中國最大的水電上市公司——中國長江電力股份有限公司(簡稱“長江電力”)為保障葛洲壩、三峽工程等重點項目發(fā)電機組運行數(shù)據(jù)的安全，采用了浪潮SSR操作系統(tǒng)安全增強系統(tǒng)對AIX操作系統(tǒng)和Oracle RAC數(shù)據(jù)庫進行安全加固，從主機核心層構(gòu)筑安全，時刻保證長江電力生產(chǎn)管理系統(tǒng)(ePMS)等關(guān)鍵應(yīng)用的順暢運行。

信息安全不容“死角”

長江電力主要從事水力發(fā)電業(yè)務(wù)，是目前中國最大的水電上市公司，公司擁有葛洲壩電站及三峽電站全部發(fā)電機組，受托運行管理規(guī)模在世界前十大水電站之列的溪洛渡和向家壩電站。截至2013年12月31日，公司總裝機容量為2527.7萬千瓦，為中國經(jīng)濟發(fā)展做出了重要貢獻。僅以長江電力下屬的三峽電站為例，三峽供電滿足了華南、西南、華中等地的大部分用電需求，供電區(qū)域GDP約占全國的54%，惠及人口達6.7億;而整個長江電力公司的供電區(qū)域和覆蓋人口更為龐大。對于長江電力來說，如何保證電力生產(chǎn)和供應(yīng)已經(jīng)不僅關(guān)系著企業(yè)的經(jīng)營收入，更關(guān)系著千萬家企業(yè)的工業(yè)用電和上億個家庭的生活用電保障，責任重于泰山。

為保障電力生產(chǎn)和運行，長江電力早在2002年開始電力信息化建設(shè)，部署了電力生產(chǎn)管理信息系統(tǒng)(ePMS)。ePMS系統(tǒng)是一個集成的、分模塊的系統(tǒng)，但模塊之間是密切相關(guān)的，設(shè)備、維修、庫存、采購、分析等一環(huán)扣一環(huán)。同時，ePMS系統(tǒng)作為一個閉環(huán)系統(tǒng)，又可分為三個層次：維修規(guī)劃、維修處理和維修分析。ePMS系統(tǒng)在緊密圍繞電廠設(shè)備維修管理和設(shè)備運行管理的核心業(yè)務(wù)主線的基礎(chǔ)上，拓展到設(shè)備安全管理、可靠性管理、員工績效考核以及財務(wù)預(yù)算控制與財務(wù)成果分析。因為其系統(tǒng)復雜度較高，且包含八大子系統(tǒng)，三個層次。若其中一個子系統(tǒng)出現(xiàn)問題，給長江電力ePMS系統(tǒng)帶來的將是系統(tǒng)連動的停滯，甚至對整個公司業(yè)務(wù)產(chǎn)生較大的影響。除ePMS系統(tǒng)以外，長江電力還部署了辦公自動化系統(tǒng)(EIIS)、全面預(yù)算管理信息系統(tǒng)(CBMS)、大型企業(yè)B2B電子商務(wù)采購平臺，多平臺運行更是增加了安全防護的復雜度。

目前，面臨復雜、惡劣的網(wǎng)絡(luò)環(huán)境，由于長江電力信息系統(tǒng)復雜度較高，子系統(tǒng)眾多，且相互依賴性極高，若其中一個子系統(tǒng)出現(xiàn)病毒或黑客入侵問題，會給長江電力關(guān)鍵業(yè)務(wù)系統(tǒng)帶來聯(lián)動性停滯。

對此，長江電力信息部門負責人表示：“我公司參與了國內(nèi)許多重大科技創(chuàng)新項目和電力樞紐建設(shè)，這些項目中運轉(zhuǎn)的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)關(guān)乎民生，因此其安全性等級相對于其他行業(yè)更高。如果因外部人員竊取，或內(nèi)部人員誤操作造成數(shù)據(jù)丟失、非法修改等問題，將會給公司甚至我國的電力行業(yè)造成無法彌補的損失。因此，我們力求信息安全架構(gòu)的全面性、完整性和有效性，絕不能容忍‘死角’產(chǎn)生。”

長江電力對信息安全的擔憂并非空穴來風。如今，由信息系統(tǒng)實現(xiàn)自動化控制的電力行業(yè)，已成為“超級黑客”的攻擊目標。2014年7月，上千家歐美電力和能源公司曾被一種名為“能源之熊”的電腦病毒侵襲，其結(jié)果是黑客掌握了對電廠進行遠程控制的能力。這種病毒在入侵廠家的電腦控制系統(tǒng)后，既可讓黑客遠程監(jiān)控各地的實時能源消費情況，又能輕松通過輸入命令代碼讓發(fā)電系統(tǒng)發(fā)生故障，甚至全面癱瘓。過去18個月來，已有84個國家的1000多個發(fā)電站感染上述病毒。而葛洲壩電站、三峽電站皆是我國極為重要的能源樞紐，負責連接東西、縱貫?zāi)媳保�一旦上述網(wǎng)絡(luò)安全入侵事故，影響的絕非區(qū)域性停電的“小事”。

主機安全才是“治本”

信息安全的最核心的地方在哪里?“物必先腐也，而后蟲生之”，最堅固的堡壘往往是從內(nèi)部被攻破的。信息系統(tǒng)安全同樣如此，長江電力ePMS等電力信息化系統(tǒng)的數(shù)據(jù)都保存在主機系統(tǒng)中，主機安全至關(guān)重要。

長江電力過去采用傳統(tǒng)的主機安全措施是通過手工加固的方式提高操作系統(tǒng)安全。通過修改操作系統(tǒng)或者應(yīng)用軟件自身的安全策略來提升系統(tǒng)的安全性，比如修改系統(tǒng)組策略，劃分更細的權(quán)限，降低應(yīng)用軟件的運行權(quán)限等。手動安全加固雖然可以暫時消除系統(tǒng)的安全隱患，但這種加固方法卻有著明顯的弱點。比如：專業(yè)性強、費用高、周期長、時間局限明顯等等，無法長期有效的解決系統(tǒng)的安全問題。值得注意的是，所有手工加固都是基于系統(tǒng)管理員的基礎(chǔ)來配置的，這也就是說管理員可以自行加固也可以自行取消，安全策略的有效性得不到審計，一旦黑客獲取系統(tǒng)管理員權(quán)限，所有的安全策略都會失效，因此達不到強制訪問控制的功能。

那么，能否為服務(wù)器和操作系統(tǒng)加裝“防護罩”，實現(xiàn)“自動”、“主動”的防護，對黑客和病毒免疫，為ePMS等關(guān)鍵應(yīng)用形成安全穩(wěn)定的運行環(huán)境呢?

經(jīng)過對長江電力IT系統(tǒng)的系統(tǒng)評估，浪潮信息安全專家提供了長江電力主機安全解決方案。該方案涵蓋了先進的SSR操作系統(tǒng)增強系統(tǒng)，并基于浪潮ROST(內(nèi)核加固)技術(shù)對長江電力的操作系統(tǒng)“自動”進行加固。SSR實現(xiàn)原理是通過對文件、目錄、進程、注冊表和服務(wù)的強制訪問控制,有效的制約和分散了原有系統(tǒng)管理員的權(quán)限，綜合了對文件和服務(wù)的完整性檢測、防緩沖區(qū)溢出等功能，能夠把普通的操作系統(tǒng)從體系上升級，使其符合國家信息安全等級保護服務(wù)器操作系統(tǒng)安全的三級標準。而針對Oracle數(shù)據(jù)庫和前臺Web主機中的文件、進程，浪潮SSR通過MD5和RC2算法，確保了數(shù)據(jù)校驗結(jié)果的唯一性，堵住了非法用戶或惡意程序更改數(shù)據(jù)文件內(nèi)容的可能。

這一優(yōu)勢能為長江電力帶來很大價值，能夠避免傳統(tǒng)手工防護所造成的人力、時間、財力等的大量消耗，顯著降低TCO。

而且，浪潮以SSR為核心的主機安全解決方案還可以和長江電力現(xiàn)有的網(wǎng)絡(luò)層防護產(chǎn)品形成“互補”。防火墻等傳統(tǒng)型防護產(chǎn)品屬于這些網(wǎng)絡(luò)層的產(chǎn)品，主要通過阻斷端口或者協(xié)議包的方式來保護主機，其防護方向主要是來自外網(wǎng)的攻擊。而浪潮SSR位于系統(tǒng)層，通過強制訪問控制策略來保護系統(tǒng)，這使得長江電力的主機安全實現(xiàn)了“既防外網(wǎng)，又控內(nèi)網(wǎng)”的全新保護框架。

自動、主動防護

長江電力在對關(guān)鍵業(yè)務(wù)運行環(huán)境調(diào)研后，在運行AIX操作系統(tǒng)的服務(wù)器，以及Oracle RAC集群節(jié)點的主機上部署了浪潮SSR企業(yè)版，對主機上的ePMS系統(tǒng)以及Oracle服務(wù)進程、注冊表等進行安全防護，實現(xiàn)了病毒免疫，防止了各種因為補丁因素造成的應(yīng)用停擺問題。同時，對其門戶網(wǎng)站文件進行安全防護，通過SSR文件完整性校驗功能，以及實時監(jiān)控功能，保證了網(wǎng)站系統(tǒng)的安全性、關(guān)鍵文件的完整性。

長江電力信息部門管理層表示：“作為國家重點安全防護的重要領(lǐng)域，長江電力所處行業(yè)的特殊性，決定著信息部門需要發(fā)揮一切潛能，不僅需要分析出問題產(chǎn)生的原因，更需要找到解決問題的辦法。因此，在修煉內(nèi)功的同時，借助外力不可或缺。在我方遇到手動操作系統(tǒng)加固技術(shù)瓶頸時，浪潮的主機安全解決方案幫助我們實現(xiàn)了“自動”、“主動”防護，免疫了病毒、蠕蟲、黑客攻擊等針對主機的攻擊行為，在一定程度上促使長江電力完成信息安全水平的進階和提升。”