全隔離技術(shù)的分類，防

火墻系統(tǒng)的功能和技術(shù)；研究了虛擬專網(wǎng)的工作原理和關(guān)鍵技術(shù)；Snort及iptables

工作原理，為后面章節(jié)中網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計(jì)提供了理論依據(jù)。

8

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

第三章某電力單位信息系統(tǒng)需求分析與設(shè)計(jì)

某省電力是國家電網(wǎng)公司的全資子公司，負(fù)責(zé)該省南部地區(qū)電網(wǎng)規(guī)劃建設(shè)、

運(yùn)營管理和電力交易。營業(yè)區(qū)域包括石家莊、保定、衡水、滄州、邢臺、邯鄲6

市，102個縣（區(qū)、市），面積&36萬平方公里，人口約4600萬人。公司現(xiàn)有供

電、科研、設(shè)計(jì)、施工、修造、培訓(xùn)中心等基層單位16個，職工人數(shù)2.64萬人，

資產(chǎn)總額307.42億元。根據(jù)該單位的情況我們按照軟件工程的規(guī)范進(jìn)行了系統(tǒng)

的需求分析與設(shè)計(jì)。

3.1某電力單位信息安全的現(xiàn)狀

經(jīng)過調(diào)研得知某電力單位傳統(tǒng)的局域網(wǎng)絡(luò)體系結(jié)構(gòu)存在諸多不安全因素。下

面將從物理層安全、網(wǎng)絡(luò)層邊界防護(hù)和訪問控制、通信保密、入侵檢測、蠕蟲病

毒防護(hù)、網(wǎng)絡(luò)接入安全、系統(tǒng)安全、終端安全等幾個方面，針對某電力單位的實(shí)

際情況，從具體的網(wǎng)絡(luò)結(jié)構(gòu)出發(fā)，分析網(wǎng)絡(luò)的安全狀況。

物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體設(shè)備免遭地震、水災(zāi)、

火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過

程儂L某電力單位網(wǎng)絡(luò)的物理層安全主要包括三個方面：

（1）網(wǎng)絡(luò)邊界防護(hù)

不同安全區(qū)域之間存在非法攻擊的現(xiàn)象。某電力單位的網(wǎng)絡(luò)大體上分為四個

層次，某電力單位局域網(wǎng)絡(luò)、生產(chǎn)網(wǎng)絡(luò)的連接、省廣域網(wǎng)絡(luò)、國家局的廣域網(wǎng)絡(luò)

和互聯(lián)網(wǎng)網(wǎng)絡(luò)，四個層次屬于不同的網(wǎng)絡(luò)安全域，不同的安全區(qū)域之間可能會存

在非法訪問和非法攻擊。

數(shù)據(jù)中心（服務(wù)器群）核心與局域網(wǎng)交換核心之間處于不同的安全邊界，需

要考慮邊界防護(hù)mi。某電力單位服務(wù)器群是數(shù)據(jù)應(yīng)用中心，這里包括與生產(chǎn)、

物流、營銷、財(cái)務(wù)等業(yè)務(wù)相關(guān)的重要服務(wù)器。內(nèi)部的網(wǎng)絡(luò)交換和外部線路接入都

有可能對這些重要服務(wù)器安全造成威脅，合理的保護(hù)這些服務(wù)器群，就需要對這

些服務(wù)器進(jìn)行群安全隔離和控制，并做好數(shù)據(jù)中心的邊界防護(hù)。

（2）入侵檢測

某電力單位重要的數(shù)據(jù)中心（服務(wù)器群）、核心網(wǎng)段以及Internet邊界都需

要有網(wǎng)絡(luò)監(jiān)控與實(shí)時防護(hù)措施，如果沒有一個監(jiān)控的手段，對來源于外網(wǎng)穿過防

火墻的非法攻擊和內(nèi)部的非法攻擊都將無法監(jiān)控。

（3）網(wǎng)絡(luò)設(shè)備配置安全

9

某電力單位網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備包括路由器、交換機(jī)、防火墻等。設(shè)備配置安

全十分重要，如果設(shè)備出現(xiàn)故障，會出現(xiàn)局部甚至整個網(wǎng)絡(luò)癱瘓的嚴(yán)重后果。某

電力單位網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備都沒有進(jìn)行安全配置，部分網(wǎng)絡(luò)設(shè)備配置存在安全漏

洞，存在一定的安全隱患，攻擊者可以輕易的獲得、修改系統(tǒng)的重要參數(shù)，這樣

攻擊者很容易獲得管理權(quán)限，所以需要對網(wǎng)絡(luò)設(shè)備自身的安全性做好嚴(yán)格控制。

（4）網(wǎng)絡(luò)設(shè)備及服務(wù)器無授權(quán)訪問風(fēng)險

某電力單位網(wǎng)絡(luò)里有很多的路由、交換、和重要的服務(wù)器設(shè)備，這些設(shè)備目

前大部分沒有進(jìn)行安全優(yōu)化和安全加固，一旦被一些未授權(quán)的用戶非法訪問，可

能會對網(wǎng)絡(luò)整體安全造成很大的影響。

（5）網(wǎng)絡(luò)接入安全

病毒、蠕蟲和間諜軟件等新興網(wǎng)絡(luò)安全威脅繼續(xù)損害客戶利益并使機(jī)構(gòu)損失

大量的金錢、生產(chǎn)率和機(jī)會。與此同時，移動計(jì)算的普及進(jìn)一步加劇了威脅。移

動用戶能夠從家里或公共結(jié)點(diǎn)連接互聯(lián)網(wǎng)或辦公室網(wǎng)絡(luò)，常在無意中輕易地感染

病毒并將其帶進(jìn)某電力單位環(huán)境，進(jìn)而感染網(wǎng)絡(luò)。網(wǎng)絡(luò)接入安全也是一項(xiàng)重要的

工作。

對于某電力單位網(wǎng)絡(luò)的主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)而言，存在主要的風(fēng)險是病毒

的入侵和系統(tǒng)漏洞。

目前某電力單位的防病毒體系并不完善。某電力單位布置了防病毒系統(tǒng)防病

毒產(chǎn)品是Symantec某電力單位版，但由于沒有及時更新升級，未能做到對病毒

的有效防范。常見的漏洞隱患主要有：允許空連接（低風(fēng)險）；管理員/用戶弱口

令（高風(fēng)險）；SQLServersa用戶口令為空（高風(fēng)險）；RPCdcom漏洞（高風(fēng)險）；

webdav漏洞（高風(fēng)險）；WindowsMessenger遠(yuǎn)程溢出漏洞（高風(fēng)險）；其他漏洞

比如SQLServer的漏洞，ExchangeServer等的漏洞。

在整個信息安全體系中，個人終端計(jì)算機(jī)的安全是最脆弱的，也是最易被利

用，很大一部分蠕蟲、病毒和特洛伊木馬都是針對微軟的操作系統(tǒng)的漏洞實(shí)施攻

擊，微軟幾乎每5天就要發(fā)布一次安全補(bǔ)丁，對于某電力單位來說，如何管理好

終端的安全性成為一個迫切需要解決的問題。

終端的安全問題，其根源在于兩個方面：

1、安全補(bǔ)丁是否能夠及時更新。

2、是否能夠建立統(tǒng)一的、強(qiáng)制的系統(tǒng)安全策略。

由于終端使用者的安全意識和技術(shù)能力薄弱，無法對終端操作系統(tǒng)進(jìn)行基本

的安全管理配置和及時的補(bǔ)丁更新，同時，在使用過程中，也缺乏安全意識。使

得這些終端工作站最容易成為黑客攻擊目標(biāo)，同時，也往往成為網(wǎng)絡(luò)蠕蟲病毒爆

發(fā)的重災(zāi)區(qū)，嚴(yán)重影響了業(yè)務(wù)系統(tǒng)的正常運(yùn)行。

10

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

3.2某電力單位信息安全的問題分析

隨著某電力單位業(yè)務(wù)的發(fā)展，對網(wǎng)絡(luò)系統(tǒng)的可靠性、安全性、可管理性以及

可用性方面的要求也越來越高。從總體上來講，現(xiàn)有的網(wǎng)絡(luò)體系已經(jīng)不能很好地

適應(yīng)和滿足某電力單位未來業(yè)務(wù)的需要，主要體現(xiàn)在以下幾個方面：

（1）重要的安全區(qū)域缺乏有效的安全隔離措施，供電網(wǎng)和管理網(wǎng)沒有有效

的安全隔離機(jī)制，供電網(wǎng)和管理網(wǎng)之間也沒有網(wǎng)絡(luò)安全監(jiān)控措施，對來源于外網(wǎng)

穿過防火墻的非法攻擊和內(nèi)部的非法攻擊都將無法監(jiān)控。

（2）缺乏有效的入侵防范機(jī)制，盡管Internet出口處已經(jīng)部署了防火墻，

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，單純依靠防火墻已經(jīng)無法滿足網(wǎng)絡(luò)安全的需要，各種

各樣的來自內(nèi)、外部的黑客都在嘗試著用不同的方式來攻擊現(xiàn)有的網(wǎng)絡(luò)體系，一

旦卷煙廠的核心應(yīng)用區(qū)域受到攻擊手段的破壞，將造成災(zāi)難性的后果。

（3）缺乏對桌面終端的管理手段和工具，目前很多員工的工作基于計(jì)算機(jī)

進(jìn)行,桌面終端所帶來的安全隱患也將會影響到整個網(wǎng)絡(luò)體系，一旦某一個漏洞、

弱點(diǎn)被攻擊者利用，后果也十分嚴(yán)重。

（4）缺少安全管理方面有效的手段和工具，隨著未來網(wǎng)絡(luò)規(guī)模的發(fā)展，越

來越多的應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端的增加，需要一個個全面的網(wǎng)絡(luò)

安全綜合管理平臺，以及嚴(yán)格的安全管理機(jī)制，通過建立相應(yīng)的事先預(yù)警機(jī)制和

出現(xiàn)問題后的及時發(fā)現(xiàn)、解決問題的手段和工具，并且能對網(wǎng)絡(luò)的狀況做實(shí)時的

監(jiān)控和評測以發(fā)現(xiàn)潛在的故障和安全隱患。一旦無法及時發(fā)現(xiàn)、控制、解決問題，

也將影響到某電力單位的運(yùn)營。

（5）缺乏有效的蠕蟲病毒防范機(jī)制，全廠盡管都部署了網(wǎng)絡(luò)防毒軟件系統(tǒng),

但根據(jù)實(shí)際效果來看，都不是很理想，對病毒的預(yù)警、防范、查殺和控制擴(kuò)散方

面都存在著嚴(yán)重的不足，這主要體現(xiàn)在管理策略不夠理想；蠕蟲或者病毒的傳播

速度特別快，只需要短短幾分鐘便可襲擊整個網(wǎng)絡(luò)。哪怕這種攻擊不會對整個網(wǎng)

絡(luò)造成太多的破壞，但也可能會產(chǎn)生大量的網(wǎng)絡(luò)流量，嚴(yán)重影響某電力單位開展

業(yè)務(wù)的能力，從而導(dǎo)致網(wǎng)絡(luò)中斷。

根據(jù)現(xiàn)有計(jì)算機(jī)網(wǎng)絡(luò)的業(yè)務(wù)應(yīng)用特點(diǎn)，在當(dāng)前復(fù)雜的網(wǎng)絡(luò)應(yīng)用環(huán)境下，必須

保證網(wǎng)絡(luò)中的數(shù)據(jù)具有實(shí)時性，問題如果得不到解決，某電力單位的效率將會受

到嚴(yán)重影響。因此，必須重新分析局域網(wǎng)的安全新需求。

3.3某電力單位信息安全系統(tǒng)需求分析

隨著電力行業(yè)計(jì)算機(jī)信息網(wǎng)絡(luò)建設(shè)的不斷發(fā)展，各類應(yīng)用的不斷深入，電力

行業(yè)的經(jīng)營模式已經(jīng)由傳統(tǒng)模式逐漸向網(wǎng)絡(luò)經(jīng)營的模式轉(zhuǎn)變。電力行業(yè)競爭尤為

II

激烈，加上某電力單位技術(shù)中心業(yè)務(wù)量的飛速增長，對內(nèi)對外信息交流越來越頻

繁，同時為響應(yīng)全國電力行業(yè)網(wǎng)的建設(shè)要求，所以某電力單位技術(shù)中心建設(shè)高性

能的局域網(wǎng)是非常必要的。網(wǎng)絡(luò)的開放性、互連性和共享性，以及隨著網(wǎng)絡(luò)上電

子商務(wù)、網(wǎng)絡(luò)電子銀行等新業(yè)務(wù)的興起，使得網(wǎng)絡(luò)安全問題變得越來越重要。

目前某電力單位內(nèi)部網(wǎng)絡(luò)有以下幾個方面的需求：

(1)訪問可控性：系統(tǒng)要求能夠可靠確認(rèn)訪問者的身份，謹(jǐn)慎授權(quán)，并對任

何訪問進(jìn)行跟蹤記錄，對關(guān)鍵網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)的訪問必須得到有效的控制【26】。

(2)數(shù)據(jù)保密性。

(3)重要操作可管理性。

根據(jù)以上對某電力單位內(nèi)部網(wǎng)絡(luò)的業(yè)務(wù)與安全性分析可以看出，建立新的網(wǎng)

絡(luò)安全防護(hù)系統(tǒng)顯得尤為必要。

3.4系統(tǒng)設(shè)計(jì)目標(biāo)

根據(jù)以上的需求分析，依據(jù)公安部頒布的《信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)

要求》(GB/T22239-2008)和《信息系統(tǒng)安全等級保護(hù)定級指南》(GB”

22240-2008)中相關(guān)規(guī)定和標(biāo)準(zhǔn)規(guī)范，以安全等級保護(hù)和風(fēng)險評估為手段，對重

要信息系統(tǒng)實(shí)施等級劃分和安全保護(hù)，實(shí)現(xiàn)物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)

用安全、數(shù)據(jù)安全及備份恢復(fù)等功能。

目前，電力信息安全系統(tǒng)屬于信息系統(tǒng)安全等級保護(hù)三級。通過對電力信息

安全系統(tǒng)重要業(yè)務(wù)和數(shù)據(jù)資源的安全保障需求進(jìn)行分析發(fā)現(xiàn)，在逐步建立和完善

國家電力信息網(wǎng)絡(luò)系統(tǒng)、業(yè)務(wù)應(yīng)用系統(tǒng)的同時，必須適度構(gòu)建電力系統(tǒng)信息安全

保障體系。通過部署防火墻(VPN)、入侵檢測/防御設(shè)備，加強(qiáng)網(wǎng)絡(luò)區(qū)域邊界安

全；在各操作系統(tǒng)、應(yīng)用系統(tǒng)中部署流量控制設(shè)備、病毒與惡意代碼防范措施，

提高系統(tǒng)通訊防護(hù)能力；通過設(shè)立安全互聯(lián)部件和跨級系統(tǒng)安全管理中心，實(shí)現(xiàn)

跨級業(yè)務(wù)系統(tǒng)之間的數(shù)據(jù)安全交換。為保證機(jī)房的供電和環(huán)境溫濕度，需要適時

添置精密空調(diào)和改造供電環(huán)境。

3.5系統(tǒng)總體設(shè)計(jì)

為了保護(hù)電力系統(tǒng)的安全，我們通過防火墻技術(shù)和入侵檢測技術(shù)實(shí)現(xiàn)對病

毒、非法訪問、木馬、惡意攻擊等的防御，使電力系統(tǒng)免受攻擊。系統(tǒng)的核心是

防護(hù)墻和入侵檢測，他們?yōu)橄到y(tǒng)系統(tǒng)了保護(hù)的作用。為了使用戶能夠很好的使用

系統(tǒng)提供的防火墻及入侵檢測系統(tǒng)，我們設(shè)計(jì)了系統(tǒng)管理模塊，他包括系統(tǒng)的登

錄模塊、系統(tǒng)的管理模塊、網(wǎng)絡(luò)配置模塊、防火墻配置模塊、入侵檢測配置模塊。

12

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

3.6系統(tǒng)數(shù)據(jù)庫設(shè)計(jì)

從以上目標(biāo)出發(fā)，該系統(tǒng)的數(shù)據(jù)庫設(shè)計(jì)主要圍繞工作流進(jìn)行設(shè)計(jì)，具體設(shè)計(jì)

方法如下：

通過創(chuàng)建表FlowActivitylnfo,FlowRoutelnfo和FlowRulelnfo用來存取活

動和路由相應(yīng)的屬性值。具體如圖3-1,3-2,3-3。

其中主要字段設(shè)定如下：

ActivityID和RoutelD可以由員工自己定義，ActivityName和RouteName為

固定值，ActivityType定義了五種類型如表3-1：

表3-1ActivityType各值含義

ActivityType代表含義

FlowStart流程開始

Start活動的開始

Auto自動方式

Manual手動方式

End結(jié)束

RouteType定義了兩種類型，見表3-2。

表3-2RouteType與RouteName對應(yīng)表

RouteTypeRouteName

Sequence順序路由

Branch分支路由

FlowActivityText中除了前面的ID和Name外，還有賦予了NextRoute的值，

定義了該活動后由哪個路由來引導(dǎo)。

FlowRuleText中則對NextActivity賦值，定義了該路由的終點(diǎn)，也就是下一

個活動。

IconUrl里是圖標(biāo)所在的路徑。

結(jié)合以上內(nèi)容實(shí)現(xiàn)工作流設(shè)計(jì)器，對執(zhí)行者相關(guān)表進(jìn)行如下創(chuàng)建：

a.部門、機(jī)構(gòu)、人員表結(jié)構(gòu)，見表3?3、表3-4和表3?5。

表3-3部門信息表

13

字段名描述類型長度是否允空是否主鍵

DeptName部門名稱varchar30否否

DeptTelephone部門電話varchar50是否

DeptID部門ID號（標(biāo)識）int4否是

CorpID機(jī)構(gòu)1D號int4否否

DeptFunotion部門職責(zé)varchar500是否

DeptLevel部門級別int4是否

DeptAcronym部門縮寫varchar10是否

IsValid是否有效char1否否

說明：部門是機(jī)構(gòu)的下一級單位,一個機(jī)構(gòu)可以有多個部門，但一個部門只能屬于一個

機(jī)構(gòu)，且只屬于一個機(jī)構(gòu)。

表3-4機(jī)構(gòu)信息表

字段名描述類型長度是否允空是否主鍵

CorpCode機(jī)構(gòu)代碼varchar6否否

CorporationName機(jī)構(gòu)名稱varchar60否否

ServerIP服務(wù)器IP地址varchar50是否

CorpType機(jī)構(gòu)類型char1否否

Address地址varchar200是否

City所在城市varchar30是否

CorpTelephone機(jī)構(gòu)電話varchar50是否

IsDefault是否默認(rèn)bit1否否

CorpID機(jī)構(gòu)ID號（標(biāo)識）int4否是

PostalCode郵政編碼varchar50是否

URL鏈接varchar50是否

ArtificialPerson法人int4是否

CorpAcronym機(jī)構(gòu)縮寫varchar10是否

IsValid是否有效char1否否

DisplayOrder顯示順序int4否否

說明：機(jī)構(gòu)在本系統(tǒng)中是行政級別的最高級別。

表3-5人員信息表

字段名描述類型長度是否允空是否主鍵

UserID用戶ID號（標(biāo)識）int4否是

14

第三章某電力單位信息安全系統(tǒng)需求分析與設(shè)計(jì)

EmployeelD員工姓名縮寫varchar10否否

Password密碼char50否否

CorpID機(jī)構(gòu)ID號int4否否

Manager領(lǐng)導(dǎo)int4是否

Email電子郵箱varchar100是否

Telephone電話varchar50是否

EmployeeName員工姓名varchar50是否

Mobile手機(jī)varchar20是否

PostlnfoBoxSize信箱大小int4否否

AccountName賬戶名稱varchar50是否

DesPassword重復(fù)密碼varchar100是否

說明：人員信息表記錄的是用戶的相關(guān)信息，包括個人基本信息、工作信息、，賬戶信息等,

表3-6安全信息表

字段名描述類型長度是否允空是否主鍵

UserID用戶ID號（標(biāo)識）int4否是

EmployeelD員工姓名縮寫varchar10否否

Password密碼char50否否

CorpID機(jī)構(gòu)ID號int4否否

RiskManage風(fēng)險管理varchar50是否

AssertManage資產(chǎn)管理varchar100是否

SecurityEventM安全事件管理varchar50是否

VulnerabilityM

脆弱性管理varchar50是否

Earlywarning

預(yù)警功能varchar20是否

WorkOrderM

工單管理varchar50是否

ReportManagement

報(bào)表管理varchar50是否

權(quán)限訪問控制是通過用戶、角色、模塊三級結(jié)構(gòu)實(shí)現(xiàn)的，見表3-6,3-7,3-8。

表3-7角色信息表

字段名描述類型長度是否允空是否主鍵

RoleName角色名稱varchar50否否

RoleDesc角色描述varchar100是否

15

CorpID機(jī)構(gòu)ID號int4否否

RolelD角色I(xiàn)D號（;標(biāo)識）int4否