电力智慧物联应用安全新短板的解决之道

 数字时代下，信息化与电力业务深度融合是必然的发展方向。新型能源、新型消费需求，都在促使电力行业信息化的加速发展。生产、运营、销售、交互过程所产生的海量电力业务数据正在持续推动着电力行业电网形态、运营模式、服务模式、决策模式、组织架构、盈利模式的变革，在持续推动着电力行业新业务、新业态、新模式、新成本、新速度、新体验的创新。数字电力“互联网+”的建设，在赋予电力行业“智能”的同时，也从基础层面逐步增强了电力行业的生产能力、调配能力、运营能力，并为智能交通、智慧城市等建设提供了更为强劲的助力和动力。

快速发展中的智能电力物联

近年来，电力企业结合电力行业特征和发展趋势，运用移动专网、物联网、移动应用等信息技术，建立起了电网运行、管理、服务新体系，加快推进了城市智能电网体系建设。在智能电网建设中通过移动应用及无线传输技术等实现的应用模式无处不在，在实际业务中相继推出了电力远程抄表、热能监控项目、用电信息远程采集等信息化解决方案，通过基于移动通信网络的机器与机器、机器与人之间的信息传递、分析和应用处理，实现了对业务的远程控制及指挥调度。有数据显示，到2018年电力行业包括专网专用应用、作业手持设备应用、公网应用等总数已经超过500。

智能电力背后的新安全威胁与挑战

但不容忽视的是，近年来，针对包括电力在内各类国家关键基础设施的黑客攻击在持续增加。震网病毒、Havex病毒、BlackEnergy病毒、WannaCry病毒……曾经依靠物理隔离就几乎万无一失的各类工业控制系统在频繁遭遇各类新型恶意攻击的威胁，甚至导致工业业务中断、国家关键基础设备被损毁、民众生活遭受严重影响。著名的乌克兰电网事件就曾致使过百万居民家庭电力中断数小时，而WannaCry勒索攻击的覆盖范围更是达到了上百国家。

实际上，随着工业网络的高度信息化、数字化，其与互联网、移动互联网之间的连接交互在更为紧密、融合在逐渐深入，这使得来自公共网络里的安全威胁有了更多渗透进入电力网络的机会。另外一个显著的问题是，智能手机、智能电表、智能充电桩、智能摄像头等各类智能设备与各类工控物联网终端设备在电力物联网里被大量使用，这些设备更容易被攻击者所获取、所接触，再进一步扩大电力网络可攻击面的同时也大大降低了可攻击难度。工业网络在变得日趋复杂，如何保证其整个体系安全可靠、可监控、可管理运维、可动态感知即将发生的威胁并做出主动的策略调整，是电力智慧物联的主要挑战。

从移动端开始补齐智能电网安全短板

电力企业需要全方位的信息安全建设，让安全防护能力有效覆盖终端安全、网络安全、主机安全和应用安全。但如今，电力信息系统终端在面临来自专用定制类移动终端和非定制类移动终端安全问题的考验，电力信息系统网络在面临专用定制网络和互联网两个渠道安全问题的考验，电力信息系统应用则在面临专网专用终端应用和公网移动应用安全问题的考验。移动信息安全建设已然成为电力信息网络安全体系的一块短板。

在2018年电力行业信息化年会上，梆梆云服高级安全顾问王重人提出，应对电力行业移动端安全挑战需要从以下几个方面进行考量。

1、电力移动应用自动化测评：以自动化的技术手段实现对电力业务移动应用全生命周期中安全问题的管理，并将管理行为依托于技术手段转变成为可操作、可追溯、可展示的自动化执行方案，从而高效、系统地实现电力业务移动应用安全性的流程化管理。

2、电力移动应用安全开发管控：为电力移动业务应用自主开发和外包开发，基于电力行业安全基线提供直观可量化的流程管控平台，实现流程工作可视化、可量化，问题负责人员可定位、可追溯等。

3、电力移动业务应用威胁感知：通过分析电力移动业务应用运行过程中的威胁情报，利用大数据技术为用户提供电力移动业务应用运行过程中全方位的威胁情报信息。同时从设备类型、地域、系统版本、应用版本、时间等多维度对环境风险、运行威胁、崩溃日志等进行筛选统计，通过环境风险分布，分析环境风险总体趋势。并且针对设备的安全事件提供攻击链展现和分析，进而利用攻击链行为实现电力行业威胁攻击的事后追溯操作。

4、电力物联网智能终端渗透测试：通过模拟攻击的方式，结合智能电网业务场景和需求，人工测试、挖掘电力物联网终端设备或电力智能硬件设备的安全漏洞和脆弱点，并提供渗透测试报告及修复建议。

[[244128]]

专注于移动安全领域的梆梆安全，聚集其精英人才组建成立了专门面向能源领域的梆梆云服。凭借梆梆云服在能源领域里的丰富经验和先进技术，在为电力行业用户提供上述移动安全防护服务之外，还能为电力行业用户提供基于SDLC的移动安全体系建设咨询服务，提供包含等保测评、整改方案、备案等相关的等保咨询服务，以及区别于传统基于代码结构和逻辑覆盖合规性和安全性的电力应用代码审计检测。

电力行业正在“互联网+”、数字化、智能化的道路上大步前行，梆梆云服将从移动端安全维度出发，为智能电网信息网络安全体系建设提供持续性的安全助力!