吳迪

白山發(fā)電廠電力二次系統(tǒng)安全防護改造

吳迪

（白山發(fā)電廠，吉林 吉林 132013）

按照信息安全等級保護規(guī)定對白山發(fā)電廠計算機監(jiān)控系統(tǒng)進行安全防護改造，通過部署入侵檢測裝置、防火墻、防病毒設備等信息安全設備提升計算機監(jiān)控系統(tǒng)信息安全防護水平。

信息安全；計算機監(jiān)控系統(tǒng)；電力二次系統(tǒng)

1　基本概況

依據(jù)電監(jiān)會第5號令《電力二次系統(tǒng)安全防護規(guī)定》和配套34號《電力二次系統(tǒng)安全防護總體方案》文件的基本原則，為確保白山發(fā)電廠計算機監(jiān)控系統(tǒng)的安全穩(wěn)定運行，結合白山發(fā)電廠的具體情況，對白山發(fā)電廠計算機監(jiān)控系統(tǒng)安全防護進行規(guī)劃、實施，部署相關安全防護產(chǎn)品，制定相應的安全管理制度和措施。使白山發(fā)電廠計算機監(jiān)控系統(tǒng)能夠達到全國先進電網(wǎng)的安全防護水平，起到抵御黑客、病毒、惡意代碼等通過各種形式對系統(tǒng)發(fā)起的惡意破壞和攻擊的作用，特別是能夠抵御集團式攻擊，防止由此導致一次系統(tǒng)事故或大面積停電事故，及二次系統(tǒng)的崩潰或癱瘓的目的而制定的。

本次改造涉及到白山發(fā)電廠吉林集控中心、白山站、紅石站的計算機監(jiān)控系統(tǒng)設備。主要對邊界安全、防病毒、入侵檢測等方面進行了改造。

2　系統(tǒng)設計

2.1白山發(fā)電廠計算機監(jiān)控系統(tǒng)安全防護的安全策略

1）分區(qū)防護、突出重點。根據(jù)白山發(fā)電廠電力二次系統(tǒng)業(yè)務的重要性和對一次系統(tǒng)的影響程度進行分區(qū)，將所有系統(tǒng)都置于相應的安全區(qū)內(nèi)。

2）實施全網(wǎng)病毒防護。在整個生產(chǎn)控制大區(qū)和吉林集控中心自動化系統(tǒng)安全區(qū)II和安全區(qū)III各配置一套防病毒軟件系統(tǒng)，實行全網(wǎng)病毒監(jiān)視。

3）加強網(wǎng)絡接口邊界的識別和保護。對白山發(fā)電廠二次系統(tǒng)中的網(wǎng)絡接口邊界（包括內(nèi)部局域網(wǎng)和廣域網(wǎng)、Internet網(wǎng)、遠程撥號、無線網(wǎng)絡等）進行識別，斷開不必要的接口，并加強剩余接口的安全保護。在生產(chǎn)控制大區(qū)(I區(qū))設置防病毒安全網(wǎng)關，防止在調(diào)試期間外來設備接入主交換機時帶入病毒，影響I區(qū)設備安全的情況。

4）制定完善的備份與恢復策略，保障系統(tǒng)及數(shù)據(jù)的安全。對白山發(fā)電廠二次安全防護項目中涉及的關鍵應用數(shù)據(jù)與應用系統(tǒng)進行備份，確保數(shù)據(jù)損壞、系統(tǒng)崩潰情況下快速恢復數(shù)據(jù)與系統(tǒng)的可用性；對關鍵主機設備、網(wǎng)絡的設備與部件進行相應的熱備份與冷備份，避免單點故障影響系統(tǒng)可靠性；在具備條件的前提下進行異地的數(shù)據(jù)與系統(tǒng)備份，提供系統(tǒng)級容災功能，保證在規(guī)模災難情況下，保持系統(tǒng)業(yè)務的連續(xù)性。

5）建立完善的監(jiān)控、應急響應體系，保證及時地發(fā)現(xiàn)問題、處理問題。建立白山發(fā)電廠集控中心及下屬電站的二次系統(tǒng)安全事件監(jiān)控、應急體系，用于保護、分析對在運行縱向加密裝置的系統(tǒng)資源的非法訪問和網(wǎng)絡攻擊，并配備必要的應急設施和資源，統(tǒng)一調(diào)度，形成對重大安全事件（遭到黑客、病毒攻擊和其他人為破壞等）快速響應的能力，最大限度地降低系統(tǒng)的風險。

6）規(guī)范安全管理，建立健全各種管理制度。規(guī)范化管理是白山發(fā)電廠二次系統(tǒng)安全的保障。以“三分技術，七分管理”為原則，建立白山發(fā)電廠二次安全防護項目中縱向加密裝置的規(guī)范化管理體系，落實責任制，明確各有關部門的工作職責，實行安全責任追究制度；建立健全各種安全管理制度，保證白山發(fā)電廠電力二次系統(tǒng)的安全運行；建立安全培訓機制，對所有人員進行信息安全基本知識、相關法律法規(guī)，以及實際使用安全產(chǎn)品的工作原理、安裝、使用、維護和故障處理等進行培訓，以強化安全意識，提高技術水平和管理水平。

2.2整體網(wǎng)絡結構

根據(jù)業(yè)務系統(tǒng)或功能模塊的實時性、使用者、功能、場所、各業(yè)務系統(tǒng)的相互關系、廣域網(wǎng)通信的方式以及受到攻擊之后所產(chǎn)生的影響，分別置于相應的安全區(qū)之中。

3　系統(tǒng)結構與要求

白山電廠計算機監(jiān)控系統(tǒng)安全防護體系硬件配置主要包括防火墻、橫向隔離裝置、入侵檢測裝置以及管理機、撥號管理裝置、縱向加密裝置、防病毒安全網(wǎng)關等。此次改造是在原有計算機監(jiān)控系統(tǒng)安全防護設備基礎上，進行的擴展改造。

3.1防病毒安全網(wǎng)關設計方案

防病毒網(wǎng)關是對病毒等惡意軟件進行防御的硬件網(wǎng)絡防護設備，可以協(xié)助I區(qū)系統(tǒng)防護各類病毒和惡意軟件，對其進行隔離和清除。在系統(tǒng)中設計五臺防病毒網(wǎng)關，分別部署于I區(qū)白山、紅石廠區(qū)和樺甸、吉林集控4個維護地點，布置在監(jiān)控內(nèi)網(wǎng)交換機和外部維護通道之間，即當使用撥號認證方式登錄網(wǎng)絡時，布置在撥號裝置和內(nèi)網(wǎng)交換機之間；當使用現(xiàn)場維護終端維護時，布置在維護終端和內(nèi)網(wǎng)交換機之間。網(wǎng)關內(nèi)側提供兩個不同網(wǎng)段的地址，對兩個監(jiān)控內(nèi)網(wǎng)均能實現(xiàn)訪問，外側接撥號認證裝置或者現(xiàn)場維護終端，實現(xiàn)通道的防病毒過濾。

防病毒安全網(wǎng)關技術要求：

每秒用戶連接數(shù)：>100

最大用戶數(shù)：500

接口數(shù)：不少于4個10/100/1000MBase-TX

防病毒數(shù)據(jù)吞吐量：>200Mb/s

數(shù)據(jù)包轉(zhuǎn)發(fā)延遲：<1ms

滿負荷數(shù)據(jù)包丟棄率：0

每秒新建連接數(shù)：>20000

最大并發(fā)連接數(shù)：>50萬

MTBF：>5萬h

具有全面的網(wǎng)絡應用內(nèi)容識別過濾技術，對HTTP、HTTPS、FTP、SMTP、POP3等進行實時的雙向掃描過濾，檢測并攔截進出網(wǎng)絡的各種病毒、木馬、蠕蟲、間諜軟件、網(wǎng)絡釣魚、灰色軟件、后門程序、惡意應用攻擊等網(wǎng)絡威脅。

3.2網(wǎng)絡入侵檢測裝置設計方案

白山發(fā)電廠二次系統(tǒng)整體結構較復雜，分為4個地點，3個大區(qū)，需要對不同的區(qū)域進行監(jiān)聽，探測引擎安裝于大型網(wǎng)絡的各個物理子網(wǎng)中，分布式監(jiān)控網(wǎng)絡的各個部分，1臺管理器可管理多臺服務器，達到分布安裝，全網(wǎng)監(jiān)控，集中管理。因此白山發(fā)電廠二次安全防護項目中IDS設備采用分布式檢測方式，對于安全I區(qū)4個地點，分別在每個地點的機房交換機機柜內(nèi)增加1臺入侵檢測裝置，在雙網(wǎng)的交換機配置廣播口，監(jiān)測各網(wǎng)絡節(jié)點的所有報文動態(tài)。

吉林市集控中心安全II/III區(qū)的網(wǎng)絡連接方式，2臺入侵檢測引擎監(jiān)聽口分別部署在吉林市集控中心智能化統(tǒng)一平臺安全II/III區(qū)的核心交換機上的廣播口，監(jiān)控安全II/III區(qū)的所有報文動態(tài)，檢測引擎將捕獲的報文信息發(fā)送到IDS管理工作站。管理口連接IDS管理工作站，IDS管理工作站連接到各個安全區(qū)內(nèi)核交換機上。

根據(jù)吉林市集控中心智能化統(tǒng)一平臺雙網(wǎng)接入的特點，安全II區(qū)IDS監(jiān)聽引擎和IDS管理機雙網(wǎng)接入；安全III區(qū)IDS監(jiān)聽引擎和IDS管理機雙網(wǎng)接入。

考慮到吉林集控中心內(nèi)的綜合網(wǎng)管系統(tǒng)的應用實際，IDS管理工作站可將篩選的報文信息通過syslog的方式發(fā)送到綜合網(wǎng)管系統(tǒng)，再由綜合網(wǎng)管系統(tǒng)定制呈現(xiàn)。

技術要求如下：

1）入侵檢測引擎

平均無故障運行時間：>20000h

系統(tǒng)恢復時間：<1min

最大PPS：千兆引擎≥100萬

新建TCP連接：千兆引擎≥10萬/s

維持最大連接數(shù)：千兆引擎≥100萬

可檢測事件數(shù)量不小于2000

并發(fā)TCP會話數(shù)量≥100000

最大并發(fā)TCP會話數(shù)量≥200000

處理能力≥200Mb

2）入侵檢測管理工作站

可以檢測并阻斷蠕蟲、網(wǎng)絡病毒、間諜軟件與木馬等危害程序；

支持實時的3～7層的網(wǎng)絡流量分析功能，用戶可自定義統(tǒng)計指定網(wǎng)絡范圍或指定協(xié)議的數(shù)據(jù)流量；

能夠?qū)崿F(xiàn)會話的記錄和重組，對包括HTTP、SMTP、FTP、Telnet、POP3等多種會話進行記錄及回放；

控制臺界面良好，方便實現(xiàn)遠程管理；

對重大安全漏洞在廠商沒有提供解決方案前提供臨時解決方案。

網(wǎng)絡攻擊檢測功能：

具備網(wǎng)絡設備攻擊、安全掃描、蠕蟲病毒、安全審計、可疑行為、網(wǎng)絡娛樂、安全漏洞、欺騙劫持、網(wǎng)絡通訊、脆弱口令、窮舉探測、間諜軟件、流量事件、分布事件及CGI訪問功能。

3）事件庫

事件庫規(guī)模：不少于2000種；

事件自定義：可自定義網(wǎng)絡特征匹配事件和行為關聯(lián)事件；

可進行事件分類查詢、提供對事件和解決方案的詳細描述；

能進行至少每周1次事件庫升級，如果遇到突發(fā)事件和安全警報，應能進行緊急升級。

4）協(xié)議分析功能

協(xié)議解碼種類：至少含40種，如ARP、AUTH、BT、CHARGEN、DNS、ECHO、ETHER、FINGER、FTP、HTTP、ICMP、IGMP、IMAP、IP、IRC、MSNP、MSPROXY、MSRPC、NETBIOS-SSN、NFS、NNTP、NTALK、PCT、PMAP、POP3、Q931、RIP、RLOGIN、RTSP、SMTP、SNMP、SUNRPC、TCP、TCQ、TDS、TELNET、TFTP、TNS、UDP、WHOIS等。

3.3防病毒軟件設計方案

根據(jù)吉林集控中心的實際情況，建議在白山、紅石、吉林集控中心內(nèi)建立整體的網(wǎng)絡防病毒體系。該范圍涵蓋了I區(qū)、II區(qū)和III區(qū)的windows系統(tǒng)主機設備，并在吉林集控中心的I、II、III區(qū)分別配有3臺專門的防病毒管理計算機進行維護和管理。

分別在吉林集控中心的I、II、III區(qū)內(nèi)的智能化統(tǒng)一平臺內(nèi)接入防病毒服務器，防病毒服務器上運行病毒監(jiān)控管理中心及病毒庫中心，所有吉林市集控中心及下屬電廠的windows系統(tǒng)上安裝殺毒軟件客戶端，殺毒軟件客戶端的病毒庫更新源指向防病毒服務器。

安全I區(qū)防病毒服務器連接在I區(qū)監(jiān)控系統(tǒng)主交換機內(nèi);安全II區(qū)防病毒服務器連接安全II區(qū)智能化統(tǒng)一平臺交換機上；安全III區(qū)防病毒服務器連接安全III區(qū)智能化統(tǒng)一平臺交換機上。結合白山發(fā)電廠的實際情況，可將防病毒服務器和IDS管理機工作站合二為一。

3.3.1殺毒軟件

1）先進的查殺病毒技術

選擇的反病毒廠家具有先進的反病毒技術，選擇的產(chǎn)品能夠查殺當前已知的病毒，并且能夠有效攔截和查殺未知病毒。

2）廠商開發(fā)、服務的本地化

反病毒廠家在中國具有自己的研發(fā)基地和完善的服務網(wǎng)。能快速響應國內(nèi)的計算機病毒事件和技術支持服務。

3）安裝、操作、管理簡單

防病毒具有多種遠程安裝方式，滿足在復雜局域網(wǎng)中方便、快速布置防病毒客戶端。

4）能夠?qū)崿F(xiàn)病毒防護的實時性

能夠?qū)Σ《究赡軅鞑サ耐緩剑ňW(wǎng)絡、光驅(qū)、軟驅(qū)、內(nèi)存、）進行實時監(jiān)控，阻止病毒通過這些途徑傳播。

5）可以掃描網(wǎng)絡中的系統(tǒng)漏洞

可以在網(wǎng)絡中掃描每個系統(tǒng)的漏洞、未打的補丁，并且?guī)椭新┒吹南到y(tǒng)安裝補丁程序，更有效的保護整個網(wǎng)絡系統(tǒng)。

6）具備對網(wǎng)絡內(nèi)服務器、工作站等所有計算機的防病毒能力

反病毒產(chǎn)品具有對全系列的操作平臺的監(jiān)控產(chǎn)品，實現(xiàn)網(wǎng)絡內(nèi)的層層布防。

7）在廣域網(wǎng)范圍內(nèi)可具有跨路由、防火墻等的全網(wǎng)集中與分級防病毒管理能力

反病毒產(chǎn)品具有支持大型復雜網(wǎng)絡的多級管理功能，實現(xiàn)網(wǎng)絡內(nèi)的多級管理，實現(xiàn)統(tǒng)一集中管理，內(nèi)部責任明確。

8）具備可實施遠程自動分發(fā)、自動產(chǎn)品版本及防病毒引擎文件升級等遠程控制功能

產(chǎn)品具有全網(wǎng)統(tǒng)一升級功能，實現(xiàn)內(nèi)部所有防病毒產(chǎn)品的統(tǒng)一升級、自動更新病毒代碼和反病毒引擎，保證網(wǎng)內(nèi)所有防病毒產(chǎn)品具有最新、一致的防病毒能力。

3.3.2技術要求

1）所有硬件系統(tǒng)均需符合下述標準

通用規(guī)范：GB/T9813-2000；

電磁學規(guī)范：FCCClassB或CISPR22ClassB；

安全規(guī)范：ULListed（美國）或EN60950（國際）；

質(zhì)量標準：ISO9000認證。

2）硬件系統(tǒng)環(huán)境要求

溫度：0～40℃；

濕度:20%～85%；

電源：220V（±10%）交流50Hz（±2%）單相電源，額定電流最高16A和32A。

3）硬件系統(tǒng)配置要求

英特爾CPU，主頻不低于2.10GHz；

內(nèi)存不低于2GB；

硬盤容量不低于320GB；

一個1000M網(wǎng)絡接口；

Windows200332位操作系統(tǒng)；

顯卡顯存不小于1GB；

6芯電池，連續(xù)運行時間不小于4h。

4　結論

通過對白山發(fā)電廠計算機監(jiān)控系統(tǒng)安全防護改造，增強了監(jiān)控系統(tǒng)安全防護手段，解決了以往對程序更新、數(shù)據(jù)復制等會發(fā)生的病毒威脅。在系統(tǒng)邊界原有隔離裝置的基礎上增加了入侵檢測裝置，增加了邊界防御手段。

[1]張海華.基于可信計算和主動防御的等級保護在電廠的應用[J].信息安全與通信保密，2013（12）.

[2]唐斐.信息安全等級保護標準在電力行業(yè)的應用[C]//2012年電力通信管理暨智能電網(wǎng)通信技術論壇論文集，2012.

TP393

B

1672-5387（2016）08-0060-04

10.13599/j.cnki.11-5130.2016.08.018

2016-06-29

吳迪（1979-），男，工程師，從事水電站計算機監(jiān)控系統(tǒng)及自動化系統(tǒng)維護管理工作。