搜索

[20983] 2020-04-25_【干货】浅谈电力行业网络安全与防护

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-04-25_【干货】浅谈电力行业网络安全与防护 【 干 货 】 浅 谈 电 力 行 业 网 络 安 全 与 防 护 原 创   L e m o n   S e c P u l s e 安 全 脉 搏   2 0 2 0 - 0 4 - 2 5 3 月 7 日 ， 委 内 瑞 拉 发 生 迄 今 为 止 最 大 规 模 停 电 事 件 ， 让 这 个 身 处 危 机 之 中 的 国 家 雪 上 加 霜 。 千 里 之 堤 溃 于 蚁 穴 ， 切 莫 忽 视 任 何 不 安 全 因 素 的 存 在 。 电 力 基 础 设 施 薄 弱 ， 设 备 维 护 不 到 位 ， 技 术 人 员 水 平 低 下 ， 工 业 控 制 系 统 防 护 不 足 ， 都 是 影 响 电 厂 稳 定 工 作 的 巨 大 隐 患 ， 尤 其 电 能 关 系 着 人 们 生 活 、 生 产 、 医 疗 等 方 方 面 面 ， 一 旦 出 现 问 题 将 会 带 来 不 可 估 量 的 损 失 。 古 里 水 电 站 、 变 电 站 以 及 输 配 电 线 路 可 能 存 在 的 安 全 问 题 有 ： 1   水 电 站 方 面 基 础 设 施 、 设 备 老 化 ， 维 护 不 足 ； 所 采 用 的 W i n 系 统 存 在 漏 洞 、 弱 密 码 ， 加 固 不 足 ； A B B 系 统 已 发 现 的 高 危 漏 洞 ， 防 护 不 足 ： C N V D - 2 0 1 4 - 0 2 8 5 2   A B B   A C 8 0 0 M 报 文 缓 冲 区 溢 出 漏 洞 C N V D - 2 0 1 4 - 0 2 8 5 3   A B B   A C 8 0 0 M 报 文 异 常 取 值 拒 绝 服 务 漏 洞 I C S A - 1 0 - 0 9 7 - 0 1   A B B   N E T C A D O P S 帮 助 系 统 漏 洞 厂 内 工 业 控 制 协 议 安 全 防 护 不 足 ， 易 受 攻 击 ； 没 有 对 生 产 网 络 流 量 进 行 监 控 和 审 计 ， 无 法 及 时 发 现 攻 击 行 为 ； 没 有 采 取 有 力 的 技 术 和 管 理 措 施 对 移 动 U 盘 和 光 盘 使 用 有 效 控 制 ； 委 内 瑞 拉 政 府 电 力 部 门 运 维 监 管 不 到 位 ； 对 安 全 事 件 的 应 急 处 置 工 作 重 视 不 足 ， 应 急 预 案 针 对 性 、 可 操 作 性 不 足 。 2 变 电 站 方 面 ： 各 端 变 电 站 人 员 技 术 水 平 低 下 ； 电 磁 防 护 不 足 ； 3   输 配 电 方 面 ： 基 础 设 施 安 全 保 障 不 到 位 ， 导 致 主 线 路 火 灾 发 生 时 难 以 控 制 ； 主 线 路 没 有 容 灾 配 置 ， 损 坏 后 难 以 重 构 ； 水 电 站 无 配 电 措 施 ， 停 机 后 黑 启 动 十 分 危 险 。 电 力 是 国 家 的 支 柱 能 源 和 经 济 命 脉 ， 其 安 全 稳 定 运 行 不 仅 关 系 到 国 家 的 经 济 发 展 ， 而 且 维 系 国 家 安 全 。 随 着 电 网 规 模 的 逐 渐 扩 大 ， 安 全 事 故 的 影 响 范 围 越 来 越 大 ， 安 全 问 题 越 来 越 突 出 ， 电 力 网 络 安 全 运 行 已 经 成 为 全 球 的 研 究 热 点 。 题 主 并 不 是 电 力 行 业 网 络 安 全 专 家 ， 只 是 因 项 目 需 要 接 触 到 了 一 些 电 力 行 业 安 全 方 面 的 知 识 ， 借 着 学 习 后 的 总 结 分 享 出 来 ， 每 个 人 在 不 同 时 机 看 的 东 西 不 一 样 ， 欢 迎 指 正 ~ 现 代 电 网 需 要 采 用 精 妙 而 复 杂 的 手 段 来 平 衡 社 会 对 电 力 的 需 求 和 发 电 厂 的 产 能 。 电 网 由 各 个 部 分 协 同 运 行 ， 通 过 输 电 线 路 输 送 电 流 ， 使 不 同 电 机 发 出 的 交 流 电 保 持 相 位 同 步 ， 并 确 保 所 有 设 备 不 会 出 现 过 载 。 电 网 中 的 任 何 一 个 部 分 都 可 能 被 黑 客 盯 上 - - - - 电 力 的 M I S 系 统 、 电 力 营 销 系 统 、 电 能 电 量 计 费 系 统 、 S A P 系 统 、 电 力 Ｉ Ｓ Ｐ 业 务 、 经 营 财 务 系 统 、 人 力 资 源 系 统 等 ， 可 以 说 目 前 的 电 力 资 源 的 整 合 已 经 完 全 依 赖 计 算 机 信 息 系 统 来 管 理 了 。 因 此 在 加 强 信 息 系 统 自 身 的 稳 定 性 同 时 ， 也 要 防 范 利 用 网 络 系 统 漏 洞 进 行 攻 击 、 通 过 电 子 邮 件 进 行 攻 击 解 密 攻 击 、 后 门 软 件 攻 击 、 拒 绝 服 务 攻 击 等 网 络 上 带 来 诸 多 安 全 问 题 。   电 网 网 络 中 容 易 出 问 题 的 环 节 电 网 网 络 中 容 易 出 问 题 的 环 节 发 电 厂 ： 进 入 电 网 的 电 流 ， 只 要 频 率 符 合 其 要 求 数 值 ， 在 进 入 电 网 时 与 电 网 其 他 部 分 的 节 奏 完 全 同 步 即 可 。 病 毒 可 以 向 发 电 机 发 出 指 令 ， 诱 使 它 们 输 出 的 电 流 与 电 网 其 余 部 分 的 电 流 差 半 拍 。 这 可 以 比 作 高 速 行 驶 的 汽 车 突 然 挂 了 倒 档 ， 必 然 会 使 变 速 箱 报 废 ， 同 样 ， 发 电 机 也 会 变 成 冒 着 烟 的 一 堆 废 铜 烂 铁 。
变 电 站 ： 发 电 站 发 出 的 电 具 有 很 高 的 电 压 ， 因 为 电 压 越 高 ， 在 输 电 过 程 中 因 电 阻 发 热 造 成 的 损 耗 就 越 少 。 第 一 次 压 降 是 在 变 电 站 进 行 的 。 许 多 老 式 变 电 站 使 用 的 拨 号 的 调 制 解 调 器 ， 操 作 人 员 通 过 拨 号 进 入 系 统 ， 从 而 进 行 维 护 操 作 ， 但 病 毒 也 可 利 用 这 些 装 置 潜 入 系 统 ， 篡 改 关 键 设 置 。 黑 客 早 在 很 久 前 就 发 明 了 拨 号 程 序 ， 可 以 拨 打 一 部 交 换 机 系 统 内 的 所 有 电 话 号 码 ， 并 记 下 调 制 解 调 器 对 呼 叫 有 回 应 的 号 码 。 调 制 解 调 器 在 回 应 时 通 常 会 发 出 一 条 独 有 的 信 息 ， 这 条 信 息 很 可 能 会 暴 露 断 路 器 的 功 能 。 此 后 黑 客 可 以 改 动 设 备 配 置 ， 使 系 统 在 遇 到 某 些 本 来 会 导 致 断 路 器 立 刻 跳 闸 以 保 护 设 备 的 危 险 情 况 时 毫 无 反 应 ， 这 将 造 成 事 故 和 不 可 挽 回 的 损 失 。 控 制 站 ： 作 为 电 网 的 神 经 中 枢 ， 控 制 站 监 视 着 整 个 电 网 的 一 举 一 动 。 当 电 力 需 求 上 升 时 ， 价 格 也 随 之 上 升 ， 这 时 便 可 能 通 知 电 厂 开 足 马 力 ， 供 应 更 多 电 能 。 控 制 站 的 运 行 中 心 没 有 接 入 互 联 网 ， 但 其 业 务 中 心 接 入 互 联 网 。 而 病 毒 可 以 潜 入 业 务 端 ， 利 用 业 务 端 与 运 行 端 之 间 的 连 接 来 入 侵 关 键 的 控 制 系 统 。 配 电 所 ： 配 电 所 是 电 流 进 入 家 庭 或 单 位 前 的 最 后 一 站 ， 它 有 时 需 要 把 来 自 不 同 电 站 的 电 力 汇 合 起 来 ， 通 过 数 十 条 乃 至 数 百 条 较 小 的 线 路 发 送 出 去 。 新 式 配 电 所 多 装 备 有 无 线 通 信 设 备 ， 通 过 无 线 电 信 号 或 W i - F i 来 通 信 。 黑 客 可 以 在 配 电 所 外 拦 截 信 息 ， 并 模 拟 合 法 指 令 进 行 破 坏 活 动 。 信 息 连 接 ： 控 制 站 必 须 实 时 掌 握 整 个 发 电 、 供 电 流 程 中 的 所 有 最 新 信 息 ， 为 技 术 人 员 作 出 明 智 决 策 提 供 参 考 。 黑 客 在 潜 入 数 以 千 计 的 普 通 电 脑 ， 并 操 纵 它 们 形 成 一 个 任 凭 驱 使 的 “ 僵 尸 网 络 ” 后 ， 便 可 指 挥 电 脑 发 出 信 息 破 坏 网 络 通 信 。 而 控 制 室 的 操 作 人 员 接 收 到 的 也 许 是 早 已 过 时 的 信 息 ， 并 根 据 它 来 作 决 策 ， 这 类 似 根 据 1 0 秒 钟 以 前 的 路 况 来 驾 驶 汽 车 一 样 ， 不 仅 丢 失 了 信 息 的 时 效 性 ， 且 已 身 处 危 险 之 中 。   电 网 的 安 全 防 护 电 网 的 安 全 防 护 微 软 公 司 一 旦 发 现 其 推 出 的 操 作 系 统 存 在 某 个 安 全 隐 患 ， 通 常 会 发 布 安 全 补 丁 ， 但 对 电 网 而 言 并 非 那 么 简 单 。 电 网 所 用 的 软 硬 件 都 是 现 成 的 产 品 ， 但 电 网 的 相 关 人 员 不 能 仅 在 问 题 出 现 时 给 有 漏 洞 的 软 件 打 个 补 丁 就 了 事 ， 电 网 控 制 系 统 也 不 可 能 每 周 停 机 几 小 时 来 检 修 ， 它 必 须 一 直 保 持 运 转 。 面 对 这 样 的 现 实 威 胁 ， 当 然 不 能 坐 以 待 毙 ， 最 常 见 的 保 护 策 略 就 是 打 造 电 子 安 全 围 墙 ， 即 保 证 网 络 安 全 的 马 奇 诺 防 线 。 第 一 道 防 线 是 防 火 墙 ， 所 有 电 子 信 息 进 出 系 统 时 必 须 经 过 防 火 墙 。 且 每 条 消 息 都 有 一 个 标 题 ， 说 明 它 来 自 何 方 ， 发 往 哪 里 ， 用 什 么 协 议 来 解 读 信 息 等 。 防 火 墙 根 据 这 些 资 料 来 判 断 应 该 放 行 或 拦 截 。 而 操 作 维 护 人 员 的 责 任 之 一 就 是 掌 握 防 火 墙 配 置 文 件 ， 确 保 防 火 墙 配 置 得 当 ， 防 止 任 何 有 害 信 息 随 意 进 出 ， 并 尝 试 手 动 清 理 病 毒 可 能 突 破 防 火 墙 的 途 径 。 电 力 网 络 系 统 中 的 安 全 防 护 主 要 包 括 两 方 面 ： 一 是 网 络 系 统 中 存 储 和 传 输 的 信 息 数 据 ； 二 是 网 络 系 统 中 的 各 类 设 备 。 这 关 系 到 生 产 、 经 营 业 务 的 正 常 运 行 ， 同 时 防 止 信 息 数 据 被 非 授 权 访 问 者 的 窃 取 、 篡 改 和 破 坏 。 电 力 系 统 网 络 主 要 包 括 各 类 服 务 器 、 路 由 器 及 交 换 机 系 统 。 在 服 务 器 上 有 操 作 系 统 、 数 据 库 系 统 和 其 他 应 用 系 统 。 这 些 系 统 都 或 多 或 少 存 在 " 后 门 " 和 漏 洞 ， 都 是 安 全 隐 患 ， 一 旦 被 利 用 并 攻 击 ， 将 带 来 不 可 估 量 的 损 失 。 比 如 网 络 通 讯 的 T C P / I P 协 议 缺 乏 相 应 的 安 全 机 制 ， 其 中 某 些 协 议 存 在 安 全 漏 洞 ， 黑 客 可 以 利 用 这 些 安 全 漏 洞 直 接 攻 击 这 些 设 备 ， 修 改 配 置 ， 影 响 网 络 的 正 常 运 行 ， 或 使 网 络 中 断 ， 并 以 这 些 设 备 为 跳 板 ， 继 续 攻 击 内 部 网 络 资 源 。 对 各 类 操 作 系 统 和 数 据 库 而 言 ， 存 在 大 量 已 知 和 未 知 的 漏 洞 ， 一 些 国 际 上 的 安 全 组 织 已 经 发 布 了 大 量 的 安 全 漏 洞 ， 其 中 一 些 漏 洞 可 以 导 致 入 侵 者 获 得 管 理 员 的 权 限 ， 而 另 一 些 漏 洞 则 可 以 被 用 来 实 施 拒 绝 服 务 攻 击 。 加 强 安 全 防 护 管 理 加 强 安 全 防 护 管 理 电 力 系 统 在 网 络 信 息 安 全 方 面 应 该 加 强 网 络 信 息 安 全 防 护 管 理 ， 防 护 管 理 主 要 表 现 为 ： （ 1 ） 密 码 管 理 。 对 不 同 级 别 的 机 密 信 息 设 置 不 同 的 密 码 ， 同 时 应 该 避 免 出 现 密 码 相 同 、 密 码 简 单 或 没 有 密 码 的 现 象 。 机 密 信 息 的 密 码 应 该 及 时 更 换 ， 不 能 至 始 至 终 使 用 一 个 密 码 ， 特 别 是 在 相 关 信 息 管 理 人 员 离 职 之 后 ， 及 时 更 换 密 码 。 （ 2 ） 数 据 管 理 。 在 电 力 系 统 信 息 运 行 过 程 中 ， 应 该 对 信 息 的 相 关 数 据 进 行 管 理 ， 主 要 是 保 证 数 据 的 完 整 性 ， 信 息 工 作 人 员 及 时 对 信 息 进 行 备 份 ， 并 且 备 份 信 息 不 能 再 统 一 系 统 中 存 放 ， 应 该 分 开 保 存 ， 避 免 由 于 病 毒 的 侵 害 导 致 信 息 瘫 痪 。 在 电 力 系 统 的 信 息 安 全 管 理 过 程 中 ， 电 力 系 统 管 理 部 门 应 该 建 立 信 息 安 全 体 系 ， 信 息 安 全 体 系 应 该 明 确 信 息 安 全 的 分 工 工 作 ， 细 化 工 作 步 骤 ， 要 求 员 工 在 具 体 的 操 作 过 程 中 严 格 按 照 信 息 安 全 体 系 进 行 相 关 的 工 作 。 同 时 ， 电 力 系 统 应 该 建 立 专 业 的 信 息 安 全 部 门 ， 保 护 网 络 信 息 安 全 ， 只 有 建 立 专 业 的 部 门 才 能 对 网 络 信 息 安 全 进 行 实 时 监 督 ， 及 时 发 现 网 络 信 息 中 的 安 全 问 题 ， 分 析 产 生 问 题 的 原 因 ， 采 取 最 佳 方 式 解 决 问 题 。 电 力 系 统 应 该 对 网 络 信 息 安 全 管 理 人 员 进 行 培 训 ， 进 而 提 高 工 作 人 员 的 安 全 意 识 ， 工 作 人 员 不 仅 要 参 加 培 训 ， 更 要 合 理 利 用 时 间 学 习 电 力 系 统 网 络 信 息 安 全 方 面 的 知 识 ， 为 网 络 信 息 安 全 提 供 保 障 。 建 立 信 息 安 全 体 系 建 立 信 息 安 全 体 系
数 据 传 输 安 全 防 护 数 据 传 输 安 全 防 护 数 据 传 输 安 全 要 求 保 护 网 络 上 被 传 输 的 信 息 ， 以 防 止 被 动 地 和 主 动 地 侵 犯 。 主 要 是 通 过 文 件 加 密 技 术 和 电 子 签 章 两 种 方 式 。 网 络 上 的 加 密 可 以 分 为 三 层 ： 第 一 层 是 数 据 链 路 层 加 密 ， 即 将 数 据 在 线 路 传 输 前 后 分 别 对 其 加 密 和 解 密 ， 这 样 可 以 减 少 在 传 输 线 路 上 被 窃 取 的 危 险 ； 第 二 层 是 对 传 输 层 的 加 密 ， 使 数 据 在 网 络 传 输 期 间 保 持 加 密 状 态 ； 第 三 层 使 应 用 层 上 的 加 密 ， 让 网 络 应 用 程 序 对 数 据 进 行 加 密 和 解 密 。 通 常 采 用 的 方 式 使 对 这 三 层 进 行 综 合 加 密 ， 以 增 强 信 息 的 安 全 性 和 可 靠 性 。 电 子 签 章 是 对 数 据 的 接 受 者 用 来 证 实 数 据 的 发 送 者 确 实 无 误 的 一 种 方 法 ， 他 主 要 通 过 加 密 算 法 和 验 证 协 议 来 实 现 。 运 用 防 火 墙 技 术 运 用 防 火 墙 技 术 电 力 系 统 在 防 护 网 络 信 息 安 全 过 程 中 应 该 利 用 防 火 墙 技 术 ， 保 护 网 络 信 息 安 全 。 防 火 墙 技 术 运 用 的 主 要 作 用 是 拦 截 网 络 病 毒 ， 阻 止 网 络 黑 客 的 入 侵 。 在 电 力 系 统 中 运 用 防 火 墙 技 术 一 定 程 度 上 保 护 了 电 力 系 统 中 的 网 络 信 息 安 全 。 电 力 系 统 可 以 利 用 防 火 墙 技 术 中 的 杀 毒 软 件 ， 及 时 检 查 网 络 信 息 中 存 在 的 病 毒 ， 能 够 发 现 网 络 信 息 安 全 隐 患 。 但 在 杀 毒 软 件 应 用 过 程 中 ， 应 该 注 意 及 时 对 杀 毒 软 件 进 行 更 新 ， 在 更 新 之 前 对 安 全 信 息 进 行 备 份 ， 以 免 由 于 系 统 的 更 新 造 成 信 息 的 丢 失 或 缺 失 。 加 强 访 问 控 制 管 理 加 强 访 问 控 制 管 理 访 问 控 制 识 别 并 验 证 用 户 ， 将 用 户 限 制 在 已 授 权 的 活 动 和 资 源 范 围 内 ， 这 是 访 问 控 制 安 全 机 制 应 该 实 现 的 基 本 功 能 ， 访 问 控 制 安 全 机 制 可 以 在 网 络 入 口 处 对 恶 意 访 问 用 户 进 行 甄 别 和 过 滤 ， 在 极 大 程 度 上 保 证 了 网 络 访 问 用 户 的 可 靠 性 。 访 问 控 制 的 实 现 首 先 是 要 考 虑 对 合 法 用 户 进 行 验 证 ， 然 后 对 控 制 策 略 的 选 用 于 管 理 ， 最 后 要 对 没 有 非 法 用 户 或 者 是 越 权 操 作 进 行 管 理 ， 所 以 ， 访 问 控 制 包 括 认 证 、 控 制 策 略 实 现 和 审 计 三 方 面 的 内 容 。 目 前 主 流 的 控 制 技 术 有 可 以 基 于 角 色 的 访 问 控 制 技 术 （ R o l e - b a s e d   A c c e s s , R B A C ） , 基 于 任 务 的 访 问 控 制 模 型 （ T a s k - b a s e d   A c c e s s   C o n t r o l   M o d e l , T B A C   M o d e l ） ， 基 于 对 象 的 访 问 控 制 模 型 （ O b j e c t - B a s e d   A c c e s s C o n t r o l   M o d e l ） 。 终 端 病 毒 的 防 护 终 端 病 毒 的 防 护 来 自 网 络 威 胁 还 有 很 重 要 的 一 点 是 病 毒 的 危 害 。 病 毒 本 身 就 是 计 算 机 程 序 ， 但 是 它 确 用 来 破 坏 和 干 扰 计 算 机 系 统 或 网 络 的 正 常 使 用 ， 通 过 编 写 所 谓 的 恶 意 代 码 ， 来 控 制 或 者 偷 窥 计 算 机 资 源 或 使 其 整 个 网 络 瘫 痪 。 计 算 机 病 毒 可 谓 是 防 不 胜 防 ， 总 结 了 病 毒 的 传 播 途 径 主 要 是 通 过 以 下 几 种 方 式 1 通 过 光 盘 、 软 盘 传 播 2 通 过 移 动 存 储 介 质 传 播 3 通 过 网 络 传 播 。 所 以 我 们 通 过 安 装 防 病 毒 软 件 s y m a n t e c 并 跟 新 最 新 的 病 毒 库 ， 实 时 监 控 病 毒 ， 一 经 发 现 马 上 处 理 。 / / 运 用 防 护 检 测 技 术 运 用 防 护 检 测 技 术 / / 区 域 隔 离 ： 区 域 隔 离 ： 通 过 工 控 防 火 墙 能 够 过 滤 两 个 区 域 网 络 间 的 通 信 。 这 样 意 味 着 网 络 故 障 会 被 控 制 在 最 初 发 生 的 区 域 内 ， 而 不 会 影 响 到 其 它 部 分 ； 深 度 检 查 深 度 检 查 ： 面 向 应 用 层 对 特 有 的 工 业 通 讯 协 议 进 行 内 容 深 度 检 查 ， 告 别 病 毒 库 升 级 缺 陷 ； 通 信 管 控 通 信 管 控 ： 通 信 规 则 是 可 以 通 过 中 央 管 理 平 台 进 行 在 线 组 态 和 测 试 的 ； 主 机 安 全 防 护 ： 安 装 了 主 机 安 全 防 护 系 统 的 电 脑 在 面 对 自 身 与 外 界 的 安 全 威 胁 有 了 更 深 的 防 护 级 别 ， 深 度 执 行 白 名 单 数 据 库 的 数 据 运 行 ； 数 据 及 日 志 审 计 ： 数 据 及 日 志 审 计 ： 完 善 的 安 全 审 计 平 台 ， 对 网 络 运 行 日 志 、 操 作 系 统 运 行 日 志 、 安 全 设 施 运 行 日 志 等 进 行 集 中 收 集 、 自 动 分 析 ， 及 时 发 现 各 种 违 规 行 为 以 及 病 毒 和 黑 客 的 攻 击 行 为 ； 实 时 报 警 ： 实 时 报 警 ： 所 有 部 署 的 防 火 墙 都 能 由 管 理 平 台 统 一 进 行 实 时 监 控 ， 任 何 非 法 的 （ 没 有 被 组 态 允 许 的 ） 访 问 ， 都 会 在 管 理 平 台 产 生 实 时 报 警 信 息 ， 从 而 故 障 问 题 会 在 原 始 发 生 区 域 被 迅 速 的 发 现 和 解 决 。   电 力 行 业 在 安 全 方 面 是 考 虑 地 比 较 早 的 ， 形 成 了 “ 安 全 分 区 、 网 络 专 用 、 横 向 隔 离 、 纵 向 认 证 ” 的 总 体 原 则
  《 电 力 二 次 系 统 安 全 防 护 总 体 方 案 》 《 电 力 二 次 系 统 安 全 防 护 总 体 方 案 》 《 电 力 二 次 系 统 安 全 防 护 总 体 方 案 》 将 电 厂 的 网 络 拓 扑 绘 制 如 下 ： 原 则 上 划 分 为 生 产 控 制 大 区 和 管 理 信 息 大 区 。 生 产 控 制 大 区 可 以 分 为 控 制 区 （ 又 称 安 全 区 Ⅰ ） 和 非 控 制 区 （ 又 称 安 全 区 Ⅱ ） 。   生 产 控 制 大 区 的 安 全 区 划 分 生 产 控 制 大 区 的 安 全 区 划 分 （ 1 ） 控 制 区 （ 安 全 区 Ⅰ ） 控 制 区 中 的 业 务 系 统 或 功 能 模 块 （ 或 子 系 统 ） 的 典 型 特 征 为 ； 是 电 力 生 产 的 重 要 环 节 ， 直 接 实 现 对 电 力 一 次 系 统 的 实 时 监 控 ， 纵 向 使 用 电 力 调 度 数 据 网 络 或 专 用 通 道 ， 是 安 全 防 护 的 重 点 与 核 心 。 典 型 业 务 系 统 包 括 电 力 数 据 采 集 和 监 控 系 统 、 能 量 管 理 系 统 、 广 域 相 量 测 量 系 统 、 配 电 网 自 动 化 系 统 、 变 电 站 自 动 化 系 统 、 发 电 厂 自 动 控 制 系 统 等 ， 其 主 要 使 用 者 为 调 度 员 和 运 行 操 作 人 员 ， 数 据 传 输 实 时 性 为 毫 秒 级 或 秒 级 ， 其 数 据 通 信 使 用 电 力 调 度 数 据 网 的 实 时 子 网 或 专 用 通 道 进 行 传 输 。 该 区 内 还 包 括 采 用 专 用 通 道 的 控 制 系 统 ， 如 ： 继 电 保 护 、 安 全 自 动 控 制 系 统 、 低 频 （ 或 低 压 ） 自 动 减 负 荷 系 统 、 负 荷 管 理 系 统 等 ， 这 类 系 统 对 数 据 传 输 的 实 时 性 要 求 为 毫 秒 级 或 秒 级 ， 其 中 负 荷 管 理 系 统 为 分 钟 级 。 （ 2 ） 非 控 制 区 （ 安 全 区 Ⅱ ） 非 控 制 区 中 的 业 务 系 统 或 其 功 能 模 块 的 典 型 特 征 为 ： 是 电 力 生 产 的 必 要 环 节 ， 在 线 运 行 但 不 具 备 控 制 功 能 ， 使 用 电 力 调 度 数 据 网 络 ， 与 控 制 区 中 的 业 务 系 统 或 功 能 模 块 联 系 紧 密 。 典 型 业 务 系 统 包 括 调 度 员 培 训 模 拟 系 统 、 水 库 调 度 自 动 化 系 统 、 继 电 保 护 及 故 障 录 波 信 息 管 理 系 统 、 电 能 量 计 量 系 统 、 电 力 市 场 运 营 系 统 等 ， 其 主 要 使 用 者 分 别 为 电 力 调 度 员 、 水 电 调 度 员 、 继 电 保 护 人 员 及 电 力 市 场 交 易 员 等 。 在 厂 站 端 还 包 括 电 能 量 远 方 终 端 、 故 障 录 波 装 置 及 发 电 厂 的 报 价 系 统 等 。 非 控 制 区 的 数 据 采 集 频 度 是 分 钟 级 或 小 时 级 ， 其 数 据 通 信 使 用 电 力 调 度 数 据 网 的 非 实 时 子 网 。   管 理 信 息 大 区 的 安 全 区 划 分 管 理 信 息 大 区 的 安 全 区 划 分 管 理 信 息 大 区 是 指 生 产 控 制 大 区 以 外 的 电 力 企 业 管 理 业 务 系 统 的 集 合 。 电 力 企 业 可 根 据 具 体 情 况 划 分 安 全 区 ， 但 不 应 影 响 生 产 控 制 大 区 的 安 全 。 根 据 《 电 力 二 次 系 统 安 全 防 护 总 体 方 案 》 对 各 大 区 的 防 护 要 求 ： 生 产 控 制 大 区 内 部 安 全 防 护 要 求 生 产 控 制 大 区 内 部 安 全 防 护 要 求 （ 1 ） 禁 止 生 产 控 制 大 区 内 部 的 E - M a i l   服 务 ， 禁 止 控 制 区 内 通 用 的 W E B   服 务 。 （ 2 ） 允 许 非 控 制 区 内 部 业 务 系 统 采 用 B / S   结 构 ， 但 仅 限 于 业 务 系 统 内 部 使 用 。 允 许 提 供 纵 向 安 全 W E B   服 务 ， 可 以 采 用 经 过 安 全 加 固 且 支 持 H T T P S   的 安 全 W E B   服 务 器 和 W E B   浏 览 工 作 站 。 （ 3 ） 生 产 控 制 大 区 重 要 业 务 （ 如 S C A D A / A G C 、 电 力 市 场 交 易 等 ） 的 远 程 通 信 必 须 采 用 加 密 认 证 机 制 ， 对 已 有 系 统 应 逐 步 改 造 。 （ 4 ） 生 产 控 制 大 区 内 的 业 务 系 统 间 应 该 采 取 V L A N   和 访 问 控 制 等 安 全 措 施 ， 限 制 系 统 间 的 直 接 互 通 。 （ 5 ） 生 产 控 制 大 区 的 拨 号 访 问 服 务 ， 服 务 器 和 用 户 端 均 应 使 用 经 国 家 指 定 部 门 认 证 的 安 全 加 固 的 操 作 系 统 ， 并 采 取 加 密 、 认 证 和 访 问 控 制 等 安 全 防 护 措 施 。
（ 6 ） 生 产 控 制 大 区 边 界 上 可 以 部 署 入 侵 检 测 系 统 I D S 。 （ 7 ） 生 产 控 制 大 区 应 部 署 安 全 审 计 措 施 ， 把 安 全 审 计 与 安 全 区 网 络 管 理 系 统 、 综 合 告 警 系 统 、 I D S   管 理 系 统 、 敏 感 业 务 服 务 器 登 录 认 证 和 授 权 、 应 用 访 问 权 限 相 结 合 。 （ 8 ） 生 产 控 制 大 区 应 该 统 一 部 署 恶 意 代 码 防 护 系 统 ， 采 取 防 范 恶 意 代 码 措 施 。 病 毒 库 、 木 马 库 以 及 I D S   规 则 库 的 更 新 应 该 离 线 进 行 。 电 力 调 度 数 据 网 应 当 采 用 以 下 安 全 防 护 措 施 电 力 调 度 数 据 网 应 当 采 用 以 下 安 全 防 护 措 施 （ 1 ） 网 络 路 由 防 护 按 照 电 力 调 度 管 理 体 系 及 数 据 网 络 技 术 规 范 ， 采 用 虚 拟 专 网 技 术 ， 将 电 力 调 度 数 据 网 分 割 为 逻 辑 上 相 对 独 立 的 实 时 子 网 和 非 实 时 子 网 ， 分 别 对 应 控 制 业 务 和 非 控 制 生 产 业 务 ， 保 证 实 时 业 务 的 封 闭 性 和 高 等 级 的 网 络 服 务 质 量 。 （ 2 ） 网 络 边 界 防 护 应 当 采 用 严 格 的 接 入 控 制 措 施 ， 保 证 业 务 系 统 接 入 的 可 信 性 。 经 过 授 权 的 节 点 允 许 接 入 电 力 调 度 数 据 网 ， 进 行 广 域 网 通 信 。 数 据 网 络 与 业 务 系 统 边 界 采 用 必 要 的 访 问 控 制 措 施 ， 对 通 信 方 式 与 通 信 业 务 类 型 进 行 控 制 ； 在 生 产 控 制 大 区 与 电 力 调 度 数 据 网 的 纵 向 交 接 处 应 当 采 取 相 应 的 安 全 隔 离 、 加 密 、 认 证 等 防 护 措 施 。 对 于 实 时 控 制 等 重 要 业 务 ， 应 该 通 过 纵 向 加 密 认 证 装 置 或 加 密 认 证 网 关 接 入 调 度 数 据 网 。 （ 3 ） 网 络 设 备 的 安 全 配 置 网 络 设 备 的 安 全 配 置 包 括 关 闭 或 限 定 网 络 服 务 、 避 免 使 用 默 认 路 由 、 关 闭 网 络 边 界 O S P F   路 由 功 能 、 采 用 安 全 增 强 的 S N M P v 2 及 以 上 版 本 的 网 管 协 议 、 设 置 受 信 任 的 网 络 地 址 范 围 、 记 录 设 备 日 志 、 设 置 高 强 度 的 密 码 、 开 启 访 问 控 制 列 表 、 封 闭 空 闲 的 网 络 端 口 等 。 （ 4 ） 数 据 网 络 安 全 的 分 层 分 区 设 置 电 力 调 度 数 据 网 采 用 安 全 分 层 分 区 设 置 的 原 则 。 省 级 以 上 调 度 中 心 和 网 调 以 上 直 调 厂 站 节 点 构 成 调 度 数 据 网 骨 干 网 （ 简 称 骨 干 网 ） 。 省 调 、 地 调 和 县 调 及 省 、 地 直 调 厂 站 节 点 构 成 省 级 调 度 数 据 网 （ 简 称 省 网 ） 。 县 调 和 配 网 内 部 生 产 控 制 大 区 专 用 节 点 构 成 县 级 专 用 数 据 网 。 县 调 自 动 化 、 配 网 自 动 化 、 负 荷 管 理 系 统 与 被 控 对 象 之 间 的 数 据 通 信 可 采 用 专 用 数 据 网 络 ， 不 具 备 专 网 条 件 的 也 可 采 用 公 用 通 信 网 络 （ 不 包 括 因 特 网 ） ， 且 必 须 采 取 安 全 防 护 措 施 。 各 层 面 的 数 据 网 络 之 间 应 该 通 过 路 由 限 制 措 施 进 行 安 全 隔 离 。 当 县 调 或 配 调 内 部 采 用 公 用 通 信 网 时 ， 禁 止 与 调 度 数 据 网 互 联 。 保 证 网 络 故 障 和 安 全 事 件 限 制 在 局 部 区 域 之 内 。 企 业 内 部 管 理 信 息 大 区 纵 向 互 联 采 用 电 力 企 业 数 据 网 或 互 联 网 ， 电 力 企 业 数 据 网 为 电 力 企 业 内 网 。 横 向 隔 离 横 向 隔 离 横 向 隔 离 是 电 力 二 次 安 全 防 护 体 系 的 横 向 防 线 。 采 用 不 同 强 度 的 安 全 设 备 隔 离 各 安 全 区 ， 在 生 产 控 制 大 区 与 管 理 信 息 大 区 之 间 必 须 设 置 经 国 家 指 定 部 门 检 测 认 证 的 电 力 专 用 横 向 单 向 安 全 隔 离 装 置 ， 隔 离 强 度 应 接 近 或 达 到 物 理 隔 离 。 电 力 专 用 横 向 单 向 安 全 隔 离 装 置 作 为 生 产 控 制 大 区 与 管 理 信 息 大 区 之 间 的 必 备 边 界 防 护 措 施 ， 是 横 向 防 护 的 关 键 设 备 。 生 产 控 制 大 区 内 部 的 安 全 区 之 间 应 当 采 用 具 有 访 问 控 制 功 能 的 网 络 设 备 、 防 火 墙 或 者 相 当 功 能 的 设 施 ， 实 现 逻 辑 隔 离 。 按 照 数 据 通 信 方 向 电 力 专 用 横 向 单 向 安 全 隔 离 装 置 分 为 正 向 型 和 反 向 型 。 正 向 安 全 隔 离 装 置 用 于 生 产 控 制 大 区 到 管 理 信 息 大 区 的 非 网 络 方 式 的 单 向 数 据 传 输 。 反 向 安 全 隔 离 装 置 用 于 从 管 理 信 息 大 区 到 生 产 控 制 大 区 单 向 数 据 传 输 ， 是 管 理 信 息 大 区 到 生 产 控 制 大 区 的 唯 一 数 据 传 输 途 径 。 反 向 安 全 隔 离 装 置 集 中 接 收 管 理 信 息 大 区 发 向 生 产 控 制 大 区 的 数 据 ， 进 行 签 名 验 证 、 内 容 过 滤 、 有 效 性 检 查 等 处 理 后 ， 转 发 给 生 产 控 制 大 区 内 部 的 接 收 程 序 。 专 用 横 向 单 向 隔 离 装 置 应 该 满 足 实 时 性 、 可 靠 性 和 传 输 流 量 等 方 面 的 要 求 。 严 格 禁 止 E - M a i l 、 W E B 、 T e l n e t 、 R l o g i n 、 F T P   等 安 全 风 险 高 的 通 用 网 络 服 务 和 以 B / S   或 C / S   方 式 的 数 据 库 访 问 穿 越 专 用 横 向 单 向 安 全 隔 离 装 置 ， 仅 允 许 纯 数 据 的 单 向 安 全 传 输 。 控 制 区 与 非 控 制 区 之 间 应 采 用 国 产 硬 件 防 火 墙 、 具 有 访 问 控 制 功 能 的 设 备 或 相 当 功 能 的 设 施 进 行 逻 辑 隔 离 。 纵 向 认 证 纵 向 认 证 纵 向 加 密 认 证 是 电 力 二 次 系 统 安 全 防 护 体 系 的 纵 向 防 线 。 采 用 认 证 、 加 密 、 访 问 控 制 等 技 术 措 施 实 现 数 据 的 远 方 安 全 传 输 以 及 纵 向 边 界 的 安 全 防 护 。 对 于 重 点 防 护 的 调 度 中 心 、 发 电 厂 、 变 电 站 在 生 产 控 制 大 区 与 广 域 网 的 纵 向 连 接 处 应 当 设 置 经 过 国 家 指 定 部 门 检 测 认 证 的 电 力 专 用 纵 向 加 密 认 证 装 置 或 者 加 密 认 证 网 关 及 相 应 设 施 ， 实 现 双 向 身 份 认 证 、 数 据 加 密 和 访 问 控 制 。 暂 时 不 具 备 条 件 的 可 以 采 用 硬 件 防 火 墙 或 网 络 设 备 的 访 问 控 制 技 术 临 时 代 替 。 纵 向 加 密 认 证 装 置 及 加 密 认 证 网 关 用 于 生 产 控 制 大 区 的 广 域 网 边 界 防 护 。 纵 向 加 密 认 证 装 置 为 广 域 网 通 信 提 供 认 证 与 加 密 功 能 ， 实 现 数 据 传 输 的 机 密 性 、 完 整 性 保 护 ， 同 时 具 有 类 似 防 火 墙 的 安 全 过 滤 功 能 。 加 密 认 证 网 关 除 具 有 加 密 认 证 装 置 的 全 部 功 能 外 ， 还 应 实 现 对 电 力 系 统 数 据 通 信 应 用 层 协 议 及 报 文 的 处 理 功 能 。 对 处 于 外 部 网 络 边 界 的 其 他 通 信 网 关 ， 应 进 行 操 作 系 统 的 安 全 加 固 ， 对 于 新 上 的 系 统 应 支 持 加 密 认 证 的 功 能 。 重 点 防 护 的 调 度 中 心 和 重 要 厂 站 两 侧 均 应 配 置 纵 向 加 密 认 证 装 置 ； 当 调 度 中 心 侧 已 配 置 纵 向 加 密 认 证 装 置 时 ， 与 其 相 连 的 小 型 厂 站 侧 可 以 不 配 备 该 装 置 ， 此 时 至 少 实 现 安 全 过 滤 功 能 。 传 统 的 基 于 专 用 通 道 的 数 据 通 信 不 涉 及 网 络 安 全 问 题 ， 新 建 系 统 可 逐 步 采 用 加 密 等 技 术 保 护 关 键 厂 站 及 关 键 业 务 。  
通 过 采 用 一 整 套 的 工 控 系 统 信 息 安 全 解 决 方 案 ， 以 建 立 纵 深 防 御 策 略 为 主 要 思 想 ， 确 保 通 讯 网 络 中 即 使 某 一 点 发 生 网 络 安 全 事 故 ， 系 统 也 能 正 常 运 行 ， 同 时 ， 工 厂 操 作 人 员 能 够 很 迅 速 的 找 到 问 题 并 进 行 处 理 ， 在 保 证 建 立 立 体 化 防 护 的 同 时 ， 使 水 电 厂 符 合 安 全 要 求 。 综 上 ， 针 对 电 力 等 基 础 设 施 和 工 业 系 统 ， 在 落 实 能 力 导 向 建 设 模 式 构 建 动 态 综 合 防 御 体 系 的 工 作 中 ， 必 须 以 保 障 业 务 运 行 的 连 续 性 和 可 靠 性 要 求 为 基 本 前 提 ， 这 就 对 基 础 结 构 安 全 能 力 、 纵 深 防 御 层 面 安 全 能 力 的 规 划 、 建 设 和 安 全 运 行 提 出 了 更 高 的 要 求 ， 对 于 现 网 系 统 ， 针 对 各 种 等 可 能 对 业 务 连 续 性 产 生 潜 在 影 响 的 安 全 动 作 ， 需 要 极 为 慎 重 ， 综 合 采 用 合 理 规 划 、 分 区 分 域 、 收 窄 暴 露 面 等 方 式 ， 有 效 布 防 ， 并 通 过 完 备 的 应 急 响 应 预 案 制 定 、 演 训 式 威 胁 评 估 等 相 关 措 施 ， 最 大 限 度 避 免 或 减 少 对 业 务 系 统 可 能 产 生 的 影 响 ， 确 保 系 统 业 务 的 弹 性 恢 复 能 力 。 参 考 文 献 ： h t t p : / / w w w . f x 3 6 1 . c o m / p a g e / 2 0 1 8 / 0 8 0 7 / 3 9 8 4 3 9 1 . s h t m l h t t p : / / m . s o h u . c o m / a / 3 0 2 6 4 5 5 6 7 _ 1 2 0 0 2 0 2 4 3 h t t p s : / / w e n k u . b a i d u . c o m / v i e w / 0 6 f 0 0 7 d c e d 3 a 8 7 c 2 4 0 2 8 9 1 5 f 8 0 4 d 2 b 1 6 0 a 4 e 8 6 0 6 . h t m l h t t p s : / / w e n k u . b a i d u . c o m / v i e w / 8 a e c 3 5 1 f a e 1 f f c 4 f f e 4 7 3 3 6 8 7 e 2 1 a f 4 5 b 2 0 7 f e 1 9 . h t m l     h t t p s : / / w e n k u . b a i d u . c o m / v i e w / 0 5 a 2 5 7 8 6 5 9 e e f 8 c 7 5 e b f b 3 5 9 . h t m l 《 电 力 行 业 网 络 与 信 息 安 全 管 理 办 法 》 《 电 力 二 次 系 统 安 全 防 护 总 体 方 案 》 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 性 文 章 在 等 你 ！ 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 性 文 章 在 等 你 ！ ↙ ↙ ↙   点 击   ” 阅 读 原 文 “   与 作 者 展 开 话 题 探 讨 , 直 面 交 流 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理