電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系建設(shè)

(廣州市增城區(qū)水務(wù)局，廣東 廣州 511300)

0 引言

近些年來(lái)，隨著電力系統(tǒng)的進(jìn)步和發(fā)展，電力系統(tǒng)的自動(dòng)化、信息化、智能化技術(shù)得到了更為有力的技術(shù)支持。但作為不少國(guó)家重要的“網(wǎng)絡(luò)戰(zhàn)場(chǎng)”，電力監(jiān)控系統(tǒng)的安全問(wèn)題顯得越發(fā)突出，如何確保電力系統(tǒng)能足夠安全、穩(wěn)定地運(yùn)行成為現(xiàn)階段電力企業(yè)建設(shè)發(fā)展的主要研究對(duì)象。當(dāng)前各地的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全水平參差不齊，如何使各地電力監(jiān)控網(wǎng)絡(luò)安全水平達(dá)到統(tǒng)一，是一個(gè)亟待解決的難題。

1 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)現(xiàn)狀

網(wǎng)絡(luò)安全隱患從軟件向硬件延伸，系統(tǒng)網(wǎng)絡(luò)安全情況不容樂(lè)觀，這引起我國(guó)相關(guān)行業(yè)主管部門高度重視，2002年原國(guó)家經(jīng)貿(mào)委發(fā)布《電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)規(guī)定》，2005年原國(guó)家電監(jiān)會(huì)發(fā)布《電力二次系統(tǒng)安全防護(hù)規(guī)定》，2014年國(guó)家發(fā)改委發(fā)布《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，2016年工信部發(fā)布《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》提出了11項(xiàng)工控網(wǎng)絡(luò)安全重要措施，2017年全國(guó)人大頒布的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》，在我國(guó)相關(guān)政策法規(guī)的指導(dǎo)下，電力行業(yè)用了將近20年的時(shí)間，建立了比較完善的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系。從2016年工信部發(fā)布的《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》以來(lái)，強(qiáng)化了電力行業(yè)對(duì)生產(chǎn)控制大區(qū)的動(dòng)態(tài)實(shí)時(shí)感知，并且升級(jí)了關(guān)鍵網(wǎng)絡(luò)安全實(shí)施，同時(shí)建立網(wǎng)絡(luò)安全專職機(jī)構(gòu)隊(duì)伍，從而完善電力監(jiān)控系統(tǒng)安全防護(hù)體系，并保證了電力系統(tǒng)安全穩(wěn)定的運(yùn)行。

計(jì)算機(jī)監(jiān)控系統(tǒng)是電力系統(tǒng)的主要組成部分，并且對(duì)電力系統(tǒng)的安全可靠運(yùn)行有著重要的作用，在電力企業(yè)發(fā)展的過(guò)程中，計(jì)算機(jī)監(jiān)控系統(tǒng)會(huì)因?yàn)槎喾N原因而出現(xiàn)運(yùn)行不暢的問(wèn)題，導(dǎo)致無(wú)法安裝安全防護(hù)軟件和不能升級(jí)相關(guān)操作系統(tǒng)，這便是多數(shù)發(fā)電企業(yè)電力監(jiān)控系統(tǒng)在運(yùn)行的過(guò)程中所存在的安全隱患。所以按照網(wǎng)絡(luò)安全分區(qū)的原則來(lái)講，電力監(jiān)控系統(tǒng)安全區(qū)的系統(tǒng)和其他系統(tǒng)之間是沒(méi)有聯(lián)系的，但如果出現(xiàn)病毒入侵的情況，就會(huì)導(dǎo)致不設(shè)防的其他系統(tǒng)處于危險(xiǎn)的狀況。所以需要相關(guān)電力系統(tǒng)工作人員，不斷完善其網(wǎng)絡(luò)安全防護(hù)工作，使電力系統(tǒng)運(yùn)行能夠有相對(duì)較高的安全性和可靠性。

2 建設(shè)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全的范圍與目標(biāo)

電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)工作由調(diào)控中心統(tǒng)一管理，設(shè)立網(wǎng)絡(luò)安全管理專職，防范黑客及惡意代碼等對(duì)電力監(jiān)控系統(tǒng)發(fā)起攻擊和侵害，特別是抵御集團(tuán)式攻擊，防止電力監(jiān)控系統(tǒng)癱瘓。同時(shí)也要完成以下安全防護(hù)指標(biāo)：地調(diào)安全防護(hù)專業(yè)人員配備率100%；廠站安全防護(hù)縱向加密設(shè)備覆蓋率100%；內(nèi)網(wǎng)安全監(jiān)視平臺(tái)覆蓋率100%；控制功能調(diào)度數(shù)字證書覆蓋率100%；地調(diào)管轄發(fā)電廠電力監(jiān)控系統(tǒng)安全防護(hù)方案審核完成率100%；廠站安全防護(hù)縱向加密設(shè)備密通率不小于90%。同時(shí)，使各地電力監(jiān)控網(wǎng)絡(luò)安全水平達(dá)到一致。

3 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)的關(guān)鍵技術(shù)

3.1 風(fēng)險(xiǎn)評(píng)估技術(shù)

在安全防護(hù)技術(shù)中，風(fēng)險(xiǎn)評(píng)估是非常重要的一項(xiàng)技術(shù)，是對(duì)主機(jī)的風(fēng)險(xiǎn)泄露和通過(guò)網(wǎng)絡(luò)遠(yuǎn)程監(jiān)控其他主機(jī)風(fēng)險(xiǎn)漏洞的分析，風(fēng)險(xiǎn)評(píng)估系統(tǒng)的主要工作目標(biāo)便是服務(wù)器、工作站和數(shù)據(jù)庫(kù)等，利用網(wǎng)絡(luò)安全監(jiān)測(cè)裝置掃描監(jiān)控目標(biāo)可能存在的風(fēng)險(xiǎn)隱患。并對(duì)其安全性和風(fēng)險(xiǎn)程度進(jìn)行分析，確定系統(tǒng)網(wǎng)絡(luò)信息是否安全，并對(duì)系統(tǒng)網(wǎng)絡(luò)信息的安全性提出具體整改建議。在進(jìn)行風(fēng)險(xiǎn)評(píng)估技術(shù)時(shí)，也經(jīng)常會(huì)利用網(wǎng)絡(luò)漏洞掃描方式。在信息安全防護(hù)過(guò)程中，風(fēng)險(xiǎn)評(píng)估主要是一種輔助手段，還需要利用VPN、防火墻比如氫檢測(cè)的方式來(lái)完成信息安全防護(hù)工作。

3.2 物理隔離技術(shù)

“安全分區(qū)，網(wǎng)絡(luò)專用，橫向隔離，縱向認(rèn)證”中的橫向隔離便是主要依賴物理隔離技術(shù)，在網(wǎng)絡(luò)邊界防護(hù)中，必須采用經(jīng)國(guó)家指定部門檢測(cè)認(rèn)證的橫向安全隔離裝置連接2個(gè)獨(dú)立的主機(jī)系統(tǒng)，這樣能夠保證不直接連通并且傳輸和共享數(shù)據(jù)資源。目前的物理隔離技術(shù)主要使用的有實(shí)時(shí)開(kāi)關(guān)、單向連接和網(wǎng)絡(luò)交換器這三種隔離裝置。其中實(shí)時(shí)開(kāi)關(guān)可以實(shí)現(xiàn)在同一時(shí)間隔離內(nèi)外網(wǎng)絡(luò)，并且實(shí)現(xiàn)數(shù)據(jù)聯(lián)通進(jìn)行快速的處理數(shù)據(jù)。再連接一個(gè)網(wǎng)絡(luò)獲取數(shù)據(jù)，然后轉(zhuǎn)動(dòng)開(kāi)關(guān)到另一個(gè)網(wǎng)絡(luò)，將之前獲取的數(shù)據(jù)傳輸?shù)搅硪粋€(gè)網(wǎng)絡(luò)，能夠快速地在兩個(gè)網(wǎng)絡(luò)之間移動(dòng)數(shù)據(jù)，并且實(shí)現(xiàn)實(shí)時(shí)處理的效果。同時(shí)在傳輸數(shù)據(jù)時(shí)，實(shí)時(shí)開(kāi)關(guān)會(huì)終止網(wǎng)絡(luò)連接，這便不會(huì)存在漏洞風(fēng)險(xiǎn)，與此同時(shí)還能夠利用實(shí)時(shí)開(kāi)關(guān)避免遭到病毒侵害。單向連接指的便是單向地從源網(wǎng)向目的網(wǎng)傳輸數(shù)據(jù)，這樣便成為了一個(gè)“只讀”網(wǎng)絡(luò)，同時(shí)數(shù)據(jù)不能反向向源網(wǎng)傳輸，單向連接需要利用硬件實(shí)現(xiàn)，因?yàn)檫@樣可以避免數(shù)據(jù)傳錯(cuò)。而網(wǎng)絡(luò)交換器指的便是一臺(tái)計(jì)算機(jī)中有兩個(gè)虛擬機(jī)，在一個(gè)虛擬機(jī)當(dāng)中寫入數(shù)據(jù)，然后再傳輸?shù)搅硪粋€(gè)虛擬機(jī)中。在傳輸數(shù)據(jù)過(guò)程中速度會(huì)相對(duì)較慢，無(wú)法實(shí)現(xiàn)實(shí)時(shí)工作。所以網(wǎng)絡(luò)轉(zhuǎn)換器通常都具備雙接口的硬件卡，雙接口都連接著相互隔離的網(wǎng)絡(luò)，但在同一時(shí)間只能激活一個(gè)網(wǎng)絡(luò)。

3.3 SSL技術(shù)與IPSec技術(shù)

SSL協(xié)議主要利用傳輸層進(jìn)行傳輸，在應(yīng)用層影響下保護(hù)網(wǎng)絡(luò)傳輸信息。它具有透明性、應(yīng)用性和可移植性，SSL電力系統(tǒng)安全通道主要包括SSL服務(wù)器和SSL客戶端，SSL客戶端主要在瀏覽器上負(fù)責(zé)認(rèn)證服務(wù)器端的實(shí)際深入，而SSL服務(wù)器是在WEB服務(wù)器上負(fù)責(zé)實(shí)現(xiàn)客戶端的身份驗(yàn)證。SSL可以使數(shù)據(jù)進(jìn)行加密傳輸，并對(duì)數(shù)據(jù)保密性進(jìn)行更好地保護(hù)，利用MAC來(lái)保護(hù)信息的完整度，然后再通過(guò)數(shù)字證書來(lái)驗(yàn)證發(fā)送者與接受者的身份。

IPSec是利用AH協(xié)議與ESP協(xié)議實(shí)現(xiàn)安全性，IPSec可以提供各種安全服務(wù)，利用身份認(rèn)證制實(shí)施訪問(wèn)控制，在通信前通過(guò)IKE協(xié)商SA，然后利用公鑰簽名機(jī)制進(jìn)行身份驗(yàn)證，IPSec可以在數(shù)據(jù)包發(fā)放前利用信息鑒別機(jī)制實(shí)施數(shù)據(jù)源認(rèn)證，然后應(yīng)用信息鑒別法計(jì)算MAC，采用HMAC輸入部分信息與密鑰，輸出MAC，在接收到IP數(shù)據(jù)包后在用相同的方式計(jì)算數(shù)據(jù)，在獲取的數(shù)據(jù)完全相同后，便表示數(shù)據(jù)通過(guò)驗(yàn)證。

4 電力監(jiān)控網(wǎng)絡(luò)安全的建設(shè)內(nèi)容

4.1 成立工作小組

成立以調(diào)控中心主任為工作小組組長(zhǎng)的組織機(jī)構(gòu)，工作小組成員包含：主站自化、運(yùn)檢部自動(dòng)化、調(diào)度自動(dòng)化、通信管理員、并網(wǎng)電廠負(fù)責(zé)人，負(fù)責(zé)統(tǒng)籌與管理，下面又有著實(shí)際操作者，與工作管理人員在網(wǎng)絡(luò)安全監(jiān)控管理本地管理工作開(kāi)展中，在實(shí)際管理的過(guò)程中，不同角色之間所承擔(dān)的管理責(zé)任有所不同。如管理員能夠?qū)Π踩O(jiān)測(cè)裝置進(jìn)行時(shí)區(qū)管理、進(jìn)程管理、用戶操作管理等；操作者則需要強(qiáng)大的知識(shí)量來(lái)負(fù)責(zé)各個(gè)部門不同的網(wǎng)絡(luò)安全工作。上下配合，才能做好電力監(jiān)控網(wǎng)絡(luò)安全建設(shè)。

4.2 網(wǎng)絡(luò)安全監(jiān)測(cè)裝置的功能實(shí)施

在網(wǎng)絡(luò)安全監(jiān)測(cè)裝置功能實(shí)施之前，需要能夠?qū)崿F(xiàn)對(duì)該裝置的安裝，首先需要注意安裝布線，完成網(wǎng)絡(luò)安全監(jiān)測(cè)裝置的設(shè)備上架及網(wǎng)絡(luò)布線，在接線的工作完成之后，對(duì)接入的設(shè)備進(jìn)行及時(shí)的軟硬件的更新和升級(jí)，并且根據(jù)實(shí)際的運(yùn)行，使用相關(guān)的運(yùn)行數(shù)據(jù)進(jìn)行適當(dāng)?shù)男薷暮驼{(diào)整。按照國(guó)家能源局〔2015〕36號(hào)文件及部分省電力公司調(diào)度的要求，35 kV及以上電壓等級(jí)并網(wǎng)發(fā)電廠，要求在一、二區(qū)部署網(wǎng)絡(luò)安全監(jiān)測(cè)裝置。

4.3 制訂安全防護(hù)方案

根據(jù)《關(guān)于發(fā)電企業(yè)電力監(jiān)控系統(tǒng)安全防護(hù)工作要求的通知》，加強(qiáng)發(fā)電企業(yè)的電力監(jiān)控系統(tǒng)的安全防護(hù)管理。第一，項(xiàng)目在前期的評(píng)審期間，根據(jù)“安全分區(qū)，網(wǎng)絡(luò)專用，橫向隔離，縱向認(rèn)證”的基本原則，要求發(fā)電企業(yè)分區(qū)配置接入相應(yīng)的加密認(rèn)證裝置、物理隔離裝置、防火墻等相關(guān)安全設(shè)備。第二，主廠站專門對(duì)安全設(shè)備進(jìn)行聯(lián)合調(diào)試，調(diào)試完成后進(jìn)行現(xiàn)場(chǎng)檢查驗(yàn)收，嚴(yán)格要求完全通過(guò)驗(yàn)證流程。第三，部署入侵檢測(cè)系統(tǒng)。具有等保二級(jí)系統(tǒng)的發(fā)電廠，需要主動(dòng)部署入侵檢測(cè)系統(tǒng)，實(shí)現(xiàn)對(duì)數(shù)據(jù)網(wǎng)數(shù)據(jù)的全監(jiān)視，提前發(fā)現(xiàn)入侵行為。并在其他方面要求發(fā)電企業(yè)制定內(nèi)部安全管理制度，明確網(wǎng)絡(luò)安全管理措施與網(wǎng)絡(luò)安全負(fù)責(zé)人，要求發(fā)電企業(yè)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，并且需要進(jìn)行定期的演練。

5 結(jié)語(yǔ)

保障電力監(jiān)控系統(tǒng)安全是共同的責(zé)任，所以需要通過(guò)管理和技術(shù)體系建設(shè)來(lái)完成相關(guān)指標(biāo)要求，全面提升地區(qū)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力，使系統(tǒng)防護(hù)水平及人員的技能、安全防護(hù)意識(shí)得到很大的提升，從而為后續(xù)安防工作打下基礎(chǔ)，從而共筑電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防線。