巨型電站網絡安全防護策略研究

劉 準，楊廷勇，何宏江，崔 敏

（白鶴灘電廠籌建處，四川 涼山615400）

近年來國際上網絡安全形勢異常嚴峻，不安全事件頻發，相繼發生了烏克蘭大面積停電事件、亞馬遜18億用戶信息泄漏、俄羅斯50多家大型企業遭到未知攻擊者勒索等網絡安全事件。網絡安全對于個人、企業、國家都有著深遠影響。在互聯網時代高速發展的今天，網絡給我們帶來了很多便利，使我們的生活更加豐富、便捷，工作效率更高、更好。同時也使我們受到日益嚴重的網絡安全威脅，如病毒干擾、黑客入侵等，我們要認真對待和妥善解決網絡安全問題。電力作為重要基礎設施領域，已被視為“網絡戰”首選攻擊目標，電力監控系統的網絡安全形勢異常嚴峻。

根據國家發改委[2014]14號文《電力監控系統安全防護規定》《發電廠監控系統安全防護方案》（國能安全[2015]36號）和《電力行業信息系統安全等級保護基本要求》的規定，巨型電站自動化系統安全防護應包含以下方面：主機安全、區域邊界防護、應用系統安全、通信網絡安全等。

1 巨型電站網絡安全防護策略研究

巨型電站監控系統網絡應具有較強的安全防護功能，能有效防范黑客攻擊、防止用戶的非法訪問和操作。巨型電站安全防護的具體措施包括：主機與網絡設備安全加固、安全分區、網絡專用、橫向隔離、縱向認證、入侵監測、內網安全審計等綜合安全防護[3]。

1.1 主機加固策略研究

根據安防整改要求，主機與非控制網網絡設備應實現國產化，以及安裝國產操作系統，并通過主機安全加固措施，滿足對巨型電站監控系統生產控制大區服務器和通信網關機的加固要求，消除或降低安全隱患，避免安全風險發生。

1.1.1 Windows操作系統安全加固（表1）。

1.1.2 solaris操作系統安全加固（表2）。

1.1.3 備的安全防護基 網絡設備安全加固

網絡設線配置及檢測應滿足帳號口令、認證授權、日志安全、協議安全和其他安全等5個方面的要求，具體配置操作及檢測方法應結合具體設備。

1.2 安全分區

根據《電力監控系統安全防護規定》要求，巨型電站自動化系統采用分區防護，系統按照安全要求和業務特征劃分為生產控制大區和管理信息大區，生產控制大區又進一步分為控制區（安全I區）和非控制區（安全II區）[1]。安全I區中的自動化系統包括：計算機監控系統、同步相量測量（PMU）系統、安全穩定控制系統、保護信息管理系統、火災報警與聯動控制系統等。置于安全II區中的自動化系統包括：故障錄波系統、電能計量系統、圖像監控系統等。置于管理信息大區的自動化系統包括：生產信息查詢平臺、電站主設備狀態在線監測及趨勢分析系統等。

表1 Windows操作系統安全加固

表2 solaris操作系統安全加固

1.3 邊界防護

巨型電站的各業務系統或其功能模塊間應采取有效的邊界防護措施。邊界防護措施包括橫向隔離、縱向認證、邏輯隔離等。

1.3.1 橫向隔離

橫向隔離是巨型電站安全防護體系的橫向防線，是橫向防護的關鍵設備，可以實現2個不同安全區之間的非網絡方式的安全數據交換，并保證應用數據的單向傳輸，其中正向安全隔離裝置用于從安全I/II區到III區單向的數據傳遞，反之，反向安全隔離裝置是從安全III區到I/II區單向的數據傳遞。上述安全隔離裝置需經國家指定的相關部門檢測并認證，其隔離強度應當達到或者接近物理隔離[2]。巨型電站監控系統在以下部位設置正向橫向隔離裝置：計算機監控系統主干網與生產信息發布網接口處（2套）、計算機監控系統主干網與在線監測及趨勢分析系統電站中心層接口處（2套）、在線監測及趨勢分析系統廠站匯聚層與電站中心層間（2套）、安全I區和安全III區之間（1套）。

1.3.2 縱向認證

縱向認證是巨型電站監控系統安全防護體系的縱向防線，其主要實現數據的遠距離安全傳輸和縱向邊界防護，采用的技術主要包括加密、認證、訪問控制等。巨型電站監控系統在以下部位設置縱向加密認證裝置：電站監控系統與上級電調監控系統通信接口處（含衛星通道）（5臺）、國網調度數據網接入平臺入口處（4臺）、梯級調控數據網接入平臺入口處（4臺）、安全監管平臺接入處（1臺）。

1.3.3 邏輯隔離（防火墻）

巨型電站自動化系統控制區、非控制區、管理信息大區內部以及控制區與非控制區之間需通過VLAN或部署安全可靠的硬件防火墻實現邏輯隔離、報文過濾、訪問控制等功能。按最小化原則嚴密設置源、目的IP地址及端口，并對135、137、138、139、445、3389等高危端口進行出站、入站雙向封堵，確保有效攔截安全威脅。

1.4 通用安全防護

根據國家信息安全等級保護工作的要求對巨型電站監控系統從入侵檢測、安全審計、計算機訪問控制、惡意代碼防范、網絡安全監管、智能白名單授權管控、備份及容災等多個層面進行信息安全防護。

1.4.1 入侵監測

巨型電站監控系統應部署3套入侵監測裝置：第一套入侵監測裝置布置于生產控制大區安全I區，配置入侵檢測引擎4個，分別負責檢測計算機監控系統網絡、PMU系統網絡、安全穩定控制系統、火災報警與聯動控制系統等邊界；第二套入侵監測裝置布置于生產控制大區安全II區，配置入侵檢測引擎4個，分別用于檢測電能量計量系統、保護信息管理系統、故障錄波系統、圖像監控系統等邊界；第三套入侵監測裝置布置于信息管理大區安全III區，配置入侵檢測引擎2個，用于檢測電站主設備狀態在線監測及趨勢分析系統等邊界。

1.4.2 安全審計

在巨型電站的生產控制大區內部署1套安全審計系統，網絡、操作系統、數據庫、業務應用系統、安全設施運行等的日志進行收集和分析，及時發現病毒和黑客的攻擊行為[1]。

1.4.3 計算機訪問控制

系統應具備用戶登錄雙因子認證功能，對登錄系統的用戶進行身份認證，并分配不同的權限，并對用戶的所有操作進行審計。

1.4.4 惡意代碼防范

在巨型電站的生產控制大區、管理信息大區各安裝1套國產殺毒軟件。

1.4.5 網絡安全監管

在安全I、II區部署采集裝置，采集安全防護設備、主機設備和網絡設備的運行信息、操作信息以及告警信息等。同時還分別部署2臺廠站型采集裝置，將采集到的信息匯總后經縱向加密裝置上送梯調安全信息監視平臺，并可在本機進行集中的存儲、監視、分析、告警、查詢與審計等。

1.4.6 智能白名單授權管控

在巨型電站監控系統各大區內的服務器各配置一套白名單軟件客戶端，客戶端軟件可不聯網獨立運行，通過監控分析服務器上人工操作的行為特征，智能生成白名單，以此控制惡意程序和操作的執行

2 安全管理

堡壘最容易從內部被攻破，所以，若想保證巨型電站的網絡安全，還必須加強電站內部的安全管理。主要包括：敏感信息管理、人員管理、完善應急機制等。

2.1 敏感信息管理

做好敏感資料保密工作，尤其要防范系統及其資產信息，包括系統拓撲圖、IP地址、IP網段、賬號口令、評估報告、源代碼等敏感信息外泄。做好第三方技術支撐單位及人員涉及本單位敏感資料的保密管控工作。

2.2 人員管理

加強對人員的保密教育和培訓管理。關鍵崗位人員和接觸內部敏感信息第三方人員應當簽署保密協議，加強離崗人員管理[2]。

2.3 完善網絡安全應急機制

修編巨型電站監控系統網絡安全應急預案，健全應急隊伍和應急機制，與對應調度機構相銜接并形成聯動機制，并做好演練。

3 系統安全防護評估

根據國家發展與改革委第14號令、國能安全[2015]36號和《電力行業信息系統安全等級保護基本要求》的規定，開展巨型電站電力監控系統上線投運前的等保測評、安全防護評估、源代碼檢測和漏洞掃描工作。應聘請具有國家公安部信息安全等級保護測評資質并獲得當地公安部門認可推薦測評機構，參與評估的機構及人員必須穩定、可靠、可控、并與賣方簽署長期保密協議，對系統所有資料做好保密工作。

4 結語

現如今，巨型電站網絡安全形勢日趨嚴峻，已經嚴重威脅到了國家安全，如何有效保障電站網絡安全已經成為一項非常緊迫的任務。除了采取先進的安全防護技術，制定安全防護策略和安全管理制度，建立一個更加安全的防護系統外，我們還要牢固樹立網絡安全意識，切實提高巨型電站網絡安全防御水平。