電力系統(tǒng)安全防護(hù)總體方案

1、電力二次系統(tǒng)安全防護(hù)總體方案、總則電力二次系統(tǒng)安全防護(hù)總體方案是依據(jù)電監(jiān)會(huì)5號(hào)令以及 電監(jiān)會(huì)200634號(hào)文的規(guī)定并根據(jù)電網(wǎng)二次系統(tǒng)系統(tǒng)的具體情 況制定的，目的是規(guī)范和統(tǒng)一電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度 數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)劃、實(shí)施和監(jiān)管，以防范對(duì)電網(wǎng)和電廠計(jì) 算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的攻擊侵害及由此引起的電力系 統(tǒng)事故，保障電力系統(tǒng)的安全、穩(wěn)定、經(jīng)濟(jì)運(yùn)行。電力二次系統(tǒng)是指各級(jí)電力監(jiān)控系統(tǒng)和調(diào)度數(shù)據(jù)網(wǎng)絡(luò) （SPDnet）以及各級(jí)調(diào)度管理信息系統(tǒng)（OMS）和電力數(shù)據(jù)通信 網(wǎng)絡(luò)（SPInet）構(gòu)成的大系統(tǒng)。本方案確定電力二次系統(tǒng)的安全 區(qū)的劃分原則，確定各安全區(qū)之間在橫向及縱向上的防護(hù)原則， 提

2、出電力二次系統(tǒng)安全防護(hù)的總體方案，嚴(yán)格執(zhí)行“安全分區(qū)、 網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的規(guī)定，并指導(dǎo)各有關(guān)單位具 體實(shí)施。二、安全防護(hù)的基本原則1）安全分區(qū)。分區(qū)防護(hù)、突出重點(diǎn)。根據(jù)系統(tǒng)中的業(yè)務(wù)的重 要性和對(duì)一次系統(tǒng)的影響程度進(jìn)行分區(qū)，重點(diǎn)保護(hù)生產(chǎn)控 制以及直接生產(chǎn)電力生產(chǎn)的系統(tǒng)。2）網(wǎng)絡(luò)專用。電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet與電力數(shù)據(jù)通信網(wǎng) SPInet實(shí)現(xiàn)安全隔離，并通過(guò)采用MPLS-VPN或IPSEC-VPN在SPDnet和SPInet分別形成多個(gè)相互邏輯隔離的 VPN實(shí)現(xiàn)多層次的保護(hù)。3）橫向隔離。在不同安全區(qū)之間采用邏輯隔離裝置或物理隔 離裝置使核心系統(tǒng)得到有效保護(hù)。4）縱向認(rèn)證、防護(hù)。安

3、全區(qū)1、11的縱向邊界部署IP認(rèn)證加密 裝置；安全區(qū)lll、IV的縱向邊界必須部署硬件防火墻，目前 在認(rèn)證加密裝置尚未完善情況下，使用國(guó)產(chǎn)硬件防火墻進(jìn) 行防護(hù)。整體安全防護(hù)隔離情況如下圖所示：ip認(rèn)證加密裝置安全區(qū)IV （管理信息區(qū)）_防火墻_管理VPNip認(rèn)證加密裝置物理隔離裝一ip認(rèn)證加密裝置安全區(qū)IV （管理信息區(qū)）_防火墻_管理VPNip認(rèn)證加密裝置物理隔離裝一安全區(qū)IV （管理信息區(qū)）外部公共因特網(wǎng)三、電力二次系統(tǒng)安全防護(hù)1、安全區(qū)的劃分根據(jù)電力二次系統(tǒng)的特點(diǎn)、目前狀況和安全要求，整個(gè)二次 系統(tǒng)分為四個(gè)安全工作區(qū)：第一區(qū)為實(shí)時(shí)控制區(qū)，第二區(qū)為非控 制業(yè)務(wù)區(qū)，第三區(qū)為生產(chǎn)管理區(qū)，第四區(qū)

4、為管理信息區(qū)。1 1、安全區(qū)I是實(shí)時(shí)控制區(qū)，安全保護(hù)的核心。凡是具有實(shí)時(shí)監(jiān)控功能的系統(tǒng)或其中的監(jiān)控功能部分均應(yīng) 屬于安全區(qū)I。如各級(jí)調(diào)度的SCADA(AGC/AVC )系統(tǒng)、EMS 系統(tǒng)、WAMS系統(tǒng)、配網(wǎng)自動(dòng)化系統(tǒng)(含實(shí)時(shí)控制功能)以及 電廠實(shí)時(shí)監(jiān)控系統(tǒng)等，其面向的使用者為調(diào)度員和運(yùn)行操作人 員，數(shù)據(jù)實(shí)時(shí)性為秒級(jí)，外部邊界的通信均經(jīng)由SPDnet的實(shí)時(shí) VPN。1 . 2、安全區(qū)II是非控制業(yè)務(wù)區(qū)不直接進(jìn)行控制但和電力生產(chǎn)控制有很大關(guān)系，短時(shí)間中斷 就會(huì)影響電力生產(chǎn)的系統(tǒng)均屬于安全區(qū)11。屬于安全區(qū)II的典型系 統(tǒng)包括PAS、水調(diào)自動(dòng)化系統(tǒng)、電能量計(jì)費(fèi)系統(tǒng)、發(fā)電側(cè)電力 市場(chǎng)交易系統(tǒng)、電力模擬

5、市場(chǎng)、功角實(shí)時(shí)監(jiān)測(cè)系統(tǒng)等。其面向的 使用者為運(yùn)行方式、運(yùn)行計(jì)劃工作人員及發(fā)電側(cè)電力市場(chǎng)交易員 等。數(shù)據(jù)的實(shí)時(shí)性是分級(jí)、小時(shí)級(jí)、日、月甚至年。該區(qū)的外部 通信邊界為SPDnet的非實(shí)時(shí)VPN。1 . 3、安全區(qū)III是生產(chǎn)管理區(qū)該區(qū)的系統(tǒng)為進(jìn)行生產(chǎn)管理的系統(tǒng)，典型的系統(tǒng)為DMIS系 統(tǒng)、DTS系統(tǒng)、雷電監(jiān)測(cè)系統(tǒng)、氣象信息以及電廠生產(chǎn)管理信 息系統(tǒng)等。該區(qū)中公共數(shù)據(jù)庫(kù)內(nèi)的數(shù)據(jù)可提供運(yùn)行管理人員進(jìn)行 web瀏覽。該區(qū)的外部通信邊界為電力數(shù)據(jù)通信網(wǎng)SPInet1 . 4、安全區(qū)IV是辦公管理系統(tǒng)包括辦公自動(dòng)化系統(tǒng)或辦公管理信息系統(tǒng)。該區(qū)的外部通信 邊界為SPInet或因特網(wǎng)。2、網(wǎng)絡(luò)專用2.1調(diào)度數(shù)據(jù)

6、網(wǎng)。調(diào)度數(shù)據(jù)網(wǎng)必須建立在IP+SDH的基礎(chǔ)上，嚴(yán)格執(zhí)行MPLS VPN的劃分。通過(guò)MPLS VPN劃分將調(diào)度數(shù)據(jù)網(wǎng)分成VPN1和 VPN2。因此在縱向上安全區(qū)I的數(shù)據(jù)傳輸和交換通過(guò)VPN1來(lái) 完成，安全區(qū)II的數(shù)據(jù)傳輸和交換通過(guò)VPN2來(lái)完成。2.2安全區(qū)III網(wǎng)絡(luò)（調(diào)度生產(chǎn)管理信息OMS網(wǎng)絡(luò)）安全區(qū)III網(wǎng)絡(luò)（調(diào)度生產(chǎn)管理信息OMS網(wǎng)絡(luò)）主要是在縱 向上各級(jí)調(diào)度部門傳輸調(diào)度生產(chǎn)管理信息，屬于管理信息大區(qū)， 它與安全區(qū)IV網(wǎng)絡(luò)之間主要通過(guò)防火墻隔離。3、安全區(qū)之間的橫向隔離及縱向防護(hù)在各安全區(qū)之間均需選擇適當(dāng)安全強(qiáng)度的隔離裝置。具體隔 離裝置的選擇不僅需要考慮網(wǎng)絡(luò)安全的要求，還需要考慮帶寬及

7、實(shí)時(shí)性的要求。安全區(qū)之間隔離裝置必須是國(guó)產(chǎn)并經(jīng)過(guò)國(guó)家或電 力系統(tǒng)有關(guān)部門認(rèn)證。3 . 1安全區(qū)I與安全區(qū)II之間的隔離要求：采用硬件防火墻可使安全區(qū)之間邏輯隔離。禁止跨越安 全區(qū)I與安全區(qū)II的 E-MAIL、WEB、telnet、rlogin。3 . 2安全區(qū)I/ll與安全區(qū)111/IV之間的隔離要求：采用物理隔離裝置可使安全區(qū)之間物理隔離。禁止跨越 安全區(qū)I/II與安全區(qū)111/IV的非數(shù)據(jù)應(yīng)用穿透物理隔離裝置的安全防護(hù)強(qiáng)度適應(yīng)由安全區(qū)I/II向安全區(qū)III /IV的單向數(shù)據(jù)傳輸。由安全區(qū)111/IV向安全區(qū)1/11的單向數(shù)據(jù) 傳輸必須經(jīng)安全數(shù)據(jù)過(guò)濾網(wǎng)關(guān)串接物理隔離裝置。3 . 3同一安全

8、區(qū)間縱向防護(hù)與隔離同一安全區(qū)間縱向聯(lián)絡(luò)使用VPN網(wǎng)絡(luò)進(jìn)行連接安全區(qū)1/II分別使用SPDnet的實(shí)時(shí)VPN1與非實(shí)時(shí) VPN2安全區(qū)111/IV分別使用SPInet的VPN從某種意義上說(shuō)，防止病毒對(duì)網(wǎng)絡(luò)的危害關(guān)系到整個(gè)系統(tǒng)的 安全。防病毒軟件要求覆蓋所有服務(wù)器及客戶端。對(duì)關(guān)鍵服務(wù)器 實(shí)時(shí)查毒，對(duì)于客戶端定期進(jìn)行查毒，制定查毒策略，并備有查 殺記錄。病毒防護(hù)是調(diào)度系統(tǒng)與網(wǎng)絡(luò)必須的安全措施。病毒的防 護(hù)應(yīng)該覆蓋所有安全區(qū)I、II、III的主機(jī)與工作站。特別在安全區(qū)I、II要建立獨(dú)立的防病毒中心，病毒特征碼要求必須以離線的方 式及時(shí)更新。安全區(qū)III的防病毒中心原則上可以和安全區(qū)IV的 防病毒中心共

9、用。五、其他安全防護(hù)措施1、數(shù)據(jù)與系統(tǒng)備份對(duì)關(guān)鍵應(yīng)用的數(shù)據(jù)與應(yīng)用系統(tǒng)進(jìn)行備份，確保數(shù)據(jù)損壞、系 統(tǒng)崩潰情況下快速恢復(fù)數(shù)據(jù)與系統(tǒng)的可用性。2、入侵檢測(cè)IDS對(duì)于安全區(qū)I與II ,建議統(tǒng)一部署一套IDS管理系統(tǒng)?？紤] 到調(diào)度業(yè)務(wù)的可靠性，采用基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)（NIDS）, 其IDS探頭主要部署在：安全區(qū)I與II的邊界點(diǎn)、SPDnet的接入點(diǎn)、以及安全區(qū)I 與II內(nèi)的關(guān)鍵應(yīng)用網(wǎng)段。其主要的功能用于捕獲網(wǎng)絡(luò)異常行為， 分析潛在風(fēng)險(xiǎn)，以及安全審計(jì)。對(duì)于安全區(qū)III，禁止使用安全區(qū)I與II的IDS，與安全區(qū)IV 的IDS系統(tǒng)統(tǒng)一規(guī)劃部署。3、主機(jī)防護(hù)主機(jī)安全防護(hù)主要的方式包括：安全配置、安全補(bǔ)丁、安

10、全 主機(jī)加固。3 . 1安全配置通過(guò)合理地設(shè)置系統(tǒng)配置、服務(wù)、權(quán)限，減少安全弱點(diǎn)。禁 止不必要的應(yīng)用，作為調(diào)度業(yè)務(wù)系統(tǒng)的專用主機(jī)或者工作站，嚴(yán) 格管理系統(tǒng)及應(yīng)用軟件的安裝與使用。3 . 2安全補(bǔ)丁通過(guò)及時(shí)更新系統(tǒng)安全補(bǔ)丁，消除系統(tǒng)內(nèi)核漏洞與后門。3 . 3主機(jī)加固安裝主機(jī)加固軟件，強(qiáng)制進(jìn)行權(quán)限分配，保證對(duì)系統(tǒng)的資源 （包括數(shù)據(jù)與進(jìn)程）的訪問(wèn)符合定義的主機(jī)安全策略，防止主機(jī)權(quán)限被濫用。4、CA與身份認(rèn)證PKI是一個(gè)利用現(xiàn)代密碼學(xué)中的公鑰密碼技術(shù)在開放的網(wǎng)絡(luò) 環(huán)境中提供數(shù)據(jù)加密以及數(shù)字簽名服務(wù)的統(tǒng)一的技術(shù)框架。基于PKI的CA認(rèn)證系統(tǒng)為電力調(diào)度生產(chǎn)及管理系統(tǒng)與調(diào)度 數(shù)據(jù)網(wǎng)上的用戶、關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)器提供數(shù)字證書服務(wù)。最 終CA認(rèn)證體系結(jié)構(gòu)圖如下所示：CA認(rèn)證系