圖1 一次典型的SQL注入攻擊過程

2）XSS漏洞利用，即跨站腳本攻擊，入侵者可以在網(wǎng)頁中加入惡意代碼，當(dāng)訪問者瀏覽網(wǎng)頁時(shí)，惡意代碼會(huì)被執(zhí)行，入侵者從而獲得訪問者機(jī)密信息。如果訪問者是管理人員，入侵者則可以控制整個(gè)網(wǎng)站。圖2是一次XSS攻擊。

圖2 一次典型的XSS攻擊過程

由此可見，這兩種入侵是普通的防火墻產(chǎn)品根本無法防御的。因此，部署針對Web服務(wù)器的防護(hù)工具迫在眉睫。

Web服務(wù)器的防護(hù)工具主要有WIPS、WAF、WSF等，這些產(chǎn)品部署在Web服務(wù)器前端，能深入檢測對Web服務(wù)器的攻擊并能即時(shí)報(bào)警和阻斷，這類產(chǎn)品的主要的考核指標(biāo)如下：

1）對于SQL注入和XSS漏洞利用的檢測和阻斷能力；

2）是否具備針對其他攻擊的檢測能力，從而保證防護(hù)的全面性；

3）為了保證業(yè)務(wù)系統(tǒng)的運(yùn)行速度不受影響，事件處理速度、透傳能力等也是主要的考核指標(biāo)之一。

除了安全審計(jì)和Web防護(hù)產(chǎn)品，市面上還存在著各種各樣的檢測、隔離和防護(hù)產(chǎn)品，有傳統(tǒng)的IDS、漏洞掃描器、防火墻，也有新興的UTM、IPS等產(chǎn)品。這些產(chǎn)品的合理部署，對于電網(wǎng)防御能力的提升有著重要價(jià)值。智能電網(wǎng)除了防御能力，還需要有強(qiáng)大的自我修復(fù)能力，也就是在數(shù)據(jù)遭到破壞后能及時(shí)修復(fù)，能對外持續(xù)提供安全的服務(wù)。因此，數(shù)據(jù)的防篡改以及容災(zāi)備份等建設(shè)內(nèi)容也值得關(guān)注。

3.結(jié)語

構(gòu)建智能電網(wǎng)的信息安全體系，要有管理與技術(shù)并重的安全理念，一方面要強(qiáng)化信息管理和使用人員的安全意識，規(guī)范網(wǎng)絡(luò)使用行為；另一方面，電網(wǎng)各級信息安全部門還要同心協(xié)力，提升安全保障手段，關(guān)注現(xiàn)代信息安全技術(shù)和安全廠商，有規(guī)劃、成體系的部署相應(yīng)的信息安全產(chǎn)品。

信息安全是一個(gè)系統(tǒng)工程，一個(gè)安全穩(wěn)定、能有效抵御內(nèi)外攻擊的電網(wǎng)是智能電網(wǎng)的基本要求，而安全的統(tǒng)一規(guī)劃和部署則是智能電網(wǎng)的系統(tǒng)目標(biāo)。多種信息安全手段和產(chǎn)品相互配合，互為補(bǔ)充，實(shí)現(xiàn)使用價(jià)值最大化，這也是統(tǒng)一堅(jiān)強(qiáng)智能電網(wǎng)的深刻含義。通過各級信息安全部門的共同努力，智能電網(wǎng)的信息化建設(shè)水平將會(huì)邁上新的臺階。

注釋：作者滕文靜現(xiàn)任職于啟明星辰。

liukai