《2024发电企业生产调控中心网络安全防护设计方案》由会员分享，可在线阅读，更多相关《2024发电企业生产调控中心网络安全防护设计方案（9页珍藏版）》请在金锄头文库上搜索。
1、发电企业生产调控中心网络安全防护设计方案2024目录1.1. 总体目标31.2. 网络专用41.3. 横向隔离51.4. 纵向认证51.5. 综合防护61.6. 其他防护措施81.7. 安全等级保护8安全防护方案设计为了保障系统的安全防护，防范黑客及恶意代码等对集控中心恶意破坏和攻击，防止集控中心系统瘫痪和失控，以及由此导致的设备事故或安全事故，依据国家发改委201414号令电力监控系统安全防护规定、国能安全201636号文电力监控系统安全防护总体方案、国家电力监管委员会200734号令电力行业信息系统安全等级保护基本要求等规范要求，遵循“安全分区、网络专用、横向隔离、纵向认证”的原则部署电力
2、监控系统安全防护体系，保证集控系统及重要数据的安全。1.1. 总体目标电力监控系统安全防护的重点是确保电力实时闭环监控系统及调度数据网络的安全，目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致一次系统事故或大面积停电事故及电力监控系统的崩溃或瘫痪。结合集控中心项目的实际情况，电力监控系统安全防护的总体目标包括：n 防止集控中心的电站监控系统服务等核心业务中断。n 防止集控中心监控系统本身崩溃。n 抵御外部人员对发电力监控系统发起的恶意破坏和攻击，及可能对相连的调度自动化系统的影响。n 防止利用病毒、木马等恶意程序,从集控中心监控系统
3、局域网内部发起的对电力生产及相连的调度自动化系统的恶意破坏和攻击。n 保护集控中心监控系统实时和历史数据，主要防止数据被非授权修改。安全分区：根据电力监控系统的特点，各相关业务系统的重要程度、数据流程、目前状况和安全要求，将集控中心整个电力监控系统分为两个大区：生产控制大区（安全I区和安全II区）和管理信息大区（安全III区）。集控中心侧：安全I区、安全II区和安全III区。新能源场站侧：安全I区、安全II区和安全III区。1) 控制区（安全I区）安全I区是中心系统中最重要的部分，安全等级最高，是安全防护的重点与核心。这类系统对数据通信的实时性要求为毫秒级或秒级。集控中心侧：安全I区部署前置采
4、集服务器、应用服务器、数据库服务器、监控工作站、网络安全防护设备等，实现安全I区的实时监视和控制功能，业务包括了升压站、风机、光伏监视与控制、软五防以及功率预测监视等。新能源场站侧：安全I区部署远动装置，采集子站发电机组、升压站、箱变、AGC、AVC 等设备的数据。2) 非控制区（安全II区）集控中心侧：不单独设置安全II区。 新能源场站侧：安全II区与安全区之间通过防火墙进行逻辑隔离，安全II区的典型系统包括电能量计量系统、功率预测系统，电能量与功率预测系统数据通过逻辑隔离接入部署在安全I区的采集终端，统一上传到集控中心安全I区的数据服务器。3) 管理信息大区的安全区划分管理区是指生产控制大
5、区以外的电力企业管理业务系统的集合。具体划分如下：安全区III：生产管理区安全区III是生产管理区。安全区III主要业务包括：生产调度管控系统；风机故障预警系统；风电效能分析；Web系统；安全区III单独与省调III区相联。1.2. 网络专用集控中心的电力调度数据网计划申请两条光纤通道连接至省调数据网和地调数据网，专网专用。单独配置调度数据网专用交换机和路由器等网络设备，独立组网，在物理层面上实现与集控中心其他数据网及外部公共信息网的安全隔离。集控中心与子站通信通过租用电力专网的2M通道，目前集控中心和各子站单独配置1台交换机、1台加密装置和1台路由器进行独立组网，保证物理通道的安全隔离。并且
6、在集控中心侧设置前置采集服务器、安全审计系统、II型网络安全监测装置等，子站侧采用新增远动装置、II型网络安全监测装置，确保子站系统和升压站监控系统数据安全。1.3. 横向隔离在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。生产调度管控中心侧生产控制大区系统与管理信息大区系统存在数据交互，按36号文要求应部署电力专用横向单向隔离装置。场站侧安全I区系统与安全区系统存在数据交互，按36号文要求应采用具有访问控制功能的网
7、络设备、安全可靠的硬件防火墙或者相当功能的设备，实现逻辑隔离、访问控制等功能。根据36号文要求，同属于同一安全区的应用系统之间根据需要可以采取一定强度的逻辑访问控制措施，如防火墙、VLAN等，具体方案：不同安全区系统数据采集时使用防火墙进行逻辑隔离；相同安全区应用系统之间采用VLAN进行逻辑隔离。1.4. 纵向认证纵向加密认证是电力监控系统安全防护体系的纵向防线。采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。 对于重点防护的调度中心、发电厂、变电站在生产控制大区与广域网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应
8、设施，实现双向身份认证、数据加密和访问控制。纵向加密认证装置及加密认证网关用于生产控制大区的广域网边界防护。纵向加密认证装置为广域网通信提供认证与加密功能，实现数据传输的机密性、完整性保护，同时具有安全过滤功能。加密认证网关除具有加密认证装置的全部功能外，还应实现对电力系统数据通信应用层协议及报文的处理功能。生产调度管控中心与各场站之间采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。1.5. 综合防护按照国能安全201536号文件及国家电网调20171084号文要求，系统将在安全控制大区内部署入侵检测、安全审计、堡垒机等综合防护产品。入侵检测系统将对生产控制大区
9、边界上进行恶意网络入侵的检测与防护；操作系统为具备国家安全操作系统。系统将在信息管理大区内部署入侵检测保证系统安全。1.5.1. 防病毒软件本集控中心防病毒软件，根据业务情况分别在I区和III区内部署防病毒软件，防病毒服务器都接入至核心交换机，所有与核心交换机网络可达的服务器、工作站上配置防病毒客户端，通过防病毒服务器上运行病毒监控管理中心及病毒库中心，所有生产控制大区和管理信息大区内的系统都可被防病毒系统所监控。通过定期离线更新杀毒软件服务器的病毒库的方式保证了所有安装防病毒客户端的服务器也能及时更新至最新的病毒库。1.5.2. 入侵检测为实时动态地应对来自外部和内部的网络威胁，增强对网络边
10、界及内部行为的监察、控制和审计能力，在生产控制大区应部署入侵检测系统(IDS)，合理设置检测规则，检测发现隐藏于流经调度数据网纵向边界以及应用系统内部的正常信息流中的入侵行为，分析潜在威胁并进行安全审计。集控中心生产控制大区和管理信息大区各部署1套IDS入侵检测系统，连接核心交换机、调度数据网交换机、前置交换机，用于检测内网各系统的安全状况并予以响应，监测网络安全状况。1.5.3. 堡垒机为了保障网络和数据不受来自外部和内部用户的入侵和破坏，从而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为进行安全监管，以便集中报警、及时处理及审计定责。在生产控
11、制大区部署一台堡垒机，连接I区核心交换机，进行集控中心内部的运维管理和合规审计。内网用户使用内网运维终端直接访问堡垒机进行操作管理。1.5.4. 日志审计电力监控系统安全防护总体方案中规定：生产控制大区应当具备安全审计功能，可以对网络运行日志、操作系统运行日志、数据库重要操作日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析，及时发现各种违规行为以及病毒和黑客的攻击行为。本工程在生产控制大区配置日志审计系统1台。同时所有服务器、网络设备应当开启审计功能，审计日志应至少可保存半年以上。1.5.5. 网络安全监测为了保证电力调度数据网安全稳定运行，根据国家电网公司关于加快推进电力
12、监控系统网络安全管理平台建设的通知(国家电网调20171084号) 、国家电网华东电力调控分中心关于开展电厂网络安全监测装置建设部署工作的通知（调分中心201923号）、关于开展并网电厂电力监控系统内网安全监控功能建设的通知（浙电调字201917号）的要求和“设备自身感知、监测装置就地采集、平台统一管控”的原则，网络安全应实现从被动防御安全体系向事前预防、事中响应、事后审计的动态保障体系的转变。在并网电厂电力监控系统部署网络安全监测装置及相应的本地内网安全监视功能，采集并网电厂电力监控系统的服务器、工作站、网络设备和安防设备自身感知的安全数据及网络安全事件，实现对网络安全事件的本地监视和管理。
13、同时将涉网区域的网络安全事件转发至调控机构网络安全监管平台。网络安全监测装置对服务器、工作站、网络设备、安全防护设备、数据库等监测对象进行数据采集；采集内容包括服务器、工作站的用户登录、操作信息、运行状态、移动存储设备接入、网络外联等事件信息；网络设备的用户登录、操作信息、配置变更信、流量信息、网口状态信息等事件信息；安全防护设备的用户登录、配置变更、运行状态、安全事件信息等事件信息；触发性事件信息的采集和周期性上送的状态类信息的采集。数据采集后对其进行分析，以分钟级统计周期，对重复出现的事件进行归并处理；根据参数配置，对采集到的 CPU 利用率、内存使用率、网口流量、用户登录失败等信息进行分
14、析处理，根据处理结果决定是否形成新的上报。本项目在集控中心和场站安全I区部署1套网络安全监测装置。连接调度数据网接入交换机及I区核心交换机，用于监测安全I区内各服务器、 工作站、 网络设备、 安全防护设备、 数据库等的信息并进行分析及上报。1.5.6. 系统用户权限系统具备用户角色识别和权限控制功能。用户权限包括对象（如数据、画面、流程、功能等）可见范围控制，物理节点（服务器、系统等）可访问控制，操作员在进行远程控制时，需要有监护权限人员允许。1.5.7. 设备备用和数据备份定期对关键业务的数据与系统进行备份，备份的数据必须存储在可靠的介质中并与系统分开存放，并制定使用数据备份进行数据库故障情
15、况恢复的预案。关键主机设备、网络设备或关键部件应当进行相应的冗余配置。1.6. 其他防护措施（1）禁止生产控制大区内部的E-Mail服务，禁止控制区内通用的WEB服务。（2）生产控制大区内的业务系统间应该采取VLAN和访问控制等安全措施，限制系统间的直接互通。（3）生产控制大区的拨号访问服务，服务器和用户端均采取加密、认证和访问控制等安全防护措施。为了保障系统的安全防护，防范黑客及恶意代码等对集控中心恶意破坏和攻击，防止集控中心系统瘫痪和失控，以及由此导致的设备事故或安全事故，依据国家发改委201414号令电力监控系统安全防护规定及国能安全201636号文电力监控系统安全防护总体方案，建设信息系统监控、网络安全监控、威胁评估系统，并提出安全防护方案及措施。1.7. 安全等级保护根据不同安全区域的安全防护要求，确定其安全等级和防护水平，生产控制区的安全等级高于生产管理区。公司集控中心控制区中关键业务系统的安全等级相当于中安全保护等级的第三级，定级可以定为S2 A3，系统尽量满足国家最新的网络安全等级保护基本要求（GB/T 22239-2019）。公司集控中心电力网络与信息安全等级保护工作到公安局进行定级与备案，并按照
