華為NGFW：助力廣東智能電網(wǎng)辦公信息化安全

背景：

智能電網(wǎng)是中國電網(wǎng)乃至世界電網(wǎng)未來的發(fā)展方向，建立高速、雙向、實時、集成的通訊系統(tǒng)是實現(xiàn)智能電網(wǎng)數(shù)據(jù)獲取、保護和控制的基礎(chǔ)，因此建立高質(zhì)量的通訊系統(tǒng)是邁向智能電網(wǎng)的第一步。南方電網(wǎng)在智能電網(wǎng)的建設(shè)中，以試點先行、逐步推廣為原則，積極引進消化吸收國際上智能電網(wǎng)的關(guān)鍵先進技術(shù)，并結(jié)合南網(wǎng)具體情況與需求再創(chuàng)新，有計劃、分步驟、科學(xué)高效地建設(shè)智能電網(wǎng)。

廣東電網(wǎng)是目前南方電網(wǎng)中最大的省級電網(wǎng)，隨著“9+2”泛珠三角合作戰(zhàn)略的逐步實施和廣東經(jīng)濟社會的快速、健康、協(xié)調(diào)發(fā)展，廣東電網(wǎng)結(jié)合智能電網(wǎng)的規(guī)劃、技術(shù)和管理標(biāo)準(zhǔn)等不同方面的內(nèi)容，分析了廣東電力通訊網(wǎng)面臨的壓力，已然合理制定廣東智能電網(wǎng)ICT發(fā)展與演進目標(biāo)。

關(guān)鍵挑戰(zhàn)：

廣東電網(wǎng)的調(diào)度數(shù)據(jù)網(wǎng)與綜合信息網(wǎng)以發(fā)展多業(yè)務(wù)傳輸平臺(Multi-Service Transfer Platform, MSTP)光通訊為主，并在此基礎(chǔ)之上發(fā)展數(shù)據(jù)，語音交換，頻率同步，視頻會議系統(tǒng)等應(yīng)用，到目前為止，廣東電網(wǎng)調(diào)度數(shù)據(jù)網(wǎng)與綜合信息網(wǎng)已經(jīng)實現(xiàn)網(wǎng)、省、地三級互聯(lián)，部分地區(qū)已經(jīng)延伸到縣級單位，通訊資源的共享有效地擴展了各個應(yīng)用系統(tǒng)的控制范圍，體現(xiàn)了廣東電網(wǎng)一體化的信息發(fā)展思想，同時也使得廣東電網(wǎng)的綜合信息網(wǎng)面臨更多安全挑戰(zhàn)。

來自互聯(lián)網(wǎng)安全威脅更復(fù)雜：隨著廣東電網(wǎng)綜合信息網(wǎng)的信息化建設(shè)不斷完善，面對來自互聯(lián)網(wǎng)的安全威脅也加復(fù)雜，新的病毒、木馬、DDoS攻擊、APT攻擊等層出不窮，這些新的威脅在綜合信息網(wǎng)內(nèi)部，以及電網(wǎng)調(diào)度自動化、繼電保護和安全裝置，發(fā)電廠控制自動化、變電站自動化、配網(wǎng)自動化，電力負荷裝置、電力市場交易、電力用戶信息采集、智能用電等多個領(lǐng)域不斷產(chǎn)生，使得廣東電網(wǎng)綜合信息網(wǎng)面臨外部的安全威脅更加嚴(yán)峻。

來自內(nèi)部網(wǎng)絡(luò)安全威脅更多：廣東電網(wǎng)綜合信息網(wǎng)承載電網(wǎng)日常辦公，以及對外電力交易業(yè)務(wù)與應(yīng)用平臺，來自網(wǎng)絡(luò)內(nèi)部非法訪問，網(wǎng)絡(luò)資源濫用，病毒肆意擴散，應(yīng)用與系統(tǒng)的漏洞等威脅已經(jīng)嚴(yán)重影響正常業(yè)務(wù)與應(yīng)用的運營，綜合信息網(wǎng)內(nèi)部威脅主要體現(xiàn)在以下幾個方面：

內(nèi)部網(wǎng)絡(luò)終端接入點增多，成為主要的安全隱患及威脅來源，如何實現(xiàn)細粒度網(wǎng)絡(luò)接入控制與訪問控制;

如何對辦公網(wǎng)內(nèi)部的敏感數(shù)據(jù)或者信息實現(xiàn)動態(tài)權(quán)限控制，持久保護數(shù)據(jù)安全;

綜合信息網(wǎng)內(nèi)部的眾多應(yīng)用系統(tǒng)與業(yè)務(wù)平臺存在不可預(yù)計的安全漏洞，來自內(nèi)部蓄意/惡意攻擊時有發(fā)生;

信息安全制度與安全管理策略如何確保有效的執(zhí)行，如何監(jiān)控網(wǎng)絡(luò)應(yīng)用與優(yōu)化流量，提高ICT網(wǎng)絡(luò)資源使用效率，改善統(tǒng)一安全管理與運維。

解決方案：

廣東電網(wǎng)在大力發(fā)展電網(wǎng)智能化，信息化的過程中，積極針對電力綜合信息網(wǎng)進行全面安全防御體系建設(shè)，重點關(guān)注智能電網(wǎng)辦公信息化所面臨的內(nèi)外攻擊，以及各類新的安全威脅。廣東電網(wǎng)在不斷完善辦公信息化的安全防御體系的同時，針對國內(nèi)各廠商安全產(chǎn)品進行了嚴(yán)格的測試，華為USG6000系列下一代防火墻在性能和安全能力方面表現(xiàn)優(yōu)異，同時有效保障了可靠性、擴展性，滿足了易管理要求，成為廣東電網(wǎng)構(gòu)建智能電網(wǎng)信息安全基礎(chǔ)架構(gòu)的首選產(chǎn)品，為整個電力綜合信息網(wǎng)提供全面網(wǎng)絡(luò)邊界管控與防御。

華為根據(jù)廣東電網(wǎng)綜合信息網(wǎng)防御要求不同的特點，首先采用USG6650下一代防火墻產(chǎn)品，部署在在互聯(lián)網(wǎng)出口邊界和綜合信息網(wǎng)的邊界位置，提供10G全威脅防護，并針對互聯(lián)網(wǎng)出口提供強大的NAT地址轉(zhuǎn)換功能。同時全網(wǎng)設(shè)備通過統(tǒng)一管理中心實現(xiàn)調(diào)度管理和報表展現(xiàn)，為廣東電網(wǎng)構(gòu)建了一套簡潔高效的安全防護體系。

USG6000系列是華為2013年發(fā)布的下一代防火墻新品，在滿足Gartner對NGFW定義要求的基礎(chǔ)上，提供6000+應(yīng)用識別和6維安全管控，是業(yè)界管控能力最精細的下一代防火墻。USG6000系列在能力上緊隨ICT發(fā)展趨勢和威脅趨勢變化，提供基于特征的入侵防護和基于行為的未知威脅防護，為廣東電網(wǎng)提供了全面的網(wǎng)絡(luò)安全防護。

客戶價值：

全威脅防御，保障廣東電網(wǎng)辦公業(yè)務(wù)順暢。USG6000系列在提供基于特征匹配的入侵防護和病毒防護能力的基礎(chǔ)上，更基于云端沙箱技術(shù)，提供對未知威脅的行為特征分析，可有效防范針對辦公業(yè)務(wù)系統(tǒng)的各類未知威脅及APT攻擊。在網(wǎng)絡(luò)雙向提供精細的訪問控制和用戶身份認證，提供基于用戶和應(yīng)用權(quán)限管理，即保障了廣東電網(wǎng)辦公業(yè)務(wù)的穩(wěn)定開展，也可滿足電力行業(yè)信息安全等級保護的基本要求。

高性能防護、高品質(zhì)用戶體驗，支撐大業(yè)務(wù)流量。USG6000系列通過全新的軟硬件設(shè)計，可以做到在全威脅防護開啟情況下，性能下降小于50%，在所有參與的安全廠商中，性能下降幅度最小。大于10G的全威脅防護性能有能力同時為每一個業(yè)務(wù)系統(tǒng)提供全方位的安全防護。

硬件可靠性設(shè)計，保障業(yè)務(wù)延續(xù)。華為為廣東電網(wǎng)提供的解決方案在電源、風(fēng)扇、硬盤上均采用冗余設(shè)計，同時在每個節(jié)點采用雙機熱備冗余部署，有效降低了每一個環(huán)節(jié)可能帶來的業(yè)務(wù)風(fēng)險，為電力業(yè)務(wù)系統(tǒng)的實時性，連續(xù)性提供最佳保障。

高效的管理手段，降低TCO。華為USG6000系列在設(shè)計開發(fā)過程中引入了全新的管理理念，即基于流量學(xué)習(xí)的自動化策略配置和優(yōu)化。在設(shè)備上線時通過預(yù)置模板提供快速部署;上線后通過流量學(xué)習(xí)與分析，自動生成安全策略建議，不斷的細化安全策略管理。在穩(wěn)定運行后，通過策略學(xué)習(xí)自動精簡冗余策略，提高策略匹配效率。USG6000系列的自動化管理手段讓廣電電網(wǎng)在缺乏專業(yè)安全管理人員情況下同樣精確開啟了全威脅安全防護，CTO降低30%以上。

華為下一代防火墻成為構(gòu)建廣東智能電網(wǎng)信息安全基礎(chǔ)架構(gòu)的產(chǎn)品之一，在保障電力業(yè)務(wù)安全性和延續(xù)性的同時，嚴(yán)格按照電力行業(yè)信息系統(tǒng)安全等保要求進行方案設(shè)計，全面提升電力信息系統(tǒng)安全等級保護水平與能力，進一步加強電力信息系統(tǒng)安全等級保護建設(shè)，并且獲得廣東電網(wǎng)公司客戶認可與信任，促進華為與廣東電網(wǎng)公司在信息安全建設(shè)領(lǐng)域的進一步合作。

(作者：飛翔的魚責(zé)任編輯：柏景福)