作為最基本的能源之一，電是現(xiàn)代社會(huì)穩(wěn)定運(yùn)行的基礎(chǔ)。云南電網(wǎng)有限責(zé)任公司(簡(jiǎn)稱“云南電網(wǎng)”，下同)不僅承擔(dān)著為省內(nèi)超4600多萬(wàn)常住居民的供電任務(wù)，還肩負(fù)著極其重要的“西電東送”任務(wù)。云南電網(wǎng)積極探索云計(jì)算、大數(shù)據(jù)等新技術(shù)在電力行業(yè)的應(yīng)用，在數(shù)字化轉(zhuǎn)型過(guò)程中，云南電網(wǎng)不斷遭遇網(wǎng)絡(luò)攻擊的襲擾，并意識(shí)到在現(xiàn)有網(wǎng)絡(luò)安全體系下，應(yīng)對(duì)新型網(wǎng)絡(luò)威脅的準(zhǔn)確性、及時(shí)性、有效性還有進(jìn)一步提升的空間。
結(jié)合云南電網(wǎng)安全建設(shè)現(xiàn)狀，云南電網(wǎng)信息中心提出了四點(diǎn)新的安全建設(shè)需求：
1、針對(duì)安全設(shè)備多、告警多現(xiàn)象，需降噪聚焦真實(shí)威脅，并進(jìn)一步提升檢測(cè)能力;
2、分公司多，地域分布廣，要統(tǒng)一運(yùn)營(yíng)，需精準(zhǔn)發(fā)現(xiàn)威脅并及時(shí)處置;
3、面對(duì)新型未知威脅，需更加高效的工具和手段，以保證隔離內(nèi)網(wǎng)安全無(wú)虞;
4、重視重保，需更廣泛也更詳細(xì)的攻擊團(tuán)伙情報(bào)數(shù)據(jù)，以深入溯源分析。
針對(duì)云南電網(wǎng)的網(wǎng)絡(luò)安全需求，微步在線提出以威脅情報(bào)切入的思路獲得云南電網(wǎng)信息中心認(rèn)可，確定了以本地威脅情報(bào)管理平臺(tái)TIP+威脅感知平臺(tái)TDP+OneRisk的組合方案，這一方案不僅幫助云南電網(wǎng)增強(qiáng)了應(yīng)對(duì)新型威脅所需的檢測(cè)與響應(yīng)能力，還助力云南電網(wǎng)通過(guò)了國(guó)家級(jí)攻防演練活動(dòng)的考驗(yàn)，并在冬奧、兩會(huì)等國(guó)家重大活動(dòng)期間，順利保障了云南居民用電和西電東送兩大任務(wù)。
云南電網(wǎng)信息中心網(wǎng)絡(luò)安全架構(gòu)示意圖
情報(bào)賦能 讓安全團(tuán)隊(duì)“抓住”真實(shí)威脅
很早之前，云南電網(wǎng)信息中心就構(gòu)建了安全大數(shù)據(jù)平臺(tái)，用以接收包括來(lái)自防火墻、網(wǎng)關(guān)、IPS等網(wǎng)絡(luò)安全設(shè)備、系統(tǒng)發(fā)出的各類(lèi)日志與告警信息，但每天收到的告警信息中有大量無(wú)效告警，只能靠安全管理員人工排除，費(fèi)時(shí)費(fèi)力。
從2019年開(kāi)始，云南電網(wǎng)信息中心將TIP接入安全大數(shù)據(jù)平臺(tái)，利用TIP內(nèi)置威脅情報(bào)和多源情報(bào)管理等功能進(jìn)行告警降噪，讓安全管理員可以將精力聚焦在真實(shí)威脅之上，極大地提升了日常安全運(yùn)營(yíng)的效率。在2022年，南網(wǎng)總部也使用TIP平臺(tái)作為情報(bào)生產(chǎn)下發(fā)統(tǒng)一平臺(tái)，云南電網(wǎng)迅速無(wú)縫接入，利用TIP本地情報(bào)生產(chǎn)能力共享行業(yè)情報(bào)，實(shí)現(xiàn)聯(lián)防聯(lián)控，成為電力行業(yè)網(wǎng)絡(luò)安全技術(shù)標(biāo)桿。
在國(guó)家級(jí)攻防演練中，云南電網(wǎng)綜合利用TIP、 TDP、OneRisk以及微步安服等服務(wù)提供的不同安全能力，順利通過(guò)了攻防演練的考驗(yàn)。并且，在冬奧、兩會(huì)等國(guó)家重大活動(dòng)期間，還通過(guò)TDP發(fā)現(xiàn)了境外黑客攻擊事件，基于威脅情報(bào)進(jìn)行拓線分析，完整還原了黑客團(tuán)伙的攻擊過(guò)程，并進(jìn)行身份關(guān)聯(lián)分析，迅速鎖定了目標(biāo)，然后形成事件溯源分析報(bào)告，為行業(yè)內(nèi)聯(lián)防聯(lián)控做出了表率。
加強(qiáng)辦公網(wǎng)防護(hù) 提升整體安全水平
辦公網(wǎng)正成為企業(yè)網(wǎng)絡(luò)安全的薄弱環(huán)節(jié)。
一方面由于辦公終端使用者的安全意識(shí)參差不齊，容易被黑客利用，比如最典型的就是釣魚(yú)，尤其是結(jié)合了社工的釣魚(yú)，歷來(lái)是安全管理員比較頭疼的難題;另一方面，如云南電網(wǎng)分公司眾多，且地域分散，分公司防范新型威脅的需求與集團(tuán)總部同樣強(qiáng)烈，但預(yù)算、人員水平缺很難與總部持平。且分公司辦公網(wǎng)一旦被黑客突破，其后續(xù)影響可能并不亞于數(shù)據(jù)中心被突破。
云南電網(wǎng)信息中心在辦公網(wǎng)的網(wǎng)絡(luò)出口部署TDP，并與TIP聯(lián)動(dòng)。基于高質(zhì)量的威脅情報(bào)，TDP針對(duì)網(wǎng)絡(luò)流量進(jìn)行雙向檢測(cè)，利用情報(bào)、流量、規(guī)則、機(jī)器學(xué)習(xí)等檢測(cè)引擎對(duì)流量、日志進(jìn)行監(jiān)測(cè)，并從多個(gè)維度綜合分析，由此精準(zhǔn)識(shí)別威脅。
在部署TDP后，有效檢出了云南電網(wǎng)辦公網(wǎng)內(nèi)的挖礦、釣魚(yú)、惡意軟件等違規(guī)外聯(lián)，并自動(dòng)鎖定內(nèi)網(wǎng)失陷主機(jī)，極大地方便了安全管理員處置動(dòng)作。通過(guò)TIP與TDP的聯(lián)動(dòng)，不僅極大地提升了云南電網(wǎng)辦公網(wǎng)的安全防護(hù)能力，還有效降低了日常安全運(yùn)營(yíng)人員的壓力。
資產(chǎn)清點(diǎn) 讓攻擊面收斂到最小
網(wǎng)絡(luò)攻防本質(zhì)上是人與人的較量。防守方要做到“無(wú)懈可擊”，必然要將可供黑客利用的攻擊面收斂到最小，并覆蓋所有攻擊敞口。而這進(jìn)行這一切的基礎(chǔ)是資產(chǎn)清點(diǎn)，讓所有資產(chǎn)都了然于胸。
云南電網(wǎng)信息中心利用TDP的資產(chǎn)清點(diǎn)功能，通過(guò)流量監(jiān)聽(tīng)實(shí)現(xiàn)對(duì)企業(yè)業(yè)務(wù)資產(chǎn)的識(shí)別，自動(dòng)化構(gòu)建資產(chǎn)臺(tái)賬，幫助安全團(tuán)隊(duì)摸清家底。并且這種非侵入式被動(dòng)監(jiān)聽(tīng)方式不會(huì)對(duì)企業(yè)主機(jī)和網(wǎng)絡(luò)帶來(lái)壓力和負(fù)擔(dān)，對(duì)業(yè)務(wù)零影響。除資產(chǎn)清點(diǎn)，TDP還能發(fā)現(xiàn)內(nèi)網(wǎng)中弱密碼、開(kāi)放端口、應(yīng)用漏洞等風(fēng)險(xiǎn)，及時(shí)提醒安全管理員進(jìn)行整改。
云南電網(wǎng)信息中心的相關(guān)負(fù)責(zé)人表示：“微步提供的解決方案和服務(wù)，能夠快速檢測(cè)、發(fā)現(xiàn)針對(duì)性攻擊，高質(zhì)量的本地情報(bào)生產(chǎn)更好地支撐了聯(lián)防聯(lián)控戰(zhàn)略，讓我們能夠集中精力快速響應(yīng)重大安全事件;同時(shí)，微步解決方案所具備的實(shí)戰(zhàn)能力，能夠快速定位攻擊、還原攻擊路徑、迅速鎖定攻擊者。尤其是在攻防演練期間，微步在線不僅幫助我們提升了安全防護(hù)能力，還極大地降低了安全人員壓力，讓我們能夠以更佳的狀態(tài)去迎接攻擊隊(duì)的挑戰(zhàn)，從而在演練中提升自身實(shí)戰(zhàn)水平和安全運(yùn)營(yíng)能力。”
