PCS-9895B安全监测装置工程调试手册R30

PCS-9895B网络安全监测装置

工程调试手册

目录

第1章概述1

1.1系统简介1

1.2PCS-9895B装置简介2

1.2.1硬件2

1.2.2主要功能2

1.2.3典型部署方案3

1.3调试简介3

1.3.1必备工具3

1.3.2前期调研4

1.3.3现场调试流程4

第2章PCS-9895B装置配置6

2.1使用SecureManager工具6

2.1.1安装并运行虚拟机6

2.1.2打开SecureManager工具9

2.2下载装置程序11

2.3参数设置11

2.3.1添加资产11

2.3.2设置基本参数12

2.3.3设置自身探针14

2.3.4规约设置15

设置sntp对时15

设置交换机snmp协议参数16

IEC104设置17

SEVICE_AGENT服务代理设置18

2.3.5权限管理18

2.3.6审计日志查询19

2.4调试功能简介19

2.4.1查看运行状态19

2.4.2实时告警20

2.4.3规约信息21

2.4.4历史检索21

2.5自身信号调试22

2.6导入导出配置24

2.7常用操作24

2.7.1通过ssh登录装置24

Win下登录设置24

Linux下ssh登录25

常用命令25

2.7.2console口26

2.7.3使用winscp连接装置26

2.7.4修改数据库解法不同版本工具菜单兼容性问题26

2.7.4.1解决对时告警屏蔽选项标签不显示28

27.4.2解决端口未绑定MAC扫描周期标签显示英文29

第3章主机探针配置30

3.1Linux系统30

3.1.1安装部署30

3.1.2申请注册30

3.1.3酉己置31

基本配置32

操作事件配置32

网络外联事件配置32

开放非法端口事件配置33

关键文件变更配置34

高级配置34

保存配置35

3.2Solaris系统35

3.2.1安装部署35

3.2.2申请注册36

3.2.3配置37

3.3Windows系统37

3.3.1安装部署37

3.3.2申请注册38

3.3.3配置38

3.4Linux/Solaris下探针启停操作39

3.4.1手动启动探针39

3.4.2临时关闭探针40

3.4.3卸载探针40

3.4.4探针启动后终端中无法执行某些命令的解决办法40

3.5调试40

3.5.1事件上送40

3.5.2控制操作43

3.6销毁注册码44

第4章网关机探针配置45

4.1部署探针45

4.2配置45

4.3调试46

第5章交换机配置47

5.1PCS9882AD/BD/ED47

5.1.1程序升级47

版本查看47

程序升级47

5.1.2配置50

交换机常规配置步骤50

上装配置修改后导入其他交换机54

5.1.3调试56

第6章安全装置配置58

6.1信通SysKeeper2000正向隔离装置58

6.1.1调试软件安装58

6.1.2程序升级58

6.1.3配置61

6.1.4调试64

6.2信通SysKeeper2000反向隔离装置64

6.2.1配置64

6.2.2调试67

6.3科东StoneWall-2000反向隔离67

6.4启明星辰USG-FW-310DPV2.60防火墙73

笫7章与主站联调78

7.1获取通信参数和证书78

7.2设置主站相关参数79

7.3通道联调80

7.4功能测试81

7.5调试手段81

7.5.1长期监视报文的设置82

第8章升级与维护84

8.1104增加“启用上送信号屏蔽功能”选项84

第9章备份86

第10章版本更新说明88

第1章概述

1.1系统简介

网络安全处按照“监测对象自身感知、网络安全监测装置分布采集、网络安全管理平台

统一管控”的原则，构建了如下一个电力监控系统网络安全管理体系：

厂站端的网络安全监测装置和自身感知设备构成了这一体系的基础。

为满足厂站端网络安全监测系统的需求，研发推出了以下两个产品：

PCS-9895B厂站安全监测装置，对标国网1084号文，在上述体系中处于“分布采集”

这样一个环节，用于国网范围内的厂站包括变电站、火电厂、水电站、核电站、光伏风电站

等的站控层安全状态数据监测汇集并上送，并支持主站对厂站的安全服务代理、本地的就地

配置管理。PCS-9895B属于国网1084号文中的H型网络安全监测装置。

PCS-9895D网络安全探针，纯软件，也叫网络安全代理，对标国网1084号文用于国

网范围内的厂站端站控层监控主机，包括后台服务器、保护工程师站、网关机等的“自身感

知”，实现本机安全状态监测并输HI到厂站安全监测装置。

厂站网络安全监测系统和二次监控系统的类比：

厂站安全监测系统二次监控系统

数据采集网络安全探针测控

数据汇集远传安全监测装置远动网关机

数据就地展示和管理就地管理单元监控后台

（安全监测装置的客户端）

1

1.2PCS-9895B装置简介

121硬件

正视图:

PCS:

•?.•

背视图

配备了8个以太网口（每个网口都可以用于对下或对上通讯）和一个console专用调试

口、B码接口等。

122主要功能

典型功能结构图如F：

功能说明：

>采集数据：

令通过基于TCP的指定私有协议采集计算机类设备上安全探针上送的安全状态信息;

◊通过SNMP协议采集网络交换机的安全状态信息；

令通过SYSLOG协议采集二次安防设备的安全状态信息；

>上传数据:

2

通过基于IEC104传输机制的扩展定义规约，并增加了安全认证，将告警信息、突发事

件、周期状态等数据，通过网口经调度数据网上送主站的安全监管平台；并支持配置的

远程管理；

>服务代理：

可以支持主站对厂站端的主机进行远程调阅、参数修改、基线核查、主动断网等服务;

>本地配置管理和展示：

对采集信息进行条件查看和统计，日志查看，资产管理等；

1.2.3典型部署方案

>只有安全I区，则在安全I区部署•台PCS-9895B装置：

>有安全I区、II区，且两个区通过防火墙相连，则在安全II区部署一台PCS-9895B,

如下图所示：

>有安全I区、H区，且两个区通过单向隔离相连，则两区各部署一台PCS-9895B：

>有安全I区、II区，且两个区没有相连相互独立，则在两区各部署一台PCS-9895B；

>如用户有特殊要求，则按照用户的指定要求部署；

1.3调试简介

131必备工具

>调试线

序号名称说明

与console口相连，用于底层信息的打印和调试，

本装置console专用调试

1思科线序（与我们常规的PCS专用黑色调试线不通

线

用），装置出厂时标配一根。

3

2USB转串口专用调试线USB转串口，与console调试线相连。

A软件

序号名称说明

1VirtualBox打开虚拟机镜像的管理工具

2redhat6.5.ovaIinux6.5的操作系统虚拟机的镜像

3SecureCRT用于串口或SSH连接PCS9895,进行相关配置

4winscp用于PCS9895上传或下载文件到笔记本

5FTPServer或Tftpd32用于升级交换机程序

6SecureManagerPCS-9895B配置管理工具

7NR_AUDIT_GWPCS-9895D主机安全探针（也叫Agent代理软件）

132前期调研

>目标方法：

1）实地或者调阅存档资料，了解现场主机、网关机、交换机、安防设备的数最、厂家

型号、版本等准确信息；

2）核实确定PCS-9895B利用现有屏柜组屏或独立新增屏柜的安装位置；

3）制定满足用户要求的工程实施方案。

>参考资料：

令《厂站部署网络安全监测产品的监控系统调研（模板）》

令《网络安全监测装置实施方案部署原则》

令《厂站部署网络安全监测装置实施方案（模板）》

1.3.3现场调试流程

1.根据前期调研方案进行组网规划，布放网线。典型组网示例如下：

4

说明：

红色代表需要铺设的网线，PCS9895装置敷设1根网线到II区交换机，1根网线到调度

数据网非实时交换机，反向隔离装宽敷设1根网线到II区交换机：

若站控层为双网，则需要放2根网线到II区交换机；若主站要求走双平面，则需要放2

根网线到两个调度数据网的非实时交换机。正、反向隔离若与I区和II区设备均没有连接，

可以不放（不接入）。

虚线代表镜像的网线，抓报文用，现场实施时可以不放。

2.统一分配需要接入的设备IP。

以站内A/B网采用1网段为例，以下是推荐IP：

>PCS-9895B,建议前两个网口分别连接到站控层A、B网交换机上，设备IP默认为：

1.98.95；

>站控层交换机，建议IP从1.98.11开始分配；

>防火墙、隔离，建议IP从1.98.51开始分配。

3.安装部署PCS-9895B装置，通过管理工具配置基本参数；

A注意：装置是iu单元，如果是利用现有屏■柜空间进行安装，可能会留下一个空洞，需

要提前准备相应的屏柜挡板。

4.配置主机、网关机探针并与PCS-9895B通信测试

5.配置交换机，并测试与PCS-9895B通信

6.配置防火墙、隔离等安全设备并测试与PCS-9895B通信

7.将装置生成的证书请求文件提交给主站，并从主站获取经过签发的证书，导入到装置中

8.从主站获取分配给本装置的IP、掩码、网关以及主站IP地址等，完成配置并与主站联

调，验收投运。

5

第2章PCS-9895B装置配置

2.1使用SecureManager工具

2.1.1安装并运行虚拟机

专用配置工具SecureManager目前只能在linux6.5环境下运行，推荐使用VirtualBox

虚拟机软件。可以在笔记本上下载最新VirtualBox安装包，打开并按照流程一步一步按默认

方式来安装。

安装完成后，打开工具，点击“管理”-“导入虚拟电脑”菜单，如下图：

在弹出的对话框中选择镜像文件redhat6.5.ova所在路径（该镜像文件可从调试资料中下载）,

点击“下一步”，提示如下图，然后点击“导入”按钮，开始导入。

©导A在拟电88

虚拟电脑导入设置

这是即将导入的虚拟电脑展建议的映射关系C您可以通过双击该项目来调整父设

羞，或使用下面的选择框来禁用它们。

述

无置

USB控制器画

声卡画ICHAC97

网络控制器画IntelPRO/IOOOMT桌面（82540E...

IDE硬叁控制器PIIX4

IDE硬盅控制器PIIX4

SATA硬盅控制器AHCI

困期冷C:\Users\xiongq\VirtualBoxVMs\Re...

E重新初始化所有网卡的MAC地址00

虚拟电脑未签名

6

导入成功后，显示如下:

寸OradeVMVirtualBox音理器13'回|根I

双击左侧列表中的虚拟机名称或点击“启动”按钮，打开虚拟机。如臭出现如下提示则继续

设置网卡：

按如下所示来绑定笔记本的有线网卡:

7

QRedhat^^^SS

点击OK,即可进入Redhat6.5系统,登陆账号secure,密码123：

可以按键盘上右侧Ctrl键来切换鼠标控制权。

若出现如下的报错:

8

?X

VT-x/MID-V硬件加速在您的系统中不

可用。您的64-位虚拟机将无法检剜

到64-位处理者，从而无法启动。

关闭虚拟电匈［复制I［蟒一］

需要重启电脑进入BISO设置，将IntelVirtualTechnology设置为Enable：

2.1.2打开SecureManager工具

操作前，需要将虚拟机自带的/home/secure/SecureManage”目录删除，然后将最新版

本SecureManager工具通过FTP或U盘复制进secure目录内。

执行桌面“安全管理”快捷方式，或双击工具目录内“SecureManager.sh”并点击“在

终端中运行”，打开工具登录界面如下：

9

k、登录

点击左上角的设置菜单，填写与笔记本网口相连的PCS-9895B其个网口IP,笔记本电

脑IP预先设置和该网口IP在同一网段,然后输入用户名operator,密码PCS9895@pcs9895,

点击“登录”按钮。

提示：出厂默认的PCS-9895B网口1~8的IP地址分别为198.120~127.98.95,掩

码均为。

登录成功后如下图所示：

工具栏按钮排列在界面底部。接下来按照以下说明对装置进行设置和调试。

10

2.2下载装置程序

对于尚未投运的站，在配置前需要核实PCS-9895B装置内程序是否是当前归档的最新

版本，若不是则按以下方法下载最新程序。

预先将PCS9895.bin程序文件通过winscp工具传到虚拟机内任意目录（winscp操作

详见2.7节），然后点击底部的工具栏“设置”-“下载”按钮，如下：

告警

27三资产管理

!笳设置

27

Ir导出设置

27

jp导入设置

27

2?二二__'

I4时间管理

97

画规沟调试信息

厘

退出设置▼告警历史查询

点击后弹出下面对话框，选取刚才放入的PCS9895.bin文件，然后点击下教，即可进

行程序的升级操作。

下载x

[/ic?cHa/T0SH1BA/PCS9895.bln下载

始下载

开

功

勒成

下

功

令成

命

I

升级完成后，根据弹出的提示窗口，软重启一下装置。

对于已经运行的设备，升级前务必做好配置的备份。

小警告：升级程序后千万不要断电重启，只能软重启。

2.3参数设置

231添加资产

通过底部的工具栏“设置”-“资产管理”按钮，打开资产列表界面，如下图，将需要

接入的设备添加到资产中。

11

资产管”

f

•0[m击4ii0笆叵

:列：设备受型收治厂家作系流自流标冏洛接口设备川柿码地址M"地址

1网络安全收测装置南瑞参保网拓安全发闸装置linux65e<hl:eih91981201100:127001255255002552552550

.22交换机南璃姓保1区交换机Avxwortcs1.0ethO10255.2552550

kJ3

交换机*瑞力保1区交换他vxworks10emo19812UH0255.25500

44服务器甯聘鞋保scadallinux6.5ethO;ethl198.120.018U.98.12101812S5.25500255.25500

55服务都南瑞箜保scada2linux65eihO.ethl198120018219812101822552550025525500

66服务器甯瑞山保1区如8网关机Alinuxett)O;ethl1981200200;002S5.25500255.25500

77防火墉其他网御防火墙linuxemo198120112025525500

|88横向正向隔商装置其他正向扁商linuxeihO1981201121255.25500

v9横向反向隔离装置其他反向隔离linuxeihO1981201122255.255.00

io10服务器席瑞雁保1区如8网关机BlinuxeihO;ethl19812002011981210201255255002552550。

1111服务科南瑞龚保II区数揖网关机linuxetfiO.emi1981200202JL981210202255.255.00255.255.00

12122换机甯瑞襄保・区交换机vxwortcsemo1981201U1255.25500

说明：

>资产包括的设备类型有：网络安全监测装置自身、服务器（包括电脑主机、网关机等）、

交换机、正反向隔离、防火墙等；

>资产列表中已经默认添加了本台网络安全监测装置，其设备IP添加了一个网口的实际

IP和回环IP：,切记不需要对此条资产进行修改，更天能删除，否则可能会

导致装置异常；

>由于snmp规约模块要求至少配置一台交换机资产,所以出厂程序的资产列表中也默认

添加了一台交换机，即便现场没有接入任何交换机设备，此资产也不可删除。

>设备类型、设备厂家、设备名称、网络接口、设备IP、子网掩码等属于必填项，需根

据实际填写，其余如系统版本、mac地址等建议按照实际填写；mac地址不填也没关

系，mac地址输入框只支持数字、小数点，其余字符不支持。

>可以选择一行资产，右键-复制，然后再选择新增加的一个空行，右键-粘贴。

>资产添加完成后，点击上方“保存”按钮士，将资产信息保存到PCS-9895B装置中。

2.3.2设置基本参数

通过底部的工具栏“设置”-“设置”菜单设置如下内容：

1）在“系统参数”页面下填写PCS-9895B装置8个网口的IP参数，与调度主站通讯时

的网关和对端网段、对端掩码等参数填写在本页的路由配置中：

12

段置

力1

泰统叁教

11ng率

危险操作

•thl•th2

事件处理参数

遇倩参数II丸址:［,SB.12O,1-I。。)子网捷码123a•250・O•O］IPj(i址［,98・121.1・1OOJ子网施码235・235・O,OJ

Hdb

•th30th4

［噬址［198,122,9B,95J子网拖码|230・23B・O,O|［珑址］,SB.123・BB・93干网掩码|2S5・25B•O♦O］

•th5•th6

［P地址［11,20・9B・90|子网掩码［355・255,255・O)［册址［198.125,9R,9s子网捷码|255・255・O•0j

•th?•thB

JP地址|198.126.98.9"］子网掩码|255.255.0.0)IPitiilk［)98・127・98・95干网施码|255・255•0,O)

路由配置

描述网关”堆址目的网网址目的网段子网传码c

1路由110201701102017002552552550

2路由20.0.00

3弗由30.00000.000000

,欧山Aonnnnnnnnnnnc

f&mu°l］［♦।

2）“IP白名单”页面用于设置允许通过本工具连接PCS-9895B装置的IP地址。设置后，

不在本白名单中的ip地址通过Securemanager工具连接PCS-9895B装置时会报

refused,故无特殊要求请不要设置此白名单。

3）在“通信参数”页面下设置平台IP地址（即安全监测主站IP地址），各主站IP对应的

端口和权限可根据主站的要求进行配置，通常默认即可。

如果现场有多个主站，需要进行不同的证书匹配和分组匹配设置，请参考第7章相应

章节。

提示：平台地址权限、证书名、组这些输入框可以双击来弹出小窗进行设置。

«□

度务■工作站数憎生♦的圈务时1口…g|心图

安金防节H的圈松口［”4］曰•置事务代理、口［s日

平*

平白”地址1卜―g,।|事件上南•口号1|皿。图平inrtlMh的tZHl|。、「］［|平白城址ill执各体「］平白嬉让i的通|

干白u地址2I—.1QO.2|事件上倒》口号2画。图平白IP岫世理）句＞|。2］于白地处沏证书&||不台域坦沏王砧名体「|平白施批舟«8卜，|

¥6nM4b|°°。事件上住■口峥。®手自i*让，的权HK、*J平台的各|］平台出3*嵬禽怎体［J平自*让：•的娘口~）

平日|网址,|。,。•。•。|事牌上忖口号4"图平白ir鲍耻」的「网16r）平白地让』的置书名［|平白城址」的执名体［］平白培让|的缰［。］

平白u地址s|。.。.。.。］事件上传・口号s加。图平白1晦如编既|。。］平台地处加证书£||千白城址加王站看体「］平白施让"?0-|

平白址e|。.。.。•。|，仲上府・口号0"⑦平白I**址“曲瓯二I举自见*。的证书冬（］平€堆壮。的小冬豚［~3平自城统。的HI。I

平白I陶业［。,。•。•。|事仲上IWI口号TI。目平白1「舱址加我原1、"）平白第3沏证书名［|平长地址7的主玷&体［|平I"|

干白“地址8|。•。•。.。|事仲上传"口号8|oI'平irip鼬曲的MlI。'。］千ir地『TWHiW［|平6地址8的王钻W体［］于《雄曲D0|

4）“信号屏蔽”页面用于筛选上送给主站的信号，可以根据主站要求，将一些不重要的信

号取消勾选，不再上送给主站：

13

5）其余参数设置页面如“危险操作”、“事件处理参数”、“syslog参数”、“历史库”等，

默认已经按照国网规范要求进行了配置，主站无特殊要求可不改动。详细说明可参考随

装置程序归档的技术说明书。

6）点击0K按钮保存参数。

7）可以通过左上角的“导出配置”、“导入配置”按钮，对配置进行导出备份，或将备份的

配置再导入到另一台装置中。

Z提示:导入导出的配置不仅包括设置里的配置,还包括资产管理里的全部资产信息。

233设置自身探针

调试前需要配置PCS-9895B自身信号的触发规则。点击底部工具栏“设置”■“自身

探针”菜单，弹出登录框，输入用户名“operator”密码“PCS9895@pcs9895”，即可进

入详细设置页面。

归档探针程序已经根据现场典型情况进行了默认配置。通常我们需要关注以下两点：

1、“网络外联事件配置”中的网口IP,要根据本机各网口实际IP进行修改，尤其是对主

站网口的IP；

2、“开放非法端口事件配置”中的端口，如果用户对非法端口访问有特殊设置要求，需要

进行适当的修改。

自身探针设置和主机探针类似，详细方法可以参考第3章相应内容。

自身探针配置文件pcs_9895d_gw_client.cfg位置如卜,工程备份时，需要使用winscp

将其读上来单独备份。

14

/home/PCS9895/config/9895D

名字

...

shellsupport

©pcs_9895d_gw_client.cfg3KB

二pcs_9895d_gw_client.cfg.server3KB

®pcs_9895d_gw_global.cfg1KB

©pcs_9895d_gw_user.cfg2KB

A注意：自身探针配置修改并保存后，需要手动重启一下PCS-9895B,否则新配置不

生效!

234规约设置

通过底部的工具栏“设置”-“规约调试信息”菜单，设置sntp对时、交换机snmp、

104通信参数等。

提醒：每个页面设置完成后，都要单独点击一下本页面顶端的“”按钮进行保

存。

设置sntp对时

设置界面如下：

>_SNMP_NMS

▽JSNTP*

Ds家调试信息

DaIEC1O4

DaSERVICEAQHNI

HOSTSHRVHR

回

〉SYNJTIMF

&规约配置

*调试信息

>固SYSUXiJCV

时神管理：

管理节点IP1［192•168.7—100］管理节点IP2［。•。・。•。］

管理节点【P30・O•O・O|管理节点［P4［O•。.O.。］

服务模式［。目。：点对点I：广播2：点时点+广播3：关闭

Unlcast-ltort|l23日广播端口院3日服务端网口号,日

□使能PingPong

关于对时的说明:

>装置背面有一副IRIG-B码对时输入端子，用来接收B码对时，无需任何软件设置;

>如果现场没有B码时钟源，建议设置SNTP接收对时：

令在上图中相应位置填写设置.主、备时钟源的IP地址，并勾选“使能”框;

15

◊如果时钟源采用广播方式下发sntp对时报文，则勾选“是否采用广播”；

小时区默认28800秒即8小时。

>B码或sntp对时成功后，装置前面板的对时异常灯熄灭。

>如果现场暂时没有对时源，可以通过底部工具栏的“设置.”-“时间管理”界面来手动

修改装置时间，此菜单也可以读取装置当前时间。

>若没有接收到B码或sntp本时，装置会在告警窗中每隔60秒触发一次告警，可以在

规约设置窗口的SYNC_TIME界面中关闭相应的告警，如下图所示：

234.2设置交换机snmp协议参数

在SNMP_NMS界面中对所接交换机进行snmp通信参数的进一步配置。

本装置支持SNMPV2c和V3两个版本。当交换机采用SNMPV2c方式与PCS-9895B

通信时，只需要配置读社区号和写社区号即可；当交换机采用SNMPV3方式通信时，需要

配置用户名、认证方式、认证密钥、加密方式、加密密钥，V3方式的读社区号、写社区号

必须为空，任一非空白时，程序将会认为是SNMPV2c方式通讯。

相关参数配置示例如下图:

百

点装置配置

W现约配置

,/状信息段荷占林倭tt区号与就区号用户b认IE力大认旺加由方式加密宓e/旬同期

>aSNIPI1981221101交换机1南瑞杜保publicpublicadminHMAC_MD5snmpl234CBC.DESsnmpl23460

t>wIBZ1O4

>回SMU121981222101交换帆2再埸北保adminHMAC_MD5$nmpl234CBC.DESsnmpl23460

£HOST_SERVER

31981223101交换机3南能戊保adminHMAC_MD5snmpl234CBC_DESsnmpl234

>1rlSYNC_I1MFk___22___)

t>回SYSLOG_RCV

其中，交换机1采用的是V2c的配置方法，交换机2和3采用的是V3配置方法。现场交

换机要根据其支持的snmp版本号采用对应的配置方法。我公司PCS系列交换机支持V3

版，采用V3配置方法。

轮询周期用于设置获取交换机网口状态的周期，建议设置为60秒，设置太长会影响交

换机在PCS-9895B中的通断判定。

再次提醒：本页面设置完成后记得点击页面上方的保存按钮。

N提示：在资产表中所有资产都配置完成后，可以通过界面上方的“从资产表导入交

换机”按钮来一键导入交换机。

16

IEC104设置

设置界面如下：

■1理约.□X

>丁SNMP_NMS

▽5SNTP°名

电规约配置

>调试信息乘数描述参数自称参数值

▽国IBC1O』______

1