基线配置核查平台 与电网信息安全合规库的联合应用研究
张民磊
（贵州电网有限责任公司，资州资阳550002）
摘要：也力信息安全基线，主要包括有相关操作系统、应用程序和网络设备的安全基准配置，为进一步提高基线配置核查平台的安全系数，需要深入健全基线体系，并基于电网信息妥全合规库来优化配置平台.本文通过对资州电网基线配置核查工具为例，结合基线配置核查平台与信息安全合规库的联合应用研完，以期推动电网信息安全防护水平的持续提升.
关键词：基线：核查平台：合规库
文章编号：1007-9416(2017)02-0213-02
文献标识码：A
中图分类号：TM76
伴随现代科技实力的飞速提升，电力信息系统建设质量得以飞控制技术为主体的信息技术，已逐渐融人到电力生产、运作阶段的 速提升，针对流程、业务逻辑的标准也不断优化，基于计算机、网络每一细节中，为提高信息安全系数，电力行业在优化相关设备的同时，不断探索更加高效，稳定、可扩展的基线配置核查方法.
制定安全基线之后，要做到定期核查业务系统安全质量，通过梳理业务系统与业务逻辑，进一步细分基线配置核查平台框架以及 平台实现层，其中，平台实现层内的安全基线标准包括安全漏洞、安全配置两大核查项.
隐患，主要体现在登录漏洞和缓冲区溢出，可看出系统本身存在的 第一、安全漏润.一般由于系统本身出现问题，面引发信息安全安全整竭.
1基线配置核查平台建设
的严谨性.在核查阶段，要构建安全规范统一的设备安全规范，并保 基线配置核查平台要整体核查业务内容，以保持业务逐辑证定期检查，考虑到电力系统内的信息数量和设备种类庞大、复杂， 核查工具要保证高效性、稳定性以及良好的可定制性.核查阶段需针对设备展开迅速安全配置和检测.此外，还要明确基线配置核查的安全结果，以良好的可视化效果对使用者进行展现，方便安全管 理人员和业务系统管理人员的整改工作.
等，同样可反应出系统本身存在的安全蔡竭. 第二，安全配置.一般体现在人为配置缺陷，即口令、账户、授权
1.2基线配置核查策略库
库的业务需求，和国内系统、设施，应用环境的独特性，参考相关标 通过建设基线配置核查策略，结合中国南方电网信息安全合规准制定相对应的Checklist表格与操作坐标，即基线核查策略库，重点应用在检查新业务系统的上线安全系数以及第三方人网安全系
1.1基线配置核查策略研究
图1基线配置核查平台功能架构图
安全技术
减小成本、高效运营的目标.
数.
2.1经济效益
施、数据库和安全设施， 基线配置核查策略库的研究界限大致分为操作系统、网络设
精确部署“安全基线自动核查工具系统”，将信息系统中暗藏的风险隐患控制在一定范畴下，切实提高设备自身的安全防护水平.该方式所形成的经济效益具体反映在：将业务系统出现整端所产生 的系列经济、形象损失控制在合理范畴内，是提高经济效益的主要手段，
1.3开发基线配置核查工具
基线配置核查工具检查工作的开展，要以智能化配置安全核查系统为前提，能够借助于远程读取，设备系统内参数信息的下载，和电力行业合规库配置标准中的相关规范展开对比分析，为提高基线配置核查工具的便捷性，便于多元化需求的满足.并侧重于和相关 系统的有机组合和后续的再次开发工作.可选取模块化设计，平台工作框架具体包括有：
第一，减少信息安全隐患，提高经济效益.在信息安全范畴内，ALE（年损益预算）占关键位置，指的是一年周期内由于某风险面出现的可预期资产亏损，即：
（1)专用平台.该平台已得到改善，安全系数相对高.
ALE=SLE × ARO
（2）调度核心板块，重点用于评估、检查已实现目标，如对主机存活状态的判断、识别操作系统、剖析并匹配模板.
SLE：单一损益预算，ARO即年度发生率.
20000套PC终端，1546套主机.中间件，网络和相关数据库系统，假设 以贵州电网为例，借助于IT设备基线将156个应用系统加固，参考某主机系统，应用系统信息风险事件比例是1%，信息风险事件失亏损为10000元/次，则直现经济亏损为： 亏损为50000元/起，PC终端信息风险事件比例为2%/年，且数据丢
（3)Checklist知识库.即对安全配置参数，数据的核查，核心调度模块以及数据解析等模块的运行基础.
解析结果的数据参考. （4）扫描结果库.是扫描结果文件得以生成的关键，同样是检索、
（5）数据解析模块.该模块的工作内容在于对报表数据、发展趋势的整体分析，属于任务合并、分布型数据整合归纳后的内容.
ALE(SLE × ARO)(1561546)1%50000 200002%10000)=485.1万元
（6）配置模板库.管理方可借助该模块在任务评估前，针对所核查设备配置相对应的安全配置核查点，和各项核查点权重.
核算2015-2016年的经济亏损，为485.1*2=970.2万，同时，营销与生产系统、协调办公系统等由于数据丢失而出现的亏损无法用实际资金亏损来估算.一且上述系统由于风险事件面出现的金额损 失长数以万计，所以，具体节省的直观经济成本已高出上述经济数额.
统WEB页面板块展开交互，便于使用者展开管理. （7)WEB页面版块，使用者使用浏览器并借助SSL加密通道与系
（8）系统升级板块.借助该板块能够不断更新、丰富Checklist知识库，并借助该板块实现相关模块的更新升级.
第二、优化运维效率，节省人力资源.基线配置核查平台实现了相关信息、参数的自动化核查，取代了之前的人力核查手段，系统智维方提供了相对精细的优化策略，降低了人力劳动强度，其覆盖范 能核查效率远高出人力核查的300倍，可自动生成相应的文件，为运酵包括公司本部、信息中心和地市供电单位，参考各单位2人/月，以5000元/人次来核算，贵州电网公司在该两年间的人力成本大致节 省了2*51225000元=120万.
（9)分布型模块.考虑到基线配置核查工具后续会展开相应的部署工作，这一模块可将核查信息提交至管理系统.
（10）拓展模块.伴随业务系统的逐渐增加与繁琐化，可借助该模块逐步更新基线配置核查平台可检测到的系统，以保障基线核查质量
1.4贵州电网基线配置核查建设成果
第三，借助统两级级联的架构策略，硬、软件投资以基线配置核查平台选取中心部署（省公司本部）分级级联、分散式收集（省公司本 部、信息中心和地区供电局的全面性构架措施，整体归纳由相关信息设施的基线配置核查参数，可及时发现信息设施基线配置核查平经费45万，硬件经费25万，将电网公司整体成本节省4700000=280 台中存在的整端，引导平台进行加固.将各地区供电单位节省软件万.
目前贵州电网已经实现省地两级基线配置平台部署，完成基线配置核查脚本定制开发656项，实现中国南方电网公司基线合规库 自动化脚本转发率94%，实现了贵州电网有限责任公司配置核查工作的自动化工作.加大的加强了公司对信息系统，网络设备、安全设
备的配置核查水平，有效的增强了公司网络安全防护能力.
2电力行业合规库的联合应用效益
目前，基线配置核查平台在通用设备安全配置方面的应用，已在入网安评、运作维护环节得到运用，切实提供了安全核查质量，以保证业务系统和合规标准的契合，同时，同南网合规库高度契合.基 线配置核查工具安全检查系数和质量，都远远高于人工检查，实现
2.2社会效益
首先，可科学部署基线配置核查平台的内部架构，全面提高平台的风险防护水平，通过提供高质量的供电服务，有利于推动当地作，对信息系统的科学构建与运作维护发挥引导作用，尽可能降低 民生经济的可持续发展，其次，借助于基线配置核查平台的安全运电网公司信息风险事件的发生概率，防止因信息风险事件对电网公司的健康运营造成负面影响.
3结语
基于对基线配置核查平台的构建研究，全面打造了整体统一的基线配置核查安全标准，有效发现信息系统内的漏润，提高了运行出现因信息安全事件造成的经济、社会形象损失，尤其是和信息安 维护的工作质量，进面实现信息系统安全系数的整体上升，避免了
.下转第217页
图2系统检查与人工检查对比
万方数据
4结语
[J].机电工程技术 2016 45(12):97-100. [5]罗常.工业控制系统信息安全防护体系在电力系统中的应用研究
系统层面得到广泛应用.纵观当前电力信息体系，已呈现出融汇交 在多元化信息通信技术的高速发展趋势下，信息技术在电力汇的连通式、开放式特征，基于信息安全态势系统分析当前电力信息安全概况，发现不仅网络内部威胁加剧，外部恶意攻击行为同样 日益加剧.要深入探索电力信息系统内外网的安全问题，进面构建科学全面的安全防护措施，以期推动信息时代下电网事业的课持续发展，
[6]汪玲敏.智能配电网中公共信患模型和安全防护技术研究[D].江苏大学 2013.
[7]贵州电网公司信息通信分公司信息安全态势分析方法与系统：中[3 CN201210282254.8[P].201 4212.
[8]陈连栋.电力行业网络安全态势感知研究[D].华北电力大学2015.
参考文献
[9]周风珍，高昆仑，郑晓昆，赵建保张伟剑，智海蒸，徐志博，赵保华郭 昊，李飞.企业级信息网络边界安全监测及深度分析技术的研究与应用[Z]河南省电力公司中国电力科学研究院.2013.
孤测[J].兰州理工大学学报 2015 41(4):99-103.[2]蒋该智，余勇，林为民，等.基于智能Agernt的电力信息网络安全态 劳感知模型研究[J].计算机科学，2012 39（12):98101.[3]郭伟.省级电网互联网信息安全关键技术研究与应用[].电力信 惠化 2012 10(6):8286.
[1]杨鹏，马志程，靳丹，等.面向智能电网的网络态劳评估模型及感知
[10]唐成华，土鑫，张瑞霞，土勇，强保华.基于态劳的网络安全态劳 评估指标体系研究.桂林电子科技大学学报，2011-08 Vo131 No.4:(270274)
[4]王红凯郑生军，郭龙华，等.海量数据下分布式IT资产安全监测系
...上接第214页
[6]马文，江输，彭秋霞等.电力信患安全基线自动化核查[].云南电力 核查机制及方法[J].电信工程技术与标准化 2012 25（4）:3134.技 2013 41(1):8990.
全合规库联合应用后，成效较为显著，切实强化了电网信息系统的安全防护水平.同时，基线配置核查平台的优化需要循序渐进，要科学结合信息系统安全防护标准的变化，来优化核查规范，使其可适 用于动态发展的信息安全态势.
[7]杨庆明-信息安全基线管理在企业信患化中的应用与研究[].信 息系统工程 2013 (7):7172 50.
[8]左晓军，陈亮，陈泽等-信息安全基线技术在电网企业中的研究与应用[J].科技视界 2015 (3):287288.
参考文献
[1]郊五林.面向信患安全等级测评的安全配置核查系统[D].中国海洋大李 2013.
[9]崔高智，张跃斌李斌等.关于电力信患安全基线自动化核查的探讨[J].科技创新与皮用 2013 (33):163163.
[2]商杰.基于业务的安全基线检查平台的设计和实现[D].北京邮电大学，2011.
[10]陈军，绕姚，陈虹等.基于SCAP的自动化安全基线核查研究[J].计 算机时代_2016 (4):2831.
[3]张展冬 杨间.增值业务平台安全基线体系建设方案解析[C]/辽 宁省通信学会2015年信息网络与信息技术年会论文集.2015:446-451.
[11]邢静字.电力信患网络节点安全检测和评估技术研究[D].北京 邮电大学.2015.
[12]中国联合网络通信集团有限公司.一种安全基线核查方法和设各 : 中 国 CN201 410563532.6[P]..
[4]南方电网科学研究院有限责任公司，电子科技大学-基于SCAP的 安全基线评估方法：中国 CN201410180456.0[P].201 4716.
[5]张震，冯伟颜金格等.一种基干云扫指技术的系统安全配置基线
..上接第212页
件工 2015 23:21221 3.
[2]王世佛论大数据时代信息安全的新特点与新要求[].图书情报工作 2016 06:514.
大数据时代的到来，给信息技术产业带来的新的发展机遇.虽技术行业仍有不足需要改进，因此，深化推进信息安全技术改革势 然当前在信息安全问题上面临种种间题，但这同时也意味着才信息在必行.相关企事业单位，需要加强人力物力的投人，培养相应的信息技术人才，推动信息安全技术的持续发展.
[3]李婷大数据时代网民信息安全间题与策略研究[D].需龙江大学，2015.
[4]张艳欣，康旭冉.大数据时代社交网络个人信患安全问题研究[] 兰台世界 2014 05:2425.
4结语
201 3 35:. [5]肖广娣，凌云.大数据时代信惠安全分析[0].电脑知识与技术，
综上所述，在大数据时代下，不论是政府行业或是金融行业，甚至是生活中的各行各业，都面临着信息安全变革所带来的威胁，面在此境况下，要应对信息安全问题，不仅需要增强对信息安全的保 护意识，更需要建立健全信息安全保障体系，深化推进信息安全技术改革，从意识、体制、技术三个方面保障大数据时代下各个行业以及个人的信息安全.
[6]马晓星.大数据时代面临的信患安全问题研究[A]天津市社会科学界联合会.科学发展协同创新共筑梦想一天津市社会科2014:5. 学界第十居学术年会优秀论文集（中[C].天津市社会科学界联合会：
[7]冯伟_大数据时代面临的信患安全机遇和挑战[].中国科技投资.201 2 34:4953.
参考文献
[1]陈韵.大数据时代的信息安全问题及对策研究[].电子技术与款
