吐魯番-某地調(diào)電力二次系統(tǒng)安全防護(hù)的設(shè)計

1、.PAGE ：.；某地調(diào)電力二次系統(tǒng)平安防護(hù)的設(shè)計 吐魯番電業(yè)局調(diào)度通訊中心史忠平目錄 TOC o 1-3 h z u HYPERLINK l _Toc240369800 1、引言 PAGEREF _Toc240369800 h 1 HYPERLINK l _Toc240369801 2、現(xiàn)狀 PAGEREF _Toc240369801 h 2 HYPERLINK l _Toc240369802 3、整改的方案 PAGEREF _Toc240369802 h 3 HYPERLINK l _Toc240369803 3.1平安防護(hù)的根本原那么 PAGEREF _Toc240369803 h 3

2、HYPERLINK l _Toc240369804 3.2系統(tǒng)在平安防護(hù)中的問題 PAGEREF _Toc240369804 h 4 HYPERLINK l _Toc240369805 3.3 順應(yīng)電網(wǎng)的二次防護(hù)系統(tǒng)構(gòu)建 PAGEREF _Toc240369805 h 5 HYPERLINK l _Toc240369806 3.3.1 EMS與MIS網(wǎng)絡(luò)間的電力物理隔離 PAGEREF _Toc240369806 h 5 HYPERLINK l _Toc240369807 3.3.2 其它各區(qū)之間的平安戰(zhàn)略 PAGEREF _Toc240369807 h 7 HYPERLINK l _Toc2

3、40369808 3.3.3 系統(tǒng)的網(wǎng)絡(luò)傳輸控制 PAGEREF _Toc240369808 h 9 HYPERLINK l _Toc240369810 3.3.4 數(shù)據(jù)庫管理 PAGEREF _Toc240369810 h 10 HYPERLINK l _Toc240369811 3.3.5 防病毒措施 PAGEREF _Toc240369811 h 11 HYPERLINK l _Toc240369812 終了語 PAGEREF _Toc240369812 h 11 HYPERLINK l _Toc240369813 后記 PAGEREF _Toc240369813 h 11 HYPERL

4、INK l _Toc240369814 參考文獻(xiàn) PAGEREF _Toc240369814 h 12 PAGE 12某地調(diào)電力二次系統(tǒng)平安防護(hù)的設(shè)計【摘要】：電力二次系統(tǒng)是指各級電力監(jiān)控系統(tǒng)和調(diào)度數(shù)據(jù)網(wǎng)絡(luò)SPDnet以及各級調(diào)度管理信息系統(tǒng)(OMS)和電力數(shù)據(jù)通訊網(wǎng)絡(luò)SPInet構(gòu)成的大系統(tǒng)。本次我們僅就某地域電業(yè)局電力二次系統(tǒng)現(xiàn)狀，確定電力二次系統(tǒng)的平安區(qū)的劃分原那么，確定各平安區(qū)之間在橫向及縱向上的防護(hù)原那么，提出該系統(tǒng)平安防護(hù)的思緒。國家電網(wǎng)公司根據(jù)我公司內(nèi)部電網(wǎng)二次系統(tǒng)系統(tǒng)的詳細(xì)情況制定了，目的是規(guī)范和一致我國電網(wǎng)和電廠計算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)平安防護(hù)的規(guī)劃、實施和監(jiān)管，以防備對

5、電網(wǎng)和電廠計算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的攻擊損害及由此引起的電力系統(tǒng)事故，保證電力系統(tǒng)的平安、穩(wěn)定、經(jīng)濟(jì)運轉(zhuǎn)?！娟P(guān)鍵字】：二次防護(hù)，系統(tǒng)，平安區(qū)，數(shù)據(jù)網(wǎng)絡(luò)1、引言由于隨著計算機(jī)、Internet的普及以及人們對網(wǎng)絡(luò)的依賴和運用的深化，病毒、黑客等對計算機(jī)、網(wǎng)絡(luò)的正常運用構(gòu)成的要挾日漸突出，為防止因病毒或黑客的攻擊造調(diào)度自動化系統(tǒng)癱瘓、從根本上保證供電企業(yè)的自動化系統(tǒng)免受病毒、黑客的攻擊，保證供電企業(yè)的平安運轉(zhuǎn)。國家經(jīng)濟(jì)貿(mào)易委員會和國家電力公司相繼出臺了電力系統(tǒng)自動化方面的網(wǎng)絡(luò)平安方案。國家經(jīng)濟(jì)貿(mào)易委員會第30號令及國家電力公司國電調(diào)2002411號文件詳細(xì)描畫了供電企業(yè)內(nèi)部四個不同任務(wù)區(qū)之間的

6、信息交換方式，a.平安區(qū)為實時控制區(qū)，平安維護(hù)的中心。凡是具有實時監(jiān)控功能的系統(tǒng)或其中的監(jiān)控功能部分均應(yīng)屬于平安區(qū)。如：調(diào)度自動化系統(tǒng)和相量同步丈量系統(tǒng)、配電自動化系統(tǒng)、變電站自動化系統(tǒng)、發(fā)電廠自動監(jiān)控系統(tǒng) 等，是電力二次系統(tǒng)平安維護(hù)的重點與中心。b.平安區(qū)為非控制業(yè)務(wù)區(qū)，原那么上不具備控制功能的消費業(yè)務(wù)和零售買賣業(yè)務(wù)系統(tǒng)均屬于該區(qū)，如：水調(diào)自動化系統(tǒng)、電能量計量系統(tǒng)、發(fā)電側(cè)電力市場買賣系統(tǒng)等。該區(qū)的外部通訊邊境為SPDnet的非實時VPN。c.平安區(qū)為消費管理區(qū)，該區(qū)的系統(tǒng)為進(jìn)展消費管理的系統(tǒng)，如：調(diào)度消費管理系統(tǒng)、雷電監(jiān)測系統(tǒng)、氣候信息接入、客戶效力等。該區(qū)中公共數(shù)據(jù)庫內(nèi)的數(shù)據(jù)可提供運轉(zhuǎn)管

7、理人員進(jìn)展web閱讀。該區(qū)的外部通訊邊境為電力數(shù)據(jù)通訊網(wǎng)SPInet。d.平安區(qū)IV為管理信息區(qū)，如：管理信息系統(tǒng)及辦公自動化系統(tǒng)。該區(qū)的外部通訊邊境為SPInet或因特網(wǎng)。2、現(xiàn)狀某局目前擁有220KV變電所4座、110KV變電所17座、35KV變電所36座，一切變電所均接入EMS電網(wǎng)能量管理系統(tǒng)。實現(xiàn)遙測、遙信、遙控、遙調(diào)、SOE、潮流分析等功能，可以順應(yīng)電網(wǎng)調(diào)度運轉(zhuǎn)任務(wù)要求。某局目前采用了DF8002V8電網(wǎng)能量管理系統(tǒng)，該系統(tǒng)于2004年3月投入運轉(zhuǎn)。DF8002V8系統(tǒng)采用分布式的設(shè)計方式和網(wǎng)絡(luò)體系構(gòu)造，基于TCP/IP網(wǎng)絡(luò)傳輸協(xié)議，功能以Client/Server方式分布于網(wǎng)絡(luò)中，

8、支持和管理網(wǎng)絡(luò)中各自獨立的數(shù)據(jù)處置節(jié)點，使數(shù)據(jù)實現(xiàn)共享和一致。DF8002V8電網(wǎng)能量管理系統(tǒng)的主站端包含通道系統(tǒng)、系統(tǒng)效力器兩臺、前置機(jī)效力器兩臺、Web效力器、高級運用任務(wù)站、調(diào)度員任務(wù)站兩臺、維護(hù)任務(wù)站、各任務(wù)站經(jīng)過兩臺交換機(jī)組成實時電網(wǎng)能量管理系統(tǒng)，公司其他部門可經(jīng)過Web調(diào)看畫面和數(shù)據(jù)。一段時間運轉(zhuǎn)闡明，DF8002V8系統(tǒng)可以為電網(wǎng)管理提供有效、高質(zhì)的技術(shù)平臺，但它在平安防護(hù)方面思索較少，各平安區(qū)內(nèi)部及之間短少必要的隔離措施，這就呵斥了現(xiàn)有系統(tǒng)存在平安防護(hù)薄弱的現(xiàn)實缺陷。 DF8002V8系統(tǒng)的網(wǎng)絡(luò)構(gòu)造中， 效力器、任務(wù)站、WEB、前置系統(tǒng)等設(shè)備均以總線構(gòu)造接于一臺HUAWEI S

9、2026 24口交換機(jī)。單位時間內(nèi)數(shù)據(jù)交換流量過大、機(jī)器負(fù)荷過重，容易呵斥設(shè)備間數(shù)據(jù)通訊缺點，情況嚴(yán)重的甚至可以導(dǎo)致效力器誤判網(wǎng)絡(luò)缺點超時，導(dǎo)致自動封鎖主程序。同時，經(jīng)過同一網(wǎng)段進(jìn)展交換，也添加系統(tǒng)全面感染病毒的能夠。系統(tǒng)各效力器、任務(wù)站配置的金山防病毒軟件版本過老，缺乏及時的特征庫晉級。各任務(wù)站由于雖然規(guī)范了運用人員權(quán)限并設(shè)置了系統(tǒng)口令，但是依然有暴露系統(tǒng)于非專業(yè)人員、調(diào)度人員的能夠。假設(shè)這些人誤動了系統(tǒng)數(shù)據(jù)庫，誤操作了系統(tǒng)相關(guān)功能，后果將不堪想象。3、整改的方案3.1平安防護(hù)的根本原那么參照，我們確定電力二次系統(tǒng)的平安防護(hù)應(yīng)遵照以下根本原那么平安分區(qū)。分區(qū)防護(hù)、突出重點。根據(jù)系統(tǒng)中的業(yè)務(wù)的

10、重要性和對一次系統(tǒng)的影響程度進(jìn)展分區(qū)，重點維護(hù)消費控制以及直接消費電力消費的系統(tǒng)。網(wǎng)絡(luò)公用。電力調(diào)度數(shù)據(jù)網(wǎng) SPDnet與電力數(shù)據(jù)通訊網(wǎng)SPInet實現(xiàn)平安隔離，并經(jīng)過采用MPLS-VPN或IPSECVPN在SPDnet和SPInet分別構(gòu)成多個相互邏輯隔離的VPN實現(xiàn)多層次的維護(hù)。橫向隔離。在不同平安區(qū)之間采用邏輯隔離安裝或物理隔離安裝使中心系統(tǒng)得到有效維護(hù)?？v向認(rèn)證、防護(hù)。平安區(qū)、的縱向邊境部署IP認(rèn)證加密安裝；平安區(qū)、的縱向邊境必需部署硬件防火墻，目前在認(rèn)證加密安裝尚未完善情況下，運用國產(chǎn)硬件防火墻進(jìn)展防護(hù)。整體平安防護(hù)隔離情況如以下圖所示：3.2系統(tǒng)在平安防護(hù)中的問題某局目前所運用的D

11、F8002V8系統(tǒng)作為成熟的電網(wǎng)管理平臺，是經(jīng)過本人獨立的網(wǎng)絡(luò)在平安區(qū)I和平安區(qū)II中運轉(zhuǎn)，系統(tǒng)既擔(dān)負(fù)著電網(wǎng)實時監(jiān)測、控制、SOE、數(shù)據(jù)錄庫、處置等義務(wù)，也為調(diào)度人員集成了電壓無功優(yōu)化管理、PAS網(wǎng)絡(luò)拓?fù)?、形狀分析、?fù)荷預(yù)測、調(diào)度員潮流分析等功能，且必需為整合DMIS系統(tǒng)提供支撐。同時，系統(tǒng)必需為電力客戶和有關(guān)部門提供實時發(fā)布閱讀的WEB效力。EMS系統(tǒng)獨立組網(wǎng)于平安I、II區(qū)，DMIS支持軟件位于平安III區(qū)，而WEB效力器做為銜接MIS網(wǎng)的主要設(shè)備位于平安III區(qū)。實踐情況是，調(diào)度人員運用的DMIS支撐軟件與調(diào)度任務(wù)站集成于調(diào)度I、II區(qū)共同運用，WEB效力器在III區(qū)間未經(jīng)過有效的物理隔

12、離設(shè)備直接與I、II區(qū)相聯(lián),且與IV區(qū)之間也沒有任何防護(hù)措施。DF8002V8系統(tǒng)的網(wǎng)絡(luò)構(gòu)造中， 效力器、任務(wù)站、WEB、前置系統(tǒng)等設(shè)備均以總線構(gòu)造接于一臺HUAWEI S2026 24口交換機(jī)。單位時間內(nèi)數(shù)據(jù)交換流量過大、機(jī)器負(fù)荷過重，容易呵斥設(shè)備間數(shù)據(jù)通訊缺點，情況嚴(yán)重的甚至可以導(dǎo)致效力器誤判網(wǎng)絡(luò)缺點超時，導(dǎo)致自動封鎖主程序。同時，經(jīng)過同一網(wǎng)段進(jìn)展交換，也添加系統(tǒng)全面感染病毒的能夠。系統(tǒng)各效力器、任務(wù)站配置的金山防病毒軟件版本過老，缺乏及時的特征庫晉級。各任務(wù)站由于雖然規(guī)范了運用人員權(quán)限并設(shè)置了系統(tǒng)口令，但是依然有暴露系統(tǒng)于非專業(yè)人員、調(diào)度人員的能夠。假設(shè)這些人誤動了系統(tǒng)數(shù)據(jù)庫，誤操作了系

13、統(tǒng)相關(guān)功能，后果將不堪想象。3.3 順應(yīng)電網(wǎng)的二次防護(hù)系統(tǒng)構(gòu)建操作系統(tǒng)的平安、數(shù)據(jù)庫的平安、網(wǎng)絡(luò)平安、系統(tǒng)權(quán)限論證、病毒防備措施構(gòu)成電網(wǎng)管理系統(tǒng)平安性的各環(huán)節(jié)。結(jié)合我公司系統(tǒng)現(xiàn)狀，調(diào)度實時系統(tǒng)與MIS網(wǎng)之間的有效隔離，EMS系統(tǒng)人員權(quán)限管理、數(shù)據(jù)庫管理、病毒特征庫晉級管理成為構(gòu)建二次防護(hù)系統(tǒng)的主要問題。3.3.1 EMS與MIS網(wǎng)絡(luò)間的電力物理隔離根據(jù)上圖及國家經(jīng)濟(jì)貿(mào)易委員會第30號令: 第三條 電力系統(tǒng)平安防護(hù)的根本原那么是：電力系統(tǒng)中，平安等級較高的系統(tǒng)不受平安等級較低系統(tǒng)的影響。電力監(jiān)控系統(tǒng)的平安等級高于電力管理信息系統(tǒng)及辦公自動化系統(tǒng)，各電力監(jiān)控系統(tǒng)必需具備可靠性高的本身平安防護(hù)設(shè)備，

14、不得與平安等級低的系統(tǒng)直接相聯(lián)。 第四條 各電力監(jiān)控系統(tǒng)與辦公自動化系統(tǒng)或其他信息系統(tǒng)之間以網(wǎng)絡(luò)方式互聯(lián)時,必需采用經(jīng)國家有關(guān)部門認(rèn)證的公用、可靠的平安隔離設(shè)備。DF8002V8系統(tǒng)需面向MIS網(wǎng)絡(luò)用戶發(fā)布實時電網(wǎng)信息。我們的系統(tǒng)需求做如下的變動：可以經(jīng)過一臺基于LINUX操作系統(tǒng)的WEB效力器，以數(shù)據(jù)單向遷移的方式由調(diào)度網(wǎng)絡(luò)將數(shù)據(jù)鏡像發(fā)布于WEB效力器，并由WEB效力器生成滿足發(fā)布閱讀要求的WEB頁面，供平安III/IV區(qū)的用戶調(diào)用。采用物理隔離安裝可使平安區(qū)之間物理隔離。制止跨越平安區(qū)/與平安區(qū)/的非數(shù)據(jù)運用穿透物理隔離安裝的平安防護(hù)強(qiáng)度順應(yīng)由平安區(qū)/向平安區(qū)/的單向數(shù)據(jù)傳輸。由平安區(qū)/向

15、平安區(qū)/的由此，我們必需采用軟、硬件結(jié)合的有效平安隔離措施、保證網(wǎng)絡(luò)數(shù)據(jù)共享的同時，實施對非法信息的隔離。結(jié)合目前系統(tǒng)情況，可以將現(xiàn)有WEB效力器完全置于平安III區(qū)，經(jīng)過公用電力物理隔離設(shè)備實現(xiàn)與平安I、II區(qū)的數(shù)據(jù)共享。公用電力物理隔離設(shè)備其它網(wǎng)絡(luò)系統(tǒng)公用電力物理隔離設(shè)備其它網(wǎng)絡(luò)系統(tǒng)平安III區(qū)WEB效力器EMS系統(tǒng)平安I區(qū)EMS與WEB間的電力物理隔離表示圖電力公用物理隔離設(shè)備必需滿足以下條件：(1) 具有物理隔離才干的硬件構(gòu)造,保證了內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的物理隔離 (2) 軟、硬結(jié)合的數(shù)據(jù)流向控制 經(jīng)過平安戰(zhàn)略實現(xiàn)軟控制 經(jīng)過單向遷移，實現(xiàn)WEB效力器與物理設(shè)備的銜接，設(shè)置Socket端

16、口建立WEB與隔離設(shè)備的鏈路。 經(jīng)過物理開關(guān)實現(xiàn)硬控制 (3) Socket銜接方向的控制(4) IP與MAC地址綁定 3.3.2 其它各區(qū)之間的平安戰(zhàn)略將平安I區(qū)實時數(shù)據(jù)區(qū)與平安II區(qū)進(jìn)展必要的隔離，制止跨越平安區(qū)與的、WEB、telnet、rlogin。即將系統(tǒng)的數(shù)據(jù)采集部分全部放入平安區(qū)，將剩余的SCADA效力、歷史數(shù)據(jù)效力、各客戶端以及部分高級運用效力放入平安區(qū)，數(shù)據(jù)采集區(qū)配置本人獨立的效力器、交換機(jī)，并配置相應(yīng)戰(zhàn)略。鏡像生成數(shù)據(jù)、數(shù)據(jù)單向遷移可以部分的消除數(shù)據(jù)信息傳輸過程中蒙受病毒、HACKER攻擊的概率。LINUX系統(tǒng)由于其可以實現(xiàn)對個體文件、義務(wù)進(jìn)展加密處置的特性，使其較WIND

17、OWS系統(tǒng)更為平安、可靠。由于WEB效力器在身份認(rèn)證和權(quán)限管理方面沒有有效措施，同時當(dāng)LINUX系統(tǒng)中的SAMBA效力使WEB效力器在直接面向與INTERNET互聯(lián)的MIS網(wǎng)絡(luò)時為HACKER攻擊和病毒入侵提供了破綻或者端口。因此需求在WEB效力器與MIS網(wǎng)絡(luò)之間，即在平安III區(qū)與平安IV區(qū)之間配置一臺防火墻，并配置相應(yīng)戰(zhàn)略。防火墻設(shè)備防火墻設(shè)備其它網(wǎng)絡(luò)系統(tǒng)平安IV區(qū)MIS網(wǎng)絡(luò)平安III區(qū)WEB效力器WEB與MIS網(wǎng)絡(luò)間的表示圖如此配置后的調(diào)度自動化拓?fù)涓揪涂梢源_定為以下圖：3.3.3 系統(tǒng)的網(wǎng)絡(luò)傳輸控制拓?fù)渚W(wǎng)絡(luò)中，數(shù)據(jù)傳輸與信息交互的控制是需求網(wǎng)絡(luò)各節(jié)點全面控制支持的，因此我們有必要確保

18、網(wǎng)絡(luò)各環(huán)節(jié)處于可控、在控形狀中，可以利用以下手段實現(xiàn)。1、加強(qiáng)口令管理字符數(shù)較少的弱口令或默許口令經(jīng)常會被無關(guān)人員記憶，也易被HACKER破譯。同時，由于EMS系統(tǒng)擔(dān)負(fù)了遠(yuǎn)控、數(shù)據(jù)備份等重要義務(wù)，一旦被別有用心的人盜用口令，肆意刪除數(shù)據(jù)或者運用其他功能，企業(yè)損失將無法估計。我們可結(jié)合現(xiàn)代密碼學(xué)，運用CA與身份認(rèn)證保證我們的用戶管理。PKI是一個利用現(xiàn)代密碼學(xué)中的公鑰密碼技術(shù)在開放的網(wǎng)絡(luò)環(huán)境中提供數(shù)據(jù)加密以及數(shù)字簽名效力的一致的技術(shù)框架?；赑KI的CA認(rèn)證系統(tǒng)為電力調(diào)度消費及管理系統(tǒng)與調(diào)度數(shù)據(jù)網(wǎng)上的用戶、關(guān)鍵網(wǎng)絡(luò)設(shè)備、效力器提供數(shù)字證書效力。最終CA認(rèn)證體系構(gòu)造圖如下所示：CA認(rèn)證系統(tǒng)的整體構(gòu)

19、造CA中心CA中心RA中心.調(diào)度人員設(shè)備密鑰管理中心RA中心RA中心調(diào)度人員設(shè)備調(diào)度人員設(shè)備2、 禁用不用要效力封鎖某些網(wǎng)絡(luò)設(shè)備出廠缺省設(shè)置，如Finger、BootpServer、IPRedirect、ProxyArp、Directed-Broadcast等效力，另外，在路由器上，對于SNMP、DHCP以及WEB管理效力等，只需絕對必要的時候才可運用這些效力。3、 制止運用遠(yuǎn)程訪問運用遠(yuǎn)程訪問客戶端，可以方便系統(tǒng)的遠(yuǎn)程維護(hù)，實現(xiàn)廠家在線技術(shù)支持。但是，經(jīng)過INTERNET的訪問控制，必然將系統(tǒng)暴露，為攻擊提供訪問端口，部分病毒也可以偽裝成TXT等格式，入侵系統(tǒng)。4、 控制流量有限進(jìn)入網(wǎng)絡(luò)為了

20、防止路由器成為DoS攻擊目的，用戶應(yīng)該回絕以下流量進(jìn)入：沒有IP地址的包、采用本地主機(jī)地址、廣播地址、多播地址以及任何冒充的內(nèi)部地址的包。雖然用戶無法杜絕DoS攻擊，但用戶可以限制DoS的危害；另外，用戶還可以采取添加SYN ACK隊列長度、縮短ACK超時等措施來維護(hù)路由器免受TCP SYN的攻擊。5、合理分配交換機(jī)為減輕交換機(jī)數(shù)據(jù)流量和處置義務(wù)，我們配置兩臺交換機(jī)，分別構(gòu)建立前置系統(tǒng)192.168.0.*與調(diào)度效力器、任務(wù)站、WEB202.0.1.*兩個網(wǎng)段，由此有效提高了數(shù)據(jù)交互效率，并且減少網(wǎng)絡(luò)缺點概率。3.3.4 數(shù)據(jù)庫管理EMS系統(tǒng)擁有豐富的數(shù)據(jù)資源、數(shù)據(jù)庫的平安管理成為系統(tǒng)二次防護(hù)的重要組成。數(shù)據(jù)資源主要分布在前置系統(tǒng)的效力器、EMS系統(tǒng)主效力器、WEB效力器、VQC、PAS、DMIS系統(tǒng)站的PC任務(wù)站、電能量系統(tǒng)的效力器中。處于平安I、II區(qū)的EMS系統(tǒng)各組成設(shè)備在物理防護(hù)下，面臨的要挾主要于人的要素。因此我們必需采取以下措施：分解系統(tǒng)維護(hù)人員、調(diào)度操作人員、設(shè)備巡視人員職責(zé)，并在EM