電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全檢測(cè)規(guī)程(征求意見(jiàn)稿)II目 次前言 II引言 III1范引文件 1語(yǔ)定義 1略語(yǔ) 2測(cè)象類 3用件備全要求 3控置全測(cè)求 9礎(chǔ)件全測(cè)求 20用件全測(cè)求 31合價(jià)法 4211電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全檢測(cè)規(guī)程范圍本標(biāo)準(zhǔn)規(guī)定了電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全測(cè)試內(nèi)容、測(cè)試步驟、測(cè)試記錄、評(píng)價(jià)標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)適用于電力監(jiān)控系統(tǒng)及裝置的安全性檢測(cè)工作。下列文件對(duì)于本標(biāo)準(zhǔn)的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本標(biāo)準(zhǔn)。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本標(biāo)準(zhǔn)。GB/T20271 信安技術(shù)信系通安術(shù)要GB/T20272 信安技術(shù)操系安技求》GB/T20984 信安技術(shù)信安風(fēng)評(píng)范》GB/T21028 信安技術(shù)服器全術(shù)》GB/T22239 GB/T25058 GB/T25070 GB/T28448 信安技術(shù)網(wǎng)安等保評(píng)要》GB/T28452 信安技術(shù)應(yīng)軟系通全技要》GB/T28449 信安技術(shù)網(wǎng)安等保評(píng)過(guò)指》GB/T36572 電監(jiān)系統(tǒng)絡(luò)全護(hù)則》GA/T1389 DL/T1455 GM/T0054 中華人民共和國(guó)國(guó)務(wù)院令147號(hào)《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》國(guó)家發(fā)展和改革委員會(huì)令2014年第14號(hào)《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》國(guó)能安全[2015]36號(hào)《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案》電監(jiān)信息[2012]62號(hào)《電力行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》規(guī)范性引用文件中界定的術(shù)語(yǔ)和定義適用于本文件。為了便于使用，以下列出主要術(shù)語(yǔ)和定義。電力監(jiān)控系統(tǒng)electricpowersystemsupervisionandcontrol（SCADA）22通用硬件CommonHardware支撐電力監(jiān)控系統(tǒng)運(yùn)行的計(jì)算機(jī)硬件、網(wǎng)絡(luò)設(shè)備、安全防護(hù)設(shè)備、存儲(chǔ)設(shè)備等各類硬件設(shè)備。工控裝置IndustrialControlDevice電力監(jiān)控系統(tǒng)中用于監(jiān)視和控制電力生產(chǎn)、供應(yīng)過(guò)程的硬件設(shè)備及保障網(wǎng)絡(luò)安全的電力專用安全防護(hù)設(shè)備。工控一類裝置ClassⅠofindustrialcontroldevice指在嵌入式操作系統(tǒng)上進(jìn)行應(yīng)用開發(fā)的軟硬件結(jié)合系統(tǒng)，系統(tǒng)最終以硬件的形式交付，并且支持遠(yuǎn)程管理、具有后臺(tái)系統(tǒng)的設(shè)備。工控二類裝置ClassⅡofindustrialcontroldevice指在嵌入式操作系統(tǒng)上進(jìn)行應(yīng)用開發(fā)的軟硬件結(jié)合系統(tǒng)，系統(tǒng)最終以硬件的形式交付，不支持遠(yuǎn)程管理的面板類設(shè)備。基礎(chǔ)軟件BasicSoftware支撐電力監(jiān)控系統(tǒng)運(yùn)行的操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、云平臺(tái)等各類軟件。應(yīng)用軟件ApplicationSoftware指電力監(jiān)控系統(tǒng)中處理特定業(yè)務(wù)或執(zhí)行特定任務(wù)的軟件系統(tǒng)?；拘拖到y(tǒng)Basicmodelsystem安全級(jí)別二級(jí)及以下的電力監(jiān)控系統(tǒng)。安全等級(jí)定義參見(jiàn)GA/T1389。增強(qiáng)型系統(tǒng)Enhancedmodelsystem安全級(jí)別三級(jí)及以上的電力監(jiān)控系統(tǒng)。安全等級(jí)定義參見(jiàn)GA/T1389。縮略語(yǔ)CA：證書授權(quán)(CertificateAuthority)FTP：文件傳輸協(xié)議（FileTransferProtocol）HTTP：超文本傳輸協(xié)議（HypertextTransferProtocol）SNMP：簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SimpleNetworkManagementProtocol）SMB：服務(wù)器信息塊（ServerMessageBlock）SQL：結(jié)構(gòu)化查詢語(yǔ)言（StructuredQueryLanguage）TFTP：簡(jiǎn)單文件傳輸協(xié)議（TrivialFileTransferProtocol）33USB：通用串行總線（UniversalSerialBus）檢測(cè)對(duì)象根據(jù)類型劃分，分為通用硬件設(shè)備、工控裝置、基礎(chǔ)軟件、應(yīng)用軟件四大類，具體表1如下。1類型檢測(cè)對(duì)象備注通用硬件設(shè)備終端、服務(wù)器、網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)等）、安全設(shè)備（堡壘機(jī)、防火墻、防病毒網(wǎng)關(guān)、入侵檢測(cè)系統(tǒng)、入侵防護(hù)系統(tǒng)等）等硬件設(shè)備/工控裝置工控一類電力專用單向橫向隔離裝置、電力專用縱向加密認(rèn)證裝置、電力專用安全撥號(hào)網(wǎng)關(guān)、智能遠(yuǎn)動(dòng)機(jī)、網(wǎng)絡(luò)安全態(tài)勢(shì)感知采集裝置等/工控二類測(cè)控裝置、測(cè)控裝置、常規(guī)遠(yuǎn)動(dòng)機(jī)、繼電保護(hù)裝置、智能錄波器采集單元、過(guò)程層以太網(wǎng)交換機(jī)、二層工業(yè)以太網(wǎng)交換機(jī)、變電站時(shí)間同步裝置、變電站相量測(cè)量裝置等/基礎(chǔ)軟件操作系統(tǒng)、數(shù)據(jù)庫(kù)、云平臺(tái)、中間件等基礎(chǔ)軟件/應(yīng)用軟件主站端電網(wǎng)運(yùn)行控制系統(tǒng)(OCS系統(tǒng))、電網(wǎng)運(yùn)行管理系統(tǒng)(OMS系統(tǒng))、保信系統(tǒng)、安自系統(tǒng)、通信運(yùn)行管控系統(tǒng)、通信網(wǎng)管系統(tǒng)、計(jì)量自動(dòng)化系統(tǒng)、電力設(shè)備在線監(jiān)測(cè)系統(tǒng)（主站）、變電站視頻及環(huán)境監(jiān)控系統(tǒng)（主站）、水調(diào)自動(dòng)化系統(tǒng)等應(yīng)用軟件主站端和廠站端系統(tǒng)應(yīng)用軟件根據(jù)等級(jí)保護(hù)安全等級(jí)分為基本型和增強(qiáng)型。廠站端變電站/換流站監(jiān)控系統(tǒng)、五防系統(tǒng)、保信子站、行波測(cè)距、故障錄波、變電站/換流站視頻及環(huán)境監(jiān)控系統(tǒng)（廠站）、電力設(shè)備在線監(jiān)測(cè)系統(tǒng)（廠站）等應(yīng)用軟件注：未在本目錄標(biāo)明的系統(tǒng)或設(shè)備，可參照類似設(shè)備進(jìn)行檢測(cè)SN1)檢查預(yù)裝軟件、補(bǔ)丁包1)檢查設(shè)備對(duì)登錄用戶是否具備身份標(biāo)識(shí)和鑒別功能；41)檢查設(shè)備對(duì)登錄用戶是否具備身份標(biāo)識(shí)和鑒別功能；4（*）1)使用惡意程序檢測(cè)工具掃描設(shè)備預(yù)裝軟件、補(bǔ)丁包/升級(jí)包，查看是否存在惡意程序。Telnet、FTP、Rlogin、TFTP、HTTP、SMB身份標(biāo)識(shí)和鑒別（*）1)如果設(shè)備具有密碼重置功能，檢查設(shè)備是否具有技術(shù)措施確保重置的安全性，如管理員51)如果設(shè)備具有密碼重置功能，檢查設(shè)備是否具有技術(shù)措施確保重置的安全性，如管理員51)5（11)登錄成功后不進(jìn)行任何操作，空閑登錄超時(shí)時(shí)間后，查看用戶是否自動(dòng)退出。66驗(yàn)證后重置等，檢查是否禁止便捷重置方式（如裝置上配備Reset按鈕）。（*）1)檢查是否提供系統(tǒng)管理員用戶一個(gè)產(chǎn)生和修改用戶授權(quán)的管理模塊。IP或MACIPMACIPMAC安全審計(jì)77（*）（）（（（查（）；1)1)（1)1)查看審計(jì)記錄，檢查設(shè)備是否具有對(duì)審計(jì)記錄進(jìn)行查詢、分類、排序的功能。88（*）1)SNMPCPU1)991)（*）SM1、SM2、SM3、SM4、SM7、SM9（*）檢測(cè)指標(biāo)：應(yīng)提供登錄失敗處理功能，多次登錄失敗后應(yīng)采取必要的保護(hù)措施，防止暴力破1010解口令。 （）；（*）IPIPIPIP權(quán)限分離1111 （*）/（ID（1212 kill），查看（syslog、SNMP）1313 IPIPCPU（*）1414（*）1)使用漏洞掃描工具對(duì)裝置進(jìn)行漏洞掃描，檢查是否不存在已公布的中、高危漏洞。135、137、138、139、445、3389NetBIOSRPC1)USB1515 （*）1)使用源代碼掃碼工具檢查裝置源代碼是否不存在已公布的中、高危安全漏洞或后門。（*）1616 1)1)1)SM1、SM2、SM3SM4、SM7、1717SM9、祖沖之密碼算法等。（*）（）（（*）檢查裝置是否提供安全審計(jì)功能；1818/（ID（（*）（*）1)使用漏洞掃描工具對(duì)裝置進(jìn)行漏洞掃描，檢查是否存在已公布的中、高危漏洞。1919135137138、139、445、3389NetBIOSRPC1)USB源代碼安全（*）20201)使用源代碼掃碼工具檢查裝置源代碼是否不存在已公布的中、高危安全漏洞或后門。（*）SM1SM2SM3、SM4SM7、SM9（*）821211)檢查是否必須通過(guò)加密協(xié)議（如https、ssh）進(jìn)行遠(yuǎn)程管理；（*）2222（*）2323（*）審計(jì)進(jìn)程保護(hù)2424telnet、FTPE-Mail、Rlogin、TFTPHTTP、SMB1)1)檢查中間件默認(rèn)的配置和管理服務(wù)端口是否已經(jīng)修改。1)檢查是否刪除或關(guān)閉中間件示例域及非必須服務(wù)。25251)檢查是否無(wú)法遍歷操作目錄。1)檢查是否已經(jīng)修改錯(cuò)誤文件信息內(nèi)容，防止信息泄漏。（*）敏感信息保護(hù)26261)1)SNMPSYSLOG核查監(jiān)視內(nèi)容是否包括CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況。27272828292930301)1)1)3131（*）anonymous；5（3232）1)新建一個(gè)測(cè)試帳號(hào)，檢查首次登錄時(shí)，是否強(qiáng)制要求修改初始口令后才能登陸。（1-5）(5101)（3333（*）1) 1)1)34341)1)核查業(yè)務(wù)操作員角色是否僅能進(jìn)行業(yè)務(wù)相關(guān)操作，不具有任何管理權(quán)限。1)核查系統(tǒng)是否能根據(jù)訪問(wèn)時(shí)間、訪問(wèn)客戶端地址等條件對(duì)用戶登錄進(jìn)行訪問(wèn)控制；（*）1)檢查系統(tǒng)是否對(duì)審計(jì)事件類型進(jìn)行劃分，類型包括但不限于系統(tǒng)級(jí)事件和業(yè)務(wù)級(jí)事件。3535IP1)檢查系統(tǒng)是否具有對(duì)審計(jì)記錄進(jìn)行分類、查詢、排序、統(tǒng)計(jì)的功能。68036361)1)1)用戶退出登錄后，采用工具查看此用戶的鑒別信息所在的存儲(chǔ)空間是否被完全清除。接口測(cè)試3737（*）1)SQL0301)使用同一用戶多點(diǎn)重復(fù)登錄，核查系統(tǒng)是否具有限制措施。（*）3838本項(xiàng)要求包括本標(biāo)準(zhǔn)9.1.1的全部?jī)?nèi)容，并增加如下要求：（*）本項(xiàng)要求包括本標(biāo)準(zhǔn)9.1.2的全部?jī)?nèi)容，并增加如下要求：11)核查對(duì)以文件形式存儲(chǔ)和操作的用戶數(shù)據(jù)，訪問(wèn)控制策略的控制粒度是否達(dá)到文件級(jí)。21)記39393本項(xiàng)要求包括本標(biāo)準(zhǔn)9.1.3的全部?jī)?nèi)容，并增加如下要求：（*）1)應(yīng)測(cè)試驗(yàn)證通過(guò)非審計(jì)管理員的其他賬號(hào)來(lái)中斷