电力二次系统安全监控日志规范.doc

电力二次系统安全监控 日志规范 （征求意见稿） 国家电力调度通信中心 2011年3月 目 录 1. 概述 3 2. 词汇表 3 3. 告警格式定义 3 3.1. 告警级别 4 3.2. 告警时间 4 3.3. 设备名称 4 3.4. 设备类型 4 3.5. 内容描述 5 3.5.1. 防火墙 5 3.5.2. 横向隔离装置 8 3.5.3. 纵向加密认证装置 10 3.5.4. 服务器 13 3.5.5. 防病毒系统 15 3.5.6. 入侵检测系统 16 4. 网络传输 16 概述 随着电力二次系统安全防护工作不断深入，智能电网调度技术支持系统逐步推广建设，电力二次系统安全监控即将在各网、省调建设推广，为加强对安全设备的监控管理，适应技术发展及调度生产管理的需要，制定本规范。本规范遵照《电力二次系统安全防护总体方案》要求，参考Syslog(IETF RFC 3164)格式，在电力二次系统内网安全监控中实现安全设备的告警日志在线采集功能。 本规范中定义的告警类型为各厂家安全设备必须实现的告警类型。 词汇表 词汇名称 词汇含义 备注 Syslog Syslog最初在加州伯克力大学TCP/IP系统（BSD）实现,用于跨网络的事件消息传送。由于它的可配置和易用性，已经在广泛的领域得到广泛应用，包括所有类型的Unix、Linux操作系统和基于它们的应用程序，包括CISCO路由器产品。 简单易用 RFC 3164 2001年8月IETF(The Internet Engineering Task Force) RFC 3164对Syslog进行了完整述。 告警格式定义 电力二次系统安全监控日志格式定义如下： 告警级别空格告警时间空格设备名称空格设备类型空格内容描述 其中加阴影底色的日志类型为告警日志，其余为审计日志。告警日志为紧急和重要级别，一般用于电力二次系统重大安全事件的实时告警；审计日志为次要和通告级别，一般用于电力二次系统运行情况的事后统计分析。在电力二次系统内网安全监控中使用开关模式控制接收日志的类型。默认只有告警日志写入数据库，当审计开关打开后，开始接收审计日志，并写入数据库，直到审计开关关闭为止。 告警级别 根据告警级别定义，约束相关过滤条件。通过筛选和过滤等手段，严格控制告警信息发布数量,分析并准确报送重要告警信息。 表示告警事件的紧急或者严重程度，采用如下4个值。 0 EMERG(0) 紧急(0) 1 ERR (1) 重要(1) 2 WARNNING (2) 次要(2) 3 NOTICE (3) 通告(3) 例如：0 2006-03-12 20:12:23 fw01 FW 0 System EXCEPTION 安全设备异常属于重要告警，需要马上处理。 告警时间 告警发生日期和时间格式YYYY-MM-DD HH:MM:SS，YYYY表示年份，MM为月份，DD是日期。24小时制，有效值为(00-23)，MM和SS的值的范围为(00-59)。月、日、时、分、秒各2个字符，小于10时十位应补0。 例如：0 2006-03-12 20:12:23 fw01 FW 0 System EXCEPTION 。 设备名称 标识产生告警事件的主机名字或者是主机IP地址。 例如：0 2006-03-12 20:12:23 fw01 FW 0 System EXCEPTION fw01为安全设备名称，也可以用设备IP地址描述。 设备类型 描述告警源的设备类型，是一个不超过32个字符的字符数字集。 例如：0 2006-03-12 20:12:23 fw01 FW 0 System EXCEPTION 设备类型FW为防火墙，设备类型定义如下表： FW 防火墙 IDS/IPS 入侵检测/保护系统 FID 横向正向隔离装置 BID 横向反向隔离装置 VEAD 纵向加密认证装置 SVR 服务器 AV 防病毒系统 内容描述 内容描述是日志的具体内容，其格式如下： 日志类型空格日志子类型空格内容 注：某些类型安全设备日志不具有子类型；以下告警内容中描述语言仅为示意，使用蓝色字体标明该部分具体内容可由各厂商自行决定。 防火墙 管理日志 类型=0空格子类型空格内容 子类型定义如下： 用户登录成功 告警级别：通告（3） 日志子类型：1 内容格式：用户名空格源地址 示例： 3 2006-03-12 20:12:23 fw01 FW 0 1 admin 10.1.1.1 用户退出 告警级别：通告（3） 日志子类型：2 内容格式：用户名空格源地址 示例： 3 2006-03-12 20:12:23 fw01 FW 0 2 admin