吐鲁番-某地调电力二次系统安全防护的设计

1、.PAGE ：.；某地调电力二次系统平安防护的设计 吐鲁番电业局调度通讯中心史忠平目录 TOC o 1-3 h z u HYPERLINK l _Toc240369800 1、引言 PAGEREF _Toc240369800 h 1 HYPERLINK l _Toc240369801 2、现状 PAGEREF _Toc240369801 h 2 HYPERLINK l _Toc240369802 3、整改的方案 PAGEREF _Toc240369802 h 3 HYPERLINK l _Toc240369803 3.1平安防护的根本原那么 PAGEREF _Toc240369803 h 3

2、HYPERLINK l _Toc240369804 3.2系统在平安防护中的问题 PAGEREF _Toc240369804 h 4 HYPERLINK l _Toc240369805 3.3 顺应电网的二次防护系统构建 PAGEREF _Toc240369805 h 5 HYPERLINK l _Toc240369806 3.3.1 EMS与MIS网络间的电力物理隔离 PAGEREF _Toc240369806 h 5 HYPERLINK l _Toc240369807 3.3.2 其它各区之间的平安战略 PAGEREF _Toc240369807 h 7 HYPERLINK l _Toc2

3、40369808 3.3.3 系统的网络传输控制 PAGEREF _Toc240369808 h 9 HYPERLINK l _Toc240369810 3.3.4 数据库管理 PAGEREF _Toc240369810 h 10 HYPERLINK l _Toc240369811 3.3.5 防病毒措施 PAGEREF _Toc240369811 h 11 HYPERLINK l _Toc240369812 终了语 PAGEREF _Toc240369812 h 11 HYPERLINK l _Toc240369813 后记 PAGEREF _Toc240369813 h 11 HYPERL

4、INK l _Toc240369814 参考文献 PAGEREF _Toc240369814 h 12 PAGE 12某地调电力二次系统平安防护的设计【摘要】：电力二次系统是指各级电力监控系统和调度数据网络SPDnet以及各级调度管理信息系统(OMS)和电力数据通讯网络SPInet构成的大系统。本次我们仅就某地域电业局电力二次系统现状，确定电力二次系统的平安区的划分原那么，确定各平安区之间在横向及纵向上的防护原那么，提出该系统平安防护的思绪。国家电网公司根据我公司内部电网二次系统系统的详细情况制定了，目的是规范和一致我国电网和电厂计算机监控系统及调度数据网络平安防护的规划、实施和监管，以防备对

5、电网和电厂计算机监控系统及调度数据网络的攻击损害及由此引起的电力系统事故，保证电力系统的平安、稳定、经济运转。【关键字】：二次防护，系统，平安区，数据网络1、引言由于随着计算机、Internet的普及以及人们对网络的依赖和运用的深化，病毒、黑客等对计算机、网络的正常运用构成的要挟日渐突出，为防止因病毒或黑客的攻击造调度自动化系统瘫痪、从根本上保证供电企业的自动化系统免受病毒、黑客的攻击，保证供电企业的平安运转。国家经济贸易委员会和国家电力公司相继出台了电力系统自动化方面的网络平安方案。国家经济贸易委员会第30号令及国家电力公司国电调2002411号文件详细描画了供电企业内部四个不同任务区之间的

6、信息交换方式，a.平安区为实时控制区，平安维护的中心。凡是具有实时监控功能的系统或其中的监控功能部分均应属于平安区。如：调度自动化系统和相量同步丈量系统、配电自动化系统、变电站自动化系统、发电厂自动监控系统 等，是电力二次系统平安维护的重点与中心。b.平安区为非控制业务区，原那么上不具备控制功能的消费业务和零售买卖业务系统均属于该区，如：水调自动化系统、电能量计量系统、发电侧电力市场买卖系统等。该区的外部通讯边境为SPDnet的非实时VPN。c.平安区为消费管理区，该区的系统为进展消费管理的系统，如：调度消费管理系统、雷电监测系统、气候信息接入、客户效力等。该区中公共数据库内的数据可提供运转管

7、理人员进展web阅读。该区的外部通讯边境为电力数据通讯网SPInet。d.平安区IV为管理信息区，如：管理信息系统及办公自动化系统。该区的外部通讯边境为SPInet或因特网。2、现状某局目前拥有220KV变电所4座、110KV变电所17座、35KV变电所36座，一切变电所均接入EMS电网能量管理系统。实现遥测、遥信、遥控、遥调、SOE、潮流分析等功能，可以顺应电网调度运转任务要求。某局目前采用了DF8002V8电网能量管理系统，该系统于2004年3月投入运转。DF8002V8系统采用分布式的设计方式和网络体系构造，基于TCP/IP网络传输协议，功能以Client/Server方式分布于网络中，

8、支持和管理网络中各自独立的数据处置节点，使数据实现共享和一致。DF8002V8电网能量管理系统的主站端包含通道系统、系统效力器两台、前置机效力器两台、Web效力器、高级运用任务站、调度员任务站两台、维护任务站、各任务站经过两台交换机组成实时电网能量管理系统，公司其他部门可经过Web调看画面和数据。一段时间运转阐明，DF8002V8系统可以为电网管理提供有效、高质的技术平台，但它在平安防护方面思索较少，各平安区内部及之间短少必要的隔离措施，这就呵斥了现有系统存在平安防护薄弱的现实缺陷。 DF8002V8系统的网络构造中， 效力器、任务站、WEB、前置系统等设备均以总线构造接于一台HUAWEI S

9、2026 24口交换机。单位时间内数据交换流量过大、机器负荷过重，容易呵斥设备间数据通讯缺点，情况严重的甚至可以导致效力器误判网络缺点超时，导致自动封锁主程序。同时，经过同一网段进展交换，也添加系统全面感染病毒的能够。系统各效力器、任务站配置的金山防病毒软件版本过老，缺乏及时的特征库晋级。各任务站由于虽然规范了运用人员权限并设置了系统口令，但是依然有暴露系统于非专业人员、调度人员的能够。假设这些人误动了系统数据库，误操作了系统相关功能，后果将不堪想象。3、整改的方案3.1平安防护的根本原那么参照，我们确定电力二次系统的平安防护应遵照以下根本原那么平安分区。分区防护、突出重点。根据系统中的业务的

10、重要性和对一次系统的影响程度进展分区，重点维护消费控制以及直接消费电力消费的系统。网络公用。电力调度数据网 SPDnet与电力数据通讯网SPInet实现平安隔离，并经过采用MPLS-VPN或IPSECVPN在SPDnet和SPInet分别构成多个相互逻辑隔离的VPN实现多层次的维护。横向隔离。在不同平安区之间采用逻辑隔离安装或物理隔离安装使中心系统得到有效维护。纵向认证、防护。平安区、的纵向边境部署IP认证加密安装；平安区、的纵向边境必需部署硬件防火墙，目前在认证加密安装尚未完善情况下，运用国产硬件防火墙进展防护。整体平安防护隔离情况如以下图所示：3.2系统在平安防护中的问题某局目前所运用的D

11、F8002V8系统作为成熟的电网管理平台，是经过本人独立的网络在平安区I和平安区II中运转，系统既担负着电网实时监测、控制、SOE、数据录库、处置等义务，也为调度人员集成了电压无功优化管理、PAS网络拓扑、形状分析、负荷预测、调度员潮流分析等功能，且必需为整合DMIS系统提供支撑。同时，系统必需为电力客户和有关部门提供实时发布阅读的WEB效力。EMS系统独立组网于平安I、II区，DMIS支持软件位于平安III区，而WEB效力器做为衔接MIS网的主要设备位于平安III区。实践情况是，调度人员运用的DMIS支撑软件与调度任务站集成于调度I、II区共同运用，WEB效力器在III区间未经过有效的物理隔

12、离设备直接与I、II区相联,且与IV区之间也没有任何防护措施。DF8002V8系统的网络构造中， 效力器、任务站、WEB、前置系统等设备均以总线构造接于一台HUAWEI S2026 24口交换机。单位时间内数据交换流量过大、机器负荷过重，容易呵斥设备间数据通讯缺点，情况严重的甚至可以导致效力器误判网络缺点超时，导致自动封锁主程序。同时，经过同一网段进展交换，也添加系统全面感染病毒的能够。系统各效力器、任务站配置的金山防病毒软件版本过老，缺乏及时的特征库晋级。各任务站由于虽然规范了运用人员权限并设置了系统口令，但是依然有暴露系统于非专业人员、调度人员的能够。假设这些人误动了系统数据库，误操作了系

13、统相关功能，后果将不堪想象。3.3 顺应电网的二次防护系统构建操作系统的平安、数据库的平安、网络平安、系统权限论证、病毒防备措施构成电网管理系统平安性的各环节。结合我公司系统现状，调度实时系统与MIS网之间的有效隔离，EMS系统人员权限管理、数据库管理、病毒特征库晋级管理成为构建二次防护系统的主要问题。3.3.1 EMS与MIS网络间的电力物理隔离根据上图及国家经济贸易委员会第30号令: 第三条 电力系统平安防护的根本原那么是：电力系统中，平安等级较高的系统不受平安等级较低系统的影响。电力监控系统的平安等级高于电力管理信息系统及办公自动化系统，各电力监控系统必需具备可靠性高的本身平安防护设备，

14、不得与平安等级低的系统直接相联。 第四条 各电力监控系统与办公自动化系统或其他信息系统之间以网络方式互联时,必需采用经国家有关部门认证的公用、可靠的平安隔离设备。DF8002V8系统需面向MIS网络用户发布实时电网信息。我们的系统需求做如下的变动：可以经过一台基于LINUX操作系统的WEB效力器，以数据单向迁移的方式由调度网络将数据镜像发布于WEB效力器，并由WEB效力器生成满足发布阅读要求的WEB页面，供平安III/IV区的用户调用。采用物理隔离安装可使平安区之间物理隔离。制止跨越平安区/与平安区/的非数据运用穿透物理隔离安装的平安防护强度顺应由平安区/向平安区/的单向数据传输。由平安区/向

15、平安区/的由此，我们必需采用软、硬件结合的有效平安隔离措施、保证网络数据共享的同时，实施对非法信息的隔离。结合目前系统情况，可以将现有WEB效力器完全置于平安III区，经过公用电力物理隔离设备实现与平安I、II区的数据共享。公用电力物理隔离设备其它网络系统公用电力物理隔离设备其它网络系统平安III区WEB效力器EMS系统平安I区EMS与WEB间的电力物理隔离表示图电力公用物理隔离设备必需满足以下条件：(1) 具有物理隔离才干的硬件构造,保证了内部网络和外部网络的物理隔离 (2) 软、硬结合的数据流向控制 经过平安战略实现软控制 经过单向迁移，实现WEB效力器与物理设备的衔接，设置Socket端

16、口建立WEB与隔离设备的链路。 经过物理开关实现硬控制 (3) Socket衔接方向的控制(4) IP与MAC地址绑定 3.3.2 其它各区之间的平安战略将平安I区实时数据区与平安II区进展必要的隔离，制止跨越平安区与的、WEB、telnet、rlogin。即将系统的数据采集部分全部放入平安区，将剩余的SCADA效力、历史数据效力、各客户端以及部分高级运用效力放入平安区，数据采集区配置本人独立的效力器、交换机，并配置相应战略。镜像生成数据、数据单向迁移可以部分的消除数据信息传输过程中蒙受病毒、HACKER攻击的概率。LINUX系统由于其可以实现对个体文件、义务进展加密处置的特性，使其较WIND

17、OWS系统更为平安、可靠。由于WEB效力器在身份认证和权限管理方面没有有效措施，同时当LINUX系统中的SAMBA效力使WEB效力器在直接面向与INTERNET互联的MIS网络时为HACKER攻击和病毒入侵提供了破绽或者端口。因此需求在WEB效力器与MIS网络之间，即在平安III区与平安IV区之间配置一台防火墙，并配置相应战略。防火墙设备防火墙设备其它网络系统平安IV区MIS网络平安III区WEB效力器WEB与MIS网络间的表示图如此配置后的调度自动化拓扑根本就可以确定为以下图：3.3.3 系统的网络传输控制拓扑网络中，数据传输与信息交互的控制是需求网络各节点全面控制支持的，因此我们有必要确保

18、网络各环节处于可控、在控形状中，可以利用以下手段实现。1、加强口令管理字符数较少的弱口令或默许口令经常会被无关人员记忆，也易被HACKER破译。同时，由于EMS系统担负了远控、数据备份等重要义务，一旦被别有用心的人盗用口令，肆意删除数据或者运用其他功能，企业损失将无法估计。我们可结合现代密码学，运用CA与身份认证保证我们的用户管理。PKI是一个利用现代密码学中的公钥密码技术在开放的网络环境中提供数据加密以及数字签名效力的一致的技术框架。基于PKI的CA认证系统为电力调度消费及管理系统与调度数据网上的用户、关键网络设备、效力器提供数字证书效力。最终CA认证体系构造图如下所示：CA认证系统的整体构

19、造CA中心CA中心RA中心.调度人员设备密钥管理中心RA中心RA中心调度人员设备调度人员设备2、 禁用不用要效力封锁某些网络设备出厂缺省设置，如Finger、BootpServer、IPRedirect、ProxyArp、Directed-Broadcast等效力，另外，在路由器上，对于SNMP、DHCP以及WEB管理效力等，只需绝对必要的时候才可运用这些效力。3、 制止运用远程访问运用远程访问客户端，可以方便系统的远程维护，实现厂家在线技术支持。但是，经过INTERNET的访问控制，必然将系统暴露，为攻击提供访问端口，部分病毒也可以伪装成TXT等格式，入侵系统。4、 控制流量有限进入网络为了

20、防止路由器成为DoS攻击目的，用户应该回绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何冒充的内部地址的包。虽然用户无法杜绝DoS攻击，但用户可以限制DoS的危害；另外，用户还可以采取添加SYN ACK队列长度、缩短ACK超时等措施来维护路由器免受TCP SYN的攻击。5、合理分配交换机为减轻交换机数据流量和处置义务，我们配置两台交换机，分别构建立前置系统192.168.0.*与调度效力器、任务站、WEB202.0.1.*两个网段，由此有效提高了数据交互效率，并且减少网络缺点概率。3.3.4 数据库管理EMS系统拥有丰富的数据资源、数据库的平安管理成为系统二次防护的重要组成。数据资源主要分布在前置系统的效力器、EMS系统主效力器、WEB效力器、VQC、PAS、DMIS系统站的PC任务站、电能量系统的效力器中。处于平安I、II区的EMS系统各组成设备在物理防护下，面临的要挟主要于人的要素。因此我们必需采取以下措施：分解系统维护人员、调度操作人员、设备巡视人员职责，并在EM