電力二次系統(tǒng)防護(hù)培訓(xùn)資料

電力二次系統(tǒng)安全防護(hù)培訓(xùn)2025/2/152安全防護(hù)的背景電力二次系統(tǒng)存在安全漏洞（結(jié)構(gòu)、技術(shù)、管理等）容易受到黑客、敵對(duì)勢(shì)力的攻擊，造成一次系統(tǒng)事故。電力是我國(guó)國(guó)民經(jīng)濟(jì)的基礎(chǔ)產(chǎn)業(yè)，關(guān)系到千家萬(wàn)戶(hù)，關(guān)系到國(guó)家安定的大局，決不允許出現(xiàn)大的電力系統(tǒng)事故。2025/2/153一些數(shù)據(jù)FBI統(tǒng)計(jì)95%的入侵未被發(fā)現(xiàn)FBI和CSI調(diào)查484公司發(fā)現(xiàn)31%有員工濫用Internet16%有來(lái)自?xún)?nèi)部未授權(quán)的存取14%有專(zhuān)利信息被竊取12%有內(nèi)部人的財(cái)務(wù)欺騙11%有資料或網(wǎng)絡(luò)的破壞有超過(guò)70%的安全威脅來(lái)自你企業(yè)內(nèi)部中國(guó)國(guó)內(nèi)80%的網(wǎng)站存在安全隱患20%的網(wǎng)站有嚴(yán)重安全問(wèn)題2000年中國(guó)國(guó)家信息安全課題組的國(guó)家信息安全報(bào)告指出以9分為滿(mǎn)分計(jì)算中國(guó)的信息安全強(qiáng)度只有5.5分2025/2/154系統(tǒng)內(nèi)相關(guān)案例二灘水電站分布式控制系統(tǒng)網(wǎng)絡(luò)發(fā)生異常事件；銀山邏輯炸彈事件；龍泉、政平變電站計(jì)算機(jī)病毒事件；2025/2/155網(wǎng)絡(luò)面臨的主要威脅黑客攻擊網(wǎng)絡(luò)的缺陷軟件的漏洞或后門(mén)管理的欠缺網(wǎng)絡(luò)內(nèi)部用戶(hù)的誤操作2025/2/156攻擊層次一：通訊&服務(wù)層弱點(diǎn)超過(guò)1000個(gè)TCP/IP服務(wù)安全漏洞:Sendmail,FTP,NFS,FileSharing,Netbios,NIS,Telnet,Rlogin,等.

錯(cuò)誤的路由配置缺省路由帳戶(hù)反向服務(wù)攻擊隱蔽Modem2025/2/157攻擊層次二：操作系統(tǒng)1000個(gè)以上的商用操作系統(tǒng)安全漏洞沒(méi)有添加安全Patch

文件/用戶(hù)權(quán)限設(shè)置錯(cuò)誤可寫(xiě)注冊(cè)信息缺省用戶(hù)權(quán)限簡(jiǎn)單密碼特洛依木馬2025/2/158攻擊層次三：應(yīng)用程序Web服務(wù)器:

錯(cuò)誤的Web目錄結(jié)構(gòu)

Web服務(wù)器應(yīng)用程序缺陷防火墻:

防火墻的錯(cuò)誤配置會(huì)導(dǎo)致漏洞:冒名IP,SYNfloodingDenialofserviceattacks其他應(yīng)用程序:Oracle,SQLServer,SAP等缺省帳戶(hù)有缺陷的瀏覽器2025/2/159常見(jiàn)的攻擊方式病毒virus,木馬程序Trojan,蠕蟲(chóng)Worm拒絕服務(wù)和分布式拒絕服務(wù)攻擊Dos&DDosIP地址欺騙和IP包替換IPspoofing,Packetmodification郵件炸彈Mailbombing宏病毒MarcoVirus口令破解Passwordcrack2025/2/1510攻擊的工具和步驟標(biāo)準(zhǔn)的TCP/IP工具(ping,telnet…)端口掃描和漏洞掃描(ISS-Safesuit,Nmap,protscanner…)網(wǎng)絡(luò)包分析儀(sniffer,networkmonitor)口令破解工具(lc3,fakegina)木馬(BO2k,冰河,…)2025/2/1511加強(qiáng)網(wǎng)絡(luò)安全的必要性保證業(yè)務(wù)系統(tǒng)穩(wěn)定可靠運(yùn)行防止企業(yè)重要信息外泄防止企業(yè)聲譽(yù)被毀●●●●●●2025/2/1512網(wǎng)絡(luò)安全的定義網(wǎng)絡(luò)安全是一個(gè)關(guān)系國(guó)家安全和主權(quán)、社會(huì)的穩(wěn)定、民族文化的繼承和發(fā)揚(yáng)的重要問(wèn)題。其重要性，正隨著全球信息化步伐的加快而變到越來(lái)越重要?！凹议T(mén)就是國(guó)門(mén)”，安全問(wèn)題刻不容緩。網(wǎng)絡(luò)安全是一門(mén)涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性學(xué)科。網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。網(wǎng)絡(luò)安全從其本質(zhì)上來(lái)講就是網(wǎng)絡(luò)上的信息安全。從廣義來(lái)說(shuō)，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全的研究領(lǐng)域。2025/2/1513網(wǎng)絡(luò)安全的語(yǔ)義范圍保密性：信息不泄露給非授權(quán)用戶(hù)、實(shí)體或過(guò)程，或供其利用的特性；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性。即信息在存儲(chǔ)或傳輸過(guò)程中保持不被修改、不被破壞和丟失的特性；可用性：可被授權(quán)實(shí)體訪(fǎng)問(wèn)并按需求使用的特性。即當(dāng)需要時(shí)能否存取所需的信息；可控性：對(duì)信息的傳播及內(nèi)容具有控制能力；2025/2/1514電力系統(tǒng)安全防護(hù)體系全國(guó)全世界非實(shí)時(shí)調(diào)度生產(chǎn)系統(tǒng)準(zhǔn)實(shí)時(shí)非實(shí)時(shí)實(shí)時(shí)控制系統(tǒng)電力信息系統(tǒng)社會(huì)電力調(diào)度2025/2/1515電力二次系統(tǒng)安全防護(hù)總體方案

依據(jù)中華人民共和國(guó)國(guó)家經(jīng)濟(jì)貿(mào)易委員會(huì)2002年第30號(hào)令《電網(wǎng)和電廠(chǎng)計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)定》的要求，并根據(jù)我國(guó)電力調(diào)度系統(tǒng)的具體情況編制的，目的是防范對(duì)電網(wǎng)和電廠(chǎng)計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的攻擊侵害及由此引起的電力系統(tǒng)事故，規(guī)范和統(tǒng)一我國(guó)電網(wǎng)和電廠(chǎng)計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)劃、實(shí)施和監(jiān)管，以保障我國(guó)電力系統(tǒng)的安全、穩(wěn)定、經(jīng)濟(jì)運(yùn)行，保護(hù)國(guó)家重要基礎(chǔ)設(shè)施的安全。2025/2/1516重要的名詞解釋計(jì)算機(jī)監(jiān)控系統(tǒng)：包括各級(jí)電網(wǎng)調(diào)度自動(dòng)化系統(tǒng)、變電站自動(dòng)化系統(tǒng)、換流站計(jì)算機(jī)監(jiān)控系統(tǒng)、發(fā)電廠(chǎng)計(jì)算機(jī)監(jiān)控系統(tǒng)、配電網(wǎng)自動(dòng)化系統(tǒng)、微機(jī)保護(hù)和安全自動(dòng)裝置、水調(diào)自動(dòng)化系統(tǒng)和水電梯級(jí)調(diào)度自動(dòng)化系統(tǒng)、電能量計(jì)量計(jì)費(fèi)系統(tǒng)、電力市場(chǎng)交易系統(tǒng)等；

調(diào)度數(shù)據(jù)網(wǎng)絡(luò)：包括各級(jí)電力調(diào)度專(zhuān)用數(shù)據(jù)網(wǎng)絡(luò)、用于遠(yuǎn)程維護(hù)及電能量計(jì)費(fèi)等的撥號(hào)網(wǎng)絡(luò)、各計(jì)算機(jī)監(jiān)控系統(tǒng)接入的本地局域網(wǎng)絡(luò)等；2025/2/1517國(guó)家經(jīng)貿(mào)委30號(hào)令的有關(guān)要求各電力監(jiān)控系統(tǒng)與辦公自動(dòng)化系統(tǒng)或其他信息系統(tǒng)之間以網(wǎng)絡(luò)方式互聯(lián)時(shí),必須采用經(jīng)國(guó)家有關(guān)部門(mén)認(rèn)證的專(zhuān)用、可靠的安全隔離設(shè)施

電力監(jiān)控系統(tǒng)和電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)均不得和互聯(lián)網(wǎng)相連,并嚴(yán)格限制電子郵件的使用各有關(guān)單位應(yīng)制定安全應(yīng)急措施和故障恢復(fù)措施，對(duì)關(guān)鍵數(shù)據(jù)做好備份并妥善存放；及時(shí)升級(jí)防病毒軟件及安裝操作系統(tǒng)漏洞修補(bǔ)程序；加強(qiáng)對(duì)電子郵件的管理；在關(guān)鍵部位配備攻擊監(jiān)測(cè)與告警設(shè)施，提高安全防護(hù)的主動(dòng)性2025/2/1518電力系統(tǒng)安全防護(hù)的基本原則

電力系統(tǒng)中，安全等級(jí)較高的系統(tǒng)不受安全等級(jí)較低系統(tǒng)的影響。電力監(jiān)控系統(tǒng)的安全等級(jí)高于電力管理信息系統(tǒng)及辦公自動(dòng)化系統(tǒng)，各電力監(jiān)控系統(tǒng)必須具備可靠性高的自身安全防護(hù)設(shè)施，不得與安全等級(jí)低的系統(tǒng)直接相聯(lián)。----國(guó)家經(jīng)貿(mào)委30號(hào)令2025/2/1519安全防護(hù)總體方案的適用范圍安全防護(hù)總體方案的基本防護(hù)原則適用于電力二次系統(tǒng)中各類(lèi)應(yīng)用和網(wǎng)絡(luò)系統(tǒng)；總體方案直接適用于與電力生產(chǎn)和輸配過(guò)程直接相關(guān)的計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)；電力通信系統(tǒng)、電力信息系統(tǒng)、電廠(chǎng)信息系統(tǒng)等可參照電力二次系統(tǒng)安全防護(hù)總體方案制定具體安全防護(hù)方案。2025/2/1520電力二次系統(tǒng)邏輯結(jié)構(gòu)2025/2/1521電力二次系統(tǒng)安全防護(hù)的目標(biāo)與重點(diǎn)電力二次系統(tǒng)安全防護(hù)的重點(diǎn)是確保電力實(shí)時(shí)閉環(huán)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全；電力二次系統(tǒng)安全防護(hù)的目標(biāo)是抵御黑客、病毒、惡意代碼等通過(guò)各種形式對(duì)系統(tǒng)發(fā)起的惡意破壞和攻擊，特別是能夠抵御集團(tuán)式攻擊，防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故，及二次系統(tǒng)的崩潰或癱瘓。2025/2/1522電力二次系統(tǒng)主要安全風(fēng)險(xiǎn)（1）隨著通信技術(shù)和網(wǎng)絡(luò)技術(shù)的發(fā)展，接入國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)的電力控制系統(tǒng)越來(lái)越多。特別是隨著電力改革的推進(jìn)和電力市場(chǎng)的建立，要求在調(diào)度中心、電廠(chǎng)、用戶(hù)等之間進(jìn)行的數(shù)據(jù)交換也越來(lái)越頻繁。電力一次設(shè)備的改善使得其可控性能滿(mǎn)足閉環(huán)的要求。電廠(chǎng)、變電站減人增效，大量采用遠(yuǎn)方控制，對(duì)電力控制系統(tǒng)和數(shù)據(jù)網(wǎng)絡(luò)的安全性、可靠性、實(shí)時(shí)性提出了新的嚴(yán)峻挑戰(zhàn)；因特網(wǎng)和Internet技術(shù)已得到廣泛使用，E-mail、Web和PC的應(yīng)用也日益普及，但同時(shí)病毒和黑客也日益猖獗；目前有一些調(diào)度中心、發(fā)電廠(chǎng)、變電站在規(guī)劃、設(shè)計(jì)、建設(shè)控制系統(tǒng)和數(shù)據(jù)網(wǎng)絡(luò)時(shí)，對(duì)網(wǎng)絡(luò)安全問(wèn)題重視不夠，使得具有實(shí)時(shí)遠(yuǎn)方控制功能的監(jiān)控系統(tǒng)，在沒(méi)有進(jìn)行有效安全隔離的情況下與當(dāng)?shù)氐腗IS系統(tǒng)或其他數(shù)據(jù)網(wǎng)絡(luò)互連，構(gòu)成了對(duì)電網(wǎng)安全運(yùn)行的嚴(yán)重隱患；優(yōu)先級(jí)風(fēng)險(xiǎn)說(shuō)明/舉例0旁路控制（BypassingControls）入侵者對(duì)發(fā)電廠(chǎng)、變電站發(fā)送非法控制命令，導(dǎo)致電力系統(tǒng)事故，甚至系統(tǒng)瓦解。1完整性破壞（IntegrityViolation）非授權(quán)修改電力控制系統(tǒng)配置或程序；非授權(quán)修改電力交易中的敏感數(shù)據(jù)。2違反授權(quán)（AuthorizationViolation）電力控制系統(tǒng)工作人員利用授權(quán)身份或設(shè)備，執(zhí)行非授權(quán)的操作。3工作人員的隨意行為（Indiscretion）電力控制系統(tǒng)工作人員無(wú)意識(shí)地泄漏口令等敏感信息，或不謹(jǐn)慎地配置訪(fǎng)問(wèn)控制規(guī)則等。4攔截/篡改（Intercept/Alter）攔截或篡改調(diào)度數(shù)據(jù)廣域網(wǎng)傳輸中的控制命令、參數(shù)設(shè)置、交易報(bào)價(jià)等敏感數(shù)據(jù)。5非法使用（IllegitimateUse）非授權(quán)使用計(jì)算機(jī)或網(wǎng)絡(luò)資源。6信息泄漏（InformationLeakage）口令、證書(shū)等敏感信息泄密。7欺騙（Spoof）Web服務(wù)欺騙攻擊；IP欺騙攻擊。8偽裝(Masquerade)入侵者偽裝合法身份，進(jìn)入電力監(jiān)控系統(tǒng)。9拒絕服務(wù)（Availability）向電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或通信網(wǎng)關(guān)發(fā)送大量雪崩數(shù)據(jù)，造成拒絕服務(wù)。10竊聽(tīng)（Eavesdropping）黑客在調(diào)度數(shù)據(jù)網(wǎng)或?qū)＞€(xiàn)通道上搭線(xiàn)竊聽(tīng)明文傳輸?shù)拿舾行畔?，為后續(xù)攻擊準(zhǔn)備數(shù)據(jù)。電力二次系統(tǒng)主要安全風(fēng)險(xiǎn)（2）2025/2/1524二次系統(tǒng)安全防護(hù)總體原則系統(tǒng)性原則（木桶原理）；簡(jiǎn)單性原則；實(shí)時(shí)、連續(xù)、安全相統(tǒng)一的原則；需求、風(fēng)險(xiǎn)、代價(jià)相平衡的原則；實(shí)用與先進(jìn)相結(jié)合的原則；方便與安全相統(tǒng)一的原則；全面防護(hù)、突出重點(diǎn)的原則；分層分區(qū)、強(qiáng)化邊界的原則；整體規(guī)劃、分步實(shí)施的原則；責(zé)任到人，分級(jí)管理，聯(lián)合防護(hù)的原則；2025/2/1525安全防護(hù)模型PolicyProtectionDetectionResponse防護(hù)檢測(cè)反應(yīng)策略2025/2/1526相關(guān)的安全法律法規(guī)《關(guān)于維護(hù)網(wǎng)絡(luò)安全和信息安全的決議》《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》《計(jì)算機(jī)信息系統(tǒng)保密管理暫行規(guī)定》《涉及國(guó)家秘密的通信、辦公自動(dòng)化和計(jì)算機(jī)信息系統(tǒng)審批暫行辦法》《計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)安全保護(hù)管理辦法》《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》《電力工業(yè)中涉及的國(guó)家秘密及具體范圍的規(guī)定》《電網(wǎng)和電廠(chǎng)計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)的規(guī)定》《電力二次系統(tǒng)安全防護(hù)規(guī)定》

2025/2/1527電力二次系統(tǒng)安全防護(hù)總體策略安全分區(qū)：根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對(duì)一次系統(tǒng)的影響程度進(jìn)行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的安全區(qū)內(nèi)；對(duì)實(shí)時(shí)控制系統(tǒng)等關(guān)鍵業(yè)務(wù)采用認(rèn)證、加密等技術(shù)實(shí)施重點(diǎn)保護(hù)。網(wǎng)絡(luò)專(zhuān)用：建立調(diào)度專(zhuān)用數(shù)據(jù)網(wǎng)絡(luò)，實(shí)現(xiàn)與其它數(shù)據(jù)網(wǎng)絡(luò)物理隔離。并以技術(shù)手段在專(zhuān)網(wǎng)上形成多個(gè)相互邏輯隔離的子網(wǎng)，以保障上下級(jí)各安全區(qū)的縱向互聯(lián)僅在相同安全區(qū)進(jìn)行，避免安全區(qū)縱向交叉。橫向隔離：采用不同強(qiáng)度的安全隔離設(shè)備使各安全區(qū)中的業(yè)務(wù)系統(tǒng)得到有效保護(hù)，關(guān)鍵是將實(shí)時(shí)監(jiān)控系統(tǒng)與辦公自動(dòng)化系統(tǒng)等實(shí)行有效安全隔離，隔離強(qiáng)度應(yīng)接近或達(dá)到物理隔離?？v向認(rèn)證：采用認(rèn)證、加密、訪(fǎng)問(wèn)控制等手段實(shí)現(xiàn)數(shù)據(jù)的遠(yuǎn)方安全傳輸以及縱向邊界的安全防護(hù)。

2025/2/1528電力二次系統(tǒng)的安全區(qū)劃分安全區(qū)Ⅰ：實(shí)時(shí)控制區(qū)安全區(qū)Ⅱ：非控制生產(chǎn)區(qū)安全區(qū)Ⅲ：生產(chǎn)管理區(qū)安全區(qū)Ⅳ：管理信息區(qū)2025/2/1529安全區(qū)Ⅰ：實(shí)時(shí)控制區(qū)安全區(qū)Ⅰ中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為直接實(shí)現(xiàn)實(shí)時(shí)監(jiān)控功能，是電力生產(chǎn)的重要必備環(huán)節(jié)，系統(tǒng)實(shí)時(shí)在線(xiàn)運(yùn)行，使用調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ猛ǖ?。安全區(qū)Ⅰ的典型系統(tǒng)包括調(diào)度自動(dòng)化系統(tǒng)、廣域相量測(cè)量系統(tǒng)、配電自動(dòng)化系統(tǒng)、變電站自動(dòng)化系統(tǒng)、發(fā)電廠(chǎng)自動(dòng)監(jiān)控系統(tǒng)等，其主要使用者為調(diào)度員和運(yùn)行操作人員，數(shù)據(jù)實(shí)時(shí)性為秒級(jí)，外部邊界的通信經(jīng)由電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet-VPN1。該區(qū)中還包括采用專(zhuān)用通道的控制系統(tǒng)，如：繼電保護(hù)、安全自動(dòng)控制系統(tǒng)、低頻/低壓自動(dòng)減載系統(tǒng)、負(fù)荷控制系統(tǒng)等，這類(lèi)系統(tǒng)對(duì)數(shù)據(jù)通信的實(shí)時(shí)性要求為毫秒級(jí)或秒級(jí)。安全區(qū)Ⅰ是電力二次系統(tǒng)中最重要系統(tǒng)，安全等級(jí)最高，是安全防護(hù)的重點(diǎn)與核心。2025/2/1530安全區(qū)Ⅱ：非控制生產(chǎn)區(qū)安全區(qū)Ⅱ中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為：所實(shí)現(xiàn)的功能為電力生產(chǎn)的必要環(huán)節(jié)，但不具備控制功能，使用調(diào)度數(shù)據(jù)網(wǎng)絡(luò)，在線(xiàn)運(yùn)行，與安全區(qū)I中的系統(tǒng)或功能模塊聯(lián)系緊密。安全區(qū)Ⅱ的典型系統(tǒng)包括調(diào)度員培訓(xùn)模擬系統(tǒng)（DTS）、水調(diào)自動(dòng)化系統(tǒng)、繼電保護(hù)及故障錄波信息管理系統(tǒng)、電能量計(jì)量系統(tǒng)、批發(fā)電力交易系統(tǒng)等，其面向的主要使用者分別為電力調(diào)度員、水電調(diào)度員、繼電保護(hù)人員及電力市場(chǎng)交易員等。該區(qū)數(shù)據(jù)的實(shí)時(shí)性是分鐘級(jí)、小時(shí)級(jí)，其外部通信邊界為電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet-VPN2。2025/2/1531安全區(qū)Ⅲ：生產(chǎn)管理區(qū)安全區(qū)III中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為：實(shí)現(xiàn)電力生產(chǎn)的管理功能，但不具備控制功能，不在線(xiàn)運(yùn)行，可不使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)，與調(diào)度中心或控制中心工作人員的桌面終端直接相關(guān)，與安全區(qū)IV的辦公自動(dòng)化系統(tǒng)關(guān)系密切。該區(qū)的典型系統(tǒng)為調(diào)度生產(chǎn)管理系統(tǒng)（DMIS）、統(tǒng)計(jì)報(bào)表系統(tǒng)（日?qǐng)?bào)、旬報(bào)、月報(bào)、年報(bào)）、雷電監(jiān)測(cè)系統(tǒng)、氣象信息接入等。該區(qū)的外部通信邊界為電力數(shù)據(jù)通信網(wǎng)SPTnet-VPN1。2025/2/1532安全區(qū)Ⅳ：管理信息區(qū)安全區(qū)IV中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為：實(shí)現(xiàn)電力信息管理和辦公自動(dòng)化功能，使用電力數(shù)據(jù)通信網(wǎng)絡(luò)，業(yè)務(wù)系統(tǒng)的訪(fǎng)問(wèn)界面主要為桌面終端。該區(qū)包括管理信息系統(tǒng)（MIS）、辦公自動(dòng)化系統(tǒng)（OA）、客戶(hù)服務(wù)等。該區(qū)的外部通信邊界為SPTnet-VPN2及因特網(wǎng)。2025/2/1533電網(wǎng)二次系統(tǒng)安全防護(hù)總體示意圖下級(jí)調(diào)度/控制中心上級(jí)信息中心下級(jí)信息中心實(shí)時(shí)VPNSPDnet

非實(shí)時(shí)VPNIP認(rèn)證加密裝置安全區(qū)I(實(shí)時(shí)控制區(qū))安全區(qū)II(非控制生產(chǎn)區(qū))安全區(qū)III(生產(chǎn)管理區(qū))安全區(qū)IV(管理信息區(qū))外部公共因特網(wǎng)生產(chǎn)VPNSPTnet

管理VPN防火墻防火墻IP認(rèn)證加密裝置IP認(rèn)證加密裝置IP認(rèn)證加密裝置防火墻防火墻安全區(qū)I(實(shí)時(shí)控制區(qū))

防火墻安全區(qū)II(非控制生產(chǎn)區(qū))安全區(qū)III(生產(chǎn)管理區(qū))

防火墻

防火墻安全區(qū)IV(管理信息區(qū))專(zhuān)線(xiàn)正向?qū)Ｓ冒踩綦x裝置反向?qū)Ｓ冒踩綦x裝置正向?qū)Ｓ冒踩綦x裝置反向?qū)Ｓ冒踩綦x裝置

防火墻

防火墻

防火墻2025/2/1534電力數(shù)據(jù)業(yè)務(wù)與網(wǎng)絡(luò)的關(guān)系示意圖SDH（N×2M）SDH（155M）SPDnetSPTnet實(shí)時(shí)控制在線(xiàn)生產(chǎn)調(diào)度生產(chǎn)管理電力綜合信息實(shí)時(shí)VPN非實(shí)時(shí)VPN調(diào)度VPN信息VPN語(yǔ)音視頻VPNIP語(yǔ)音視頻SDH/PDH傳輸網(wǎng)2025/2/1535業(yè)務(wù)系統(tǒng)置于安全區(qū)的規(guī)則（一）根據(jù)該系統(tǒng)的實(shí)時(shí)性、使用者、功能、場(chǎng)所、各業(yè)務(wù)系統(tǒng)的相互關(guān)系、廣域網(wǎng)通信的方式以及受到攻擊之后所產(chǎn)生的影響，將其分置于四個(gè)安全區(qū)之中。實(shí)時(shí)控制系統(tǒng)或未來(lái)可能有實(shí)時(shí)控制功能的系統(tǒng)需置于安全區(qū)Ⅰ。電力二次系統(tǒng)中不允許把本屬于高安全區(qū)的業(yè)務(wù)系統(tǒng)遷移到低安全區(qū)。允許把屬于低安全區(qū)的業(yè)務(wù)系統(tǒng)的終端設(shè)備放置于高安全區(qū)，由屬于高安全區(qū)的人員使用。2025/2/1536業(yè)務(wù)系統(tǒng)置于安全區(qū)的規(guī)則（二）某些業(yè)務(wù)系統(tǒng)的次要功能與根據(jù)主要功能所選定的安全區(qū)不一致時(shí)，可將業(yè)務(wù)系統(tǒng)根據(jù)不同的功能模塊分為若干子系統(tǒng)分置于各安全區(qū)中，各子系統(tǒng)經(jīng)過(guò)安全區(qū)之間的通信來(lái)構(gòu)成整個(gè)業(yè)務(wù)系統(tǒng)。自我封閉的業(yè)務(wù)系統(tǒng)為孤立業(yè)務(wù)系統(tǒng)，其劃分規(guī)則不作要求，但需遵守所在安全區(qū)的安全防護(hù)規(guī)定。各電力二次系統(tǒng)原則上均應(yīng)劃分為四安全區(qū)的電力二次系統(tǒng)安全防護(hù)方案，但并非四安全區(qū)都必須存在。某安全區(qū)不存在的條件是:其本身不存在該安全區(qū)的業(yè)務(wù)。與其它電網(wǎng)二次系統(tǒng)在該安全區(qū)不存在“縱向“互聯(lián)。2025/2/1537安全區(qū)之間的安全強(qiáng)度要求安全區(qū)Ⅰ與安全區(qū)Ⅱ的業(yè)務(wù)系統(tǒng)都屬電力生產(chǎn)系統(tǒng)，都采用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)，都在線(xiàn)運(yùn)行，數(shù)據(jù)交換較多，關(guān)系比較密切，可以作為一個(gè)生產(chǎn)控制的邏輯大區(qū)；安全區(qū)Ⅲ與安全區(qū)Ⅳ的業(yè)務(wù)系統(tǒng)都屬管理信息系統(tǒng)，都采用電力數(shù)據(jù)通信網(wǎng)絡(luò)，數(shù)據(jù)交換較多，關(guān)系比較密切，可以作為一個(gè)管理信息的邏輯大區(qū)。生產(chǎn)控制的邏輯大區(qū)與管理信息的邏輯大區(qū)之間安全強(qiáng)度應(yīng)該達(dá)到相互物理隔離或接近于物理隔離。安全區(qū)Ⅰ與安全區(qū)Ⅱ之間，以及安全區(qū)III與安全區(qū)IV之間的安全強(qiáng)度應(yīng)該達(dá)到相互邏輯隔離。2025/2/1538安全區(qū)之間的橫向隔離要求（一）安全區(qū)I與安全區(qū)II之間須采用經(jīng)有關(guān)部門(mén)認(rèn)定核準(zhǔn)的硬件防火墻或相當(dāng)設(shè)備進(jìn)行邏輯隔離，應(yīng)禁止E-mail、Web、Telnet、Rlogin等服務(wù)穿越安全區(qū)之間的隔離設(shè)備。安全區(qū)III與安全區(qū)IV之間應(yīng)采用經(jīng)有關(guān)部門(mén)認(rèn)定核準(zhǔn)的硬件防火墻或相當(dāng)設(shè)備進(jìn)行邏輯隔離。2025/2/1539安全區(qū)之間的橫向隔離要求（二）安全區(qū)Ⅰ、Ⅱ不得與安全區(qū)Ⅳ直接聯(lián)系；安全區(qū)Ⅰ、Ⅱ與安全區(qū)Ⅲ之間應(yīng)該采用經(jīng)有關(guān)部門(mén)認(rèn)定核準(zhǔn)的專(zhuān)用安全隔離裝置。專(zhuān)用安全隔離裝置應(yīng)該達(dá)到接近物理隔離的強(qiáng)度。嚴(yán)格禁止E-MAIL、WEB、TELnet、Rlogin等網(wǎng)絡(luò)服務(wù)和以B/S或C/S方式的數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)功能穿越專(zhuān)用安全隔離裝置，僅允許純數(shù)據(jù)的單向安全傳輸。專(zhuān)用安全隔離裝置分為正向型和反向型。從安全區(qū)Ⅰ、Ⅱ往安全區(qū)Ⅲ必須采用正向安全隔離裝置單向傳輸信息；由安全區(qū)Ⅲ往安全區(qū)Ⅱ甚至安全區(qū)Ⅰ的單向數(shù)據(jù)傳輸必須經(jīng)反向安全隔離裝置。反向安全隔離裝置采取簽名認(rèn)證和數(shù)據(jù)過(guò)濾措施，僅允許純文本數(shù)據(jù)通過(guò)，并嚴(yán)格進(jìn)行病毒、木馬等惡意代碼的查殺。

2025/2/1540專(zhuān)用外部邊界網(wǎng)絡(luò)根據(jù)系統(tǒng)性原則，各電力二次系統(tǒng)的安全區(qū)的外部邊界網(wǎng)絡(luò)之間的安全防護(hù)隔離強(qiáng)度應(yīng)該和所連接的安全區(qū)之間的安全防護(hù)隔離強(qiáng)度相匹配。安全區(qū)Ⅰ、Ⅱ連接的廣域網(wǎng)為國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet。安全區(qū)Ⅲ、Ⅳ連接的廣域網(wǎng)為國(guó)家電力數(shù)據(jù)通信網(wǎng)SPTnet。國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet與國(guó)家電力數(shù)據(jù)通信網(wǎng)SPTnet應(yīng)該物理隔離，如基于SDH/PDH上的不同通道、不同波長(zhǎng)、不同纖芯等。安全區(qū)Ⅰ和安全區(qū)Ⅱ分別連接國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet的不同子網(wǎng)。安全區(qū)Ⅲ和安全區(qū)Ⅳ分別連接國(guó)家電力數(shù)據(jù)通信網(wǎng)SPTnet的不同子網(wǎng)。子網(wǎng)之間應(yīng)該邏輯隔離，可以通過(guò)MPLS-VPN技術(shù)、安全隧道技術(shù)、PVC技術(shù)或路由獨(dú)立技術(shù)等來(lái)構(gòu)造子網(wǎng)。2025/2/1541安全區(qū)與遠(yuǎn)方通信的縱向安全防護(hù)要求安全區(qū)Ⅰ、Ⅱ接入SPDnet時(shí)，應(yīng)配置縱向認(rèn)證加密裝置，實(shí)現(xiàn)網(wǎng)絡(luò)層雙向身份認(rèn)證、數(shù)據(jù)加密和訪(fǎng)問(wèn)控制，也可與業(yè)務(wù)系統(tǒng)的通信網(wǎng)關(guān)設(shè)備配合，實(shí)現(xiàn)部分傳輸層或應(yīng)用層的安全功能。如暫時(shí)不具備條件或根據(jù)具體業(yè)務(wù)的重要程度，可以用硬件防火墻或ACL技術(shù)的訪(fǎng)問(wèn)控制代替。安全區(qū)Ⅲ連接國(guó)家電力數(shù)據(jù)通信網(wǎng)SPTnet的生產(chǎn)子網(wǎng)應(yīng)通過(guò)硬件防火墻接入。處于外部網(wǎng)絡(luò)邊界的通信網(wǎng)關(guān)的操作系統(tǒng)應(yīng)進(jìn)行安全加固。根據(jù)具體業(yè)務(wù)的重要程度及信息的敏感程度，對(duì)I、II區(qū)的外部通信網(wǎng)關(guān)可以應(yīng)該增加加密、認(rèn)證和過(guò)濾的功能。傳統(tǒng)的基于專(zhuān)用信道的通信不涉及網(wǎng)絡(luò)安全問(wèn)題，可逐步采用線(xiàn)路加密技術(shù)保護(hù)關(guān)鍵廠(chǎng)站及關(guān)鍵業(yè)務(wù)。2025/2/1542安全區(qū)Ⅰ及安全區(qū)Ⅱ的防護(hù)要求（一）禁止安全區(qū)Ⅰ/Ⅱ內(nèi)部的E-MAIL服務(wù)。禁止安全區(qū)Ⅰ的WEB服務(wù)。允許安全區(qū)Ⅱ內(nèi)部采用B/S結(jié)構(gòu)的系統(tǒng)，但必須采取有效措施進(jìn)行封閉。允許安全區(qū)Ⅱ縱向WEB服務(wù)，其專(zhuān)用WEB服務(wù)器和WEB瀏覽工作站應(yīng)在“非軍事區(qū)”的網(wǎng)段，專(zhuān)用WEB服務(wù)器應(yīng)該是經(jīng)過(guò)安全加固且支持HTTPS的安全WEB服務(wù)器，WEB瀏覽工作站與安全區(qū)II業(yè)務(wù)系統(tǒng)工作站不得共用，而且必須由業(yè)務(wù)系統(tǒng)向WEB服務(wù)器單向主動(dòng)傳送數(shù)據(jù)。安全區(qū)Ⅰ/Ⅱ的重要業(yè)務(wù)（如SCADA/AGC、電力交易）應(yīng)該逐步采用認(rèn)證加密機(jī)制。安全區(qū)Ⅰ/Ⅱ內(nèi)的相關(guān)系統(tǒng)間應(yīng)該采取訪(fǎng)問(wèn)控制等安全措施。2025/2/1543安全區(qū)Ⅰ及安全區(qū)Ⅱ的防護(hù)要求（二）對(duì)安全區(qū)Ⅰ/Ⅱ進(jìn)行撥號(hào)訪(fǎng)問(wèn)服務(wù)，用戶(hù)端應(yīng)該使用UNIX或LINUX操作系統(tǒng)且采取認(rèn)證、加密、訪(fǎng)問(wèn)控制等安全防護(hù)措施。安全區(qū)Ⅰ/Ⅱ邊界上可考慮部署入侵檢測(cè)系統(tǒng)IDS。安全區(qū)Ⅰ、Ⅱ可以合用一套IDS管理系統(tǒng)。安全區(qū)Ⅰ/Ⅱ應(yīng)該考慮部署安全審計(jì)措施，應(yīng)把安全審計(jì)與安全區(qū)網(wǎng)絡(luò)管理系統(tǒng)、IDS管理系統(tǒng)、敏感業(yè)務(wù)服務(wù)器登錄認(rèn)證和授權(quán)、應(yīng)用訪(fǎng)問(wèn)權(quán)限相結(jié)合。安全區(qū)Ⅰ/Ⅱ應(yīng)該采取防惡意代碼措施。病毒庫(kù)和木馬庫(kù)的更新應(yīng)該離線(xiàn)進(jìn)行，不得直接從因特網(wǎng)下載。安全區(qū)Ⅰ/Ⅱ內(nèi)的系統(tǒng)必須經(jīng)過(guò)安全評(píng)估。2025/2/1544安全區(qū)Ⅲ的防護(hù)要求安全區(qū)Ⅲ允許開(kāi)通EMAIL、WEB服務(wù)。對(duì)安全區(qū)Ⅲ撥號(hào)訪(fǎng)問(wèn)服務(wù)必須采取訪(fǎng)問(wèn)控制等安全防護(hù)措施。安全區(qū)Ⅲ應(yīng)該部署安全審計(jì)措施，邊界上應(yīng)部署入侵檢測(cè)系統(tǒng)，如IDS等。安全區(qū)Ⅲ必須采取防惡意代碼措施。2025/2/1545電力二次系統(tǒng)四安全區(qū)拓?fù)浣Y(jié)構(gòu)

電力二次系統(tǒng)四安全區(qū)的拓?fù)浣Y(jié)構(gòu)有三種模式，這三種模式均能滿(mǎn)足電力二次系統(tǒng)安全防護(hù)體系的要求。2025/2/1546電力二次系統(tǒng)安全防護(hù)方案的實(shí)施步驟（一）第一階段是理清流程，修補(bǔ)漏洞。需要對(duì)本地系統(tǒng)的物理配置、連接關(guān)系，以及信息流程有明晰的認(rèn)識(shí)，必須有業(yè)務(wù)系統(tǒng)的詳細(xì)的物理連線(xiàn)圖及數(shù)據(jù)流圖。第二階段是調(diào)整結(jié)構(gòu)，清理邊界。按照安全防護(hù)方案，做好相應(yīng)的安全區(qū)規(guī)劃，將各類(lèi)系統(tǒng)置于對(duì)應(yīng)的安全區(qū)內(nèi)，并增加必要的設(shè)備，對(duì)各類(lèi)應(yīng)用系統(tǒng)和網(wǎng)絡(luò)設(shè)備的配置進(jìn)行相應(yīng)的修改。第三階段及第四階段部署橫向隔離裝置和縱向防護(hù)措施?？煞蛛A段逐步實(shí)現(xiàn)。第五階段部署認(rèn)證機(jī)制。在各類(lèi)專(zhuān)用裝置和與認(rèn)證機(jī)制有關(guān)的CA、RA已建立的條件下部署認(rèn)證機(jī)制。第六階段為現(xiàn)系統(tǒng)改造和新系統(tǒng)開(kāi)發(fā)。要求二次系統(tǒng)各研究、生產(chǎn)單位按照方案的要求研制新系統(tǒng)，并對(duì)現(xiàn)有系統(tǒng)進(jìn)行改造。2025/2/1547電力二次系統(tǒng)安全防護(hù)方案的實(shí)施步驟（二）

2025/2/1548網(wǎng)絡(luò)安全的技術(shù)措施專(zhuān)用安全隔離裝置防火墻入侵檢測(cè)設(shè)備防病毒系統(tǒng)系統(tǒng)備份與災(zāi)難恢復(fù)加密與認(rèn)證網(wǎng)絡(luò)安全評(píng)估系統(tǒng)2025/2/1549專(zhuān)用安全隔離裝置電力專(zhuān)用安全隔離裝置作為安全區(qū)I/II與安全區(qū)III的必備邊界，要求具有最高的安全防護(hù)強(qiáng)度，是安全區(qū)I/II橫向防護(hù)的要點(diǎn)。安全隔離裝置（正向）用于安全區(qū)I/II到安全區(qū)III的單向數(shù)據(jù)傳遞；安全隔離裝置（反向）用于安全區(qū)III到安全區(qū)I/II的單向數(shù)據(jù)傳遞。安全隔離裝置的部署：2025/2/1550隔離裝置的安全保障要求采用非INTEL指令系統(tǒng)（及兼容）的微處理器；精簡(jiǎn)的、安全的、固化的操作系統(tǒng)；不存在設(shè)計(jì)與實(shí)現(xiàn)上的安全漏洞；能夠抵御對(duì)Ⅰ/Ⅱ區(qū)的部分DoS攻擊及其他已知的網(wǎng)絡(luò)攻擊。2025/2/1551正向隔離裝置的硬件結(jié)構(gòu)及網(wǎng)絡(luò)連接專(zhuān)用隔離設(shè)備實(shí)時(shí)系統(tǒng)管理系統(tǒng)處理器A處理器BTCP/IPTCP/IP雙聯(lián)網(wǎng)段切換開(kāi)關(guān)非網(wǎng)1、取消TCP外所有網(wǎng)絡(luò)功能；2、內(nèi)設(shè)地址過(guò)濾，對(duì)外沒(méi)有IP地址；3、采用非網(wǎng)（USB等）專(zhuān)用進(jìn)程通信，內(nèi)外網(wǎng)不同時(shí)接通；2025/2/1552§正向隔離裝置的功能要求（一）實(shí)現(xiàn)兩個(gè)安全區(qū)之間的非網(wǎng)絡(luò)方式的安全的數(shù)據(jù)交換，并且保證安全隔離裝置內(nèi)外兩個(gè)處理系統(tǒng)不同時(shí)連通；要求用物理方式實(shí)現(xiàn)數(shù)據(jù)完全單向傳輸，即從安全區(qū)Ⅲ到安全區(qū)Ⅰ/Ⅱ的TCP應(yīng)答報(bào)文禁止攜帶應(yīng)用數(shù)據(jù)；透明工作方式，虛擬主機(jī)IP地址、隱藏MAC地址；基于MAC、IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報(bào)文過(guò)濾與訪(fǎng)問(wèn)控制；支持NAT；2025/2/1553§正向隔離裝置的功能要求（二）防止穿透性TCP連接：禁止內(nèi)網(wǎng)、外網(wǎng)的兩個(gè)應(yīng)用網(wǎng)關(guān)之間直接建立TCP連接，應(yīng)將內(nèi)外兩個(gè)應(yīng)用網(wǎng)關(guān)之間的TCP連接分解成內(nèi)外兩個(gè)應(yīng)用網(wǎng)關(guān)分別到隔離裝置內(nèi)外兩個(gè)網(wǎng)卡的兩個(gè)TCP虛擬連接。隔離裝置內(nèi)外兩個(gè)網(wǎng)卡在裝置內(nèi)部是非網(wǎng)絡(luò)連接，且只允許以物理方式實(shí)現(xiàn)數(shù)據(jù)數(shù)據(jù)單向傳輸；具有可定制的應(yīng)用層解析功能，支持應(yīng)用層特殊標(biāo)記識(shí)別；安全、方便的維護(hù)管理方式：基于證書(shū)的管理人員認(rèn)證，圖形化的管理界面。2025/2/1554反向隔離裝置的工作過(guò)程安全區(qū)III到安全區(qū)I/II的唯一數(shù)據(jù)傳遞途徑；安全區(qū)III內(nèi)的數(shù)據(jù)發(fā)送端首先對(duì)需發(fā)送的數(shù)據(jù)簽名，然后發(fā)給反向型專(zhuān)用隔離裝置；專(zhuān)用隔離裝置接收數(shù)據(jù)后，進(jìn)行簽名驗(yàn)證，并對(duì)數(shù)據(jù)進(jìn)行內(nèi)容過(guò)濾、有效性檢查等處理；將處理過(guò)的數(shù)據(jù)轉(zhuǎn)發(fā)給安全區(qū)I/II內(nèi)部的接收程序。2025/2/1555§反向隔離裝置的功能要求應(yīng)滿(mǎn)足正向隔離裝置的所有基本功能；具有應(yīng)用網(wǎng)關(guān)功能，實(shí)現(xiàn)應(yīng)用數(shù)據(jù)的接收與轉(zhuǎn)發(fā)；具有應(yīng)用數(shù)據(jù)內(nèi)容有效性檢查功能；具有基于數(shù)字證書(shū)的數(shù)據(jù)簽名和驗(yàn)證功能；實(shí)現(xiàn)兩個(gè)安全區(qū)之間的非網(wǎng)絡(luò)方式的安全的數(shù)據(jù)傳遞，要求用物理方式實(shí)現(xiàn)數(shù)據(jù)完全單向傳輸，即從安全區(qū)Ⅰ/Ⅱ到安全區(qū)Ⅲ的TCP應(yīng)答報(bào)文禁止攜帶應(yīng)用數(shù)據(jù)。2025/2/1556IP認(rèn)證加密裝置對(duì)于縱向通信過(guò)程，主要考慮是兩個(gè)系統(tǒng)之間的認(rèn)證，具體實(shí)現(xiàn)可以由兩個(gè)通信網(wǎng)關(guān)之間的認(rèn)證實(shí)現(xiàn)，或者兩處IP認(rèn)證加密裝置之間的認(rèn)證來(lái)實(shí)現(xiàn)。建議采用對(duì)IP認(rèn)證加密裝置之間的認(rèn)證。IP認(rèn)證加密裝置用于安全區(qū)I/II的廣域網(wǎng)邊界保護(hù)。為本地安全區(qū)I/II提供類(lèi)似包過(guò)濾防火墻的功能。為通信網(wǎng)關(guān)間的廣域網(wǎng)通信提供具有認(rèn)證與加密功能的VPN，實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)臋C(jī)密性、完整性保護(hù)。2025/2/1557IP認(rèn)證加密裝置功能IP認(rèn)證加密裝置之間支持基于數(shù)字證書(shū)的認(rèn)證，支持定向認(rèn)證加密；對(duì)傳輸?shù)臄?shù)據(jù)通過(guò)數(shù)據(jù)簽名與加密進(jìn)行數(shù)據(jù)機(jī)密性、完整性保護(hù)；支持透明工作方式與網(wǎng)關(guān)工作方式；具有基于IP、傳輸協(xié)議、應(yīng)用端口號(hào)的綜合報(bào)文過(guò)濾與訪(fǎng)問(wèn)控制功能。具有選擇加密方向以及對(duì)被加密報(bào)文進(jìn)行報(bào)文長(zhǎng)度或其它被設(shè)置特征的選擇加密和解密功能；具有NAT功能；性能要求：10M/100M線(xiàn)速轉(zhuǎn)發(fā)，支持100個(gè)并發(fā)會(huì)話(huà)；具有查詢(xún)、設(shè)置、統(tǒng)計(jì)等管理功能，以及相應(yīng)的友好的用戶(hù)界面；多家開(kāi)發(fā)的設(shè)備可以互聯(lián)互通。2025/2/1558縱向通信認(rèn)證示意圖2025/2/1559遠(yuǎn)程撥號(hào)訪(fǎng)問(wèn)防護(hù)方案撥號(hào)的防護(hù)措施可以在鏈路層或網(wǎng)絡(luò)層實(shí)施，采用認(rèn)證、加密技術(shù)保證通信雙方身份的真實(shí)性和數(shù)據(jù)的完整性、保密性。鏈路方式：對(duì)于以遠(yuǎn)方終端的方式通過(guò)被訪(fǎng)問(wèn)的本地主機(jī)的RS232接口直接訪(fǎng)問(wèn)本地主機(jī)的情況，采用鏈路層保護(hù)措施，即在兩端安裝鏈路加密設(shè)備。該方式主要用于安全區(qū)I的遠(yuǎn)程撥號(hào)訪(fǎng)問(wèn)。網(wǎng)絡(luò)方式：通過(guò)RAS（遠(yuǎn)程訪(fǎng)問(wèn)服務(wù)器）訪(fǎng)問(wèn)本地網(wǎng)絡(luò)與系統(tǒng)的遠(yuǎn)程訪(fǎng)問(wèn)，建議采用網(wǎng)絡(luò)層保護(hù)措施，即采用用戶(hù)端證書(shū)與撥號(hào)認(rèn)證加密裝置配合的撥號(hào)VPN。該方式主要用于安全區(qū)II/III的遠(yuǎn)程撥號(hào)訪(fǎng)問(wèn)。2025/2/1560遠(yuǎn)程撥號(hào)訪(fǎng)問(wèn)防護(hù)示意圖鏈路保護(hù)措施：

使用專(zhuān)用鏈路加密設(shè)備，實(shí)現(xiàn)以下安全功能：兩端鏈路加密設(shè)備相互進(jìn)行認(rèn)證對(duì)鏈路幀進(jìn)行加密網(wǎng)絡(luò)保護(hù)措施：采用遠(yuǎn)程訪(fǎng)問(wèn)VPN方式。在RAS與本地網(wǎng)絡(luò)之間設(shè)置撥號(hào)認(rèn)證加密裝置，結(jié)合用戶(hù)數(shù)字證書(shū)，對(duì)遠(yuǎn)程撥入的用戶(hù)身份進(jìn)行認(rèn)證，通過(guò)認(rèn)證后，在遠(yuǎn)程撥入用戶(hù)與撥號(hào)認(rèn)證加密裝置之間建立IPSecVPN，對(duì)網(wǎng)絡(luò)層數(shù)據(jù)進(jìn)行機(jī)密性與完整性保護(hù)。相關(guān)的安全產(chǎn)品包括：用戶(hù)端的IPSecVPN客戶(hù)端插件及相應(yīng)的加密卡、RAS端的撥號(hào)認(rèn)證加密裝置（包括相應(yīng)的加密設(shè)備）。撥號(hào)認(rèn)證加密裝置可以是單獨(dú)的設(shè)備，置于RAS與本地網(wǎng)絡(luò)之間，也可以與RAS集成在一個(gè)物理設(shè)備中。2025/2/1561傳統(tǒng)專(zhuān)用通道的防護(hù)—線(xiàn)路加密設(shè)備線(xiàn)路加密設(shè)備可用于傳統(tǒng)專(zhuān)線(xiàn)RTU、保護(hù)裝置、安控裝置通道上數(shù)據(jù)的加密保護(hù)，防止搭線(xiàn)篡改數(shù)據(jù)。要求該設(shè)備具有一定強(qiáng)度的對(duì)稱(chēng)加密功能。建議新開(kāi)發(fā)的專(zhuān)線(xiàn)RTU、保護(hù)裝置、安控裝置，內(nèi)置安全加密功能。

2025/2/1562防火墻防火墻產(chǎn)品可以部署在安全區(qū)I與安全區(qū)II之間（橫向），實(shí)現(xiàn)兩個(gè)區(qū)域的邏輯隔離、報(bào)文過(guò)濾、訪(fǎng)問(wèn)控制等功能。對(duì)于調(diào)度數(shù)據(jù)專(zhuān)網(wǎng)條件不完善的地方，需要部署在調(diào)度數(shù)據(jù)接入處（縱向）。防火墻安全策略主要是基于業(yè)務(wù)流量的IP地址、協(xié)議、應(yīng)用端口號(hào)、以及方向的報(bào)文過(guò)濾。具體選用的防火墻必須經(jīng)過(guò)有關(guān)部門(mén)認(rèn)可的國(guó)產(chǎn)硬件防火墻。2025/2/1563Web服務(wù)的使用與防護(hù)在安全區(qū)I中取消Web服務(wù)。禁止安全區(qū)I中的計(jì)算機(jī)使用瀏覽器訪(fǎng)問(wèn)安全區(qū)II的Web服務(wù)。安全區(qū)II中的Web服務(wù)將是安全區(qū)I與II的統(tǒng)一的數(shù)據(jù)發(fā)布與查詢(xún)窗口?？紤]到目前Web服務(wù)的不安全性，以及安全區(qū)II的Web服務(wù)需要向整個(gè)SPDnet開(kāi)放，因此在安全區(qū)II中將用于Web服務(wù)的服務(wù)器與瀏覽器客戶(hù)機(jī)統(tǒng)一布置在安全區(qū)II中的一個(gè)邏輯子區(qū)――Web服務(wù)子區(qū)，置于安全區(qū)II的接入交換機(jī)上的獨(dú)立VLAN中。Web服務(wù)器采用安全Web服務(wù)器，即經(jīng)過(guò)主機(jī)安全加固的，支持SSL、HTTPS的Web服務(wù)器，能夠?qū)g覽器客