電力監(jiān)控系統(tǒng)安全防護(hù)分解課件

1、 國(guó)華河北分公司電力監(jiān)控系統(tǒng)安全防護(hù)昝永清 國(guó)華河北分公司電力監(jiān)控系統(tǒng)安全防護(hù)昝永清 電力監(jiān)控系統(tǒng)安全防護(hù) 電力監(jiān)控系統(tǒng)安全防護(hù)背景原則背景原則背景原則震網(wǎng)病毒事件：2010 年11月 Stuxnet蠕蟲(chóng)（震網(wǎng)病毒）攻擊伊朗核電廠，該病毒專門(mén)針對(duì)西門(mén)子公司的SIMATIC WinCC監(jiān)控與數(shù)據(jù)采集 (SCADA) 系統(tǒng)進(jìn)行攻擊，造成伊朗布什爾核電站推遲發(fā)電。震網(wǎng)病毒將工業(yè)控制系統(tǒng)信息安全推到了風(fēng)口浪尖。背景原則震網(wǎng)病毒事件：2010 年11月 Stuxnet蠕蟲(chóng)背景原則網(wǎng)絡(luò)安全內(nèi)容安全功能安全管理安全檢測(cè)安全恢復(fù)安全策略安全維護(hù)安全預(yù)防安全治理背景原則網(wǎng)絡(luò)安全內(nèi)容安全功能安全管理安全檢測(cè)安全恢

2、復(fù)安全策略背景原則木桶理論背景原則木桶理論背景原則“進(jìn)不來(lái)”“拿不走”“看不懂”“改不了”“走不脫”網(wǎng)絡(luò)安全目標(biāo)網(wǎng)絡(luò)安全五元素背景原則“進(jìn)不來(lái)”“拿不走”“看不懂”“改不了”“走不脫”網(wǎng)電力監(jiān)控系統(tǒng)主要內(nèi)容電力監(jiān)控系統(tǒng)安全防護(hù)分解課件主要內(nèi)容電力監(jiān)控系統(tǒng)防護(hù)原則安全分區(qū)網(wǎng)絡(luò)專用橫向隔離縱向認(rèn)證主要內(nèi)容電力監(jiān)控系統(tǒng)防護(hù)原則安全分區(qū)網(wǎng)絡(luò)專用橫向隔離縱向認(rèn)證主要內(nèi)容安全分區(qū)： 按照電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定，將發(fā)電廠基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對(duì)一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)I）及非控制區(qū)（安全區(qū)II），重點(diǎn)保護(hù)生產(chǎn)控制

3、以及直接影響電力生產(chǎn)（機(jī)組運(yùn)行）的系統(tǒng)。主要內(nèi)容安全分區(qū)：主要內(nèi)容網(wǎng)絡(luò)專用： 電力調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專用網(wǎng)絡(luò)，承載電力實(shí)時(shí)控制、在線生產(chǎn)交易等業(yè)務(wù)。發(fā)電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)在專用通道上使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實(shí)現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。主要內(nèi)容網(wǎng)絡(luò)專用：主要內(nèi)容橫向隔離： 橫向隔離是電力監(jiān)控系統(tǒng)安全防護(hù)體系的橫向防線。應(yīng)采用不同強(qiáng)度的安全設(shè)備隔離個(gè)安全區(qū)，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專用橫向單向安全隔離裝置，隔離強(qiáng)度應(yīng)當(dāng)接近或達(dá)到物理隔離。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當(dāng)采用具有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)

4、備、安全可靠的硬件防火墻或相當(dāng)功能的設(shè)施。主要內(nèi)容橫向隔離：主要內(nèi)容縱向認(rèn)證： 縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護(hù)體系的縱向防線。發(fā)電廠生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當(dāng)設(shè)置經(jīng)過(guò)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專用縱向加密認(rèn)證裝置，實(shí)現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問(wèn)控制。主要內(nèi)容縱向認(rèn)證：主要內(nèi)容生產(chǎn)控制大區(qū)管理信息大區(qū)控制區(qū)（安全I(xiàn)區(qū)）非控制區(qū)（安全I(xiàn)I區(qū)）安全區(qū)劃分電力監(jiān)控系統(tǒng)安全區(qū)主要內(nèi)容生產(chǎn)控制大區(qū)管理信息大區(qū)控制區(qū)（安全I(xiàn)區(qū)）非控制區(qū)（主要內(nèi)容安全系統(tǒng)部署主要內(nèi)容安全系統(tǒng)部署主要內(nèi)容風(fēng)電場(chǎng)監(jiān)控系統(tǒng)安全區(qū)主要內(nèi)容無(wú)功電壓控制AVC有功功率控制AGC同步向量測(cè)量PMU升壓站監(jiān)控系統(tǒng)風(fēng)功率預(yù)

5、試系統(tǒng)電能量采集裝置故障錄波裝置天氣預(yù)報(bào)系統(tǒng)檢修管理系統(tǒng)OMS測(cè)風(fēng)塔系統(tǒng)控制區(qū)（安全I(xiàn)區(qū)）管理信息大區(qū)主要內(nèi)容風(fēng)電場(chǎng)監(jiān)控系統(tǒng)安全區(qū)主要內(nèi)容無(wú)功電壓控制AVC有功功主要內(nèi)容安全區(qū)的特點(diǎn)控制區(qū)（安全I(xiàn)區(qū)）：是電力生產(chǎn)的重要環(huán)節(jié)、安全防護(hù)的重點(diǎn)與核心；直接實(shí)現(xiàn)對(duì)一次系統(tǒng)運(yùn)行的實(shí)時(shí)監(jiān)控；縱向使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ猛ǖ馈?非控制區(qū)（安全I(xiàn)I區(qū)）：所實(shí)現(xiàn)的功能為電力生產(chǎn)的必要環(huán)節(jié)；在線運(yùn)行，但不具備控制功能；使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)，與控制區(qū)中的系統(tǒng)或功能模塊聯(lián)系緊密。管理信息大區(qū)：管理信息大區(qū)是指生產(chǎn)控制大區(qū)以外的電力企業(yè)管理信息系統(tǒng)的集合。典型業(yè)務(wù)系統(tǒng)包括調(diào)度管理系統(tǒng)、行政電話網(wǎng)管系統(tǒng)、綜合數(shù)據(jù)網(wǎng)等。

6、電力企業(yè)可根據(jù)具體情況劃分安全區(qū)，但不能影響生產(chǎn)控制大區(qū)的安全。主要內(nèi)容安全區(qū)的特點(diǎn)控制區(qū)（安全I(xiàn)區(qū)）：是電力生產(chǎn)的重要環(huán)節(jié)電力監(jiān)控系統(tǒng)安全防護(hù)技術(shù)措施電力監(jiān)控系統(tǒng)安全防護(hù)分解課件技術(shù)措施主要內(nèi)容密碼技術(shù)邏輯隔離入侵檢測(cè)防病毒措施備用與容災(zāi)主機(jī)防護(hù)Web服務(wù)的使用與防護(hù)安全免疫內(nèi)網(wǎng)安全監(jiān)視技術(shù)措施主要內(nèi)容密碼技術(shù)邏輯隔離入侵檢測(cè)防病毒措施備用與容災(zāi)技術(shù)措施密碼技術(shù)加密涉及三個(gè)基本元素：明文、密文和密鑰明文（cleartext）：就是人們或計(jì)算機(jī)可懂的語(yǔ)言。密文（ciphertext）：就是明文經(jīng)加密變換后人們或計(jì)算機(jī)不可懂的語(yǔ)言。密鑰（key）：參與加密變換的一個(gè)參數(shù)，經(jīng)常是一個(gè)二進(jìn)制字符串。

7、技術(shù)措施密碼技術(shù)加密涉及三個(gè)基本元素：明文、密文和密鑰技術(shù)措施密碼技術(shù)PKI技術(shù)：PKI基于公鑰體系，在該體系的安全系統(tǒng)中，密鑰是成對(duì)生成的，每對(duì)密鑰由一個(gè)公鑰和一個(gè)私鑰組成。私有密鑰公開(kāi)密鑰數(shù)據(jù)輸入算法算法數(shù)據(jù)輸出完全相同技術(shù)措施密碼技術(shù)PKI技術(shù)：PKI基于公鑰體系，在該體系的安技術(shù)措施邏輯隔離：防火墻產(chǎn)品可以部署在安全區(qū)I與安全區(qū)II之間（橫向），實(shí)現(xiàn)兩個(gè)區(qū)域的邏輯隔離、報(bào)文過(guò)濾、訪問(wèn)控制等功能。 入侵檢測(cè)系統(tǒng)：其IDS探頭主要部署在：安全區(qū)I與II的邊界點(diǎn)、調(diào)度數(shù)據(jù)專網(wǎng)的接入點(diǎn)、以及安全區(qū)I與II內(nèi)的關(guān)鍵應(yīng)用網(wǎng)段。其主要的功能用于捕獲網(wǎng)絡(luò)異常行為，分析潛在風(fēng)險(xiǎn)，以及安全審計(jì)。防病毒措施

8、：病毒防護(hù)是調(diào)度系統(tǒng)與網(wǎng)絡(luò)必須的安全措施。建議病毒的防護(hù)應(yīng)該覆蓋所有安全區(qū)I、II、III的主機(jī)與工作站。病毒特征碼要求必須以離線的方式及時(shí)更新。備用與容災(zāi)：對(duì)關(guān)鍵業(yè)務(wù)的數(shù)據(jù)與系統(tǒng)進(jìn)行備份，確保數(shù)據(jù)損壞、系統(tǒng)崩潰情況下快速恢復(fù)數(shù)據(jù)與系統(tǒng)的可用性。技術(shù)措施邏輯隔離：防火墻產(chǎn)品可以部署在安全區(qū)I與安全區(qū)II之技術(shù)措施主機(jī)防護(hù)：通過(guò)合理地設(shè)置系統(tǒng)配置、服務(wù)、權(quán)限，減少安全弱點(diǎn)。禁止不必要的應(yīng)用，作為調(diào)度業(yè)務(wù)系統(tǒng)的專用主機(jī)或者工作站， 嚴(yán)格管理系統(tǒng)及應(yīng)用軟件的安裝與使用。 Web服務(wù)的使用與防護(hù) ：禁止安全區(qū)I中通用Web服務(wù)。禁止安全區(qū)I中的計(jì)算機(jī)使用瀏覽器訪問(wèn)安全區(qū)II的Web服務(wù)。 安全免疫：生產(chǎn)控制大區(qū)具備控制功能的系統(tǒng)應(yīng)逐步推廣應(yīng)用以密碼硬件為核心的可信計(jì)算技術(shù)，用于實(shí)現(xiàn)計(jì)算環(huán)境和網(wǎng)絡(luò)環(huán)境安全可信，免疫未知惡意代碼破壞，應(yīng)對(duì)高級(jí)別的惡意攻擊。內(nèi)網(wǎng)安全監(jiān)視： 生產(chǎn)控制大區(qū)應(yīng)逐步推廣內(nèi)網(wǎng)安全監(jiān)視功能，實(shí)時(shí)監(jiān)測(cè)電力監(jiān)控系統(tǒng)的計(jì)算機(jī)