2配电自动化系统网络安全防护方案.docVIP

2配电自动化系统网络安全防护方案 附件2 ? ? ? ? ? 配电自动化系统网络安全防护方案 ? 一、 编制说明 为了加强配电自动化系统安全防护，保障电力监控系统的安全，《电力监控系统安全防护规定》（国家发展和改革委员会令2014年第14号）（以下简称“14号令”）和《关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全〔2015〕36号）（以下简称“36号文”）等对配电自动化系统的安全防护做出了原则性规定。 现场配电终端主要通过光纤、无线网络等通信方式接入配电自动化系统，由于目前安全防护措施相对薄弱以及黑客攻击手段的增强，致使点多面广、分布广泛的配电自动化系统面临来自公网或专网的网络攻击风险，进而影响配电系统对用户的安全可靠供电，同时，当前国际安全形势出现了新的变化，攻击者存在通过配电终端误报故障信息等方式迂回攻击主站，进而造成更大范围的安全威胁。为了保障电网安全稳定运行，对配电自动化系统安全防护方案中的相关措施做进一步细化与补充，特制定本技术规定。 二、总体原则 （一）适用范围 本方案适用于10kV及以下电压等级配电自动化系统安全防护，重点描述配电自动化系统配电主站、纵向通信、配电终端等的安全防护措施；关于其安全分区、横向隔离、物理安全防护等方面的相关内容，参见14号令、36号文、《国家电网公司管理信息系统安全防护技术要求》(Q/GDW1594)以及国家和行业等级保护的相关要求。 ? （二）防护目标 本方案的防护目标是抵御黑客、恶意代码等通过各种形式对配电自动化系统发起的恶意破坏和攻击，以及其它非法操作，防止系统瘫痪和失控，并由此导致的配电网一次系统事故。 （三）防护原则 遵循14号令、36号文附件1及附件6的要求，参照“安全分区、网络专用、横向隔离、纵向认证”的原则，针对配电自动化系统点多面广、分布广泛、户外运行等特点，采用基于数字证书的认证技术及基于国产商用密码算法的加密技术，实现配电主站与配电终端间的双向身份鉴别及业务数据的加密，确保数据完整性和机密性；加强配电主站边界安全防护，与主网调度自动化系统之间采用横向单向安全隔离装置，接入生产控制大区的配电终端均通过安全接入区接入配电主站；加强配电终端服务和端口管理、密码管理、运维管控、内嵌安全芯片等措施，提高终端的防护水平。 三、安全防护方案 配电主站生产控制大区采集应用部分与配电终端的通信方式原则上以电力光纤通信为主，对于不具备电力光纤通信条件的末梢配电终端，采用无线专网通信方式；配电主站管理信息大区采集应用部分与配电终端的通信方式原则上以无线公网通信为主。无论采用哪种通信方式，都应采用基于数字证书的认证技术及基于国产商用密码算法的加密技术进行安全防护，配电自动化系统整体安全防护方案如图 ? 3-1所示。 当采用 EPON、GPON 或光以太网络等技术时应使用独立纤芯或波长。 当采用230MHz等电力无线专网时，应采用相应安全防护措施。 当采用GPRS/CDMA等公共无线网络时，应当启用公网自身提供的安全措施，包括： 1）采用APN+VPN或VPDN技术实现无线虚拟专有通道； 2）通过认证服务器对接入终端进行身份认证和地址分配； 3）在主站系统和公共网络采用有线专线+GRE等手段。 ? ? 图3-1 配电自动化系统整体安全防护方案? （一）系统典型结构及边界 配电自动化系统的典型结构如图3-2所示。按照配电自动化系统的结构，安全防护分为以下七个部分： 1.生产控制大区采集应用部分与调度自动化系统边界的安全防护（B1） 2.生产控制大区采集应用部分与管理信息大区采集应用部分边界的安全防护（B2） 3.生产控制大区采集应用部分与安全接入区边界的安全防护（B3） 4.安全接入区纵向通信的安全防护（B4） 5.管理信息大区采集应用部分纵向通信的安全防护（B5） 6.配电终端的安全防护（B6） 7.管理信息大区采集应用部分与其它系统边界的安全防护 （B7） 图3-2 配电自动化系统边界划分示意图 ? （二）生产控制大区采集应用部分的安全防护 1.生产控制大区采集应用部分内部的安全防护 无论采用何种通信方式，生产控制大区采集应用部分主机应采用经国家指定部门认证的安全加固的操作系统，采用用户名/强口令、动态口令、物理设备、生物识别、数字证书等2种或2种以上组合方式，实现用户身份认证及账号管