边界安全范文

边界安全范文（精选12篇）

边界安全 第1篇

智能电网是世界电网发展的必然趋势,也是发展的共同趋势。随着信息技术与输配电基础设施的高度集成,通过对发、输、配、变、用电各个环节的安全保护和监测,提升电网的智能化水平,引入多种新能源接入电网,可实现电网安全、可靠、经济发展的目标[1,2]。

美国2003 年大停电事件后着力开展智能电网相关技术的研究,关注利用新型技术改造原有的传统电力网络基础框架和设施。欧盟委员会2006 年发布《A European Strategy for Sustainable,Competitive and Secure Energy》[3],明确强调“欧洲已经进入一个新能源时代,智能电网是未来欧洲电网的关键技术和发展方向”。2009 年我国提出“坚强智能电网”,从规划试点、全面建设到引领提升3 个阶段逐步推动智能电网的建设工作。

智能电网随着信息通信和控制技术的发展而呈现出信息化、自动化、互动化的特征,使得信息领域与管理控制紧密结合,由此也带来很多信息安全隐患。电力信息网络外联互联网、内接电网生产管理,是枢纽也是防线,因此确保电力信息网络的安全是重中之重。随着智能电网互动化业务的推广应用,电力信息内外网数据交互越来越频繁,针对网络边界的高风险恶意攻击也越来越多,因此如何保障信息内外网边界安全是亟需解决的关键问题。目前国家电网公司(以下简称公司)研发的产品虽然已实现了交互对象的安全过滤,但是没有实现对边界安全的网络行为监测审计,没有形成面向信息内外网边界的安全监控和审计体系;公司内外网边界安全防护属于一种被动式防御体系,处在事后跟踪的尴尬位置,不能及时有效地发现和追溯到恶意攻击事件。

1 信息内外网边界交互信息安全监测模型简介

目前,公司内外网边界安全防护措施偏重于隔离防护,不能及时发现和追溯恶意攻击事件。为适应智能电网背景下外网与互联网广泛互联的趋势,在维持信息内外网边界隔离防护强度不变的前提下,迫切需要研究信息内外网边界安全防护关键方法,实现边界交互数据实时监控和精确采集、边界交互日志深度挖掘、边界安全态势在线评估和态势预测,确保信息内外网边界交互安全。在公司多道防御系统建设的基础上,文章研究信息内外网边界安全防护关键方法,全面掌握信息内外网边界从点到面的安全状态,识别边界安全事件和安全威胁,形成边界安全监控防御体系,建立信息内外网边界海量交互信息安全监测模型,实现了边界交互数据的实时监控、网络行为的采集以及数据库访问的追溯[4,5]。信息内外网边界交互信息安全监测系统如图1 所示。

2 信息内外网边界交互信息安全监测模型构成

信息内外网边界交互信息安全监测系统主要分为以下几个部分。

2.1 信息采集

信息采集的要素包括安全边界和设备节点的安全日志以及数据流。

数据流实时采集面向信息内外网交互的安全日志数据流,具有数据连续、数据量大的特点。按照固定的次序,这些数据元素只能被读取一次,所以采用数据流复制技术来捕获指定数据包。因为公司研发的产品采用私有传输协议,传输通道采取自定义加密算法,所以在获取到数据包后需要对数据包进行动态解密,过滤掉与数据库协议流不相关的数据包,再提取数据库协议流相关的协议包中的数据。

日志信息采集从多个应用服务器端以及公司研发的产品上获取应用日志、系统日志以及服务日志。

2.2 信息预处理

信息处理即对部署于网络边界的设备系统日志、应用日志、服务日志、数据流等进行处理,对日志进行降维处理以及数据分析,对数据流进行对象特征提取。

1)日志处理。在对智能电网信息内外网交互的海量日志数据流进行采集时,日志数据流通常存在重复冗余、特征维度大以及数据之间的逻辑关联不能描述等问题;同时,边界安全日志事件空间维度与复杂度很高,日志文件每天以GB的速度增长,给日志存储与日志分析带来了困难。虽然可采取日志分级处理的方式对日志信息进行简单分级,但是仍不能根据用户自己的需求有针对性地进行日志查看和日志分析。通过日志分块加密归档,依据应用的访问量及在内外网之间交互的数据量,减轻日志分析的复杂度以及日志存储空间的压力,对采集到的数据设置归档加密存储的频度,对已经分析处理后的日志采用非对称加密算法进行分块加密并存储。仅有管理员拥有解密方法和对归档日志进行调用和审查的权限,普通用户没有该权限,攻击者必须获取管理员权限才可以实现对日志文件的访问,具有一定的安全性。通过日志降维处理分析日志特征值(如时间戳、源地址、目的地址、端口、传输内容等),将重复冗余的日志数据合并为一条数据,以数量级递减的方式降低日志数据的规模和复杂度。

2)数据流处理。以数据流复制技术获取网络上的流量数据包,提取监测的对象信息,如总连接数、流量大小、数据包数等。

2.3 信息特征提取分析

1)日志特征值提取。通过对传输内容的分析,将数据还原到具体请求(如用户登录注销、SQL请求、大数据传输请求等);对解析到的数据进行词法、语法及语义分析形成统一的网络行为格式;通过对各类行为规律进行特征提取和分析,建立网络行为审计模式库和用户行为审计模式库;采用数据挖掘技术、机器学习技术对各行为进行合并处理,进一步优化和构建典型的行为活动。

2)构建多对象轮廓线。针对数据流的不同对象,构建多个正常状态的曲线轮廓线;使用自适应调整参数的方式对抓取的流量数据包进行实时分析、与预先构建的轮廓线进行比较、检测异常状况并记录到异常状况流量值库。若一个周期的实际曲线点值都在定义的正常范围内,则通过均值算法[6]将这一周期的点值加入参照轮廓线,生成新的参照轮廓线。

2.4 知识库建立

信息内外网间的攻击主要包括SQL注入、拒绝式服务攻击、病毒、木马等基本攻击以及高级可持续威胁(Advanced Persistent Threat,APT)等高级攻击。这些攻击都有自身的特征,通过对这些特征进行研究,建立典型知识库。目前常见的网络攻击如端口扫描、拒绝式服务攻击、flood攻击、ping of death、Land等都有其自身的独特性:端口扫描——同一个源地址访问不同的目的地址或端口;拒绝式服务攻击——网络带宽和系统资源消耗很大,无法响应其他服务;flood攻击——大量异常的报文发向服务器;ping of death—— Internet控制消息协议(Internet Control Message Protocol,ICMP) ECHO包字节数超过64 KB;Land——相同的源地址和目的地址;等等。通过对网络数据流的分析,识别异常数据流,根据已知的攻击行为特征,构建攻击行为特征库,可实现流量类型和网络行为的统计和准确识别。

知识库构建的分为以下几个步骤。

1)构建正常行为特征库和攻击行为特征库,针对各类网络行为的特征,在各自特征库中按照行为特征进行分类存储;采用基于规则与基于机器学习的方法建立特征库,运用黑白名单相结合的方法判定网络行为的性质;通过机器学习方式,构建合理的网络行为和用户访问,通过长时间的学习,全面地构建知识库。

2)构建正常数据库访问行为库和异常数据库访问行为库。

3)针对异常特征的数据流,记入异常数据流特征库。

2.5 关联分析

关联分析是在入侵检测领域中常用的一种数据挖掘分析方法,用于挖掘数据之间的关联性以及数据间隐藏的关系。主要的挖掘算法有Apriori算法、DHP算法、Apriori Tid算法、FARM算法、AutoApriori算法、AVM算法、Step Length算法、STBAR算法、FP-growth算法、HCS-Mine算法等,其中很多算法是在Apriori算法的基础上衍生而来,通过分层推进的方式,由上一层产生的频繁项集得出候选项集,逐层推进直至无法继续找出频繁项集,根据预先设置好的最小支持度和可信度阈值挖掘出大于该支持度和可信度的候选集。

根据建立的知识库对相关信息进行多维关联分析[7],根据时间戳值和各个行为的特征关键字,采用基于划分的关联分析方法在攻击行为特征库、异常数据库访问行为库、异常数据流特征库对网络攻击行为进行横向关联分析,依据AB+AC=ABC的理念,形成该网络行为的新的攻击序列,得出新的攻击表现形式。

2.6 信息展示

信息可视化可直观地对网络状态、网络环境、访问行为等进行展示。根据管理员对监控内容的监测和审计需求,对各类告警信息、攻击行为、用户操作行为或数据流状态信息等采取分级分类的展示方式。同时,可以对当前边界安全状态的评估值进行展示,对未来安全状态的预测值进行可视化,直观地帮助管理员有效地指导信息内外网边界的安全布防。

3 结语

文章针对公司信息内外网边界交互的安全需求,构建信息内外网边界海量交互信息安全审计模型,建立信息内外网边界数据采集框架,形成多方知识特征库,为下一步信息内外网边界安全态势评估、态势预测和态势可视化提供必要的支撑,以此建立一种主动式防御体系,为信息内外网边界安全监测、采集和评估提供总体指导,提升信息内外网边界整体监测和审计水平,更好地推进坚强智能电网的建设工作。

参考文献

[1]安宁钰,徐志博,周峰.可信计算技术在全球能源互联网信息安全中的应用[J].电力信息与通信技术,2016,14(3):84-88.AN Ning-yu,XU Zhi-bo,ZHOU Feng.Application of Trusted Computing Technology in Global Energy Interconnection Cyber Security[J].Electric Power Information and Communication Technology,2016,14(3):84-88.

[2]张涛,李巍,廖谦.数据中心安全域划分及防护发展趋势[J].电力信息与通信技术,2015,13(1):112-115.ZHANG Tao,LI Wei,LIAO Qian.The partition of security domain and protection development trend of data center[J].Electric Power Information and Communication Technology,2015,13(1):112-115.

[3]European Commission.Energy 2020:A strategy for competitive,sustainable,and secure energy[R].Publications Office of the European Union,2011.

[4]国家电网公司,中国电力科学研究院,国网天津市电力公司.一种误报自适应的网络安全态势预测方法:中国,201410705040.6[P].2014-11-26.

[5]国家电网公司,中国电力科学研究院.一种参数自适应的网络安全态势量化评估方法:中国,201410535005.4[P].2014-10-13.

[6]蓝盾信息安全技术股份有限公司.一种网络边界异常监控方法:中国,200910214525.4[P].2011-07-06.

边界安全 第2篇

为推进市级运管机构安全监管职责边界研究工作，我科依据前期制定的调研提纲，按序时进度做了两方面工作：

一、组织调研学习

（1）组织课题组成员赴无锡市运管处学习（2）借部里培训的机会向张柱庭教授探讨学习

二、课题研究方向的思考

当前行业安全管理人员监管职责的设定主要由四处来源构成：一是各类法律、法规、条例；二是国家、行业、地方标准；三是部门三定方案；四是各类政策文件。四处来源的背后，承载的可能是多年来陆续发布的几

十、上百，甚至上千份法律、标准和文件。这些法律、标准和文件当中还有废止、失效的，还有存在“打架”情形，底数难以弄清，即使今年交通部刚刚发布的《公路水路行业安全生产监督管理工作责任规范导则》，在涉及公路水路行业安全生产监督管理职责内容时，也是说可包括但不限于以下内容：

（一）法规制度、政策标准的制定实施；

（二）涉及安全生产相关事项的审查、批准、验收；

（三）对管理相对人的安全生产开展监督检查；

（四）对影响安全生产违法违规行为的行政处罚；

（五）事故应急救援与调查处理；

（六）宣传教育培训；

（七）对下级管理部门开展监督检查、目标考核与责任追究；

（八）举报受理和社会公告；

（九）安全生产信息报告及监测预警。并且张柱庭教授也说。。

为自己的身体建立安全的边界 第3篇

每逢周末，同学们都兴奋异常。难怪啊，一周没见父母了，能不高兴?可李雨有点怪。好几次，她都对王珊珊说——自己不想回家。在王珊珊再三追问下，李雨才说实话。原来，每逢周末，李雨家里都摆有两桌麻将，说笑喊叫、乌烟瘴气且不说，李雨最受不了的是——一个自称是她小叔叔的人老是不怀好意。那小叔叔是父母的“麻友”，每次过来都给李雨带来很多好吃的，有时还有漂亮的小首饰。“天下没有免费的午餐”，这句话是韩老师说给大家的，李雨记得清清楚楚。果不其然，那小叔叔见到李雨总是亲热得不行，说话间还会动手动脚。李雨烦的就是这个。

李雨的妈妈是继母，对她一向很客气，并不怎么管她；爸爸粗心，最恋的就是牌桌。李雨进寄宿制学校读书后，她回不回家父母并不关心。李雨呢，也乐得躲开这些人，省得心烦。但周末总是要回去的，那小叔叔就有点儿……

推开门，屋子里弥漫着香烟的味道，牌桌上哗啦啦的洗牌声冲入耳鼓。李雨和父母打过招呼，一头钻进自己的小屋。刚放下书包，小叔叔就进来了。

“李雨，这条项链好看么?来，叔叔给你戴上。”说着，小叔叔就凑过来了。

李雨一闪身躲开他，站在那里一言不发。“怎么了?不舒服啦?让叔叔看看。”他伸着手过来，眼看要把李雨搂在怀里了。李雨瞪着他，用目光制止了他的行为。小叔叔呵呵笑着，很亲切、很自然，没有一点儿尴尬的意思。

类似的情况已经很多次了。那天，趁李雨不备，小叔叔竟然在她的臀部拍了好几下。还有，就好像是不经意间，小叔叔的手触碰到了李雨的胸部。在李雨的耳边，小叔叔真真切切地说过——“这是咱俩的秘密，别告诉父母啊!”就是从那一天开始，李雨对他才有所防范的。想到这儿，李雨立即起身，打开房门，喊着：“妈，我饿了。啥时候吃饭啊?”李雨从自己的屋里走出来。

李雨一直没把这事告诉父母，她也没对韩老师说。但是，我知道李雨会看到我的文章，就让我来告诉她，告诉所有的同学们，遇到这类事情该怎样处理吧!

每个女孩在长大的过程中，几乎都会遭遇类似的骚扰。在拥挤的公共汽车上、地铁里，甚至在商店、在熟人中，会感觉有的男人不怀好意地看自己，拥挤中个别男性有可能“无意间”触碰自己的敏感部位。青春期的女孩处在发育中，开始认识了性，有了爱的意识，青春的女孩是最敏感的，遇到“小叔叔”这样的男人，能很快明白他要做什么。此时，完全不必惊慌，要为自己的身体建立安全的边界。一般说来，被衣服遮盖的身体部位是不可以让异性触碰的。保护自己的身体，是女性的权利也是自己的职责。

感觉到自己被骚扰了，要立即明确地把内心的不快说出来，让骚扰你的人停止骚扰的行为。如果对方屡次重犯，一定要在有其他人在场的情况下，把被骚扰的事情说出来。因为，一旦骚扰升级，你就有了旁证。

想骚扰你的人，往往是有预谋或是在试探你。套近乎、同情、安慰、小恩小惠都可能是一种信号。你弄不清他的目的，最好拒绝他的“关心”。

尽量不要和自己不很了解的异性单独相处，私密幽闭的环境对你不利。如果不得不单独相处，不要关闭房门，要让信得过的人过一会儿就联络你一下，这便于你一旦遭遇尴尬可以借故离开。

假如你将上面提到的几点都做到了，却依旧逃不开骚扰者的“魔爪”，你一定要小心收集证据。要大胆捍卫自己的权利，让骚扰者受到应有的惩罚。

想想看，李雨应该怎么办呢，让我们一起来帮助她吧!

把被小叔叔骚扰的事情告诉父母。父亲一定是爱女儿的，即便是继母也不会不关心女儿的感受。李雨一旦说明情况，小叔叔就不会再是家里的客人，被他骚扰的情况就不会再发生了。

李雨应该多和父母沟通。父亲的忽略、继母的客气，很可能也源自于李雨的沉默。父母不知道如何和女儿交谈，一旦李雨主动和父母改善关系，家里就有了和睦的气氛。

边界安全 第4篇

监控网络数据包安全性的网络监听技术在网络安全领域是一把双刃剑,除了提供黑客截获网络数据的功能外,还可以帮助网管人员监视网络状态和数据流动、分析网络的流量以及排除网络故障。边界数据包的安全一般而言,是利用网络监听技术对从外部网络进入内部网络的所有数据包进行安全性的检查,匹配已建立的恶意数据包规则库,分析数据包的异常情况,对特征匹配和有异常的数据包进行特殊处理,以杜绝恶意数据包的入侵,保证内网的安全。

网络入侵检测系统是提供对网络传输进行实时监控,在发现可疑传输时即时发出警报或采取实际措施解决的设备。网管人员可以利用入侵检测系统主动、实时的发现、防范网络上各种攻击行为,维系网络的正常使用。

在入侵检测系统中,根据分析方法可分为误用检测和异常检测,Snort属于基于网络的误用IDS。它是基于规则的网络搜索机制,对数据包进行基于内容的模式匹配,以发现入侵和攻击行为。目前Snort能够检测出诸如缓冲区溢出、端口扫描、CGI攻击、拒绝服务攻击等多种常见攻击类型。

1 Snort

Snort是一款功能强大的轻量级IDS自由软件,提供实时数据流量分析和检测IP网络数据包的能力,能够进行协议分析,对数据包内容进行搜索/匹配,还可以检测各种不同的攻击方式,对攻击进行实时报警等强大功能。此外,Snort可以使用简单、可扩展的规则描述语言进行软件的移植和功能的扩展。

从Snort官网上可以进行规则库的升级或更改,也可以根据实际网络环境自定义检测规则,通过测试成功后,加入到规则库中使用。当出现新的入侵行为或蠕虫病毒时,Snor官网没有及时提供新规则,这时管理员就可以自行提取新入侵行为或蠕虫病毒的特征码,建立自己的新规则加入本地规则库。

Snort的工作原理是对已知各类攻击的特征模式进行不同方式的匹配,包括利用将网卡设置在混杂模式下的嗅探器被动地进行协议分析,以及对数据报文进行解释分析其特征。Snort是基于规则检测的入侵检测工具,它针对每一种攻击行为,都提取出它的特征值并利用规则描述语言按照规范写成检测规则,从而形成一个规则库。另外还将捕获的数据包按照一定的算法在规则库中进行逐一匹配,若匹配成功,则认为该数据包具有与之匹配规则的攻击行为,应对其进行特殊处理。

整个Snort系统架构的着眼于性能、简洁和灵活性3个方面。Snort系统结构由以下模块构成:数据包解析器、预处理器、检测引擎、日志/报警模块、输出模块。Snort的体系结构如图1所示。

2 网络部署

对于IDS的部署可以根据内部网络的拓扑结构和实际需要而定。可以根据需要监控的具体需求在一个或多个位置部署,根据攻击的来源(内部入侵、外部入侵、或者两个都要检测)和所要监控的网段等多方面因素来决定IDS放置的位置。为了低成本而又高效的对进入内部网络的数据包进行检测,并利用Snort入侵检测系统作为边界数据包安全性检测工具,需要将Snort部署在网络的边界位置。

结合我公司的实际网络情况,将Snort IDS部署在网通线路的边界位置,以检测所有来自网通主干网络的数据包安全性,达到保护内部网络免受外来恶意数据包的攻击。如图2是我公司网通线路下的含有DMZ区域的简单局域拓扑结构,为了实现对所有进入内部网络的数据包进行检查,而无论数据包是访问DMZ区域的服务器,或者是企业内部网络,可以将Snort IDS部署在防火墙内部的核心交换机上,通过核心交换机的镜像功能将DMZ端口和内部网络端口的数据镜像给Snort IDS所在的端口,这样即可实现对来自网络线路的数据包的监控。

另外对于交换网络需要监控一些特殊的网段时,还可以将Snort IDS部署在该网段所在的网段中心交换机的某个端口上,通过交换机的镜像功能将需要监控的网段镜像到Snort监控的端口,可以实现对内部特定网段的监控,以保证重要网段的安全运行。当然,也可以接入特定的部门中心交换机,以对重要的部门网段进行监控。

3 数据包检测方案

数据包安全性的检测归根到底就是对现已知的攻击行为、蠕虫病毒、木马等网络入侵行为的特征进行提取,按照特定的IDS描述语言,建立基于本地IDS的特征规则库,再对进入内部网络的数据包进行给定算法进行匹配,当有进入数据包满足规则库中的某一特征时,需要对其进行特殊处理,如删除、发出警告等。

3.1 规则库结构

构建一个符合Snort IDS应用、包含当前公开的所有攻击行为、满足本地实际用途的规则库是一项艰巨的任务。当前国际上公开的网络入侵行为以CVE列表中列出的漏洞在安全领域普遍认为是最为全面的,在CVE漏洞库的基础上,建立IDS规则库,需要对CVE漏洞特征、体系结构等有一定的了解,建立以CVE标准为系统规则库的漏洞数据源,采用Snort的规则描述语言对漏洞规则加以描述,构建具有CVE特征的Snort入侵检测规则库。

基于CVE的Snort IDS规则库可以采用模块化的规则库结构加以构建。通过对CVE列表中的漏洞按照系统分类,对其级别加以划分,再根据不同的CVE漏洞类别建立子规则库模块。本地对边界网络数据包进行监控,需要对网络上流行的漏洞进行分类以建立各类子模块的规则库,子规则库将不同类型的CVE漏洞特征编写成规则放入到各个子模块中。分类的规则库如:Denial of service、Shellcode detect、Misc activity、Web-IIS、Web-cgi等,对子规则库的分类越详细,系统对恶意数据的处理能力越强。对规则库的分类不仅可以分类CVE漏洞的类别,方便研究及规则库的建立管理,同时大大减少了数据包在规则库中的匹配时间。

结合企业实际运营情况,对部署在边界的Snort IDS进行规则库建立,首先对规则库进行分类,分成的若干子特征规则库如图3所示。

3.2 Snort规则语法

Snort的工作过程就是通过解析规则集形成规则树,再利用libpcap对采集到的数据进行模式匹配,若匹配成功,则认为是有攻击行为发生,做出相应的处理动作。因此,Snort规则是它的核心,为了实现对网络数据包的安全性检测,必须拥有一个强大的入侵特征规则库。规则库中的每条规则都需要严格按照Snort规则语法进行编辑、测试方可投入使用。

Snort使用一种简单的、轻量级的规则描述语言,这种语言灵活而强大。在开发snort规则时要遵循在大多数Snort规则都写在一个单行上,或者在多行之间的行尾用“/”分隔。Snort的每条规则由两部分组成,即规则头和规则选项,其形式是“规则头(选项)”模式。

规则头包含规则动作、协议、源IP地址、目的IP地址、网络掩码、源端口、目的端口、方向操作符、CVE ID号等信息。规则头定义了数据包“来自哪里,去哪里,去做什么”以及发现满足这个规则所有条件的数据包时Snort应该采取什么措施等信息都可以从规则头中得知。

规则选项包括报警信息以及用于确定是否触发规则响应动作而需要检查的数据包区域位置等诸多信息。规则选项中可能有一个或多个选项,不同选项之间使用“;”分隔开,它们之间为逻辑“与”的关系;选项由关键字和参数组成,每个关键字和它的参数间使用“:”加以分隔。

Snort规则功能强大灵活,得益于它的选项关键字内容很丰富。例如:

Msg在警报和记录的数据中打印消息;

Flags检查tcp flags的值;

Content在数据包的有效荷载中搜索特定的模式串;

Offsetcontent选项的修饰符,设定开始搜索的位置。

3.3 规则库建立

作为IDS系统中的出色者Snort自身也提供了强大的规则库,注册用户可以从snort的官方网站上免费下载最新的规则库。但往往企业从业务需求、安全等多方面考虑,保密内部网络使用的一些安全防护设备和采取的策略措施等一些机密信息,参考Snort官方的规则库,分析CVE列表中漏洞特征,自行构建内部网络的规则库。

在设计检测数据包安全性的Snort规则库方案时,不仅要尽可能减小检测的范围,还要考虑快速地结束一个无效的检测过程(即证明该数据包是安全的,在特征库中没有找到匹配项)。那么为了实现范围小、时间短的目标,就需要从众多的规则选项参数中选出最适合的、最容易达到匹配目的的参数先进行匹配。

例如TCP报文,就TCP数据包本身来说,它的特征就是源端口和目的端口。对于一般的连接,可以从保留端口和非保留端口来判断通信双方是服务器端和客户端,因此保留端口可以作为独特的参数使用在Snort的规则选项中。Snort可以检测出保留端口的位置,根据保留端口是源或者目的端口,判断数据包在服务器和客户端之间的流向。对TCP规则定义可以以端口、标志位、协议字段为特征,或者以某个数据段为字符串特征。

如果对TCP 9876端口发送“Get Info|5b|”触发事件,那么就定义规则为“alert tcp$EXTERNAL_NET any->$HOME_NET 9876(msg:“BACKDOOR tools getinfo”;flow to_server,established;content:“Get Info|5b|”;)”。该规则对端口和字符特征同时进行了匹配,但如果将端口修改了,可能改规则就无效了。

因此,在定义规则时,将漏洞的特征进行组合使用,才会更加有效的提高IDS的工作效率。利用Snort规则检测数据包的安全性,同时也通过嗅探获取数据包来分析提取特征来创建规则。当出现新的漏洞或攻击时,通常都是采用流量分析来创建新规则。对于任何一个新的攻击,首先要知道其数据包的类型、数据流流向等基本信息用于编写规则头部,再从安全报告或者数据抓包中找到威胁数据包的特征,以便更新规则库,阻止攻击行为的再次发生影响内部网络的正常运营。

3.4 环境测试

在内网边界的核心交换机上,通过镜像将进出DMZ和内网的所有数据包镜像给Snort IDS,以检测数据包安全。这里将Snort IDS安装在Centos 5.5环境下,结合Apache作为Web服务器、Mysql数据库以及第三方分析管理工具BASE(Basic Analysis and Security Engine)和Barnyard建立基于边界的IDS snort检测数据包安全性的实施方案的环境平台。借助SVC漏洞库提取各种攻击行为的特征,参考Snort本身的规则库和Snort规则描述语言进行规则数据库建立。该Snort IDS投入使用后,对进出网络数据包的安全性检测的结果进行报警或作其他处理。

4 结束语

Snort的扩展性和可移植性,可以很方便用户定身量做自己的规则库。随着现在网络攻击的日益频繁,来自网络的数据包安全性日益让人担忧,Snort的免费、跨平台等特性,使得不管是企业还是个人,都有机会搭建自己的IDS系统进行网络数据包的检测、学习、研究等。利用国际公开的CVE漏洞数据库和开源的Snort系统,搭建网络边界的安全检测系统无论是研究人员还是企业都是乐见其成的事。同时,目前软件漏洞日渐频繁,网络攻击日新月异,企业在面对这些日益严重的网络威胁时,必须不断及时添加新规则以有效的检测攻击行为,提高Snort的检测能力,阻止恶意数据包进入网络,保护内部网络免遭破坏。

参考文献

[1]孙立媛,朱亦宁,孙悦轩.Snort规则的分析与实现[J].计算机安全.2009.

[2]赵苏骅.Snort规则的分析与制定[J].四川教育学院学报.2008.

边界优秀作文 第5篇

公交车从市区开出时，天空已经阴云密布，乘客们随天气变化，大多各自坐在座位上一言不发。半途中天空开始落下雨滴。到站开门时，还能听见雨滴淅淅沥沥打在站台雨棚上的声音。潮湿的空气中，有乘客竟昏沉地睡着了。

再过前面的一座大桥，老家所在的镇子就到了。我开始担心淋雨。这时一声叫唤打破了车里本不该有的寂静：

“师傅您能不能停下车，前面一站我睡过去了，下一站太远，这天气”

声音随后小了下去，谁不知道必须在站点上下车是公交车最基本的规矩啊!再想起最近发生在重庆的坠河事故，更令我“不寒而栗”：不就是争吵吗?然后就其实那声音不同。从坠江前的监控上都能看出，那个乘客的态度已经不是“恶劣”二字可以形容的了;而我身边的这位乘客，更多的语气是建议和请求，并非命令，尤其是他脸上的黑眼圈，在天色的渲染下显得更深了。

劳累过度睡着是人之常情。车上其他乘客都抬起头看着司机的后背，所幸没有一副看热闹活该的小市民模样。这是规则因人情而礼让――不是沉沦式的，正如年轻人弯曲脊梁搀扶老人一样。司机减速后仔细确认路况，紧靠人行道停下车。那位乘客抄起包飞快地奔入暴雨深处喊：

“谢谢了!麻烦了!谢谢――”

边界,边界,边界…… 第6篇

柬泰边境冲突，凸显了近期国际政治的一个突出问题：由边界/领土问题引发的争执和冲突骤然增多。如果说柬泰冲突毕竟局限于东南亚一隅，那么俄日两国围绕南千岛群岛（日方称北方四岛）的争执，则因为两国在国际上的影响而显得更具冲击力。继去年11月梅德韦杰夫之后，俄多名官员接连登岛，而日本强烈反弹，内阁官房长官空中视察、外相亲赴莫斯科。自2010年下半年以来，中日钓鱼岛“撞船事件”、朝韩延坪岛炮击事件也都不同程度造成了地区局势的紧张和国际关系的恶化。此外，韩日独岛/竹岛之争、有关国家北极划分之争等领土边界问题，都有随时引发冲突的可能。

直到冷战时期尚非常抢眼的边界/领土争端，随着时代的变化和国际政治焦点的变迁，近年来似乎一度淡出了人们的视线。但是上述事件提醒我们：边界/领土问题依然不愿退出国际舞台。

边界与领土争端是引发国家间冲突的重要因素之一，关系到国际局势的稳定。一般来说，边界与领土争端主要发生在两个国家之间，但有时也可能发生在多个国家之间。各国之间的边界与领土争端尽管在具体要求上千差万别，但实质上都是一样的，即一方或双方对现有边界的部分或全部走向持否定立场；一方或双方认为处于对方控制下的某地域或部分地域是属于自己国家的领土。所以，在一般意义上，边界争端与领土争端是一个问题的两个方面，边界争端同时就意味着领土争端。

国家间发生边界与领土争端的原因错综复杂，归纳起来大致有如下几种。

殖民侵略瓜分的祸根

边界与领土问题有许多发生在发展中国家之间，其中很多案例的幕后有殖民主义留下的阴影。近代以来，亚非拉大部分地区遭到西方列强的殖民侵略。列强殖民将许多不同国家，或原属不同国家的不同地区，或原来尚未形成国家的部落地区强行并入一个殖民地；或者将原本是同一国家的土地划入不同的殖民地。列强之间还因争夺和交易而相互交换或割让殖民地土地。这种任意宰割和瓜分的做法，破坏了殖民地原有的领土构成和归属。亚非拉原殖民地获得独立、建立民族国家时，继承的就是这些充满历史遗留问题的殖民边界，这成为许多民族独立国家之间产生边界争执的重要原因。

看一看非洲地图就可以发现，许多非洲国家的边界呈直线式。非洲绝大多数国家继承的是西方殖民者留下的边界，这大多是殖民者在瓜分非洲时人为制造的边界，与非洲原有的历史边界大相径庭。它完全无视当地原有的传统疆域和民族—部落的分布范围，不顾当地民族—部落大文化习俗、生活习惯上的差异和自身生存的利益，这种做法给独立后的非洲国家造成极为严重的后患。例如，肯尼亚与坦桑尼亚的几何斜线边界，就是英德当年在东非殖民争斗后妥协的产物。根据1886年的一项英德协议，这条大体呈西北—东南方向的斜线，是两国殖民范围的分界线，界线以北为英属东非（今肯尼亚），以南为德属东非（今坦桑尼亚）。这条线既不是历史形成的，也不具自然地理特征，更不考虑被殖民前当地民族共同生活地域的现实，将游牧民族马赛人的生活地域一切两半。又如，在“非洲之角”，索马里人的居住地被分成英属索马里、意属索马里、法属索马里、埃塞俄比亚的欧加登地区和英属肯尼亚的东北地区五个部分。1966年英属索马里和意属索马里独立后合并成立索马里共和国，提出五部分统一的要求，邻国埃塞俄比亚、肯尼亚、吉布提（当时的法属索马里）坚决反对，由此引发了索马里与邻国长期的边界争执。尼日利亚与喀麦隆之间的领土争执是英国与德国殖民者留下的；马里与布基纳法索的边界问题是法国殖民统治后的遗留问题；利比亚与乍得之间的边界问题是法国殖民者与意大利殖民者交换殖民领土造成的。在亚洲，克什米尔问题（印度与巴基斯坦之间）、杜兰线问题（阿富汗与巴基斯坦之间）、麦克马洪线问题（中印之间）、巴勒斯坦—以色列问题都是英国殖民者制造和遗留的；而柬越边界问题、柬泰边界问题的历史形成，法国殖民者脱不了干系。拉丁美洲的边界与领土争端也多与西英法荷葡等老牌殖民者的殖民统治有关。

历史疆域与现实边界不吻合导致的认知差异

无论国家大小，其疆域都有一个历史形成过程。边界和疆域从古至今未发生过变化的国家几乎没有。在漫长的历史中，由于种种原因，绝大部分国家的疆界都发生过伸缩进退的情况，其控制地域时大时小，时多时少。一些地区在历史的这个时期曾经属于这个国家，那一时期曾经属于那个国家。一些国家历史上曾疆域辽阔，而现在的面积远不能与当时相比。古代波斯帝国的疆域曾囊括大部分西亚地区；古罗马曾经控制了整个地中海流域；阿拉伯帝国和奥斯曼土耳其帝国都曾横跨欧亚非三洲，后者还曾长期踞有巴尔干半岛腹地；蒙古帝国曾雄踞亚欧草原；奥地利曾是欧洲中心的大帝国；匈牙利曾是多瑙河流域的大国；东南亚中南半岛上的国家几乎都有过称雄半岛、控制半岛相当大地域的辉煌时期，但也都有过国力衰落、偏居一隅的时候。还有一些国家在建立初期并不拥有今日的辽阔面积，但以后却拓地千里，成为幅员辽阔的超大型国家，例如美国和俄罗斯。再有一些原本没有的国家从别的国家中分离出来，从母国疆域中划得了自己的领土。有时一个民族起源于或最早占有某个地域，建立政权，后又离开该地域，另一个民族又入主该地域并长期居住下来，乃至建立国家。历史变迁使相邻国家的历史疆界发生相互重叠是常见的现象。而不同国家和民族对国家疆域变迁的历史和现实的解读与认知往往相互矛盾，从而导致在边界走向和领土归属问题上发生分歧。对历史地理疆域认知范围的分歧反映在领土争端中，一些国家要求恢复历史上曾经拥有的疆域，这是一些领土争端产生的原因。另外，历史荣誉感与历史沙文主义等因素，也常常与边界和领土争端纠缠在一起。

跨界民族谋求“统一”，诉求升级和大民族主义作祟

由于多种历史原因，在不少国界两边往往会居住着具有相同文化历史起源，使用同一语言的跨界民族。国家政治疆界与民族疆界的不相吻合，带来了跨界民族统一与国家疆界稳定的矛盾。一些民族的“母国”以“民族国家”的理论为依据，奉行大民族国家理念，认为边界对面的相同文化民族是自己的同胞，其聚居之地理应与本国合并，要求将邻国境内的相同文化民族聚居地区归属本国。由此，一些同源民族“母国”对邻国跨界民族地区提出国家领土“统一”的要求，一些跨界民族力图脱离所属国家，谋求与同源民族“母国”合并。并且此问题还往往与上文中提到的历史疆域变迁纠缠在一起，从而引起国家间的领土纠纷。特别是冷战后，由民族分离主义引发的泛民族主义盛行，泛民族主义情绪膨胀，泛民族“统一”诉求升级，这是导致近年来边界与领土争端多发的重要因素之一。这一问题在跨界民族数量最多的非洲尤为突出。考虑到因跨界民族引起的领土纠纷严重影响了非洲大陆的安定，影响到非洲独立国家的经济社会发展，早在1964年7月，非洲统一组织国家元首和政府首脑在开罗召开会议，通过了一项重要决议，庄严声明每个国家必须遵守独立的非洲国家现行边界不变更的原则。即使在国家与民族关系建构相对成熟的欧洲，同样也受到跨界民族问题的不断困扰，尤其是与此相关的领土纠纷。第一次世界大战后，欧洲曾经出现过改变现行边界、使跨界民族得以统一的设想，结果各种利益冲突更趋激烈与复杂，最后人们只得从现实主义出发，1975年欧洲安全委员会成员国及美国和加拿大共35国通过了《赫尔辛基宣言》，其中一条重要内容就是第二次世界大战以后确定的欧洲国家边界不可改变。

一般情况下，因怀有不满情绪而对国家政权提出挑战的跨界民族，或要求自治，或要求独立，都涉及领土划分问题，其中的独立要求直接危及一个国家的主权和领土完整，是所有跨界民族问题中最棘手的。

战争结局和强权政治的安排

在现代国际关系准则确立之前，国家独立与主权的概念、边界与领土不可侵犯的原则都不是国际社会的普遍共识。在国际关系盛行强权政治的时代，领土的取得和边界的变更首先取决于国家力量的强弱和战争的结果，战争胜利的一方，不但要求战败一方赔款，而且常常附带让其割让土地。战胜者修改边界取得领土，战败者则割让领土，边界与领土的增减是常有的现象。但是，战争胜负的结果并不是一成不变的，随着国家力量强弱的变化和国际关系的重新组合，战争的胜败者经常交替，边界的变更并不能永久维持，这就出现了国际关系中不少地区被多次割来割去，一些领土几度易手，一些边界几经修改，甚至是在多个国家中倒手的现象。例如俄罗斯与波兰的边界就曾因战争数度修改，法德之间的阿尔萨斯和洛林也因战争胜负的交替相互易手多次，日俄战争和日苏战争曾使库页岛的归属几经交替。结果，在历史上留下了许多由割地造成的领土争端。

当年罗马尼亚与苏联在比萨拉比亚地区的争端也是这样。该地区历史上属罗马尼亚，后被沙皇俄国用武力割占。1918年罗马尼亚乘苏俄内战之机武力收复此地，但苏俄拒绝承认。1940年，苏联以武力相威胁要求罗交出此地，并且要求罗将北布科维纳地区作为赔偿一并割苏，罗被迫屈服。二战中，罗马尼亚参加法西斯阵营，利用德国侵苏机会再次出兵夺回此地。二战后期苏军反攻，又重新控制比萨拉比亚地区。战后签订的对罗和约规定此地属苏，但罗对此一直耿耿于怀，齐奥塞斯库当政时，罗经常与苏联为此地归属打笔仗。终至1991年底苏联解体，由比萨拉比亚主要地区构成的加盟共和国摩尔达维亚（现称摩尔多瓦）宣布成为一个独立的国家。

以20世纪为例，无论是两次巴尔干战争，还是两次世界大战，胜利者在战后都对战败国家的边界和领土进行了重新划分。尽管解决了一些边界与领土问题，但又制造了不少新的矛盾。一战后根据《凡尔赛和约》的安排，大规模调整了国际边界。波兰、捷克斯洛伐克、匈牙利等一系列国家独立，出现了新的边界。战败国如德国、奥地利、奥斯曼土耳其丧失了大片土地，保加利亚丧失了部分土地和出海口。战胜国中的法国、意大利、比利时、塞尔维亚、罗马尼亚、丹麦等从德国、原奥斯曼帝国得到了新的土地或收复了失地。德国的海外殖民地被英、法、日等列强瓜分。

希特勒利用了德国民众对《凡尔赛和约》极为不满的情绪，上台后不久即着手用武力修改一战后给德国规定的边界，先后出兵莱茵区、从立陶宛索取默麦尔、通过《慕尼黑协定》割取捷克斯洛伐克的苏台德地区、向波兰提出但泽走廊的领土要求，在波兰不肯屈膝的情况下，最终对波兰宣战，第二次大战由此开始。

二战后根据美英苏三巨头《雅尔塔协定》，决定了苏联与波兰以“寇松线”为基础的边界线和波兰与德国的奥德—尼斯河边界。这两条边界线使战后波兰在欧洲版图上由东向西搬迁了一大块。苏联据此名正言顺地从波兰得到了西乌克兰和西白俄罗斯，而让失去大片土地的波兰从德国获得了一块土地作为补偿。冷战时期，不但西德一直不愿意承认这样的安排，波兰人私下里对苏联的做法也耿耿于怀。

根据二战后的《雅尔塔协定》，作为苏联参加对日作战条件之一，日本的北方四岛（俄方称南千岛群岛）被苏联作为战利品纳入自己的版图。战后日本拒不接受这一现实，一直要求归还北方四岛。

帝国瓦解和国家解体造成的后遗症

历史上不少帝国出于统治的需要或分而治之的需要，对辖地和属地的内部区划界线有过颇多改变和调整。在其崩溃后，往往留下众多的领土与边界纠纷。如历史上的奥匈帝国、奥斯曼帝国、大英帝国等。一个帝国解体后，由于原国内行政区划的不确切，或是历史上国家内部调整行政区划时遗留的矛盾，也会造成领土与边界问题。

苏联解体时便形成了大量这样的矛盾，其中突出的是克里米亚半岛问题。在苏联时期，将克里米亚半岛地区从俄罗斯联邦加盟共和国转划乌克兰加盟共和国。苏联解体后，俄罗斯黑海舰队总部驻地成了外国领土。于是俄罗斯有人旧事重提，要求克里米亚回归俄罗斯，占克里米亚人口绝对多数的俄罗斯族人也要求脱离乌克兰，俄乌两国关系一度异常紧张。另外俄罗斯与乌克兰在亚速海出海口的问题上也曾剑拔弩张。苏联解体还导致俄罗斯与波罗的海三国的边界与领土争端，里海沿岸国家的海域划分问题也凸显出来。

脱离苏联的格鲁吉亚也与俄罗斯出现了领土问题。自格鲁吉亚独立之日起，其境内的南奥塞梯自治州就要求脱离格鲁吉亚，与俄罗斯境内居住着同族人的北奥塞梯地区合并。阿布哈兹也要求脱离格鲁吉亚独立。在2008年奥运会开幕之日，格俄为南奥塞梯问题爆发了一场大规模武装冲突，俄罗斯公开支持并承认南奥塞梯与阿布哈兹脱离格鲁吉亚独立。

自然地理和地貌的变化

自然地理环境是会发生变化的，有时这也会导致边界与领土的争端。例如，由于河流改道或自然添附作用而导致边界的重新划定问题。譬如两国规定以河流为界，但河流或发生改道，改变了原来的位置；或水中泥沙淤积，形成沙洲和岛屿，等等，使原来的规定产生歧义。如美国与墨西哥之间的界河格兰德河，曾经因为河床经常移位而引起两国近百年关于边界问题的争议。该河一些地段由于经常泛滥，河床不断北移，新旧河道之间的土地，成为美墨两国相争之地。1963年，两国签订条约，将河流改道增减的部分地域平分，各得0.78平方公里，并决定修一条新运河，把这条新运河当作两国的新边界。

界河边界的位置划在何处也是导致边界与领土冲突的原因之一。尽管国际法原则上规定以主航道中心线为界，但在有些河流上，这一点有过争议，以致爆发武装冲突。例如，萨达姆当政时伊拉克曾主张两伊边界划在阿拉伯河伊朗一侧的河岸上；塞内加尔与毛里塔尼亚为界河塞内加尔河上的边界划分也出现过矛盾，法国殖民统治者在1933年的法令中将边界线划在毛里塔尼亚一侧的河岸上，而毛里塔尼亚认为这不符合国际法，塞毛两国由此发生的争执曾导致边界关闭。

边界划界工作中的差错

这种现象虽不多见，但也不是绝对没有。例如，泰国与柬埔寨在柏威夏古寺归属问题上的争端。柏威夏古寺位于扁担山脉泰国与柬埔寨边界地区的一个隆起的高地上。古刹由柬埔寨古代王朝历经200多年建成，18世纪末被泰国割占。1904年2月13日暹罗(泰国)和法国(当时统治柬埔寨的殖民宗主国)签订条约，规定双方在柏威夏古寺地区的边界线，应沿着分水岭线划出。为实地划界而设立了泰法混合委员会。当时泰国政府委托一个法国调查队绘制该地区的地图。地图绘成后于1908年在巴黎出版，同时地图也被送交泰国政府。法国人在绘图时将泰国认为沿分水岭划线应当属于泰国的柏威夏古寺，标明到柬埔寨一侧，但是，接到地图的泰国政府直到1935年以前，对此事未表明任何异议。二战期间泰国夺回柏威夏寺，但二战后又被迫交还。柬埔寨1953年独立后，泰国又控制了古刹。之后，柬泰双方多次谈判未果。1959年柬埔寨政府向国际法院提起诉讼，请求国际法院宣告古寺的领土主权属于柬埔寨，泰国应撤回它驻扎在古寺地区的部队。1962年6月15日，国际法院以9票对3票判决柏威夏古寺属于柬埔寨，泰国有义务撤回驻在该地的一切军事和民事人员。法院还以7票对5票判定泰国应将其在占领时期从寺内搬走的一切物品归还柬埔寨。尽管泰国政府对国际法院的判决强烈不满，但出于对外政策的考虑，1962年7月3日泰国政府宣布“作为联合国的会员国，泰国必须履行依联合国宪章所负的义务。泰国将在抗议之下这样做，并保留其固有权利”，撤出了驻这个地区的部队和人员，但泰国无论是官方还是民间舆论对此结果并未完全认可。2008年当柬埔寨将柏威夏古寺申请为世界遗产时，遭到泰国强列反对，两国在古寺所在边界地区不时剑拔驽张，最近双方在这个问题上再次兵戎相见。

国际法规则的变化

国际法本身有一个不断发展变化的过程。以海洋法为例，1994年联合国新海洋法公约增加了旧海洋法中并没有的许多新规定，扩大了沿海国对海洋的权益。主要是沿海国拥有最远不超过200海里的专属经济区和最大不超过350海里，最小不低于200海里的大陆架的资源主权。新海洋法的规定一方面满足了广大发展中国家维护海洋权益的要求，另一方面不能不说是导致海洋权益争端增多的一个客观因素。因为一个原本并不起眼的岛屿，可以据此得到200海里的专属经济区，使一些涉及岛屿的争端升级。大陆架的资源主权，使一些海域相向而宽度又不足400海里的邻国之间在如何划分大陆架问题上发生了严重的分歧。

近年来，日本挑起的与中国在东海大陆架的争端、与韩国的竹岛（韩国称独岛）争端都反映了日本想借新海洋法钻空子以争夺海洋资源的企图。日本还将太平洋中的一块礁石“冲之鸟”包装成“岛屿”，企图获得此岛周边海域200海里的专属经济区。2009年菲律宾国会匆忙通过“领海基线法”，也是企图将其非法占领中国黄岩岛和南沙群岛部分岛礁的行为法律化。随着全球气候变暖，围绕北极地区的大陆架争端凸显。2008年以来，俄罗斯、美国、加拿大、丹麦、挪威等十来个北极周边国家，为北极海底主权划分问题展开了一场激烈的博弈。

边界与领土争端，实质上是国家间利益的博弈。在国际关系的丛林法则时代，国家间边界与领土的进退，是一种以武力为支撑的零和博弈。进入21世纪，国家间的边界与领土问题，必须以符合国际法规则和国际关系基本准则的方法，谋求和平与公平的解决。《联合国宪章》第二条规定：“各会员国在其国际关系上不得使用威胁或武力，或以与联合国宗旨不符合之任何其他方法，侵害任何会员国或国家之领土完整或政治独立。”对于只顾一己私利，强行修改边界，侵犯别国领土主权完整的行为，被侵犯的国家和人民根据国际法享有保卫国家边界不受侵犯和捍卫国家主权与领土完整的神圣权利。

边界安全 第7篇

由于中国一次能源与经济发展区域分布不均,负荷距离电源中心较远,大量电力需长距离输送。用电负荷的快速增长使得区域间断面的输电功率日益接近其传输极限,威胁着电网的安全稳定运行。其中,断面线路的热稳定问题是限制其传输能力的主要因素之一[1,2],研究系统不同运行方式下计及热稳定约束的断面传输极限具有重要意义[3,4]。

文献[5]分析了输电断面潮流在“N-1”静态安全约束下的传输能力;文献[6]提出了断面输电极限的计算方式和流程;文献[7]给出了断面极限的优化计算模型;文献[8]进一步对并联断面极限功率之间的相互影响因子的计算方法进行了探讨。但上述方法都只适用于分析系统某种确定方式下的断面极限值,当系统运行方式改变时将不适用。

断面的传输极限也是电力调度部门关注的重点,目前主要以“极限计算”模式进行分析,即:根据当前的网络拓扑结构(即电网检修情况),计算“N-1”故障后线路过载等约束下断面的最大传输容量[9]。以该极限值进行方式安排虽可满足系统正常方式下的安全稳定,但其结果过于保守,不利于方式的灵活安排,也不能最大限度地发挥现有通道的送电能力。

为解决上述问题,国内外学者把安全域[10,11]的概念和思想引入电力系统中并开展了丰富的研究。电力系统安全域对应于参数空间中系统能够安全运行的一片连续区域,不仅适用于系统运行方式的变化,而且根据系统运行点在参数空间中的位置可判断系统的安全程度,并提供当前系统的最优控制策略等辅助信息[12]。文献[13]对区域间断面的电压稳定域进行了呈现。北美的电力调度机构近年开展了大量安全域相关研究工作并已工程化应用于调度运行实时安全监控[14],这种方法的本质即在二维空间中进行系统运行的安全域边界分析。

为弥补现有断面极限分析方法存在的不足,本文将安全域的思想引入断面功率传输极限研究中,提出计及“N-1”约束的断面热稳定安全域边界的构建方法,并结合实际大电网在多维空间中对其边界特性进行研究。

1“N-1”约束下的断面传输极限

1.1 电力系统热稳定约束

稳态条件下的电力系统既要满足潮流约束,还应满足各种安全稳定约束,其中包括热稳定约束。电力系统热稳定约束可描述为:电力系统在正常运行方式下保持稳定运行和正常供电,且任一元件不发生过载。因此,电力系统运行约束表达如下,其中,式(1)为系统非线性潮流约束,式(2)表示线路电流不越限,式(3)为所有变压器传输容量约束。

式中:x为状态变量;u为控制变量;B为系统所有线路的集合;Ik和Ik,max分别为线路k的实际电流值和最大载流值;T为系统所有变压器的集合;Sj和Sj,max分别为第j台变压器的实际传输功率和额定容量。

同时,系统在运行过程中还受到设备容量限制,其中包括系统发电机出力上下限约束:

式中:分别为第n台发电机的实际有功出力、有功出力下限和上限;分别为第n台发电机的实际无功出力、无功出力下限和上限;G为系统发电机集合。

1.2“N-1”约束下的断面热稳定极限

对图1所示的断面D,由m条线路组成,即D={Li,i=1,2,,m},区域A为断面的送端系统,区域B为受端系统。在电网实际运行中,断面的传输极限记为所有断面构成线路传输有功功率之和的最大值,即

式中:PD为断面传输的有功功率;为断面线路Li传输的有功功率。

电力系统“N-1”是指正常运行方式下电力系统中任一元件无故障或因故障断开。计及断面“N-1”约束的断面热稳定极限可描述为:在满足断面任一线路发生“N-1”预想事故时系统剩余元件均不过载的条件下,断面可允许传输的最大功率。

由于本文重点关注断面热稳定极限问题,因而只考虑线路的热稳限制,忽略变压器的容量限制约束。计及断面“N-1”约束的断面热稳定极限的数学模型为:

式中:i为断面线路Li发生“N-1”事故,且i=0对应于系统正常运行状态;下标(i)为断开线路Li后系统相应的变量或约束。

当断面线路Li发生“N-1”事故时,系统在满足式(7)中各种约束条件的同时,若存在某线路Lj的电流Ij(i)达到其最大载流Ij,max,则断面达到热稳定极限,即

此时对应于断面发生“N-1”事故前的系统运行方式称为断面的一个热稳定极限点。若线路Li和Lj为断面构成中的双回线,则将此时断面热稳定极限的约束条件简称为双线Lij“N-1”约束。

2 断面热稳定极限影响因素分析

断面送、受端电网中的发电机组出力分配或负荷分布的改变都将引起断面线路的潮流发生变化,进而可能影响断面热稳定极限值。相对于负荷的不可控性,发电机组的出力可调节,且各发电机组与断面的电气距离不同,对断面各线路潮流的影响程度也不同。因此,本文将主要关心对断面线路潮流影响较大的敏感发电机组或发电机群的出力变化对断面热稳定极限的影响。

2.1 影响断面线路潮流的敏感机组选取

本文将通过计算功率传输转移分布因子(power transfer distribution factor,PTDF)[15],选取影响断面热稳定极限的敏感机组。

对图1所示的断面D,假设区域A的发电机gi增加ΔP出力,区域B的发电机gj减少ΔP出力,区域A与区域B其他发电机组出力不变。设此时断面D上的线路L1(对应两端节点名为A1,B1)有功潮流的变化量为,则发电机组对(gi,gj)有功出力相对变化对线路L1的PTDF为:

PTDF反映了断面两侧发电机组对有功出力相对变化对断面各构成线路有功潮流的影响程度。绝对值越大表明发电机组对(gi,gj)有功出力相对变化对线路L1有功潮流影响越大,是影响线路L1有功潮流的一对敏感机组。

当采用直流潮流模型时,GL1-ij可简化为:

式中:为相应节点间的互阻抗;为线路L1的电抗。当gj距离断面D足够远时,的大小近似相等,即

此时的大小主要与gi(或gj)到线路L1两端节点的互阻抗有关,将主要反映gi(或gj)有功出力变化对线路L1潮流的影响。为此,本文在分析区域A(或B)中gi有功出力变化对断面线路L1有功潮流的影响时,将选择区域B(或A)中远离断面D的gj(或gi)与之配合,用式(9)计算所得的PTDF值来反映gi出力变化对L1潮流的影响。

计算全网各发电机组出力变化对断面线路的PTDF,选取PTDF绝对值较大的机组为影响断面线路潮流的敏感机组,PTDF绝对值较小的机组为非敏感机组。机组对线路潮流的具体影响如下。

1)PTDF大于0表示机组出力大小与线路潮流正相关,PTDF小于0则为负相关。

2)PTDF绝对值大小反映机组出力对线路潮流的影响程度,绝对值越大表示影响程度越大。

3)若同一地区中的不同机组对某线路的PTDF值相近,即这些机组的出力变化对线路潮流的影响相近,在分析时可把这些机组作为一个机群来考虑。

2.2 敏感机组对断面热稳定极限的影响

依据PTDF大小可确定对断面线路潮流影响显著的敏感机组,本节将进一步分析敏感机组对断面热稳定极限的影响。首先根据断面潮流分布情况将断面构成线路D={Li,i=1,2,,m}分为两类:(1)断面潮流重载的线路D1={Li,i=1,2,,k},这些线路的潮流若进一步增大,则将面临热稳定约束的限制,断面也将达到其热稳定极限;(2)断面潮流轻载的线路D2={Lj,j=k+1,k+2,,m},这些线路的潮流继续增加不会受到热稳定约束的限制,且潮流的增加可以使得断面输送功率增大。

不同机组对线路的PTDF值不同时,其出力的调整将会对断面继续产生不同的影响,具体如下。

1)对于断面重载线路Li∈D1,对其PTDF大于0的敏感机组出力与断面极限负相关,且当断面达到热稳定极限时,可通过减少该机组出力同时增加非敏感机组出力来提高断面极限;对其PTDF小于0的敏感机组出力与断面极限正相关,且当断面达到热稳定极限时,可通过增加该敏感机组出力进一步提高断面的热稳定极限。

2)对于断面轻载线路Lj∈D2,在保持断面总传输功率不变的条件下,增加对其PTDF大于0的敏感机组出力同时减少相应非敏感机组出力,断面各线路的潮流将重新分布,其中轻载线路Lj的潮流将加重,断面重载线路Li的潮流将有所减轻。进一步,若系统初始运行于断面的一个热稳定极限点附近,则增加对轻载线路PTDF大于0的敏感机组出力同时减少相应非敏感机组出力,将使受断面热稳定极限约束的线路的潮流减轻,系统远离断面极限点,进而提高断面热稳定极限值。

3)电网中常存在某地区的一群机组对断面潮流分布的影响比较接近,此时可以把这些机组看做一个机群,分析机群整体出力对断面热稳定极限的影响。

因此,针对所研究的断面,分别计算系统各发电机组对断面各构成线路的PTDF,结合断面线路组成及断面潮流的分布情况,选取不同敏感机组(机群),分析其出力变化对断面热稳定极限的影响。

3 断面热稳定安全域的构建

3.1 多维空间中安全域边界的刻画

目前的电网运行与规划分析中,通常以“极限计算”模式来分析断面传输极限。以这种极限计算模式所得的断面D热稳定极限是一个固定的值PD,max,可以看成是最简单的一维空间中的安全域。但是电网的运行是高维度的非线性问题,断面极限受到多种因素的影响,“极限计算”模式需对每种变化后的运行方式重新进行计算,且不能给出更丰富的控制信息。

多维空间中的安全域,以考虑两台敏感机组(机群)gi和gj为例,分别以gi,gj有功出力以及断面的热稳定极限为X,Y,Z坐标轴,即可组成一个三维空间;进一步在此空间中通过搜索大量断面的热稳定极限点来对安全域边界进行刻画。

极限点的具体搜索方法为:以步长调整gi出力从0增加至,以步长调整gj出力从0增加至,在X-Y平面内张成一网格,网格上每一个点代表机组gi和gj的一种出力组合方式;以式(7)中所有约束条件和式(8)为断面热稳定极限判据,搜索网格上每一个点所对应的断面极限点。搜索完成后的极限点在三维空间中的分布如图2所示。

对上述搜索出的极限点,进一步通过数值拟合形成断面的安全域边界。这种方法可用来分析考虑一种或以上敏感机组(机群)影响下的断面热稳定极限,分析结果以多维空间中的安全域边界形式进行呈现。

3.2 断面热稳定安全域的构建流程

通过第2节的敏感机组选取展开多维空间、3.1节中极限点的搜索以及安全域边界的刻画,可形成断面的安全域。以三维空间为例,断面热稳定多维安全域的具体构建流程如图3所示,详细的构建步骤见附录A。

4 安全域边界的拓扑特性分析

安全域相关研究表明,超平面形式的边界具有便于实现安全域边界快速计算和进行优化控制的优点。上节中形成的安全域边界保证了所有极限点都位于边界上,最逼近断面的实际安全域边界,但其数学表达式难以求解。因此本文将采用线性回归分析法[16]分析断面极限与敏感机组(机群)出力之间是否存在线性相关性,以确定断面热稳定安全域边界是否具有超平面近似特性。

以两台敏感机组(机群)为例,其线性回归模型为:

式中:x和y为自变量;z为因变量;b0,b1,b2为回归系数;ε为随机误差。

回归系数将通过最小二乘法进行估计,估计后所得回归方程为:

式中:为因变量的回归值;为相应回归系数的估计值。

为校验线性回归的效果,本文将采用以下两种常用的统计检验指标。

1)回归方程显著性的F检验。对回归方程显著性的F检验就是检验自变量x和y从整体上对因变量z是否有显著的线性关系。令样本个数为n,计算F值以及在显著性水平α下的F分布值Fα(2,n-2-1)。当F>Fα(2,n-2-1)时,认为z对x,y有显著的线性关系,且F值越大,表明线性关系越显著;当FFα(2,n-2-1)时,则认为x,y通过线性形式对z的影响不显著,即回归方程不显著。

2)拟合优度检验。拟合优度用于检验回归方程的样本观测值的拟合程度,采用样本决定系数R2进行评价。R2的取值在[0,1]区间内,R2越接近1,表明回归方程拟合优度越高;R2越接近0,表明回归拟合的效果越差,应考虑对回归方程进行修改。

在三维空间中,一个二元线性回归方程对应于一个平面。在对线性回归方程的进行检验时,只有当两个统计检验指标F和R2同时满足相应的检验要求时,才认为采用当前回归方程进行拟合是合理的,即认为安全域边界具有超平面近似特性。

5 应用分析

为检验本文所提方法的可行性,以中国南方某实际电网为例,应用所提方法在某年丰大方式基础上对该电网关键断面的热稳定安全域进行构建,并对其边界特性进行分析。

该电网全网呈西电东送状态,由两大送端电网A和B、受端电网D以及通道区域C组成,其中关键送、受电断面分别为:断面D1,断面D2以及断面D3[17],如图4所示。本文将主要对关键受电断面D1进行分析研究,其线路构成如图4所示,断面D1线路的最大载流以及丰大方式下的基本潮流详见附录B表B1。

5.1 敏感机组选取

断面D1由北通道的双线L1、中通道的双线L2和双线L3、南通道的双线L4(双线L5)组成。由附录B表B1可知,在丰大方式下线路L1和线路L5潮流较重,为断面的重载线路;而L2和L3为断面的轻载线路。

根据本文的敏感机组选取方法,分析全网各发电机组对断面D1各线路的PTDF值,详细结果见附录B表B2至B4。由表中结果可知,gqz,gbh和gfcg机组对断面潮流分布的影响基本相同,可以把这台机组作为一个机群,称为机群gqbf。ggpt为北通道线路L1的敏感机组,gfc为中通道线路L2的敏感机组,gts,gyx以及gqbf为南通道线路L4和L5的敏感机组(机群)。

5.2 安全域的构建及敏感机组对断面极限的影响

以机组gyx和gts为敏感机组,根据第3节断面安全域的构建方法,在两敏感机组的可出力范围内搜索断面D1的热稳定极限点,得到一系列极限点如附录B表B5所示。根据表B5中极限值,以gyx和gts出力分别为X,Y轴,断面D1热稳定极限为Z轴,在多维空间中构建断面D1的热稳定安全域,如图5所示。

根据系统当前各机组出力状态可确定系统当前运行点在安全域中的位置,进一步根据运行点和安全域边界的相对位置可获得当前运行点的安全稳定信息。由图5中的安全域边界形态可知,机组gyx和gts出力变化对断面D1的热稳定极限有较大的影响,且在一定组合出力条件下断面热稳定极限的约束条件将发生改变。断面热稳定极限的约束条件转化时,对应于安全域边界中不同边界面的过渡转换。

对比附录B表B2和表B5中的数据可知,机组gyx和gts对断面热稳定极限的影响与该机组对断面线路的PTDF大小之间有密切关系,具体表现如下。

1)gyx和gts为对L4的PTDF小于0的敏感机组,当断面极限受双线L4“N-1”约束时,增加gyx或gts的出力将使断面极限值提高。

2)gts为对L5的PTDF大于0的敏感机组,gyx为对该线的PTDF小于0的敏感机组。当断面极限受双线L5“N-1”约束时,通过减少gts出力或者增加gyx出力都将使断面极限值提高。

因此,根据断面的安全域边界特点,结合当前系统的运行状态,可以提供敏感机组(机群)的处理调节方案,以改善系统运行状态、提高断面输电能力。

ggpt,gfc和gqbf出力变化分别对线路L1,L2和L4(L5)的潮流影响较大,以ggpt,gfc和gqbf为敏感机组(机群),采用本文方法可以构建考虑这些敏感机组(机群)出力变化的断面D1的热稳定安全域,具体过程不再赘述。

5.3 断面热稳定安全域边界特性分析

本节以图5所示的安全域边界为例,采用线性回归分析探究断面热稳定安全域边界的拓扑特性。

对于表B5中的极限点,当采用一个二元线性回归模型时,对其进行拟合优度和显著性检验的结果表明采用一个二元线性回归模型时拟合效果较差,具体分析过程见附录C。

从图5中的安全域边界形态可知,在同一约束条件下极限点可能存在较好的线性分布关系。因此考虑对每种约束条件下的极限点分别进行二元线性回归分析。图6(a),(b),(c)分别为对双线L5,L1,L4在“N-1”约束下的极限点进行回归分析后的拟合效果图,图6(d)为采用个二元线性回归模型后的拟合效果图。

对三个回归方程分别进行拟合优度和显著性检验,设显著性水平为5%。经计算,图6(a)中R2为0.996 4,F值为3 366;图6(b)中R2为0.824 0,F值为28;图6(c)中R2为0.993 2,F值为2 399。3个回归方程的R2都接近1,表明个线性回归方程的拟合效果都较好;F值都大于相应的临界值,表明断面极限D1和敏感机组gyx,gts出力之间线性关系显著。因此,该安全域边界可由三段平面近似。

采用相同方法对该电网其他断面的热稳定安全域边界进行分析,发现其具有相同平面近似特性。因此本文的算例分析表明,该电网的断面热稳定安全域边界具有较好的平面近似特性,且每一种热稳定约束下的安全域边界可由一个平面进行近似。

5.4 两大送端地区出力对断面热稳定极限的影响

由前面分析可知,断面D1热稳定极限的约束条件可能为双线L1,L4或L5“N-1”约束。根据附录B表B3和表B4中数据画出送端A和B地区中各机组对L1,L4以及L5的PTDF大小分布如图7所示。

由图7可知,送端A地区不同机组对断面D1潮流的影响相近,因此可以把该地区所有机组作为一个机群,且以断面D2的传输功率作为机群出力;同理送端B地区的所有机组也可看做一个机群,机群的出力为断面D3的传输功率。B地区机组出力对L4和L5的潮流影响较大,而A地区机组出力变化对L1的潮流有显著影响。

维持丰大方式中通道区域C机组和受端D敏感机组的出力不变,分析两大送端地区出力对断面D1热稳定极限的影响如图8所示。图中横坐标为断面D3和D2传输功率的比值,该比值大小反映了送端A地区和B地区出力的比例关系,比值越大表示B地区相对于A地区的出力越多。

由图8可知,当断面D3有功潮流与断面D2有功潮流的比值等于0.76时,断面D1的传输能力最大。当比值小于0.76时,断面D1热稳定极限受双线L1“N-1”约束,且极限值随着比值的增大而增加;反之断面受双线L5“N-1”约束,且比值越大,极限值越小。

因此,在系统方式安排中,为使断面D1传输极限最大,即断面D1传输功率相同时的安全裕度最大,应使比值保持在0.76附近。在断面D3和D2出力固定不变时,当断面D1受双线L5“N-1”约束时,可以通过适当减少gts,gqbf的出力或增加gyx,gfc的出力来进一步提高断面D1热稳定极限;当断面受双线L1“N-1”热稳定约束时,同样可以对适当敏感机组进行调节以提高断面D1极限,优化系统方式安排。

6 结语

本文提出了一种计及“N-1”约束的断面热稳定多维安全域边界的构建和分析方法,并应用于某实际大电网,构建了考虑不同敏感机组(机群)时的断面热稳定多维安全域。构建的安全域边界刻画了断面极限随各敏感因素的变化情况,不仅可以提供当前运行点的安全稳定信息,而且可提供改善系统运行状态、提高断面输电能力的措施,优化系统方式安排。更进一步分析表明安全域边界具有较好的超平面近似特性,便于进一步实现安全域的快速计算和讨论安全域在各种优化控制问题中的应用。

附录见本刊网络版(http://www.aeps-info.com/aeps/ch/index.aspx)。

摘要：提出一种计及“N-1”约束的多维空间中断面热稳定安全域边界的构建和分析方法。该方法首先通过计算系统各发电机组出力变化对断面线路的功率传输转移分布因子(PTDF),确定对断面功率传输极限影响显著的敏感机组(机群);以敏感机组(机群)的有功出力为多维空间坐标轴,以潮流可行和“N-1”约束为判据,在多维空间中搜索断面传输极限点并形成断面热稳定安全域的边界。该边界刻画了断面功率传输极限随各敏感因素的变化情况,能为运行控制提供更丰富、更准确的运行信息;更进一步分析表明该安全域边界具有较好的超平面近似特性,便于进一步实现安全域的快速计算和讨论安全域在各种优化控制问题中的应用。文中方法已在中国南方某电网运行方式计算中得到应用。

高清非编安全边界解决方案粗析 第8篇

1 具体方案

高清非编安全边界示意图如图1所示。

1) 高清非编系统中各大板块节目都独立制作, 各大节目板块的网络作为每个独立的VLAN, 相互之间不可相互访问, 每个板块的网段VLAN上都有存储服务器。节目编辑分别在自己网络中的非编工作站制作编排节目, 完成后按照文件的命名规范存入该节目板块的存储服务器的指定目录中。

2) 高清非编的存储服务器上安装FTP的自动上传软件AGENT, 该软件作为服务器的服务进程自动运行。同时, 存储服务器安装合规的防病毒软件, 并定期升级防病毒软件的病毒库, 检查系统漏洞安装系统补丁, 以确保各大非编板块的存储服务器的安全稳定运行。

3) 高清非编的存储服务器上运行的FTP上传AGENT将24 h监控指定目录中的文件变化, 一旦发现有新的节目文件生产, 在检测该视频文件完整性后, 调用视频转码程序将高码流的文件转换成低码流的文件;FTP上传AGENT首先上传低码流的文件到业务网络FTP服务器上, 在得到审片的确认结果之后, 再将高码流文件上传到FTP服务器上。在建立FTP上传文件队列时, 该程序进程会检查文件命名规范, 只有符合文件命名规范的文件才会被获取建立FTP上传队列, 同时存储服务器上的防病毒软件会检查FTP上传队列的文件, 以确保FTP上传文件的安全。

4) 建立在高清业务网的FTP服务器, 分别为各大板块节目建立目录, 存储制作好的节目资源, 以备审片调用。

5) 高清业务网的FTP服务器采用双机运行方式, 同时边界的网络安全设备将采用双链路方式。FTP上传AGENT在上传文件时, 可以询问FTP服务器A/B的工作状态, 如果FTP服务器A正在接受上传文件, 可以自动再连接FTP服务器B, 以充分利用FTP服务器双机和网络安全设备双链路的网络优势。

6) 建议在资源共享区增加网络入侵检测设备McAfee IPS, 以阻挡病毒蠕虫的传播以及黑客DOS/DDOS攻击和渗透入侵行为, 拒绝其他服务器对业务网络的非法访问。

2 设备选型

2.1 McAfee IPS 2950[2]

McAfee IPS基于完整的攻击分析方法而构建, 并引入了业界最为全面的网络攻击特征检测、异常检测以及拒绝服务检测技术, 在可以探测阻挡网路攻击和入侵渗透的同时, 还可以探测检测病毒蠕虫和后门程序的传播, 使得其具备了完整的网络安全边际功能, 充分保证在实现媒体资源共享的同时, 业务网络不会受到网络攻击、入侵渗透以及病毒蠕虫的传播和控制, 满足SMG业务网络的边界安全标准。

McAfee IPS 2950的优点有:

1) 提供全面的安全防护, 既可以探测阻挡网络入侵渗透, 又可阻挡病毒蠕虫的传播。

2) 具备无可比拟的检测准确性。为了实现高性能的网络攻击特征检测, IPS 体系结构不仅采用了创新的专利技术, 而且集成了全面的状态检测引擎、完善的特征规范语言、“用户自定义特征”以及实时特征库更新, 确保了IPS能够提供并维护业界最为全面、更新最及时的攻击签名数据库, 目前签名特征超过4 500种, 解码协议超过106种。对已知的SQL攻击和蠕虫攻击可提供非常有效的拦截。

3) 新一代的 DOS/DDOS网络突发访问的防护, 既提供基于自动记忆以及基于阈值的检测, 又可以采用多项检查模式 (智能化签名检测、异常检测以及拒绝服务防护技术) 的互动操作, 以提高应对DOS/DDOS网络突发访问的保护能力。

4) 具备风险识别功能的入侵防护, 可以基于对内部网络的安全风险检测结果, 有针对性的提供特别的防护策略。

2.2 网闸

推荐使用网御星云SIS-3000-Z6101[3], 部署在边界处的网闸实现了对网络数据包的网络隔离和摆渡交换, 从而满足了非编制作OA网络与业务网络的安全防护需求。内网外网示意图如图2所示。

网闸SIS-3000-Z6101的优点有:

1) 高安全性。

提供安全的硬件隔离体系和操作系统。FTP文件访问协议的数据包通过网闸的内部的摆渡机制, 以实现内外网段的数据交换。

2) 高性能。

运用并行处理技术、双摆渡传输技术、链路集合技术以提高数据包的传输能力。

3) 高适用性。

能够灵活地多网隔离和安装部署。

4) 高可靠性。

端口冗余, 双机热备, 动态负载均衡。

5)

网御星云SIS-3000-Z6101内外网分别提供4个100/1 000 Mbit/s自适应网络接口和1个管理端口, 可以将4个外网端口分别连接4个节目板块的网络, 内部端口连接内部的网络交换机, FTP支持的流量为850 Mbit/s。

6) 高管理性。

具有高效的集中式管理系统、完善的日志和审计、友好的管理界面。

3 方案说明及数据访问流程

高清非编人员在完成节目资料编辑后, 可以将制作好的节目文件拷贝到相对应的存储服务器指定的目录上, 这时存储服务器上的防病毒软件会自动对该文件进行扫描。存储服务器上运行的FTP AGENT在检测到有新的节目文件后, 会建立FTP文件上传队列, 将新编辑的节目文件上传到业务网络上的FTP服务器。业务网络上的FTP服务器在接收到上传的文件后, 会通过CIFS协议将该文件写入后台的NAS存储, 同时完成对文件二次安全扫描, 以确保文件在传递上安全。

将McAfee IPS 2950和网御星云网闸SIS-3000-Z6101以串联的方式连接在NAS存储FTP服务器和各大节目制作平台, 实现两个不同安全级别的网段之间网络链路隔离、蠕虫病毒的防护以及网络入侵渗透的阻断。在边界安全设备上通过访问策略, 可以限定存储服务器允许向业务网的FTP服务器上传节目文件, 从而防止其他工作站对业务网的非法访问, 同时也完成了节目资源上传业务网的业务需求。

4 小结

目前越来越多的高清非编网络在电视台内使用, 作为以频道为单位的网络化制播模式, 高清非编网络系统为节目生产带来便捷的同时, 也使节目的生产流程和方式产生了根本的变化。但从系统安全性角度考虑, 边界的安全将越来越引起使用者的重视, 安全、高效、管理便捷将成为系统设计的依据。

摘要：针对高清非编安全边界的重要性, 结合目前网络化制播运用的要求越来越集中, 从上海电视台业务运用的实际出发, 设计了分制作板块形成独立的VLAN, 24 h自动监控文件在高、低安全区之间上下载, 并且结合制作、审片、播出等具体操作, 使此方案设计具有高度的可靠性和稳定性。

关键词：高清非编,媒资,工作站,码流,网闸

参考文献

[1]国家广播电影电视总局.广播电视安全播出管理规定[EB/OL].[2012-08-20].http://www.sarft.gov.cn/articles/2009/12/21/20091221171804840035.html.

[2]McAfee IPS 2950[EB/OL].[2012-08-20].www.mcafee.com/us/re-sources/data-sheets/ds-network-security-platform.pdf.

边界安全 第9篇

关键词：网络边界安全,防火墙技术,网络流量控制

通常情况下, 网络是以广播为技术基础的系统, 任何两个节点之间的通信数据包, 不仅为这两个节点的网卡所接收, 也同时为处在同一以太网上的任何一个节点的网卡所截取。因此, 入侵者只要接入网络上的任一节点进行侦听, 就可以捕获发生在这个以太网上的所有数据包, 对其进行解包分析, 从而窃取关键信息。而网络边界安全系统的建立能有效缓解上述安全隐患。

1 防火墙技术的剖析

防火墙 (Firewall) 技术是抵抗黑客入侵和防止未授权访问的最有效手段之一, 也是目前网络系统实现网络安全策略应用最为广泛的工具之一。从狭义上来讲, 防火墙是指在两个网络之间加强访问控制的一个或一系列网络设备, 是安装了防火墙软件的主机、路由器或多机系统。在实现防火墙的众多技术中, 如下技术是其实现的关键技术:

(1) 包过滤技术:包过滤技是在网络中适当的位置上对数据包实施有选择的过滤。包过滤防火墙一般含有一个包检查模块, 它可以安装在网关或路由器上, 处于系统的TCP层和IP层之间, 以便抢在操作系统或路由器的TCP层之前对IP包进行处理。

(2) 状态检查技术:状态检查技术是一种在网络层实现防火墙功能的技术。它采用了一个在网关。执行网络安全策略的软件引擎, 即检测模块。模块在不影响网络正常工作的前提下, 在网络通信的各层抽取状态信息, 实施监测。

(3) 地址转换技术:地址转换技术是将一个IP地址用另一个IP地址代替[1]。

2 网络边界安全系统的设计与实现

2.1 并联防火墙的边界体系结构

本文研究的并联防火墙边界体系并联模式, 以不同的安全需求对网络的资源进行分段保护。多重防火墙的使用可以让网络安全系统有条理地控制资源的访问。由于几个防火墙串联工作, 到达数据服务器的流量要经过几个防火墙才能到达, 这会增加网络的延迟时间, 降低网络的速度, 在同样满足对不同资源进行分级保护的条件下, 因此本文将防火墙的串联模式改成了并联模式, 在并联模式下, 各防火墙联接的子网在不同的安全策略下可以实现分级保护的目的, 也避免了不同子网的延时不一致的问题, 如图1所示。

在本文的研究中, 我们使用了一个应用网关和一个有状态防火墙, 每个设备都保护一套不同的系统, 应用网关健壮的代理功能可以保护在Internet上访问的系统, 如Web、SMTP和DNS服务器。本文采用有状态防火墙来保护网络中心子网 (中心服务器和桌面计算机) , 利用并行的不同防火墙, 充分发挥他们的提供的最佳功能, 如表1和表2所示:

2.2 网络边界流量的控制

网络边界安全系统中的流量控制是保证网络安全的重要措施之一, 因为网络中的各个服务都是通过TCP或者UDP进行数据通信, 通过防火墙对单个用户IP进行连接数的限制, 从而限制诸如迅雷、P2P等极大占用通道的工具, 以保证网络线路的通畅[2]。下例为利用防火墙对内网的用户带宽、连接数进行管理。

定义带宽和连接数

Firewall statistic system enable

Firewall car-class 1 300000

Firewall car-class 2 500000

在用户入口应用定义带宽及连接数

Trust

Priority is 85

Interface of the zone is (1) :

GigabitEthernet1/0/0

Statistic enable ip inzone

Statistic enable ip outzone

Statistic ip-stat inbound acl-number3061

Statistic ip-stat outbound acl-number3061

Statistic connect-number ip tcp outbound 3 acl 2000

Static car ip outbound 1 acl 2002

对于网络主干网上流量的监视、记录是网络性能管理中的一个重要方面。通过这些信息的收集, 管理人员可以实时地观察网络的运行情况, 发现超载的部件, 找出潜在的问题。通过对不同时期、不同时间网络流量的分析, 可以预测网络的发展趋势, 对网络性能进行长久的规划, 及时完成网络设备的更新, 从而避免网络饱和所引起的低性能。

3 结语

网络边界安全系统能为网络用户的信息交换提供一个安全的环境和完整的平台, 可以从根本上解决来自网络外部对网络安全造成的各种威胁, 以最优秀的网络安全整体解决方案为基础形成一个更加完善的教学与管理自动化系统。利用高性能的网络安全环境, 有效地保证秘密、机密文件的安全传输。因此, 本文的研究将有相当大的现实与社会效益。

参考文献

[1]周国勇.基于多重访问控制的网络边界防御技术研究[J].信息网络安全, 2009 (10) .

边界安全 第10篇

关键词：异构多核,片上总线,硬件隔离,密码服务区,安全边界控制

随着通信技术的发展, 信息安全问题愈发突出。安全So C是加密技术与片上系统So C (System on Chip) 技术相结合的产物, 是执行密码运算、提供密码服务、保证数据安全的可信控制平台。采用安全So C芯片作为密码处理设备具有安全性高、密码运算速度快、使用方便等特点。而随着侧信道能量攻击和电磁攻击等攻击技术的发展, 安全So C芯片的自身安全受到严重威胁, 系统自身的安全成为未来信息系统设计的核心问题之一。参考文献[1]中对So C芯片进行功能块划分, 设计固件防火墙保护敏感信息的安全, 可以对任何So C设备进行保护。ARM公司2003年开发的Trust Zone技术[2]为用户提供了一个安全构架, 能够抵抗多种安全威胁, 但其结构要求微处理器提供特殊支持。

通过数据加密、在操作系统中植入安全特性等软件方法, 在有限的嵌入式资源环境下大大增加了系统的复杂性和成本。由于其数据交互的实时性和开放性, 使之无法从根本上实现真正的安全系统。增加安全硬件模块的方法灵活性较差, 需要重新进行硬件设计才能满足新的安全功能, 同时新增的硬件IP加重了设计开销, 增加了系统功耗。

本文针对计算密集型任务和信息安全的系统问题, 基于安全So C芯片设计技术[3,4]和安全硬件结构思想, 从系统、整体的角度来解决安全问题。

1 体系结构

1.1 总体结构

为了满足高性能密码处理需要, 在So C系统中集成更多的处理器核等硬件资源, MPSo C (Multi Processor So C) 己成为片上系统发展的主流, 越来越多面向特定应用的系统采用多核的方式来提升系统的计算能力[5]。多核系统中原来的软件工作量分到了多片处理器上, 对单个处理器性能要求大大降低。而且可以灵活选择处理器以适应不同系统任务的需要, 从而提高软件执行效率[6,7]。

本文设计的多核So C采用精简指令处理器+协处理器结构。如图1所示, 通用RISC处理器负责数据流控制和数据分配, 专用密码协处理器负责密码处理, 两种类型处理器通过高带宽的多层系统总线连接, 通过共享存储器的缓存区进行数据交互。整个芯片分为密码服务区和应用开发区, 两个区域通过用安全控制单元和enhanced AHB-to-AHB (e H2H) 总线桥[8]连接。从图1中可以看出, 整个So C相当于完整的个人终端计算机系统, 而密码服务区相当于TPM (Trusted Platform Module) , 是保障系统安全的关键。

1.2 应用开发区

应用开发区连接各种通信接口, 提供给用户进行开发。整个区域构成主处理器系统, 在任务执行过程中, 用户通过主处理器系统运行的操作系统对整个安全So C芯片进行控制。主处理器系统负责整个应用开发区的设备管理、通信管理及控制任务的处理, 并对应用程序进行调度和划分, 是整个So C系统的控制核心[8]。

如图2所示, 主处理器系统包括通用处理器、DMA控制器、高速系统总线、USB控制器、存储器控制器、低速外设总线与外部设备接口。DMA控制器接受通用处理器的配置控制, 负责大批量数据的传输。存储控制器管理SRAM和Flash存储器, 为提高存储控制器效率和工作频率, 采用独立的通用存储控制器。USB控制器管理USB接口, 负责与外部进行数据快速交换。

1.3 密码服务区

密码服务区提供密码处理服务, 并存储密码算法、密钥等敏感信息。密码服务区构成协处理器系统, 在应用开发区的请求下自动完成密码处理服务。

如图3所示, 协处理器系统包括微控制器、局部总线、专用密码协处理器、随机数发生器、存储控制器和UART控制器。微控制器是密码服务区的控制核心, 具有上电信息加载控制、数据调度控制等功能。随机数发生器提供协处理器加解密所需要的密钥。存储控制器主要存储密码算法、密钥和明文等敏感信息。协处理器系统通过UART接口注入算法配置信息、密钥、用户信息、设备信息等关键数据, 并以密文的形式存放, 主要完成主处理器系统划分好的加解密等计算任务, 是整个So C系统的计算核心。

2 密码服务区的安全保护

2.1 安全威胁分析

So C芯片面临的安全问题可归结为如下几个方面:

(1) So C芯片的状态被非法读取或更改, 如以各种手段破解敏感数据和用户密钥;

(2) So C芯片被改造以欺骗应用终端或芯片发行方从而非法获得服务;

(3) So C芯片被应用终端欺骗从而造成用户利益被损害。

上述几个问题中, 解决好So C芯片安全状态被非法读取或更改最为关键。在此基础上可以进行扩展以解决其他安全问题[2]。

为了保护密码处理过程中敏感信息的安全, 方便用户使用和二次开发芯片, 本文基于安全域划分技术在硬件层面设置专用的密码服务区和应用开发区, 设计安全控制单元对来自CPU的总线请求进行安全访问控制过滤。

2.2 安全边界控制

融合安全机制和安全硬件结构的思想, 采用安全边界控制硬件隔离机制, 限制应用开发区的程序对密码服务区的访问, 保护敏感信息不被窃取。

安全控制单元的工作原理如图4所示, 应用开发区的数据通过DMA控制器快速传输到密码服务区进行密码处理, 成功之后输出数据到共享存储器。由于恶意程序只能运行在应用开发区, 而应用开发区对密码服务区的访问都要经过安全控制单元, 安全控制单元过滤掉企图修改密码服务区的运行状态和对密码服务区进行数据读取的指令, 从而保证了密码处理过程中敏感信息和解密数据的安全。

安全控制单元按照如下的安全规则拦截CPU的非法访问:

(1) 如果应用开发区程序企图直接控制安全相关硬件模块, 则阻止该访问, 即安全相关的硬件模块对应的地址空间对于应用开发区程序是不可见的, 应用开发区程序只能通关密码服务区的安全服务程序获得相应功能。

(2) 如果芯片使用者企图通过CPU单元发出命令读取密码服务区的敏感信息或更改密码服务区的状态, 则阻止该请求。

通常权限生成电路的设计方法主要有两种:

(1) 查找表方法, 即将地址和写使能信号作为输入, 通过查表输出相应的控制信号。这种方法的优点是速度快, 但需要事先将控制信号的值存储于表中, 如果需要存储的内容较多, 则可能消耗较多的硬件资源。

(2) 比较器方法, 即将对地址信号的读写操作与给定的权限范围进行对比, 从而输出相应控制信号。这种方法由于要实现多次比较, 耗费资源较大, 也会带来较大延时。

由于本文需要存储的控制信号量不大, 而且要求尽可能地减小延迟, 因此采用基于真值表的电路设计方法。将整个总线地址空间按设计要求进行划分, 根据提出的地址分配表分别列出不同地址对应的访问权限真值表, 从而设计对应的控制电路。

设计的安全控制单元如图5所示。当En1有效时, 可以写入数据, 否则输入数据为0。同理当En2有效时可以读取数据, 否则读出数据恒为0。如果芯片进行了地址重映射, 不论是存储器内部还是从设备地址重映射, 安全控制单元都会在检测到地址重映射remap信号有效后对原来的地址权限做出更改。如果CPU的访问被隔离, 安全控制单元会返回中断信号intc给中断向量控制器;置位传输响应信号shresp_0为01, 告知CPU传输失败。

不同的地址分配表得出的硬件电路图不同, 简化的En1硬件电路图如图6所示, hwrite为写使能, Hadd_1、Hadd_2、Hadd_3为地址分配空间的划分值。En1在remap信号的控制下对不同的地址有不同的权限值。密码服务区写信号wen En1与总线读写信号hwrite相与生成, shaddr地址信号则由总线地址锁存一级后直接生成。

芯片的生命周期包括两个基本阶段, 即调试开发阶段和发行使用阶段。在调试开发阶段, 安全控制单元不发挥作用;当芯片有调试开发阶段进入发行使用阶段后, 发行者在片内非易失存储中特定位置写入相关信息, 安全控制单元就会按照上述安全规则拦截非法访问请求。

3 仿真验证

3.1 安全控制单元的功能仿真

采用Verilog语言对So C设计进行了RTL级描述, 建立仿真模型, 使用EDA软件对安全控制单元进行功能仿真。本文针对安全控制单元的仿真主要从两个方面进行:有效/无效的写操作、有效/无效的读操作。密码服务区的有效/无效写操作的仿真波形如图7所示。

在图7 (a) 中, 对密码服务区进行了一次写操作, 向地址0x000a0000写入数据0x11223344。根据设定的安全访问规则, 由于具有该地址空间的写入权限, 所以写使能信号有效, 相应的数据被传送至数据输入端口, 数据被正确写入。图7 (b) 中, 向地址0x000b0000写入数据0x55667788, 由于不具有对该地址空间的写入权限, 因此写使能信号和En1无效, 中断信号intc有效, 相应的总线数据无法被传送至数据输入端口, 数据锁定为0。

经过仿真验证读操作控制也可达到设计要求。

综合上述仿真波形可以看出, 设计的安全控制单元能够正确地实现边界控制, 达到了保护密码服务区安全的目的。而且与软件方法相比具有先天的安全程度高、不容易被篡改、速度快等优点, 有效提高了芯片的安全性和性能。与传统保护电路相比, 最大优点在于避免了由于电路设计而引入额外的电路延时和面积增大, 电路设计简单, 功能完善, 具有较高的实现价值, 而且可以灵活更改以适应不同的安全需求。

3.2 性能分析

使用EDA综合工具, 采用0.18μm CMOS工艺标准单元库及相应负载模型和RAM硬核对So C进行逻辑综合, 经过详细分析得出综合结果如表1所示。

将本系统与典型的基于片上总线的片上互连方式[9] (Mo T) 系统进行比较, 主要比较平均带宽和平均延迟2个参数。所有带宽数据等效换算为系统在100 MHz频率下和32 bit数据位宽时的数据, 结果如表2所示。可以看出, 该So C系统可在安全边界控制基础上实现较大的网络带宽和较小的延迟。

本文提出了多核异构安全So C芯片的硬件结构, 针对大批量数据处理和保护信息安全的需要, 采用了层次化总线的互连结构进行优化设计。集成多个异构的处理器, 将整个芯片划分为密码安全区和应用开发区, 并采用安全边界控制硬件隔离机制、安全存储管理等措施, 可有效保证密码安全区的安全, 提高整个系统的安全性和数据的完整性。

参考文献

[1]KONDO H, OTANI S, NAKAJIMA M, et al.Heterogeneous multi-core SoC with SiP for secure multimedia applications[J].IEEE Journal of Solid-State Circuits, 2009, 44 (8) :2251-2259.

[2]童元满, 陆洪毅, 王志英, 等.基于层次平台的安全SoC设计技术[J].计算机工程与应用, 2008, 44 (17) :10-14.

[3]Huang Wei, Han Jun, Wang Shuai, et al.The design and implement of a mobile security SoC[C].Solid-State and Integrated Circuit Technology (ICSICT) , 2010 10th IEEE International Conference 2010, Shanghai, 2010:96-98.

[4]王雪瑞, 何永强, 公鑫.面向移动安全存储的密码SoC设计与实现[J].电子技术应用.2012, 38 (4) :10-12.

[5]HALFHILL T R.The future of multi-core processors[EB/OL]. (2007-12-31) [2013-07-08].http://www.Tensilica.com/uploads/pdf/Multicore_Microprocessor_Rept.pdf.

[6]刘继尧, 刘雷波, 伊首一, 等.基于多层AHB架构的多核SoC设计[J].计算机工程.2012, 38 (9) :237-239.

[7]王超.异构多核可重构片上系统关键技术研究[D].合肥:中国科技大学, 2011.

[8]赵为.面向媒体应用的多核SoC平台的设计与实现[D].浙江:浙江大学, 2007.

诚实的边界 第11篇

1864年7月19日，曾国藩的九弟曾国荃率领的湘军分支挖地道用火药炸塌天京城墙，冲入城内，与太平军展开肉搏战，太平军一部分战死，一部分在混乱中突围，突围者包括忠王李秀成。然而，李秀成的运气实在太背，刚刚逃出险境来到城郊东南的方山，马上被两个当地老百姓擒获，并交给湘军。得知李秀成被捕，曾国藩开心得像中了状元，他几次亲自审讯李秀成，并要求李秀成写下了数万言的自述。据后来的历史学家考证，曾国藩向朝廷抄录李秀成自述时至少在4个地方弄虚作假。

一是更改洪秀全死因。李秀成的手迹称“天王斯时已病甚重，此人之病，不食药方，任病任好，不好亦不服药也，是以四月廿一日亡”。曾国藩将这段话改为：“因九帅（曾国荃）之兵，处处地道近城，天王斯时焦虑，日日烦躁，即以五月二十七日服毒而亡。”二是窜改李秀成被俘经过。李秀成本是在单独逃跑过程中被两个老百姓捉获，解送清营，曾国藩却用朱笔将原稿的“是以被两个奸民”勾去，“获拿”两字倒调，改成“遂被曾帅追兵拿获。”三是伪造李秀成冲出天京的时间。李秀成自述云：“初更之后，舍死领头冲锋，由九帅放倒城墙而出，君臣舍命冲出关来。”曾国藩将“初更”改为“四更”。四是删改《李秀成自述》“天朝十误”之第十条。该条原为“误立政无章”，曾国藩将其改为“误不应专保天京，扯动各处人马”。

世界上没有无因之果，曾国藩之所以一反自己以前的作风，刻意在即将解送朝廷的《李秀成自述》上做伪，主要是希望最大限度地突出曾国荃和自己的功劳，为兄弟俩获取高官厚禄创造条件。将洪秀全的死因由病亡改为因为不堪忍受九帅攻城的压力而服药自杀，是想标榜曾国荃围城的威力。把李秀成手稿上的“是以被两个奸民获拿”改成“遂被曾帅追兵拿获”，是为了显示曾国荃捉拿李秀成的主动、及时、认真。将“误立政无章”改为“误不应专保天京，扯动各处人马”，是要突出曾国荃攻陷天京的重大意义。将李秀成逃出天京的时间由“初更”改为“四更”，是希冀弱化曾国荃的失误。初更是傍晚十九时至二十时，四更是第二天一时。刚刚入夜，敌人就逃了出去，只能认为曾氏战争部署上考虑不周；夜深之时敌人逃走，则可以解释为因士兵守卫疲劳，被敌人钻了空子。

人的本质是自利的，一个不诚实、唯利是图的人，如果做伪能获得重大人生收益，固然会假话连篇，即使是像曾国藩这样一个时时以圣人标准严格要求自己，自我反省之心远远超于常人的人，假若做伪能使他得到无法想象的好处，而不必付出任何代价，他同样可能毫不犹豫地选择这条道路。不错，曾国藩平时非常在乎诚实，但他的诚实永远是有边界的，那就是不能妨碍他最要紧的某些个人利益。

古人说的人生三大成功为立德、立功、立言。立德排在首位，而诚实又被看成是道德操守中最要紧的一类。事实告诉了我们一个道理：诚实永远不是一种关门闭户的功课，它一方面需要严格的自律，另一方面需要有效的他律。文

边界安全 第12篇

2010年7月22日, 山东省电力公司科技信息部、信息通信中心组织专家验收组对“信息外网边界安全监测系统”进行了验收。

根据国家电网公司建立信息安全长效监控机制的要求, 为能及时全面掌握网络安全状况, 按照国家电网公司的统一部署, 山东省电力公司建设了覆盖全公司网络的“信息外网边界安全监测系统”, 实现了对所属各单位信息外网安全设备 (防火墙、IDS、IPS、网站防护设备、防病毒网关) 告警事件、脆弱性信息和资产信息等在线监控, 及时掌握互联网出口、信息外网设备和信息系统, 信息内外网边界、对外交流敏感数据的信息安全状况与态势, 对信息外网进行集中管理和监测。

项目组现场汇报了系统实施、运行的相关情况, 专家组对项目组提交的技术报告、工作报告、功能测试报告等相关文档进行了审查, 并听取了系统运维人员对系统运行应用情况的汇报。验收组认为系统经过1年的试运行, 各项技术指标达到了国家电网公司的要求, 并已实现与国网监控中心的级联。