漢江王甫洲水電站電力監(jiān)控系統(tǒng)安全防護(hù)系統(tǒng)改造分析

王傳磊

湖北漢江王甫洲水力發(fā)電有限責(zé)任公司 湖北 441800

電力二次系統(tǒng)是電網(wǎng)調(diào)度生產(chǎn)運(yùn)行的有效組成部分之一，電網(wǎng)安全涉及國(guó)家安全和社會(huì)穩(wěn)定，電網(wǎng)的安全穩(wěn)定運(yùn)行高度依賴(lài)電力二次系統(tǒng)。實(shí)施電力二次安全防護(hù)的目標(biāo)是為了確保電力監(jiān)控系統(tǒng)及電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，抵御黑客、病毒、惡意代碼等各種形式的惡意破壞和攻擊，特別是抵御集團(tuán)式攻擊，防止電力二次系統(tǒng)的崩潰或癱瘓，以及由此造成的電力系統(tǒng)事故或大面積停電事故。隨著網(wǎng)絡(luò)、應(yīng)用系統(tǒng)在電力生產(chǎn)控制大區(qū)中的廣泛使用，電力二次系統(tǒng)面臨的風(fēng)險(xiǎn)越來(lái)越大。

2017年9月由湖北省調(diào)及地調(diào)組成的檢查組，對(duì)電廠進(jìn)行電力監(jiān)控系統(tǒng)的專(zhuān)項(xiàng)檢查及根據(jù)襄陽(yáng)供電公司襄供調(diào)[2019]3號(hào)《關(guān)于印發(fā)2018年12月電廠及用戶(hù)變電站電力監(jiān)控系統(tǒng)安全防護(hù)運(yùn)行情況的通報(bào)》，電廠地調(diào)接入系統(tǒng)實(shí)時(shí)縱向加密裝置無(wú)密通率上傳，不能管控等問(wèn)題。經(jīng)過(guò)技術(shù)人員現(xiàn)場(chǎng)檢查判斷，找到問(wèn)題。

一、檢查中發(fā)現(xiàn)的問(wèn)題

1.缺配置入侵檢測(cè)、缺配備日志審記、缺水情系統(tǒng)采用國(guó)產(chǎn)防火墻、缺操作系統(tǒng)安全加固。

2.設(shè)備投運(yùn)時(shí)間較早，當(dāng)時(shí)沒(méi)有密通率上傳及管控功能

3.路由器在運(yùn)行中出現(xiàn)了故障，導(dǎo)致上傳地調(diào)數(shù)據(jù)網(wǎng)中斷.

二、針對(duì)發(fā)現(xiàn)的問(wèn)題，我廠對(duì)照標(biāo)準(zhǔn)及規(guī)程規(guī)范要求，采取以下幾個(gè)方面的措施：

2.1 技術(shù)方面

2.1.1 物理安全按照安全分區(qū)的原則，將不同重要程度設(shè)備置于安全區(qū)域內(nèi)，對(duì)重要設(shè)備采取電磁屏蔽措施。其防護(hù)強(qiáng)度等于等級(jí)保護(hù)要求。措施：按照設(shè)備、操作間進(jìn)行機(jī)房物理區(qū)域劃分，按安全分區(qū)擺放機(jī)柜

2.1.2 電力監(jiān)控系統(tǒng)遵循“安全分區(qū)、網(wǎng)絡(luò)專(zhuān)用、橫向隔離、縱向加密”的防護(hù)原則，將電力監(jiān)控系統(tǒng)分置于生產(chǎn)控制大區(qū)和管理信息大區(qū)、在兩個(gè)大區(qū)之間部署橫向單向隔離裝置，在生產(chǎn)控制大區(qū)專(zhuān)用的調(diào)度數(shù)據(jù)專(zhuān)用網(wǎng)絡(luò)邊界部署縱向加密認(rèn)證裝置，形成柵格狀安全防護(hù)體系架構(gòu)，其防護(hù)強(qiáng)度等同于等級(jí)保護(hù)要求。措施：專(zhuān)網(wǎng)專(zhuān)用；安全分區(qū)；橫向邊界部署縱向加密裝置；縱向邊界部署縱向加密認(rèn)證裝置，配置IP+限定端口的控制策略，啟用隧道密通功能。網(wǎng)絡(luò)設(shè)備安全加固，關(guān)閉不必要的服務(wù)和端口，限制登陸地址及用戶(hù)等，配置多用戶(hù)。

2.1.3 主機(jī)安全新一代調(diào)控系統(tǒng)采用國(guó)產(chǎn)設(shè)備，國(guó)產(chǎn)操作系統(tǒng)提高安全防護(hù)水平，同時(shí)滿足等級(jí)保護(hù)要求，措施系統(tǒng)采用國(guó)產(chǎn)設(shè)備、國(guó)產(chǎn)安全操作系統(tǒng)，國(guó)產(chǎn)安全數(shù)據(jù)庫(kù)。

應(yīng)用安全：安全訪問(wèn)控制可信可控。措施系統(tǒng)采用基于調(diào)度數(shù)字證書(shū)及標(biāo)簽的安全認(rèn)證。

數(shù)據(jù)安全：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)實(shí)現(xiàn)數(shù)據(jù)級(jí)備用；實(shí)現(xiàn)自動(dòng)化系統(tǒng)及功能備用；實(shí)現(xiàn)調(diào)度業(yè)務(wù)及人員備用。

2.2 管理方面 制定電力監(jiān)控系統(tǒng)安全防護(hù)管理制度建立電力監(jiān)控系統(tǒng)安全管理機(jī)構(gòu)定期培訓(xùn)；簽署保密協(xié)議；外來(lái)人員管控。與開(kāi)發(fā)單位及供應(yīng)商簽署保密協(xié)議。制定安全運(yùn)維管理制度；制定監(jiān)控系統(tǒng)的應(yīng)急預(yù)案。

2.3 安全加固方面 電力調(diào)度數(shù)據(jù)網(wǎng)和二次安防系統(tǒng)設(shè)備進(jìn)行安全加固，以保證電廠業(yè)務(wù)平穩(wěn)，安全的傳輸。

路由器安全加固內(nèi)容

不得使用初始密碼，密碼復(fù)雜滿足強(qiáng)度要求，密碼必須密文顯示，限制登陸次數(shù)及時(shí)間

限制遠(yuǎn)程登陸地址

SNMP協(xié)議使用V2及以上版本，不得使用默認(rèn)的讀寫(xiě)團(tuán)體字，限制SNMP服務(wù)器地址

只許使用SSH作為遠(yuǎn)程登錄方式

關(guān)閉不使用的端口

關(guān)閉不需要的服務(wù)，如HTTP、Telnet、Rlogin、FTP

必須配置三個(gè)用戶(hù)，普通、審計(jì)、超級(jí)

路由器做ARP綁定

NTP對(duì)時(shí)，配置syslog服務(wù)器地址

交換機(jī)安全加固內(nèi)容

不得使用初始密碼，密碼復(fù)雜滿足強(qiáng)度要求，密碼必須密文顯示，限制登陸次數(shù)及時(shí)間

限制登陸次數(shù)及時(shí)間

只許使用SSH作為遠(yuǎn)程登錄方式

關(guān)閉不需要的服務(wù)，如HTTP、Telnet、Rlogin、FTP

關(guān)閉不使用的端口

必須配置三個(gè)用戶(hù)，普通、審計(jì)、超級(jí)

配置NTP和syslog服務(wù)器地址

防火墻安全加固

不得使用初始密碼、密碼復(fù)雜滿足強(qiáng)度要求、盡量限制登陸次數(shù)及時(shí)間

不得出現(xiàn)大明通策略

策略必須細(xì)化到IP、協(xié)議、端口

限制遠(yuǎn)程登陸地址

防火墻啟用對(duì)時(shí)功能

防火墻啟用兩個(gè)用戶(hù)，配置用戶(hù)和審計(jì)用戶(hù)

關(guān)閉不使用的端口

縱向加密安全加固

隧道必須正確配置且建立正常

不得出現(xiàn)大明通策略

策略必須細(xì)化到IP、協(xié)議、端口

業(yè)務(wù)通訊必須使用密文

不得使用默認(rèn)初始密碼

提升密通率至95%，在線率99%及以上

2.4 應(yīng)急演練方面 制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案。同時(shí)制定縱向、橫向安防應(yīng)急演練工作，在不影響業(yè)務(wù)系統(tǒng)正常運(yùn)行的情況下完成應(yīng)急演練操作，提高員工技術(shù)水平及應(yīng)急能力。

2.5 軟、硬件技術(shù)要求方面 防火墻系統(tǒng)要求識(shí)別、控制、掃描、可視化等，網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)要求檢測(cè)Web過(guò)濾應(yīng)用識(shí)別流量識(shí)別安全審計(jì)系統(tǒng)日志審計(jì)要求安全審計(jì)系統(tǒng)日志審計(jì)包含日志采集、日志管理、資產(chǎn)管理、事件告警、統(tǒng)計(jì)管理、報(bào)表管理、系統(tǒng)管理以及用戶(hù)管理等八大核心功能。

三、總結(jié)

通過(guò)采取以上措施，達(dá)到規(guī)程規(guī)范及上級(jí)部門(mén)要求的目標(biāo)。

達(dá)到的目標(biāo)是抵御黑客、病毒、惡意代碼等通過(guò)各種形式對(duì)系統(tǒng)發(fā)起的惡意破壞和攻擊，特別是能夠抵御集團(tuán)式攻擊，防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故及電力監(jiān)控系統(tǒng)的崩潰或癱瘓。發(fā)電廠電力監(jiān)控系統(tǒng)安全防護(hù)的總體目標(biāo)包括：防止發(fā)電廠監(jiān)控系統(tǒng)服務(wù)等核心業(yè)務(wù)(即電力生產(chǎn))中斷。防止發(fā)電廠監(jiān)控系統(tǒng)本身崩潰。抵御外部人員對(duì)發(fā)電廠監(jiān)控系統(tǒng)發(fā)起的惡意破壞和攻擊，及可能對(duì)相連的調(diào)度自動(dòng)化系統(tǒng)的影響。防止利用病毒、木馬等惡意程序，從發(fā)電廠監(jiān)控系統(tǒng)局域網(wǎng)內(nèi)部發(fā)起的對(duì)電力生產(chǎn)及相連的調(diào)度自動(dòng)化系統(tǒng)的惡意破壞和攻擊。保護(hù)發(fā)電廠監(jiān)控系統(tǒng)實(shí)時(shí)和歷史數(shù)據(jù)，主要防止數(shù)據(jù)被非授權(quán)修改。