网络信息系统安全应急预案2012(共10页).doc

精选优质文档-倾情为你奉上 Q318-223-018-WB电力网络信息系统安全故障应急预案 日期：2010年3月电力网络信息系统安全故障应急预案目录1. 总则1.1 编制目的1.2 编制依据1.3 适用范围1.4 与其他预案的关系2应急处置基本原则3. 事件类型和风险程度分析2.1 物理层安全风险分析2.2 网络安全风险2.3 系统安全风险2.4 应用安全风险4. 组织机构和职责4.1 应急组织机构4.2 故障应急现场指挥领导小组职责5. 预防和预警5.1 预防措施6. 处置流程6.1 预案启动6.2 应急处置6.3 后续处理6.4 记录上报6.5 结束相应1 总则1.1 编制目的电力网络信息系统是构建在一个典型的具有Internet、Intranet和 Extranet应用环境的复杂系统。由于Internet是一个开放性的、非可信的网络，因此解决依托 Internet的信息系统的安全将是一个非常复杂的系统工程，要求必须建立完整的、可管理的安全体系。这个安全体系涉及以设备为中心的信息安全，技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；涉及计算机病毒的防范、入侵的监控；涉及以用户（包括内部员工和外部相关机构人员）为中心的安全管理，包括用户的身份管理、身份认证、授权、审计等；涉及信息传输的机密性、完整性、不可抵赖性等等。如果发生安全故障，轻者将造成资料损失，重者将造成网络信息系统混乱、中断，甚至影响到安全生产运行，为最大限度减轻故障造成的损失，保障网络安全运行，根据本公司实际情况制定本预案。1.2 编制依据依据中华人民共和国安全生产法、电网和电厂计算机监控系统及调度数据网络安全防护规定、GB/T 20269-2006信息安全技术 信息系统安全管理要求、GB/T 20270-2006信息安全技术 网络基础安全技术要求、GB/T 20271-2006信息安全技术 信息系统通用安全技术要求、GB/T 20272-2006信息安全技术 操作系统安全技术要求、GB/T 20273-2006信息安全技术 数据库管理系统安全技术要求、GB/T 20281-2006信息安全技术 防火墙技术要求和测试评价方法、GB/T 19716-2005信息技术信息安全管理使用规则、国家电力监管委员会令（第五号）等有关法律、法规、标准及电力企业应急预案管理办法制定本预案。1.3 适用范围本预案适用于江苏新海发电有限公司内电力网络信息系统发生故障。1.4 与其他预案的关系本预案为江苏新海发电有限公司电力网络信息系统安全故障应急预案的专项预案，在综合应急预案的基础上制定，可以单独使用，也可以配合综合应急预案使用。2 应急处置基本原则 2.1 维护人员应加强对网络信息系统日常检查维护，及时发现和消除危及系统安全的各类安全隐患；当发现险情时，应立即报告应急指挥部。 2.2在网络信息系统出现险情时，维护人员和各级应急救援人员应正确履行应急预案所赋的职责和执行故障应急现场指挥部下达的指令。3 事件类型和风险程度分析3.1 物理层的安全风险分析3.1.1 系统环境安全风险因水灾、火灾、雷电等灾害性故障引发的网络中断、系统瘫痪、数据被毁等； 因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能正常工作； 机房电力设备和其它配套设备本身缺陷诱发信息系统故障； 机房安全设施自动化水平低，不能有效监控环境和信息系统工作；其它环境安全风险。3.1.2物理设备的安全风险由于信息系统中大量地使用了网络设备如交换机、路由器等，服务器如PC服务器、小型机，移动设备，使得这些设备的自身安全性也会直接关系信息系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏，交换机和路由器设备配置风险等。3.2 网络安全风险3.2.1 网络体系结构的安全风险电力的网络平台是一切应用系统建设的基础平台，网络体系结构是否按照安全体系结构和安全机制进行设计，直接关系到网络平台的安全保障能力。电力的网络是由多个局域网和广域网组成，同时包含Internet的Intranet和Extranet部分，网络体系结构比较复杂。内部行政办公网、业务网、Internet网之间是否进行隔离及如何进行隔离，网段划分是否合理，路由是否正确，网络的容量、带宽是否考虑客户上网的峰值，网络设备有无冗余设计等都与安全风险密切相关。3.2.2网络通信协议的安全风险网络通信协议存在安全漏洞，网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问业务网络和调度业务系统；对其进行监听，窃取用户的口令密码和通信密码；对网络的安全漏洞进行探测扫描；对通信线路和网络设备实施拒绝服务攻击，造成线路拥塞和系统瘫痪。3.2.3网络操作系统的安全风险网络操作系统，不论是IOS，windows，还是Unix，都存在安全漏洞；一些重要的网络设备，如路由器、交换机、网关，防火墙等，由于操作系统存在安全漏洞，导致网络设备的不安全；有些网络设备存在“后门”（back door）。3.2.4 Internet自身的安全风险Internet是全球性公共网络，具有无主性、开放性等特点。数据传输时间延迟和差错不可控，可引起数据传输错误、停顿、中断，网上发布的行情信息可能滞后，与真实情况不完全一致，网上传输的口令密码、通信密码和业务数据有可能被某些个人、团体或机构通过某种渠道截取、篡改、重发；业务双方可能对事务处理结果进行抵赖等。3.3 系统安全风险：3.3.1操作系统安全风险操作系统的安全性是系统安全管理的基础。 WEB服务器数据仓库服务器、外部数据交换服务器、门户服务器、以及各类业务和办公客户机等设备所使用的操作系统，不论是NT、Win95/98/2000/2003/2008，还是Unix都存在信息安全漏洞，由操作系统信息安全漏洞带来的安全风险是最普遍的安全风险。3.3.2数据库安全风险所有的业务应用、决策支持、行政办公和外部信息系统的信息管理核心都是数据库，而涉及生产的数据都是最需要安全保护的信息资产，不仅需要统一的数据备份和恢复以及高可用性的保障机制，还需要对数据库的安全管理，包括访问控制，敏感数据的安全标签，日志审计等多方面提升安全管理级别，规避风险。虽然，目前电力的数据库管理系统可以达到很高的安全级别，但仍存在安全漏洞。建立在其上的各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷，需要对数据库和应用的安全性能进行综合的检测和评估。3.3.3 Web系统安全风险Web Server是对内对外宣传，提供各种应用的重要服务，也是BS模式应用系统的重要组成部分。由于其重要性，理所当然的成为Hacker攻击的首选目标之一。 3.3.4桌面应用系统的安全风险为优化整个应用系统的性能，无论是采用CS应用模式或是BS应用模式，桌面应用系统都是其系统的重要组成部分，不仅是用户访问系统资源的入口，也是系统管理员和系统安全管理员管理系统资源的入口，桌面应用系统的管理和使用不当，会带来严重的安全风险。例如通过邮件传播病毒；当口令或通信密码丢失、泄漏，系统管理权限丢失、泄漏时，轻者假冒合法身份用户进行非法操作。重者，“黑客”对系统实施攻击，造成系统崩溃。3.3.5病毒危害风险 在电力信息系统中，办公自动化占了很重要的地位；而核心就是电子邮件传送，电子邮件现在已成为计算机病毒最主要的传播媒介，占病毒总传播的87。80的企业中，皆曾经历一次以上的计算机病毒灾难。尽管防病毒软件安装率已大幅度提升，但一些单位或个人却没有好的防毒概念，从不进行病毒代码升级，而新病毒层出不穷，因此威胁性愈来愈大。3.3.6黑客入侵风险 一方面风险来自于内部，入侵者利用Sniffer等嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。 另一方面风险来自外部，入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息，或使系统终止服务。所以，必须要对外部和内部网络进行必要的隔离，避免信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。3.4 应用安全风险：3.4.1 身份认证与授权控制的安全风险依靠用户ID和口令的认证很不安全，容易被猜测或盗取，会带来很大的安全风险。为此，动态口令认证、CA第三方认证等被认为是先进的认证方式。但是，如果使用和管理不当，同样会带来安全风险。要基于应用服务和外部信息系统建立基于统一策略的用户身份认证与授权控制机制，以区别不同的用户和信息访问者，并授予他们不同的信息访问和事务处理权限。3.4.2 信息传输的完整性风险电力的业务人员和重点用户需要将信息直接在Internet上传输，由于Internet的固有特性决定了这些关键信息在传输过程中存在不完整、非实时的可能性，也存在被人篡改的可能性。需要考虑建立基于Internet的SSL虚拟专用网（VPN）并结合信息的传输加密、电子签名等方式来降低此类安全风险。3.4.3 信息传输的机密性和不可抵赖性风险实时信息是应用系统的重要事务处理信息，必须保证实时信息传输的机密性和网上活动的不可抵赖性，能否做到这一点，关键在于采用什么样的加密方式、密码算法和密钥管理方式。采用国内经过国家密码管理委员会和公安部批准的加密方式、密码算法和密钥管理技术来强化这一环节的安全保障。3.4.4 管理层安全风险分析安全的网络设备要靠人来实施，管理是整个网络安全中最为重要的一环，认真地分析管理所带来的安全风险，并采取相应的安全措施。 责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当故障发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求人们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。4. 组织机构和职责：4.1 应急组织机构:成立公司网络与信息安全应急处置工作组.组织成员如下:组长:生产副总经理副组长:生技部主任、信息中心主任 组员:信息中心成员、热控专职、电气专职4.2 故障应急现场指挥领导小组职责制订专项应急预案，负责定期组织演练，监督检查各部门在本预案中履行职责情况。对发生事件启动应急救援预案进行决策，全面指挥应急救援工作。5. 预防和预警 5.1现有网络和以后新建的网络平台、应用平台和信息系统，参照国家有关信息安全等级保护的要求，按照最终确定的保护等级采取相应的安全保障措施。不断完善网络安全防御系统，包括防火墙、防雷系统、入侵检测系统、网络杀毒系统及网络监控系统等，并对网络设备的安全性进行合理配置，根据实际需要做好升级更新工作。5.2 建立健全安全事件预警预报体系，严格执行网络与信息安全管理制度，加强对网络与网站等重点信息系统的监测、监控和安全管理，做好相关数据日志记录，设立内容过滤系统，确定合理规则，对网络进出信息实行过滤及预警。实行信息网上发布审批制度，对可能引发网络与信息安全事件的有关信息，要认真收集、分析、判断，发现有异常情况时，及时处理并逐级报告。5.3 做好服务器及数据中心的数据备份及登记工作，建立灾难性数据恢复机制。一旦发生网络与信息安全事件，立即启动应急预案，采取应急处置措施，判定事件危害程度，并立即将情况向有关领导报告。在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。6. 应急处置 6.1预案启动：在发生网络与信息安全事件后，信息中心应尽最大可能迅速收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围和评估事件带来的影响和损害，一旦确认为网络与信息安全事件后，立即将事件上报工作组并着手处置。6.2应急处置6.2.1 信息中心负责人接到应急报警后要迅速赶到现场检查。同时，通知发电部、燃料部、总经理工作部等网络应用依赖性很强的主要应用人员，如值长记录、来煤过衡记录等重要内容，及时做好纸质记录等，以便信息系统故障消除后，正确补回记录。6.2.2支撑系统故障UPS 损坏（1）检查配电柜UPS输出电流、电压（2）停止UPS（3）打开UPS 手动旁路开关，检查输出电流、电压正常（4）断开UPS 蓄电池开关（5）备份服务器数据、交换机配置（6）汇报公司相关领导（7）通知物业公司等有关部门保证机房市电（8）联系维修UPS（9）做好时间记录 蓄电池损坏（1）断开UPS蓄电池开关（2）检查蓄电池开关上端头电压（3）检查每组蓄电池输出电压（4）隔离损坏蓄电池及蓄电池组（5）联系更换损坏蓄电池（6）做好事件记录电源失电（1）检查UPS 配电柜输出电流、电压（2）分别检查2路市电配电柜输入电流、电压（3）断开自切装置（4）断开2路市电开关（5）备份服务器数据、交换机配置（6）汇报公司相关领导（7）通知物业公司等有关部门电源进行维修若停电时间大于6小时。则应在电源中断前30分钟，将主交换机、服务器等系统停用，以免突然停电导致设备损坏或数据丢失空调故障（1）检查空调配电柜输出电流、电压（2）断开空调开关（3）断开空调电源开关（4）备份服务器数据、交换机配置（5）汇报公司相关领导（6）根据当时天气情况，决定是否打开机房门窗，通风降温。必要时，采用电风扇降温或联系物业公司等有关部门购买冰块和风扇制冷（7）联系维修空调（8）做好事件记录6.2.3 核心交换机故障新机房核心交换机故障（1）检查、备份核心交换机日志（2）检查老机房核心交换机接管情况（3）备份核心交换机配置信息（4）断开核心交换机电源（5）将服务器接入新机房3550-48电口（双上联新、老机房）（6）检查服务器运行情况（7）将楼层交换机、接入交换机接入新机房3550-12G（8）检查各交换机运行情况（9）汇报公司有关领导（10）联系维修核心交换机（11）做好事件记录老机房核心交换机故障（1）检查、备份核心交换机日志（2）检查新机房核心交换机接管情况（3）备份核心交换机配置信息（4）断开核心交换机电源（4）将楼层交换机、接入交换机、老机房服务器接入老机房3550-24电口（双上联新、老机房）（5）检查各交换机、服务器运行情况（6）汇报公司有关领导（7）联系维修核心交换机（8）做好事件记录 光缆线路故障（1）立即联系光纤熔接人员携带尾纤等辅助材料，及时熔接连通。（2）检查并做好备用光缆或备用芯的跳线工作，随时切换到备用网络6.2.4、计算机病毒爆发（1）shutdown计算机病毒爆发网段上联端口（2）检查计算机cpu利用率、进程情况（3）隔离中病毒计算机（4）Shutdown 中病毒计算机上联端口（5）根据病毒特征使用专用工具进行查杀（6）系统损坏计算机在备份其数据后，进行重装（7）通知引起损坏计算机使用人数据丢失情况（8）做好事件记录6.2.5、服务器故障数据库服务器故障（1）备份数据库数据（2）电源损坏更换备用电源（3）硬盘损坏更换备用硬盘（4）网卡、主板损坏启用备用服务器（5）公司网站发布页面，ORACLE数据库服务器损坏提示生产MIS系统停用。（6）公司网站发布静态页面，SQL数据库服务器损坏提示公司网站和生产MIS系统同时停用。（7）检查备用服务器启用情况（8）汇报公司有关领导（9）联系维修服务器（10）做好事件记录公司WEB服务器故障（1）备份服务器数据（2）电源损坏更换备用电源（3）硬盘损坏更换备用硬盘（4）网卡、主板损坏启用备用服务器（5）公司网站发布静态页面，SQL数据库服务器损坏提示公司网站和生产MIS系统同时停用。（6）检查备用服务器启用情况（7）汇报公司有关领导（8）联系维修服务器（9）做好事件记录公司生产MIS服务器故障（1）备份服务器数据（2）电源损坏更换备用电源（3）硬盘损坏更换备用硬盘（4）网卡、主板损坏启用备用服务器（5）公司网站发布页面，提示公司生产MIS系统停用。（6）检查备用服务器启用情况（7）汇报公司有关领导（8）联系维修服务器（9）做好事件记录启用备用服务器，恢复应用系统运行后，应及时检查应用系统数据丢失情况，根据日志和备份文件进行恢复。数据恢复完成后，及时请相关专业人员检查数据恢复的完整性和正确性。 6.3 后续处理 6.3.1安全事件进行最初的应急处置以后，应及时采取行动，抑制其影响的进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。6.3.2安全事件被抑制之后，通过对有关事件或行为的分析结果，找出其根源，明确相应的补救措施并彻底清除。6.3.3 在确保安全事件解决后，要及时清理系统、恢复数据、程序、服务，恢复工作应避免出现误操作导致数据丢失。 6.4 记录上报 网络与信息安全事件发生时，应及时向网络与信息安全应急处置工作组汇报，并在事件处置工作中作好完整的过程记录，及时报告处置工作进展情况，保存各相关系统日志，直至处置工作结束。6.5 结束相应 系统恢复运行后，信息中心对事件造成的损失、事件处理流程和应急预案进行评估，对响应流程、预案提出修改意见，总结事件处理的经验和教训，撰写事件处理报告，同时确定是否需要上报该事件及其处理过程，需要上报的应及时准备相关材料；属于重大事件或存在违法犯罪行为的，第一时间向公安机关网络监察部门报案。专心-专注-专业