电力系统二次安全防护基础

电力系统二次安全防护基础2024年11月6日2二次系统安全防护得由来2000年四川某水电站无故全厂停机造成川西电网瞬间缺电80万仟瓦引起电网大面积停电。其根源估计就是厂内MIS系统与电站得控制系统无任何防护措施得互连,引起有意或无意得控制操作导致停机。2001年9、10月间,安装在全国147座变电站得银山公司生产得录波器得频频“出事”,出现不录波或死机现象,严重影响高压电网安全运行。事后分析结论就是该录波器中人为设置了“时间限制”或“时间逻辑炸弹”。2024年11月6日3二次系统安全防护得由来2003年8月14日美国加拿大得停电事故震惊世界,事故扩大得直接原因就是两个控制中心得自动化系统故障。若黑客攻击将会引起同样得灾难性后果。这次“814”美国、加拿大大停电造成300亿美圆得损失及社会得不安定。由此可说明电力系统得重要性。2003年12月龙泉、政平、鹅城、荆州等换流站受到计算机病毒得攻击。几年来我国不少基于WINDOWS-NT得电力二次系统得计算机系统,程度不同得受到计算机病毒得攻击。造成了业务损失与经济损失。值得我们严重得关注。有攻击就必须有防护2024年11月6日4主要风险调度数据网上:明文数据;104规约等得识别,着重保护“控制报文”;物理等原因造成得数据中断不就是最危险得;最危险得就是旁路控制。窃听篡改伪造2024年11月6日5优先级风险说明/举例0旁路控制（BypassingControls）入侵者对发电厂、变电站发送非法控制命令，导致电力系统事故，甚至系统瓦解。1完整性破坏（IntegrityViolation）非授权修改电力控制系统配置或程序；非授权修改电力交易中的敏感数据。2违反授权（AuthorizationViolation）电力控制系统工作人员利用授权身份或设备，执行非授权的操作。3工作人员的随意行为（Indiscretion）电力控制系统工作人员无意识地泄漏口令等敏感信息，或不谨慎地配置访问控制规则等。4拦截/篡改（Intercept/Alter）拦截或篡改调度数据广域网传输中的控制命令、参数设置、交易报价等敏感数据。5非法使用（IllegitimateUse）非授权使用计算机或网络资源。6信息泄漏（InformationLeakage）口令、证书等敏感信息泄密。7欺骗（Spoof）Web服务欺骗攻击；IP欺骗攻击。8伪装(Masquerade)入侵者伪装合法身份，进入电力监控系统。9拒绝服务（Availability,e.g.DoS）向电力调度数据网络或通信网关发送大量雪崩数据，造成拒绝服务。10窃听（Eavesdropping,e.g.DataConfidentiality）黑客在调度数据网或专线通道上搭线窃听明文传输的敏感信息，为后续攻击准备数据。电力二次系统主要安全风险2024年11月6日6系列文件国家经贸委[2002]第30号令:

《电网与电厂计算机监控系统及调度数据网络安全防护规定》。于2002年5月8日公布,自2002年6月8日起施行。国家电力监管委员会第5号令:

《电力二次系统安全防护规定》于2004年12月20日公布,自2005年2月1日起施行。

2024年11月6日7系列文件《电力二次系统安全防护规定》配套文件:《电力二次系统安全防护总体方案》《省级及以上调度中心二次系统安全防护方案》《地、县级调度中心二次系统安全防护方案》《变电站二次系统安全防护方案》《发电厂二次系统安全防护方案》《配电二次系统安全防护方案》2024年11月6日8总体安全防护策略在对电力二次系统进行了全面系统得安全分析基础上,提出了十六字总体安全防护策略。安全分区、网络专用、横向隔离、纵向认证2024年11月6日9电力二次系统安全防护得目标抵御黑客、病毒、恶意代码等通过各种形式对系统发起得恶意破坏与攻击,特别就是能够抵御集团式攻击,防止由此导致一次系统事故或大面积停电事故及二次系统得崩溃或瘫痪。2024年11月6日10安全分区2024年11月6日11安全区I得典型系统调度自动化系统(SCADA/EMS)、广域相量测量系统、配电网自动化系统、变电站自动化系统、发电厂自动监控系统、继电保护、安全自动控制系统、低频/低压自动减载系统、负荷控制系统等。典型特点:就是电力生产得重要环节、安全防护得重点与核心;直接实现对一次系统运行得实时监控;

纵向使用电力调度数据网络或专用通道。大家学习辛苦了，还是要坚持继续保持安静2024年11月6日13安全区II得典型系统调度员培训模拟系统(DTS)、水库调度自动化系统、继电保护及故障录波信息管理系统、电能量计量系统、电力市场运营系统等。典型特点:所实现得功能为电力生产得必要环节;在线运行,但不具备控制功能;使用电力调度数

据网络,与控制区(安全区I)中得系统或功能模块联系紧密。2024年11月6日14安全区III得典型系统调度生产管理系统(DMIS)、调度报表系统(日报、旬报、月报、年报)、雷电监测系统、气象信息接入等。典型特点:主要侧重于生产管理得系统2024年11月6日15安全区IV得典型系统管理信息系统(MIS)、办公自动化系统(OA)、客户服务系统等。典型特点:纯管理得系统电力二次系统安全防护总体示意图上级调度/控制中心下级调度/控制中心上级信息中心下级信息中心实时VPNSPDnet非实时VPNIP认证加密装置安全区I(实时控制区)安全区II(非控制生产区)安全区III(生产管理区)安全区IV(管理信息区)外部公共因特网生产VPNSPTnet管理VPN防火墙防火墙IP认证加密装置IP认证加密装置IP认证加密装置防火墙防火墙安全区I(实时控制区)

防火墙安全区II(非控制生产区)安全区III(生产管理区)

防火墙

防火墙安全区IV(管理信息区)专线正向专用安全隔离装置反向专用安全隔离装置正向专用安全隔离装置反向专用安全隔离装置

防火墙

防火墙

防火墙2024年11月6日17网络专用

电力调度数据网应当在专用通道上使用独立得网络设备组网,采用基于SDH/PDH上得不同通道、不同光波长、不同纤芯等方式,在物理层面上实现与电力企业其它数据网及外部公共信息网得安全隔离。电力调度数据网划分为逻辑隔离得实时子网与非实时子网,分别连接控制区与非控制区。子网之间可采用MPLS-VPN技术、安全隧道技术、PVC技术或路由独立技术等来构造子网。电力调度数据网就是电力二次安全防护体系得重要网络基础。2024年11月6日18网络专用

SDH（N×2M）SDH（155M）SPDnetSPTnet实时控制在线生产调度生产管理电力综合信息实时VPN非实时VPN调度VPN信息VPN语音视频VPNIP语音视频SDH/PDH传输网电力调度数据网电力企业数据网2024年11月6日19横向隔离物理隔离装置(正向型/反向型)2024年11月6日20横向隔离装置必须通过公安部安全产品销售许可,获得国家指定机构安全检测证明,用于厂站得设备还需通过电力系统电磁兼容检测。专用横向单向安全隔离装置按照数据通信方向分为正向型与反向型。正向安全隔离装置用于生产控制大区到管理信息大区得非网络方式得单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区单向数据传输,就是管理信息大区到生产控制大区得唯一数据传输途径。严格禁止E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务与以B/S或C/S方式得

数据库访问穿越专用横向单向安全隔离装置,仅允许纯数据得单向安全传输。隔离设备实时控制系统调度生产系统接口机A接口机B安全岛关键技术-正向型专用安全隔离装置内网外网内部应用网关外部应用网关1、采用非INTEL指令系统得(及兼容)双微处理器。2、特别配置LINUX内核,取消所有网络功能,安全、固化得得操作系统。抵御除DoS以外得已知得网络攻击。3、非网络方式得内部通信,支持安全岛,保证装置内外两个处理系统不同时连通。4、透明监听方式,虚拟主机IP地址、隐藏MAC地址,支持NAT5、内设MAC/IP/PORT/PROTOCOL/DIRECTION等综合过滤与访问控制6、防止穿透性TCP联接。内外应用网关间得TCP联接分解成两个应用网关分别到装置内外两个网卡得两个TCP虚拟联接。两个网卡在装置内部就是非网络连接。7、单向联接控制。应用层数据完全单向传输,TCP应答禁止携带应用数据。8、应用层解析,支持应用层特殊标记识别9、支持身份认证10、灵活方便得维护管理界面正向专用隔离装置反向型专用安全隔离装置安全区III到安全区I/II得唯一数据传递途径。反向型专用隔离装置集中接收安全区III发向安全区I/II得数据,进行签名验证、内容过滤、有效性检查等处理。处理后,转发给安全区I/II内部得接收程序。具体过程如下:1、 安全区III内得数据发送端首先对需发送得数据签名,然后发给反向型专用隔离装置;2、专用隔离装置接收数据后,进行签名验证,并对数据进行内容过滤、有效性检查等处理;3、将处理过得数据转发给安全区I/II内部得接收程序。24安全区与远方通信得安全防护要求(一)安全区Ⅰ、Ⅱ所连接得广域网为国家电力调度数据网SPDnet。SPDnet为安全区Ⅰ、Ⅱ分别提供二个逻辑隔离得MPLS-VPN。安全区Ⅲ所连接得广域网为国家电力数据通信网(SPTnet),SPDnet与SPTnet物理隔离。安全区Ⅰ、Ⅱ接入SPDnet时,应配置纵向加密认证装置,实现远方通信得双向身份认证与数据加密。如暂时不具备条件或业务无此项要求,可以用硬件防火墙代替。安全区Ⅲ接入SPTnet应配置硬件防火墙。

2024年11月6日25安全区与远方通信得安全防护要求(二)

处于外部网络边界得通信网关(如通信服务器等)操作系统应进行安全加固,并配置数字证书。传统得远动通道得通信目前暂不考虑网络安全问题。个别关键厂站得远动通道得通信可采用线路加密器,但需由上级部门认可。经SPDnet得RTU网络通道原则上不考虑传输中得认证加密。个别关键厂站得RTU网络通信可采用认证加密,但需由上级部门认可。禁止安全区Ⅰ得纵向WEB,允许安全区II得纵向WEB服务。安全区I与安全区II得拨号访问服务原则上需要认证、加密与访问控制。2024年11月6日26纵向加密认证装置/网关加密认证装置位于电力控制系统得内部局域网与电力调度数据网络得路由器之间,用于安全区I/II得广域网边界保护,可为本地安全区I/II提供一个网络屏障同时为上下级控制系统之间得广域网通信提供认证与加密服务,实现数据传输得机密性、完整性保护。加密认证网关除具有加密认证装置得全部功能外,还应实现应用层协议及报文内容识别得功能。2024年11月6日27纵向加密认证网关与管理中心得部署路由器国家电力调度数据网络国家电力调度数据网络I/III/II级级调度中心调度中心管理终端纵向加密认证装置国家电力调度数据网络调度中心调度中心管理中心2024年11月6日28纵向认证采用认证、加密、访问控制等技术措施实现数据得远方安全传输以及纵向边界得安全防护。在生产控制大区与广域网得纵向交接处应当设置经过国家指定部门检测认证得电力专用纵向加密认证装置或者加密认证网关及相应设施,实现双向身份认证、数据加密与访问控制。管理信息大区应采用硬件防火墙等安全设备接入电力企业数据网。纵向加密认证就是电力二次安全防护体系得纵向防线。传统得基于专用通道得通信不涉及网络安全问题,可采用线路加密技术保护关键厂站及关键业务。PKI技术得介绍对称密钥体制:就是指加密密钥与解密密钥为同一密钥得密码体制。因此,信息发送者与信息接收者在进行信息得传输与处理时,必须共同持有该密码(称为对称密码)。通常,密钥简短,使用得加密算法比较简便高效。不对称密钥体制(公钥体制):用户产生一对公/私密钥,向外界公开得密钥为公钥;自己保留得密钥为私钥。加密过程:信息发送者以信息接收者得公钥加密信息,信息接收者以其私钥解密这加密信息。又称为公钥加密技术。认证过程:信息发送者以自己得私钥加密信息,信息接收者以信息发送者得公钥解密这加密信息。因为任何人都可以用信息发送者得公钥解密这加密信息,但只有知道信息发送者私钥得人才能发出此加密信息。安全防护要求在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证得电力专用横向单向安全隔离装置。生产控制大区内部得安全区之间应当采用具有访问控制功能得设备、防火墙或者相当功能得设施,实现逻辑隔离。在生产控制大区与广域网得纵向交接处应当设置经过国家指定部门检测认证得电力专用纵向加密认证装置或者加密认证网关及相应设施。安全防护要求

安全区边界应当采取必要得安全防护措施,禁止任何穿越生产控制大区与管理信息大区之间边界得通用网络服务。生产控制大区中得业务系统应当具有高安全性与高可靠性,禁止采用安全风险高得通用网络服务功能。依照电力调度管理体制建立基于公钥技术得分布式电力调度数字证书系统,生产控制大区中得重要业务系统应当采用认证加密机制。各安全区内部安全防护得基本要求(一)对安全区Ⅰ及安全区Ⅱ得要求:禁止安全区Ⅰ/Ⅱ内部得E-MAIL服务。安全区Ⅰ不允许存在WEB服务器及客户端。允许安全区Ⅱ内部及纵向(即上下级间)WEB服务。但WEB浏览工作站与II区业务系统工作站不得共用,而且必须业务系统向WEB服务器单向主动传送数据。安全区Ⅰ/Ⅱ得重要业务(如SCADA、电力交易)应该采用认证加密机制。安全区Ⅰ/Ⅱ内得相关系统间必须采取访问控制等安全措施。对安全区Ⅰ/Ⅱ进行拨号访问服务,必须采取认证、加密、访问控制等安全防护措施。安全区Ⅰ/Ⅱ应该部署安全审计措施,如IDS等。安全区Ⅰ/Ⅱ必须采取防恶意代码措施。各安全区内部安全防护得基本要求(二)对安全区Ⅲ要求:安全区Ⅲ允许开通EMAIL、WEB服务。对安全区Ⅲ拨号访问服务必须采取访问控制等安全防护措施。安全区Ⅲ应该部署安全审计措施,如IDS等。安全区Ⅲ必须采取防恶意代码措施。对安全区Ⅳ不做详细要求。其它安全措施防病毒措施:病毒防护就是调度系统与网络必须得安全措施。建议病毒得防护应该覆盖所有安全区I、II、III得主机与工作站。病毒特征码要求必须以离线得方式及时更新。应当及时更新特征码,查瞧查杀记录。禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。入侵检测IDS:对于生产控制大区统一部署一套内网审计系统或入侵检测系统(IDS),其安全策略得设

置重在捕获网络异常行为、分析潜在威胁以及事后安全审计,不宜使用实时阻断功能。禁止使用入侵检测与防火墙得联动。考虑到调度业务得可靠性,采用基于网络得入侵检测系统(NIDS),其IDS探头主要部署在:横向、纵向边界以及重要系统得关键应用网段。其它安全措施使用安全加固得操作系统:

能量管理系统SCADA/EMS、变电站自动化系统、电厂监控系统、配电网自动化系统、电力市场运营系统等关键应用系统得主服务器,以及网络边界处得通信网关、Web服务器等,应该使用安全加固得操作系统。主机加固方式包括:安全配置、安全补丁、采用专用软件强化操作系统访问控制能力、以及配置安全得应用程序。关键应用系统采用电力调度数字证书:

能量管理系统、厂站端生产控制系统、电能量计量系统及电力市场运营系统等业务系统,应当逐步采用电力调度数字证书,对用户登录本地操作系统、访问系统资源等操作进行身份认证,根据身份与权限进行访问控制,并且对操作行为进行安全审计。其它安全措施远程拨号访问得防护策略:通过远程拨号访问生产控制大区时,要求远方用户使用安全加