靳 帥，李 建 清

(國電大渡河枕頭壩發(fā)電有限公司，四川 樂山 614700)

0 引 言

近年以來，工控領(lǐng)域發(fā)生了數(shù)起網(wǎng)絡(luò)安全事故，電力監(jiān)控系統(tǒng)的安全形勢日益嚴(yán)峻，開展電力監(jiān)控安防工作，提升工控系統(tǒng)整體安全防護水平，建立和完善電力監(jiān)控二次安全防護系統(tǒng)，對保障電力系統(tǒng)的安全穩(wěn)定運行具有重要的意義[1]。

枕頭壩電站作為四川電網(wǎng)的骨干電源點，其安全生產(chǎn)對電網(wǎng)的穩(wěn)定運行具有重要作用。通過電力監(jiān)控二次安全防護系統(tǒng)建設(shè)，加強電站電力監(jiān)控系統(tǒng)安全防護水平，抵御黑客及惡意代碼等對電站電力監(jiān)控系統(tǒng)進行的惡意破壞和攻擊以及其它非法操作[2]，以滿足《關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護總體方案等安全防護方案和評估規(guī)范的通知》(國能安全〔2015〕36 號)《電力監(jiān)控系統(tǒng)安全防護規(guī)定》發(fā)改委14號令的相關(guān)要求和規(guī)定，從而有效地防止電站監(jiān)控系統(tǒng)的癱瘓和失控及由此導(dǎo)致的電站一次系統(tǒng)事故和其他事故，以保障電力系統(tǒng)整體的安全運行。

1 安全防護系統(tǒng)建設(shè)原則

枕頭壩電站按照“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”電力監(jiān)控系統(tǒng)的安全防護總體原則，結(jié)合電站實際情況，根據(jù)能源監(jiān)管辦及國家電網(wǎng)公司相關(guān)文件要求，制定具體的建設(shè)原則，以保障電力監(jiān)控系統(tǒng)和調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全[3]。

1.1 加固操作系統(tǒng)

電站內(nèi)監(jiān)控系統(tǒng)關(guān)鍵應(yīng)用系統(tǒng)的主服務(wù)器，以及網(wǎng)絡(luò)邊界處的通信網(wǎng)關(guān)機等，使用安全加固的操作系統(tǒng)。加固方式包括：關(guān)閉接口、清除弱口令、升級系統(tǒng)配置、安裝系統(tǒng)補丁、采用專用加固軟件強化操作系統(tǒng)、及時清除無用的應(yīng)用程序等；非控制區(qū)的網(wǎng)絡(luò)設(shè)備與安全設(shè)備采用身份鑒別、訪問權(quán)限控制、會話控制等安全配置加固。對于外部存儲器、打印機等外設(shè)的使用嚴(yán)格管理；對于閑置的數(shù)據(jù)接口采用物理封禁和軟件封禁兩種方式徹底斷絕移動介質(zhì)中的數(shù)據(jù)隱患帶來的威脅。

1.2 布置網(wǎng)絡(luò)入侵檢測系統(tǒng)

在安全區(qū)I與安全區(qū)II分別布置網(wǎng)絡(luò)入侵檢測系統(tǒng)，保證安全防護能實時、動態(tài)應(yīng)對安全事件，增強對網(wǎng)絡(luò)行為的監(jiān)察、控制和審計能力，檢測探頭布置在電力調(diào)度數(shù)據(jù)網(wǎng)接入交換機側(cè)，及時捕獲網(wǎng)絡(luò)異常行為、分析潛在威脅、進行安全審計。

1.3 配置漏洞掃描系統(tǒng)

安全I區(qū)與安全II區(qū)配置漏洞掃描系統(tǒng)，定期掃描主機服務(wù)器系統(tǒng)、數(shù)據(jù)庫及系統(tǒng)配置并進行加固；定期對網(wǎng)絡(luò)的不同斷面進行漏洞掃描，及時發(fā)現(xiàn)安全隱患。

1.4 布置惡意代碼防護系統(tǒng)

生產(chǎn)控制大區(qū)內(nèi)統(tǒng)一布置惡意代碼防護系統(tǒng)，采取防范惡意代碼措施。對生產(chǎn)控制大區(qū)中的所有計算機統(tǒng)一進行病毒定義碼更新、防病毒政策設(shè)定、病毒情況監(jiān)控，手動、定時病毒掃描及清除、病毒日志及匯總報表以及集中隔離未知病毒，并隔離有病毒的客戶端，手工定期升級惡意代碼防護系統(tǒng)病毒庫。

1.5 采取安全審計措施

生產(chǎn)控制大區(qū)采取安全審計措施，把安全審計與安全區(qū)網(wǎng)絡(luò)管理系統(tǒng)、綜合告警系統(tǒng)、IDS管理系統(tǒng)、敏感業(yè)務(wù)服務(wù)器登錄認(rèn)證和授權(quán)、關(guān)鍵業(yè)務(wù)應(yīng)用訪問權(quán)限相結(jié)合。

1.6 設(shè)置安全隔離裝置

在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間設(shè)置經(jīng)國家指定部門檢測認(rèn)證的電力專用橫向單向安全隔離裝置，隔離強度接近物理隔離。電力專用橫向單向安全隔離裝置作為生產(chǎn)控制大區(qū)與管理信息大區(qū)之間的必備邊界防護措施，是橫向防護的關(guān)鍵設(shè)置。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、防火墻的設(shè)施，實現(xiàn)邏輯隔離。

圖1 枕頭壩電站二次安防系統(tǒng)鏈路圖

2 安全防護系統(tǒng)布置

2.1 安全分區(qū)

按照《電力監(jiān)控系統(tǒng)安全防護總體方案》：將電站基于計算機及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為安全控制I區(qū)和安全控制II區(qū)，重點保護生產(chǎn)控制以及直接影響電力生產(chǎn)與機組運行的系統(tǒng)，該分區(qū)原則滿足安全可靠的要求[4]。枕頭壩電站安全分區(qū)情況見表1：

表1 枕頭壩電站安全分區(qū)情況

2.2 網(wǎng)絡(luò)專用

調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專用網(wǎng)絡(luò)，承載電力實時控制、在線生產(chǎn)交易等業(yè)務(wù)。電站端的電力調(diào)度數(shù)據(jù)網(wǎng)在專用通道上使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。電站端的電力調(diào)度數(shù)據(jù)網(wǎng)劃分為邏輯隔離的實時子網(wǎng)和非實時子網(wǎng)，分別連接控制區(qū)和非控制區(qū)，符合網(wǎng)絡(luò)專用的原則。

2.3 橫向通信防護

橫向隔離是電力監(jiān)控系統(tǒng)安全防護體系的橫向防線。枕頭壩電站高度重視網(wǎng)絡(luò)邊界的安全防護，為滿足電站ON-CALL系統(tǒng)數(shù)據(jù)傳輸?shù)男枰?，在生產(chǎn)控制大區(qū)與信息管理大區(qū)之間布置了一臺南瑞正向隔離裝置，取消了原設(shè)計中的反向隔離裝置，只允許業(yè)務(wù)數(shù)據(jù)從生產(chǎn)控制大區(qū)向信息管理大區(qū)單向傳送；在控制區(qū)與非控制區(qū)之間布置硬件防火墻實現(xiàn)邏輯隔離，同時根據(jù)業(yè)務(wù)需要對防火墻進行策略配置，以確保控制區(qū)內(nèi)數(shù)據(jù)的絕對安全。

2.4 縱向通信防護

縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護體系的縱向防線。電站生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處設(shè)置經(jīng)過國家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置，實現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制。

電站生產(chǎn)控制大區(qū)所連接的廣域網(wǎng)為電力調(diào)度數(shù)據(jù)網(wǎng)SPDnet，采用MPLS-VPN技術(shù)為安全區(qū)Ⅰ、Ⅱ分別提供兩個邏輯隔離的VPN。在生產(chǎn)控制大區(qū)內(nèi)，分別配置了2套電力專用縱向加密認(rèn)證裝置，實現(xiàn)網(wǎng)絡(luò)層雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制，滿足電力監(jiān)控系統(tǒng)防護的要求[5]。

2.5 綜合安全防護體系

綜合防護是結(jié)合國家信息安全等級保護工作的相關(guān)要求對電力監(jiān)控系統(tǒng)從主機、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計、備份及容災(zāi)等多個層面進行信息安全防護的過程。

2.5.1 防病毒系統(tǒng)

在電站安全I區(qū)、II區(qū)中分別布置一套景云網(wǎng)絡(luò)防病毒系統(tǒng)。對生產(chǎn)控制大區(qū)中的所有計算機統(tǒng)一進行病毒定義碼更新、防病毒策略設(shè)定、病毒情況監(jiān)控，手動、定時的病毒掃描及清除、病毒日志及匯總報表以及集中隔離未知病毒，并能隔離有病毒的客戶端。每月由專人定期升級防病毒系統(tǒng)病毒庫，提高抗病毒能力。

2.5.2 安全審計系統(tǒng)

在安全I區(qū)和安全II區(qū)分別配置一套啟明星辰TSOC-SA2100安全審計裝置。通過SNMP協(xié)議的方式獲取安全設(shè)備(如防火墻、IDS 、專用隔離設(shè)備、防病毒系統(tǒng)等)和調(diào)度數(shù)據(jù)網(wǎng)設(shè)備的安全事件信息，對網(wǎng)絡(luò)安全事件信息進行集中分析過濾、處理、保存。

2.5.3 主機加固

按照二次安防對生產(chǎn)大區(qū)的核心服務(wù)器配置主機加固的要求，對全站具備操作系統(tǒng)的主機或服務(wù)器中統(tǒng)一配置一套北京信達主機加固軟件，強化操作系統(tǒng)訪問控制能力以及配置安全的應(yīng)用程序。并在日常工作中加強對服務(wù)器登錄賬戶和口令的管理和優(yōu)化，注重對操作系統(tǒng)的異常情況分析檢測，及時發(fā)現(xiàn)和排查系統(tǒng)漏洞和問題[6]。

2.5.4 漏洞掃描系統(tǒng)

在安全Ⅰ區(qū)和安全Ⅱ區(qū)分別配置一套啟明星辰CSNS-H3漏洞掃描系統(tǒng)。對安全Ⅰ區(qū)和安全Ⅱ區(qū)的服務(wù)器、數(shù)據(jù)庫、主機和網(wǎng)絡(luò)設(shè)備定期手動掃描弱配置并進行加固；每月由專人定期對網(wǎng)絡(luò)的不同斷面進行漏洞掃描，及時發(fā)現(xiàn)安全隱患。

2.5.5 入侵檢測裝置

枕頭壩電站分別在生產(chǎn)控制區(qū)和調(diào)度數(shù)據(jù)網(wǎng)分別布置一套啟明星辰網(wǎng)絡(luò)入侵檢測系統(tǒng)。生產(chǎn)控制區(qū)入侵檢測裝置檢測探頭布置于工程師站、兩臺集控通訊服務(wù)器、Ⅱ區(qū)接入交換機進行實時檢測；調(diào)度數(shù)據(jù)網(wǎng)入侵檢測裝置檢測探頭布置于省調(diào)接入網(wǎng)實時和非實時交換機進行檢測[7]。從而保證安全防護系統(tǒng)能實時、動態(tài)應(yīng)對安全事件，增強對網(wǎng)絡(luò)行為的監(jiān)察、控制和審計能力。

2.5.6 網(wǎng)絡(luò)機柜

為保證二次安防系統(tǒng)的安全高效運行，配置一套標(biāo)準(zhǔn)網(wǎng)絡(luò)機柜用于布置二次安防設(shè)備，做到專柜專用，同時提供兩路冗余電源，保證供電電源的可靠。

3 安全防護系統(tǒng)管理

為充分發(fā)揮綜合安全防護系統(tǒng)作用，提高抵御網(wǎng)絡(luò)安全風(fēng)險的能力，枕頭壩電站在系統(tǒng)建設(shè)中制定了嚴(yán)格的管理規(guī)定，定期開展相關(guān)作業(yè)，不斷升級優(yōu)化系統(tǒng)功能，以保證安全防護體系能夠有效應(yīng)對監(jiān)控系統(tǒng)和工控網(wǎng)絡(luò)安全威脅，時刻發(fā)揮出最大的作用。

3.1 口令更新

針對系統(tǒng)加固，采用定期對關(guān)鍵服務(wù)器、邊界防護設(shè)備等系統(tǒng)用戶口令進行更新，口令不少于十位，并采用字母大小寫加數(shù)字加至少三位特殊字符的組合。

3.2 漏洞掃描

定期對漏洞掃描系統(tǒng)漏洞庫進行離線更新，并手動對相關(guān)系統(tǒng)進行漏洞掃描。

3.3 記錄備份

定期對入侵檢測規(guī)則庫進行離線更新，及時處理入侵報警信息，對裝置運行記錄進行備份。

3.4 手動查殺

定期對日志審計系統(tǒng)的日志審計記錄進行核查并進行備份，對防惡意代碼系統(tǒng)病毒庫進行離線更新，并對相關(guān)系統(tǒng)進行手動查殺。

3.5 升級更新

定期對網(wǎng)絡(luò)邊界防護裝置如防火墻、隔離裝置、縱向加密裝置的配置文件及配置策略進行一次備份，當(dāng)系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)或業(yè)務(wù)內(nèi)容發(fā)生變化時，及時對配置策略升級更新。

3.6 異地存放備份文件

對監(jiān)控機房內(nèi)各計算機節(jié)點的軟件、配置文件、數(shù)據(jù)、日志審計系統(tǒng)的審計日志等重要信息進行備份并異地存放，確保系統(tǒng)一旦發(fā)生故障時能夠快速恢復(fù)。

4 結(jié) 語

枕頭壩電站電力監(jiān)控系統(tǒng)二次安防系統(tǒng)的建設(shè)，完善了電站電力監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全防護體系，滿足電力二次安防相關(guān)的要求。同時也大大提高了抵御黑客及惡意代碼等外部攻擊和入侵對電力監(jiān)控系統(tǒng)進行的惡意破壞和攻擊，以及其他非法操作的能力，可有效防止系統(tǒng)癱瘓和失控、及由此導(dǎo)致的電站生產(chǎn)事故，從而有力地保障了枕頭壩電站監(jiān)控系統(tǒng)和工控網(wǎng)絡(luò)的安全運行。