2023新能源集控中心网络信息安全技术方案

新能源集控中心网络信息安全技术方案2023.09目录TOC\o"1-3"\h\u160551.技术要求 3104971.1.设计依据 3285181、国家及行业相关标准 3192952、集团公司标准 4115661.2.网络安全管理平台 4238071.3.内核安全与可信验证平台 15272623.3.1可信验证模块 15217873.3.2可信验证管理模块 17241021.4.态势感知平台 1886611.5.视频安全网关 19199721.6.漏洞扫描 19268031.7.移动运维网关平台 19276861.8.机房动环监测系统 1950502.供货范围 20168682.1.一般要求 20227002.2.供货清单 20技术要求通过网络安全管理平台的建设，提供对新能源集控中心接收场站网络安全监测装置上送的告警信息的接收能力，和站内纵向加密认证装置的集中管控能力，实现集控中心和下属场站内部网络安全事件的采集汇总、集中监视、告警、分析、审计和核查等相关功能，以及对站内非涉网业务系统各类设备的告警信息进行实时监测的能力，提供完整有效的审计措施。按照防护要求，集控中心主站系统中关键服务器部署基于硬件的可信验证模块，其他服务器和主机上部署基于软件的可信验证模块，可信验证模块通过网络安全监测装置将告警信息上送至网络安全监控平台，实现对所有可信节点的管理。管理信息大区部署一套态势感知平台，实现设备监控同时实现统一运维和可视，极大提高远程运维效率的基础上，提升新能源集控中心立体化安全防护能力。集控中心部署视频数据安全防护系统，各场站部署视频准入控制系统，针对总部视频数据进行安全防护，同时通过采集前端设备得到的事件信息，可以对场站非法接入违规事件进行查看。集控中心生产大区和管理信息大区各部署一套漏洞扫描设备，通过对网络的扫描，在集控中心能了解网络的安全设置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。配置便携式运维网关，在运维工作过程中，通过账号口令、生物特征等方式在便携式运维网关上完成工作负责人的身份认证，通过USBKey方式完成运维终端的设备认证，并对通信报文进行实时解析，对可能存在的风险行为进行管控，同时，对运维工作进行全过程记录。机房动环监测系统，主要监控对象包括：UPS电源、温湿度监测、漏水检测、消防监测等，能够实现全面集中监控和管理。设计依据国家及行业相关标准《网络安全法》；14号令《电力监控系统安全防护规定》；[2015]36号文《电力监控系统安全防护方案》；《计算机信息系统安全保护等级划分准则》；《计算机信息系统安全保护条例》147号令；《计算机信息系统保密管理暂行规定》；《涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法》；《计算机信息网络国际联网安全保护管理办法》公安部第33号令；调国安[2017]135号文《国调中心关于印发电力监控系统网络安全监测装置技术规范的通知；《信息安全等级保护管理办法》；《关于开展电力行业信息系统安全等级保护定级工作的通知》；《电力行业信息系统等级保护定级工作指导意见》；《电力行业信息安全等级保护管理办法》；《电力行业网络与信息安全管理办法》；《电力行业信息系统安全等级保护基本要求》。《新能源区域集控中心建设技术规范》网络安全管理平台目前网络安全产品多聚焦在安全策略上，通过策略缓解网络威胁。但在缺乏有效集中安全管理手段的前提下，部署的多台安全设备总是“孤立”地进行安全检测和控制，这使得系统管理人员无法从全局角度对信息网络的安全状态做到有效监控，更无法实施整网安全策略。为综合运用统一策略管理、设备健康状态监控、全局性日志管理和报表统计等手段，解决网络安全状况不直观、安全策略管理乱、安全事件响应慢、安全故障定位难的问题。在集控中心部署1套网络安全管理平台，通过集控网络采集下属新能源场站网络安全监测装置数据，实现对全网设备安全事件管理功能。3.2.1平台的数据采集模块应包括操作系统安全事件采集、数据库安全事件采集、网络设备安全事件采集、安防设备安全事件采集和电力监控系统安全事件采集。3.2.2操作系统安全事件的采集由可信计算安全模块和主机感知程序产生，并通过网络安全监测装置传输至平台。操作系统安全事件应包括用户登录信息、操作行为信息、网络连接信息、系统配置信息、权限变更信息、硬件配置信息、硬件状态信息、系统运行信息、外设接入信息、平台核查指令信息。3.2.3数据库安全事件的采集由数据库感知程序产生，并通过网络安全监测装置传输至网络安全管理平台。数据库安全事件应包括CPU利用率、内存利用率、数据文件占用空间、归档文件占用空间、备份文件占用空间、表空间使用情况、连接使用情况、数据库状态、数据库运行时长、数据库操作记录、数据库用户信息变更等数据库运行信息和用户登录失败信息、SQL语句长时间未提交信息、计划任务执行失败信息、SQL语句执行时间异常信息、数据库脏页面情况。3.2.4网络设备安全事件的采集由网络安全监测装置通过SNMP、SNMPtrap和GB/T31992协议实现网络设备安全事件感知，并传输至平台。网络设备安全事件应包括：局域网内交换机设备、连接交换机的活跃设备等网络设备拓扑信息。在线时长、CPU利用率、内存利用率、网口状态、网络连接情况等网络设备运行信息。设备接入、各硬件模块故障等安全事件信息。用户登录、用户退出、用户操作等行为信息。3.2.5安防设备安全事件的采集通用安防设备及电力专用安防设备由设备自身实现安全事件感知，并通过网络安全监测装置传输至平台。安防设备安全事件应包括：设备自身策略的安全事件、配置信息、及运行信息、操作信息。3.2.6电力监控系统安全事件的采集应包括关键应用监测、软件版本管理。3.2.7平台的应用服务模块应包括安全监视、安全告警、安全分析、安全审计、安全核查和服务管理等功能。3.2.8平台的安全监视功能应能提供对电力监控系统整体安全运行情况进行实时监视，包括安全概览、拓扑监视、设备监视、行为监视、威胁监视、纵向管控、响应处置等子功能。3.2.9安全概览具备根据系统整体安全运行数据，宏观展示全网安全运行情况。平台使用各类综合指标展示运行情况，包括平台的分时告警统计、资产分布情况统计及平台密通率统计等指标。3.2.10拓扑监视功能使用拓扑图展现全网的安全主机及各类安全设备，支持查看设备的告警情况及在线情况，并满足：拓扑中展示的设备类型包括主机、交换机、纵向加密设备、横向隔离装置、防火墙、入侵检测等；资产在拓扑中可以自由的设置位置；拓扑中各设备间连线的构成方式包括网络连接关系及纵向间的隧道连接；资产可以按安全区、所在区域、资产类型等属性进行筛选，同时支持资产查询；资产在拓扑中可以关联到告警查询、基线核查、运维信息、属性信息、运行信息。当发生新告警、新设备接入时，拓扑中应能够实时动态展示。3.2.11设备监视功能包括对主机设备、网络设备、数据库和安全设备的监视，可同时监视以上设备的指标数据，并满足：主机设备监视：对本级主机设备的运行状态、告警信息、操作信息、外接设备使用情况以及设备异常进行实时监视。运行状态监视包括在线状态、CPU利用率、内存利用率、未关闭的TCP连接数、网络端口监听状态；告警信息监视包括告警数量监视；操作信息监视包括登录用户数；外接设备使用情况监视包括USB接入数、并口使用情况、串口使用情况以及光驱使用情况；设备异常监视包括电源模块状态信息；网络设备监视：对网络交换机设备的运行状态、告警信息以及设备异常进行实时监视。运行状态监视包括在线状态、CPU利用率、内存利用率以及运行时长；告警信息监视包括告警数量监视；数据库监视：对数据库设备的运行状态、告警信息以及设备异常进行实时监视。运行状态监视包括运行时长、运行状态、CPU利用率、内存利用率、当前已使用连接数、剩余连接数、存储空间使用情况；告警信息监视包括告警数量监视；运行异常监视包括数据库锁表状态；安全设备监视：对纵向设备、隔离设备、防火墙设备、入侵检测系统以及防病毒系统进行实时监视。对纵向设备可实时监视设备在线状态、CPU利用率、内存利用率、主备机状态、明/密通隧道数量、明/密通策略数量、设备密通率以及告警数；对隔离设备可实时监视设备在线状态、CPU利用率、内存利用率、告警数；对防火墙设备可实时监视在线状态、CPU利用率、内存利用率、网口状态、电源模块状态、风扇状态以及告警数；对入侵检测系统和防病毒系统可实时监视设备在线状态以及告警数。3.2.12行为监视功能是对主机、操作人员以及其他设备的操作行为监视，包括主机登录监视、链路拓扑监视、操作人员登录主机的信息监视、被操作主机的信息监视以及其他设备用户登录状态的信息监视，并满足：主机行为监视：以主机为对象对主机登录链路过程进行监视，可实时监视登录用户、登录方式、操作信息、登录链路等信息。登录方式包括SSH登录、本地登录和X11协议登录；人员行为监视：以人为对象对操作人员登录主机的操作信息进行监视，可实时监视登录主机是否活跃、登录方式、操作行为等信息；设备操作行为监视：对纵向设备、隔离设备、防火墙设备、数据库以及网络设备的用户登录状态进行监视，可实时监视用户登录、用户退出、用户操作等信息。3.2.13威胁监视功能包括外部访问监视、内部行为监视、外设接入监视和重点设备监视。可实时监视通过调度数据网访问到本级调控中心的安全事件、实时监视调控中心内部本地登录和远程终端以及远程桌面访问的安全事件、实时监视调控中心外设接入的安全事件和重点设备中由安全事件产生的告警事件，并满足：外部访问监视可实时监视通过调度数据网访问到本级调控中心的安全事件：可实时监视通过调度数据网访问到本级调控中心的访问节点信息；可实时监时从初始节点到活跃节点的访问路径；可实时监视在当前活动节点的操作指令、操作时间。内网行为监视可实时监视调控中心内部本地登录、远程终端、远程桌面访问的安全事件：本地登录：可实时监视在本机执行的操作指令、操作时间、登录用户、登录节点IP信息；远程终端：可实时监视使用SSH协议从初始节点到活跃节点经过的访问路径，可监视当前访问的用户，操作指令、操作时间等；远程桌面：可实时监视使用X11协议从初始节点到活跃节点的访问路径，可监视当前访问的用户，操作指令、操作时间等。外设接入监视可实时监视调控中心外接设备接入的安全事件：交换机网口接入：可实时监视交换机网口接入终端安全事件，包括终端接入交换机网络端口号，接入终端IP地址，该终端设备接入后访问其他节点的登录操作信息；USB设备接入：可实时监视USB设备接入主机的安全事件，包括接入主机的IP地址，USB设备名称，接入时间，以及接入USB设备后对该主机的操作信息；光驱接入：可实时监视光驱设备接入主机的安全事件，包括接入主机的IP，光驱设备名称、接入时间，以及接入光驱设备后对该主机的操作信息。重点设备监视,针对上述外部访问、内网行为监视和外设接入监视所产生的告警信息，会在重点设备监视功能中集中展示，具体包括发生告警的告警时间、主机IP地址、该主机的活跃用户数量、告警内容。3.2.14纵向管控功能提供对纵向加密装置进行配置和监控，应包含：管控节点信息管理包括节点的增加、删除、修改、节点证书导入等功能；以管控节点间连线的方式展示隧道连接关系；设备信息管理包括设备信息查询、设备重启等；设备隧道信息管理包括隧道的添加、删除、重置、查询等；设备策略信息管理包括策略的添加、删除、修改、查询等；证书管理包括证书导入、证书替换等。3.2.15响应处置功能通过平台下发指令的方式，对发现网络攻击、病毒感染等安全事件进行处置，包括阻断非法SSH、X11访问链路等。3.2.16安全告警功能应遵循《GB/T31992-2015电力系统通用告警格式》，提供实时告警、历史告警功能，并满足：告警范围包括：安全事件类、运行异常类、设备故障类；针对管理平台的告警情况，采用告警提示窗、告警悬浮窗、告警轮播等多种方式实时展示告警情况；智能告警分析：支持对提取每条历史数据的源IP、源端口、目的IP和目的端口进行分析,提取出异常检测规则，并周期性的调用异常检测引擎，进行规则匹配，对其进行信息归纳。3.2.17历史告警功能应能提供6个月内的安全告警信息的记录、查询等功能。包括设备信息、安全告警发生次数、发生时间、告警内容、是否解决、解决方法等信息。支持按所属区域、安全区、电压等级、设备类型等属性进行告警筛选，支持按告警级别、确认状态、发生时间等属性对告警进行搜索的功能，支持告警内容的全文检索，支持按关键字段对告警记录进行排序。3.2.18安全分析功能应支持使用综合分析手段，通过对设备安全监视与安全告警数据进行不同维度的分析与挖掘，提供多视角、多层次的分析结果。安全分析功能包括运行分析、安全报表、对比分析。3.2.19运行分析应支持从统计的角度查看平台运行的告警数、资产数及在线率等相关指标。提供各区域运行指标的地图展示功能，包括运行指标分析、运行统计分析、运行趋势分析功能，并满足：运行指标分析依据平台运行告警情况提供告警数量统计；依据设备离线情况提供设备离线情况统计；依据纵向设备明密文流量信息提供设备密通信息统计。运行统计分析提供每日按区域、电压等级、厂商、设备类型维度的安全告警信息的统计分析；提供每日按区域、电压等级、厂商、设备类型维度的纵向设备密通信息的统计分析；提供每日按区域、电压等级、厂商、设备类型维度的设备在线情况的统计分析。运行趋势分析提供按时间维度的安全告警信息及解决情况的趋势分析；提供按时间维度的纵向加密装置密通信息的趋势分析；提供按时间维度的接入设备数量的趋势分析；提供按时间维度的设备在线情况的趋势分析。3.2.20安全报表提供报表工具，可生成用户所需的安全运行报表。报表中包含数据统计、图形展示、表格展示等多种数据展示方式。按照标准格式，生成日报、月报、年报，提供导出功能。3.2.21对比分析提供自定义生成安全指标对比分析功能。选择需对比的安全指标、对比类型，定制筛选条件，即可生成自定义安全对比。生成的对比内容包括图形展示和表格展示，对比结果支持常驻显示。对比安全指标包括：各级别的告警数、各在线状态的资产数、资产部署率、资产在线率、平台密通率等。对比类型包括：所属区域、设备厂商、电压等级、设备类型等。3.2.22安全审计功能应能为安全事件分析提供追溯手段，包括主机行为审计、设备行为审计、接入审计、设备离线审计、综合审计等。3.2.23主机行为审计通过对主机登录信息及操作信息的历史查询，能够提供主机登录操作信息的记录、查询等功能。包括主机登录系统用户名、登录时间、退出时间、操作命令、操作时间等信息，支持对相关操作行为关联审计及操作路径的回溯。3.2.24设备行为审计提供对各类设备的操作行为进行审计的功能，应满足：网络设备登录行为审计：提供6个月内的网络设备登录信息的记录、查询等功能，登录信息包括登录用户名、登录时间、退出时间、操作命令、操作时间等；数据库操作行为审计：提供6个月内的数据库配置信息更改、用户权限变更等信息的记录、查询等功能，操作信息包括操作时间、操作内容等；安全设备登录行为审计：提供6个月内的安全设备登录信息的记录、查询等功能，登录信息包括登录用户名、登录时间、退出时间、操作内容、操作时间等。3.2.25接入审计包括审计外设接入、网络接入相关行为，针对不同的外设接入类型提供分类审计功能，能够追踪网络接入的详细信息，并满足：外设接入审计：提供6个月内的外设设备接入信息的记录、查询等功能，接入信息包括设备类型、接入时间、拔出时间等；网络接入审计：提供6个月内的网络交换机设备接入信息的记录、查询等功能，接入信息包括设备IP、接入时间、断开时间等。3.2.26设备离线审计提供6个月内的设备离线情况的记录、查询等功能。审计各类设备的离线情况，包括设备离线开始时间、离线时长等信息。3.2.27综合审计以安全威胁事件为对象，从威胁事件关联到其所涉及的操作及告警的整体情况，进一步细化到具体的各条安全事件和告警，还原威胁发生的全过程。综合审计是对外部网络访问、内部行为监视、外接设备监视的历史记录审计，可查询通过调度数据网访问到本级调控中心的安全事件、调控中心内部本地登录和远程终端、远程桌面访问的安全事件、调控中心外设接入的安全事件的历史记录。3.2.28安全核查功能包括安全配置核查和安全风险评估两项。3.2.29安全配置核查应支持对电力监控系统中的主机设备的配置信息进行核查,支持核查规则的灵活配置。3.2.30安全风险评估应支持对安全操作系统（凝思操作系统、麒麟操作系统）漏洞风险等级的评估，给出修复建议和预防措施。3.2.31服务管理功能应具备提供基于消息通信的总线，支持基于事件的实时消息发布、订阅功能，具备提供应用服务的注册、管理功能，为服务使用者获取服务提供者信息提供支撑；对于平台间能够为本地服务请求者发现远端服务提供者，提供数据支撑及定位服务,完成服务请求者与远端服务提供者之间的数据交换。3.2.32消息总线应支持部署于多台服务器上构成消息总线集群，各集群节点之间通过网络通信进行消息同步。消息生产者和消息消费者可通过网络连接方式与消息总线进行数据交互。消息总线应支持通过主题标签对传输信息进行分组，消息生产者向指定主题中发布数据，消息消费者通过订阅该主题获取消息总线中的信息，同一个消息主题支持多生产者发布消息及多消费者订阅消息。3.2.33服务注册应具备为“服务提供者”提供发布服务的平台，通过服务注册机制外部“服务使用者”可以通过服务总线发现已注册的“服务提供者”。服务总线对已注册各“服务提供者”建立服务信息库，“服务使用者”发起服务请求时，服务总线能够从服务信息库中快速查找对应“服务提供者”信息，并反馈给“服务使用者”；3.2.34服务管理应具备对“服务提供者”运行状态的监视，服务总线通过对“服务提供者”的服务心跳信息和“服务使用者”反馈信息的综合分析，确定“服务提供者”运行状态，对运行异常的“服务提供者”自动注销。3.2.35服务代理应能基于服务管理、资源定位技术实现对下级管理平台信息的数据的远程调阅及访问功能，实现对厂站装置信息的数据、服务的远程调阅及访问功能，并满足：数据调阅者向服务总线请求服务代理信息，并发送调阅数据请求至服务代理程序；服务代理程序根据调阅数据请求指令调用资源定位功能，获得数据请求传输路径，并将数据请求转发至下级服务代理程序；下级服务代理程序接收到调阅数据请求后判断调阅数据提供者是否在本级，若在本级平台向服务总线请求调阅数据提供者信息，并发送调阅数据请求至调阅数据提供者；若请求数据提供者不在本机平台，调用资源定位程序寻找下一跳信息，并转发数据请求至下一级平台；下一级平台接收到数据请求后处理逻辑同上；调阅服务提供者接收到调阅数据请求后进行相关数据查询组装操作，并返回结果至服务代理程序，服务代理程序按照调阅数据请求转发路径传输应答结果至数据调阅者；对电力监控系统网络安全监测装置远程调阅的通信报文格式符合《电力监控系统网络安全监测装置技术规范（试行）》。3.2.36公共服务应为管理平台上层应用提供数据、画面等基础功能的统一服务支持。3.2.37数据服务应具备基于历史库、实时库的数据缓存及存储功能，并满足：基于关系型数据库封装历史库服务程序，应用通过调用服务提供的接口完成对历史数据库访问、修改等操作；基于内存实现键-值型实时数据库，应用通过调用实时库服务接口完成对实时库的访问、修改等操作。3.2.38画面服务利用页面与数据分别调阅的方式，实现远程调阅画面的功能；利用悬浮窗、提示窗、滚动条、动画效果、关联展示等多种手段来实现消息提示的功能；利用可切换的多种图形来从不同角度展示同一种数据；实现自定义选择功能，根据选择的关注点，实现对关注信息的个性化查询。利用分屏功能，实现多屏并行展示不同功能界面的要求：应具备分屏触发，包含平台启动时自动分屏和手动点击触发。各屏之间不会相互干扰，可进行独立操作，告警/消息提示窗和交接班按钮在主屏幕上显示；应具备启动时自动识别当前连接的显示终端的数量，并根据当前登录用户的分屏配置来进行分屏显示工作，在平台管理功能中配置具体的分屏；应具备在进行交接班操作或注销操作时，会关闭分屏出的其他窗口，在进行退出操作时，所有窗口都会关闭；应具备手动触发分屏，弹出独立窗口，可自由拖拽，修改大小。3.2.39平台管理功能应具备提供管理平台自身及相关应用的配置管理功能，包含各种参数的配置功能和对管理平台操作记录的查询功能等。依据功能的不同，分为人员管理、参数管理、日志管理、业务管理、运维管理、知识库管理、全部核查项管理等模块。3.2.40人员管理应具备确定用户的身份信息，在登录时验证用户身份，并根据用户角色赋予相应的权限来管理平台。主要包括：应具备用户信息的添加、编辑、删除等功能，支持对用户名唯一性的校验；应具备角色信息的添加、编辑、删除等功能，针对不同角色的用户，可支持对同一个平台不同维度管理；应对不同角色设置不同的权限，不同角色的用户应具有对同一平台不同的权限控制，采用三权分立原则，不存在特权或超级用户。3.2.41参数管理应具备对平台自身参数的配置功能，支持用户配置本级平台的各种参数和与上下级平台的级联信息。主要包括：应具备采集配置和实时上报配置的添加、编辑、删除等功能，支持本级平台与上下级平台的数据传送通道的IP和端口号的配置功能；应具备级联调阅参数的编辑功能，支持配置级联调阅参数，可配置主动调阅下级平台的定制数据；应具备系统参数编辑功能，提供用户自定义平台参数的配置功能；应具备设备基数编辑功能，包括实际部署数与计划部署数。3.2.42日志管理应具备对平台自身操作的记录与查询功能。主要包括：应具备系统错误日志的记录、查询、导出等功能，支持用户通过查看，筛选了解具体的日志内容；应具备系统日志的记录、查询、导出等功能，包括对用户的登录、注销、退出的记录；应具备调阅日志的记录、查询、导出等功能；应具备通过管理平台对纵向加密远程操作信息的记录、查询、导出等功能，包括纵向装置的隧道、策略以及配置等的变动信息；应具备值班管理日志的记录、查询、导出等功能。3.2.43业务管理应具备对监控系统业务地址段信息的添加、编辑、删除、导入、导出等功能，方便安全事件解决时查询对应IP的所属业务信息。3.2.44运维管理应具备对平台监视的所有主机运维相关配置管理功能，包括主机威胁命令和主机告警规则的配置功能，支持用户对主机自定义配置危险操作命令，支持命令/命令组的增加、修改、删除和查询功能。3.2.45知识库管理应具备对告警解决方案的查询与记录功能，主要包括知识库的添加、编辑、删除、导出等功能。3.2.46核查管理应具备对所有核查项的查询功能，主要包括核查项备注的编辑、导出等功能。3.2.47模型管理应具备从设备、区域、厂商三种维度来展示和管理平台相关模型。支持对设备所属的区域和厂商名称进行配置，配置区域时支持设置区域节点的属性来决定该区域是否关联资产，配置生产厂商时需要关联到某一具体的设备类型，并且支持对每个维度可以单独进行配置。3.2.48设备管理应具备对设备的添加、编辑、复制、删除、导出、筛选等功能，支持用户通过该模块来配置设备类型、设备区域、生产厂商等信息，支持对设备信息进行模糊查询功能。3.2.49区域管理应具备对区域的添加、编辑、删除、导出、排序等功能，支持对平台所属地理区域的自定义，支持每个区域配置不同的电压等级。3.2.50厂商管理应具备对厂商的添加、编辑、删除、导出等功能，支持对厂商具体的设备型号、程序版本和动态连接库名称可配置。3.2.51平台软件性能应满足如下要求：消息总线单机结点传输速率≥2Mb/s；支持多客户端并发访问数量≥3个；采集安全事件信息吞吐量≥2000条/秒；支持最大监测对象数量≥2000个；告警事件推送时延≤5秒；支持历史数据存储≥1年；实时告警监视画面调出响应时间≤3秒。3.2.52为保障网络安全管理平台基础运行环境的安全性，避免因网络安全管理平台运行引入新的安全风险。应满足如下要求：网络安全管理平台所有程序均运行于操作系统用户态，且均使用非root用户运行，不会对操作系统安全性、稳定性造成影响；平台主机应采用安全操作系统，并关闭通用的网络服务及端口；平台应用程序应不存在安全漏洞，不存在后门等恶意代码；按照三权分立的原则，建立不同角色用户，实现权限相互独立、相互制约；应采用基于调度数字证书的加密认证技术保障重要应用功能的安全性。内核安全与可信验证平台根据《GB/T22239-2019信息安全技术网络安全等级保护基本要求》等保2.0，规定，可信计算技术基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送到安全管理中心。3.3.1可信验证模块可信根电力监控系统可信验证模块的可信根为可信验证模块提供密码计算、可信基准值存储、策略存储等基础服务。可信根有硬件和软件两种形式，可根据主机安全等级和实际需求采用硬件或软件形式。可信根具备以下功能：密码算法应符合国家密码主管部门的要求，采用国密SM3哈希算法。具备算法调用接口，通过算法接口调用可计算任意文件的度量值。可基于可信根对计算节点的引导程序、系统程序、应用程序、重要配置参数等进行可信验证。硬件形态的可信根采用计算机板卡形式提供，板卡接口应符合主流计算机设备通用接口标准，如PCI-E。板卡尺寸应满足主流2U、4U计算机设备安装要求。板卡上应板载密码算法芯片和存储硬件。硬件能够分别提供CPU实模式层、内核层、应用层的算法和存储调用接口，支撑可信验证模块在引导阶段完成对操作系统的引导和内核度量，提供硬件级的加密算法和存储保护能力。软件形态的可信根采用计算机CPU进行密码运算的方式，提供软件形态的密码模块和存储模块实现可信根的功能。可信基准库可信基准库记录其所在可信验证节点程序、配置文件等的预期值。可信验证模块采集可信验证节点程序、配置文件等的预期值生成可信基准库。可信基准库存储在非易失性存储器（如存储芯片、硬盘）中，并对可信基准库进行安全保护，防止被非法篡改。可信预期值只能通过可信验证模块的专用更新接口进行更新。系统引导程序可信验证可基于可信根对设备的系统引导程序进行可信验证。在系统引导阶段，对系统启动程序目录下的关键文件（如内核文件、初始盘文件、程序文件、配置文件等）进行静态度量并校验，如果校验通过，系统引导程序可正常加载启动；如果校验失败，主动阻断系统的启动，形成审计记录。可信验证模块正常加载后，能感知引导程序的修改，形成审计记录。系统程序可信验证可基于可信根对设备的操作系统程序进行可信验证。在受保护系统程序（系统内核层程序、系统文件等）加载时，可信验证模块应检查其绝对路径、文件名、文件内容的正确性，对其进行静态度量并校验。如果校验通过，系统程序可正常加载启动；如果校验失败，主动阻断系统程序的启动，形成审计记录并告警。可信验证模块能识别并主动阻断对受保护系统程序的删除、篡改等行为，形成审计记录。应用程序可信验证可基于可信根对设备的应用程序进行可信验证。在受保护应用程序（动态库、可执行程序等）加载时，可信验证模块应检查应用程序的绝对路径、文件名、文件内容的正确性，对其进行静态度量并校验。如果校验通过，应用程序可正常加载启动；如果校验失败，主动阻断应用程序的启动，形成审计记录并告警。可信验证模块能识别并主动阻断对受保护应用程序的删除、篡改等行为，形成审计记录并告警。等保三级以上系统应对应用程序的所有执行环节进行动态度量。度量对象包括程序进程代码段、内存代码段和只读数据段等，度量元素包括代码段、数据段长度、内容等。如果度量通过，应用程序可继续运行；如果度量失败，形成审计记录并告警。重要配置参数可信验证可基于可信根对设备的重要操作系统、应用程序配置参数进行可信验证。对重要配置参数文件（如配置文件、文本文件、配置脚本等）被访问、执行时需要进行可信验证，验证内容包括但不限于文件的绝对路径、文件名、文件内容等。可信验证模块能识别并主动阻断对被保护重要配置参数文件的删除、篡改等行为，形成审计记录并告警。软件版本管理可对应用程序基于调度数字证书进行开发商和测试机构的软件签名，确保业务程序自开发、送测至现场应用全生命周期版本一致性和来源可信性。可信验证模块预置业务程序的开发厂商及检测机构的公钥证书，验证程序的签名信息。验证通过允许安装、运行；验证失败时，主动阻断程序的运行，形成审计记录并告警。可信审计可对引导程序、系统程序、应用程序、重要配置参数的验证结果进行审计。审计内容包括引导程序、系统程序、应用程序、重要配置参数的可信验证结果，审计信息上报可信管理模块。设备没有接入网络时产生的审计告警记录，在设备接入网络后进行补报。节点可信状态、验证未通过告警、策略变更信息按照《电力监控系统网络安全管理平台应用功能规范（试行）》等相关规范和格式要求上送至网络安全管理平台。设备没有接入网络时产生的验证失败告警信息，在设备接入网络后进行补报。自保护功能可信验证模块具有自保护功能。可信验证模块具备内核级的自保护能力，自身守护进程防杀死，模块功能生效后防卸载，避免恶意攻击绕过可信计算保护机制。本地配置管理可信验证模块具有本地配置管理能力。可信验证模块具备本地化配置能力，本地配置采取安全登录认证机制。提供本地化的文件更新、策略配置、可信验证启停等功能，保证可信验证节点在不具备可信验证管理模块的情况下，实现对计算节点的本地管理。3.3.2可信验证管理模块可信验证节点管理可信验证管理模块提供以下功能对可信验证节点进行管理：进行可信验证节点的注册，注册时识别双方身份，可信验证管理模块可读取节点的地址、软件版本等信息，并可按名称、IP地址等维度对接入的可信节点进行排序、搜索。监控到所有注册可信验证节点的在线/离线状态。可信验证管理模块与可信验证节点间采用加密通信。可信计算策略管理可信验证管理模块提供以下功能对可信验证模块进行策略管理：集中展示所注册的所有可信验证节点的目录结构、文件及可信策略信息。进行策略的添加、删除、查看等集中配置管理，包括程序策略、关键文件（重要配置参数）保护策略等。用户在可信验证节点本地进行的文件更新、策略修改等记录自动同步到可信验证管理模块。可信集中审计管理可信验证管理模块提供以下功能进行集中审计管理。采集所注册的所有可信验证节点的实时审计信息。针对任意可信验证节点的审计信息进行基于类型、时间范围等要素的搜索定位。向所注册的所有可信验证节点进行审计策略集中配置，包括审计策略的添加、修改、删除等。态势感知平台本次项目将在XX新能源集控中心管理信息大区部署一套态势感知平台，系统采取“统一管控、分级管理、实时监控、持续评估”理念，实现集控中心和下属各场站管理大区网络节点的安全风险的监测、预警、通报、整改、反馈、分析等工作的闭环管理。实现设备监控同时实现统一运维和可视，极大提高远程运维效率的基础上，提升XX新能源集控中心立体化安全防护能力。从风险业务、风险终端、风险安全域、风险事件等多个视角查看外网存在的安全风险及脆弱性风险，并展示威胁面和攻击溯源，给予处置建议；也可以切换到分支平台，以分支视角查看各个下属发电企业管理区存在的安全风险及脆弱性风险，并展示威胁面和攻击溯源，给予处置建议。通过流量自动扫描或手动添加形式，获取本部及分支外网所有资产情况，了解全网服务器及终端资产分布。借助大屏展示本部/分支态势感知、全网访问关系态势、多维度威胁探测、网络攻击态势、外连风险态势、安全风险告警与分析态势、脆弱性态势、全网业务资产态势、正常横向访问监控、正常外连监控、设备运行态势等。在下属各新能源场站管理信息大区部署核心交换机旁路部署流量探针，收集网络中各个节点的流量和安全数据，并上传数据供本部安全态势感知平台分析。视频安全网关按照GA1800标准《电力系统治安反恐防范要求》，部署视频安全监测设备，及时发现图像异常的视频端点，准确定位故障点：快速发现异常访问、主动外联、端口扫描、僵尸蠕虫木马等危害网络安全的异常行为保障视频监视网络安全运行。漏洞扫描集控中心安全Ⅰ区和安全Ⅲ区各部署1套漏洞扫描系统，系统可对扫描对象的安全脆弱性进行全面检查，检查内容包括缺少的安全补丁、词典中可猜测的口令、操作系统内部是否有黑客程序驻留、不安全的服务配置等，为确保网络的保密性，系统能够检测到网络中存在的网络监听设备。移动运维网关平台根据电力监控系统网络安全分区情况，在安全区Ⅰ部署一台调度自动化运维网关，同时与运维对象及运维工作站所在的网络相连，运维对象的维护端口只需开放给调度自动化运维网关，无需再让运维人员直接访问。对运维人员，只需开放运维网关的访问端口。机房动环监测系统机房动环监测主要需要考虑从温湿度、漏水、烟雾、配电几方面对XX新能源集控中心机房进行监测。温湿度监控是对内环境的温湿度进行检测；漏水监控是对机房内有水源的地方进行漏水检测；烟雾监控是实时监测机房内的烟雾状态；配电监控支持对UPS主输入电压、UPS旁路输入电压、UPS输出电压、UPS输出电流、UPS输出频率、UPS模块输出电流、蓄电池电压、充/放电电流等检测；对蓄电池的监测，是否过热、健康状况的监测等。支持手机短信发送报警信息等。同时可以考虑对机房环境的防爆要求，包括安装防爆灯等。供货范围一般要求应答人按本技术规范确定的供货范围供货，应答人的供货应满足技术规范的要求并提供相关的技术服务。应答人保证提供设备为全新的、先进的、成熟的、完整的和安全可靠的，且设备的技术性能符合本技术规范各章节所述的技术要求。本项目所采用的设备应采用目前先进的技术，即具有高的可靠性、可操作性、可维修性和可扩展性。应答人提供详细供货清单，清单中依次说明型号、数量、产地、生产厂家等内容，所有外购件需得到采购人的确认。对于属于整套设备运行和施工所必需的部件，如果本附件未列出和/或数量不足，应答人仍需在执行合同时免费补足。供货清单序号名称规格参数单位数量备注一、网络安全管理平台1应用服务器国产芯片处理器，配置≥2颗CPU，每颗CPU核心数≥8核主频≥2.0GHz；128G内存；2*1.2TB10K硬盘，支持Raid0,1,10,5；冗余电源；4个千兆电口；包含3年硬件保修服务。2关系数据库服务器国产芯片处理器，配置≥2颗CPU，每颗CPU核心数≥16核主频≥2.5GHz；128G内存；2*480GB，5*1.2TB10K硬盘，支持Raid0,1,10,5；冗余电源；4个千兆电口；包含3年硬件保修服务。3数据网关机国产芯片处理器，配置≥2颗CPU，每颗CPU核心数≥8核主频≥2.0GHz；128G内存；2*1.2TB10K硬盘，支持Raid0,1,10,5；冗余电源；4个千兆电口；包含3年硬件保修服务。4人机工作站（含显示器）采用国产工作站，主频2.0GHz或以上,CPU：2颗四核，内存：16GBDDRⅢ内存，硬盘：2块300GB硬盘10000转SAS，千兆网口3个或以上，独立显卡，24寸液晶显示器，预装国产操作系统5Ⅰ型网络安全监测装置内存：≥8GB，

硬盘：≥500GB，

网络：≥4个10M/100M/1000M自适应以太网电口（支持网口扩展），

性能要求采集信息吞吐量≥600条/s，

支持监测对象数量≥500，

对上传事件信息的处理时间≤1s6电力专用加密认证模块NSE-100，支持RSA和SM2，对称加密速度：1024字节是500Mbps7三层交换机24个10/100/1000Base-T以太网端口,4个千兆SFP,冗余电源8安全操作系统瑞盾四级安全操作系统9数据库达梦6及以上版本数据库套10主机agent与操作系统适配套11安全监视和告警模块套12安全分析和采集模块套13安全审计模块套14平台管理模块套15工业防火墙19英寸机架式，无风扇，ARM架构多核处理器，100-240VAC冗余双电源，4千兆电口+2Combo，1*Console，1*USB；网络吞吐量1Gbps，并发连接数30万.

软件版本：工业防火墙V2.0（支持自管理）套16边界防火墙2*10GE(SFP+)+8*GECombo+2*GEWAN，冗余电源套17入侵防护系统1U机架式、6个千兆电接口，单电源，网络吞吐率3Gbps，并发连接：200万，含防病毒、防攻击等增强特性授权

软件版本：入侵检测系统V2.0套二、内核安全与可信验证平台1可信验证模块(硬件)硬件形态可信根、可信基准库、系统引导程序可信验证、系统程序可信验证、应用程序可信验证、重要配置参数可信验证、软件版本管理功能、可信审计功能、自保护功能、本地配置管理功能套目前仅上主站侧2可信验证模块(软件)软件形态可信根、可信基准库、系统引导程序可信验证、系统程序可信验证、应用程序可信验证、重要配置参数可信验证、软件版本管理功能、可信审计功能、自保护功能、本地配置管理功能套目前仅上主站侧3可信管理中心（含硬件服务器和显示器，含瑞盾操作系统）硬件：主频2.0GHz或以上，CPU：2颗四核，内存：16GBDDRⅢ，硬盘：1块1T硬盘或以上，电源：AC220V冗余电源，配国产安全操作系统（四级），19英寸及以上显示屏

软件：可信验证节点管理、可信计算策略管理、可信集中审计管理、文件管理功能、策略管理功能、部署管理功能、应急处置功能套三、态势感知平台1态势感知平台1.2U标准上架设备，≥4个千兆管理电口，冗余电源，≥960GSSD+32TBSATA存储硬盘，CPU≥2*12核CPU，内存≥128GB，性能≥10000eps。

2.提供3年产品标准维保服务，含3年威胁情报更新授权。

3.支持对重保任务的增删改操作，支持对任务记录的导出查看及多个任务并行等功能。

4.支持根据用户业务需要进行个性化监测工作台自定义，支持重点监测内容集中添加或单个页面随意添加，个人监测工作台模板导入导出等功能。

5.支持对全部数据来源的分享展示与汇总展示，支持告警页面自动刷新时间自定义配置；支持自定义告警高级检索场景；告警列表可以进行包括基本信息、规则信息、原始告警、攻击行为、资产详情、取证分析、ATT&CK分析、攻击带外分析等内容的详情查看，以及基于告警列表可以对告警进行联动处置和添加白名单操作。

6.支持基于威胁情报的威胁检测，检测类型包含APT事件、僵尸网络、勒索软件、流氓推广、窃密木马、网络蠕虫、远控木马、黑市工具、其他恶意软件，并可自定义威胁情报。

7.支持对告警进行加白，加白参数包括：受害IP（IP段）、攻击IP（IP段）、威胁情报IOC/规则ID、威胁名称、XFF代理、URI、域名、目的端口、源IP（IP段）、目的IP（IP段）、payload、referer。

8.应用安全的细分维度包括：WEB安全、数据库安全、中间件安全、邮件安全；系统安全的细分维度包括：暴力破解、弱口令、未授权访问、挖矿行为设备安全。

9.支持远程工具分析：能够发现pc_anywhere、ultra_vnc、chrome_remote_desktop、oray、teamviewer等远程工具类型。

10.支持与云端威胁情报中心联动，可对攻击IP、C&C域名和恶意样本MD5进行一键搜索，查看基本信息、相关样本、关联URL、可视化分析、域名解析、注册信息、关联域名、数字证书等。

11.支持对mysql、mssql、oracle、sybase等常见数据库高危操作行为分析。

12.支持通过云端威胁情报获取黑IP列表，与告警和日志进行匹配并生成告警，支持黑IP规则导入。

13.支持对任意线索的自定义拓线及溯源取证分析，支持以可视化分析画布形式展示拓线过程并支持结果快照导出；支持对于给定线索的溯源结果展示，包括但不限于攻击溯源、失陷主机分析、暴力破解分析、弱口令分析等。

14.支持检索异常报文、域名解析、文件传输、FTP控制通道、LDAP行为、登录动作、邮件行为、MQ流量、网络阻断、数据库操作、SSL加密协商、TCP流量、Telnet行为、UDP流量、WEB访问等网络流量日志，并可基于时间、IP、端口、协议、上下行负载等多重字段组合进行日志检索。

15.支持检索终端IM文件传输、邮件附件传输、DNS访问、进程、U盘文件传输等动作的日志，可以及时发现终端上存在的异常现象，并可结合网络日志及告警日志深挖威胁的攻击全过程。

16.产品具备国家信息安全漏洞库兼容性资质证书、国家信息安全测评信息技术产品安全测评证书（EAL3+或以上级别）、IPv6ReadyLogo认证证书、IT产品信息安全认证证书。套集控中心III区部署2探针1.2U标准上架设备，≥4个千兆流量监听电口；≥2个千兆管理电口，≥1TBSATA存储硬盘，网络流量吞吐≥1Gbps，并发会话≥85W，新建会话≥1W。

2.提供3年产品标准维保服务，3年威胁情报更新授权与规则升级授权。

3.支持常见协议识别并还原网络流量，用于取证分析、威胁发现，支持：http、dns、smtp、pop3、imap、webmail、DB2、Oracle、MySQL、sqlserver、Sybase、SMB、FTP、SNMP、telnet、nfs、ICMP、SSL、SSH等。

4.支持对流量中出现文件传输行为进行发现和还原，并记录文件MD5发送至分析设备，如可执行文件（EXE、DLL、OCX、SYS、COM、apk、bin等）、压缩格式文件（RAR、ZIP、GZ、7Z、tar等）、文档类型文件（word、excel、pdf、rtf、ppt、txt等）、多媒体文件（flash、jpg、jpeg、png、flv、swf等）、脚本文件（html、htm、java、mhtml、mht等）等类型。

5.支持TCP/UDP会话记录、异常流量会话记录、web访问记录、域名解析、SQL访问记录、邮件行为、登录情况、文件传输、FTP控制通道、SSL加密协商、telnet行为、IM通信等行为描述。

6.支持基于流量实时IOC匹配功能，设备具备主流的IOC，情报总量≥370+万条

7.支持基于威胁情报的威胁检测，检测类型包含APT事件、僵尸网络、勒索软件、流氓推广、窃密木马、网络蠕虫、远控木马、黑市工具、其他恶意软件。

8.支持基于网络请求的语义分析检测，能够将网络请求拆分后从请求头、响应头、请求体、响应体四方面详细展示请求内容，并能提升对未知威胁检测能力。

9.支持根据攻击载荷自定义漏洞检测规则，可自定义载荷检测位置、检测字段、匹配方式（文本匹配/正则匹配）、匹配载荷内容，并且单条规则可指定多个检查项，同时可定义漏洞威胁级别、威胁分类、攻击结果、CVE编号、CNNVD编号、漏洞描述、漏洞危害、解决方案。

10.支持对HTTP、FTP_DATA、SMB、SMTP、POP3、WEBMAIL、IMAP、TFTP、QQ、NFS等类型协议的流量进行文件还原。套集控中心和1个场站的III区部署四、视频安全网关1安全接入网关管理平台1、支持集群部署框架和性能平滑扩展；支持接入视频安全设备数量≥1000个；

2、支持大屏展示所有准入设备数据，同一界面支持展示维度包括但不限于风险评分排名、前端设备在线率排名、告警事件排名、各类型资产统计、漏洞统计、弱口令统计，安全事件统计。

3、支持对各单位进行安全排名，支持安全事件告警显示，动态更新资产告警信息；

4、具备资产台账管理功能，支持统计接入资产数据，资产信息包括：（ip地址、MAC地址、主机名、操作系统、设备类型、厂商等信息、运行状态等）

5、支持基于资产IP、资产MAC、资产类型、运行状态进行过滤筛选功能；

6、支持资产灵活管理功能，支持查看各个节点所包含的资产信息数据；

7、支持统计接入设备安全风险数据，包括设备弱口令、设备漏洞的信息，支持按单位、时间、ip等方式进行查询，显示风险资产台账，包含时间、IP地址、威胁类型、威胁内容以及所属子节点等内容；

8、支持统计接入设备发生的资产告警事件，包括资产仿冒、设备入侵、时间、资产漏洞、资产弱口令等时间，支持按单位，时间、ip等方式进行查询。

9、支持数据实时同步功能，由各个节点推送最新资产信息至分析平台。

10、支持分析平台在虚拟化环境中部署，提高灵活性、适配不同的网络环境。

11、提供原厂三年售后服务承诺函。套集控中心III区部署2安全接入网关1、1U标准机架式，≥6个千兆电口，≥1T存储空间；具备2个USB2.0接口、1个RJ45串口、1个后置VGA调试接口；本次配置300终端准入授权，5个调阅终端授权；

2、系统支持主动与被动两种模式测绘在网资产，且支持两种模式同时启动完善资产信息；可基于网络环境、资产数量自定义资产发现策略（如：发现间隔、超时时间、离线时间、线程数量、探测端口数量、例外端口、离线资产删除等）；

3、系统首页支持以图形方式多维度展示资产数据，包括资产类型（如IPC设备、PC设备、打印机设备等类型）、资产安全性（授权资产、未授权资产、异常资产）、风险资产统计（漏洞资产，弱口令资产）、资产在线\离线统计、资产异常告警事件统计；

4系统支持对在网资产进行授权管理，非授权资产禁止入网，并支持批量资产授权或取消授权；授权资产将自动生成二维码信息，支持批量导出资产二维码；

5、系统支持用户自定义组织结构，并将在网资产与组织结构进行关联管理；

6、系统支持按资产IP、资产MAC地址、资产类型、资产运行状态、资产授权状态及资产发现任务进行过滤筛选。

7、系统支持准入策略与安全访问控制策略，安全策略支持按策略的优先级顺序执行；对未经审批临时入网资产可通过安全访问控制策略准许访问特定的资源；

8、系统支持准入策略调用安全策略机制，安全策略可选择多种事件（授权事件、地址冲突、资产仿冒、MAC地址变化、主机名变化、接入设备变化、时间异常、公网私用、多网卡、违规端口、违规访问）；

9、系统具有IP、MAC认证功能，IP地址或MAC地址在白名单的设备能接入网络正常访问，IP地址或MAC地址不在设备白名单中的设备通讯会被阻断，且支持批量导入导出黑白名单资产。

10、系统支持对指