電力監(jiān)控系統(tǒng)安全防護(hù)

國(guó)華河北分公司 電力監(jiān)控系統(tǒng)安全防護(hù) 昝永清 電力監(jiān)控系統(tǒng)安全防護(hù) 背景原則 背景原則 震網(wǎng)病毒事件 2010年11月Stuxnet蠕蟲(chóng) 震網(wǎng)病毒 攻擊伊朗核電廠 該病毒專(zhuān)門(mén)針對(duì)西門(mén)子公司的SIMATICWinCC監(jiān)控與數(shù)據(jù)采集 SCADA 系統(tǒng)進(jìn)行攻擊 造成伊朗布什爾核電站推遲發(fā)電 震網(wǎng)病毒將工業(yè)控制系統(tǒng)信息安全推到了風(fēng)口浪尖 背景原則 網(wǎng)絡(luò)安全內(nèi)容 安全功能 安全管理 安全檢測(cè) 安全恢復(fù) 安全策略 安全維護(hù) 安全預(yù)防 安全治理 背景原則 木桶理論 背景原則 進(jìn)不來(lái) 拿不走 看不懂 改不了 走不脫 網(wǎng)絡(luò)安全目標(biāo) 網(wǎng)絡(luò)安全五元素 電力監(jiān)控系統(tǒng)主要內(nèi)容 主要內(nèi)容 電力監(jiān)控系統(tǒng)防護(hù)原則 安全分區(qū) 網(wǎng)絡(luò)專(zhuān)用 橫向隔離 縱向認(rèn)證 主要內(nèi)容 安全分區(qū) 按照 電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定 將發(fā)電廠基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū) 并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對(duì)一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū) 安全區(qū)I 及非控制區(qū) 安全區(qū)II 重點(diǎn)保護(hù)生產(chǎn)控制以及直接影響電力生產(chǎn) 機(jī)組運(yùn)行 的系統(tǒng) 主要內(nèi)容 網(wǎng)絡(luò)專(zhuān)用 電力調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專(zhuān)用網(wǎng)絡(luò) 承載電力實(shí)時(shí)控制 在線生產(chǎn)交易等業(yè)務(wù) 發(fā)電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)在專(zhuān)用通道上使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng) 在物理層面上實(shí)現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離 主要內(nèi)容 橫向隔離 橫向隔離是電力監(jiān)控系統(tǒng)安全防護(hù)體系的橫向防線 應(yīng)采用不同強(qiáng)度的安全設(shè)備隔離個(gè)安全區(qū) 在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用橫向單向安全隔離裝置 隔離強(qiáng)度應(yīng)當(dāng)接近或達(dá)到物理隔離 生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當(dāng)采用具有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備 安全可靠的硬件防火墻或相當(dāng)功能的設(shè)施 主要內(nèi)容 縱向認(rèn)證 縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護(hù)體系的縱向防線 發(fā)電廠生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當(dāng)設(shè)置經(jīng)過(guò)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用縱向加密認(rèn)證裝置 實(shí)現(xiàn)雙向身份認(rèn)證 數(shù)據(jù)加密和訪問(wèn)控制 主要內(nèi)容 生產(chǎn)控制大區(qū) 管理信息大區(qū) 控制區(qū) 安全I(xiàn)區(qū) 非控制區(qū) 安全I(xiàn)I區(qū) 安全區(qū)劃分 電力監(jiān)控系統(tǒng)安全區(qū) 主要內(nèi)容 安全系統(tǒng)部署 主要內(nèi)容 風(fēng)電場(chǎng)監(jiān)控系統(tǒng) 安全區(qū)主要內(nèi)容 無(wú)功電壓控制AVC 有功功率控制AGC 同步向量測(cè)量PMU 升壓站監(jiān)控系統(tǒng) 風(fēng)功率預(yù)試系統(tǒng) 電能量采集裝置 故障錄波裝置 天氣預(yù)報(bào)系統(tǒng) 檢修管理系統(tǒng)OMS 測(cè)風(fēng)塔系統(tǒng) 控制區(qū) 安全I(xiàn)區(qū) 管理信息大區(qū) 主要內(nèi)容 安全區(qū)的特點(diǎn) 控制區(qū) 安全I(xiàn)區(qū) 是電力生產(chǎn)的重要環(huán)節(jié) 安全防護(hù)的重點(diǎn)與核心 直接實(shí)現(xiàn)對(duì)一次系統(tǒng)運(yùn)行的實(shí)時(shí)監(jiān)控 縱向使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ猛ǖ?非控制區(qū) 安全I(xiàn)I區(qū) 所實(shí)現(xiàn)的功能為電力生產(chǎn)的必要環(huán)節(jié) 在線運(yùn)行 但不具備控制功能 使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò) 與控制區(qū)中的系統(tǒng)或功能模塊聯(lián)系緊密 管理信息大區(qū) 管理信息大區(qū)是指生產(chǎn)控制大區(qū)以外的電力企業(yè)管理信息系統(tǒng)的集合 典型業(yè)務(wù)系統(tǒng)包括調(diào)度管理系統(tǒng) 行政電話網(wǎng)管系統(tǒng) 綜合數(shù)據(jù)網(wǎng)等 電力企業(yè)可根據(jù)具體情況劃分安全區(qū) 但不能影響生產(chǎn)控制大區(qū)的安全 電力監(jiān)控系統(tǒng)安全防護(hù)技術(shù)措施 技術(shù)措施 主要內(nèi)容 密碼技術(shù) 邏輯隔離 入侵檢測(cè) 防病毒措施 備用與容災(zāi) 主機(jī)防護(hù) Web服務(wù)的使用與防護(hù) 安全免疫 內(nèi)網(wǎng)安全監(jiān)視 技術(shù)措施 密碼技術(shù) 加密涉及三個(gè)基本元素 明文 密文和密鑰明文 cleartext 就是人們或計(jì)算機(jī)可懂的語(yǔ)言 密文 ciphertext 就是明文經(jīng)加密變換后人們或計(jì)算機(jī)不可懂的語(yǔ)言 密鑰 key 參與加密變換的一個(gè)參數(shù) 經(jīng)常是一個(gè)二進(jìn)制字符串 技術(shù)措施 密碼技術(shù) PKI技術(shù) PKI基于公鑰體系 在該體系的安全系統(tǒng)中 密鑰是成對(duì)生成的 每對(duì)密鑰由一個(gè)公鑰和一個(gè)私鑰組成 完全相同 技術(shù)措施 邏輯隔離 防火墻產(chǎn)品可以部署在安全區(qū)I與安全區(qū)II之間 橫向 實(shí)現(xiàn)兩個(gè)區(qū)域的邏輯隔離 報(bào)文過(guò)濾 訪問(wèn)控制等功能 入侵檢測(cè)系統(tǒng) 其IDS探頭主要部署在 安全區(qū)I與II的邊界點(diǎn) 調(diào)度數(shù)據(jù)專(zhuān)網(wǎng)的接入點(diǎn) 以及安全區(qū)I與II內(nèi)的關(guān)鍵應(yīng)用網(wǎng)段 其主要的功能用于捕獲網(wǎng)絡(luò)異常行為 分析潛在風(fēng)險(xiǎn) 以及安全審計(jì) 防病毒措施 病毒防護(hù)是調(diào)度系統(tǒng)與網(wǎng)絡(luò)必須的安全措施 建議病毒的防護(hù)應(yīng)該覆蓋所有安全區(qū)I II III的主機(jī)與工作站 病毒特征碼要求必須以離線的方式及時(shí)更新 備用與容災(zāi) 對(duì)關(guān)鍵業(yè)務(wù)的數(shù)據(jù)與系統(tǒng)進(jìn)行備份 確保數(shù)據(jù)損壞 系統(tǒng)崩潰情況下快速恢復(fù)數(shù)據(jù)與系統(tǒng)的可用性 技術(shù)措施 主機(jī)防護(hù) 通過(guò)合理地設(shè)置系統(tǒng)配置 服務(wù) 權(quán)限 減少安全弱點(diǎn) 禁止不必要的應(yīng)用 作為調(diào)度業(yè)務(wù)系統(tǒng)的專(zhuān)用主機(jī)或者工作站 嚴(yán)格管理系統(tǒng)及應(yīng)用軟件的安裝與使用 Web服務(wù)的使用與防護(hù) 禁止安全區(qū)I中通用Web服務(wù) 禁止安全區(qū)I中的計(jì)算機(jī)使用瀏覽器訪問(wèn)安全區(qū)II的Web服務(wù) 安全免疫 生產(chǎn)控制大區(qū)具備控制功能的系統(tǒng)應(yīng)逐步推廣應(yīng)用以密碼硬件為核心的可信計(jì)算技術(shù) 用于實(shí)現(xiàn)計(jì)算環(huán)境和網(wǎng)絡(luò)環(huán)境安全可信 免疫未知惡意代碼破壞 應(yīng)對(duì)高級(jí)別的惡意攻擊 內(nèi)網(wǎng)安全監(jiān)視 生產(chǎn)控制大區(qū)應(yīng)逐步推廣內(nèi)網(wǎng)安全監(jiān)視功