2023電力行業(yè)網(wǎng)絡(luò)安全防護

電力行業(yè)網(wǎng)絡(luò)安全防護3月7日，委內(nèi)瑞拉發(fā)生迄今為止最大規(guī)模停電事件，讓這個身處危機之中的國家雪上加霜。千里之堤潰于蟻穴，切莫忽視任何不安全因素的存在。電力基礎(chǔ)設(shè)施薄弱，設(shè)備維護不到位，技術(shù)人員水平低下，工業(yè)控制系統(tǒng)防護不足，都是影響電廠穩(wěn)定工作的巨大隱患，尤其電能關(guān)系著人們生活、生產(chǎn)、醫(yī)療等方方面面，一旦出現(xiàn)問題將會帶來不可估量的損失。古里水電站、變電站以及輸配電線路可能存在的安全問題有：1水電站方面基礎(chǔ)設(shè)施、設(shè)備老化，維護不足；所采用的Win系統(tǒng)存在漏洞、弱密碼，加固不足；ABB系統(tǒng)已發(fā)現(xiàn)的高危漏洞，防護不足：CNVD-2014-02852ABBAC800M報文緩沖區(qū)溢出漏洞CNVD-2014-02853ABBAC800M報文異常取值拒絕服務(wù)漏洞ICSA-10-097-01ABBNETCADOPS幫助系統(tǒng)漏洞廠內(nèi)工業(yè)控制協(xié)議安全防護不足，易受攻擊；沒有對生產(chǎn)網(wǎng)絡(luò)流量進行監(jiān)控和審計，無法及時發(fā)現(xiàn)攻擊行為；沒有采取有力的技術(shù)和管理措施對移動U盤和光盤使用有效控制；委內(nèi)瑞拉政府電力部門運維監(jiān)管不到位；對安全事件的應(yīng)急處置工作重視不足，應(yīng)急預(yù)案針對性、可操作性不足。2變電站方面：各端變電站人員技術(shù)水平低下；電磁防護不足；3輸配電方面：基礎(chǔ)設(shè)施安全保障不到位，導(dǎo)致主線路火災(zāi)發(fā)生時難以控制；主線路沒有容災(zāi)配置，損壞后難以重構(gòu)；水電站無配電措施，停機后黑啟動十分危險。電力是國家的支柱能源和經(jīng)濟命脈，其安全穩(wěn)定運行不僅關(guān)系到國家的經(jīng)濟發(fā)展，而且維系國家安全。隨著電網(wǎng)規(guī)模的逐漸擴大，安全事故的影響范圍越來越大，安全問題越來越突出，電力網(wǎng)絡(luò)安全運行已經(jīng)成為全球的研究熱點。題主并不是電力行業(yè)網(wǎng)絡(luò)安全專家，只是因項目需要接觸到了一些電力行業(yè)安全方面的知識，借著學(xué)習(xí)后的總結(jié)分享出來，每個人在不同時機看的東西不一樣，歡迎指正~現(xiàn)代電網(wǎng)需要采用精妙而復(fù)雜的手段來平衡社會對電力的需求和發(fā)電廠的產(chǎn)能。電網(wǎng)由各個部分協(xié)同運行，通過輸電線路輸送電流，使不同電機發(fā)出的交流電保持相位同步，并確保所有設(shè)備不會出現(xiàn)過載。電網(wǎng)中的任何一個部分都可能被黑客盯上 力的MIS系統(tǒng)、電力營銷系統(tǒng)、電能電量計費系統(tǒng)、SAP系統(tǒng)、電力ＩＳＰ業(yè)務(wù)、經(jīng)營財務(wù)系統(tǒng)、人力資源系統(tǒng)等，可以說目前的電力資源的整合已經(jīng)完全依賴計算機信息系統(tǒng)來管理了。因此在加強信息系統(tǒng)自身的穩(wěn)定性同時，也要防范利用網(wǎng)絡(luò)系統(tǒng)漏洞進行攻擊、通過電子郵件進行攻擊解密攻擊、后門軟件攻擊、拒絕服務(wù)攻擊等網(wǎng)絡(luò)上帶來諸多安全問題。電網(wǎng)網(wǎng)絡(luò)中容易出問題的環(huán)節(jié)發(fā)電廠：進入電網(wǎng)的電流，只要頻率符合其要求數(shù)值，在進入電網(wǎng)時與電網(wǎng)其他部分的節(jié)奏完全同步即可。病毒可以向發(fā)電機發(fā)出指令，誘使它們輸出的電流與電網(wǎng)其余部分的電流差半拍。這可以比作高速行駛的汽車突然掛了倒檔，必然會使變速箱報廢，同樣，發(fā)電機也會變成冒著煙的一堆廢銅爛鐵。變電站：發(fā)電站發(fā)出的電具有很高的電壓，因為電壓越高，在輸電過程中因電阻發(fā)熱造成的損耗就越少。第一次壓降是在變電站進行的。許多老式變電站使用的撥號的調(diào)制解調(diào)器，操作人員通過撥號進入系統(tǒng)，從而進行維護操作，但病毒也可利用這些裝置潛入系統(tǒng)，篡改關(guān)鍵設(shè)置。黑客早在很久前就發(fā)明了撥號程序，可以撥打一部交換機系統(tǒng)內(nèi)的所有電話 號碼，并記下調(diào)制解調(diào)器對呼叫有回應(yīng)的號碼。調(diào)制解調(diào)器在回應(yīng)時通常會發(fā)出一條獨有的信息，這條信息很可能會暴露斷路器的功能。此后黑客可以改動設(shè)備配置，使系統(tǒng)在遇到某些本來會導(dǎo)致斷路器立刻跳閘以保護設(shè)備的危險情況時毫無反應(yīng)，這將造成事故和不可挽回的損失。 1/7配電所：配電所是電流進入家庭或單位前的最后一站，它有時需要把來自不同電站的電力匯合起來，通過數(shù)十條乃至數(shù)百條較小的線路發(fā)送出去。新式配電所多裝備有無線通信設(shè)備，通過無線電信號或Wi-Fi來通信。黑客可以在配電所外攔截信息，并模擬合法指令進行破壞活動。信息連接：控制站必須實時掌握整個發(fā)電、供電流程中的所有最新信息，為技術(shù)人員作出明智決策提供參考。黑客在潛入數(shù)以千計的普通電腦，并操縱它們形成一個任憑驅(qū)使的“僵尸網(wǎng)絡(luò)”后，便可指揮電腦發(fā)出信息破壞網(wǎng)絡(luò)通信。而控制室的操作人員接收到的也許是早已過時的信息，并根據(jù)它來作決策，這類似根據(jù)10秒鐘以前的路況來駕駛汽車一樣，不僅丟失了信息的時效性，且已身處危險之中。電網(wǎng)的安全防護微軟公司一旦發(fā)現(xiàn)其推出的操作系統(tǒng)存在某個安全隱患，通常會發(fā)布安全補丁，但對電網(wǎng)而言并非那么簡單。電網(wǎng)所用的軟硬件都是現(xiàn)成的產(chǎn)品，但電網(wǎng)的相關(guān)人員不能僅在問題出現(xiàn)時給有漏洞的軟件打個補丁就了事，電網(wǎng)控制系統(tǒng)也不可能每周停機幾小時來檢修，它必須一直保持運轉(zhuǎn)。面對這樣的現(xiàn)實威脅，當然不能坐以待斃，最常見的保護策略就是打造電子安全圍墻，即保證網(wǎng)絡(luò)安全的馬奇諾防線。第一道防線是防火墻，所有電子信息進出系統(tǒng)時必須經(jīng)過防火墻。且每條消息都有一個標題，說明它來自何方，發(fā)往哪里，用什么協(xié)議來解讀信息等。防火墻根據(jù)這些資料來判斷應(yīng)該放行或攔截。而操作維護人員的責(zé)任之一就是掌握防火墻配置文件，確保防火墻配置得當，防止任何有害信息隨意進出，并嘗試手動清理病毒可能突破防火墻的途徑。電力網(wǎng)絡(luò)系統(tǒng)中的安全防護主要包括兩方面：一是網(wǎng)絡(luò)系統(tǒng)中存儲和傳輸?shù)男畔?shù)據(jù)；二是網(wǎng)絡(luò)系統(tǒng)中的各類設(shè)備。這關(guān)系到生產(chǎn)、經(jīng)營業(yè)務(wù)的正常運行，同時防止信息數(shù)據(jù)被非授權(quán)訪問者的竊取、篡改和破壞。電力系統(tǒng)網(wǎng)絡(luò)主要包括各類服務(wù)器、路由器及交換機系統(tǒng)。在服務(wù)器上有操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和其他應(yīng)用系統(tǒng)。這些系統(tǒng)都或多或少存在"后門"和漏洞，都是安全隱患，一旦被利用并攻擊，將帶來不可估量的損失。比如網(wǎng)絡(luò)通訊的TCP/IP協(xié)議缺乏相應(yīng)的安全機制，其中某些協(xié)議存在安全漏洞，黑客可以利用這些安全漏洞直接攻擊這些設(shè)備，修改配置，影響網(wǎng)絡(luò)的正常運行，或使網(wǎng)絡(luò)中斷，并以這些設(shè)備為跳板，繼續(xù)攻擊內(nèi)部網(wǎng)絡(luò)資源。對各類操作系統(tǒng)和數(shù)據(jù)庫而言，存在大量已知和未知的漏洞，一些國際上的安全組織已經(jīng)發(fā)布了大量的安全漏洞，其中一些漏洞可以導(dǎo)致入侵者獲得管理員的權(quán)限，而另一些漏洞則可以被用來實施拒絕服務(wù)攻擊。加強安全防護管理電力系統(tǒng)在網(wǎng)絡(luò)信息安全方面應(yīng)該加強網(wǎng)絡(luò)信息安全防護管理，防護管理主要表現(xiàn)為（1）密碼管理。對不同級別的機密信息設(shè)置不同的密碼，同時應(yīng)該避免出現(xiàn)密碼相同、密碼簡單或沒有密碼的現(xiàn)象。機密信息的密碼應(yīng)該及時更換，不能至始至終使用一個密碼，特別是在相關(guān)信息管理人員離職之后，及時更換密碼。（2）數(shù)據(jù)管理。在電力系統(tǒng)信息運行過程中，應(yīng)該對信息的相關(guān)數(shù)據(jù)進行管理，主要是保證數(shù)據(jù)的完整性，信息工作人員及時對信息進行備份，并且備份信息不能再統(tǒng)一系統(tǒng)中存放，應(yīng)該分開保存，避免由于病毒的侵害導(dǎo)致信息癱瘓。建立信息安全體系在電力系統(tǒng)的信息安全管理過程中，電力系統(tǒng)管理部門應(yīng)該建立信息安全體系，信息安全體系應(yīng)該明確信息安全的分工工作，細化工作步驟，要求員工在具體的操作過程中嚴格按照信息安全體系進行相關(guān)的工作。同時，電力系統(tǒng)應(yīng)該建立專業(yè)的信息安全部門，保護網(wǎng)絡(luò)信息安全，只有建立專業(yè)的部門才能對網(wǎng)絡(luò)信息安全進行實時監(jiān)督，及時發(fā)現(xiàn)網(wǎng)絡(luò)信息中的安全問題，分析產(chǎn)生問題的原因，采取最佳方式解決問題。電力系統(tǒng)應(yīng)該對網(wǎng)絡(luò)信息安全管理人員進行培訓(xùn)，進而提高工作人員的安全意識，工作人員不僅要參加培訓(xùn)，更要合理利用時間學(xué)習(xí)電力系統(tǒng)網(wǎng)絡(luò)信息安全方面的知識，為網(wǎng)絡(luò)信息安全提供保障。數(shù)據(jù)傳輸安全防護數(shù)據(jù)傳輸安全要求保護網(wǎng)絡(luò)上被傳輸?shù)男畔?，以防止被動地和主動地侵犯。主要是通過文件加密技術(shù)和電子簽章兩種方式。網(wǎng)絡(luò)上的加密可以分為三層：第一層是數(shù)據(jù)鏈路層加密，即將數(shù)據(jù)在線路傳輸前后分別對其加密和解密，這樣可以減少在傳輸線路 上被竊取的危險；第二層是對傳輸層的加密，使數(shù)據(jù)在網(wǎng)絡(luò)傳輸期間保持加密狀態(tài)；第三層使應(yīng)用層上的加密，讓網(wǎng)絡(luò)應(yīng)用程序?qū)?運用防火墻技術(shù)電力系統(tǒng)在防護網(wǎng)絡(luò)信息安全過程中應(yīng)該利用防火墻技術(shù)，保護網(wǎng)絡(luò)信息安全。防火墻技術(shù)運用的主要作用是攔截網(wǎng)絡(luò)病毒，阻止網(wǎng)絡(luò)黑客的入侵。在電力系統(tǒng)中運用防火墻技術(shù)一定程度上保護了電力系統(tǒng)中的網(wǎng)絡(luò)信息安全。電力系統(tǒng)可以利用防火墻技術(shù)中的殺毒軟件，及時檢查網(wǎng)絡(luò)信息中存在的病毒，能夠發(fā)現(xiàn)網(wǎng)絡(luò)信息安全隱患。但在殺毒軟件應(yīng)用過程中，應(yīng)該注意及時對殺毒軟件進行更新，在更新之前對安全信息進行備份，以免由于系統(tǒng)的更新造成信息的丟失或缺失。加強訪問控制管理訪問控制識別并驗證用戶，將用戶限制在已授權(quán)的活動和資源范圍內(nèi)，這是訪問控制安全機制應(yīng)該實現(xiàn)的基本功能，訪問控制安全機制可以在網(wǎng)絡(luò)入口處對惡意訪問用戶進行甄別和過濾，在極大程度上保證了網(wǎng)絡(luò)訪問用戶的可靠性。訪問控制的實現(xiàn)首先是要考慮對合法用戶進行驗證，然后對控制策略的選用于管理，最后要對沒有非法用戶或者是越權(quán)操作進行管理，所以，訪問控制包括認證、控制策略實現(xiàn)和審計三方面的內(nèi)容。目前主流的控制技術(shù)有可以基于角色的訪問控制技術(shù)（Role-basedAccess,RBAC）,基于任務(wù)的訪問控制模型（Task-basedAccessControlModel,TBACModel），基于對象的訪問控制模型（Object-BasedAccessControlModel）。終端病毒的防護來自網(wǎng)絡(luò)威脅還有很重要的一點是病毒的危害。病毒本身就是計算機程序，但是它確用來破壞和干擾計算機系統(tǒng)或網(wǎng)絡(luò)的正常使用，通過編寫所謂的惡意代碼，來控制或者偷窺計算機資源或使其整個網(wǎng)絡(luò)癱瘓。計算機病毒可謂是防不勝防，總結(jié)了病毒的傳播途徑主要是通過以下幾種方式1通過光盤、軟盤傳播2通過移動存儲介質(zhì)傳播3通過網(wǎng)絡(luò)傳播。所以我們通過安裝防病毒軟件symantec并跟新最新的病毒庫，實時監(jiān)控病毒，一經(jīng)發(fā)現(xiàn)馬上處理。運用防護檢測技術(shù)區(qū)域隔離：通過工控防火墻能夠過濾兩個區(qū)域網(wǎng)絡(luò)間的通信。這樣意味著網(wǎng)絡(luò)故障會被控制在最初發(fā)生的區(qū)域內(nèi)，而不會影響到其它部分；深度檢查：面向應(yīng)用層對特有的工業(yè)通訊協(xié)議進行內(nèi)容深度檢查，告別病毒庫升級缺陷；通信管控：通信規(guī)則是可以通過中央管理平臺進行在線組態(tài)和測試的；主機安全防護：安裝了主機安全防護系統(tǒng)的電腦在面對自身與外界的安全威脅有了更深的防護級別，深度執(zhí)行白名單數(shù)據(jù)庫的數(shù)據(jù)運行；數(shù)據(jù)及日志審計：完善的安全審計平臺，對網(wǎng)絡(luò)運行日志、操作系統(tǒng)運行日志、安全設(shè)施運行日志等進行集中收集、自動分析，及時發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為；實時報警：所有部署的防火墻都能由管理平臺統(tǒng)一進行實時監(jiān)控，任何非法的（沒有被組態(tài)允許的）訪問，都會在管理平臺產(chǎn)生實時報警信息，從而故障問題會在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決。電力行業(yè)在安全方面是考慮地比較早的，形成了“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”的總體原則《電力二次系統(tǒng)安全防護總體方案》《電力二次系統(tǒng)安全防護總體方案》將電廠的網(wǎng)絡(luò)拓撲繪制如下：3/7原則上劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)。生產(chǎn)控制大區(qū)可以分為控制區(qū)（又稱安全區(qū)Ⅰ）和非控制區(qū)（又稱安全區(qū)Ⅱ）。生產(chǎn)控制大區(qū)的安全區(qū)劃分控制區(qū)（安全區(qū)Ⅰ）控制區(qū)中的業(yè)務(wù)系統(tǒng)或功能模塊（或子系統(tǒng)）的典型特征為；是電力生產(chǎn)的重要環(huán)節(jié)，直接實現(xiàn)對電力一次系統(tǒng)的實時監(jiān)控，縱向使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ猛ǖ?，是安全防護的重點與核心。典型業(yè)務(wù)系統(tǒng)包括電力數(shù)據(jù)采集和監(jiān)控系統(tǒng)、能量管理系統(tǒng)、廣域相量測量系統(tǒng)、配電網(wǎng)自動化系統(tǒng)、變電站自動化系統(tǒng)、發(fā)電廠自動控制系統(tǒng)等，其主要使用者為調(diào)度員和運行操作人員，數(shù)據(jù)傳輸實時性為毫秒級或秒級，其數(shù)據(jù)通信使用電力調(diào)度數(shù)據(jù)網(wǎng)的實時子網(wǎng)或?qū)Ｓ猛ǖ肋M行傳輸。該區(qū)內(nèi)還包括采用專用通道的控制系統(tǒng)，如：繼電保護、安全自動控制系統(tǒng)、低頻（或低壓）自動減負荷系統(tǒng)、負荷管理系統(tǒng)等，這類系統(tǒng)對數(shù)據(jù)傳輸?shù)膶崟r性要求為毫秒級或秒級，其中負荷管理系統(tǒng)為分鐘級。非控制區(qū)（安全區(qū)Ⅱ）非控制區(qū)中的業(yè)務(wù)系統(tǒng)或其功能模塊的典型特征為：是電力生產(chǎn)的必要環(huán)節(jié)，在線運行但不具備控制功能，使用電力調(diào)度數(shù)據(jù)網(wǎng)級，其數(shù)據(jù)通信使用電力調(diào)度數(shù)據(jù)網(wǎng)的非實時子網(wǎng)。管理信息大區(qū)的安全區(qū)劃分管理信息大區(qū)是指生產(chǎn)控制大區(qū)以外的電力企業(yè)管理業(yè)務(wù)系統(tǒng)的集合。電力企業(yè)可根據(jù)具體情況劃分安全區(qū)，但不應(yīng)影響生產(chǎn)控制大區(qū)的安全。根據(jù)《電力二次系統(tǒng)安全防護總體方案》對各大區(qū)的防護要求：生產(chǎn)控制大區(qū)內(nèi)部安全防護要求禁止生產(chǎn)控制大區(qū)內(nèi)部的E-Mail服務(wù)，禁止控制區(qū)內(nèi)通用的WEB服務(wù)。允許非控制區(qū)內(nèi)部業(yè)務(wù)系統(tǒng)采用B/S結(jié)構(gòu)，但僅限于業(yè)務(wù)系統(tǒng)內(nèi)部使用。允許提供縱向安全WEB固且支持HTTPS的安全WEB服務(wù)器和WEB瀏覽工作站。生產(chǎn)控制大區(qū)重要業(yè)務(wù)（如SCADA/AGC、電力市場交易等）的遠程通信必須采用加密認證機制，對已有系統(tǒng)應(yīng)逐步改造。生產(chǎn)控制大區(qū)內(nèi)的業(yè)務(wù)系統(tǒng)間應(yīng)該采取VLAN和訪問控制等安全措施，限制系統(tǒng)間的直接互通。訪問控制等安全防護措施。生產(chǎn)控制大區(qū)邊界上可以部署入侵檢測系統(tǒng)IDS。生產(chǎn)控制大區(qū)應(yīng)部署安全審計措施，把安全審計與安全區(qū)網(wǎng)絡(luò)管理系統(tǒng)、綜合告警系統(tǒng)、IDS錄認證和授權(quán)、應(yīng)用訪問權(quán)限相結(jié)合。生產(chǎn)控制大區(qū)應(yīng)該統(tǒng)一部署惡意代碼防護系統(tǒng)，采取防范惡意代碼措施。病毒庫、木馬庫以及IDS規(guī)則庫的更新應(yīng)該離線進 電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當采用以下安全防護措施電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當采用以下安全防護措施4/7網(wǎng)絡(luò)邊界防護應(yīng)當采用嚴格的接入控制措施，保證業(yè)務(wù)系統(tǒng)接入的可信性。經(jīng)過授權(quán)的節(jié)點允許接入電力調(diào)度數(shù)據(jù)網(wǎng)，進行廣域網(wǎng)通信。數(shù)據(jù)網(wǎng)絡(luò)與業(yè)務(wù)系統(tǒng)邊界采用必要的訪問控制措施，對通信方式與通信業(yè)務(wù)類型進行控制；在生產(chǎn)控制大區(qū)與電力調(diào)度數(shù)據(jù)網(wǎng)的縱向交接處應(yīng)當采取相應(yīng)的安全隔離、加密、認證等防護措施。對于實時控制等重要業(yè)務(wù)，應(yīng)該通過縱向加密認證裝置或加密認證網(wǎng)關(guān)接入調(diào)度數(shù)據(jù)網(wǎng)。網(wǎng)絡(luò)設(shè)備的安全配置網(wǎng)絡(luò)設(shè)備的安全配置包括關(guān)閉或限定網(wǎng)絡(luò)服務(wù)、避免使用默認路由、關(guān)閉網(wǎng)絡(luò)邊界OSPF路由功能、采用安全增強的SNMPv2上版本的網(wǎng)管協(xié)議、設(shè)置受信任的網(wǎng)絡(luò)地址范圍、記錄設(shè)備日志、設(shè)置高強度的密碼、開啟訪問控制列表、封閉空閑的網(wǎng)絡(luò)端口等。數(shù)據(jù)網(wǎng)絡(luò)安全的分層分區(qū)設(shè)置電力調(diào)度數(shù)據(jù)網(wǎng)采用安全分層分區(qū)設(shè)置的原則。省級以上調(diào)度中心和網(wǎng)調(diào)以上直調(diào)廠站節(jié)點構(gòu)成調(diào)度數(shù)據(jù)網(wǎng)骨干網(wǎng)（簡稱骨干網(wǎng)）。省調(diào)、地調(diào)和縣調(diào)及省、地直調(diào)廠站節(jié)點構(gòu)成省級調(diào)度數(shù)據(jù)網(wǎng)（簡稱省網(wǎng)）。縣調(diào)和配網(wǎng)內(nèi)部生產(chǎn)控制大區(qū)專用節(jié)點構(gòu)成縣級專用數(shù)據(jù)網(wǎng)?？h調(diào)自動化、配網(wǎng)自動化、負荷管理系統(tǒng)與被控對象之間的數(shù)據(jù)通信可采用專用數(shù)據(jù)網(wǎng)絡(luò)，不具備專網(wǎng)條件的也可采用公用通信網(wǎng)絡(luò)（不包括因特網(wǎng)），且必須采取安全防護措施。各層面的數(shù)據(jù)網(wǎng)絡(luò)之間應(yīng)該通過路由限制措施進行安全隔離。當縣調(diào)或配調(diào)內(nèi)部采用公用通信網(wǎng)時，禁止與調(diào)度數(shù)據(jù)網(wǎng)互聯(lián)。保證網(wǎng)絡(luò)故障和安全事件限制在局部區(qū)域之內(nèi)。企業(yè)內(nèi)部管理信息大區(qū)縱向互聯(lián)采用電力企業(yè)數(shù)據(jù)網(wǎng)或互聯(lián)網(wǎng)，電力企業(yè)數(shù)據(jù)網(wǎng)為電力企業(yè)內(nèi)網(wǎng)。橫向隔離橫向隔離是電力二次安全防護體系的橫向防線。采用不同強度的安全設(shè)備隔離各安全區(qū)，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須設(shè)置經(jīng)國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度應(yīng)接近或達到物理隔離。電力專用橫向單向安全隔離裝置作為生產(chǎn)控制大區(qū)與管理信息大區(qū)之間的必備邊界防護措施，是橫向防護的關(guān)鍵設(shè)備。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、防火墻或者相當功能的設(shè)施，實現(xiàn)邏輯隔離。按照數(shù)據(jù)通信方向電力專用橫向單向安全隔離裝置分為正向型和反向型。正向安全隔離裝置用于生產(chǎn)控制大區(qū)到管理信息大區(qū)的非網(wǎng)絡(luò)方式的單向數(shù)據(jù)傳輸。反向安全隔離裝置用于從管理信息大區(qū)到生產(chǎn)控制大區(qū)單向數(shù)據(jù)傳輸，是管理信息大區(qū)到生產(chǎn)控制大區(qū)的唯一數(shù)據(jù)傳輸途徑。反向安全隔離裝置集中接收管理信息大區(qū)發(fā)向生產(chǎn)控制大區(qū)的數(shù)據(jù)，進行簽名驗證、內(nèi)容過濾、有效性檢查等處理后，轉(zhuǎn)發(fā)給生產(chǎn)控制大區(qū)內(nèi)部的接收程序。專用橫向單向隔離裝置應(yīng)該滿足實時性、可靠性和傳輸流量等方面的要求。嚴格禁止E-Mail、WEB、Telnet、Rlogin、FTP等安全風(fēng)險高的通用網(wǎng)絡(luò)服務(wù)和以B/S