一種基于分區(qū)防護的電力信息網(wǎng)絡(luò)安全體系結(jié)構(gòu)

林華淵長沙理工大學(xué) 湖南長沙 410114

?

一種基于分區(qū)防護的電力信息網(wǎng)絡(luò)安全體系結(jié)構(gòu)

林華淵
長沙理工大學(xué) 湖南長沙 410114

[摘要]針對電力信息網(wǎng)絡(luò)系統(tǒng)的特點，設(shè)計了一種基于分區(qū)防護的電力網(wǎng)絡(luò)信息安全體系結(jié)構(gòu)，并對該系統(tǒng)結(jié)構(gòu)所用的安全隔離技術(shù)進行了分析，該設(shè)計可提高電力信息網(wǎng)絡(luò)系統(tǒng)的信息安全。

[關(guān)鍵詞]分區(qū)防護;電力信息網(wǎng)絡(luò);體系結(jié)構(gòu)

引言

電力信息系統(tǒng)包括電力調(diào)度自動化系統(tǒng)、能量管理系統(tǒng)EMS、配電自動化系統(tǒng)DAS、配電管理系統(tǒng)DMS、管理信息系統(tǒng)等系統(tǒng)。隨著電力信息網(wǎng)絡(luò)系統(tǒng)的廣泛應(yīng)用，既要防止外部的也要防止內(nèi)部的各種攻擊，電力信息系統(tǒng)信息安全的問題日益突出，已成為影響電力系統(tǒng)生產(chǎn)和經(jīng)營正常運行的重大問題。由于電力系統(tǒng)是國民經(jīng)濟的基礎(chǔ)設(shè)施，決定了其網(wǎng)絡(luò)信息安全既具有一般計算機信息安全的特征，更要考慮高安全要求的特征。針對電力信息網(wǎng)絡(luò)系統(tǒng)的特點，設(shè)計了一種基于分區(qū)防護的電力網(wǎng)絡(luò)信息安全體系結(jié)構(gòu)，并對其所用的安全隔離技術(shù)進行了分析，該設(shè)計可提高電力信息網(wǎng)絡(luò)系統(tǒng)的信息安全。

1、電力信息系統(tǒng)網(wǎng)絡(luò)信息安全的體系結(jié)構(gòu)

電力信息系統(tǒng)網(wǎng)絡(luò)信息安全的體系結(jié)構(gòu)采取專用網(wǎng)絡(luò)和公共網(wǎng)絡(luò)相結(jié)合的網(wǎng)絡(luò)結(jié)構(gòu)，如圖1所示，其中，SPDnet（調(diào)度信息網(wǎng)）和SPnet（電力信息網(wǎng)）是電力專用網(wǎng)絡(luò)。為了保障電力系統(tǒng)的安全，根據(jù)電力系統(tǒng)各部分對安全的不同要求程度，將電力網(wǎng)絡(luò)信息系統(tǒng)劃分為三層四區(qū)，具體分析如下。電力信息業(yè)務(wù)劃分為三層：第一層——自動化系統(tǒng)，第二層——生產(chǎn)管理系統(tǒng)，第三層——電力信息管理系統(tǒng)及辦公自動化系統(tǒng)。將三層功能與電力信息網(wǎng)絡(luò)結(jié)構(gòu)對應(yīng)起來產(chǎn)生四個安全工作區(qū)域：安全區(qū)Ⅰ——SPDnet支撐的自動化系統(tǒng)，凡是具有實時監(jiān)控功能的系統(tǒng)或其中的監(jiān)控功能部分均應(yīng)屬于該區(qū)。如，調(diào)度自動化系統(tǒng)、相量同步測量系統(tǒng)、配電自動化系統(tǒng)、變電站自動化系統(tǒng)、發(fā)電廠自動監(jiān)控系統(tǒng)等，是電力系統(tǒng)安全防護的重點。安全區(qū)Ⅱ——SPDnet支撐的生產(chǎn)管理系統(tǒng)，原則上不具備控制功能的生產(chǎn)業(yè)務(wù)和批發(fā)交易業(yè)務(wù)系統(tǒng)屬于該區(qū)，如，水調(diào)自動化系統(tǒng)、電能量計量系統(tǒng)、發(fā)電側(cè)電力市場交易系統(tǒng)等。安全區(qū)Ⅲ——SPnet支撐的進行生產(chǎn)管理系統(tǒng)，如，調(diào)度生產(chǎn)管理系統(tǒng)、雷電檢測系統(tǒng)、氣象信息接入和客戶服務(wù)等。安全區(qū)Ⅳ——SPnet支撐的電力信息管理系統(tǒng)，如MIS和OAS等。電力網(wǎng)絡(luò)信息安全的體系結(jié)構(gòu)如圖1所示。

從圖1中可以看出，電力網(wǎng)絡(luò)信息安全的體系結(jié)構(gòu)體現(xiàn)了以下安全策略：(1)分區(qū)安全防護。根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對一次系統(tǒng)的影響程度，將電力信息網(wǎng)絡(luò)系統(tǒng)劃分為四個安全工作區(qū)，重點保護在安全區(qū)Ⅰ中的實時監(jiān)控系統(tǒng)和安全區(qū)Ⅱ中的電力交易系統(tǒng)。(2)網(wǎng)絡(luò)專用。SPDnet與SPnet通過正向型和反向型專用安全隔離裝置實現(xiàn)（接近于）物理隔離，SPDnet提供二個相互邏輯隔離的MPLS-VPN分別與安全區(qū)Ⅰ和安全區(qū)Ⅱ進行通信。(3)橫向隔離。安全區(qū)Ⅰ和安全區(qū)Ⅱ之間采用邏輯隔離，隔離設(shè)備為防火墻，安全區(qū)Ⅰ、Ⅱ與安全區(qū)Ⅲ、Ⅳ之間實現(xiàn)（接近于）物理隔離，隔離設(shè)備為正向型和反向型專用安全隔離裝置。(4)縱向認證與防護。安全區(qū)Ⅰ、Ⅱ的縱向邊界部署具有認證、加密功能的安全網(wǎng)關(guān)（即IP認證加密裝置）；安全區(qū)Ⅲ、Ⅳ的縱向邊界部署硬件防火墻。(5)胖Ⅲ區(qū)瘦Ⅱ區(qū)分區(qū)方案和對應(yīng)的數(shù)據(jù)中心統(tǒng)一支撐平臺，為適應(yīng)電網(wǎng)二次系統(tǒng)應(yīng)用現(xiàn)狀和發(fā)展要求，SCADA/EMS等系統(tǒng)的數(shù)據(jù)需要在Ⅲ區(qū)重構(gòu)，以建立適應(yīng)網(wǎng)絡(luò)安全要求的電網(wǎng)調(diào)度運行系統(tǒng)數(shù)據(jù)中心統(tǒng)一支撐平臺。(6)安全區(qū)Ⅳ通過防火墻與Internet相連接。

2、安全隔離技術(shù)

電力系統(tǒng)的信息網(wǎng)絡(luò)相對Internet來說是一個內(nèi)部網(wǎng)絡(luò)，從被動防護的角度來看，內(nèi)部網(wǎng)絡(luò)的主要安全防護技術(shù)為放火墻、入侵檢測技術(shù)等；而主動防護則主要采用安全隔離技術(shù)等。安全隔離技術(shù)主要包括物理、協(xié)議隔離技術(shù)及防火墻技術(shù)。

2.1物理隔離技術(shù)。物理隔離技術(shù)是指在物理上將內(nèi)部網(wǎng)與外部網(wǎng)分離，阻斷內(nèi)部網(wǎng)與外部網(wǎng)的連接，內(nèi)部網(wǎng)與外部網(wǎng)無法通過直接或間接的方式（包括放火墻或代理服務(wù)器等）連接。物理隔離是防范黑客入侵、病毒、拒絕服務(wù)等網(wǎng)絡(luò)攻擊的簡單而有效的手段，電力信息網(wǎng)絡(luò)系統(tǒng)的安全Ⅰ、Ⅱ區(qū)與安全Ⅲ、Ⅳ區(qū)之間采用物理隔離以保證其安全。物理隔離為內(nèi)部網(wǎng)劃定了明確的安全邊界，使得網(wǎng)絡(luò)的可控性增強，結(jié)合有效的安全管理及監(jiān)測、審計等安全技術(shù)，可以準確地定位網(wǎng)絡(luò)攻擊來源，查找來自內(nèi)部的攻擊制造者。物理隔離可以有效地確保外部網(wǎng)不能通過網(wǎng)絡(luò)連接而侵入內(nèi)部網(wǎng)，同時防止內(nèi)部網(wǎng)信息通過網(wǎng)絡(luò)連接泄露到外部網(wǎng)。

2.2協(xié)議隔離技術(shù)。協(xié)議隔離技術(shù)是在內(nèi)部網(wǎng)與外部網(wǎng)的連接端點處，配置協(xié)議隔離器來隔離內(nèi)外網(wǎng)。協(xié)議隔離器使用了兩臺不同設(shè)備上的通用網(wǎng)絡(luò)接口分別連接內(nèi)部與外部網(wǎng)，而設(shè)備之間通過使用專用密碼通信協(xié)議的專用接口卡進行互連。通常情況下，內(nèi)外網(wǎng)是斷開的，只有當有信息交換時，內(nèi)外網(wǎng)才會通過協(xié)議隔離器連通。

2.3防火墻技術(shù)。防火墻是設(shè)置在被保護網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障，以防止發(fā)生不可預(yù)測的潛在的破壞性侵入。它可以通過檢測、限制或更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況，以此來實現(xiàn)網(wǎng)絡(luò)的安全保護。通過設(shè)置防火墻相關(guān)參數(shù)，可以實現(xiàn)數(shù)據(jù)包過濾、應(yīng)用級網(wǎng)關(guān)和代理服務(wù)等安全功能。

3、結(jié)束結(jié)

由于電力系統(tǒng)是國民經(jīng)濟的基礎(chǔ)設(shè)施，關(guān)系到國計民生，這就決定了其網(wǎng)絡(luò)信息安全的設(shè)計除了要考慮其一般計算機網(wǎng)絡(luò)信息安全的特征外，更要考慮其實時運行控制系統(tǒng)的更高安全要求，本文設(shè)計了一種基于分區(qū)防護的電力網(wǎng)絡(luò)信息安全體系結(jié)構(gòu)，分析了其所用的安全隔離技術(shù)，該設(shè)計可提高電力信息網(wǎng)絡(luò)系統(tǒng)的信息安全。

參考文獻

[1]王剛軍,張學(xué)松,郭志忠.電力信息安全的監(jiān)控與分析[J].電網(wǎng)技術(shù),2004,vol.28(9):50～53.

[2]高新華,王文,馬驍.電力信息網(wǎng)絡(luò)安全隔離設(shè)備的研究[J].電網(wǎng)技術(shù),2003,vol.27(9):69～72.

[3]胡炎,謝小榮,辛耀中.電力信息系統(tǒng)現(xiàn)有安全設(shè)計方法分析比較[J].電網(wǎng)技術(shù),2006,vol.30(4):36～42.

[4]賀文華,陳志剛,胡玉平,陳代武.基于物理隔離技術(shù)的網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2008,(1):55～63.

[ 5 ]謝志玉,畢婧.防火墻技術(shù)研究[ J ] .信息與電腦(理論版),2011,(1):32～38.