电力作为传统行业,电力生产是其经营核心,如何保护电力核心业务应用系统是电力企业面临的长期重要问题。传统的电力安全防护是以物理可控范围内的设备为前提,采用隔离装置(GAP)来隔离核心业务应用系统是稳妥的措施。但随着新业务及新技术的发展,移动化新业务、互动化新业务、智能化新业务及交易类新业务的大量应用,电力设备大量安装于小区中、客户家中等不可控环境中,网络攻击行为日趋针对业务系统的应用层漏洞,传统的隔离方案已不能保证电力系统的安全。本文针对用电信息采集系统(一种电力业务应用系统),实现了一个蜜罐软件,能够对来自采集终端侧的应用层网络攻击的识别、监测和分析,同时依赖于沙盒技术,直接保护该系统的应用层安全。具体实现包括三个方面。(1)利用沙盒技术实现了一种应用层蜜罐软件。该软件具备蜜罐的特性,即具备捕捉来自于网络上的攻击行为,将该行为的网络访问、数据库访问、操作系统访问进行记录和分析,能够为未知网络攻击行为提供分析的条件。而使用沙盒技术,则可以通过Hook API等方式建立虚拟运行环境,使得在蜜罐软件上直接运行真实电力业务应用成为可能,避免传统蜜罐软件需要将仿真对象功能高度还原、不能真实运行电力应用、无法执行真实电力业务请求的缺点。(2)通过SQL代理方式扩展了沙盒技术建立的虚拟运行环境范围,使得沙盒不仅接管操作系统访问和网络访问,还接管了对于电力应用更为重要的数据访问,从而建立全面的应用层防护。(3)通过对1376.1规约(用电信息采集系统的终端调用规约)的解析和监测功能的实现,使得该软件能够对用电信息采集系统这样的具体电力应用进行深度分析,提高分析的深度,满足具体电力应用防护的需要。通过以上功能的实现,本文最终实现了一个能够针对电力业务应用系统进行监测、分析和保护的蜜罐系统,保障了电力业务应用系统的网络安全。