電力二次系統(tǒng)安全防護(hù)知識(shí)介紹主要內(nèi)容電力二次系統(tǒng)安全防護(hù)知識(shí)背景電力二次系統(tǒng)安全防護(hù)的基本原則安全防護(hù)技術(shù)和裝置發(fā)電廠二次系統(tǒng)安全防護(hù)方案電力二次系統(tǒng)安全防護(hù)知識(shí)背景

主要法規(guī)和文件2002年5月，國(guó)家經(jīng)貿(mào)委發(fā)布30號(hào)令《電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)定》。2004年12月，電監(jiān)會(huì)下發(fā)第5號(hào)令《電力二次系統(tǒng)安全防護(hù)規(guī)定》。2006年，電監(jiān)會(huì)下發(fā)第34號(hào)文關(guān)于印發(fā)《電力二次系統(tǒng)安全防護(hù)方案》等安全防護(hù)方案的通知。電力二次系統(tǒng)安全防護(hù)知識(shí)背景

目標(biāo)和重點(diǎn)電力二次系統(tǒng)安全防護(hù)的重點(diǎn)是確保電力實(shí)時(shí)閉環(huán)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全。目標(biāo)是抵御黑客、病毒、惡意代碼等通過(guò)各種形式對(duì)系統(tǒng)發(fā)起的惡意破壞和攻擊，特別是能夠抵御集團(tuán)式攻擊，防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故，及二次系統(tǒng)的崩潰或癱瘓。電力二次系統(tǒng)安全防護(hù)知識(shí)背景

電力二次系統(tǒng)安全防護(hù)總體策略安全分區(qū)：根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對(duì)一次系統(tǒng)的影響程度進(jìn)行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的安全區(qū)內(nèi)；對(duì)實(shí)時(shí)控制系統(tǒng)等關(guān)鍵業(yè)務(wù)采用認(rèn)證、加密等技術(shù)實(shí)施重點(diǎn)保護(hù)。網(wǎng)絡(luò)專用：建立調(diào)度專用數(shù)據(jù)網(wǎng)絡(luò)，實(shí)現(xiàn)與其它數(shù)據(jù)網(wǎng)絡(luò)物理隔離。并以技術(shù)手段在專網(wǎng)上形成多個(gè)相互邏輯隔離的子網(wǎng)，以保障上下級(jí)各安全區(qū)的縱向互聯(lián)僅在相同安全區(qū)進(jìn)行，避免安全區(qū)縱向交叉。橫向隔離：采用不同強(qiáng)度的安全隔離設(shè)備使各安全區(qū)中的業(yè)務(wù)系統(tǒng)得到有效保護(hù)，關(guān)鍵是將實(shí)時(shí)監(jiān)控系統(tǒng)與辦公自動(dòng)化系統(tǒng)等實(shí)行有效安全隔離，隔離強(qiáng)度應(yīng)接近或達(dá)到物理隔離?？v向認(rèn)證：采用認(rèn)證、加密、訪問(wèn)控制等手段實(shí)現(xiàn)數(shù)據(jù)的遠(yuǎn)方安全傳輸以及縱向邊界的安全防護(hù)。電力二次系統(tǒng)安全防護(hù)知識(shí)背景

安全分級(jí)負(fù)責(zé)制國(guó)家電力監(jiān)管委員會(huì)負(fù)責(zé)電力二次系統(tǒng)安全防護(hù)的監(jiān)管，組織制定電力二次系統(tǒng)安全防護(hù)技術(shù)規(guī)范并監(jiān)督實(shí)施。電力企業(yè)應(yīng)當(dāng)按照“誰(shuí)主管誰(shuí)負(fù)責(zé)，誰(shuí)運(yùn)營(yíng)誰(shuí)負(fù)責(zé)，誰(shuí)使用誰(shuí)負(fù)責(zé)”和屬地化管理的原則，認(rèn)真履行網(wǎng)絡(luò)信息安全職責(zé)。將電力二次系統(tǒng)安全防護(hù)及其信息報(bào)送納入日常安全生產(chǎn)管理體系，各電力企業(yè)負(fù)責(zé)所轄范圍內(nèi)計(jì)算機(jī)及數(shù)據(jù)網(wǎng)絡(luò)的安全管理。各相關(guān)單位應(yīng)設(shè)置電力監(jiān)控系統(tǒng)和調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全防護(hù)小組或?qū)Ｂ毴藛T。電力二次系統(tǒng)安全防護(hù)知識(shí)背景

安全分級(jí)負(fù)責(zé)制電力調(diào)度機(jī)構(gòu)負(fù)責(zé)直接調(diào)度范圍內(nèi)的下一級(jí)電力調(diào)度機(jī)構(gòu)和變電站的二次系統(tǒng)安全防護(hù)的技術(shù)監(jiān)督。發(fā)電廠內(nèi)涉及到電力調(diào)度的生產(chǎn)控制系統(tǒng)和裝置，如發(fā)電廠的輸變電二次系統(tǒng)、自動(dòng)發(fā)電控制功能、無(wú)功電壓控制功能、電廠報(bào)價(jià)終端、電能量采集裝置、故障錄波裝置、繼電保護(hù)裝置和安全自動(dòng)裝置等，由電力調(diào)度機(jī)構(gòu)和發(fā)電廠的上級(jí)主管單位共同實(shí)施技術(shù)監(jiān)督，發(fā)電廠內(nèi)其它二次系統(tǒng)安全防護(hù)可由其上級(jí)主管單位實(shí)施技術(shù)監(jiān)督。電力二次系統(tǒng)安全防護(hù)的基本原則

電力二次系統(tǒng)的安全區(qū)劃分生產(chǎn)控制大區(qū)控制區(qū)（安全區(qū)Ⅰ）非控制區(qū)（安全區(qū)Ⅱ）管理信息大區(qū)生產(chǎn)管理區(qū)（安全區(qū)Ⅲ）管理信息區(qū)（安全區(qū)Ⅳ）電力二次系統(tǒng)安全防護(hù)的基本原則

控制安全區(qū)的典型業(yè)務(wù)系統(tǒng)能量管理系統(tǒng)（SCADA、AGC、AVC）廣域相量測(cè)量系統(tǒng)配電網(wǎng)自動(dòng)化系統(tǒng)變電站自動(dòng)化系統(tǒng)發(fā)電廠自動(dòng)監(jiān)控系統(tǒng)繼電保護(hù)系統(tǒng)安全自動(dòng)控制系統(tǒng)低頻（低壓）自動(dòng)減負(fù)荷系統(tǒng)電力二次系統(tǒng)安全防護(hù)的基本原則

管理信息大區(qū)的安全區(qū)劃分可根據(jù)具體情況劃分安全區(qū)，但不應(yīng)影響生產(chǎn)控制大區(qū)的安全。安全區(qū)Ⅲ：通過(guò)電力企業(yè)數(shù)據(jù)網(wǎng)絡(luò)進(jìn)行遠(yuǎn)方通信的生產(chǎn)管理系統(tǒng)（包括電力監(jiān)管信息系統(tǒng)、雷電監(jiān)測(cè)系統(tǒng)、氣象信息、DMIS等）。安全區(qū)Ⅳ：與因特網(wǎng)互聯(lián)并允許對(duì)其進(jìn)行訪問(wèn)的管理信息系統(tǒng)和企業(yè)辦公區(qū)域（包括營(yíng)銷系統(tǒng)、OA、MIS等）電力二次系統(tǒng)安全防護(hù)的基本原則

生產(chǎn)控制大區(qū)內(nèi)部的安全防護(hù)禁止生產(chǎn)控制大區(qū)內(nèi)部的E-Mail服務(wù),禁止控制區(qū)內(nèi)通用的WEB服務(wù)允許非控制區(qū)內(nèi)部業(yè)務(wù)系統(tǒng)采用B/S結(jié)構(gòu),但僅限于業(yè)務(wù)系統(tǒng)內(nèi)部使用。允許提供縱向安全WEB服務(wù)，可以采用經(jīng)過(guò)安全加固且支持HTTPS的安全WEB服務(wù)器和WEB瀏覽工作站。生產(chǎn)控制大區(qū)重要業(yè)務(wù)（如SCADA/AGC）、電力市場(chǎng)交易等）的遠(yuǎn)程通信必須采用加密認(rèn)證機(jī)制，對(duì)已有系統(tǒng)逐步改造。電力二次系統(tǒng)安全防護(hù)的基本原則

生產(chǎn)控制大區(qū)內(nèi)部的安全防護(hù)生產(chǎn)控制大區(qū)內(nèi)的業(yè)務(wù)系統(tǒng)間應(yīng)該采取VLAN和訪問(wèn)控制等安全措施，限制系統(tǒng)間的直接互通。生產(chǎn)控制大區(qū)的撥號(hào)訪問(wèn)服務(wù)，服務(wù)器和用戶端均應(yīng)使用經(jīng)國(guó)家指定部門認(rèn)證的。安全加固的操作系統(tǒng)，并采取加密、認(rèn)證和訪問(wèn)控制等安全措施。生產(chǎn)控制大區(qū)邊界上可以部署入侵檢測(cè)系統(tǒng)。電力二次系統(tǒng)安全防護(hù)的基本原則

生產(chǎn)控制大區(qū)內(nèi)部的安全防護(hù)生產(chǎn)控制大區(qū)應(yīng)部署安全審計(jì)措施，把安全審計(jì)與安全區(qū)網(wǎng)絡(luò)管理系統(tǒng)、綜合告警系統(tǒng)、IDS管理系統(tǒng)、敏感業(yè)務(wù)服務(wù)器登錄認(rèn)證和授權(quán)、應(yīng)用訪問(wèn)權(quán)限相結(jié)合。生產(chǎn)控制大區(qū)應(yīng)該統(tǒng)一部署惡意代碼防護(hù)系統(tǒng)，采取防范惡意代碼措施。病毒庫(kù)、木馬庫(kù)以及IDS規(guī)則庫(kù)的更新應(yīng)該離線進(jìn)行。電力二次系統(tǒng)安全防護(hù)的基本原則

管理信息大區(qū)的安全要求應(yīng)當(dāng)統(tǒng)一部署防火墻、IDS、惡意代碼防護(hù)系統(tǒng)等通用安全防護(hù)設(shè)施。安全防護(hù)技術(shù)和裝置

橫向隔離技術(shù)橫向隔離技術(shù)是電力二次系統(tǒng)安全防護(hù)體系的橫向防線，是二次系統(tǒng)安全防護(hù)體系的重要技術(shù)措施。生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須設(shè)置經(jīng)國(guó)家指定部門檢測(cè)認(rèn)證的電力專用橫向單向安全隔離裝置，隔離強(qiáng)度接近或達(dá)到物理隔離。安全區(qū)Ⅰ與安全區(qū)Ⅱ之間應(yīng)采用國(guó)產(chǎn)硬件防火墻、具有訪問(wèn)控制功能的設(shè)備或相當(dāng)功能的設(shè)施進(jìn)行邏輯隔離。安全區(qū)Ⅲ與安全區(qū)Ⅳ之間應(yīng)采用具有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備（如防火墻）實(shí)現(xiàn)邏輯隔離。安全防護(hù)技術(shù)和裝置

正向隔離裝置基本功能非網(wǎng)絡(luò)數(shù)據(jù)交換，內(nèi)外兩個(gè)處理系統(tǒng)不同時(shí)連通。數(shù)據(jù)完全單向傳輸。透明工作模式，虛擬主機(jī)IP地址、隱藏MAC地址。基于MAC/IP/Port/協(xié)議的綜合報(bào)文過(guò)濾與訪問(wèn)控制，支持NAT。割斷穿透性TCP連接。應(yīng)用層解析功能，支持標(biāo)記識(shí)別。安全方便的維護(hù)管理，支持?jǐn)?shù)字證書的管理員認(rèn)證。安全防護(hù)技術(shù)和裝置

正、反向隔離裝置的部署安全防護(hù)技術(shù)和裝置

加密認(rèn)證技術(shù)加密認(rèn)證技術(shù)是電力調(diào)度數(shù)據(jù)網(wǎng)安全防護(hù)體系的重要技術(shù)支撐手段。在各級(jí)調(diào)度中心（網(wǎng)省、地縣與廠站）的控制區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的邊界應(yīng)部署電力專用縱向加密認(rèn)證裝置或加密認(rèn)證網(wǎng)關(guān)。采用電力專用密碼與認(rèn)證技術(shù)，保證上下級(jí)調(diào)度中心與廠站縱向數(shù)據(jù)通信機(jī)密性和完整性。安全防護(hù)技術(shù)和裝置

電力調(diào)度數(shù)字證書電力調(diào)度數(shù)字證書系統(tǒng)是電力二次系統(tǒng)安全防護(hù)的基礎(chǔ)安全設(shè)施?；诠€技術(shù)的分布式數(shù)字證書系統(tǒng)，為生產(chǎn)控制大區(qū)的關(guān)鍵應(yīng)用、關(guān)鍵用戶和關(guān)鍵設(shè)備提供數(shù)字證書服務(wù)。電力專用密碼與認(rèn)證技術(shù)，保證上下級(jí)調(diào)度中心與廠站縱向數(shù)據(jù)通信機(jī)密性和完整性。安全防護(hù)技術(shù)和裝置

安全拔號(hào)認(rèn)證技術(shù)安全拔號(hào)認(rèn)證技術(shù)是電力二次系統(tǒng)安全遠(yuǎn)程接入訪問(wèn)的重要防護(hù)手段。在各級(jí)調(diào)度中心（網(wǎng)省、地縣與廠站）的拔號(hào)應(yīng)用場(chǎng)合應(yīng)部署安全拔號(hào)認(rèn)證裝置對(duì)來(lái)自用電話網(wǎng)的接入用戶進(jìn)行安全認(rèn)證和數(shù)據(jù)加密傳輸。安全防護(hù)技術(shù)和裝置

安全拔號(hào)認(rèn)證裝置功能客戶端安全檢查。采用安全操作系統(tǒng)，并結(jié)合數(shù)字證書進(jìn)行登錄認(rèn)證。線路加密。對(duì)撥號(hào)線路的數(shù)據(jù)采用高強(qiáng)度加密算法進(jìn)行保護(hù)。訪問(wèn)控制。對(duì)遠(yuǎn)程撥號(hào)用戶進(jìn)行基于地址、端口、時(shí)間、協(xié)議等綜合過(guò)濾。支持對(duì)關(guān)鍵訪問(wèn)資源的讀、寫、執(zhí)行權(quán)限進(jìn)行細(xì)粒度的控制。日志審計(jì)。記錄遠(yuǎn)程撥號(hào)用戶所有的登錄行為，支持Syslog日志輸出。發(fā)電廠二次系統(tǒng)安全防護(hù)方案

總體方案發(fā)電廠二次系統(tǒng)安全防護(hù)方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案縱向互聯(lián)的主要設(shè)備包括各業(yè)務(wù)系統(tǒng)通信子站或終端、縱向業(yè)務(wù)匯聚交換機(jī)、縱向互聯(lián)硬件防火墻、縱向加密認(rèn)證裝置以及調(diào)度數(shù)據(jù)網(wǎng)路由器和交換機(jī)設(shè)備，各設(shè)備均采用冗余備用結(jié)構(gòu)；縱向業(yè)務(wù)匯聚交換機(jī)直接使用調(diào)度數(shù)據(jù)網(wǎng)的接入交換機(jī)。通過(guò)采用邏輯隔離技術(shù)，將縱向業(yè)務(wù)匯聚交換機(jī)劃分成邏輯上相互獨(dú)立的控制區(qū)和非控制區(qū)，分別用于控制區(qū)和非控制區(qū)內(nèi)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)匯集接入、接入系統(tǒng)之間的訪問(wèn)控制和縱向互聯(lián)；發(fā)電廠二次系統(tǒng)安全防護(hù)方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案為實(shí)現(xiàn)控制區(qū)有關(guān)業(yè)務(wù)系統(tǒng)可同時(shí)使用實(shí)時(shí)VPN和非實(shí)時(shí)VPN進(jìn)行信息傳輸，配置另外2臺(tái)縱向互聯(lián)硬件防火墻2，布置在業(yè)務(wù)系統(tǒng)通信服務(wù)器與縱向業(yè)務(wù)匯聚交換機(jī)之間；配置2臺(tái)縱向加密認(rèn)證裝置，布置在縱向業(yè)務(wù)匯聚交換機(jī)的控制區(qū)和調(diào)度數(shù)據(jù)網(wǎng)路由器之間，用于本地控制區(qū)與遠(yuǎn)端控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的身份認(rèn)證、訪問(wèn)控制和傳輸數(shù)據(jù)的加密與解密，保證系統(tǒng)鏈接的合法性和數(shù)據(jù)傳輸?shù)臋C(jī)密性及完整性；發(fā)電廠二次系統(tǒng)安全防護(hù)方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案配置2臺(tái)縱向互聯(lián)硬件防火墻1，布置在縱向業(yè)務(wù)匯聚交換機(jī)的非控制區(qū)和調(diào)度數(shù)據(jù)網(wǎng)路由器之間，用于本地非控制區(qū)與遠(yuǎn)端非控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的訪問(wèn)控制；要求有關(guān)業(yè)務(wù)系統(tǒng)通信子站如保信子站或PMU子站均新增一塊網(wǎng)卡，通過(guò)縱向互聯(lián)防火墻2接入到縱向業(yè)務(wù)匯聚交換機(jī)的非控制區(qū)中；對(duì)于兼有實(shí)時(shí)子網(wǎng)和非實(shí)時(shí)子網(wǎng)傳輸?shù)谋Ｐ抛诱竞蚉MU子站的非實(shí)時(shí)數(shù)據(jù)信息傳輸路徑為：變電站保信子站和PMU子站縱向互聯(lián)硬件防火墻2縱向業(yè)務(wù)匯聚交換機(jī)縱向互聯(lián)硬件防火墻1調(diào)度數(shù)據(jù)網(wǎng)設(shè)備調(diào)度中心對(duì)應(yīng)主站系統(tǒng)。發(fā)電廠二次系統(tǒng)安全防護(hù)方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案發(fā)電廠二次系統(tǒng)安全防護(hù)方案

中調(diào)直調(diào)電廠業(yè)務(wù)接入方案縱向互聯(lián)的主要設(shè)備包括各業(yè)務(wù)系統(tǒng)通信子站或終端、控制區(qū)和非控制區(qū)縱向互聯(lián)交換機(jī)、橫向和縱向互聯(lián)硬件防火墻、縱向加密認(rèn)證裝置以及調(diào)度數(shù)據(jù)網(wǎng)路由器和交換機(jī)設(shè)備，各設(shè)備均采用冗余備用結(jié)構(gòu)；配置2臺(tái)控制區(qū)縱向互聯(lián)交換機(jī)，用于控制區(qū)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)匯集接入、接入系統(tǒng)之間的訪問(wèn)控制和安全區(qū)的橫向及縱向互聯(lián)；配置2臺(tái)非控制區(qū)縱向互聯(lián)交換機(jī)，用于非控制區(qū)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)匯集接入、接入系統(tǒng)之間的訪問(wèn)控制和安全區(qū)的橫向及縱向互聯(lián)；

發(fā)電廠二次系統(tǒng)安全防護(hù)方案

中調(diào)直調(diào)電廠業(yè)務(wù)接入方案配置2臺(tái)縱向加密認(rèn)證裝置，布置在控制區(qū)縱向互聯(lián)交換機(jī)與調(diào)度數(shù)據(jù)網(wǎng)實(shí)時(shí)VPN之間，用于本地控制區(qū)與遠(yuǎn)端控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的身份認(rèn)證、訪問(wèn)控制和傳輸數(shù)據(jù)的加密與解密，保證系統(tǒng)鏈接的合法性和數(shù)據(jù)傳輸?shù)臋C(jī)密性及完整性；配置2臺(tái)縱向互聯(lián)硬件防火墻，布置在非控制區(qū)縱向互聯(lián)交換機(jī)與調(diào)度數(shù)據(jù)網(wǎng)非實(shí)時(shí)VPN之間，用于本地非控制區(qū)與遠(yuǎn)端非控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的訪問(wèn)控制；

發(fā)電廠二次系統(tǒng)安全防護(hù)方案

中調(diào)直調(diào)電廠業(yè)務(wù)接入方案配置2臺(tái)橫向互聯(lián)硬件防火墻，布置在控制區(qū)與非控制區(qū)的網(wǎng)絡(luò)邊界上即布置在控制區(qū)縱向互聯(lián)交換機(jī)