吳迪

白山發(fā)電廠電力二次系統(tǒng)安全防護(hù)改造

吳迪

（白山發(fā)電廠，吉林 吉林 132013）

按照信息安全等級(jí)保護(hù)規(guī)定對(duì)白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)進(jìn)行安全防護(hù)改造，通過部署入侵檢測(cè)裝置、防火墻、防病毒設(shè)備等信息安全設(shè)備提升計(jì)算機(jī)監(jiān)控系統(tǒng)信息安全防護(hù)水平。

信息安全；計(jì)算機(jī)監(jiān)控系統(tǒng)；電力二次系統(tǒng)

1　基本概況

依據(jù)電監(jiān)會(huì)第5號(hào)令《電力二次系統(tǒng)安全防護(hù)規(guī)定》和配套34號(hào)《電力二次系統(tǒng)安全防護(hù)總體方案》文件的基本原則，為確保白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)的安全穩(wěn)定運(yùn)行，結(jié)合白山發(fā)電廠的具體情況，對(duì)白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)安全防護(hù)進(jìn)行規(guī)劃、實(shí)施，部署相關(guān)安全防護(hù)產(chǎn)品，制定相應(yīng)的安全管理制度和措施。使白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)能夠達(dá)到全國(guó)先進(jìn)電網(wǎng)的安全防護(hù)水平，起到抵御黑客、病毒、惡意代碼等通過各種形式對(duì)系統(tǒng)發(fā)起的惡意破壞和攻擊的作用，特別是能夠抵御集團(tuán)式攻擊，防止由此導(dǎo)致一次系統(tǒng)事故或大面積停電事故，及二次系統(tǒng)的崩潰或癱瘓的目的而制定的。

本次改造涉及到白山發(fā)電廠吉林集控中心、白山站、紅石站的計(jì)算機(jī)監(jiān)控系統(tǒng)設(shè)備。主要對(duì)邊界安全、防病毒、入侵檢測(cè)等方面進(jìn)行了改造。

2　系統(tǒng)設(shè)計(jì)

2.1白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)安全防護(hù)的安全策略

1）分區(qū)防護(hù)、突出重點(diǎn)。根據(jù)白山發(fā)電廠電力二次系統(tǒng)業(yè)務(wù)的重要性和對(duì)一次系統(tǒng)的影響程度進(jìn)行分區(qū)，將所有系統(tǒng)都置于相應(yīng)的安全區(qū)內(nèi)。

2）實(shí)施全網(wǎng)病毒防護(hù)。在整個(gè)生產(chǎn)控制大區(qū)和吉林集控中心自動(dòng)化系統(tǒng)安全區(qū)II和安全區(qū)III各配置一套防病毒軟件系統(tǒng)，實(shí)行全網(wǎng)病毒監(jiān)視。

3）加強(qiáng)網(wǎng)絡(luò)接口邊界的識(shí)別和保護(hù)。對(duì)白山發(fā)電廠二次系統(tǒng)中的網(wǎng)絡(luò)接口邊界（包括內(nèi)部局域網(wǎng)和廣域網(wǎng)、Internet網(wǎng)、遠(yuǎn)程撥號(hào)、無線網(wǎng)絡(luò)等）進(jìn)行識(shí)別，斷開不必要的接口，并加強(qiáng)剩余接口的安全保護(hù)。在生產(chǎn)控制大區(qū)(I區(qū))設(shè)置防病毒安全網(wǎng)關(guān)，防止在調(diào)試期間外來設(shè)備接入主交換機(jī)時(shí)帶入病毒，影響I區(qū)設(shè)備安全的情況。

4）制定完善的備份與恢復(fù)策略，保障系統(tǒng)及數(shù)據(jù)的安全。對(duì)白山發(fā)電廠二次安全防護(hù)項(xiàng)目中涉及的關(guān)鍵應(yīng)用數(shù)據(jù)與應(yīng)用系統(tǒng)進(jìn)行備份，確保數(shù)據(jù)損壞、系統(tǒng)崩潰情況下快速恢復(fù)數(shù)據(jù)與系統(tǒng)的可用性；對(duì)關(guān)鍵主機(jī)設(shè)備、網(wǎng)絡(luò)的設(shè)備與部件進(jìn)行相應(yīng)的熱備份與冷備份，避免單點(diǎn)故障影響系統(tǒng)可靠性；在具備條件的前提下進(jìn)行異地的數(shù)據(jù)與系統(tǒng)備份，提供系統(tǒng)級(jí)容災(zāi)功能，保證在規(guī)模災(zāi)難情況下，保持系統(tǒng)業(yè)務(wù)的連續(xù)性。

5）建立完善的監(jiān)控、應(yīng)急響應(yīng)體系，保證及時(shí)地發(fā)現(xiàn)問題、處理問題。建立白山發(fā)電廠集控中心及下屬電站的二次系統(tǒng)安全事件監(jiān)控、應(yīng)急體系，用于保護(hù)、分析對(duì)在運(yùn)行縱向加密裝置的系統(tǒng)資源的非法訪問和網(wǎng)絡(luò)攻擊，并配備必要的應(yīng)急設(shè)施和資源，統(tǒng)一調(diào)度，形成對(duì)重大安全事件（遭到黑客、病毒攻擊和其他人為破壞等）快速響應(yīng)的能力，最大限度地降低系統(tǒng)的風(fēng)險(xiǎn)。

6）規(guī)范安全管理，建立健全各種管理制度。規(guī)范化管理是白山發(fā)電廠二次系統(tǒng)安全的保障。以“三分技術(shù)，七分管理”為原則，建立白山發(fā)電廠二次安全防護(hù)項(xiàng)目中縱向加密裝置的規(guī)范化管理體系，落實(shí)責(zé)任制，明確各有關(guān)部門的工作職責(zé)，實(shí)行安全責(zé)任追究制度；建立健全各種安全管理制度，保證白山發(fā)電廠電力二次系統(tǒng)的安全運(yùn)行；建立安全培訓(xùn)機(jī)制，對(duì)所有人員進(jìn)行信息安全基本知識(shí)、相關(guān)法律法規(guī)，以及實(shí)際使用安全產(chǎn)品的工作原理、安裝、使用、維護(hù)和故障處理等進(jìn)行培訓(xùn)，以強(qiáng)化安全意識(shí)，提高技術(shù)水平和管理水平。

2.2整體網(wǎng)絡(luò)結(jié)構(gòu)

根據(jù)業(yè)務(wù)系統(tǒng)或功能模塊的實(shí)時(shí)性、使用者、功能、場(chǎng)所、各業(yè)務(wù)系統(tǒng)的相互關(guān)系、廣域網(wǎng)通信的方式以及受到攻擊之后所產(chǎn)生的影響，分別置于相應(yīng)的安全區(qū)之中。

3　系統(tǒng)結(jié)構(gòu)與要求

白山電廠計(jì)算機(jī)監(jiān)控系統(tǒng)安全防護(hù)體系硬件配置主要包括防火墻、橫向隔離裝置、入侵檢測(cè)裝置以及管理機(jī)、撥號(hào)管理裝置、縱向加密裝置、防病毒安全網(wǎng)關(guān)等。此次改造是在原有計(jì)算機(jī)監(jiān)控系統(tǒng)安全防護(hù)設(shè)備基礎(chǔ)上，進(jìn)行的擴(kuò)展改造。

3.1防病毒安全網(wǎng)關(guān)設(shè)計(jì)方案

防病毒網(wǎng)關(guān)是對(duì)病毒等惡意軟件進(jìn)行防御的硬件網(wǎng)絡(luò)防護(hù)設(shè)備，可以協(xié)助I區(qū)系統(tǒng)防護(hù)各類病毒和惡意軟件，對(duì)其進(jìn)行隔離和清除。在系統(tǒng)中設(shè)計(jì)五臺(tái)防病毒網(wǎng)關(guān)，分別部署于I區(qū)白山、紅石廠區(qū)和樺甸、吉林集控4個(gè)維護(hù)地點(diǎn)，布置在監(jiān)控內(nèi)網(wǎng)交換機(jī)和外部維護(hù)通道之間，即當(dāng)使用撥號(hào)認(rèn)證方式登錄網(wǎng)絡(luò)時(shí)，布置在撥號(hào)裝置和內(nèi)網(wǎng)交換機(jī)之間；當(dāng)使用現(xiàn)場(chǎng)維護(hù)終端維護(hù)時(shí)，布置在維護(hù)終端和內(nèi)網(wǎng)交換機(jī)之間。網(wǎng)關(guān)內(nèi)側(cè)提供兩個(gè)不同網(wǎng)段的地址，對(duì)兩個(gè)監(jiān)控內(nèi)網(wǎng)均能實(shí)現(xiàn)訪問，外側(cè)接撥號(hào)認(rèn)證裝置或者現(xiàn)場(chǎng)維護(hù)終端，實(shí)現(xiàn)通道的防病毒過濾。

防病毒安全網(wǎng)關(guān)技術(shù)要求：

每秒用戶連接數(shù)：>100

最大用戶數(shù)：500

接口數(shù)：不少于4個(gè)10/100/1000MBase-TX

防病毒數(shù)據(jù)吞吐量：>200Mb/s

數(shù)據(jù)包轉(zhuǎn)發(fā)延遲：<1ms

滿負(fù)荷數(shù)據(jù)包丟棄率：0

每秒新建連接數(shù)：>20000

最大并發(fā)連接數(shù)：>50萬

MTBF：>5萬h

具有全面的網(wǎng)絡(luò)應(yīng)用內(nèi)容識(shí)別過濾技術(shù)，對(duì)HTTP、HTTPS、FTP、SMTP、POP3等進(jìn)行實(shí)時(shí)的雙向掃描過濾，檢測(cè)并攔截進(jìn)出網(wǎng)絡(luò)的各種病毒、木馬、蠕蟲、間諜軟件、網(wǎng)絡(luò)釣魚、灰色軟件、后門程序、惡意應(yīng)用攻擊等網(wǎng)絡(luò)威脅。

3.2網(wǎng)絡(luò)入侵檢測(cè)裝置設(shè)計(jì)方案

白山發(fā)電廠二次系統(tǒng)整體結(jié)構(gòu)較復(fù)雜，分為4個(gè)地點(diǎn)，3個(gè)大區(qū)，需要對(duì)不同的區(qū)域進(jìn)行監(jiān)聽，探測(cè)引擎安裝于大型網(wǎng)絡(luò)的各個(gè)物理子網(wǎng)中，分布式監(jiān)控網(wǎng)絡(luò)的各個(gè)部分，1臺(tái)管理器可管理多臺(tái)服務(wù)器，達(dá)到分布安裝，全網(wǎng)監(jiān)控，集中管理。因此白山發(fā)電廠二次安全防護(hù)項(xiàng)目中IDS設(shè)備采用分布式檢測(cè)方式，對(duì)于安全I(xiàn)區(qū)4個(gè)地點(diǎn)，分別在每個(gè)地點(diǎn)的機(jī)房交換機(jī)機(jī)柜內(nèi)增加1臺(tái)入侵檢測(cè)裝置，在雙網(wǎng)的交換機(jī)配置廣播口，監(jiān)測(cè)各網(wǎng)絡(luò)節(jié)點(diǎn)的所有報(bào)文動(dòng)態(tài)。

吉林市集控中心安全I(xiàn)I/III區(qū)的網(wǎng)絡(luò)連接方式，2臺(tái)入侵檢測(cè)引擎監(jiān)聽口分別部署在吉林市集控中心智能化統(tǒng)一平臺(tái)安全I(xiàn)I/III區(qū)的核心交換機(jī)上的廣播口，監(jiān)控安全I(xiàn)I/III區(qū)的所有報(bào)文動(dòng)態(tài)，檢測(cè)引擎將捕獲的報(bào)文信息發(fā)送到IDS管理工作站。管理口連接IDS管理工作站，IDS管理工作站連接到各個(gè)安全區(qū)內(nèi)核交換機(jī)上。

根據(jù)吉林市集控中心智能化統(tǒng)一平臺(tái)雙網(wǎng)接入的特點(diǎn)，安全I(xiàn)I區(qū)IDS監(jiān)聽引擎和IDS管理機(jī)雙網(wǎng)接入；安全I(xiàn)II區(qū)IDS監(jiān)聽引擎和IDS管理機(jī)雙網(wǎng)接入。

考慮到吉林集控中心內(nèi)的綜合網(wǎng)管系統(tǒng)的應(yīng)用實(shí)際，IDS管理工作站可將篩選的報(bào)文信息通過syslog的方式發(fā)送到綜合網(wǎng)管系統(tǒng)，再由綜合網(wǎng)管系統(tǒng)定制呈現(xiàn)。

技術(shù)要求如下：

1）入侵檢測(cè)引擎

平均無故障運(yùn)行時(shí)間：>20000h

系統(tǒng)恢復(fù)時(shí)間：<1min

最大PPS：千兆引擎≥100萬

新建TCP連接：千兆引擎≥10萬/s

維持最大連接數(shù)：千兆引擎≥100萬

可檢測(cè)事件數(shù)量不小于2000

并發(fā)TCP會(huì)話數(shù)量≥100000

最大并發(fā)TCP會(huì)話數(shù)量≥200000

處理能力≥200Mb

2）入侵檢測(cè)管理工作站

可以檢測(cè)并阻斷蠕蟲、網(wǎng)絡(luò)病毒、間諜軟件與木馬等危害程序；

支持實(shí)時(shí)的3～7層的網(wǎng)絡(luò)流量分析功能，用戶可自定義統(tǒng)計(jì)指定網(wǎng)絡(luò)范圍或指定協(xié)議的數(shù)據(jù)流量；

能夠?qū)崿F(xiàn)會(huì)話的記錄和重組，對(duì)包括HTTP、SMTP、FTP、Telnet、POP3等多種會(huì)話進(jìn)行記錄及回放；

控制臺(tái)界面良好，方便實(shí)現(xiàn)遠(yuǎn)程管理；

對(duì)重大安全漏洞在廠商沒有提供解決方案前提供臨時(shí)解決方案。

網(wǎng)絡(luò)攻擊檢測(cè)功能：

具備網(wǎng)絡(luò)設(shè)備攻擊、安全掃描、蠕蟲病毒、安全審計(jì)、可疑行為、網(wǎng)絡(luò)娛樂、安全漏洞、欺騙劫持、網(wǎng)絡(luò)通訊、脆弱口令、窮舉探測(cè)、間諜軟件、流量事件、分布事件及CGI訪問功能。

3）事件庫(kù)

事件庫(kù)規(guī)模：不少于2000種；

事件自定義：可自定義網(wǎng)絡(luò)特征匹配事件和行為關(guān)聯(lián)事件；

可進(jìn)行事件分類查詢、提供對(duì)事件和解決方案的詳細(xì)描述；

能進(jìn)行至少每周1次事件庫(kù)升級(jí)，如果遇到突發(fā)事件和安全警報(bào)，應(yīng)能進(jìn)行緊急升級(jí)。

4）協(xié)議分析功能

協(xié)議解碼種類：至少含40種，如ARP、AUTH、BT、CHARGEN、DNS、ECHO、ETHER、FINGER、FTP、HTTP、ICMP、IGMP、IMAP、IP、IRC、MSNP、MSPROXY、MSRPC、NETBIOS-SSN、NFS、NNTP、NTALK、PCT、PMAP、POP3、Q931、RIP、RLOGIN、RTSP、SMTP、SNMP、SUNRPC、TCP、TCQ、TDS、TELNET、TFTP、TNS、UDP、WHOIS等。

3.3防病毒軟件設(shè)計(jì)方案

根據(jù)吉林集控中心的實(shí)際情況，建議在白山、紅石、吉林集控中心內(nèi)建立整體的網(wǎng)絡(luò)防病毒體系。該范圍涵蓋了I區(qū)、II區(qū)和III區(qū)的windows系統(tǒng)主機(jī)設(shè)備，并在吉林集控中心的I、II、III區(qū)分別配有3臺(tái)專門的防病毒管理計(jì)算機(jī)進(jìn)行維護(hù)和管理。

分別在吉林集控中心的I、II、III區(qū)內(nèi)的智能化統(tǒng)一平臺(tái)內(nèi)接入防病毒服務(wù)器，防病毒服務(wù)器上運(yùn)行病毒監(jiān)控管理中心及病毒庫(kù)中心，所有吉林市集控中心及下屬電廠的windows系統(tǒng)上安裝殺毒軟件客戶端，殺毒軟件客戶端的病毒庫(kù)更新源指向防病毒服務(wù)器。

安全I(xiàn)區(qū)防病毒服務(wù)器連接在I區(qū)監(jiān)控系統(tǒng)主交換機(jī)內(nèi);安全I(xiàn)I區(qū)防病毒服務(wù)器連接安全I(xiàn)I區(qū)智能化統(tǒng)一平臺(tái)交換機(jī)上；安全I(xiàn)II區(qū)防病毒服務(wù)器連接安全I(xiàn)II區(qū)智能化統(tǒng)一平臺(tái)交換機(jī)上。結(jié)合白山發(fā)電廠的實(shí)際情況，可將防病毒服務(wù)器和IDS管理機(jī)工作站合二為一。

3.3.1殺毒軟件

1）先進(jìn)的查殺病毒技術(shù)

選擇的反病毒廠家具有先進(jìn)的反病毒技術(shù)，選擇的產(chǎn)品能夠查殺當(dāng)前已知的病毒，并且能夠有效攔截和查殺未知病毒。

2）廠商開發(fā)、服務(wù)的本地化

反病毒廠家在中國(guó)具有自己的研發(fā)基地和完善的服務(wù)網(wǎng)。能快速響應(yīng)國(guó)內(nèi)的計(jì)算機(jī)病毒事件和技術(shù)支持服務(wù)。

3）安裝、操作、管理簡(jiǎn)單

防病毒具有多種遠(yuǎn)程安裝方式，滿足在復(fù)雜局域網(wǎng)中方便、快速布置防病毒客戶端。

4）能夠?qū)崿F(xiàn)病毒防護(hù)的實(shí)時(shí)性

能夠?qū)Σ《究赡軅鞑サ耐緩剑ňW(wǎng)絡(luò)、光驅(qū)、軟驅(qū)、內(nèi)存、）進(jìn)行實(shí)時(shí)監(jiān)控，阻止病毒通過這些途徑傳播。

5）可以掃描網(wǎng)絡(luò)中的系統(tǒng)漏洞

可以在網(wǎng)絡(luò)中掃描每個(gè)系統(tǒng)的漏洞、未打的補(bǔ)丁，并且?guī)椭新┒吹南到y(tǒng)安裝補(bǔ)丁程序，更有效的保護(hù)整個(gè)網(wǎng)絡(luò)系統(tǒng)。

6）具備對(duì)網(wǎng)絡(luò)內(nèi)服務(wù)器、工作站等所有計(jì)算機(jī)的防病毒能力

反病毒產(chǎn)品具有對(duì)全系列的操作平臺(tái)的監(jiān)控產(chǎn)品，實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)的層層布防。

7）在廣域網(wǎng)范圍內(nèi)可具有跨路由、防火墻等的全網(wǎng)集中與分級(jí)防病毒管理能力

反病毒產(chǎn)品具有支持大型復(fù)雜網(wǎng)絡(luò)的多級(jí)管理功能，實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)的多級(jí)管理，實(shí)現(xiàn)統(tǒng)一集中管理，內(nèi)部責(zé)任明確。

8）具備可實(shí)施遠(yuǎn)程自動(dòng)分發(fā)、自動(dòng)產(chǎn)品版本及防病毒引擎文件升級(jí)等遠(yuǎn)程控制功能

產(chǎn)品具有全網(wǎng)統(tǒng)一升級(jí)功能，實(shí)現(xiàn)內(nèi)部所有防病毒產(chǎn)品的統(tǒng)一升級(jí)、自動(dòng)更新病毒代碼和反病毒引擎，保證網(wǎng)內(nèi)所有防病毒產(chǎn)品具有最新、一致的防病毒能力。

3.3.2技術(shù)要求

1）所有硬件系統(tǒng)均需符合下述標(biāo)準(zhǔn)

通用規(guī)范：GB/T9813-2000；

電磁學(xué)規(guī)范：FCCClassB或CISPR22ClassB；

安全規(guī)范：ULListed（美國(guó)）或EN60950（國(guó)際）；

質(zhì)量標(biāo)準(zhǔn)：ISO9000認(rèn)證。

2）硬件系統(tǒng)環(huán)境要求

溫度：0～40℃；

濕度:20%～85%；

電源：220V（±10%）交流50Hz（±2%）單相電源，額定電流最高16A和32A。

3）硬件系統(tǒng)配置要求

英特爾CPU，主頻不低于2.10GHz；

內(nèi)存不低于2GB；

硬盤容量不低于320GB；

一個(gè)1000M網(wǎng)絡(luò)接口；

Windows200332位操作系統(tǒng)；

顯卡顯存不小于1GB；

6芯電池，連續(xù)運(yùn)行時(shí)間不小于4h。

4　結(jié)論

通過對(duì)白山發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)安全防護(hù)改造，增強(qiáng)了監(jiān)控系統(tǒng)安全防護(hù)手段，解決了以往對(duì)程序更新、數(shù)據(jù)復(fù)制等會(huì)發(fā)生的病毒威脅。在系統(tǒng)邊界原有隔離裝置的基礎(chǔ)上增加了入侵檢測(cè)裝置，增加了邊界防御手段。

[1]張海華.基于可信計(jì)算和主動(dòng)防御的等級(jí)保護(hù)在電廠的應(yīng)用[J].信息安全與通信保密，2013（12）.

[2]唐斐.信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)在電力行業(yè)的應(yīng)用[C]//2012年電力通信管理暨智能電網(wǎng)通信技術(shù)論壇論文集，2012.

TP393

B

1672-5387（2016）08-0060-04

10.13599/j.cnki.11-5130.2016.08.018

2016-06-29

吳迪（1979-），男，工程師，從事水電站計(jì)算機(jī)監(jiān)控系統(tǒng)及自動(dòng)化系統(tǒng)維護(hù)管理工作。