某地电力二次系统安全防护的设计

某地调电力二次系统平安防护的设计吐鲁番电业局调度通信中心史忠平目录TOC\o"１-３"\h\z\u１、引言１２、现状２３、整改的 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 ３３.１平安防护的根本原那么３３.２系统在平安防护中的问题４３.３适应电网的二次防护系统构建５３.３.１EMS与MIS网络间的电力物理隔离５３.３.２其它各区之间的平安策略７３.３.３系统的网络传输控制９３.３.４数据库管理１０３.３.５防病毒措施１１完毕语１１后记１１参考文献１２某地调电力二次系统平安防护的设计【摘要】：电力二次系统是指各级电力监控系统和调度数据网络〔SPDnet〕以及各级调度管理信息系统(OMS)和电力数据通信网络〔SPInet〕构成的大系统。本次我们仅就某地区电业局电力二次系统现状，确定电力二次系统的平安区的划分原那么，确定各平安区之间在横向及纵向上的防护原那么，提出该系统平安防护的思路。国家电网公司依据我公司内部电网二次系统系统的具体情况制定了？全国电力二次系统平安防护总体方案？，目的是标准和统一我国电网和电厂计算机监控系统及调度数据网络平安防护的规划、实施和监管，以防范对电网和电厂计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障电力系统的平安、稳定、经济运行。【关键字】：二次防护，系统，平安区，数据网络１、引言由于随着计算机、Internet的普及以及人们对网络的依赖和使用的深入，病毒、黑客等对计算机、网络的正常使用构成的威胁日渐突出，为防止因病毒或黑客的攻击造调度自动化系统瘫痪、从根本上保证供电企业的自动化系统免受病毒、黑客的攻击，保证供电企业的平安运行。国家经济贸易委员会和国家电力公司相继出台了电力系统自动化方面的网络平安方案。国家经济贸易委员会第３０号令？电网和电厂计算机监控系统及调度数据网络平安防护规定？及国家电力公司国电调[２００２]４１１号文件详细描述了供电企业内部四个不同工作区之间的信息交换方式，a.平安区Ⅰ为实时控制区，平安保护的核心。但凡具有实时监控功能的系统或其中的监控功能局部均应属于平安区Ⅰ。如：调度自动化系统和相量同步测量系统、配电自动化系统、变电站自动化系统、发电厂自动监控系统等，是电力二次系统平安保护的重点与核心。b.平安区Ⅱ为非控制业务区，原那么上不具备控制功能的生产业务和批发交易业务系统均属于该区，如：水调自动化系统、电能量计量系统、发电侧电力市场交易系统等。该区的外部通信边界为SPDnet的非实时VPN。c.平安区Ⅲ为生产管理区，该区的系统为进展生产管理的系统，如：调度生产管理系统、雷电监测系统、气象信息接入、客户效劳等。该区中公共数据库内的数据可提供运行管理人员进展web浏览。该区的外部通信边界为电力数据通信网SPInet。d.平安区IV为管理信息区，如：管理信息系统及办公自动化系统。该区的外部通信边界为SPInet或因特网。２、现状某局目前拥有２２０KV变电所４座、１１０KV变电所１７座、３５KV变电所３６座，所有变电所均接入EMS〔电网能量管理〕系统。实现遥测、遥信、遥控、遥调、SOE、潮流分析等功能，能够适应电网调度运行工作要求。某局目前采用了DF８００２V８电网能量管理系统，该系统于２００４年３月投入运行。DF８００２V８系统采用分布式的设计模式和网络体系构造，基于TCP/IP网络传输 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 ，功能以Client/Server模式分布于网络中，支持和管理网络中各自独立的数据处理节点，使数据实现共享和统一。DF８００２V８电网能量管理系统的主站端包含通道系统、系统效劳器两台、前置机效劳器两台、Web效劳器、高级应用工作站、调度员工作站两台、维护工作站、各工作站通过两台交换机组成实时电网能量管理系统，公司其他部门可通过Web调看画面和数据。一段时间运行 说明 关于失联党员情况说明岗位说明总经理岗位说明书会计岗位说明书行政主管岗位说明书 ，DF８００２V８系统能够为电网管理提供有效、高质的技术平台，但它在平安防护方面考虑较少，各平安区内部及之间缺少必要的隔离措施，这就造成了现有系统存在平安防护薄弱的事实缺陷。DF８００２V８系统的网络构造中，效劳器、工作站、WEB、前置系统等设备均以总线构造接于一台HUAWEIS２０２６２４口交换机。单位时间内数据交换流量过大、机器负荷过重，容易造成设备间数据通讯故障，情况严重的甚至可以导致效劳器误判网络故障超时，导致自动关闭主程序。同时，经过同一网段进展交换，也增加系统全面感染病毒的可能。系统各效劳器、工作站配置的金山防病毒软件版本过老，缺乏及时的特征库升级。各工作站由于虽然标准了使用人员权限并设置了系统口令，但是仍然有暴露系统于非专业人员、调度人员的可能。如果这些人误动了系统数据库，误操作了系统相关功能，后果将不堪设想。３、整改的方案参照？全国电力二次系统平安防护总体方案？，我们确定电力二次系统的平安防护应遵循以下根本原那么平安分区。分区防护、突出重点。根据系统中的业务的重要性和对一次系统的影响程度进展分区，重点保护生产控制以及直接生产电力生产的系统。网络专用。电力调度数据网SPDnet与电力数据通信网SPInet实现平安隔离，并通过采用MPLS-VPN或IPSEC－VPN在SPDnet和SPInet分别形成多个相互逻辑隔离的VPN实现多层次的保护。横向隔离。在不同平安区之间采用逻辑隔离装置或物理隔离装置使核心系统得到有效保护。纵向认证、防护。平安区Ⅰ、Ⅱ的纵向边界部署IP认证加密装置；平安区Ⅲ、Ⅳ的纵向边界必须部署硬件防火墙，目前在认证加密装置尚未完善情况下，使用国产硬件防火墙进展防护。整体平安防护隔离情况如以下图所示：３.２系统在平安防护中的问题某局目前所使用的DF８００２V８系统作为成熟的电网管理平台，是通过自己独立的网络在平安区I和平安区II中运行，系统既担负着电网实时监测、控制、SOE、数据录库、处理等任务，也为调度人员集成了电压无功优化管理、PAS〔网络拓扑、状态分析、负荷预测、调度员潮流分析〕等功能，且必须为整合DMIS系统提供支撑。同时，系统必须为电力客户和有关部门提供实时发布浏览的WEB效劳。EMS系统独立组网于平安I、II区，DMIS支持软件位于平安III区，而WEB效劳器做为连接MIS网的主要设备位于平安III区。实际情况是，调度人员使用的DMIS支撑软件与调度工作站集成于调度I、II区共同使用，WEB效劳器在III区间未经过有效的物理隔离设施直接与I、II区相联,且与IV区之间也没有任何防护措施。DF８００２V８系统的网络构造中，效劳器、工作站、WEB、前置系统等设备均以总线构造接于一台HUAWEIS２０２６２４口交换机。单位时间内数据交换流量过大、机器负荷过重，容易造成设备间数据通讯故障，情况严重的甚至可以导致效劳器误判网络故障超时，导致自动关闭主程序。同时，经过同一网段进展交换，也增加系统全面感染病毒的可能。系统各效劳器、工作站配置的金山防病毒软件版本过老，缺乏及时的特征库升级。各工作站由于虽然标准了使用人员权限并设置了系统口令，但是仍然有暴露系统于非专业人员、调度人员的可能。如果这些人误动了系统数据库，误操作了系统相关功能，后果将不堪设想。３.３适应电网的二次防护系统构建操作系统的平安、数据库的平安、网络平安、系统权限论证、病毒防范措施构成电网管理系统平安性的各环节。结合我公司系统现状，调度实时系统与MIS网之间的有效隔离，EMS系统人员权限管理、数据库管理、病毒特征库升级管理成为构建二次防护系统的主要问题。３.３.１EMS与MIS网络间的电力物理隔离根据上图及国家经济贸易委员会第３０号令？电网和电厂计算机监控系统及调度数据网络平安防护规定？：第三条电力系统平安防护的根本原那么是：电力系统中，平安等级较高的系统不受平安等级较低系统的影响。电力监控系统的平安等级高于电力管理信息系统及办公自动化系统，各电力监控系统必须具备可靠性高的自身平安防护设施，不得与平安等级低的系统直接相联。第四条各电力监控系统与办公自动化系统或其他信息系统之间以网络方式互联时,必须采用经国家有关部门认证的专用、可靠的平安隔离设施。DF８００２V８系统需面向MIS网络用户发布实时电网信息。我们的系统需要做如下的变动：可以通过一台基于LINUX操作系统的WEB效劳器，以数据单向迁移的形式由调度网络将数据镜像发布于WEB效劳器，并由WEB效劳器生成满足发布浏览要求的WEB页面，供平安III/IV区的用户调用。采用物理隔离装置可使平安区之间物理隔离。制止跨越平安区Ⅰ/Ⅱ与平安区Ⅲ/Ⅳ的非数据应用穿透物理隔离装置的平安防护强度适应由平安区Ⅰ/Ⅱ向平安区Ⅲ/Ⅳ的单向数据传输。由平安区Ⅲ/Ⅳ向平安区Ⅰ/Ⅱ的单向数据传输必须经平安数据过滤网关串接物理隔离装置。由此，我们必须采用软、硬件结合的有效平安隔离措施、保证网络数据共享的同时，实施对非法信息的隔离。结合目前系统情况，可以将现有WEB效劳器完全置于平安III区，通过专用电力物理隔离设备实现与平安I、II区的数据共享。    专用电力物理隔离设备其它网络系统平安III区WEB效劳器EMS系统平安I区 EMS与WEB间的电力物理隔离示意图 电力专用物理隔离设施必须满足以下条件：(１)具有物理隔离能力的硬件构造,保证了内部网络和外部网络的物理隔离(２)软、硬结合的数据流向控制通过平安策略实现软控制〔通过单向迁移，实现WEB效劳器与物理设备的连接，设置Socket端口建立WEB与隔离设备的链路〕。通过物理开关实现硬控制(３)Socket连接方向的控制(４)IP与MAC地址绑定３.３.２其它各区之间的平安策略将平安I区〔实时数据区〕与平安II区进展必要的隔离，制止跨越平安区Ⅰ与的E-MAIL、WEB、telnet、rlogin。即将系统的数据采集局部全部放入平安Ⅰ区，将剩余的SCADA效劳、历史数据效劳、各客户端以及局部高级应用效劳放入平安Ⅱ区，数据采集区配置自己独立的效劳器、交换机，并配置相应策略。镜像生成数据、数据单向迁移能够局部的消除数据信息传输过程中遭受病毒、HACKER攻击的概率。LINUX系统由于其能够实现对个体文件、任务进展加密处理的特性，使其较WINDOWS系统更为平安、可靠。由于WEB效劳器在身份认证和权限管理方面没有有效措施，同时当LINUX系统中的SAMBA效劳使WEB效劳器在直接面向与INTERNET互联的MIS网络时为HACKER攻击和病毒入侵提供了漏洞或者端口。因此需要在WEB效劳器与MIS网络之间，即在平安III区与平安IV区之间配置一台防火墙，并配置相应策略。防火墙设备其它网络系统平安IV区MIS网络平安III区WEB效劳器   WEB与MIS网络间的示意图如此配置后的调度自动化拓扑根本就可以确定为以下图：３.３.３系统的网络传输控制拓扑网络中，数据传输与信息交互的控制是需要网络各节点全面控制支持的，因此我们有必要确保网络各环节处于可控、在控状态中，可以利用以下手段实现。〔１〕、加强口令管理字符数较少的弱口令或默认口令常常会被无关人员记忆，也易被HACKER破译。同时，由于EMS系统担负了远控、数据备份等重要任务，一旦被别有用心的人盗用口令，肆意删除数据或者使用其他功能，企业损失将无法估计。我们可结合现代密码学，使用CA与身份认证保证我们的用户管理。PKI是一个利用现代密码学中的公钥密码技术在开放的网络环境中提供数据加密以及数字签名效劳的统一的技术框架。基于PKI的CA认证系统为电力调度生产及管理系统与调度数据网上的用户、关键网络设备、效劳器提供数字证书效劳。最终CA认证体系构造图如下所示：CA认证系统的整体构造CA中心RA中心…….…….调度人员设备密钥管理中心RA中心RA中心调度人员设备调度人员设备〔２〕、禁用不必要效劳关闭某些网络设备出厂缺省设置，如Finger、BootpServer、IPRedirect、ProxyArp、Directed-Broadcast等效劳，另外，在路由器上，对于SNMP、DHCP以及WEB管理效劳等，只有绝对必要的时候才可使用这些效劳。〔３〕、制止使用远程访问使用远程访问客户端，可以方便系统的远程维护，实现厂家在线技术支持。但是，通过INTERNET的访问控制，必然将系统暴露，为攻击提供访问端口，局部病毒也可以伪装成TXT等格式，入侵系统。〔４〕、控制流量有限进入网络为了防止路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、播送地址、多播地址以及任何假冒的内部地址的包。虽然用户无法杜绝DoS攻击，但用户可以限制DoS的危害；另外，用户还可以采取增加SYNACK队列长度、缩短ACK超时等措施来保护路由器免受TCPSYN的攻击。〔５〕、合理分配交换机为减轻交换机数据流量和处理任务，我们配置两台交换机，分别构建立前置系统〔１９２.１６８.０.*〕与调度效劳器、工作站、WEB〔２０２.０.１.*〕两个网段，由此有效提高了数据交互效率，并且减少网络故障概率。３.３.４数据库管理EMS系统拥有丰富的数据资源、数据库的平安管理成为系统二次防护的重要组成。数据资源主要分布在前置系统的效劳器、EMS系统主效劳器、WEB效劳器、VQC、PAS、DMIS系统站的PC工作站、电能量系统的效劳器中。处于平安I、II区的EMS系统各组成设备在物理防护下，面临的威胁主要来自于人的因素。因此我们必须采取以下措施：分解系统维护人员、调度操作人员、设备巡视人员职责，并在EMS的人机交互环节设置表达出来，将人员分组赋予不同权限范围，并实现口令管理，同时在系统中用记录人员访问操作信息。严格口令 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 ，严禁无关人员使用工作人员口令、权限，并健全相关处分措施。３.３.５防病毒措施利用防病毒软件是系统遏止病毒入侵、防范病毒危害的重要手段。我们的系统选用的主要是金山公司出品的金山毒霸系列软件。病毒是不断开展、衍变的，厂家由此定期会通过INTERNET升级病毒特征库，而我们的系统基于平安I区，不可能直接远程升级特征库代码。传统的 方法 快递客服问题件处理详细方法山木方法pdf计算方法pdf华与华方法下载八字理论方法下载 我们主要利用设备提供的光盘驱动器、软盘驱动器、USB输入口等设备直接将拷贝下的病毒升级程序迁入系统设备中。中间无论是采取移动设备还是通过网络连接的方式实际上都将系统暂时暴露系统平安防护体系之外。有鉴于次，我们可以设置一台独立的病毒升级效劳器解决这个问题。病毒效劳器可以设置于平安III区，该效劳器采用LINUX系统为操作平台〔KDE平台〕，并加装防病毒软件，利用KDE系统的文件管理功能处理获取的病毒特征库文件，经过本机杀毒后，经过物理隔离设备提供给总线构造连接的EMS网络各设备，从而实现系统设备病毒库的平安升级。另外，我们注意到，EMS设备提供的I/O设备成为非专业人员输入病毒的隐患，因此我们将效劳器与各工作站中封存的I/O设备予以封存，杜绝出现由此造成的系统崩溃等故障！完毕语本文中所阐述内容，是我对某局现有EMS系统二次防护工作的一些建议和想法，局部内容已经实现，经实践证明是行之有效的，有些内容因为资金等原因尚未实现，但是我们有必要就此进展先期探索论证，做好技术储藏。参考文献１．？电网调度自动化与信息化技术标准？２．？电网调度自动化与配网自动化技术？３.？全国电力二次系统平安防护总体方案？４.？电网和电厂计算机监控系统及调度数据网络平安防护规定？