電力行業按電監會二次系統安全防護總體方案實現了“安全分區、網絡專用、橫向隔離、縱向認證”，有效地保證了確保電力實時閉環監控系統及調度數據網絡的安全，防止了由此導致一次系統事故或大面積停電事故，及二次系統的崩潰或癱瘓。通過內外網隔離方案，特別是數據庫正反向隔離裝置有效地保障了電力系統避免受到Internet的攻擊。

但在整體的安全方案中，對于電力系統敏感信息的防泄露，電力業務數據的防篡改工作始終沒有作為工作重點;在管理信息管理信息大區在數據庫集中存儲各應用的大量敏感信息和與電力用戶利益密切相關的經營數據，在管理大區中存在著大量的維護人員和外包工作人員，這樣對電力經營數據的泄露和篡改造成極大風險，間接對電力生產系統的安全運轉造成威脅。

等級保護對數據庫安全建設的總體目標，一是要保證核心數據庫自身的安全性，確保數據庫不會受到攻擊造成業務系統的癱瘓;二是在數據庫使用過程中及時發現安全問題，防患于未然，按修復建議進行安全加固;三是要求保證數據的保密性和完整性，對核心數據庫中的敏感數據進行有效的安全防護，確保關鍵數據不泄密，不被違規篡改。

本方案通過對電力行業敏感信息泄露安全威脅的分析，對數據庫安全進行整體設計與規劃，通過全系列數據庫安全產品相互之間分工協作，共同形成整體的防護體系，覆蓋了數據庫安全防護的事前診斷、事中控制和事后分析。

一. 現有的電力安全體系架構

現有的電力安全防護體系主要包括三個方面：

A、 分區隔離、網絡專用

根據對電網運轉正常性的要求，將電網劃分為不同級別的系統，分成四個大區，四個大區之間實現隔離。采用這種機制的主要目的是保障系統的可靠性和穩定性，防止低級別的，對系統有攻擊性、危害性的代碼和程序流入更高安全級別的系統。B、內外網隔離

管理信息大區與互聯網采用單向隔離裝置和數據庫隔離裝置實現內外網隔離;將所有的數據庫布置在內網中，所有需要提供互聯網訪問的Web應用系統放在外網，通過數據庫隔離裝置保障只有數據庫通訊協議能夠通過隔離裝置訪問到內網的數據庫;隔離裝置通過對數據庫協議的解析和控制，實現外部系統對數據庫的攻擊行為的防護。

C、實現等級保護安全改造

電力系統的核心生產系統和控制系統基本屬于等保2級系統，EMS系統和SCADA系統達到4級，部分經營管理系統達到3級，其余系統均在2級以上。

二. 現有系統存在嚴重的敏感信息泄漏和篡改風險

現有的電力系統二次安全防護方案很好地隔離了外網、管理信息大區、生產控制大區之間的非法訪問。但在管理信息大區中，積累了大量的電力敏感數據，例如財務數據、營銷數據、人資數據、市場信息、生產管理信息等，這些來自于不同的應用系統的數據集中存儲在數據庫中。內部人員、第三方運維人員、Oracle數據庫系統的DBA、新模塊的程序開發人員對數據庫中的數據都需要頻繁地訪問，諸多的人群和過高的權限造成電力敏感數據集中泄露的風險，經營方面的數據也有被異常篡改的風險。

三. 符合等保要求的數據庫安全防護思路

電力中的敏感數據主要存儲在數據庫中，對于數據庫的安全防護措施屬于當前安全體系的薄弱環節，對應等保安全要求的數據庫防護思路如下表：

四. 數據庫安全整體規劃

本方案通過對電力行業敏感信息泄露安全威脅的分析，對數據庫安全進行整體設計與規劃，通過全系列數據庫安全產品相互之間分工協作，共同形成整體的防護體系，覆蓋了數據庫安全防護的事前診斷、事中控制和事后分析。

數據庫安全防護

事前診斷：通過數據庫漏掃產品，有效檢測數據庫已知漏洞，并有效修復。

電力行業主要的數據庫類型是Oracle，在重要的應用系統也采用了國產數據庫達夢和金倉。在某些網省公司存在大量軟件開發和運維人員留下的數據庫賬戶，由于數據庫內的口令是加密存儲，這些賬戶是否存在弱口也令無從得知，尤其是國產數據庫弱口令掃描目前僅有安華金和的數據庫漏掃能支持。本方案規劃使用能支持國產數據庫安全檢測的數據庫漏洞掃描系統，對當前系統中重要數據庫進行全面的安全漏洞檢測，有效暴露當前數據庫系統的安全問題，同時提出漏洞修復的建議，從而提升數據庫系統整體的安全性。

通過數據庫漏掃定期進行數據庫安全檢查，防患于未然，對數據庫安全風險進行綜合評估，對管理域中數據庫的安全現狀進行全面檢測。安全漏洞項包括：弱口令、缺省口令、弱安全策略、權限寬泛、敏感數據發現、權限提升漏洞、補丁升級等，評估是否存在安全漏洞并提供修復建議，為系統的安全配置提升提供有效的參考。

事中控制：通過數據庫防火墻和數據庫加密解決。

目前電力行業已有一些系統如ERP是要通過互聯網為公眾開放的，數據庫如果放在內網，會影響數據庫的正常訪問。但是放在外網，就有黑客以應用服務器為跳板，進行對數據庫服務器攻擊的風險。電力行業用于互聯網安全防護的邏輯強隔離裝置和數據庫隔離裝置在Oracle數據庫的OCI連接訪問語句識別方面有欠缺，雖然電力行業有要求各應用系統的數據庫訪問轉為E語言后再通過隔離裝置，但是復雜的應用系統很難實現把數據庫訪問實現E語言的轉換，同時關系型數據庫的事務機制(ACID)是無法通過E語言實現的。

數據庫防火墻-從訪問源頭來保護數據，監測數據庫的訪問，防止未授權的訪問、SQL Injection、權限或角色的非法提升以及對敏感數據的非法訪問。高度精準的基于SQL語法的分析，避免誤判;基于黑、白名單的靈活的SQL級策略設置;支持Bypass和Proxy及混合部署模式，支持高可用，最大限度的適應企業需求;虛擬補丁技術避免數據庫因為不能進行補丁升級而造成的惡意訪問。

等保三級以上的核心系統可以通過在數據庫中加密存儲敏感信息防止被解析為明文，通過獨立于數據庫的權控體系和引入安全管理員、審計管理員實現三權分立的安全管理手段，防止DBA、第三方外包人員和程序開發人員越權訪問敏感信息，結合動態口令卡和SQL級API與應用系統進行綁定解決繞過應用程序非法訪問數據庫的問題。

事后分析：通過數據庫審計技術解決。

電力行業很多和業務相關的操作如營銷和計量數據的修改、批量客戶信息和人資及生產數據的查詢，這些操作都需要關聯到具體業務人員進行數據庫操作審計，以便在出現安全事件的時候可以有效的追責定責。

數據庫審計通過在核心路由設備上設置端口鏡像或采用分流監聽，使安全審計能夠監聽到所有用戶通過路由設備與數據庫進行通訊的操作，并把數據庫操作進行協議還原和分析，細致的數據庫操作審計和用戶審計，并有豐富的查詢檢索和報表功能，維護簡單、具備專業審計功能，節約人力，減少維護費用。

五. 總結

電力行業目前按照電監會的《電力二次系統安全防護總體方案》落實了對生產控制大區和管理信息大區的邊界防護，通過隔離裝置，很好地實現了電力諸多應用系統的安全分區，控制大區、管理大區、互聯網之間的安全隔離。但是，管理信息大區里集中存儲著各應用的大量數據庫信息，同時電力系統處于邊建設且邊使用的階段，第三方程序開發人員、運維人員、擁有DBA權限的用戶具有對這些數據的全部訪問權限，而安全管理員并不清楚他們對數據庫的訪問操作，這樣就對數據庫中敏感數據泄露和篡改帶來風險。本方案基于安華金和的數據庫安全系列產品提出了數據庫全方位防護、主動防御的安全加固方案，本方案中采用的數據庫安全技術將突破傳統安全產品的缺陷，實現數據的全面安全防護，從根源上徹底解決了敏感信息的防控問題。