登录注册
请使用微信扫一扫
关注公众号完成登录
2022-09-30 17:58来源:北极星电力网作者:陆力瑜、刘媛关键词:电网安全工控设备漏洞挖掘广西电网电力调度控制中心收藏点赞
我要投稿
随着新型电力系统的快速发展,新业务、新场景、新模式层出不穷,新型电力系统的网络和系统日趋复杂,为了满足不同业务、不同场景、不同模式的个性化需求,必然会产生大量的新的设备和协议。由于缺乏统一的技术标准指导设备及协议的设计和研发,新型电力系统工控设备及协议可能存在大量安全缺陷和漏洞。新型电力系统工控设备漏洞主要表现为Web漏洞和二进制漏洞,如何面向该类设备及协议开展威胁分析是一项技术挑战。
一、漏洞挖掘技术分类
(一)Web漏洞挖掘技术分类
基于OWASP(开放式WEB应用程序安全项目)公布的TOP 10,结合在电力系统发现的安全漏洞隐患实际案例,Web漏洞挖掘的技术方法包括SQL注入、跨站脚本攻击(XSS)、跨站请求伪造(CSRF)、文件上传、业务逻辑安全漏洞挖掘等。
(二)二进制漏洞挖掘技术分类
二进制漏洞挖掘技术方法包括缓冲区溢出漏洞挖掘、符号执行的漏洞挖掘等内容。研究方法有动态分析、静态分析、动静结合的分析方法。根据动态分析与静态分析的特点,将静态分析融入动态分析,可提升漏洞挖掘的准确性、完整性与效率。
二、工控设备关键漏洞挖掘技术
(一)Web漏洞分析技术
SQL注入漏洞,是依靠存在弱点的WEB脚本代码,利用数据库提供的外部接口,采用SQL语法中的一些语句构建特殊的输入字符串,Web服务器通过执行SQL语句达到入侵数据库乃至操作系统的目的,最终实现获取某种权限的攻击技术。解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。
跨站脚本攻击(Cross-sitescripting,通常简称为XSS)发生在客户端,可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。XSS的防御需假定所有输入都是可疑的,必须对所有输入中的script、iframe等字样进行严格的检查。
CSRF(Cross-site request forgery,通常简称为CSRF)是跨站点请求伪造,和XSS的区别在于请求的伪造和跨站点的请求。CSRF攻击防御主要三种策略表现在验证 HTTP Referer 字段,在请求地址中添加token并验证,在HTTP头中自定义属性并验证。
文件上传漏洞是web安全中经常利用到的一种漏洞形式,是指网络攻击者上传了一个可执行的文件到服务器并执行。防御手段包括文件上传检测、客户端JavaScript检测、服务端mime类型检测、服务端文件扩展检测、服务端目录检测、服务端文件内容检测等。
业务安全逻辑漏洞分成未授权访问漏洞及越权访问两类。业务是以信息系统为载体,承载生产运行的系统对象,因此利用业务逻辑层的应用安全问题,往往危害巨大,使用传统的安全防御设备和措施收效甚微。防御手段包括针对平行权限的访问控制缺失、针对垂直权限的访问控制缺失、针对绕过二次验证码漏洞、针对二次验证码暴力破解、针对恶意注册类的安全漏洞进行防御。
(二)二进制漏洞挖掘技术
静态分析的对象通常是源代码,也可以是可执行代码。整个过程包括如下环节:软件模型构造、漏洞模式提取、基于软件模型和漏洞模式的模式匹配。使用静态分析方法,可以比较全面地考虑执行路径的信息,因此能够发现更多的漏洞,漏报率较低。目前比较常见的静态分析技术包括词法分析、数据流分析、符号执行、模型检查、定理证明、污点传播等。
动态分析是通过运行具体程序并获取程序的输出或者内部状态等信息来验证或者发现软件性质的过程,代码动态分析的本质是使用构造的特定输入运行软件,分析对象是可执行代码。使用动态方法分析漏洞,由于获取了具体的运行信息,因此分析出的漏洞一般更为准确,误报率较低。动态漏洞分析技术主要包括模糊测试、智能模糊测试和动态污点分析等。
为发挥静态分析和动态分析各自的优点,考虑将这两种技术结合使用。动静结合漏洞分析技术主要包括三类。(1)对源代码进行静态分析,发现可能的漏洞,然后构造输入数据使用动态 分析验证其真实性;(2)对可执行代码进行反汇编,利用对汇编代码静态分析获取的信息指导动态漏洞分析;(3)执行待分析软件并搜集运行信息,在汇编代码级别上指导静态漏洞分析。
四、结束语
随着新型电力系统建设的蓬勃发展,漏洞作为网络安全最重要的部分,漏洞挖掘对于保障和维护工控设备的安全运行至关重要。通过了解漏洞挖掘技术过程中的总体流程,可分析定位漏洞位置的方法,逐步提升漏洞检测的准确性、完整性与效率。
来源:北极星电力网 作者:陆力瑜、刘媛(广西电网电力调度控制中心)
特别声明:北极星转载其他网站内容,出于传递更多信息而非盈利之目的,同时并不代表赞成其观点或证实其描述,内容仅供参考。版权归原作者所有,若有侵权,请联系我们删除。
凡来源注明北极星*网的内容为北极星原创,转载需获授权。
南方地区遭遇连日暴雨,南方电网公司20日上午启动防风防汛Ⅳ级应急响应,已累计出动逾万人次开展抢修复电。连日来,广东、广西、贵州多地持续暴雨,尤其是珠三角和粤西、粤北局部地区出现特大暴雨。南方电网公司进入24小时值班值守状态,迅速调配应急队伍、应急装备开展抢修复电。截至20日17时,南方电
连日来,国家电网有限公司各单位贯彻落实公司高质量发展工作会议暨2024年第二季度工作会议精神,从全局和战略高度深刻认识高质量发展的重大意义,深刻领悟高质量发展的内涵要求,以安全和稳定、保供和转型、党建和创新来把握发展、衡量发展、推动发展,凝心聚力、团结奋斗打开国家电网事业发展新天地。
4月18日,中国电科院召开高质量发展工作会议暨2024年第二季度工作会议。会议以习近平新时代中国特色社会主义思想为指导,深入学习领会全国两会精神,认真贯彻落实国家电网公司高质量发展工作会议暨2024年第二季度工作会议部署,总结一季度工作,部署二季度重点任务,坚持问题导向和系统观念,提升能力
近年来,湖南新能源发展迅速,全省新能源装机超过2300万千瓦,占总装机比例超过30%。为加强新能源发电企业涉网安全监管,筑牢新形势下电力系统安全防线,4月12日,湖南能源监管办组织召开2024年新能源安全运行管理厂网联席会议。湖南能源监管办电力安全处、省发展改革委运行处、省调控中心和省电科院负
《鄂托克旗能源电力系统安全生产治本攻坚三年行动实施方案》印发以来,鄂托克旗能源局积极推动专项行动按期开展。旗能源局党组书记、局长米海蜚现场调研鄂尔多斯双欣环保余热发电扩建煤棚项目。4月10日起,聘请3名电力安全专家安全检查15家电力企业,为本次能源电力安全生产治本攻坚三年行动筑牢基础。
4月16日,国能龙岩发电公司圆满完成卓坑I路线路保护装置检验工作,并成功实现一次投运,为电力供应再添新保障。该公司结合卓坑I路线路保护装置运行情况,对其保护装置主板进行更换后,开展保护装置全部检验工作。为确保检验工作的顺利进行,该公司作业人员提前做好工作票、二次安全措施票、工序卡以及
最近,盐城射阳县境内出现雷暴等强对流天气,导致临海镇、长荡镇、兴桥镇、盘湾镇9处10千伏架空绝缘导线因雷击断线,盐城射阳县供电公司迅速启动应急预案,第一时间对线路及设备进行全面巡视检查,对线路设备巡视做到全方位、无死角,确保电网设备安全稳定运行,实现电网设备状态“可控、能控、在控”
4月15日,国网天津电科院与浙江电科院、安徽电科院开展电源专业技术交流活动,服务新型电力系统建设,共计13名电源专业人员参加。据了解,随着新型电力系统建设,新能源所占比重逐渐加大,光伏、风电、储能等多类型电源不断涌出,电网电源侧结构正发生显著变化。作为主要从事电源侧业务的各网省电科院
为深化落实国家发展改革委、国家能源局《关于加强新形势下电力系统稳定工作的指导意见》,贯彻2024年全国电力系统运行方式分析会暨涉网安全联席会议精神,增强华北区域共同维护区域大电网安全稳定运行的能力,华北能源监管局牵头联合山西能源监管办、山东能源监管办,省级政府电力主管部门,电网企业等
4月10日,华北能源监管局组织山西和山东能源监管办、区域内各省级电力管理部门、电网企业和主要发电企业,召开2024年度华北区域系统运行方式和电网风险管控工作会议。国家能源局电力安全监管司主要负责同志、电力司有关负责同志和华北能源监管局主要负责同志出席会议并讲话。会议全面总结2023年华北区
4月8日上午,中国电科院南京科研基地建设项目主体工程在江宁开发区开工,标志着这一省重大项目进入全面建设阶段,也为江宁开发区聚力打造世界级智能电网产业集群注入了强劲动力。区长黄成文、江宁开发区管委会主任王爱军、副区长周强、江宁开发区管委会副主任陈志海,中国电力科学研究院有限公司总经理
随着新型电力系统建设的推进,负荷特性变得更加复杂,负荷预测难度增大,广西同时面临资源缺乏、电源结构不够完善、新能源并网规模快速增长的现状,电网宽频振荡、系统惯量下降、电源侧出力随机波动等问题进一步凸显,电网调节能力短期内跟不上新型电力系统发展需求,造成高峰供应与低谷消纳双重挑战。
我国能源资源分布与经济发展的不均衡决定了南方电网西电东送的基本格局,为贯彻国家西电东送战略,南方电网坚持以直流输电为主的技术路线。2014年开始,南方电网西电东送交流大通道的输送能力长时间受到云南-广东的区域振荡模式的安全约束而难以进一步提升。一方面,广东、广西电网仍有大量的负荷需求
根据《中华人民共和国招标投标法》等有关法律、法规和规章的规定,广西电网公司2022年省级物资集中采购第三批专项招标(电力调度控制中心项目)已获批准,资金来源已落实。项目具备招标条件,现对该项目进行招标。凡由广西电网物资有限责任公司作为招标代理机构承接的采购项目,将收取采购服务相关费用
请使用微信扫一扫
关注公众号完成登录
姓名: | |
性别: | |
出生日期: | |
邮箱: | |
所在地区: | |
行业类别: | |
工作经验: | |
学历: | |
公司名称: | |
任职岗位: |
我们将会第一时间为您推送相关内容!