电网渗透之终端安全

        电力系统安全不仅关系到电网的稳定运行，也关系到国家能源安全和国计民生，甚至关系到国家的安全和利益，电力系统由于结构复杂多样、分布广泛、重要性高，一旦系统瘫痪影响巨大，因此，极容易成为敌对势力攻击的首选目标。随着信息安全暴露面迅速增加，将给公司网络安全防线带来严峻挑战。

      监控、保障这些电力系统安全运行变的尤为重要。内部安全防护产品有防火墙、纵向加密、反向隔离设备等传统的安全设备，很少有其他安全产品。

 

       在互联网端，官网或者一些营销网站是暴露在互联网上的，它的风险也是很大的。如果网络黑客攻陷了这些网站，就可以当做跳板，进入内网。由于内网是非常脆弱的，一旦突破，危害非常之大。所以外网网站一定要不断进行自我漏洞检测，加强网站的防护。

 

      但从危险程度来分析，只有配电自动化终端环网柜是暴露在路边。是网络黑客最容易接触的。而配电自动化终端是直接与前置机进行的通讯，传递采集的数据。如果不法分子黑客趁着月黑风高，用乔工之手打开环网柜。那么接入内部网络就轻而易举。而配电自动化终端与主站之间又没有什么防御机制。虽然绑定了mac，但是黑客可以伪造配置自动化终端的mac。

       而有的配电自动化终端上的空闲端口没有被禁，不用伪造，直接接入内网。在自动化终端的上一级是ONU设备，它相当于一个小型的集线器。上面有3-4个接口。如果空闲的端口没有被禁，也可直接联入内网，直达主站。今天主要讲述一下关于配电自动化终端测试的几个方面。

 

1. 端口/服务安全

主要是主机系统开启的端口、服务，有没有空闲的端口、危险的端口，多余的服务。是否可以被黑客利用，造成更大的损失。配电自动化终端通过Nmap进行端口服务扫描。一般情况下需配电终端关闭危险或者空闲端口、服务，减少系统风险。

 

   2.口令安全 

主要是对终端系统进行弱口令排查。包括21端口ftp服务的弱口令，22端口ssh服务弱口令，3389端口远程桌面弱口令等口令测试检测。通过X-Scan3、hscan等工具，或通过管理端查看用户列表，进行排查。远程桌面一般需要管理员注销和停用不经常使用的用户，更改弱口令为强口令，且口令由专人保管，保证不存在弱口令。

此处就可以看到左下角出现弱口令。

 

 

3.终端操作系统漏洞安全

在操作系统层面进行系统扫描，排查出系统、中间件、插件等一系列漏洞。在系统层面杜绝脆弱的系统。根据客户提供配电终端所有IP地址，使用Nessus、等系统扫描工具进行扫描。解决此类系统漏洞一般可进行升级到高版本，方可解决。

4.通过终端做跳板

在一般黑客攻击方式中，都会先攻陷某一设备，通过此设备作为跳板，来进一步进行深入，以获取更多有用资料，进行大规模入侵。通过模拟设备终端，使用现有网络连接线接入配网环境，使用工具Nmap、wireshark及PMA尝试获取信息及发送控制指令。

 

5.伪终端

  通过模拟设备终端。黑客使用自己终端电脑设备伪装成配电自动化终端，使用现有网络连接线接入配网环境，使用工具Nmap、wireshark及PMA尝试获取信息及发送控制指令，进而造成破坏。

 

6.跨区域终端互访

 在一般情况下，某些区域之间是相互隔离的。而有时管理员忘记配置隔离，或者配置出错、被篡改，导致两个区域间可以相互通讯。当黑客攻陷一个区域时，如果存在跨区域访问，那么就为黑客打开了方便之门，在更多区域进行漫游渗透，危害随之变得更大。使用扫描及嗅探工具HSCAN等进行检测，检验是否可以跨区域互访。

 

7.变电站与调度数据网是否彻底物理隔离

在电力网络内部，变电站与调度数据网之间是进行物理隔离的。调度数据网是非常重要的，为了保证调度数据网绝对安全，所以都是采取与其他的变电站、次级网络都是采用物理隔离，没有任何联通的可能性。可以采用ping命令进行检测、人工检测物理连线情况。

 

8.硬件无用端口是否关闭和封堵（尤其网口、串口封堵）

 

一般配点自动化终端或者ONU上都会有多余的端口、网口。如果没有进行关闭，或者进行物理封堵，那么也会为黑客提供很多方便，降低了攻击成本和代价。可以人工查验网口和串口是否贴封条。管理员通过登录设备关闭多余网口。以增加攻击成本，让黑客望而止步。