电力单位信息安全现状与研究

摘要

随着计算机技术的快速发展，网络系统应用已经成为人类生活的一部分。但是

计算机网络在给我们提供快捷、方便的同时，也带来了不容忽视的安全问题。网

络信息安全的防范已成为全社会的迫切要求，网络安全已成为经济及国防安全的

重要组成部分。当前，某电力单位的网络安全也面临着巨大的威胁，从该单位网

络安全设计实际出发，深入研究了计算机网络当前和未来面临的主要安全问题，

在此基础上，设计并实现了某电力单位信息安全系统。

本文首先对某电力单位信息安全现状进行了分析，在此基础上，从网络可用

性、访问可控性、数据保密性、重要操作可管理性四个方面提出了某电力单位信

息安全系统的需求。其次，针对实际需求，提出了某电力单位信息安全系统的设

计目标及系统数据库设计内容。构建了一个基于B/S的，用JSP开发的某电力单

位信息安全系统，采用Oracle%作为该系统的数据库。其中重点论述某电力单位

信息安全系统中防火墙技术模块和入侵检测模块。这是因为防火墙的安全与否直

接决定了整个系统的安全与否，而入侵检测是防火墙屏障作用的护卫兵，其两者

是某单位信息安全系统的重要组成部分。某电力单位采用的防火墙是把防火墙程

序做到芯片里面由硬件执行这些功能，这种做法能减少CPU的负担，使路由更稳

定。入侵检测系统是某电力单位信息安全系统的子模块，它主要包括数据嗅探器

模块、协议分析模块、预处理器模块、检测引擎模块、报警记录模块、规则模块、

日志文件/数据库组成。

然后，对设计好的某电力单位信息系统进行了实现，主要概述了系统的运行

环境、网络产品的选择与部署。系统的实现主要从用户登录模块、防火墙系统实

现和入侵检测实现三部分构成。系统WEB服务架构是

HTML+Ajax+javascript+HTTPserver+CGLWEB端页面设计采用AjaxAnywhere

技术。

最后，对某电力单位信息安全测试内容分为服务器安全、网络安全、应用安

全、数据安全、安全信息措施检测以及系统安全风险评估等五个方面。对该系统

进行了属性测试、功能测试及用户界面测试，通过测试得出该系统运行情况良好。

该系统目前已经在某电力单位内部进行了全面部署，满足了某电力单位现阶

段信息安全需要，并为某电力单位下一步构建完善的抵御攻击系统打下了良好的

基础。

关键词：信息安全，防火墙技术，网络检测，入侵检测

Abstract

ABSTRACT

Alongwiththerapiddevelopmentofcomputertechnology,thenetworksystem

applicationhasbecomeapartofthehumanlife.Butcomputernetworkingiveusto

providefast,convenientandatthesametime,alsobroughttoignoresecurityproblems.

Networkinformationsecurityguardhasbecometheurgentrequirementofthewhole

society,networksecurityhasbecometheeconomicandnationaldefensesecurityisan

importantpartof.Atpresent,apowerunitnetworksecurityisfacedwithgreatthreat,

fromtheunitnetworksecuritydesignreality,adeepresearchonthecomputernetwork

currentandfuturesecurityproblemsofmainfacing,andbasedonthis,adesignandan

implementationofapowerunitofinformationsecuritysystem.

Thispaperfirstforapowerunitinformationsecurityanalysisofthecurrent

situation,onthisbasis,fromnetworkavailability,accesscontrol,dataprivacy,the

importantoperationmanipuilityfouraspectsputforwardapowerunitofinformation

securitysystemneeds.Secondly,inviewoftheactualdemand,putforwardapower

unitinformationsecuritysystemdesigntargetandsystemdatabasedesigncontent.

ConstructabasedonB/S,withJSPdevelopmentofapowerunitofinformationsecurity

system,adoptingOracle9iasthesystemdatabase.Whichfocusesonapowerunit

informationsecuritysystemfirewalltechnologymoduleandintrusiondetectionmodule.

Thisisbecausethefirewallsafetyornotdirectlydeterminethewholesystem'ssecurity

ornot,andintrusiondetectionisabarrierfunctionoftheguards,thebothisaunitof

informationsecuritysystemimportantconstituent.Apowerunitusingfirewallisthe

firewallprogramdochipinsidebythehardwareimplementthesefunctions,this

approachcanreducetheburdenoftheCPU,makeroutingmorestable.Intrusion

detectionsystemisapowerunitofinformationsecuritysystemsonmodule,which

mainlyincludesdatasniffermodule,protocolanalysismodule,preprocessormodule,

testenginemodule,alarmrecordmodule,rulesmodule,logfiles/databasecomposition.

Then,todesignagoodpowerunitinformationsystemwasrealized,mainly

summarizestheoperationofthesystemenvironment,networkproductselectionand

deployment.Therealizationofthesystemmainlyfromtheuserloginmodule,firewall

in

Abstract

andintrusiondetectionsystemimplementationrealizationiscomposedofthreeparts.

SystemWEBservicearchitectureisHTML+Ajax+javascript+HTTPserver+CGI.

WEBendpagedesignUSESAjaxAnywheretechnology.

Finally,toapowerunitinformationsecuritytestcontentisdividedintoserver

security,networksecurity,applicationsecurity,datasecurity,safetyinformation

measurestestingandsystemsafetyriskassessmentinfiveaspectssuchas.Thesystem

attributetest,functiontestanduserinterfacetest,throughthetestsshowedthatthe

systemisrunningingoodcondition.

Thesystemhasbeeninapowerunitinteriorcarriesonthecomprehensive

deployment,meetapowerunitatpresentinformationsecurityneeds,andforapower

unitnextbuildperfectagainstattackssystemhavelaidagoodfoundation.

Keywords:informationsecurity,firewall,intrusiondetection

IV

目录

目录

第一章绪论1

1.1论文选题背景及研究意义1

1.2国内外研究现状1

1.3本文的主要章节安排2

第二章相关技术研究3

2.1系统体系结构3

2.2JSP开发技术3

2.3数据库技术4

2.4TOMCAT服务器5

2.5防火墙技术5

2.6虚拟专网（VPN）5

2.7SNORT简介6

2.7.1Snort的架构及检测流程6

2.7.2Snort规则简介7

2.8风险评估技术8

2.9本章小结8

第三章某电力单位信息系统需求分析与设计9

3.1某电力单位信息安全的现状9

3.2某电力单位信息安全的问题分析11

3.3某电力单位信息安全系统需求分析11

3.4系统设计目标12

3.5系统总体设计12

3.6系统数据库设计13

3.6本章小结17

第四章某电力单位信息安全系统实现18

4.1系统运行环境18

4.1.1网络环境18

4.1.2软件配置18

v

目录

4.1.3硬件配置18

4.2网络产品选择与部署18

4.3系统实现20

4.3.1防火墙技术的实现21

4.3.2系统管理端实现21

4.4本章小结27

第五章某电力单位信息安全系统测试28

5.1软件测试28

5.2实验测试29

5.3测试结果31

5.4本章小结32

第六章论文总结与展望33

致谢34

参考文献错误！未定义书签。

附录I

VI

第一章绪论

第一章绪论

1.1论文选题背景及研究意义

总所周知，电力行业是我国国民经济的支柱行业，电力行业的信息化也是一

直以来所有领导都在关心的事情。据计算，电力行业的信息化已经发展了大概

30多年之久。在电力信息化发展的过程中，一项最重要的工作就是电力信息安

全的保障。这是因为，信息安全也成为了当今不可忽视的课题。信息的保密性、

完整性和可用性成为某电力单位信息安全保障的核心。

随着我国电力信息化建设的不断推进，电力信息系统的安全性一直以来都是

国际学术界最关注的一个话题。但是，目前国内信息系统安全性评估理论的研究

较少，成熟的安全性自动化评估工具也很缺乏，针对特定领域的研究更是少之又

少也比如DoS/DDoS拒绝服务攻击、Web应用攻击、缓冲区溢出攻击、SQL注

入攻击、XSS跨站脚本攻击和木马蠕虫攻击等有害攻击和恶意攻击，这些攻击

严重影响着电力系统的安全、稳定运行，据不完全统计，自进入二十一世界以来

电力行业信息安全事故多有发生，如众所周知的“二滩电厂停机事件”、“故障录

波器事件”、“逻辑炸弹事件”、“换流站病毒感染事件”等，这些事件的发生对电

力行业的运行带来了很多的重创。从另一个方面来说也反应了电力行业发展在信

息安全中存在的问题。这些问题主要体现在网络安全接入方面、安全生产管理方

面、人员信息安全培训等方面。在这种情况下研究电力信息安全系统显得尤为必

要。

1.2国内外研究现状

电力信息安全一直是目前比较热门的话题，电力信息安全的受到了世界各国

的密切关注，并投入了大量的研究。在美国，某部的相关研究办公室开展了探索

新的技术环境下电力系统安全运行的新理论与新方法的包括了28个大学和2个

电力单位的项目研究，项目为期5年，投资3000万美元，充分说明了美国对电

力系统安全的重视程度。2008年6月，美国能源部主持召开了“美国电力传输

技术展望”专题研讨会，提出了到2010年建成国家电网控制中心，到2030年建

成国家智能电网即“Grid2030研究计划”。

欧洲在电力安全系统方面，采用了工业界、研究单位、大学和系统运行人员

四类人员都参加了由欧盟部分支持的OMASES工业研究项目，该项目的主要研

1

究内容涵盖了暂态稳定评估，市场仿真器，EMS运行人员的培训仿真器。目前

该系统已在意大利和希腊进行投入使用，效果明显，成效可观。

在网络迅速发展的当今社会，电力系统的生产运行变得越来越依靠计算机通

信技术，在最近几年显得尤为突出，以“智能电网”为代表的电力行业信息化是

十二五发展规划中的发展方向，我国的电力行业信息化相对于国外发达国家的疏

散及不集中控制的发展模式来说，我国的电力行业信息化发展是采用大集中模式

进行发展的，这种模式具有更为明显的优势。

但在取得一系列成效的同时一，问题和不足也相对明显，主要体现在由于互联

网的开放性，使得网络和数据安全防护体系越发不完善，所带来的危害也越来越

大。因此，维护网络和数据安全成为行业信息安全保障工作的重要组成部分，这

也是“十二五”电力安全规划的重中之重。

1.3本文的主要章节安排

本文首先对某电力单位网络安全需求进行分析并遵循了《国家信息安全等级

保护管理办法》网络安全的基本设计原则，为某电力单位设计了一个合理的信息

安全网络系统的应用方案，并最终在网络安全管理中实现了此方案。

第一章绪论部分，介绍了论文研究的背景和意义，论文课题在国内外的研究

现状，论文的主要内容和基本组织结构。

第二章介绍了与开发某电力单位信息安全网络系统相关的技术，如：防火墙

系统的功能和技术；研究了虚拟专网的工作原理和关键技术；为后面章节中网络

安全系统的设计提供了理论依据。

第三章通过对某电力单位网络安全的现状解读，找出了网络安全的隐患，从

物理安全、网络边界防护、入侵检测与防护、网络设备安全配置、网络设备及服

务器无授权访问风险、网络接入安全、系统安全、终端安全等8个常见的网络安

全隐患点进行分析，最终提出了某电力单位网络安全新需求。介绍了某电力单位

信息安全系统设计的总体概述及系统功能设计要求。

第四章完成了对某电力单位信息安全系统的实现；从用户登录模块、里程碑

计划管理模块、安全管理模块、工程管理模块、质量管理模块、合同管理模块等

几个方面加以实现。

第五章主要完成了对某电力单位信息安全系统的测试，对测试中遇到的问题

提出了相应的解决方法。

第六章主要完成了论文的工作总结，及对下一步工作的展望。

2

第二章相关技术研究

第二章相关技术研究

本章主要是对系统的需求，以及项目的完成所需要的技术进行分析与介绍。

主要是介绍了系统实现的系统的架构，采用的开发和方法，还有相关的实现的软

件和硬件的平台进行了介绍。

2.1系统体系结构

目前管理信息系统较多采用的应用软件系统架构有：Client/Server(C/S)模式

与Browser/Server(B/S)模式。两种模式各自有其自身的优点和缺点，本系统根

据某电力单位现有的业务特点选择了B/S的体系结构。

随着基于HtmRHttp的Web信息技术和检索发布技术的不断发展，传统的

C/S客户浏览器应用系统的主从体系结构无法满足当前灵活的多级分布式结构的

需求，以Web技术为核心的信息网络体系结构在这种背景下应运而生，这就是浏

览器/服务器B/S(Browser/Server)结构。这种模式是当前较新型的分布层多级构建，

模型系统由浏览器和服务器两部分组成。服务器上可以用来存放应用程序和数据，

且该服务器是多层结构的体系，浏览器则是用来为服务器服务的，浏览器可以用

来下载服务器上的动态扩展应用程序，通过以上可以看出B/S系统处理的数据类

型可以是动态扩展的。这也从侧面说明了以B/S模式的有点是服务器上集中了所

有系统的维护工作，而客户端不需要任何维护，这大大减轻了客户端的负担，客

户只要有合法授权的浏览器就可以方便使用⑹。典型的B/S结构如图2-1所示：

B/S结构是一个开放的结构，是C/S结构的渐变模型，在这种模型下，用户的

所有活动都可以在WWW浏览器中进行，在服务器端进行一些相关事务的处理，

对处理完的相关程序从客户端利用Web浏览器进行下载执行、应用。B/S的主要

特征在于具有广泛的信息发布能力，因为B/S结构建立在广域网上；能够将

VBScript,JavaScript,PerkActiveX技术融会贯通，可以大大节约或降低开发成

本，再者B/S体系结构对前端的用户数目没有限制，适用于系统同用户交互量不

大的情形。

2.2JSP开发技术

3

JSP的英文全称是JavaServerPage,中文全称是Java服务器语言，是一种基

于JavaServlet的动态网页开发技术，尉^Java程序片段（Scriptlet）和JSP标记（tag）

加入传统的网页HTML文件中，这就是JSP网页（*.JSP）。一个运行JSP的体系至

少包括Web服务器、JSP引擎和JVMQava虚拟机）三个逻辑部分。使用JSP可以

将业务逻辑和网页界面设计分开，用Html或XML标识设计页面，用JSP标识或

Java脚本程序生成动态内容，并封装在JavaBean中。

JSP具有以下优点：

（1）固定的小模块编写，便于开发程序的引用和调用。

（2）JSP具有优越的跨平台性能，具有更高的可扩展性，更容易的广泛的应用

与推广性。

（3）JSP具有强大的可伸缩性，可处理的脚本程序小到几K,大到几百几千甚

至是多个服务器端或服务器/客户机端的大量处理信息和数据。

（4）JSP具有强大的功能组件和开发包，且下载非常容易。

2.3数据库技术

“数据库管理系统（DBMS）是用来建立数据库、使用数据库、提供数据操作

语言、对数据的合法性和安全性等进行管理的软件系统”[⑶。随着信息技术的发

展，数据库技术也在发生很多的变化，从之前的Access等小型数据库管理系统、

MySQL、Sybase到当前的企业广泛应用的Oracle,这些都预示着企业在数据库的

应用上越来越注重其安全性。

在Oracle众多版本中，目前使用最为广泛的是Oracle11g数据库。这是因为

（1）Oracle11g提供深入的以业务需求为指导的IT系统服务，这种功能能够直接

监控和管理企业。同时一，该功能还能通过用户体验管理、商务交易管理以及企业

服务管理帮助企业实现业务创新和效益的增长（2）Oracle企业管理器11g是在

6.5版的功能上建立起来的新的应用系统，11g在原来的基础上增加了Oracle电子

商务套件及OracleSiebelCRM、还包括了基于Java的应用软件，虽然Oracle11g

集成了这么强大的功能，但是它只有一个控制台就可以实现以上所有功能。（3）

Oracle11g通过自动发现交易可实现端到端的可视性交易，这种交易对跨不同部门

的IT单位具有良好的使用效率，也能很好的解决业务中所遇到的问题等方法有效

实现商务交易管理。（4）Oracle11g能够在全面的服务状态显示板中自动发现企业

服务，如开具账单和付运，以及深入了解服务实施情况，为企业提供端到端的性

4

第二章相关技术研究

能分析和诊断。(5)集成式应用至磁盘管理，它能够全面管理Oracle的产品，包

括应用软件、中间件、数据库、操作系统、虚拟化和硬件，能够自动查找问题并

自行将问题进行解决。

2.4Tomcat月艮务器

Tomcat是一个基于Java的可运行servlet和JSPWeb应用软件的开放源代码容

器⑼。TomcatServer是执行servlet和JSP规范的服务器，换一种说法，我们可以

说TomcatServer执行了Apache.Jakarta规范。

当前，Tomcat第四版的性能比较稳定，它是在JavaServlet2.2和JavaServer

Pages1.1技术的版本上发展而来的，具有更强的稳定性和应用性，特别是Apache

服务适配器，兼容了ServletAPI2.2和JSP1.1的Servlet/JSP容器。为此目前WEB

服务器采用较多的还是Tomcat。

2.5防火墙技术

防火墙就是一个位于计算机和它所连接的网络之间的软硬件组合。防火墙对

经过它的网络通信进行扫描，这样能够过滤一些攻击,以免其在目标计算机上被执

行。

防火墙是一种成熟的主动防御技术，传统上主要分为3类:包过滤防火墙

(packetfilter)＞应用级防火墙(proxyfilter)＞链路级防火墙。它可通过监测、限制、

更改跨越防火墙的数据流，对内部信息进行保密，不让外部环境影响内部信息的

流通和运行情况。更能很好的阻止外部网络的信息掺杂到内部网络中，具有很好

的屏障作用。最终起到保护访问内部网络资源;保护内部网络操作环境的特殊网络

互联设备，以此来实现网络安全。

目前已有一些防火墙厂家已经开发出一种状态检查多级防火墙，其目的是将

目前所存在的几种防火墙进行整合，整合成一种多级防火墙的形式，这种防火墙

对应用层的数据具有良好的识别和处理功能，对网络的包过滤也可以很好的查处，

最后还提供了…些辅助性工作，如内容过滤，反病毒保护，入侵防护和网络行为

和使用报表等，集合了普通防火墙的大部分功能，具有很好的应用价值。

2.6虚拟专网(VPN)

5

虚拟专网(VPN,VirtualPrivateNetwork)是一种通过对网络数据进行封包和加

密，在公网上传输私有数据，同时保证私有网络的安全，从而利用公网构筑某电

力单位专用的组网技术।网。简单地说，VPN就是通过Internet实现低成本通讯的

一种技术。从客观上可以认为VPN就是一种具有私有和专用特点网络通信环境。

它是通过虚拟的组网技术，而非构建物理的专用网络的手段来达到的。

2.7Snort简介

Snort是一个基于libpcap的轻量级网络入侵检测系统，通过误用检测规则来检

测攻击“久它具有实时数据流量分析和日志IP网络数据包的能力，能够快速地检

测网络攻击，及时地发出警报；能够进行协议分析，对内容搜索/匹配，能够检测

多种方式的攻击和探测，对攻击进行实时警报例如：缓冲区溢出，CGI攻击，SMB

检测，探测操作系统质问特征的企图等等。Snort主要有两种设置模式：

□sniffer模式:sniffer模式在数据包通过网络时，拷贝一份数据包做比对，如果

检测到符合规则(rule),就会做日志(log)记录，但是在这种模式下不能做切断之类

的其他操作［23。

2)inline模式:该模式在实际运作过程中不需要另外复制一份数据包，它直接对

包扫描，判断是否存在入侵情况，决定要做告警、替换、拒绝、通过等操作。inline

模式需要运用iptables控制策略。由iptables送到由ip_queue队列的中，而snort

再从其中读取封包来做比对。

Snort是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息

进行操作，检测到对系统的闯入或闯入的企图”(参见国标GB/T18336)。入浸检测

技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统未

授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。

2.7.1Snort的架构及检测流程

Snort入侵检测系统主要由四部分组成:数据嗅探模块(Sniffer)、数据包解码器

(decoder)＞预处理器(PreProcessor)、检测引擎(DetectionEngine)和告警与记录模

块(Alert/Logging严工下图显示了snort的主要系统组成和基本的数据处理流程。

数据嗅探模块(Sniffer)是Snort工作的开始，Snort没有自己的捕包工具，它使

用一个外部的捕包程序库Libpcap从物理链路上进行捕包。Snort按照TCP/IP协议

的不同层次对收集来的包进行解码，解码后的包数据将堆满一个数据结构。包数

6

第二章相关技术研究

据一被存入数据结构中，就会迅速被送到预处理程序和检测引擎进行分析，然后

在引擎包中被检测出来。这些检测出来的信息都是触发规则链中的某些信息规则

的。

数据包解码器主要是对各种协议栈上的数据包进行解析、预处理，以便提交

给检测引擎进行规则匹配。解码器运行在各种协议栈之上，从数据链路层到传输

层，最后到应用层，因为当前网络中的数据流速度很快，如何保障较高的速度是

解码器子系统中的一个重点。

报警输出与记录模块的功能是主要对检测中告警信息，通过网络、soeket通信

服务、WindowsPopup、SMB或SNMP的trap命令等方式发送到服务器中，并写

入系统日志，进而可以选择只在数据库进行记录，供用户日后查询，或者直接以

Web的方式显示出来。

2.7.2Snort规则简介

规则集是Snort的攻击特征库，它是由一条条规则组成。这些规则都是针对入侵

行为提炼出它的特征值，并按照规范写成检测规则。Snort通过它来识别攻击行为。

Snort使用一种简单的、轻量级的规则描述语言，这种语言灵活而强大。

Snort规则可以分为规则头和规则选项两个逻辑部分：规则选项则主要存储包含

告警信息和用于确定是否触发规则响应动作而需检查的数据包的详细信息而规

则头主要用于存储包含规则行为、协议、源和目标IP地址、子网掩码以及源和

目的端口等信息。

针对每一条Snort规则，我们从逻辑上，都可以把它划分为两部分，规则头(括

号左边的内容)和规则选项(括号内的内容)。

每一个规则头包含都还有规则行为、所使用协议类型、源IP地址及源端口、

数据的传输方向、目标IP地址及目标通信端口。动作包括三类:告警(Alert),日志

(Log)和通行(Pass)。这三类代表了Snort对包的三种处理方式，我们用的最多的就

是alert动作，当时用着个动作时，则其会将报警信息写入到相关的日志中去。

在源、目的地址、端口中可以使用any来代表任意的地址或端口，还可以使用

符号!来表明取非运算。IP地址可以被指定为一个CIDR的地址块，端口也可以指定

一个范围，在目的和源地址之间可以使用标识符来指明方向。

Snort系统入侵检测引擎是规则选项部分的核心内容，其作用是在规则头信息

7

的基础上对规则选项作出进一步分析，然后对复杂的攻击进行进一步确认。规则

选项部分的内容由一个或几个选项组成，“；”分隔用来表示选项之间的参数”

分隔表示关键字和值之间的参数分类，其内容主要包括以下4类:数据包相关特征的

说明选项、规则的说明选项、动作选项、修饰。

下面是…个规则范例：

alerttcpanyany->/24111(content:"1000186a5l";msg:"mountd

access";)

该规则表示监控的网络数据的协议为TCP协议，源地址、源端口为任意值，方

向为由外向内，内部的网络地址为子网/24,端口号111,当发现数据包

中有“000186a5”内容时，Snort会发送报警信息mountdaccesso

2.8风险评估技术

风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能

性的评估12支它是确认安全风险及其大小的过程，即利用定性或定量的方法，借

助于风险评估工具，确定信息资产的风险等级和优先风险控制，它是网络安全防

御中的一项重要技术，扫描器采用模拟攻击的形式对目标可能存在的已知安全漏

洞进行逐项检查，然后根据扫描结果向系统管理员提供周密可靠的安全性分析报

告，为提高网络安全水平提供重要依据。

2.9本章小结

本章对网络安全与防护的关键技术进行了探讨，主要介绍了网络安全与防护

三种关键技术：防火墙、入侵检测技术、VPN。介绍了安全隔离技术的分类，防

火墙系统的功能和技术；研究了虚拟专网的工作原理和关键技术；Snort及iptables

工作原理，为后面章节中网络安全系统的设计提供了理论依据。

8

第三章某电力单位信息安全系统需求分析与设计

第三章某电力单位信息系统需求分析与设计

某省电力是国家电网公司的全资子公司，负责该省南部地区电网规划建设、

运营管理和电力交易。营业区域包括石家庄、保定、衡水、沧州、邢台、邯郸6

市，102个县（区、市），面积&36万平方公里，人口约4600万人。公司现有供

电、科研、设计、施工、修造、培训中心等基层单位16个，职工人数2.64万人，

资产总额307.42亿元。根据该单位的情况我们按照软件工程的规范进行了系统

的需求分析与设计。

3.1某电力单位信息安全的现状

经过调研得知某电力单位传统的局域网络体系结构存在诸多不安全因素。下

面将从物理层安全、网络层边界防护和访问控制、通信保密、入侵检测、蠕虫病

毒防护、网络接入安全、系统安全、终端安全等几个方面，针对某电力单位的实

际情况，从具体的网络结构出发，分析网络的安全状况。

物理安全是保护计算机网络设备、设施以及其它媒体设备免遭地震、水灾、

火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过

程侬L某电力单位网络的物理层安全主要包括三个方面：

（1）网络边界防护

不同安全区域之间存在非法攻击的现象。某电力单位的网络大体上分为四个

层次，某电力单位局域网络、生产网络的连接、省广域网络、国家局的广域网络

和互联网网络，四个层次属于不同的网络安全域，不同的安全区域之间可能会存

在非法访问和非法攻击。

数据中心（服务器群）核心与局域网交换核心之间处于不同的安全边界，需

要考虑边界防护mi。某电力单位服务器群是数据应用中心，这里包括与生产、

物流、营销、财务等业务相关的重要服务器。内部的网络交换和外部线路接入都

有可能对这些重要服务器安全造成威胁，合理的保护这些服务器群，就需要对这

些服务器进行群安全隔离和控制，并做好数据中心的边界防护。

（2）入侵检测

某电力单位重要的数据中心（服务器群）、核心网段以及Internet边界都需

要有网络监控与实时防护措施，如果没有一个监控的手段，对来源于外网穿过防

火墙的非法攻击和内部的非法攻击都将无法监控。

（3）网络设备配置安全

9

某电力单位网络中的网络设备包括路由器、交换机、防火墙等。设备配置安

全十分重要，如果设备出现故障，会出现局部甚至整个网络瘫痪的严重后果。某

电力单位网络中的网络设备都没有进行安全配置，部分网络设备配置存在安全漏

洞，存在一定的安全隐患，攻击者可以轻易的获得、修改系统的重要参数，这样

攻击者很容易获得管理权限，所以需要对网络设备自身的安全性做好严格控制。

（4）网络设备及服务器无授权访问风险

某电力单位网络里有很多的路由、交换、和重要的服务器设备，这些设备目

前大部分没有进行安全优化和安全加固，一旦被一些未授权的用户非法访问，可

能会对网络整体安全造成很大的影响。

（5）网络接入安全

病毒、蠕虫和间谍软件等新兴网络安全威胁继续损害客户利益并使机构损失

大量的金钱、生产率和机会。与此同时，移动计算的普及进一步加剧了威胁。移

动用户能够从家里或公共结点连接互联网或办公室网络，常在无意中轻易地感染

病毒并将其带进某电力单位环境，进而感染网络。网络接入安全也是一项重要的

工作。

对于某电力单位网络的主机系统、数据库系统而言，存在主要的风险是病毒

的入侵和系统漏洞。

目前某电力单位的防病毒体系并不完善。某电力单位布置了防病毒系统防病

毒产品是Symantec某电力单位版，但由于没有及时更新升级，未能做到对病毒

的有效防范。常见的漏洞隐患主要有：允许空连接（低风险）；管理员/用户弱口

令（高风险）；SQLServersa用户口令为空（高风险）；RPCdcom漏洞（高风险）；

webdav漏洞（高风险）；WindowsMessenger远程溢出漏洞（高风险）；其他漏洞

比如SQLServer的漏洞，ExchangeServer等的漏洞。

在整个信息安全体系中，个人终端计算机的安全是最脆弱的，也是最易被利

用，很大一部分蠕虫、病毒和特洛伊木马都是针对微软的操作系统的漏洞实施攻

击，微软几乎每5天就要发布一次安全补丁，对于某电力单位来说，如何管理好

终端的安全性成为一个迫切需要解决的问题。

终端的安全问题，其根源在于两个方面：

1、安全补丁是否能够及时更新。

2、是否能够建立统一的、强制的系统安全策略。

由于终端使用者的安全意识和技术能力薄弱，无法对终端操作系统进行基本

的安全管理配置和及时的补丁更新，同时，在使用过程中，也缺乏安全意识。使

得这些终端工作站最容易成为黑客攻击目标，同时，也往往成为网络蠕虫病毒爆

发的重灾区，严重影响了业务系统的正常运行。

10

第三章某电力单位信息安全系统需求分析与设计

3.2某电力单位信息安全的问题分析

随着某电力单位业务的发展，对网络系统的可靠性、安全性、可管理性以及

可用性方面的要求也越来越高。从总体上来讲，现有的网络体系已经不能很好地

适应和满足某电力单位未来业务的需要，主要体现在以下几个方面：

（1）重要的安全区域缺乏有效的安全隔离措施，供电网和管理网没有有效

的安全隔离机制，供电网和管理网之间也没有网络安全监控措施，对来源于外网

穿过防火墙的非法攻击和内部的非法攻击都将无法监控。

（2）缺乏有效的入侵防范机制，尽管Internet出口处已经部署了防火墙，

随着网络技术的不断发展，单纯依靠防火墙已经无法满足网络安全的需要，各种

各样的来自内、外部的黑客都在尝试着用不同的方式来攻击现有的网络体系，一

旦卷烟厂的核心应用区域受到攻击手段的破坏，将造成灾难性的后果。

（3）缺乏对桌面终端的管理手段和工具，目前很多员工的工作基于计算机

进行,桌面终端所带来的安全隐患也将会影响到整个网络体系，一旦某一个漏洞、

弱点被攻击者利用，后果也十分严重。

（4）缺少安全管理方面有效的手段和工具，随着未来网络规模的发展，越

来越多的应用系统、网络设备、安全设备、终端的增加，需要一个个全面的网络

安全综合管理平台，以及严格的安全管理机制，通过建立相应的事先预警机制和

出现问题后的及时发现、解决问题的手段和工具，并且能对网络的状况做实时的

监控和评测以发现潜在的故障和安全隐患。一旦无法及时发现、控制、解决问题，

也将影响到某电力单位的运营。

（5）缺乏有效的蠕虫病毒防范机制，全厂尽管都部署了网络防毒软件系统,

但根据实际效果来看，都不是很理想，对病毒的预警、防范、查杀和控制扩散方

面都存在着严重的不足，这主要体现在管理策略不够理想；蠕虫或者病毒的传播

速度特别快，只需要短短几分钟便可袭击整个网络。哪怕这种攻击不会对整个网

络造成太多的破坏，但也可能会产生大量的网络流量，严重影响某电力单位开展

业务的能力，从而导致网络中断。

根据现有计算机网络的业务应用特点，在当前复杂的网络应用环境下，必须

保证网络中的数据具有实时性，问题如果得不到解决，某电力单位的效率将会受

到严重影响。因此，必须重新分析局域网的安全新需求。

3.3某电力单位信息安全系统需求分析

随着电力行业计算机信息网络建设的不断发展，各类应用的不断深入，电力

行业的经营模式已经由传统模式逐渐向网络经营的模式转变。电力行业竞争尤为

II

激烈，加上某电力单位技术中心业务量的飞速增长，对内对外信息交流越来越频

繁，同时为响应全国电力行业网的建设要求，所以某电力单位技术中心建设高性

能的局域网是非常必要的。网络的开放性、互连性和共享性，以及随着网络上电

子商务、网络电子银行等新业务的兴起，使得网络安全问题变得越来越重要。

目前某电力单位内部网络有以下几个方面的需求：

(1)访问可控性：系统要求能够可靠确认访问者的身份，谨慎授权，并对任

何访问进行跟踪记录，对关键网络、系统和数据的访问必须得到有效的控制【26】。

(2)数据保密性。

(3)重要操作可管理性。

根据以上对某电力单位内部网络的业务与安全性分析可以看出，建立新的网

络安全防护系统显得尤为必要。

3.4系统设计目标

根据以上的需求分析，依据公安部颁布的《信息系统等级保护安全设计技术

要求》(GB/T22239-2008)和《信息系统安全等级保护定级指南》(GB”

22240-2008)中相关规定和标准规范，以安全等级保护和风险评估为手段，对重

要信息系统实施等级划分和安全保护，实现物理安全、网络安全、主机安全、应

用安全、数据安全及备份恢复等功能。

目前，电力信息安全系统属于信息系统安全等级保护三级。通过对电力信息

安全系统重要业务和数据资源的安全保障需求进行分析发现，在逐步建立和完善

国家电力信息网络系统、业务应用系统的同时，必须适度构建电力系统信息安全

保障体系。通过部署防火墙(VPN)、入侵检测/防御设备，加强网络区域边界安

全；在各操作系统、应用系统中部署流量控制设备、病毒与恶意代码防范措施，

提高系统通讯防护能力；通过设立安全互联部件和跨级系统安全管理中心，实现

跨级业务系统之间的数据安全交换。为保证机房的供电和环境温湿度，需要适时

添置精密空调和改造供电环境。

3.5系统总体设计

为了保护电力系统的安全，我们通过防火墙技术和入侵检测技术实现对病

毒、非法访问、木马、恶意攻击等的防御，使电力系统免受攻击。系统的核心是

防护墙和入侵检测，他们为系统系统了保护的作用。为了使用户能够很好的使用

系统提供的防火墙及入侵检测系统，我们设计了系统管理模块，他包括系统的登

录模块、系统的管理模块、网络配置模块、防火墙配置模块、入侵检测配置模块。

12

第三章某电力单位信息安全系统需求分析与设计

3.6系统数据库设计

从以上目标出发，该系统的数据库设计主要围绕工作流进行设计，具体设计

方法如下：

通过创建表FlowActivitylnfo,FlowRoutelnfo和FlowRulelnfo用来存取活

动和路由相应的属性值。具体如图3-1,3-2,3-3。

其中主要字段设定如下：

ActivityID和RoutelD可以由员工自己定义，ActivityName和RouteName为

固定值，ActivityType定义了五种类型如表3-1：

表3-1ActivityType各值含义

ActivityType代表含义

FlowStart流程开始

Start活动的开始

Auto自动方式

Manual手动方式

End结束

RouteType定义了两种类型，见表3-2。

表3-2RouteType与RouteName对应表

RouteTypeRouteName

Sequence顺序路由

Branch分支路由

FlowActivityText中除了前面的ID和Name外，还有赋予了NextRoute的值，

定义了该活动后由哪个路由来引导。

FlowRuleText中则对NextActivity赋值，定义了该路由的终点，也就是下一

个活动。

IconUrl里是图标所在的路径。

结合以上内容实现工作流设计器，对执行者相关表进行如下创建：

a.部门、机构、人员表结构，见表3・3、表3-4和表3・5。

表3-3部门信息表

13

字段名描述类型长度是否允空是否主键

DeptName部门名称varchar30否否

DeptTelephone部门电话varchar50是否

DeptID部门ID号（标识）int4否是

CorpID机构1D号int4否否

DeptFunotion部门职责varchar500是否

DeptLevel部门级别int4是否

DeptAcronym部门缩写varchar10是否

IsValid是否有效char1否否

说明：部门是机构的下一级单位,一个机构可以有多个部门，但一个部门只能属于一个

机构，且只属于一个机构。

表3-4机构信息表

字段名描述类型长度是否允空是否主键

CorpCode机构代码varchar6否否

CorporationName机构名称varchar60否否

ServerIP服务器IP地址varchar50是否

CorpType机构类型char1否否

Address地址varchar200是否

City所在城市varchar30是否

CorpTelephone机构电话varchar50是否

IsDefault是否默认bit1否否

CorpID机构ID号（标识）int4否是

PostalCode邮政编码varchar50是否

URL链接varchar50是否

ArtificialPerson法人int4是否

CorpAcronym机构缩写varchar10是否

IsValid是否有效char1否否

DisplayOrder显示顺序int4否否

说明：机构在本系统中是行政级别的最高级别。

表3-5人员信息表

字段名描述类型长度是否允空是否主键

UserID用户ID号（标识）int4否是

14

第三章某电力单位信息安全系统需求分析与设计

EmployeelD员工姓名缩写varchar10否否

Password密码char50否否

CorpID机构ID号int4否否

Manager领导int4是否

Email电子邮箱varchar100是否

Telephone电话varchar50是否

EmployeeName员工姓名varchar50是否

Mobile手机varchar20是否

PostlnfoBoxSize信箱大小int4否否

AccountName账户名称varchar50是否

DesPassword重复密码varchar100是否

说明：人员信息表记录的是用户的相关信息，包括个人基本信息、工作信息、，账户信息等,

表3-6安全信息表

字段名描述类型长度是否允空是否主键

UserID用户ID号（标识）int4否是

EmployeelD员工姓名缩写varchar10否否

Password密码char50否否

CorpID机构ID号int4否否

RiskManage风险管理varchar50是否

AssertManage资产管理varchar100是否

SecurityEventM安全事件管理varchar50是否

VulnerabilityM

脆弱性管理varchar50是否

Earlywarning

预警功能varchar20是否

WorkOrderM

工单管理varchar50是否

ReportManagement

报表管理varchar50是否

权限访问控制是通过用户、角色、模块三级结构实现的，见表3-6,3-7,3-8。

表3-7角色信息表

字段名描述类型长度是否允空是否主键

RoleName角色名称varchar50否否

RoleDesc角色描述varchar100是否

15

CorpID机构ID号int4否否

RolelD角色ID号（;标识）int4否