汉江王甫洲水电站电力监控系统安全防护系统改造分析
2019-07-12王传磊
王传磊
湖北汉江王甫洲水力发电有限责任公司 湖北 441800
电力二次系统是电网调度生产运行的有效组成部分之一，电网安全涉及国家安全和社会稳定，电网的安全稳定运行高度依赖电力二次系统。实施电力二次安全防护的目标是为了确保电力监控系统及电力调度数据网络的安全，抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，防止电力二次系统的崩溃或瘫痪，以及由此造成的电力系统事故或大面积停电事故。随着网络、应用系统在电力生产控制大区中的广泛使用，电力二次系统面临的风险越来越大。
2017年9月由湖北省调及地调组成的检查组，对电厂进行电力监控系统的专项检查及根据襄阳供电公司襄供调[2019]3号《关于印发2018年12月电厂及用户变电站电力监控系统安全防护运行情况的通报》，电厂地调接入系统实时纵向加密装置无密通率上传，不能管控等问题。经过技术人员现场检查判断，找到问题。
一、检查中发现的问题
1.缺配置入侵检测、缺配备日志审记、缺水情系统采用国产防火墙、缺操作系统安全加固。
2.设备投运时间较早，当时没有密通率上传及管控功能
3.路由器在运行中出现了故障，导致上传地调数据网中断.
二、针对发现的问题，我厂对照标准及规程规范要求，采取以下几个方面的措施：
2.1 技术方面
2.1.1 物理安全按照安全分区的原则，将不同重要程度设备置于安全区域内，对重要设备采取电磁屏蔽措施。其防护强度等于等级保护要求。措施：按照设备、操作间进行机房物理区域划分，按安全分区摆放机柜
2.1.2 电力监控系统遵循“安全分区、网络专用、横向隔离、纵向加密”的防护原则，将电力监控系统分置于生产控制大区和管理信息大区、在两个大区之间部署横向单向隔离装置，在生产控制大区专用的调度数据专用网络边界部署纵向加密认证装置，形成栅格状安全防护体系架构，其防护强度等同于等级保护要求。措施：专网专用；安全分区；横向边界部署纵向加密装置；纵向边界部署纵向加密认证装置，配置IP+限定端口的控制策略，启用隧道密通功能。网络设备安全加固，关闭不必要的服务和端口，限制登陆地址及用户等，配置多用户。
2.1.3 主机安全新一代调控系统采用国产设备，国产操作系统提高安全防护水平，同时满足等级保护要求，措施系统采用国产设备、国产安全操作系统，国产安全数据库。
应用安全：安全访问控制可信可控。措施系统采用基于调度数字证书及标签的安全认证。
数据安全：数据完整性、数据保密性、备份和恢复实现数据级备用；实现自动化系统及功能备用；实现调度业务及人员备用。
2.2 管理方面 制定电力监控系统安全防护管理制度建立电力监控系统安全管理机构定期培训；签署保密协议；外来人员管控。与开发单位及供应商签署保密协议。制定安全运维管理制度；制定监控系统的应急预案。
2.3 安全加固方面 电力调度数据网和二次安防系统设备进行安全加固，以保证电厂业务平稳，安全的传输。
路由器安全加固内容
不得使用初始密码，密码复杂满足强度要求，密码必须密文显示，限制登陆次数及时间
限制远程登陆地址
SNMP协议使用V2及以上版本，不得使用默认的读写团体字，限制SNMP服务器地址
只许使用SSH作为远程登录方式
关闭不使用的端口
关闭不需要的服务，如HTTP、Telnet、Rlogin、FTP
必须配置三个用户，普通、审计、超级
路由器做ARP绑定
NTP对时，配置syslog服务器地址
交换机安全加固内容
不得使用初始密码，密码复杂满足强度要求，密码必须密文显示，限制登陆次数及时间
限制登陆次数及时间
只许使用SSH作为远程登录方式
关闭不需要的服务，如HTTP、Telnet、Rlogin、FTP
关闭不使用的端口
必须配置三个用户，普通、审计、超级
配置NTP和syslog服务器地址
防火墙安全加固
不得使用初始密码、密码复杂满足强度要求、尽量限制登陆次数及时间
不得出现大明通策略
策略必须细化到IP、协议、端口
限制远程登陆地址
防火墙启用对时功能
防火墙启用两个用户，配置用户和审计用户
关闭不使用的端口
纵向加密安全加固
隧道必须正确配置且建立正常
不得出现大明通策略
策略必须细化到IP、协议、端口
业务通讯必须使用密文
不得使用默认初始密码
提升密通率至95%，在线率99%及以上
2.4 应急演练方面 制定网络安全事件应急预案。同时制定纵向、横向安防应急演练工作，在不影响业务系统正常运行的情况下完成应急演练操作，提高员工技术水平及应急能力。
2.5 软、硬件技术要求方面 防火墙系统要求识别、控制、扫描、可视化等，网络入侵检测系统要求检测Web过滤应用识别流量识别安全审计系统日志审计要求安全审计系统日志审计包含日志采集、日志管理、资产管理、事件告警、统计管理、报表管理、系统管理以及用户管理等八大核心功能。
三、总结
通过采取以上措施，达到规程规范及上级部门要求的目标。
达到的目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致一次系统事故或大面积停电事故及电力监控系统的崩溃或瘫痪。发电厂电力监控系统安全防护的总体目标包括：防止发电厂监控系统服务等核心业务(即电力生产)中断。防止发电厂监控系统本身崩溃。抵御外部人员对发电厂监控系统发起的恶意破坏和攻击，及可能对相连的调度自动化系统的影响。防止利用病毒、木马等恶意程序，从发电厂监控系统局域网内部发起的对电力生产及相连的调度自动化系统的恶意破坏和攻击。保护发电厂监控系统实时和历史数据，主要防止数据被非授权修改。
