2022火電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全解決方案

火電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全解決方案2電力系統(tǒng)業(yè)務(wù)總覽2電力系統(tǒng)業(yè)務(wù)總覽發(fā)電企業(yè)及電網(wǎng)分布發(fā)電企業(yè)及電網(wǎng)分布五大發(fā)電集團(tuán)中國(guó)華能集團(tuán)公司、中國(guó)大唐集團(tuán)公司、中國(guó)華電集團(tuán)公司、中國(guó)國(guó)電集團(tuán)公司、中國(guó)電力投資集團(tuán)公司四小豪門(mén)國(guó)投電力、國(guó)華電力、華潤(rùn)電力、中廣核兩大電網(wǎng)公司國(guó)家電網(wǎng)公司、中國(guó)南方電網(wǎng)有限責(zé)任公司發(fā)電集團(tuán)整合重組神華和國(guó)電合并為國(guó)家能源集團(tuán)兩網(wǎng)區(qū)域劃分南方電網(wǎng)公司供電區(qū)域?yàn)閺V東、廣西、云南、貴州和海南，其余為國(guó)網(wǎng)供電3內(nèi)蒙古電力（集團(tuán)）盟之外自治區(qū)其余8個(gè)盟市供電營(yíng)業(yè)區(qū)的電網(wǎng)建設(shè)、經(jīng)營(yíng)、管理和農(nóng)電工作3發(fā)電形態(tài)及特點(diǎn)-火電發(fā)電形態(tài)及特點(diǎn)-火電45發(fā)電形態(tài)及特點(diǎn)-水電5發(fā)電形態(tài)及特點(diǎn)-水電發(fā)電形態(tài)及特點(diǎn)-風(fēng)電備調(diào)主調(diào)調(diào)度接入網(wǎng)備調(diào)主調(diào)實(shí)時(shí)實(shí)時(shí)

路由器 非實(shí)時(shí)縱向加密非實(shí)時(shí)交換機(jī)

實(shí)時(shí)實(shí)時(shí)

路由器 非實(shí)時(shí)縱向加密非實(shí)時(shí)交換機(jī)安全I(xiàn)區(qū)遠(yuǎn)動(dòng)

遠(yuǎn)動(dòng) 同步向

保信子站 電能

安全I(xiàn)I

管理信息大區(qū) 公網(wǎng)裝置1

裝置

SVG

保護(hù)測(cè)控

采集 功率預(yù)服務(wù)器故障錄波功率預(yù)測(cè)工作站

信息申報(bào)發(fā)布平臺(tái)AGC/AVC監(jiān)控主機(jī)1監(jiān)控主機(jī)2 五工作站

反向隔離

服務(wù)器

防火墻工作站

服務(wù)器

服務(wù)器

風(fēng)機(jī)環(huán)網(wǎng)6發(fā)電形態(tài)及特點(diǎn)-光伏備調(diào)主調(diào)調(diào)度接入網(wǎng)備調(diào)主調(diào)實(shí)時(shí)實(shí)時(shí)交換機(jī)

路由器 非實(shí)時(shí)縱向加密

實(shí)時(shí)實(shí)時(shí)交換機(jī)

路由器 非實(shí)時(shí)縱向加密非實(shí)時(shí)交換機(jī)安全I(xiàn)區(qū)

安全I(xiàn)I區(qū)

管理信息大區(qū) 公網(wǎng)遠(yuǎn)動(dòng)裝置1

遠(yuǎn)動(dòng)裝置

SVG

保信 電能子站 采集故障錄波

工作站

服務(wù)器

天氣預(yù)報(bào)服務(wù)器AGC/AVC監(jiān)控主機(jī)1監(jiān)控主機(jī)2 五工作站

反向隔離

防火墻工作站

服務(wù)器

加數(shù)據(jù)采集 密服務(wù)器 裝置

逆變器匯流箱光伏矩陣加 數(shù) 密 據(jù)裝 集器置 中 逆變器匯流箱光伏矩陣器

工作站

外網(wǎng)主機(jī)70203火電廠網(wǎng)絡(luò)安全解決方案國(guó)家和行業(yè)政策法規(guī)要求CONTENTS0203火電廠網(wǎng)絡(luò)安全解決方案國(guó)家和行業(yè)政策法規(guī)要求01電力行業(yè)網(wǎng)絡(luò)安全形勢(shì)01電力行業(yè)網(wǎng)絡(luò)安全形勢(shì)目錄04解決方案合規(guī)性04解決方案合規(guī)性05典型客戶案例分享05典型客戶案例分享01電力行業(yè)網(wǎng)絡(luò)安全形勢(shì)0110工控網(wǎng)絡(luò)安全態(tài)勢(shì)10工控網(wǎng)絡(luò)安全態(tài)勢(shì)以上數(shù)據(jù)來(lái)自CNCERT國(guó)家工業(yè)互聯(lián)網(wǎng)安全應(yīng)急響應(yīng)中心2019年上半年度報(bào)告工業(yè)控制網(wǎng)絡(luò)安全事件在近幾年呈現(xiàn)穩(wěn)步增長(zhǎng)的趨勢(shì)，2019年被ICS-CERT收錄的攻擊事件達(dá)到329件 2012-2019年全球工控安全事件報(bào)告數(shù)量 2019年工控安全事件所屬行業(yè)細(xì)分近年來(lái)電力行業(yè)安全事件近年來(lái)電力行業(yè)安全事件2014年Havex襲擊北美 電力控制設(shè)備

年03 年BlackEnergy、Industroyer造烏克蘭電網(wǎng)斷電

2019年 06南非電力公司遭勒索病毒攻擊陷入癱瘓2010年 01Stuxnet奇襲伊朗核設(shè)施

2017年11山東43座風(fēng)電、光伏電站由于安全防護(hù)和機(jī)組涉網(wǎng)管理方面存在重大隱患被強(qiáng)制斷網(wǎng)11

2018年寧夏九彩某風(fēng)電廠05 網(wǎng)絡(luò)安全事故，被04 斷網(wǎng)整改并通報(bào)烏克蘭電網(wǎng)攻擊事件解析烏克蘭電網(wǎng)攻擊事件解析2015年12月23停電的網(wǎng)絡(luò)攻擊；以BlackEnergy入口；通過(guò)遠(yuǎn)程控制SCADA以摧毀破壞SCADA12以DDoS社會(huì)混亂的具有信息戰(zhàn)水準(zhǔn)的網(wǎng)絡(luò)攻擊事件。12安全形勢(shì)發(fā)生的變化安全形勢(shì)發(fā)生的變化攻擊來(lái)源：量開(kāi)始介入。攻擊技術(shù)：度空前加快。

攻擊手段：化、復(fù)雜化，APT技術(shù)運(yùn)用越來(lái)越多。13變化13變化14發(fā)電企業(yè)典型問(wèn)題14發(fā)電企業(yè)典型問(wèn)題漏洞缺乏防控漏洞缺乏防控惡意代碼防護(hù)失效網(wǎng)絡(luò)行為和日志無(wú)監(jiān)測(cè)安全理念落后安全意識(shí)淡漠02國(guó)家和行業(yè)政策法規(guī)要求0216主要遵循的法規(guī)和標(biāo)準(zhǔn)16主要遵循的法規(guī)和標(biāo)準(zhǔn)1國(guó)家法律《中華人民共和國(guó)網(wǎng)絡(luò)安全法》21國(guó)家法律《中華人民共和國(guó)網(wǎng)絡(luò)安全法》2行業(yè)法規(guī)《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》發(fā)改委[2014]14號(hào)令《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案》國(guó)能安全[2015]36號(hào)文3建設(shè)標(biāo)準(zhǔn)《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》4指導(dǎo)文件《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》17網(wǎng)絡(luò)安全法與電力監(jiān)控系統(tǒng)17網(wǎng)絡(luò)安全法與電力監(jiān)控系統(tǒng)法律法規(guī)年6月1日《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式施行?！吨腥A人民共和國(guó)網(wǎng)絡(luò)安全法》第十二屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第二十四次會(huì)議通過(guò)表1關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)判定表《國(guó)家網(wǎng)絡(luò)安全檢查操作指南》中央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào)局2016年6月電力監(jiān)控系統(tǒng)安全防護(hù)總體方案電力監(jiān)控系統(tǒng)安全防護(hù)總體方案國(guó)能安全[2015]36號(hào)附件1電力監(jiān)控系統(tǒng)安全防護(hù)總體方案國(guó)能安全[2015]36號(hào)附件2省級(jí)以上調(diào)度中心監(jiān)控系統(tǒng)安全防護(hù)方案附件3地級(jí)調(diào)度中心監(jiān)控系統(tǒng)安全防護(hù)方案附件4發(fā)電廠監(jiān)控系統(tǒng)安全防護(hù)方案附件5變電站監(jiān)控系統(tǒng)安全防護(hù)方案附件6配電監(jiān)控系統(tǒng)安全防護(hù)方案18附件7電力監(jiān)控系統(tǒng)安全防護(hù)評(píng)價(jià)規(guī)范1819電力監(jiān)控系統(tǒng)安全防護(hù)總體方案19電力監(jiān)控系統(tǒng)安全防護(hù)總體方案安全分區(qū)網(wǎng)絡(luò)專用橫向隔離縱向認(rèn)證綜合防護(hù)（國(guó)能安全【2015】36號(hào)文件）安全分區(qū)網(wǎng)絡(luò)專用橫向隔離縱向認(rèn)證綜合防護(hù)2.5綜合防護(hù)2.5綜合防護(hù)綜合防護(hù)是結(jié)合國(guó)家信息安全等級(jí)保護(hù)工作的相關(guān)要求對(duì)電力監(jiān)控系統(tǒng)從主機(jī)、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計(jì)、備份及容災(zāi)等多個(gè)層面進(jìn)行信息安全防護(hù)的過(guò)程。綜合安全防護(hù)綜合安全防護(hù)入侵檢測(cè)主機(jī)與網(wǎng)絡(luò)設(shè)備加固應(yīng)用安全控制安全審計(jì)專用安全產(chǎn)品的管理備份與容災(zāi)惡意代碼防范設(shè)備選型及漏洞整改20電力監(jiān)控系統(tǒng)等級(jí)保護(hù)定級(jí)20電力監(jiān)控系統(tǒng)等級(jí)保護(hù)定級(jí)類別定級(jí)對(duì)象系統(tǒng)級(jí)別省級(jí)以上地級(jí)以下電力監(jiān)控系統(tǒng)能量管理系統(tǒng)（具有SCADA、AGC、AVC等控制功能）43變電站自動(dòng)化系統(tǒng)（含開(kāi)關(guān)站、換流站、集控站）220千伏及以上變電站3級(jí)，以下為2級(jí)火電廠監(jiān)控（含燃?xì)怆姀S）系統(tǒng)DCS（含輔機(jī)控制系統(tǒng)）單機(jī)容量300MW及以上為3級(jí)，以下為2級(jí)水電廠梯級(jí)調(diào)度監(jiān)控系統(tǒng)3核電站監(jiān)控系統(tǒng)DOS(含輔機(jī)控制系統(tǒng))3風(fēng)電場(chǎng)監(jiān)控系統(tǒng)風(fēng)電廠總裝機(jī)容量200MW及以上為3級(jí)，以下為2級(jí)光伏電站監(jiān)控系統(tǒng)光伏電站總裝機(jī)容200MW及以上為3級(jí)，以下為2級(jí)電能量計(jì)量系統(tǒng)32廣域相量測(cè)量系統(tǒng)（WAMS）3無(wú)電網(wǎng)動(dòng)態(tài)預(yù)警系統(tǒng)3無(wú)調(diào)度交易計(jì)劃系統(tǒng)3無(wú)水調(diào)自動(dòng)化系統(tǒng)2調(diào)度管理系統(tǒng)2電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)3221等級(jí)保護(hù)基本要求21等級(jí)保護(hù)基本要求22關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求22關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求信安標(biāo)委召開(kāi)國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》（報(bào)批稿）試點(diǎn)工作啟動(dòng)會(huì)。關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求信安標(biāo)委召開(kāi)國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》（報(bào)批稿）試點(diǎn)工作啟動(dòng)會(huì)。工業(yè)控制系統(tǒng)信息安全防護(hù)指南工業(yè)控制系統(tǒng)信息安全防護(hù)指南工業(yè)控制系統(tǒng)信息安全防護(hù)指南一、安全軟件選擇與管理二、配置和補(bǔ)丁管理工業(yè)控制系統(tǒng)信息安全防護(hù)指南三、邊界安全防護(hù)四、物理和環(huán)境安全防護(hù)五、身份認(rèn)證六、遠(yuǎn)程訪問(wèn)安全七、安全監(jiān)測(cè)和應(yīng)急預(yù)案演練八、資產(chǎn)安全23九、數(shù)據(jù)安全2303火電廠網(wǎng)絡(luò)安全解決方案03設(shè)計(jì)依據(jù) 解決思路 解決方案火電廠電力監(jiān)控系統(tǒng)安全體系建設(shè)思路火電廠電力監(jiān)控系統(tǒng)安全體系建設(shè)思路安全規(guī)劃風(fēng)險(xiǎn)評(píng)估差距分析明確目標(biāo)

安全建設(shè)方案設(shè)計(jì)方案實(shí)施安全運(yùn)營(yíng)日常運(yùn)營(yíng)安全運(yùn)維應(yīng)急演練25不斷改進(jìn)25

安全評(píng)估自行檢查等保測(cè)評(píng)基于“白環(huán)境”的“縱深防御安全防護(hù)技術(shù)體系”基于“白環(huán)境”的“縱深防御安全防護(hù)技術(shù)體系”①?gòu)?qiáng)化安全區(qū)域邊界訪問(wèn)控制能力②提高網(wǎng)絡(luò)內(nèi)、外入侵和惡意代碼防御能力③提高違規(guī)內(nèi)聯(lián)、外聯(lián)檢測(cè)能力電力監(jiān)控系統(tǒng)④提高系統(tǒng)內(nèi)主機(jī)病毒防范能力電力監(jiān)控系統(tǒng)⑤提高主機(jī)身份認(rèn)證能力，采用雙因子認(rèn)證機(jī)制⑥一鍵式安全加固，提高主機(jī)安全基線⑦關(guān)閉不必要的服務(wù)端口，提高入侵防范能力⑧利用訪問(wèn)控制策略，保證業(yè)務(wù)配置文件不被篡改⑨提高日志審計(jì)能力，審計(jì)日志至少保存12個(gè)月⑩加強(qiáng)運(yùn)維人員行為管理?建立統(tǒng)一安全管理中心，強(qiáng)化集中管控能力26?技術(shù)手段輔助業(yè)主完成定期自檢26切入點(diǎn)—全面風(fēng)險(xiǎn)評(píng)估，尋找問(wèn)題癥結(jié)點(diǎn)切入點(diǎn)—全面風(fēng)險(xiǎn)評(píng)估，尋找問(wèn)題癥結(jié)點(diǎn)風(fēng)險(xiǎn)評(píng)估分析是對(duì)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)內(nèi)各資產(chǎn)進(jìn)行安全管理的先決條件，其目的在于識(shí)別和評(píng)估不同用戶所面臨的生產(chǎn)安全風(fēng)險(xiǎn)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。風(fēng)險(xiǎn)分析的典型內(nèi)容：工控系統(tǒng)資產(chǎn)梳理，分析價(jià)值；識(shí)別已有的安全防護(hù)措施；資產(chǎn)脆弱性及面臨的威脅分析；27安全風(fēng)險(xiǎn)綜合分析。271.強(qiáng)化安全區(qū)域邊界訪問(wèn)控制能力1.強(qiáng)化安全區(qū)域邊界訪問(wèn)控制能力師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)隔離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)安全I(xiàn)I區(qū)（SIS）

管理信息大區(qū)

ACL+應(yīng)用級(jí)白名單 1計(jì)算服務(wù)器 操作員站 工

工控協(xié)議合規(guī)性驗(yàn)證 2協(xié)議功能碼、點(diǎn)值控制 3控制邏輯合理性驗(yàn)證 4安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

公用系統(tǒng)操作員站公用系統(tǒng)操作員站工程師站操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)一號(hào)控制系統(tǒng)28工業(yè)防火墻ACL+白名單工業(yè)防火墻ACL+白名單配置ACL訪問(wèn)控制規(guī)則，僅允許業(yè)務(wù)相關(guān)IP通過(guò)。29工控協(xié)議深度解析，形成協(xié)議白名單，保證只有可信任的協(xié)議、指令才可以通過(guò)。29

針對(duì)具體指令的具體值域范圍進(jìn)行保護(hù)。2.提高網(wǎng)絡(luò)內(nèi)、外入侵和惡意代碼防御能力2.提高網(wǎng)絡(luò)內(nèi)、外入侵和惡意代碼防御能力安全I(xiàn)I區(qū)（SIS）安全I(xiàn)I區(qū)（SIS）

管理信息大程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)隔離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)

基于白名單的工業(yè)流監(jiān)測(cè) 1關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)基于流量威脅測(cè) 2對(duì)APT攻擊的實(shí)時(shí)檢測(cè) 3安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

隔離裝置

公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站一號(hào)控制系統(tǒng)30工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)-工業(yè)協(xié)議白名單工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)-工業(yè)協(xié)議白名單3132工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)-值域告警32工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)-值域告警網(wǎng)絡(luò)威脅感知系統(tǒng)（APT）網(wǎng)絡(luò)威脅感知系統(tǒng)（APT）內(nèi)置威脅情報(bào)檢測(cè)，APT情報(bào)檢測(cè)能力，內(nèi)置IOC數(shù)據(jù)庫(kù)覆蓋主流的APT家族，覆蓋家族數(shù)量≥240個(gè)；33網(wǎng)絡(luò)威脅感知系統(tǒng)（APT）網(wǎng)絡(luò)威脅感知系統(tǒng)（APT）采用基因圖譜模糊比對(duì)技術(shù)對(duì)流量中的文件進(jìn)行靜態(tài)檢測(cè)，通過(guò)結(jié)合圖像文理分析技術(shù)與惡意代碼變種檢測(cè)技術(shù)將可疑文件的二進(jìn)制代碼映射為無(wú)法壓縮的灰階圖片，與已有的惡意代碼基因庫(kù)圖片進(jìn)行相似度匹配，根據(jù)相似度判斷是否為威脅變種343.提高違規(guī)內(nèi)聯(lián)、外聯(lián)檢測(cè)能力3.提高違規(guī)內(nèi)聯(lián)、外聯(lián)檢測(cè)能力師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)隔離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)安全I(xiàn)I區(qū)（SIS）

管理信息大區(qū)

交換機(jī)關(guān)閉不必要端口 1計(jì)算服務(wù)器 操作員站 工

進(jìn)行IP/MAC綁定 2工控主機(jī)衛(wèi)士開(kāi)啟非法外聯(lián)策略3安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

隔離裝置

公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站一號(hào)控制系統(tǒng)354.提高系統(tǒng)內(nèi)主機(jī)病毒防范能力4.提高系統(tǒng)內(nèi)主機(jī)病毒防范能力安全I(xiàn)I區(qū)（SIS）安全I(xiàn)I區(qū)（SIS）

管理信息大區(qū)計(jì)算服務(wù)器 操作員站 工程師站

切斷惡意代碼/病毒通過(guò)U盤(pán)擺渡到系統(tǒng)內(nèi)部的途徑打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)12安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

公用系統(tǒng)公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站一號(hào)控制系統(tǒng)

傳統(tǒng)安全解決方案難以及時(shí)更新、打補(bǔ)丁緩沖區(qū)溢出、0day漏洞利用等攻擊方式，傳統(tǒng)殺毒殺毒軟件或?qū)I(yè)務(wù)軟件誤識(shí)為病毒而刪除3637工控主機(jī)衛(wèi)士-病毒防范37工控主機(jī)衛(wèi)士-病毒防范保證只有經(jīng)過(guò)授權(quán)的可執(zhí)行程序才可以執(zhí)行保證只有經(jīng)過(guò)授權(quán)的U盤(pán)才允許使用5.提高主機(jī)身份認(rèn)證能力，采用雙因子認(rèn)證機(jī)制5.提高主機(jī)身份認(rèn)證能力，采用雙因子認(rèn)證機(jī)制安全I(xiàn)I區(qū)（SIS）安全I(xiàn)I區(qū)（SIS）

管理信息大區(qū)計(jì)算服務(wù)器 操作員站 工程師站

靜態(tài)密碼+UKEY 1打印機(jī)鏡像服務(wù)器 SIS服務(wù)器用打印機(jī)鏡像服務(wù)器 SIS服務(wù)器用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)離裝置 隔離裝置 隔離裝二號(hào)機(jī)組口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

公公公用系統(tǒng)隔離裝置操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站 接一號(hào)控制系統(tǒng)386.一鍵式安全加固，提高主機(jī)安全基線6.一鍵式安全加固，提高主機(jī)安全基線管理信息大區(qū)安全I(xiàn)I區(qū)（SIS）安全I(xiàn)I區(qū)（SIS）

計(jì)算服務(wù)器 操作員站 工程

內(nèi)置42條安全基線規(guī)則 1師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)隔離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

隔離裝置

公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站一號(hào)控制系統(tǒng)3940工控主機(jī)衛(wèi)士-主機(jī)加固40工控主機(jī)衛(wèi)士-主機(jī)加固根據(jù)不同加固等級(jí)，一鍵加固7.關(guān)閉不必要的服務(wù)端口，提高入侵防范能力7.關(guān)閉不必要的服務(wù)端口，提高入侵防范能力安全I(xiàn)I區(qū)（SIS）隔離裝置安全I(xiàn)I區(qū)（SIS）

計(jì)算服務(wù)器

內(nèi)置防火墻功能，關(guān)閉不必要端口師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)隔離裝置 隔離裝置 隔離裝二號(hào)機(jī)組接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)管理信息大區(qū)操作員站工程公用系統(tǒng)1加固成本 2安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

隔離裝置操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站一號(hào)控制系統(tǒng)418.利用訪問(wèn)控制策略，保證業(yè)務(wù)配置文件不被篡改8.利用訪問(wèn)控制策略，保證業(yè)務(wù)配置文件不被篡改安全I(xiàn)I區(qū)（SIS）安全I(xiàn)I區(qū)（SIS）

管理信息大區(qū)

自主訪問(wèn)控制 1打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器公用系統(tǒng) 2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī) 接口機(jī)離裝置 隔離裝置 隔離裝二號(hào)機(jī)組口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔二號(hào)控制系統(tǒng) 控系統(tǒng)

基于標(biāo)記的強(qiáng)制訪問(wèn)控制 2安全I(xiàn)區(qū)（DCS)安全I(xiàn)區(qū)（DCS)

公用系統(tǒng)公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站

工程師站 接一號(hào)控制系統(tǒng)429.提高日志審計(jì)能力，審計(jì)日志至少保存12個(gè)月9.提高日志審計(jì)能力，審計(jì)日志至少保存12個(gè)月管理信息大區(qū)隔離裝置計(jì)算服務(wù)器 管理信息大區(qū)隔離裝置計(jì)算服務(wù)器 操作員站 工程師站 打印機(jī)安全 鏡像服務(wù)器 SIS服務(wù)器II區(qū)（SIS）公用系統(tǒng) 2#DCS 輔控接機(jī) 接口機(jī) 接口機(jī) 接口隔離裝置 隔離裝置 隔離裝置 隔一號(hào)機(jī)組 公用系統(tǒng) 二號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī) 操作員站 工程師站 接口機(jī) 操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)安全I(xiàn)區(qū) 一號(hào)控制系統(tǒng) 二號(hào)控制系統(tǒng)（DCS)

管理信息大區(qū)安全I(xiàn)I區(qū)

隔離裝置

范式化多種類設(shè)備（主機(jī)、1工程師站 打印機(jī)工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 輔控系統(tǒng) 統(tǒng)接口機(jī) 接口機(jī)機(jī)隔離裝置 隔離裝裝二號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔輔二號(hào)控制系統(tǒng) 控控系系統(tǒng)統(tǒng)計(jì)算服務(wù)器操作員站計(jì)算服務(wù)器操作員站

一號(hào)機(jī)組

公用系統(tǒng)接口機(jī)公用系統(tǒng)

快速準(zhǔn)確的識(shí)別安全事件，2發(fā)現(xiàn)違規(guī)行為操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站工程師站接口機(jī)安全I(xiàn)區(qū)（DCS)

一號(hào)控制系統(tǒng)安全管理中心43安全管理中心

管理信息大區(qū)

運(yùn)維人員身份授權(quán) 1安全I(xiàn)I區(qū)（SIS）

隔離裝置

計(jì)算服務(wù)器 操作員站

運(yùn)維人員操作授權(quán) 2工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī)隔離裝置 隔離裝二號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔控一號(hào)機(jī)組

公用系統(tǒng)接口機(jī)公用系統(tǒng)二號(hào)控制系統(tǒng) 統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 二號(hào)控制系統(tǒng) 統(tǒng)

操作員站工程師站接口機(jī)安全I(xiàn)區(qū)（DCS)

一號(hào)控制系統(tǒng)安全管理中心44安全運(yùn)維管理系統(tǒng)-統(tǒng)一賬戶管理安全運(yùn)維管理系統(tǒng)-統(tǒng)一賬戶管理45建立統(tǒng)一安全管理中心，強(qiáng)化集中管控能力安全I(xiàn)I區(qū)（SIS）

隔離裝置

安全產(chǎn)品統(tǒng)一管理 1工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī)隔離裝置 隔離裝二號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔控二號(hào)控制系統(tǒng) 系統(tǒng)中心高度可視化 3雙機(jī)熱備，高度可靠 4管理信息大區(qū)管理信息大區(qū)計(jì)算服務(wù)器操作員站公用系統(tǒng)接口機(jī)公用系統(tǒng)打印機(jī) 接口機(jī) 操作員站工程師站接口機(jī)一號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)安全I(xiàn)區(qū)（DCS)

一號(hào)控制系統(tǒng)安全管理4612.技術(shù)手段輔助業(yè)主完成定期自檢12.技術(shù)手段輔助業(yè)主完成定期自檢計(jì)算服務(wù)器操作員站計(jì)算服務(wù)器操作員站

安全管理中心

管理信息大區(qū)

漏洞掃描 1安全I(xiàn)I區(qū)（SIS）

報(bào)告輸出 2工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 工程師站 打印機(jī)鏡像服務(wù)器 SIS服務(wù)器2#DCS 輔控系統(tǒng)接口機(jī) 接口機(jī)隔離裝置 隔離裝二號(hào)機(jī)組操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口機(jī)輔控二號(hào)控制系統(tǒng) 系統(tǒng)一號(hào)機(jī)組

公用系統(tǒng)接口機(jī)公用系統(tǒng)操作員站工程師站歷史數(shù)據(jù)庫(kù)打印機(jī) 接口

操作員站工程師站接口機(jī)安全I(xiàn)區(qū)（DCS)

一號(hào)控制系統(tǒng)47圖例工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)統(tǒng)一安全管理平臺(tái)工業(yè)防火墻圖例工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)統(tǒng)一安全管理平臺(tái)工業(yè)防火墻工控漏洞掃描平臺(tái)網(wǎng)絡(luò)威脅感知系統(tǒng)安全運(yùn)維管理系統(tǒng)工控主機(jī)衛(wèi)士安全管理主機(jī)4849區(qū)域邊界通信網(wǎng)絡(luò)計(jì)算環(huán)境49區(qū)域邊界通信網(wǎng)絡(luò)計(jì)算環(huán)境生產(chǎn)區(qū)探針探針探針統(tǒng)一安全管理平臺(tái)廠級(jí)統(tǒng)一安全運(yùn)營(yíng)中心資產(chǎn)可視號(hào)，自動(dòng)識(shí)別網(wǎng)絡(luò)拓?fù)浠w驗(yàn)。威脅可視關(guān)聯(lián)分析，自動(dòng)發(fā)現(xiàn)攻擊路徑。合規(guī)評(píng)估將合規(guī)評(píng)估量化分析，提供企業(yè)集團(tuán)量化的健康指數(shù)。廠級(jí)統(tǒng)一安全運(yùn)營(yíng)中心安全管理制度完善安全管理制度完善全工作的順利開(kāi)展；建立企業(yè)自身的工控網(wǎng)絡(luò)安全制度與標(biāo)準(zhǔn)，需要企業(yè)業(yè)務(wù)主管部門(mén)、安全管理部門(mén)與我司共同配合完成，在滿足國(guó)家等級(jí)保護(hù)相關(guān)要求基礎(chǔ)上，能夠與企業(yè)自身生產(chǎn)特點(diǎn)相融合。規(guī)定、手冊(cè)1一級(jí)規(guī)定、手冊(cè)1一級(jí)文件二級(jí)文件三級(jí)文件管理辦法2管理辦法250執(zhí)行模板350執(zhí)行模板3管理要求安全管理體系完善管理要求安全管理體系完善安全管理制度安全策略管理制度制定和發(fā)布評(píng)審和修訂

安全管理機(jī)構(gòu)崗位設(shè)置人員配置授權(quán)和審批溝通和合作審核和檢查制度

安全管理人員人員錄用人員離崗安全意識(shí)和培訓(xùn)外部訪問(wèn)人員安全管理人員安全運(yùn)維管理

安全建設(shè)管理定級(jí)和備案自行軟件開(kāi)發(fā)外包軟件開(kāi)發(fā)工程實(shí)施測(cè)試驗(yàn)收系統(tǒng)交付等級(jí)測(cè)評(píng)服務(wù)商選擇

安全運(yùn)維管理環(huán)境管理資產(chǎn)管理介質(zhì)管理設(shè)備維護(hù)管理網(wǎng)絡(luò)安全管理惡意代碼防范管理密碼管理變更管理51安全事件處理應(yīng)急預(yù)案管理外包運(yùn)維管理5104解決方案合規(guī)性0453國(guó)能安全[2015]36號(hào)合規(guī)性53國(guó)能安全[2015]36號(hào)合規(guī)性目錄發(fā)電廠具體要求解決方案對(duì)應(yīng)2.基本原則/2.1安全分區(qū)原則上將發(fā)電廠基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對(duì)一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)(安全區(qū)I)及非控制區(qū)(安全區(qū)II/2.2網(wǎng)絡(luò)專用區(qū)。/墻的功能、性能、電磁兼容性必須經(jīng)過(guò)國(guó)家相關(guān)部門(mén)的認(rèn)證和測(cè)試。電力專用單向隔離裝置工業(yè)防火墻2.3橫向隔離2.4縱向認(rèn)證證裝置，實(shí)現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問(wèn)控制。電力專用縱向加密認(rèn)證裝置意代碼防范、應(yīng)用安全控制、審計(jì)、備份及容災(zāi)等多個(gè)層面進(jìn)行信息安全防護(hù)。工控主機(jī)衛(wèi)士統(tǒng)一安全管理平臺(tái)工業(yè)防火墻網(wǎng)絡(luò)威脅感知系統(tǒng)2.5綜合防護(hù)國(guó)能安全[2015]36號(hào)合規(guī)性國(guó)能安全[2015]36號(hào)合規(guī)性目錄發(fā)電廠具體要求解決方案對(duì)應(yīng)3.安全區(qū)的劃分/4.邊界安全防護(hù)4.1橫向邊界防護(hù)4.1.1生產(chǎn)控制大區(qū)與管理信息大區(qū)邊界安全防護(hù)。發(fā)電廠生產(chǎn)控制大區(qū)與管理信息大區(qū)之間通信應(yīng)當(dāng)部署電力專用橫向單向安全隔離裝置。電力專用單向隔離裝置4.1.2控制區(qū)(安全區(qū)I)與非控制區(qū)(安全區(qū)II)邊界安全防護(hù)安全區(qū)I與安全區(qū)II設(shè)備，實(shí)現(xiàn)邏輯隔離、報(bào)文過(guò)濾、訪問(wèn)控制等功能。所選設(shè)備的功能、性能、電磁兼容性必須經(jīng)過(guò)國(guó)家相關(guān)部門(mén)的認(rèn)證和測(cè)試。發(fā)電廠(DCS)系統(tǒng)部署在安全區(qū)I，與運(yùn)行在安全區(qū)II的發(fā)電廠廠級(jí)監(jiān)控系統(tǒng)(SIS)優(yōu)化功能進(jìn)行信息交換應(yīng)當(dāng)采用邏輯隔離的安全防護(hù)措施。工業(yè)防火墻4.1.3系統(tǒng)間安全防護(hù)發(fā)電廠內(nèi)同屬于安全區(qū)I的各機(jī)組監(jiān)控系統(tǒng)之間、機(jī)組監(jiān)控系統(tǒng)與控制系統(tǒng)之間、同一機(jī)組的不同功能訪問(wèn)控制措施，如防火墻、VLAN等。發(fā)電廠內(nèi)同屬于安全區(qū)II的各系統(tǒng)之間、各不同位置的廠站網(wǎng)絡(luò)之間，根據(jù)需要可以采取一定強(qiáng)度的邏輯訪問(wèn)控制措施，如防火墻、VLAN等。的邏輯訪問(wèn)控制措施，如防火墻、VLAN等。用電力專用橫向單向安全隔離裝置。發(fā)電企業(yè)的市場(chǎng)報(bào)價(jià)終端與同安全區(qū)內(nèi)其它業(yè)務(wù)系統(tǒng)進(jìn)行數(shù)據(jù)交換時(shí)，應(yīng)當(dāng)采取必要的安全措施，以保證敏感數(shù)據(jù)的安全。工業(yè)防火墻電力專用單向隔離裝置4.2縱向邊界防護(hù)發(fā)電廠生產(chǎn)控制大區(qū)系統(tǒng)與調(diào)度端系統(tǒng)通過(guò)電力調(diào)度數(shù)據(jù)網(wǎng)進(jìn)行遠(yuǎn)程通信時(shí)，應(yīng)當(dāng)采用認(rèn)證、加密、訪問(wèn)控制等技術(shù)措施實(shí)現(xiàn)數(shù)據(jù)的遠(yuǎn)方安全傳輸以及縱向邊界的安全防護(hù)。電力專用縱向加密認(rèn)證裝置4.3第三方邊界安全防護(hù)如果發(fā)電廠生產(chǎn)控制大區(qū)中的業(yè)務(wù)系統(tǒng)與環(huán)保、安全等政府部門(mén)進(jìn)行數(shù)據(jù)傳輸，其邊界防護(hù)應(yīng)當(dāng)采用生產(chǎn)控制大區(qū)與管理信息大區(qū)之間的安全防護(hù)措施。電力專用單向隔離裝置管理信息大區(qū)與外部網(wǎng)絡(luò)之間應(yīng)采取防火墻、VPN和租用專線等方式，保證邊界與數(shù)據(jù)傳輸?shù)陌踩?。工業(yè)互聯(lián)防火墻禁止設(shè)備生產(chǎn)廠商或其它外部企業(yè)(單位)遠(yuǎn)程連接發(fā)電廠生產(chǎn)控制大區(qū)中的業(yè)務(wù)系統(tǒng)及設(shè)備。/ 5455國(guó)能安全[2015]36號(hào)合規(guī)性55國(guó)能安全[2015]36號(hào)合規(guī)性目錄發(fā)電廠具體要求解決方案對(duì)應(yīng)5綜合安全防護(hù)5.1入侵檢測(cè)生產(chǎn)控制大區(qū)可以統(tǒng)一部署一套網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，應(yīng)當(dāng)合理設(shè)置檢測(cè)規(guī)則，檢測(cè)發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息流中的入侵行為，分析潛在威脅并進(jìn)行安全審計(jì)。入侵檢測(cè)系統(tǒng)網(wǎng)絡(luò)威脅感知系統(tǒng)5.2主機(jī)與網(wǎng)絡(luò)設(shè)備加固發(fā)電廠廠級(jí)信息監(jiān)控系統(tǒng)等關(guān)鍵應(yīng)用系統(tǒng)的主服務(wù)器，以及網(wǎng)絡(luò)邊界處的通信網(wǎng)關(guān)機(jī)、Web服務(wù)器等，應(yīng)當(dāng)使用安全加固的操作系統(tǒng)。加固方式包括:安全配置、安全補(bǔ)丁、采用專用軟件強(qiáng)化操作系統(tǒng)訪問(wèn)控制能力以及配置安全的應(yīng)用程序，其中配置的更改和補(bǔ)丁的安裝應(yīng)當(dāng)經(jīng)過(guò)測(cè)試。非控制區(qū)的網(wǎng)絡(luò)設(shè)備與安全設(shè)備應(yīng)當(dāng)進(jìn)行身份鑒別、訪問(wèn)權(quán)限控制、會(huì)話控制等安全配置加固?？梢詰?yīng)用電力調(diào)度數(shù)字證書(shū)，在網(wǎng)絡(luò)設(shè)備和安全設(shè)備實(shí)現(xiàn)支持HTTPS的縱向安全Web服務(wù)，能夠?qū)g覽器客戶端訪問(wèn)進(jìn)行身份認(rèn)證及加密傳輸。應(yīng)當(dāng)對(duì)外部存儲(chǔ)器、打印機(jī)等外設(shè)的使用進(jìn)行嚴(yán)格管理。生產(chǎn)控制大區(qū)中除安全接入?yún)^(qū)外，應(yīng)當(dāng)禁止選用具有無(wú)線通信功能的設(shè)備；管理信息大區(qū)業(yè)務(wù)系統(tǒng)使用無(wú)線網(wǎng)絡(luò)傳輸業(yè)務(wù)信息時(shí)，應(yīng)當(dāng)具備接入認(rèn)證、加密等安全機(jī)制。工控主機(jī)衛(wèi)士5.3應(yīng)用安全控制操作進(jìn)行身份認(rèn)證，提供登錄失敗處理功能，根據(jù)身份與權(quán)限進(jìn)行訪問(wèn)控制，并且對(duì)操作行為進(jìn)行安全審計(jì)。對(duì)于發(fā)電廠內(nèi)部遠(yuǎn)程訪問(wèn)業(yè)務(wù)系統(tǒng)的情況，應(yīng)當(dāng)進(jìn)行會(huì)話控制，并采用會(huì)話認(rèn)證、加密與抗抵賴等安全機(jī)制。安全運(yùn)維管理系統(tǒng)5.4安全審計(jì)生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)應(yīng)當(dāng)具備安全審計(jì)功能，能夠?qū)Σ僮飨到y(tǒng)、數(shù)據(jù)庫(kù)、業(yè)務(wù)應(yīng)用的重要操作進(jìn)行記錄、分析，及時(shí)發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。對(duì)于遠(yuǎn)程用戶登錄到本地系統(tǒng)中的操作行為，應(yīng)該進(jìn)行嚴(yán)格的安全審計(jì)。工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)可以采用安全審計(jì)功能，對(duì)網(wǎng)絡(luò)運(yùn)行日志、操作系統(tǒng)運(yùn)行日志、數(shù)據(jù)庫(kù)訪問(wèn)日志、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行日志、安全設(shè)施運(yùn)行日志等進(jìn)行集中收集、自動(dòng)分析。統(tǒng)一安全管理平臺(tái)5.5專用安全產(chǎn)品的管理安全防護(hù)工作中涉及使用橫向單向安全隔離裝置、縱向加密認(rèn)證裝置、防火墻、入侵檢測(cè)系統(tǒng)等專用安全產(chǎn)品的應(yīng)當(dāng)按照國(guó)家有關(guān)要求做好保密工作，禁止關(guān)鍵技術(shù)和設(shè)備的擴(kuò)散。/5.6備用與容災(zāi)應(yīng)當(dāng)定期對(duì)關(guān)鍵業(yè)務(wù)的數(shù)據(jù)進(jìn)行備份，并實(shí)現(xiàn)歷史歸檔數(shù)據(jù)的異地保存。關(guān)鍵主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備或關(guān)鍵部件應(yīng)當(dāng)進(jìn)行相應(yīng)的冗余配置。控制區(qū)的業(yè)務(wù)系統(tǒng)(應(yīng)用)應(yīng)當(dāng)采用冗余方式。/5.7惡意代碼防范應(yīng)當(dāng)及時(shí)更新特征碼，查看查殺記錄。惡意代碼更新文件的安裝應(yīng)當(dāng)經(jīng)過(guò)測(cè)試。禁止生產(chǎn)控制大區(qū)與管理信息大區(qū)共用一套防惡意代碼管理服務(wù)器。工控主機(jī)衛(wèi)士5.8設(shè)備選型及漏洞整改發(fā)電廠電力監(jiān)控系統(tǒng)在設(shè)備選型及配置時(shí)，應(yīng)當(dāng)禁止選用經(jīng)國(guó)家相關(guān)管理部門(mén)檢測(cè)認(rèn)定并經(jīng)國(guó)家能源局通報(bào)存在漏洞和風(fēng)險(xiǎn)的系統(tǒng)及設(shè)備；對(duì)于已經(jīng)投入運(yùn)行的系統(tǒng)及設(shè)備，應(yīng)當(dāng)按照國(guó)家能源局及其派出機(jī)構(gòu)的要求及時(shí)進(jìn)行整改，同時(shí)應(yīng)當(dāng)加強(qiáng)相關(guān)系統(tǒng)及設(shè)備的運(yùn)行管理和安全防護(hù)。生產(chǎn)控制大區(qū)中除安全接入?yún)^(qū)外，應(yīng)當(dāng)禁止選用具有無(wú)線通信功能的設(shè)備。工控漏洞掃描平臺(tái)56等級(jí)保護(hù)2.0-安全通信網(wǎng)絡(luò)56等級(jí)保護(hù)2.0-安全通信網(wǎng)絡(luò)序號(hào)基本要求控制項(xiàng)基本要求控制點(diǎn)方案應(yīng)標(biāo)1安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)a)應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要；——2b)應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要；——3c)應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；——4d)應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段；工業(yè)防火墻5e)應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計(jì)算設(shè)備的硬件冗余，保證系統(tǒng)的可用性?！?a)工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個(gè)區(qū)域，區(qū)域間應(yīng)采用單向的技術(shù)隔離手段；——7b)工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點(diǎn)劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段；工業(yè)防火墻8c)涉及實(shí)時(shí)控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實(shí)現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離?！?通信傳輸a)應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的完整性；——10b)應(yīng)采用密碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的保密性。——11在工業(yè)控制系統(tǒng)內(nèi)使用廣域網(wǎng)進(jìn)行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)采用加密認(rèn)證技術(shù)手段實(shí)現(xiàn)身份認(rèn)證、訪問(wèn)控制和數(shù)據(jù)加密傳輸。——12可信驗(yàn)證可基于可信根對(duì)通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進(jìn)行可信驗(yàn)證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動(dòng)態(tài)可信驗(yàn)證，在檢測(cè)到其可信性受到破壞后進(jìn)行報(bào)警，并將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心。——57等級(jí)保護(hù)2.0-安全區(qū)域邊界57等級(jí)保護(hù)2.0-安全區(qū)域邊界序號(hào)基本要求控制項(xiàng)基本要求控制點(diǎn)方案應(yīng)標(biāo)13邊界防護(hù)a)應(yīng)保證跨越邊界的訪問(wèn)和數(shù)據(jù)流通過(guò)邊界設(shè)備提供的受控接口進(jìn)行通信；工業(yè)防火墻14b)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制；IP/MAC綁定工業(yè)防火墻15c)應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制；工控主機(jī)衛(wèi)士16d)應(yīng)限制無(wú)線網(wǎng)絡(luò)的使用，保證無(wú)線網(wǎng)絡(luò)通過(guò)受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。工業(yè)防火墻17訪問(wèn)控制a)工業(yè)防火墻18b)應(yīng)刪除多余或無(wú)效的訪問(wèn)控制規(guī)則，優(yōu)化訪問(wèn)控制列表，并保證訪問(wèn)控制規(guī)則數(shù)量最小化；工業(yè)防火墻19c)應(yīng)對(duì)源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出；工業(yè)防火墻20d)應(yīng)能根據(jù)會(huì)話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力；工業(yè)防火墻21e)應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實(shí)現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問(wèn)控制。工業(yè)防火墻22a)E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；工業(yè)防火墻23b)應(yīng)在工業(yè)控制系統(tǒng)內(nèi)安全域和安全域之間的邊界防護(hù)機(jī)制失效時(shí)，及時(shí)進(jìn)行報(bào)警。工業(yè)防火墻24入侵防范a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測(cè)、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)網(wǎng)絡(luò)威脅感知系統(tǒng)25b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測(cè)、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為；工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)26c)應(yīng)采取技術(shù)措施對(duì)網(wǎng)絡(luò)行為進(jìn)行分析，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊特別是新型網(wǎng)絡(luò)攻擊行為的分析；網(wǎng)絡(luò)威脅感知系統(tǒng)27d)當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目標(biāo)、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)網(wǎng)絡(luò)威脅感知系統(tǒng)28惡意代碼和垃圾郵件防范a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對(duì)惡意代碼進(jìn)行檢測(cè)和清除，并維護(hù)惡意代碼防護(hù)機(jī)制的升級(jí)和更新；工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)29b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對(duì)垃圾郵件進(jìn)行檢測(cè)和防護(hù)，并維護(hù)垃圾郵件防護(hù)機(jī)制的升級(jí)和更新。工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)30安全審計(jì)a)工業(yè)防火墻工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)31b)審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；32c)應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；統(tǒng)一安全管理平臺(tái)58等級(jí)保護(hù)2.0-安全計(jì)算環(huán)境58等級(jí)保護(hù)2.0-安全計(jì)算環(huán)境序號(hào)基本要求控制項(xiàng)基本要求控制點(diǎn)方案應(yīng)標(biāo)33安全計(jì)算環(huán)境身份鑒別a)應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；工控主機(jī)衛(wèi)士34b)應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施；工控主機(jī)衛(wèi)士35c)當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)；工控主機(jī)衛(wèi)士統(tǒng)一安全管理平臺(tái)36d)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來(lái)實(shí)現(xiàn)。工控主機(jī)衛(wèi)士37訪問(wèn)控制a)應(yīng)對(duì)登錄的用戶分配賬戶和權(quán)限；工控主機(jī)衛(wèi)士38b)應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；工控主機(jī)衛(wèi)士39c)應(yīng)及時(shí)刪除或停用多余的、過(guò)期的賬戶，避免共享賬戶的存在；工控主機(jī)衛(wèi)士40d)應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離；工控主機(jī)衛(wèi)士41e)應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，訪問(wèn)控制策略規(guī)定主體對(duì)客體的訪問(wèn)規(guī)則；工控主機(jī)衛(wèi)士42f)訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶級(jí)或進(jìn)程級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)工控主機(jī)衛(wèi)士43g)應(yīng)對(duì)重要主體和客體設(shè)置安全標(biāo)記，并控制主體對(duì)有安全標(biāo)記信息資源的訪問(wèn)。工控主機(jī)衛(wèi)士44安全審計(jì)a)應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)；工控主機(jī)衛(wèi)士45b)審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；工控主機(jī)衛(wèi)士46c)應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；工控主機(jī)衛(wèi)士日志審計(jì)系統(tǒng)統(tǒng)一安全管理平臺(tái)47d)應(yīng)對(duì)審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷。工控主機(jī)衛(wèi)士48入侵防范a)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；工控主機(jī)衛(wèi)士49b)應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；工控主機(jī)衛(wèi)士50c)應(yīng)通過(guò)設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對(duì)通過(guò)網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制；工控主機(jī)衛(wèi)士51d)應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求；工控主機(jī)衛(wèi)士52e)應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過(guò)充分測(cè)試評(píng)估后，及時(shí)修補(bǔ)漏洞；——53f)應(yīng)能夠檢測(cè)到對(duì)重要節(jié)點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。工控主機(jī)衛(wèi)士59等級(jí)保護(hù)2.0-安全計(jì)算環(huán)境59等級(jí)保護(hù)2.0-安全計(jì)算環(huán)境序號(hào)基本要求控制項(xiàng)基本要求控制點(diǎn)方案應(yīng)標(biāo)54安全計(jì)算環(huán)境惡意代碼防范應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或主動(dòng)免疫可信驗(yàn)證機(jī)制及時(shí)識(shí)別入侵和病毒行為，并將其有效阻斷。工控主機(jī)衛(wèi)士55可信驗(yàn)證——56數(shù)據(jù)完整性a)——57b工控主機(jī)衛(wèi)士58數(shù)據(jù)保密性a)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過(guò)程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等；——59b)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過(guò)程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等?！?0數(shù)據(jù)備份恢復(fù)a)應(yīng)提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能；——61b)應(yīng)提供異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場(chǎng)地；——62c)應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性?！?3剩余信息保護(hù)a)應(yīng)保證鑒別信息所在的存儲(chǔ)空間被釋放或重新分配前得到完全清除；工控主機(jī)衛(wèi)士64b)應(yīng)保證存有敏感數(shù)據(jù)的存儲(chǔ)空間被釋放或重新分配前得到完全清除。工控主機(jī)衛(wèi)士65個(gè)人信息保護(hù)a)應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個(gè)人信息；——66b)應(yīng)禁止未授權(quán)訪問(wèn)和非法使用用戶個(gè)人信息?！?7工控?cái)U(kuò)