電力二次系統(tǒng)安全防護

電力二次系統(tǒng)平安防護知識介紹主要內(nèi)容電力二次系統(tǒng)平安防護知識背景電力二次系統(tǒng)平安防護的根本原那么平安防護技術(shù)和裝置發(fā)電廠二次系統(tǒng)平安防護方案電力二次系統(tǒng)平安防護知識背景

主要法規(guī)和文件2002年5月，國家經(jīng)貿(mào)委發(fā)布30號令《電網(wǎng)和電廠計算機監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)平安防護的規(guī)定》。2004年12月，電監(jiān)會下發(fā)第5號令《電力二次系統(tǒng)平安防護規(guī)定》。2006年，電監(jiān)會下發(fā)第34號文關(guān)于印發(fā)《電力二次系統(tǒng)平安防護方案》等平安防護方案的通知。電力二次系統(tǒng)平安防護知識背景

電監(jiān)平安〔2006〕34號配套文件《電力二次系統(tǒng)平安防護總體方案》《省級及以上調(diào)度中心二次系統(tǒng)平安防護方案》《地、縣級調(diào)度中心二次系統(tǒng)平安防護方案》《變電站二次系統(tǒng)平安防護方案》《發(fā)電廠二次系統(tǒng)平安防護方案》《配電二次系統(tǒng)平安防護方案》電力二次系統(tǒng)平安防護知識背景

目標和重點電力二次系統(tǒng)平安防護的重點是確保電力實時閉環(huán)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的平安。目標是抵御黑客、病毒、惡意代碼等通過各種形式對系統(tǒng)發(fā)起的惡意破壞和攻擊，特別是能夠抵御集團式攻擊，防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故，及二次系統(tǒng)的崩潰或癱瘓。電力二次系統(tǒng)平安防護知識背景

電力二次系統(tǒng)平安防護總體策略平安分區(qū)：根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對一次系統(tǒng)的影響程度進行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的平安區(qū)內(nèi)；對實時控制系統(tǒng)等關(guān)鍵業(yè)務(wù)采用認證、加密等技術(shù)實施重點保護。網(wǎng)絡(luò)專用：建立調(diào)度專用數(shù)據(jù)網(wǎng)絡(luò)，實現(xiàn)與其它數(shù)據(jù)網(wǎng)絡(luò)物理隔離。并以技術(shù)手段在專網(wǎng)上形成多個相互邏輯隔離的子網(wǎng)，以保障上下級各平安區(qū)的縱向互聯(lián)僅在相同平安區(qū)進行，防止平安區(qū)縱向交叉。橫向隔離：采用不同強度的平安隔離設(shè)備使各平安區(qū)中的業(yè)務(wù)系統(tǒng)得到有效保護，關(guān)鍵是將實時監(jiān)控系統(tǒng)與辦公自動化系統(tǒng)等實行有效平安隔離，隔離強度應(yīng)接近或到達物理隔離?？v向認證：采用認證、加密、訪問控制等手段實現(xiàn)數(shù)據(jù)的遠方平安傳輸以及縱向邊界的平安防護。電力二次系統(tǒng)平安防護知識背景

平安分級負責制國家電力監(jiān)管委員會負責電力二次系統(tǒng)平安防護的監(jiān)管，組織制定電力二次系統(tǒng)平安防護技術(shù)標準并監(jiān)督實施。電力企業(yè)應(yīng)當按照“誰主管誰負責，誰運營誰負責，誰使用誰負責〞和屬地化管理的原那么，認真履行網(wǎng)絡(luò)信息平安職責。將電力二次系統(tǒng)平安防護及其信息報送納入日常平安生產(chǎn)管理體系，各電力企業(yè)負責所轄范圍內(nèi)計算機及數(shù)據(jù)網(wǎng)絡(luò)的平安管理。各相關(guān)單位應(yīng)設(shè)置電力監(jiān)控系統(tǒng)和調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的平安防護小組或?qū)Ｂ毴藛T。電力二次系統(tǒng)平安防護知識背景

平安分級負責制電力調(diào)度機構(gòu)負責直接調(diào)度范圍內(nèi)的下一級電力調(diào)度機構(gòu)和變電站的二次系統(tǒng)平安防護的技術(shù)監(jiān)督。發(fā)電廠內(nèi)涉及到電力調(diào)度的生產(chǎn)控制系統(tǒng)和裝置，如發(fā)電廠的輸變電二次系統(tǒng)、自動發(fā)電控制功能、無功電壓控制功能、電廠報價終端、電能量采集裝置、故障錄波裝置、繼電保護裝置和平安自動裝置等，由電力調(diào)度機構(gòu)和發(fā)電廠的上級主管單位共同實施技術(shù)監(jiān)督，發(fā)電廠內(nèi)其它二次系統(tǒng)平安防護可由其上級主管單位實施技術(shù)監(jiān)督。電力二次系統(tǒng)平安防護的根本原那么

原那么和重點電力二次系統(tǒng)平安防護的根本原那么為“平安分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證〞。平安防護主要針對基于網(wǎng)絡(luò)的生產(chǎn)控制系統(tǒng)，重點強化邊界防護，提高內(nèi)部平安防護能力，保證電力生產(chǎn)控制系統(tǒng)及重要數(shù)據(jù)的平安。電力二次系統(tǒng)平安防護的根本原那么

電力二次系統(tǒng)的平安區(qū)劃分生產(chǎn)控制大區(qū)控制區(qū)〔平安區(qū)Ⅰ〕非控制區(qū)〔平安區(qū)Ⅱ〕管理信息大區(qū)生產(chǎn)管理區(qū)〔平安區(qū)Ⅲ〕管理信息區(qū)〔平安區(qū)Ⅳ〕電力二次系統(tǒng)平安防護的根本原那么

生產(chǎn)控制大區(qū)的平安區(qū)劃分控制區(qū)〔平安區(qū)Ⅰ〕：控制區(qū)中的業(yè)務(wù)系統(tǒng)或功能模塊是電力生產(chǎn)的重要環(huán)節(jié)，直接實現(xiàn)對電力一次系統(tǒng)實時監(jiān)控，縱向數(shù)據(jù)通信使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ眯诺?。非控制區(qū)〔平安區(qū)Ⅱ〕：非控制區(qū)中的業(yè)務(wù)系統(tǒng)或功能模塊是電力生產(chǎn)的必要環(huán)節(jié)，在線運行但不具備控制功能，縱向數(shù)據(jù)通信使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ眯诺?。電力二次系統(tǒng)平安防護的根本原那么

控制平安區(qū)的典型業(yè)務(wù)系統(tǒng)能量管理系統(tǒng)〔SCADA、AGC、AVC〕廣域相量測量系統(tǒng)配電網(wǎng)自動化系統(tǒng)變電站自動化系統(tǒng)發(fā)電廠自動監(jiān)控系統(tǒng)繼電保護系統(tǒng)平安自動控制系統(tǒng)低頻〔低壓〕自動減負荷系統(tǒng)電力二次系統(tǒng)平安防護的根本原那么

非控制平安區(qū)的典型業(yè)務(wù)系統(tǒng)調(diào)度員培訓(xùn)模擬系統(tǒng)水庫調(diào)度自動化系統(tǒng)故障錄波信息管理系統(tǒng)電能量計量系統(tǒng)電力市場運營系統(tǒng)電力二次系統(tǒng)平安防護的根本原那么

管理信息大區(qū)的平安區(qū)劃分可根據(jù)具體情況劃分平安區(qū)，但不應(yīng)影響生產(chǎn)控制大區(qū)的平安。平安區(qū)Ⅲ：通過電力企業(yè)數(shù)據(jù)網(wǎng)絡(luò)進行遠方通信的生產(chǎn)管理系統(tǒng)〔包括電力監(jiān)管信息系統(tǒng)、雷電監(jiān)測系統(tǒng)、氣象信息、DMIS等〕。平安區(qū)Ⅳ：與因特網(wǎng)互聯(lián)并允許對其進行訪問的管理信息系統(tǒng)和企業(yè)辦公區(qū)域〔包括營銷系統(tǒng)、OA、MIS等〕電力二次系統(tǒng)平安防護的根本原那么

生產(chǎn)控制大區(qū)內(nèi)部的平安防護禁止生產(chǎn)控制大區(qū)內(nèi)部的E-Mail效勞,禁止控制區(qū)內(nèi)通用的WEB效勞允許非控制區(qū)內(nèi)部業(yè)務(wù)系統(tǒng)采用B/S結(jié)構(gòu),但僅限于業(yè)務(wù)系統(tǒng)內(nèi)部使用。允許提供縱向平安WEB效勞，可以采用經(jīng)過平安加固且支持HTTPS的平安WEB效勞器和WEB瀏覽工作站。生產(chǎn)控制大區(qū)重要業(yè)務(wù)〔如SCADA/AGC〕、電力市場交易等〕的遠程通信必須采用加密認證機制，對已有系統(tǒng)逐步改造。電力二次系統(tǒng)平安防護的根本原那么

生產(chǎn)控制大區(qū)內(nèi)部的平安防護生產(chǎn)控制大區(qū)內(nèi)的業(yè)務(wù)系統(tǒng)間應(yīng)該采取VLAN和訪問控制等平安措施，限制系統(tǒng)間的直接互通。生產(chǎn)控制大區(qū)的撥號訪問效勞，效勞器和用戶端均應(yīng)使用經(jīng)國家指定部門認證的。平安加固的操作系統(tǒng)，并采取加密、認證和訪問控制等平安措施。生產(chǎn)控制大區(qū)邊界上可以部署入侵檢測系統(tǒng)。電力二次系統(tǒng)平安防護的根本原那么

生產(chǎn)控制大區(qū)內(nèi)部的平安防護生產(chǎn)控制大區(qū)應(yīng)部署平安審計措施，把平安審計與平安區(qū)網(wǎng)絡(luò)管理系統(tǒng)、綜合告警系統(tǒng)、IDS管理系統(tǒng)、敏感業(yè)務(wù)效勞器登錄認證和授權(quán)、應(yīng)用訪問權(quán)限相結(jié)合。生產(chǎn)控制大區(qū)應(yīng)該統(tǒng)一部署惡意代碼防護系統(tǒng)，采取防范惡意代碼措施。病毒庫、木馬庫以及IDS規(guī)那么庫的更新應(yīng)該離線進行。電力二次系統(tǒng)平安防護的根本原那么

管理信息大區(qū)的平安要求應(yīng)當統(tǒng)一部署防火墻、IDS、惡意代碼防護系統(tǒng)等通用平安防護設(shè)施。電力二次系統(tǒng)平安防護的根本原那么

網(wǎng)絡(luò)專用電力調(diào)度數(shù)據(jù)網(wǎng)：專為生產(chǎn)控制大區(qū)效勞的專用數(shù)據(jù)網(wǎng)絡(luò)，承載電力實時控制、在線生產(chǎn)交易等業(yè)務(wù)。電力企業(yè)數(shù)據(jù)網(wǎng)：承載管理信息大區(qū)中各業(yè)務(wù)之間的信息交互的電力實時控制、在線生產(chǎn)交易等業(yè)務(wù)。電力調(diào)度數(shù)據(jù)網(wǎng)與電力企業(yè)數(shù)據(jù)網(wǎng)之間在物理層面上平安隔離。平安防護技術(shù)和裝置

橫向隔離技術(shù)橫向隔離技術(shù)是電力二次系統(tǒng)平安防護體系的橫向防線，是二次系統(tǒng)平安防護體系的重要技術(shù)措施。生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須設(shè)置經(jīng)國家指定部門檢測認證的電力專用橫向單向平安隔離裝置，隔離強度接近或到達物理隔離。平安區(qū)Ⅰ與平安區(qū)Ⅱ之間應(yīng)采用國產(chǎn)硬件防火墻、具有訪問控制功能的設(shè)備或相當功能的設(shè)施進行邏輯隔離。平安區(qū)Ⅲ與平安區(qū)Ⅳ之間應(yīng)采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備〔如防火墻〕實現(xiàn)邏輯隔離。平安防護技術(shù)和裝置

正向隔離裝置根本功能非網(wǎng)絡(luò)數(shù)據(jù)交換，內(nèi)外兩個處理系統(tǒng)不同時連通。數(shù)據(jù)完全單向傳輸。透明工作模式，虛擬主機IP地址、隱藏MAC地址?；贛AC/IP/Port/協(xié)議的綜合報文過濾與訪問控制，支持NAT。割斷穿透性TCP連接。應(yīng)用層解析功能，支持標記識別。平安方便的維護管理，支持數(shù)字證書的管理員認證。平安防護技術(shù)和裝置

反向隔離裝置根本功能應(yīng)用網(wǎng)關(guān)功能，實現(xiàn)數(shù)據(jù)的接收與轉(zhuǎn)發(fā)。具有數(shù)字證書的簽名/解簽名功能。純文本編碼檢查與轉(zhuǎn)換功能?；贓語言純文本文件的強過濾功能透明工作模式，虛擬主機IP地址、隱藏MAC地址。基于MAC/IP/Port/協(xié)議的綜合報文過濾與訪問控制，支持NAT。割斷穿透性TCP連接。平安方便的維護管理，支持數(shù)字證書的管理員認證。平安防護技術(shù)和裝置

正、反向隔離裝置的部署平安防護技術(shù)和裝置

加密認證技術(shù)加密認證技術(shù)是電力調(diào)度數(shù)據(jù)網(wǎng)平安防護體系的重要技術(shù)支撐手段。在各級調(diào)度中心〔網(wǎng)省、地縣與廠站〕的控制區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的邊界應(yīng)部署電力專用縱向加密認證裝置或加密認證網(wǎng)關(guān)。采用電力專用密碼與認證技術(shù)，保證上下級調(diào)度中心與廠站縱向數(shù)據(jù)通信機密性和完整性。平安防護技術(shù)和裝置

縱向加密裝置的部署按照分級管理要求，縱向加密認證裝置部署在各級電力調(diào)度通信中心及下屬的各廠站，根據(jù)電力調(diào)度關(guān)系建立加密隧道。管理中心完成對所轄的多廠商的縱向加密設(shè)備進行統(tǒng)一管理。平安防護技術(shù)和裝置

電力調(diào)度數(shù)字證書電力調(diào)度數(shù)字證書系統(tǒng)是電力二次系統(tǒng)平安防護的根底平安設(shè)施?；诠€技術(shù)的分布式數(shù)字證書系統(tǒng)，為生產(chǎn)控制大區(qū)的關(guān)鍵應(yīng)用、關(guān)鍵用戶和關(guān)鍵設(shè)備提供數(shù)字證書效勞。電力專用密碼與認證技術(shù)，保證上下級調(diào)度中心與廠站縱向數(shù)據(jù)通信機密性和完整性。平安防護技術(shù)和裝置

平安拔號認證技術(shù)平安拔號認證技術(shù)是電力二次系統(tǒng)平安遠程接入訪問的重要防護手段。在各級調(diào)度中心〔網(wǎng)省、地縣與廠站〕的拔號應(yīng)用場合應(yīng)部署平安拔號認證裝置對來自用網(wǎng)的接入用戶進行平安認證和數(shù)據(jù)加密傳輸。平安防護技術(shù)和裝置

平安拔號認證裝置功能客戶端平安檢查。采用平安操作系統(tǒng)，并結(jié)合數(shù)字證書進行登錄認證。線路加密。對撥號線路的數(shù)據(jù)采用高強度加密算法進行保護。訪問控制。對遠程撥號用戶進行基于地址、端口、時間、協(xié)議等綜合過濾。支持對關(guān)鍵訪問資源的讀、寫、執(zhí)行權(quán)限進行細粒度的控制。日志審計。記錄遠程撥號用戶所有的登錄行為，支持Syslog日志輸出。平安防護技術(shù)和裝置

平安拔號認證裝置的部署對撥號人員采用智能卡或文件證書認證，并進行數(shù)據(jù)傳輸加密。平安撥號認證裝置部署在電力系統(tǒng)內(nèi)網(wǎng)與公用交換網(wǎng)之間。發(fā)電廠二次系統(tǒng)平安防護方案

總體方案發(fā)電廠二次系統(tǒng)平安防護方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案縱向互聯(lián)的主要設(shè)備包括各業(yè)務(wù)系統(tǒng)通信子站或終端、縱向業(yè)務(wù)會聚交換機、縱向互聯(lián)硬件防火墻、縱向加密認證裝置以及調(diào)度數(shù)據(jù)網(wǎng)路由器和交換機設(shè)備，各設(shè)備均采用冗余備用結(jié)構(gòu)；縱向業(yè)務(wù)會聚交換機直接使用調(diào)度數(shù)據(jù)網(wǎng)的接入交換機。通過采用邏輯隔離技術(shù)，將縱向業(yè)務(wù)會聚交換機劃分成邏輯上相互獨立的控制區(qū)和非控制區(qū)，分別用于控制區(qū)和非控制區(qū)內(nèi)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)聚集接入、接入系統(tǒng)之間的訪問控制和縱向互聯(lián)；發(fā)電廠二次系統(tǒng)平安防護方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案為實現(xiàn)控制區(qū)有關(guān)業(yè)務(wù)系統(tǒng)可同時使用實時VPN和非實時VPN進行信息傳輸，配置另外2臺縱向互聯(lián)硬件防火墻2，布置在業(yè)務(wù)系統(tǒng)通信效勞器與縱向業(yè)務(wù)會聚交換機之間；配置2臺縱向加密認證裝置，布置在縱向業(yè)務(wù)會聚交換機的控制區(qū)和調(diào)度數(shù)據(jù)網(wǎng)路由器之間，用于本地控制區(qū)與遠端控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的身份認證、訪問控制和傳輸數(shù)據(jù)的加密與解密，保證系統(tǒng)鏈接的合法性和數(shù)據(jù)傳輸?shù)臋C密性及完整性；發(fā)電廠二次系統(tǒng)平安防護方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案配置2臺縱向互聯(lián)硬件防火墻1，布置在縱向業(yè)務(wù)會聚交換機的非控制區(qū)和調(diào)度數(shù)據(jù)網(wǎng)路由器之間，用于本地非控制區(qū)與遠端非控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的訪問控制；要求有關(guān)業(yè)務(wù)系統(tǒng)通信子站如保信子站或PMU子站均新增一塊網(wǎng)卡，通過縱向互聯(lián)防火墻2接入到縱向業(yè)務(wù)會聚交換機的非控制區(qū)中；對于兼有實時子網(wǎng)和非實時子網(wǎng)傳輸?shù)谋Ｐ抛诱竞蚉MU子站的非實時數(shù)據(jù)信息傳輸路徑為：變電站保信子站和PMU子站縱向互聯(lián)硬件防火墻2縱向業(yè)務(wù)會聚交換機縱向互聯(lián)硬件防火墻1調(diào)度數(shù)據(jù)網(wǎng)設(shè)備調(diào)度中心對應(yīng)主站系統(tǒng)。發(fā)電廠二次系統(tǒng)平安防護方案

總調(diào)直調(diào)電廠業(yè)務(wù)接入方案發(fā)電廠二次系統(tǒng)平安防護方案

中調(diào)直調(diào)電廠業(yè)務(wù)接入方案縱向互聯(lián)的主要設(shè)備包括各業(yè)務(wù)系統(tǒng)通信子站或終端、控制區(qū)和非控制區(qū)縱向互聯(lián)交換機、橫向和縱向互聯(lián)硬件防火墻、縱向加密認證裝置以及調(diào)度數(shù)據(jù)網(wǎng)路由器和交換機設(shè)備，各設(shè)備均采用冗余備用結(jié)構(gòu)；配置2臺控制區(qū)縱向互聯(lián)交換機，用于控制區(qū)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)聚集接入、接入系統(tǒng)之間的訪問控制和平安區(qū)的橫向及縱向互聯(lián)；配置2臺非控制區(qū)縱向互聯(lián)交換機，用于非控制區(qū)有縱向數(shù)據(jù)通信的業(yè)務(wù)系統(tǒng)聚集接入、接入系統(tǒng)之間的訪問控制和平安區(qū)的橫向及縱向互聯(lián)；發(fā)電廠二次系統(tǒng)平安防護方案

中調(diào)直調(diào)電廠業(yè)務(wù)接入方案配置2臺縱向加密認證裝置，布置在控制區(qū)縱向互聯(lián)交換機與調(diào)度數(shù)據(jù)網(wǎng)實時VPN之間，用于本地控制區(qū)與遠端控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的身份認證、訪問控制和傳輸數(shù)據(jù)的加密與解密，保證系統(tǒng)鏈接的合法性和數(shù)據(jù)傳輸?shù)臋C密性及完整性；配置2臺縱向互聯(lián)硬件防火墻，布置在非控制區(qū)縱向互聯(lián)交換機與調(diào)度數(shù)據(jù)網(wǎng)非實時VPN之間，用于本地非控制區(qū)與遠端非控制區(qū)相關(guān)業(yè)務(wù)系統(tǒng)或業(yè)務(wù)模塊之間網(wǎng)絡(luò)數(shù)據(jù)通信的訪問控制；

發(fā)電廠二次系統(tǒng)平安防護