監(jiān)控信息系統(tǒng)網(wǎng)絡(luò)安全策略實踐文檔

1、監(jiān)控信息系統(tǒng)網(wǎng)絡(luò)安全策略實踐發(fā)表時間:2006-4-30作者：馬昂摘要：火電廠廠級監(jiān)控信息系統(tǒng)(sis)在火電廠中己經(jīng)得到了普遍的推廣，對于江蘇徐州發(fā)電有限公司(以 下簡稱公司)這樣己經(jīng)運營多年的老廠而言，sis的應(yīng)用有其特殊性，怎樣利用現(xiàn)有網(wǎng)絡(luò)和技術(shù)開展sis 項日，sis與分散控制系統(tǒng)(dcs)、sis與管理信息系統(tǒng)(mis)z間的安全隔離怎樣實現(xiàn)，都是在項日實 施中必須考慮的問題1。一、sis的安全要求sis是集計算機、熱能動力、電氣、自動化等多學(xué)科交叉、專業(yè)性強的計算機應(yīng)用系統(tǒng)，它建立企 業(yè)生產(chǎn)過程實時數(shù)據(jù)和丿力史數(shù)據(jù)庫平臺，實現(xiàn)整個企業(yè)范圍內(nèi)的信息共享;以安全、經(jīng)濟運行和提高發(fā) 電金

2、業(yè)整體效益為日標(biāo)，支持金業(yè)生產(chǎn)過程綜合優(yōu)化服務(wù)；同時為企業(yè)管理層的決策提供真實可靠的運 行數(shù)據(jù)和科學(xué)、準(zhǔn)確的經(jīng)濟抬標(biāo)。sis作為dcs與misz間的橋接，為了確保生產(chǎn)的安全，必須隔離dcs 和mis網(wǎng)絡(luò)間兩類不同特性信息的傳輸。要防止黑客攻擊、非法訪問、病毒爆發(fā)從mis網(wǎng)絡(luò)通過sis傳 輸?shù)絛cs,從而影響生產(chǎn)的正常運行，因此，sis與dcs. sis與mis之間的網(wǎng)絡(luò)安全隔離都十分重要1。二、sis安全隔離方案及存在的問題2.1安全隔離方案1sis和mis共用同一網(wǎng)絡(luò)，系統(tǒng)z間采用防火墻等安全措施進行隔離，其優(yōu)點是方便sis各種應(yīng)用 軟件從mis網(wǎng)上獲取數(shù)據(jù)，并可滿足mis網(wǎng)上用戶訪問實時數(shù)

3、據(jù)庫的需要。2. 2安全隔離方案2sis和mis分別采用獨立的網(wǎng)絡(luò)，兩者z間通過sis和mis各自的數(shù)據(jù)服務(wù)器z間互聯(lián)和交換信息。 sis與mis網(wǎng)絡(luò)的中間采用物理隔離設(shè)備進行連接，優(yōu)點是sis網(wǎng)絡(luò)上的應(yīng)用只需與實時/丿力史數(shù)據(jù)服務(wù) 器聯(lián)系，而mis的應(yīng)用只需與mis關(guān)系數(shù)據(jù)服務(wù)器通信，從而減少了通信的復(fù)雜性，提窩了 2個網(wǎng)絡(luò)的 獨立性和可靠性。2.3存在的問題方案1中,因為mis網(wǎng)絡(luò)的安全性低于電力sis,共用網(wǎng)絡(luò)顯然降低了 sis網(wǎng)絡(luò)的安全性,進而可 能會影響到dcs的安全;方案2中sis與mis的獨立組網(wǎng)雖提高了可靠性,但在mis網(wǎng)絡(luò)與sis網(wǎng)絡(luò)之 間采用的物理隔離網(wǎng)閘設(shè)備存在網(wǎng)絡(luò)性能損

4、失，這是由物理隔離網(wǎng)閘設(shè)備的工作特性(擺渡)所決定，在 數(shù)據(jù)讀取的速度上有一定限制。對于己經(jīng)在生產(chǎn)運營的電廠而言，建設(shè)獨立sis網(wǎng)絡(luò)，投入資金較大， 施工閑難。方案1、2中，dcs、sis、mis網(wǎng)絡(luò)都采用tcp/ip協(xié)議的以太網(wǎng),雖在sis與mis之間做了安全隔 離，并未強調(diào)sis與dcs的隔離，但許多項日僅在接口機匕采用雙網(wǎng)卡的簡單隔離措施，給控制系統(tǒng)網(wǎng) 絡(luò)制造了一定的安全隱患。三、sis網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)公司sis結(jié)合實際情況，采取具有自己特色的安全隔離方法，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)見圖1。db2itk四、sis安全隔離措施4.1 sis與dcs的安全隔離考慮dcs的安全與數(shù)據(jù)采集的實時性、完整性的保證，

5、采用了 apacs+標(biāo)準(zhǔn)接口方案，dcs接口軟件 從dcs監(jiān)控軟件a imax實時數(shù)據(jù)庫獲取全部數(shù)據(jù)，以高速串行通信的方式將數(shù)據(jù)發(fā)送到數(shù)采站。使用串 口通信的可靠性要絕對高于以太網(wǎng)傳輸，串口通信程序決定了串口通信的單向性，sis網(wǎng)絡(luò)無法向dcs 發(fā)送除數(shù)據(jù)采集請求以外的數(shù)據(jù)，保證了 dcs的安全性。據(jù)現(xiàn)場測試結(jié)果，從sis的數(shù)據(jù)采集站到距離鮫遠的現(xiàn)場dcs的傳輸速率可達到460. 8kbit/s,實 際應(yīng)用中采用230. 4kbit/s就可滿足數(shù)據(jù)的實時采集，全部數(shù)據(jù)更新時間小于等于2s,部分重要數(shù)據(jù)更 新時間小于等于1so4.2 sis與mis的安全隔離公司的sis采用自主開發(fā)的基于xml體

6、系結(jié)構(gòu),因使用xml和web傳輸技術(shù),web service較易穿 透防火墻，并被各種智能設(shè)備調(diào)用，使防火墻方案具備了設(shè)置非常嚴(yán)厲的安全策略的技術(shù)條件。當(dāng)用戶 對sis進行一般訪問時,用戶面面上的數(shù)據(jù)實時刷新并不是由用戶直接從sis中的實時數(shù)據(jù)庫取得數(shù)據(jù), 而由web service服務(wù)器從數(shù)據(jù)庫中取得數(shù)據(jù)，處理后通過防火墻發(fā)送給用戶，因為xml技術(shù)與web傳 輸技術(shù)的應(yīng)用，數(shù)據(jù)傳輸只需婆通過簡單的80端口 (http端口)來完成。性能計算及經(jīng)濟成本分析采用后臺計算方式，后臺計算需要mis網(wǎng)絡(luò)上db2數(shù)據(jù)庫屮的財務(wù)、煤質(zhì) 等數(shù)據(jù)，需要使用db2通信的10000和10001端口。sis在整個的應(yīng)

7、用中,網(wǎng)絡(luò)傳輸上只簡單使用到了 http和db2的3個端口，網(wǎng)絡(luò)應(yīng)用的簡單化捉高了安全防范可靠性。只婆在防火墻的訪問控制列表(acl) 上加以控制，就可拒絕mis中所冇不需婆使用的服務(wù)和訪問，關(guān)閉端口，不ih其通過防火墻侵入sis。 acl的規(guī)則設(shè)置中,允許mis用戶訪問主機web service的80端口;允許sis的后臺性能計算服務(wù)器訪 問mis網(wǎng)絡(luò)的db2數(shù)據(jù)庫的10000和10001端口。其余訪問包括icmp包(ping)在內(nèi)的訪問全部拒絕, 然后將acl加載在防火墻的內(nèi)外以太網(wǎng)口上。這樣，除了正常sis應(yīng)用使用到的數(shù)據(jù)外，其余罪法的網(wǎng) 絡(luò)訪問、攻擊被防火墻全部過濾掉，保證了 sis與

8、mis的安全隔離。4.3 sis的安全特點和病毒防護從以上的隔離措施可看出，公司的sis網(wǎng)絡(luò)是一個sis服務(wù)網(wǎng)絡(luò)，這樣的應(yīng)用在安全上冇很大優(yōu)勢, 因為并沒冇用戶計算機直接連接在sis網(wǎng)絡(luò)中的接入，很大程度上杜絕了直接的sis用戶對sis網(wǎng)絡(luò)的 安全隱患；同時sis網(wǎng)絡(luò)上的服務(wù)器都安裝了 symantec防病毒軟件，病毒定義采用于工更新的方法， 符合了 sis安全規(guī)范中對病毒防護的耍求。4.4 sis的安全測試在sis項目的鑒定中，鑒定專家組首先使用windows操作系統(tǒng)h帶的網(wǎng)絡(luò)測試命令ping及tracert 等指令去訪問web service服務(wù)器,均不可達；而后使用languard network scanner等一些網(wǎng)絡(luò)測試 工具，網(wǎng)絡(luò)端口掃描軟件，黑客攻擊模仿軟件去訪問利探測防火墻后的服務(wù)器，除在訪問控制列表中允 許通過特定主機的特定端口的訪問可通過，其他端口的信息全部不可通過，證明包括icmp包(ping)在 內(nèi)的數(shù)據(jù)包均無法從mis網(wǎng)絡(luò)穿透防火墻訪問到sis網(wǎng)絡(luò)，病毒與一些攻擊掃描無法通過防火墻從mis 網(wǎng)絡(luò)侵入sis網(wǎng)絡(luò)。五、結(jié)束語公司采用的sis與dcs及sis與mis的隔離方法符合sis網(wǎng)絡(luò)安全規(guī)范，冇相對獨立的sis與mis 網(wǎng)絡(luò)，并充分利用了現(xiàn)冇的網(wǎng)絡(luò)資源，避免