電力二次系統(tǒng)安全防護介紹課件

電力二次系統(tǒng)安全防護

總體技術介紹電力二次系統(tǒng)安全防護介紹1、安全防護方案電力二次系統(tǒng)安全防護介紹通訊服務器發(fā)電用電輸電變電配電RTURTURTU數據采集和傳輸應用服務器電網調度電力二次系統(tǒng)示意圖電力二次系統(tǒng)安全防護介紹電力二次系統(tǒng)安全隱患分析一些調度中心、發(fā)電廠、變電站在規(guī)劃、設計、建設及運行控制系統(tǒng)和數據網絡時，在沒有進行有效安全防護的情況下與外網互連。電力監(jiān)控系統(tǒng)和數據網絡本身缺乏必要的安全防護措施。存在直接進入設備系統(tǒng)機房，或采用線路搭結手段，進入計算機監(jiān)控系統(tǒng)的可能性。存在不安全撥號等后門。對自動化設備的研發(fā)和生產過程缺乏有效的安全管理方法。管理及運行人員缺乏必要的經驗和安全意識。電力二次系統(tǒng)安全防護介紹電力二次系統(tǒng)安全防護相關法規(guī)

為了貫徹落實國家電力監(jiān)管委員會第5號令《電力二次系統(tǒng)安全防護規(guī)定》（簡稱《5號令》）和原國家經貿委[2002]第30號令《電網和電廠計算機監(jiān)控系統(tǒng)及調度數據網絡安全防護的規(guī)定》（簡稱《30號令》），構建電力二次系統(tǒng)安全防護體系，保障電力二次系統(tǒng)的安全，從而保障電力系統(tǒng)的安全穩(wěn)定運行，制定電力二次安全防護方案。電力二次系統(tǒng)安全防護介紹4、縱向認證3、橫向隔離電力企業(yè)數據網控制區(qū)非控制區(qū)管理區(qū)信息區(qū)電力調度數據網生產控制大區(qū)管理信息大區(qū)防火墻2、網絡專用1、安全分區(qū)1234“十六字原則示意圖”電力二次系統(tǒng)安全防護介紹橫向與縱向防護結構上級調度/控制中心下級調度/控制中心上級信息中心下級信息中心實時VPNSPDnet

非實時VPNIP認證加密裝置安全區(qū)I(實時控制區(qū))安全區(qū)II(非控制生產區(qū))安全區(qū)III(生產管理區(qū))安全區(qū)IV(管理信息區(qū))外部公共因特網生產VPNSPTnet

管理VPN防火墻防火墻IP認證加密裝置IP認證加密裝置IP認證加密裝置防火墻防火墻安全區(qū)I(實時控制區(qū))

邏輯隔離安全區(qū)II(非控制生產區(qū))安全區(qū)III(生產管理區(qū))

防火墻

防火墻安全區(qū)IV(管理信息區(qū))專線

邏輯隔離

防火墻

防火墻PSTN移動用戶撥號網關PSTN移動用戶撥號網關正向專用安全隔離裝置反向專用安全隔離裝置正向專用安全隔離裝置反向專用安全隔離裝置遠動通信安全網關1234電力二次系統(tǒng)安全防護介紹調度安全防護總體結構示意圖電力二次系統(tǒng)安全防護介紹220kV及以上變電站二次系統(tǒng)安全防護示意圖電力二次系統(tǒng)安全防護介紹

配電二次系統(tǒng)安全防護示意圖

電力二次系統(tǒng)安全防護介紹2、相關的安全防護設備電力二次系統(tǒng)安全防護介紹2.1、橫向安全隔離電力二次系統(tǒng)安全防護介紹安全隔離原理

安全隔離設備，也稱為“網閘”，其原理是模擬人工的數據“拷貝”，不建立兩個網絡的“物理通路”，所以網閘是把應用的數據“剝離”，擺渡到另外一方后，再通過正常的通訊方式送到目的地，因此從安全的角度，網閘擺渡的數據中格式信息越少越好，當然是沒有任何格式的原始數據就更好了，因為沒有格式信息的文本就沒有辦法隱藏其他的非數據的東西，減少了攜帶非法信息的可能性。硬件物理層驅動程序層應用程序層硬件物理層驅動程序層應用程序層內網外網應用數據電力二次系統(tǒng)安全防護介紹安全隔離概念

可以阻斷網絡直接連接，兩個網絡不同時連接在設備上；可以阻斷網絡邏輯連接，即TCP/IP必須被剝離，將原始數據非網方式傳送；隔離傳輸機制具有不可編程性；任何數據都是通過兩級代理方式完成；具備對數據的審查功能，數據不具有攻擊及有害的特性；具有強大的管理與控制功能；電力二次系統(tǒng)安全防護介紹電監(jiān)會技術要求

根據國家電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》的要求,安全隔離設備技術要求如下：1) 實現(xiàn)兩個安全區(qū)之間的非網絡方式的安全的數據交換，并且保證安全隔離裝置內外兩個處理系統(tǒng)不同時連通；2) 表示層與應用層數據完全單向傳輸，即從安全區(qū)III到安全區(qū)I/II的TCP應答禁止攜帶應用數據；3) 透明工作方式：虛擬主機IP地址、隱藏MAC地址；4) 基于MAC、IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報文過濾與訪問控制；5) 支持NAT；6) 防止穿透性TCP聯(lián)接：隔離裝置內外兩個網卡在裝置內部是非網絡連接，且只允許數據單向傳輸。7) 具有可定制的應用層解析功能，支持應用層特殊標記識別；8) 安全、方便的維護管理方式電力二次系統(tǒng)安全防護介紹雙機非網結構內網外網內網分區(qū)外網分區(qū)安全隔離分區(qū)LANCPU主板1LANCPU主板2非網通信電力二次系統(tǒng)安全防護介紹兩級代理方式網卡設備驅動讀取、寫入鏈路數據包防火墻模擬TCP/UDP模塊（連接終止）安全隔離區(qū)鏈接…網卡設備驅動讀取、寫入鏈路數據包防火墻模擬TCP/UDP模塊（連接發(fā)起）鏈接n鏈接…內網允許發(fā)起連接外網不允許發(fā)起連接鏈接n電力二次系統(tǒng)安全防護介紹典型連接方式I區(qū)SCADAIII區(qū)MIS正向隔離裝置1正向隔離裝置2I#網II#網I#網II#網電力二次系統(tǒng)安全防護介紹正向隔離裝置管理信息大區(qū)隔離裝置生產控制大區(qū)

完全單向通訊方式（UDP）；單向數據1Bit返回方式（TCP）；電力二次系統(tǒng)安全防護介紹反向隔離裝置管理信息大區(qū)隔離裝置生產控制大區(qū)反向安全隔離裝置用于從管理信息大區(qū)到生產控制大區(qū)單向數據傳輸，集中接收管理信息大區(qū)發(fā)向生產控制大區(qū)的數據，進行簽名驗證、內容過濾、有效性檢查等處理后，轉發(fā)給生產控制大區(qū)內部的接收程序。電力二次系統(tǒng)安全防護介紹2.2、縱向加密認證電力二次系統(tǒng)安全防護介紹基本要求

按照《電力系統(tǒng)專用縱向加密認證裝置技術規(guī)范》的要求設計與研制。位于電力控制系統(tǒng)的內部局域網與電力調度數據網絡的路由器之間，為電力通信提供安全可靠的服務：用于生產控制區(qū)的廣域網邊界防護，在為本地提供一個網絡屏障同時為上下級控制系統(tǒng)之間的廣域網通信提供認證與加密服務，實現(xiàn)數據傳輸的機密性、完整性保護。重點保護電力實時閉環(huán)監(jiān)控系統(tǒng)及調度數據網絡的安全，禁止外部非授權用戶的非法進入，防止從網絡傳輸平臺引入的攻擊和破壞造成的的電力系統(tǒng)事故。電力二次系統(tǒng)安全防護介紹縱向加密認證裝置SPDnetMPLSVPN接入交換機SCADA服務器調度員網關機接入交換機網關機當地監(jiān)控服務器間隔單元執(zhí)行裝置人機工作站廠站自動化系統(tǒng)調度自動化系統(tǒng)網絡層應用層，服務傳輸層+應用層最終用戶當地認證56所30所數據所縱向加密認證裝置電科院南自院典型部署電力二次系統(tǒng)安全防護介紹2.3、遠程接入防護電力二次系統(tǒng)安全防護介紹傳統(tǒng)遠程維護的安全隱患在電力監(jiān)控系統(tǒng)中通常是采用Modem實現(xiàn)遠程維護功能，這種訪問方式存在非常大的安全隱患，主要如下：系統(tǒng)維護人員的安全意識不夠，維護口令采用原廠家默認口令且長期不變，容易造成泄漏維護口令等敏感信息導致執(zhí)行非授權的操作；在系統(tǒng)撥號維護期間采用明文進行傳輸，非法入侵者容易對電力監(jiān)控系統(tǒng)發(fā)送非法控制命令，導致電力系統(tǒng)事故；沒有對遠程維護人員進行身份認證、操作過程等進行詳細記錄，出現(xiàn)問題時難以進行審計。電力二次系統(tǒng)安全防護介紹通過遠程撥號訪問生產控制大區(qū)，要求遠方用戶使用安全加固的操作系統(tǒng)平臺，結合數字證書技術，進行登錄認證和訪問認證。對于通過撥號服務器(RAS)訪問本地網絡與系統(tǒng)的遠程撥號訪問的方式，應當采用網絡層保護,應用VPN技術建立加密通道。對于以遠方終端直接撥號訪問的方式，應當采用鏈路層保護，使用專用的鏈路加密設備。

對于遠程用戶登錄到本地系統(tǒng)中的操作行為，應該進行嚴格的安全審計。出自電監(jiān)安全（2006）34號附件1：《電力二次系統(tǒng)安全防護總體防護方案》安全防護方案中對撥號接入的要求

電力二次系統(tǒng)安全防護介紹產品特點HRFW-3000V電力系統(tǒng)專用遠程撥號安全服務器是根據國家電力二次系統(tǒng)安全防護要求，針對遠程撥號接入而設計的。裝置采用工業(yè)級硬件、調度數字證書身份認證、防火墻、VPN等安全技術，對接入用戶進行認證，對傳輸的信息進行加密和數字簽名，對接入的用戶訪問的范圍和資源進行限制，通過審計日志對其訪問進行記錄，以提高安全防護強度，保證撥號操作的安全性和可追查性。電力二次系統(tǒng)安全防護介紹使用場合電力二次系統(tǒng)安全防護介紹2.4、公網安全防護電力二次系統(tǒng)安全防護介紹目前使用公網通信的系統(tǒng)“公網”由于其具備覆蓋范圍或建設與運行成本低等特點，在電力系統(tǒng)主要有如下應用：序號主站

公網使用方式子站系統(tǒng)1地調及以上調度自動化系統(tǒng)衛(wèi)星網絡應急通信220KV及以上變電站RTU或綜自系統(tǒng)2地調及以上調度電能量采集系統(tǒng)電話撥號備用通道220KV及以上變電站電量采集子站3地調及以上調度保護及故障信息采集系統(tǒng)電話撥號備用通道220KV及以上變電站保護信息子站4部分縣調及地調系統(tǒng)GPRS/CDMA主通道35Kv變電站RTU5部分縣調及地調系統(tǒng)GPRS/CDMA主通道小水電數據采集系統(tǒng)6配電及用電網管理系統(tǒng)GPRS/CDMA主通道配電終端電力二次系統(tǒng)安全防護介紹公網通信的安全風險

公網是基于IP的骨干網，而目前許多黑客都對TCP/IP協(xié)議非常熟悉，這就使得它更容易受到攻擊。公網可能面臨的攻擊如下：● 黑客：是指試圖從外部IP網絡（如Internet）侵入到公網的人，他們的目的是破壞公網或者竊取信息以顯示他們的能力，也有的是為了出賣信息來賺錢?！?管理人員：應確保公網網絡管理人員對系統(tǒng)不造成任何危害，對他們訪問內部網絡的權限要加以限制?！?服務提供商：大多數服務提供商都不是有意的破壞公網，但是由于疏于軟件更新或其它類似的情況都會對網絡造成威脅。電力二次系統(tǒng)安全防護介紹公網安全防護策略

電力系統(tǒng)公網數據通信安全防護項目實現(xiàn)“網絡隔離、身份認證、傳輸加密、權限受控”的措施來進行安全防護：1) 將電力系統(tǒng)內網與傳輸遠動數據的公網進行網絡隔離2) 在遠動通信通道建立的過程中進行基于調度數字證書的身份驗證3) 所有通信數據采用密文傳輸，保證數據的機密性、完整性、不可否認性4) 對傳輸數據的相關權限可以根據策略進行控制

電力二次系統(tǒng)安全防護介紹

產品采用“雙機非網”的結構模式，“內網主機”與內網（安全區(qū)I、II）以網絡或串口的方式連接，“外網主機”與公網以網絡連接，“內網主機”與“外網主機”以高速串口結合非網絡協(xié)議方式連接，從而達到既能保證應用程序之間進行雙向數據通信，又能保證網絡層面公網與內網之間網絡隔離。產品基本結構電力二次系統(tǒng)安全防護介紹項目專利成果電力二次系統(tǒng)安全防護介紹電網應急通信系統(tǒng)應用電力二次系統(tǒng)安全防護介紹電廠數據接入應用電力二次系統(tǒng)安全防護介紹實際接入現(xiàn)場情況序號使用單位數量1貴港供電局172云南文山供電局13廣東電力通信114韶關供電局25東莞供電局26凱里供電局27東方二電廠18北京燕山石化分公司39廣西玉林供電局410廣西河池供電局2011甘肅嘉峪關供電局40電力二次系統(tǒng)安全防護介紹珠海市鴻瑞軟件技術有限公司3.5、更高安全等級的單向隔離防護電力二次系統(tǒng)安全防護介紹單向技術的發(fā)展趨勢電力二次系統(tǒng)安全防護介紹數據泵單向技術

數據泵技術也稱為“安全存儲轉發(fā)技術”。它是在基于通訊的基礎上，只允許單方向傳送數據，反方向只有控制信息的可以通過，比如數據的收到確認、差錯控制、流量控制等等。也就是通訊協(xié)議中只讓一個方向的數據通過。數據泵技術中雖然數據是單方向的，但協(xié)議控制信息是雙方向傳遞的，若協(xié)議本身存在漏洞，則有可能利用協(xié)議的漏洞達到反向發(fā)送數據的可能。（4字節(jié)是指反向控制信息，存在漏洞，因此現(xiàn)在升級為1比特，出現(xiàn)漏洞的可能性大大降低，但還是有可能性（1比特反向通道客觀存在））電力二次系統(tǒng)安全防護介紹單向二極管技術

數據二極管技術：若連反向的控制協(xié)議也取消，采用“盲發(fā)”的方式，也就是一方只管發(fā)送，另一方只管接收，至于數據是否有錯誤，是否完整都不去管它，反向沒有數據通道也沒有控制通道，完全處于盲狀態(tài)。也可以理解為在傳統(tǒng)的全雙工通訊中只選擇一個方向的線路，所以也稱為信息流的單向技術。錯誤處理措施：發(fā)送方增加冗余校驗出現(xiàn)不能恢復的錯誤通過其它途徑（人工或反向裝置處理）電力二次系統(tǒng)安全防護介紹單向技術在國外的情況

數據二極管技術的產品化，國外已經趨于成熟，比較出名的有美國Owl公司，荷蘭Fox-IT公司，澳大利亞Tenix公司。例如從owl公司產品介紹來看，其是以生產的硬件單向光纖網卡為基礎而形成了一系列的配套軟件產品，其關鍵是進行了兩次單向隔離處理；1. OwlCommunicationCards2. ProductsOverview3. DirectorySystem4. OwlScanSystem5. UDPPacketTransferSystem6. TCPPacketTransferSystem7. SecureNetworkPacketTransferSystem8. RemoteService9. OwlReleaseManagementSystem10. OwlTSABIOWTSystem電力二次系統(tǒng)安全防護介紹單向千兆隔離裝置情況

珠海鴻瑞研制的網絡隔離裝置（單向型）采用基于多模光纖的單向光接口技術，與國外的單向二極管技術相似，主CPU采用國產龍芯2F,網絡平均帶寬300Mbps，速度是百兆裝置的6倍LANLAN安全區(qū)I、II安全區(qū)III內網主機外網主機龍芯CPU主板單向光纖非網通信LANLAN龍芯CPU主板LANLANLANLAN電力二次系統(tǒng)安全防護介紹珠海市鴻瑞軟件技術有限公司3.6、電力系統(tǒng)專用安全網管電力二次系統(tǒng)安全防護介紹對電力應用系統(tǒng)多層次統(tǒng)一集中監(jiān)測

HRNM-3000電力系統(tǒng)安全網管裝置可以對主機設備、網絡設備、存儲與備份系統(tǒng)、數據庫、中間件、業(yè)務應用系統(tǒng)等實現(xiàn)統(tǒng)一監(jiān)管和集中管理，對安全事件進行收集和綜合分析，對電力二次系統(tǒng)的整體運行情況圖形化監(jiān)視和報表呈現(xiàn)，對系統(tǒng)事件和安全事件進行及時統(tǒng)一報警，降低IT管理維護的復雜性，從而達到“集中監(jiān)管、集中管理、集中維護”的目標。

電力二次系統(tǒng)安全防護介紹采用安全隔離技術對各安全區(qū)進行聯(lián)合監(jiān)測

電力二次系統(tǒng)中的網絡監(jiān)管對象廣泛分布在生產控制大區(qū)和管理信息大區(qū)，HRNM-3000電力系統(tǒng)安全網管裝置采用符合電監(jiān)會標準的單向安全隔離技術，在不改動系統(tǒng)網絡環(huán)境的情況下，可以跨各安全區(qū)域，實現(xiàn)統(tǒng)一監(jiān)視和集中管理。

電力二次系統(tǒng)安全防護介紹隔離技術通信架構

通過不同網絡接口對電力系統(tǒng)各個VLAN進行邏輯連接采