中电联团准电力物联网配电网络安全防护技术规范

T/CECXXXX—202XPAGEIT/CECXXXX—202XPAGE12T/CECICS17.240CSSK40T/CECICS17.240CSSK40中国电力企业联合会标准中国电力企业联合会标准发布中国电力企业联合会20XX—XX—XX实施20XX—XX—XX发布电力物联网配电网络安全防护技术规范Technicalspecificationforcybersecurityprotectionofdistributionfieldofpower发布中国电力企业联合会20XX—XX—XX实施20XX—XX—XX发布电力物联网配电网络安全防护技术规范Technicalspecificationforcybersecurityprotectionofdistributionfieldofpowerinternetofthings（征求意见稿）T/CECXXXX—202X电力物联网配电安全防护技术规范范围本文件规定了电力物联网配电专业网络安全防护总体要求、安全防护框架，以及云平台、通信管网、边设备、端设备、边界的安全防护及安全监测要求。本文件适用于电力物联网配电领域网络安全规划设计、建设实施、测试验收、运行维护等相关工作。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T25069—2010信息安全技术术语GB/T31167—2014信息安全技术云计算服务安全指南GB/T36635信息安全技术网络安全监测基本要求与实施指南GB/T36572—2018电力监控系统网络安全防护导则GM/T0008—2012安全芯片密码检测准则术语和定义下列术语和定义适用于本文件。3.1

物联网internetofthings(以下简称“IoT”)将感知节点通过互联网等网络连接起来构成的系统。[来源：GB/T22239—2019，3.15]3.2

电力物联网powerIoT围绕电力系统各环节，充分应用移动互联、人工智能等现代信息技术、先进通信技术，实现电力系统各环节万物互联、人机交互，具有状态全面感知、信息高效处理、应用便捷灵活特征的智慧服务系统，包含感知层、网络层、平台层、应用层四层结构。3.3

配电物联网powerdistributionIoT电力物联网在配电领域中的应用体现。通过对配电网中低压设备的全域识别及设备间广泛互联，实现配电网的全面感知、数据融合和智能应用。3.4

云平台cloudplatform云计算基础设施及其上的服务层软件的集合。[来源：GB/T31167—2014，3.7]3.5

边缘计算edgecomputing靠近数据源端并采用网络、计算、存储、应用核心能力为一体的开放平台，其应用程序在边缘侧发起，产生更快的网络服务响应，满足实时业务、应用智能、安全与隐私保护等方面的基本需求。3.6

边缘计算设备（以下简称“边设备”）edgecomputingunit具备边缘计算能力的配电终端设备，支持数据边缘处理和标准化建模，提供本地化服务；统一接入（智能）传感器、表计、采集控制终端等端设备，实现对多种通信方式和协议规约的适配。3.7

端设备terminalunit配电物联网状态感知、指令执行的单元，具备通信能力，支持业务信息的收集及处理，并向边设备或云平台提供配用电相关信息，可执行决策或控制命令。3.8

通信管网communicationnetwork配电物联网信息交互的通信网络，包括组网方式、通信协议，为云平台、边设备、端设备提供数据传输的虚拟管道，实现云平台、边设备、端设备的信息交互。3.9

容器container一个虚拟的独立运行环境，能够通过对终端部分物理资源（CPU、内存、磁盘、网络资源等）的划分和隔离，屏蔽其中的应用软件与其他虚拟独立运行环境或操作系统的相互影响。3.10

安全芯片securitychip含有操作系统和加解密逻辑单元的集成电路，可以实现安全存储、数据加/解密、双向身份认证、存取权限控制等安全控制功能。[来源：GM/T0008—2012，3.1.3]3.11

身份认证certification专用于确定传输、消息或发信方的有效性的安全措施，或者对接受特定的信息类别的个人授权进行验证的手段。[来源：GB/T36572—2018，3.13]3.12

数字签名digitalsignature附加在数据单元上的数据，或是对数据单元所作的密码变换，这种数据或变换允许数据单元的接收者用以确认数据单元的来源和完整性，并保护数据防止伪造或抵赖。[来源：GB/T25069—2010，76]3.13

可信启动verifiedboot一种基于可信根的、保护设备启动过程中引导程序和系统程序完整性的安全机制。3.14

沙箱sandbox在隔离环境中，用以测试不受信任的文件或应用程序等行为的工具。3.15

网络诱捕networkdeception一种通过网络动态变形技术，运用虚构主机、伪装等手段，对入侵者进行诱导进而捕获的主动防御技术。3.16

微应用micro-application部署独立、通信轻量、支撑单一业务逻辑功能实现的软件功能模块。缩略语下列缩略语适用于本文件。DDoS：分布式拒绝服务（DistributedDenialofService）HTTP：超文本传输协议（HyperTextTransferProtocol）IDS：入侵检测系统（IntrusionDetectionSystem）IPS：入侵防御系统（IntrusionPreventionSystem）JDBC：java数据库连接（JavaDataBaseConnectivity）MAC：消息认证码（MessageAuthenticationCode）ODBC：开放数据库连接（OpenDatabaseConnectivity）SNMP：简单网络管理协议（SimpleNetworkManagementProtocol）Syslog：系统日志（SystemLog）Telnet：远程登录协议（TeletypeNetwork）总体要求配电物联网安全防护措施应满足GB/T22239—2019第三级系统相关要求。应以业务需求为导向，防护范围涵盖云平台、通信管网、边设备、端设备各环节。应采用国家密码管理部门认可的证书体系，为配电物联网设备签发数字证书。应采用国家密码管理部门认可的密码算法，实现配电物联网云平台、边设备、端设备之间业务交互的机密性、完整性和行为抗抵赖保护。应对云平台、通信管网、边设备及端设备的网络运行状态、安全事件等进行监测、审计。安全防护框架配电物联网安全防护框架见图1，且图中云平台、边设备、端设备、相关业务应用系统之间应采取相应安全防护措施。云平台与生产控制大区之间应部署电力专用横向单向安全隔离装置，实现物理隔离；云平台与管理信息大区其他业务系统之间应部署防火墙，实现逻辑隔离；云平台应部署安全接入服务，实现边设备、端设备接入云平台及业务交互的安全防护；云平台与边设备、端设备之间的接入边界处应部署专用安全接入网关、专用安全隔离装置、硬件防火墙，实现边设备、端设备接入云平台的安全管控；边设备应支持配电物联网安全芯片，实现边设备的可信启动、密钥存储和密码算法支撑，实现边设备与云平台、端设备、其他边设备及运维工具之间数据交互的完整性、机密性、可用性保护，支持对本地存储数据的机密性、完整性保护；端设备应支持配电物联网安全芯片，实现端设备的密钥存储和密码算法支撑，实现端设备与云平台、边设备之间交互数据的完整性、机密性、可用性保护，支持对本地存储数据的机密性、完整性保护；应具备安全监测、分析与告警功能。图1配电物联网整体安全防护框架图云平台安全防护技术要求物理环境安全要求云平台物理环境安全要求应遵循GB/T22239—2019中8.1.1条和8.2.1条规定。云平台自身的安全要求7.2.1网络架构安全要求网络架构安全要求包括但不限于：应保证云平台不承载高于其安全保护等级的业务应用系统；云平台内部应根据业务特点划分为不同的安全域，安全域之间应采用访问控制和技术隔离手段；应具有根据云平台业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；应具备入侵防范能力，能检测到针对云平台以及虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；能检测到虚拟机与宿主机、不同业务虚拟机与虚拟机之间的异常流量；应在检测到网络攻击行为、异常流量情况时进行告警；应具备安全审计功能，对远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；应保证云平台管理人员对云平台业务系统和数据的操作可被云平台业务审计。7.2.2计算环境安全要求计算环境安全要求包括但不限于：应具备访问控制功能，遵循GB/T22239—2019中条规定，保证当虚拟机迁移时，访问控制策略随其迁移；应具备入侵防范功能，遵循GB/T22239—2019中及条规定；应具备镜像和快照保护功能，遵循GB/T22239—2019中条规定；应使用密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施；应具备数据备份恢复保护、剩余信息保护功能，遵循GB/T22239—2019中条规定；云平台宜部署于经国家相关部门认证的安全加固操作系统上，采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户访问控制；云平台网络关键设备和网络安全专用设备应经国家或行业有关机构检测认证，防范设备存在恶意组件或芯片；云平台业务应采用经国家或行业有关机构检测认证的数据库、中间件等支撑软件；云平台宜通过沙箱、网络诱捕等技术实现主动防御；宜基于可信根对云平台服务器、网络设备、安全设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。7.2.3应用软件安全要求应用软件安全要求包括但不限于：应用软件在部署前应经具备资质的检测机构的有效测试认证，测试认证内容包括但不限于整体安全检测、代码安全检测、功能检测；应用软件应修改帐户默认口令；应设置强口令，口令长度在8位以上，且由数字、字母和符号组成；用户名和口令禁止相同，并定期更换；口令不得明文存储；应提供访问控制功能，依据安全策略，控制用户对文件、数据库表等的访问，重要操作应采用权限管理；应具备覆盖每个用户的审计功能，对系统重要安全事件进行审计，审计记录应受到保护，避免受到未预期的删除、修改或覆盖。云与边、端交互的安全要求云与边、端交互的安全要求包括但不限于：云与边、端交互的安全功能通过云平台安全接入服务实现；提供安全接入服务的服务器应采用经国家相关部门认证的安全加固操作系统，采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少两种或两种以上措施，实现用户访问控制；安全接入服务应支持对称密码算法及非对称密码算法，采用基于国家密码管理部门认可的密码算法的加密卡实现密码运算；安全接入服务应具备MAC计算、数字签名/验证、随机数生成、密钥生成及销毁、密钥导入与导出等功能；安全接入服务应支持对云平台与边设备、端设备之间基于数字证书的身份认证功能；安全接入服务应支持对云平台与边设备、端设备之间交互数据进行加解密、数字签名及验证等操作；应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计相关的信息，应对审计记录进行保护。运维安全要求云平台的运维安全要求包括但不限于：应禁止远程运维云平台；本地运维时，应对运维设备进行身份认证，并对运维过程进行安全审计。通信管网安全防护技术要求远程通信管网安全防护技术要求远程通信管网包括云平台与边设备、端设备之间的通信网，其安全防护要求包括但不限于：应部署专用安全隔离装置，实现云平台与边设备、端设备之间的物理隔离、协议过滤、非法IP过滤等；应部署防火墙，实现云平台与边设备、端设备之间的逻辑隔离；应部署专用安全接入网关；云平台侧宜部署抗DDoS服务器，应部署IDS/IPS等安全防护设备；可基于可信根对专用安全隔离装置、专用安全接入网关等安全防护设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。本地通信管网安全防护技术要求本地通信管网包括边设备与端设备之间的通信网，应具备入侵防范功能，遵循GB/T22239—2019中条规定。边设备安全防护技术要求物理环境安全要求物理环境安全要求应遵循GB/T22239—2019中8.1.1、8.3.1、8.4.1条规定，具备防火、防盗、防破坏等硬件防护能力。边设备自身安全要求硬件层距离防护边设备硬件层应支持国家密码管理部门认可的密码算法的配电物联网安全芯片，并通过安全芯片实现密钥生成、存储和使用。系统层系统层的安全防护要求包括但不限于：宜对操作系统进行安全加固，裁剪不必要的功能；应支持操作系统端口禁用、服务禁用、补丁更新、版本安全升级等功能；应关闭边设备的调试接口，防范软硬件逆向攻击；应鉴别软件更新包的来源，对更新文件进行完整性校验；应具有备份和恢复能力，防止更新异常导致系统失效；应基于可信根对边设备的系统引导程序、系统程序进行可信验证，在检测到其可信性受到破坏后进行响应；应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计相关的信息，应对审计记录进行保护。应用层应用层的安全防护要求包括但不限于：业务微应用应经授权机构进行统一的数字签名，安装前应验证签名的有效性；容器及业务微应用的安装、控制、参数配置类操作指令应采用基于数字证书及密码管理部门认可的非对称密码算法实现完整性和可用性保护，采用追加随机数或时间戳等新鲜性标识信息实现抗重放保护；应实现对关键性数据存储的机密性、完整性保护，宜实现对一般性数据存储的完整性保护；应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计相关的信息，应对审计记录进行保护。边与云、端交互的安全要求边与云、端交互的安全防护要求包括但不限于：应采用设备唯一标识和数字证书相结合的方式，实现边设备接入云平台时的双向身份认证；应采用基于国家密码管理部门认可的对称密码算法实现对所有云、边间的业务及管理交互数据的机密性保护；应根据业务数据的重要程度，设置不同的安全防护措施：对于控制类等关键业务数据采用基于数字证书及密码管理部门认可的非对称密码算法实现完整性和可用性保护，采用追加随机数或时间戳等新鲜性标识信息实现抗重放保护；对采集类等一般业务数据采用MAC校验技术实现完整性保护；应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计相关的信息，应对审计记录进行保护。运维安全要求边设备应采用专用运维工具，安全防护要求包括但不限于：应采用基于唯一标识和数字证书相结合的身份认证技术，实现对运维工具的身份认证；运维工具应采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少两种措施组合的访问控制措施；数据交互过程中，应采用基于国家密码管理部门认可的对称密码算法实现机密性保护。端设备安全防护技术要求物理环境安全要求端设备的物理环境安全要求应遵循GB/T22239—2019中8.1.1、8.3.1、8.4.1条规定，具备防火、防盗、防破坏等硬件防护能力。端设备自身安全要求硬件层端设备硬件层应支持国家密码管理部门认可的密码算法的安全芯片，并通过安全芯片实现端设备的密钥生成、存储和使用。系统层具备操作系统的端设备系统层的安全防护要求包括但不限于：宜对操作系统进行安全加固，裁剪不必要的功能；应支持操作端口禁用、服务禁用、补丁更新、版本安全升级等功能；应关闭端设备的调试接口，防范软硬件逆向攻击；应具有备份和恢复能力，防止更新异常导致系统失效；宜基于可信根对端设备的系统引导程序、系统程序进行可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。应用层端设备应用层安全防护要求包括但不限于：对于支持容器和微应用的端设备，应遵循本文件9.2.3a)条规定；应采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户对应用的访问控制。端与边、云交互的安全要求端与边、云交互的安全防护要求包括但不限于：应采用设备唯一标识和数字证书相结合的方式，实现端设备接入边设备或云平台时的双向身份认证；应对业务交互数据采用基于国家密码管理部门认可的对称密码算法实现机密性保护；应根据业务数据的重要程度，设置不同的安全防护措施：对于控制类等关键业务数据采用基于数字证书及密码管理部门认可的非对称密码算法实现完整性和可用性保护；对采集类等一般业务数据采用MAC校验技术实现完整性保护。运维安全要求端设备的运维安全要求应遵循GB/T22239—2019中8.4.4条规定。边界安全防护技术要求配电物联网的典型边界见图2，边界描述见表1。图2配电物联网边界划分示意图表1配电物联网边界描述表名称描述=1\*GB3①配电物联网系统与生产控制大区应用边界=2\*GB3②配电物联网系统与其他业务系统边界配电物联网系统与生产控制大区应用边界应采用电力专用横向单向安全隔离装置，配置访问控制、日志记录和审计等安全策略，实现边界物理隔离。配电物联网系统与其他业务系统边界应采用硬件防火墙，配置访问控制措施，对HTTP、Telnet、SNMP等应用层数据流进行有效监视和控制。安全监测技术要求配电物联网安全监测范围应覆盖云平台、通信管网、边设备、端设备各环节，通过对网络或系统的基础环境以一定的接口方式采集日志等相关数据，实现状态监测、安全评估、态势感知、预警发布等。监测对象监测对象包括但不限于：应监测云平台的区域边界、网络连接状态、网络流量、系统安全、应用安全等；应监测通信管网中网络连接设备、安全设备的网络连接状态、网络流量、系统安全、应用安全等；应监测边设备的网络连接状态、网络流量、系统安全、应用安全、接入安全等；应监测端设备的网络连接状态、网络流量、接入安全等。监测分类配电物联网安全监测按照GB/T36635相关要求进行分类。监测接口类型应为各种接口类型设置统一的标准格式要求，接口类型宜覆盖：网络协议接口：Syslog、SNMP等；数据库访问接口：JDBC、ODBC等；文件接口：文件采集、目录采集等；代理程序：采集操作系统、应用系统或中间件监测数据的代理软件或数据转发代理组件等。监测功能要求监测功能要求包括但不限于：应部署安全监测平台，对配电物联网中的云平台、通信管网、边设备、端设备进行集中