王 堯，劉 珊，王少博

（國網(wǎng)山西省電力公司電力科學研究院，山西 太原 030001）

0 引言

為提升風電、光伏等新能源消納空間，降低全社會用能成本，山西能源監(jiān)管制定并印發(fā)《山西獨立儲能和用戶可控負荷參與電力調峰市場交易實施細則（試行）》，指導引導獨立儲能和用戶可控負荷在電力現(xiàn)貨試運行期間開展電網(wǎng)削峰填谷。用戶可控負荷市場主體包括電力用戶和輔助服務聚合商。其中輔助服務聚合商指的是將可控負荷用戶聚合集中在一起，作為整體參與電力調峰交易并代理相關商務事宜的機構。輔助服務聚合商參加電力調峰市場交易需滿足準入條件，包括基本要求、與調度機構數(shù)據(jù)交互要求、功率調節(jié)要求等。輔助服務聚合商與調度機構進行數(shù)據(jù)交互，主要依托輔助服務聚合平臺（以下簡稱“聚合平臺”）。聚合平臺自身網(wǎng)絡安全性一旦無法保證，在與調度機構進行數(shù)據(jù)交互時，極有可能泄露敏感交易數(shù)據(jù)進而引發(fā)交易市場混亂等惡性結果。因此，對聚合平臺進行網(wǎng)絡安全風險評估勢在必行。

1 網(wǎng)絡安全風險評估技術

網(wǎng)絡安全風險評估是一種主動防御技術，在安全事件未發(fā)生時主動分析和評估信息系統(tǒng)潛在安全隱患，根據(jù)評估結果而采取恰當?shù)娘L險控制措施，有效降低網(wǎng)絡安全風險。在風險評估技術實際應用過程中，按照技術的應用范圍和應用方式，可分為基線核查、自動化漏洞掃描、滲透測試等。

基線核查是通過檢查各安全配置參數(shù)是否符合安全基線的評估技術，包括操作系統(tǒng)、中間件、數(shù)據(jù)庫等的基線核查，是一種合規(guī)性安全檢測。安全基線指的是為滿足安全規(guī)范要求，信息系統(tǒng)安全配置必須達到的基礎標準。以操作系統(tǒng)為例，其核查項包括賬號配置、口令配置、授權配置、日志配置、IP通信配置等方面內容，這些配置情況可以直接反映操作系統(tǒng)自身安全的脆弱性。

自動化漏洞掃描是基于漏洞數(shù)據(jù)庫通過自動化掃描的手段對目標系統(tǒng)進行安全脆弱性檢測，并發(fā)現(xiàn)可利用漏洞的安全評估技術，集成端口掃描、后門程序檢測、口令爆破、組件檢測、應用掃描等模塊，實現(xiàn)對目標系統(tǒng)的一體化安全風險評估。

滲透測試是為了證明網(wǎng)絡防御按照預期計劃正常運行而提供的一種評估技術，一般采用手動操作。測試人員使用與攻擊者相同的工具、技術和流程，來查找和展示系統(tǒng)弱點對業(yè)務帶來的影響。滲透測試會模擬各種可能威脅聚合平臺業(yè)務的攻擊，檢查系統(tǒng)是否足夠穩(wěn)定，能否抵抗來自經(jīng)過聚合平臺認證和未經(jīng)認證的攻擊。通過滲透測試往往能發(fā)現(xiàn)目標系統(tǒng)更為深層的應用層漏洞。

2 針對聚合平臺的適用性分析

2.1 基線核查

在信息系統(tǒng)實際開發(fā)運維過程中，開發(fā)運維人員往往以降低安全性為代價，提高開發(fā)運維工作的便利性，其主要修改項即為服務器基礎配置。因此，在聚合平臺正式上線投運前，開展基線核查并進行安全加固應作為基本措施，為聚合平臺提供基礎的安全保障?；€核查是合規(guī)性檢測，應確保聚合平臺服務器相關設置符合各級法律法規(guī)，尤以各類日志留存的配置作為核查重點，如服務器安全日志、Web容器日志等，保證聚合平臺發(fā)生故障或安全事件時，通過日志進行事件分析處置。

根據(jù)服務器部署情況，聚合平臺可劃分為使用云平臺和使用自有的獨立服務器兩種。在安全評估實際實施時，基線核查針對這兩種聚合平臺，可采用不同的評估方式。云平臺服務器初始鏡像一般已做基礎安全加固，配置的安全性有一定保障，同時云平臺的安全中心往往自帶基線檢查功能。針對此類聚合平臺進行基線核查時，可充分利用平臺基線檢查功能，根據(jù)實際情況修改檢查策略，采用自動化檢測方式批量完成配置檢查，提高基線核查效率。而獨立服務器一般采用操作系統(tǒng)、中間件、數(shù)據(jù)庫的初始化配置，安全性相對較差，實施評估時可加大人工核查比例，并提供檢測詳情說明和基線加固建議，協(xié)助完成問題整改。

2.2 自動化漏洞掃描

2.2.1 適用性分析

聚合平臺一般采用Web架構搭建，由中間件、數(shù)據(jù)庫、緩存組件、遠程管理等多種服務或組件構成，向下對可控負荷用戶提供服務，向上連接調控機構進行數(shù)據(jù)交互。依托漏洞數(shù)據(jù)庫，自動化漏洞掃描可將聚合平臺中可能存在的已知漏洞、弱口令、簡單應用層漏洞掃描出來，完成基礎漏洞層面的風險評估，構成風險評估的主體。

2.2.2 技術參數(shù)分析

當前主流的自動化漏洞掃描設備或工具可以分為兩類，一類是以國家信息安全漏洞庫、國家信息安全漏洞共享平臺等公開漏洞庫為主要漏洞庫，用于發(fā)現(xiàn)操作系統(tǒng)、組件、設備的已知漏洞，簡稱為主機漏掃；另一類是以Web應用程序為掃描目標，用于發(fā)現(xiàn)SQL注入、文件上傳、信息泄露等Web應用層漏洞，簡稱為應用漏掃。

主機漏掃可以省去各種既耗時又耗力的人工操作，測試人員不必逐個測試驗證聚合平臺是否存在某項已知漏洞。從安全評估的全面性和效率上出發(fā)，自動化漏洞掃描必須包含主機漏掃。需要注意的技術參數(shù)主要有掃描速率和漏洞數(shù)據(jù)庫版本兩項。掃描速率可以根據(jù)聚合平臺實際網(wǎng)絡吞吐量進行調整，或者兼顧掃描效率和平臺平穩(wěn)運行以適中的速率進行。保持漏洞數(shù)據(jù)庫版本為最新，同時輔以特定漏洞驗證腳本、應用層框架漏洞驗證工具，彌補漏洞庫的安全評估缺失項。

應用漏掃在配置和操作得當?shù)那闆r下，可以輔助測試人員發(fā)現(xiàn)應用層漏洞，可作為安全評估的可選項。之所以應用漏掃非必要，是因為應用漏掃一旦配置或操作不當，可能會對聚合平臺造成一定影響，如服務器宕機、數(shù)據(jù)篡改等。為了消除應用漏掃對聚合平臺的影響，安全評估就不能針對生產(chǎn)環(huán)境的聚合平臺開展，聚合商必須具備單獨的測試環(huán)境，這無疑增加了風險評估的成本。

2.3 滲透測試

2.3.1 適用性分析

為了可控負荷用戶使用上的便利，聚合平臺一般是公網(wǎng)開放的，可控負荷用戶可通過公網(wǎng)訪問聚合平臺。對于外部攻擊者而言，主要攻擊點就是對外開放的Web服務。因此，針對聚合平臺開展安全評估時，應將滲透測試作為安全評估的重要補充。因為滲透測試人員會在評估過程中利用最新攻擊技術，思考越過安全防護的方法，提供更為深入的評估，極大地彌補了自動化測試容易忽略的業(yè)務邏輯漏洞，如數(shù)據(jù)驗證、完整性檢查。同時，滲透測試可以輔助分析，幫助識別自動化漏洞掃描誤報的問題。

2.3.2 技術參數(shù)分析

根據(jù)授權范圍的大小，滲透測試可劃分為黑盒、灰盒、白盒三類滲透測試方式。黑盒是指評估方對聚合平臺的結構一無所知，完全模擬外部攻擊者探尋任何可從外部發(fā)起攻擊的安全漏洞；灰盒是指評估方通過實地訪談、查詢資料等方式對聚合平臺具備初步了解，但不了解聚合平臺的內部數(shù)據(jù)結構、代碼和算法；白盒是指評估方可以獲取聚合平臺的所有設計實施文件，如源代碼、二進制程序、設計文檔等，在此基礎上進行安全評估。

針對聚合平臺開展?jié)B透測試時，首先應綜合權衡評估雙方利益應考慮灰盒模式。安全評估在已知平臺信息的前提下，評估工作會更高效，測評效果更顯著。顯然，從白盒、灰盒再到黑盒，安全評估的充分性是依次降低的，從評估方角度出發(fā)，白盒模式更有利于發(fā)現(xiàn)聚合平臺的安全隱患。而對于聚合商自身來說，聚合平臺的設計實施文件具備一定商業(yè)價值，不應貿然外傳，否則可能會造成經(jīng)濟損失，同時也可能因為評估方的不當行為帶來安全隱患。因此，適中的灰盒模式可兼顧評估雙方利益，聚合商僅提供聚合平臺設備與應用賬號密碼，并在評估結束后立即修改口令和配置，而無需提供設計文檔和源代碼，這樣既有利于安全評估的開展，又在供應鏈層面保障聚合平臺的安全性。其次，滲透測試的評估效果與測試人員自身經(jīng)驗和技術水平直接相關，在聚合平臺安全評估中可根據(jù)實際情況選用經(jīng)驗更為豐富的測試人員進行測試，充分查找出聚合平臺Web應用層潛在的安全隱患。滲透測試通常分為信息收集、漏洞掃描、漏洞利用、后滲透4個步驟，在對聚合平臺的安全評估中一般僅需前3步即可，后滲透可能會對聚合商其他信息系統(tǒng)甚至調控機構造成影響。

3 結束語

針對電力輔助服務聚合平臺進行網(wǎng)絡安全風險評估時，應將基線核查作為基礎措施，自動化漏洞掃描作為主要手段，滲透測試作為重要補充。基線核查可根據(jù)聚合平臺服務器實際部署情況，調整自動化核查和人工核查比例，提高基線核查效率和效果；自動化漏洞掃描應包含主機漏掃，掃描速率適中，輔以特定漏洞驗證腳本、應用層框架漏洞驗證工具；滲透測試選用灰盒模式，取消后滲透環(huán)節(jié)。