光伏电站网络安全防护整改建设方案

1、光伏电站网络安全防护整改建设方案XXXXXXX 公司2020年5月 TOC o 1-5 h z 目录2概述3 HYPERLINK l bookmark25 o Current Document 总贝93 HYPERLINK l bookmark41 o Current Document 依据及规范4 HYPERLINK l bookmark45 o Current Document 项目概况4 HYPERLINK l bookmark48 o Current Document 项目单位4 HYPERLINK l bookmark57 o Current Document 电站网络拓扑（原架构）

2、4 HYPERLINK l bookmark61 o Current Document 安全防护目标5问题情况5 HYPERLINK l bookmark68 o Current Document 安全防护整改内容6 HYPERLINK l bookmark71 o Current Document 总体防护策略6 HYPERLINK l bookmark78 o Current Document 安全分区6边界安全防护7综合安全防护8 HYPERLINK l bookmark92 o Current Document 整改内容9 HYPERLINK l bookmark113 o Curre

3、nt Document 工期进度计划措施11 HYPERLINK l bookmark116 o Current Document 工期进度计划11工期保障措施11售后服务方案13售后服务方案13 HYPERLINK l bookmark152 o Current Document 验收计划14 HYPERLINK l bookmark155 o Current Document 设备清单（以实际现场需求有准）15总则近年来，信息技术对社会及科学的发展做出了重要贡献，但是网络安全事件 也频繁发生，所以网络安全防护也成为各行各业得重中之重，国网、南网供电企 业及各新能源电力发电企业电厂电力监控系

4、统安全防护也成为重点防护对象。根据调网安201810号国调中心关于印发国家电网公司电力监控系统等级保护及安全评估工作规范（试行）2.5.1文中：为了认真贯彻落实网络安全法、电力监控系统安全防护规定等有关文 件的精神，确保电网安全、优质、稳定运行，根据光伏电站目前网络实际情况， 结合电力二次安防相关文件要求，依据国网XX电网公司要求（后附摘录）并结 合X个电站电力监控系统的实际情况，特制定（XX电站、XX电站、XX电站、XX 电站、XX电站）5个光伏电站网络安全防护整改建设方案。国网XX省电力有限公司2020年安全生产重点任务清单摘录9、强化网络信息安全管理9.1、严格落实生产控制大区物理隔离，

5、实现变电站监测全覆盖，并网电厂监 测覆盖率达到80%。9.1.1、严格落实生产控制大区物理隔离，实现调度数据网相连并网电厂、 户变网络安全监测装置覆盖率达到100%，要求并网电厂覆盖率逢0%。9.1.2、建设生产控制大区恶意代码监测技术手段，提升恶意代码识别和阻断 能力，年内实现地级以上调度机构所有生产控制大区操作系统恶意代码监： 全覆盖。9.2、明晰网络边界，强化动态感知、在线防御、联动处置，开展124小时 常态监测，做好重大活动网络安全保障。9.2.1、加强网络安全分析1综合防御技能，强化动态感知、在线防御、联动 处置，开展7X24小时常态监测，提升网络安全监测分析能力。9.2.2、明晰网

6、络边界完善网络安全应急保障方案持续提升应急处置能力， 加强网络安全督查工作，做好“全国两会”护网”专项演习、“乌镇世界互 联网大会”等重大活动网络安全保障。9.3、加强网络攻防能力建设，推动网络安全红蓝队综合能力提升，逐步形成 红蓝一体、攻防一体的攻防对抗态势。优化网络安全红队技能提升，持续开网络安全漏洞隐患排查。锻炼网络安全蓝队实战能力，提升监控预警、应急处戳击溯源能9.3.1、9.3.2、力。开展网络安全模拟对抗演练等专项活动，逐步形成红蓝一体、攻防9.3.3、体的攻防对抗态势。依据及规范中华人民共和国网络安全法（2016第53号主席令）关于印发电力监控系统安全防护总体方案等安全防护方案和

7、评估规范的通知（国能安全201536号）关于开展电力行业信息系统安全等级保护定级工作的通知（电监信息200734 号）信息安全等级保护管理办法（公通字200743号）电力行业信息系统安全等级保护基本要求（信息管理类）电力行业信息系统安全等级保护基本要求（生产控制类）工业控制系统信息安全（GB/T 30976-2014）关于开展信息安全等级保护安全建设整改工作的指导意见（公信安20091429 号）信息系统安全等级保护基本要求（GB/T 22239-2008）信息系统等级保护安全设计技术要求（GB/T 25070-2010）信息安全技术信息安全风险评估规范（GB/T 20984-2007）关于加

8、强工业控制系统信息安全管理的通知（工信部451号文）工业控制网络安全风险评估规范（GB/T 26333-2010）二项目概况项目单位1）（XXX）分布式光伏电站2）（XXX）分布式光伏电站3）（XXX）分布式光伏电站4）（XXX）分布式光伏电站5）（XXX）分布式光伏电站电站网络拓扑（原架构）以（XXX）分布式光伏电站为例：至调度安全防护目标电站监控系统安全防护主要针对网络信息安全，目标是：1）抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起的恶意 破坏和攻击，尤其是集团式攻击；2）防止未授权用户访问系统或非法获取信息以及重大违规操作行为。防护重点是通过各种技术和管理措施，对实时闭环监

9、控系统及调度数据网的 安全实施保护，防止电力监控系统瘫痪和失控，并由此导致电力系统故障。问题情况序 号类别项目检查点1基础设施安全安全分区1）所有业务功能未按安全区的原则部署2）远方控制功能应设置在安全I区恶意代码防范 管理1）未部署恶意代码防范系统2）未部署防病毒软件；网络安全监测未部署网络安全监测装置2体系结构完全防火墙和入侵 监测1）防火墙应用所需的数据通道未开通；2）IDS入侵监测策略合理不完整；3系统本体安全应用系统运行管理1）在生产控制大区未部署日志审计系统；2）检查系统用户帐号及其权限管理设置情况不到位；3）检查帐号权限管理制度落实情况不到位；4管理体系安全外部设备接入管理核查外

10、部计算机、移动介质的接入不具有相 应的安全管理制度和记录；三安全防护整改内容总体防护策略根据对电站监控系统现状的分析，现提出以下总体安全需求说明：）通信安全需求厂各系统设备之间采用以太网式连接必须采取符合相关规定的横向隔离措 施。生产业务系统设备与调度端专线通信式不考虑安全防护。生产业务系统设备与调度端采用语语音拨号通信不考虑安全防护。生产业务系统设备与调度端经调度数据网和保护专用网络通信须采取隔离 措施，防止网络攻击、病毒和非法操作。）各系统安全需求电站各业务系统应采用电力调度数字证书，对用户登录本地操作系统、访问 系统资源等操作进行身份认证，根据身份与权限进行访问控制，并且对操作行为 进行

11、安全审计。）全局安全需求重点强化边界防护，同时加强物理、网络、主机应用和数据安全，加强安全 管理制度、机构、人员、系统建设、系统运维的管理，提供系统整体安全防护能 力，保证电力监控系统及重要数据的安全。3.1.1安全分区根据电力监控系统安全防护规定的要求，在调度数据网划分两个VPN， 分别是：实时控制VPN和非控制生产VPN，分别供安全区I（实时控制区）、安全 区II（非控制生产区）。调度数据网作为数据采集汇聚中心，由调度数据网接入 省调、地调骨干节点，实现集控中心的调度自动化。信息经过调度数据网向省调、地调传送。安全分区如图所示：头上%.运厂：；i悴柔究交电址泞言口凹止辰痛n痢安屯井.荆也七

12、Il ini；-, p s/.rrr.H-1邃册装徂做叫皿测嘉装非技制挝L宏牛】1四）甜向和光队订翌置隔商w检 皿叫隔高由 r Im由iWt无气风很泉沆I心旨叩书院.广史*L 4:散挪、咔古我段完：叫屯力祠黄度蛔网生:时I四II .史时I阿凯向址密认诚装旦度 VMSS-Jt电定侦计板票忒光伏电站二次系统安全部署示意图3.1.2边界安全防护1）横向边界防护生产控制大区与管理信息大区边界安全防护：生产控制大区与管理信息大区 之间通信应当部署电力专用横向单向安全隔离装置。控制区（安全区I）与非控制区（安全区II）边界安全防护：安全区I与安 全区II之间应当采用具有访问控制功能的网络设备、安全可靠的硬

13、件防火墙或 者相当的设备，实现逻辑隔离、报文过滤、访问控制等功能。系统间安全防护：厂站内同属于安全区I的各机组监控系统之间、机组监控 系统与控制系统之间、同一机组的不同功能的监控系统之间，尤其是机组监控系 统与输变电部分控制系统之间，根据需要可以采取一定强度的逻辑访问控制措 施，如防火墙、VLAN等。厂站内同属于安全区II的各系统之间、各不同位置的厂站网络之间，根据 需要可采取一定强度的逻辑访问控制措施，如防火墙、VLAN等。厂站内同属于管理信息大区的各系统之间、各不同位置的厂站网络之间，根 据需要可采取一定强度的逻辑访问控制措施，如防火墙、VLAN等。2）纵向边界安全防护厂站生产控制大区与调

14、度端系统通过电力调度数据网进行远程通信时，应当 采用认证、加密、访问控制等技术措施实现数据的远方安全传输及纵向边界的安 全防护。厂站的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向 加密认证装置或者加密认证网关及相关设施，与调度端实现双向身份认证、数据 加密和访问控制。3）第三方边界安全防护如果发电厂生产控制大区中的业务系统与环保、安全等政府部门进行数据传 输，其边界防护应当采用生产控制大区与管理信息大区之间的安全防护措施。管理信息大区与外部网络之间应采取防火墙、VPN和租用专线等方式，保证 边界与数据传输的安全。禁止设备生产厂家或其他外部企业（单位）远程连接发电厂生产控制大区中 的

15、业务系统及设备。3.1.3综合安全防护1）入侵检测生产控制大区可以统一部署一套网络入侵检测系统，应对合理设置检测规 则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进 行安全审计。2）主机与网络设备加固厂级监控系统等关键应用系统的主服务器，以及网络边界处的通信网关机、 WEB服务器等，应当使用安全加固的操作系统。加固方式包括：安全配置、安全 补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中 配置的更改和补丁的安全应当经过测试。非控制区的网络设备与安全设备应当进行身份鉴别、访问权限控制、会话控 制等安全配置加固。可以应用电力调度数字证书，在网络设备和安全

16、设备实现支 持HTTPS的纵向安全WEB服务，能够对浏览器客户端访问进行身份认证及加密传 输。应当对外部存储器、打印机等外设的使用进行严格管理。生产控制大区中除安全接入区外，应当禁止选用具有无线通信功能的设备； 管理信息大区业务系统使用无线网络传输业务信息时，应当具备接入认证、加密 等安全机制。3）应用安全控制厂级监控系统等业务系统应当逐步采用用户数字证书技术，对用户登录应用 系统、访问系统资源等操作进行身份认证，提供登录失败处理功能，根据身份与 权限进行访问控制，并且对操作行为进行安全审计。对于发电厂内部远程访问业务系统的情况，应当进行会话控制，并采用会话 认证、加密与抗抵赖等安全机制。4）

17、安全审计生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、 业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的 攻击行为。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审 计。可以采用安全审计功能，对网络运行日志、操作系统运行日志、数据库访问 日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。5）专用安全产品的管理安全防护工作中设计使用横向单向安全隔离装置、纵向加密认证装置、防火 墙、入侵检测系统等专用安全产品的，应当按照国家有关要求做好保密工作，禁 止关键技术和设备的扩散。6）备用与容灾应当定期对关键业务的数据进行备份，并

18、实现历史归档数据的异地保存，关 键主机设备、网络设备或关键部位应当进行相应的冗余配置。控制区的业务系统 （应用）应当采用冗余方式（客户单位自行建置）。7）恶意代码防范应当及时更新特征码，查看查杀记录。恶意代码更新文件的安装应当经过测 试。禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。8）设备选型及漏洞整改电力监控系统在设备选型及配置时，应当禁止选用经国家相关管理部门检测 认定并经国家能源局报存在漏洞和风险的系统及设备；对于已经投入运行的系统 及设备，应当按照国家能源局及其派出机构的要求及时进行整改，同时应当加强 相关系统及设备的运行管理和安全防护。生产控制大区中除安全接入区外，应

19、当 禁止选用具有无线通信功能的设备。整改内容根据现场情况分析检查出的问题作为主要的更改方向，其次完善站内其他安全防护的加固，完成站内涉网系统的安全防护，以下为站内安全防护主要整改内 容：1）系统多为windows操作系统，未关闭多余的80、135、139、445等服务端口， 开启了 Remote regisry,Tast schedular等多余服务。未安装防病毒软件， 未进行主机加固。整改标准：关闭操作系统多余的高危端口 80、135、139、445等，关闭 Remoteregisry、Tastschedular等多余服务。安装企业版杀毒软件，对涉网所 有Windows主机及服务器进行加固（

20、设置屏幕保护功能、关闭高危端口、开启三 权用户、设置账户权限等）。2）网络设备（I、II交换机）空闲端口未封闭，服务器USB接口未关闭的情况。整改标准：对网络设备（I/II区交换机）空闲端口进行关闭，禁用所有涉 网服务器USB接口。3）生产控制大区未部署日志审计系统。整改标准：在生产控制大区部署满足国家相关标准的入侵检测系统及安全审 计功能的设备和应用，日志审计系统满足网络安全法定制的日志保存6个月的要 求。4）拓扑图过于简单，与现场实际不相符。整改标准：对网络布线重新整理，安全I区与II区网线与不同颜色的网线 进行区分，制作网线标签及设备标签，汇同新增安全防护设备重新绘制网络拓扑 图。5）锻

21、炼网络安全蓝队实战能力，提升监控预警、应急处置、攻击溯源能力。整改标准：在网络边界部署一套攻击索源系统，实现终端、服务器的保护， 未知威胁检测发现、攻击回放、威胁检索、横向移动检测、网络流量分析、攻击 取证。以上工作完成后对（XXXXXX）五个光伏电站涉网所有设备进行全部检查， 全部进行整改，对不满足要求的设备软件方面及硬件方面进行实时改进，按照国网XXX电网的标准。四工期进度计划措施4.1 工期进度计划我司所投的设备生产周期为20天，根据合同进度满足本项目的交付期。以下工期进度计划预估15天（为单个电站整改实施工期），具体工作内容、 人员、天数等安排如下：序号现场工作内容人员安排天数备注1前

22、期准备（调试工具、安装工具、收集配置信息等）2人1天2所有设备开箱验收、升级、检测2人2天3所有设备现场安装、布线、现场接入情况调研2人1天4所有设备调试2人4天5系统联调2人1天6系统业务对点及校验2人1天7项目验收1人2天8电厂技术培训1人3天合计：15天4.1.1工期保障措施（一）人、财、物的保障公司决定在人力、财力、物力等各方面给予优先安排，以确保施工顺利有序 进行。1）选派技术部骨干成员，组成强有力的技术指挥中心，由一名公司副经理 担任现场总指挥，对工作上不称职、不得力的人员，公司将立即给予撤 职更换:对分部、分项工程按总进度计划提前完成的有关人员给予奖励， 对无故延误工期的有关人员

23、实行经济处罚，并认真查找原因，及时采取 措施。2）供货部门要根据申请计划，提前制定设备采购和供应计划，选择合格的 供货商，提前3天按工程进度、部位将设备采购至现场，避免因供应不 及时而耽误工期的现象发生。（二）加强计划管理根据工程条件合理安排总施工进度计划和各阶段目标计划，施工中制定光伏 电站计划，利用合同管理等手段控制计划目标的实现。由技术部组织召开每周碰头协调会（远程），检查落实当天计划、完成情况、 未完成计划原因，及时解决影响进度、质量、安全、文明施工存在的问题及采取 相应的措施，安排布置第二周天的计划。1）技术保障措施合理配备技术人员、安装调试的各类工具、辅料等。2）场地狭小的应对措施

24、若出现安装调试空间不足，施工时必须合理做好施工各阶段现场平面布置， 有效规划和利用现有场地。相关设备放置靠近施工的位置，减少二次搬运，加快施工进度。3）劳动力保障措施技术队伍的选择，我们将按照客户公司的要求提前选择技术队伍，并审查技 术队伍资质。技术队应按施工所需陆续安排其进场，并在进场时对其进行安全、 治安、环保、卫生等方面地教育，并进行针对性的技术、质量标准和现场管理制 度的培训。4）深化设计与设计协调为保证现场施工的需要，提高施工质量，减少返工现象，项目中标后我公 司将会由技术部负责！，专门负责图纸审核、与设计联系、图纸深化、节点详图 制作等工作并且该部门会及时向业主、监理和设计方提交一

25、份详细的深化设计且 图纸绘制和送审的计划表，包括深化设计节点详图出图的总控计划、阶段计划 和月计划，由阶段计划和月计划指定周计划，再由周计划制定日计划，井按照已 经获得的设计图纸、招标文件和技术规范的要求，进行详细的设计绘制、复核和 深化工作。尽可能考虑各种因素，保证工程进度计划正常进行。通过设计协调， 提前将各专业间设计上存在的问题予以解决，避免施工完成后再进行返工处理， 为总工期的完成给予设计保障。5）设备安装进度计划保障措施配置性能良好，数量充足网络安全监测装置根据施工进度要求及工程施工经验，在施工现场配置合格的网络安全防护设 备，既有利于保证施工进度，又能保证施工质量。保证品种辅料及时

26、供应加强施工辅料的管理与采购力度，确保按计划进度实施。各专业技术人员 及时准确地提出辅料设备需用计划，根据总体进安排提出辅料、设备的进场时 间。并对辅料的供应从开始询价至货到现场进行全过程跟踪，确保到货辅料满足 施工图纸及业主、监理的要求，避免安装后不必要的返工。严格道审制度，设备 和重要辅料都要履行业主、监理和设计的送审；得到书面的批准后方可进行采购。 及时和提前充分准备、辅料资料，以保证设备、辅料早日确定，以免延误工期。（三）设备及辅料采购、加工和运输的保障措施1）对采购的过程监控在公司内部，我们严格执行质量管理体体系的规定，供方在经公司评价合 格的合格方内选择；所有设备合同必须由公司采购

27、部签定，项目提交设备计划、 技术交底和商务交底等文件；所有设备合同必须经过公司评审，一般设备合同由 公司财务部组织评审，重大设备合同金额较高、技术较复杂或确认为重要的 物资）必须由技术部、销售部、行政综合部等相关部门共同评审，所有合同评审 合格后方可签订。2）对运输的过程监控合同中明确对包装和运输的一般和特殊要求，供方发货、运输和到货时，供 需双方及时保持联系和协调。如对合同设备的运输在合同中明确供方应在合同规 定的交货期前以传真形式将合同号、货物名称、数量、包装件数、单件重量、单 位体积、总毛重、总体积，单价和总价和备妥交货日期等以及对货物在运输、吊 装和仓储方面的特殊要求和注意事项通知需方

28、，以便需方准备接货工作，并按需 方回复的具体时间将货物运送到现场。售后服务方案4.2.1售后服务方案技术支持为便于本项目设备的安装、调试和投运，我方会自费派出熟练的技术人员或 专家到项目现场进行技术服务，指导现场安装、调试和运行。并解答项目设备制 造及性能等方面的有关问题，详细解答项目范围内招标方提出的问题。我方承诺 技术后援支持，并为今后该装置提供1年的质量保证期限。由招标方安排适当时间以及现场人员的情况，由我方技术人员对设备的正确 安装、使用和试验给予技术讲课，并在现场调试阶段，对招标方系统管理员进行 培训，使其掌握本项目设备硬件、软件的结构原理，掌握本项目设备的安装、调 试及诊断维护，使

29、其掌握系统维护的各项技能。对招标方选购的与本项目设备有关的配套设备，我方有提供技术配合的义 务，并不因此而增加任何费用。电话支持我方保证服务时间内，接通率保证100%，95%以上的呼叫接通时间不小于30 秒。服务热线：XXXXXX邮件支持我方开设专门的E-Mail信箱，并指派专职工程师定时查看信箱，接受招标 人技术咨询或设备报修。我方收到邮件后，对于一般性的技术问题应在30分钟 内给以响应；对于较复杂的技术问题，应在2小时内给以答复。电子邮件：XXXXXXX我方在江西省、湖南省、浙江省各设有办事处及项目服务驻点地，当系统出 现问题时，1小时内响应用户的要求，4小时以内工程师赶赴现场处理，对关键

30、 部件须在12小时内解决问题，并确保整个应用系统的正常运转。由于我方的错误指导或建议所致的损失，由我方负责。驻场地点人员联系方式备注XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师XXXXXXXXX驻点技术支持工程师4.2.2验收计划项目实施过程中，将进行设备及软件的部分功能验证测试，双方现场人员对 测试结果进行确认签字后，可作为竣工验收的依据。项目完成交付后，即可进行系统的竣工验收。验收的内容为系统所有设备功 能/性能以及稳定性的测试，并按验收大纲要求测试合同设备的所有功能和技术 性能并达到合格。如竣工验收开始后一周内合同设备仍不能正常运行，则现场验 收不能通过。我司采取必要的措施予以纠正。竣工验收开始前，我司负责提供验收细则和应用功能最终验收大纲，经双方 确认后作为验收的依据。竣工验收将进行软件介质及其有关技术资料图纸的清点交接。五设备清单（以实际现场需求有准）以下配置清单表。为单个电站整改项目单套数量。（XXX）光伏