浅议电力二次自动化系统安全防护对策.docVIP

浅议电力二次自动化系统安全防护对策 　　摘 要：阐述了进行电力二次自动化系统安全防护的重要作用，分析了电网二次系统的基本特点，对电力二次自动化系统安全防护进行了深入探讨，以期为电力系统安全运行提供借鉴。 关键词：电力；二次自动化；系统；安全防护 中图分类号：F407.6文献标识码： A 0 引言 电力作为生产、生活的重要能源，对国民经济的可持续发展和人民群众生活水平的提高，具有十分重要的作用。随着经济的快速发展，各地对电力的需求越来越大，对电力的依赖度极高，因此，对电力安全，特别是二次系统安全提出了新的更高的要求。随着计算机技术和通信技术等科技含量高的技术在电力系统中应用的高速发展，电网二次系统技术得到长足发展，其在现代化电网中的应用越来越广泛，发挥的作用也越来越大，电网二次技术已成为电网安全、优质、经济运行不可或缺的技术手段。 1 电网二次系统主要特点 电力二次系统安全防护的现状随着近年来二次系统安全防护项目的实施，当前已完成地调、县调、500 kV 变电站及 220 kV 变电站生产控制区业务系统接入调度数据网及相应调度数据网边界的安全防护。随着应用系统的不断增加以及电网规模的不断扩充，二次自动化系统的规模也越来越大，二次系统安全风险随之增大，需要进一步完善管理手段。电网二次系统牵涉到所有的电力工作，包括保护设备、自动化设备、通信设备和计算机网络设备，牵涉范围大，从电网的调度自动化监测、电厂发电机控制、电压频率控制、保护装置、安全稳定、通信（微波、载波、总机、网络等）、变电站控制、系统办公、管理等所有电力工作层面。二次技术是应用新发展起来的新技术，负责电网核心业务；通信是自动化计算机的基础和脉搏；保护设备是电网安全生产的保障；计算机是其电网调度心脏；自动化是电网生产的眼、耳、鼻、皮肤、神经，以至手、脚、大脑。二次系统属于弱电设备，其灵敏高，工作电压低（一般为5～12 V），但承受雷电过电压和电磁脉冲能力较差。二次系统点多面广，分布在电网的各个厂站点，几乎是有电的地方就有弱电设备。 2 电力二次自动化系统安全防护对策探讨 2.1 软件安全防护对策 关键应用系统（如能量管理系统 SCADA/EMS/DMS、变电站自动化系统、电厂监控系统、配电自动化系统、电力交易系统等）的主服务器，以及网络边界处的通信网关、Web 服务器等，应该采用加固的 LINUX 或 UNIX 等操作系统。主机安全防护主要的方式包括：安全配置、安全补丁、采用专用的软件强化操作系统访问控制能力，以及配置安全的应用程序。操作系统安全加固措施包括：升级到当前系统版本、安装后续的补丁合集、加固系统 TCP/IP 配置、根据系统应用要求关闭不必要的服务、关闭 SNMP 协议避免利用其远程溢出漏洞获取系统控制权或限定访问范围、为超级用户或特权用户设定复杂的口令、修改弱口令或空口令、禁止任何应用程序以超级用户身份运行、设定系统日志和审计行为等。 数据库的加固措施包括：数据库的应用程序进行必要的安全审核、及时删除不再需要的数据库、安装补丁、使用安全的密码策略和账号策略、限定管理员权限的用户范围、禁止多个管理员共享用户账户和口令、禁止一般用户使用数据库管理员的用户名和口令、加强数据库日志的管理、管理扩展存储过程、数据定期备份等。由于安全区Ⅰ是整个二次系统的防护重点，提供 Web 服务将引入很大的安全风险，因此在安全区Ⅰ中禁止 Web 服务。安全区Ⅱ根据需要允许在本区专门开通安全Web 服务，其他业务系统的数据单向导入安全 Web 服务器，在安全区Ⅱ的安全 Web 服务器中进行数据发布。禁止安全区Ⅰ中的计算机使用浏览器访问安全区Ⅱ的安全 Web 服务。考虑到 Web 服务的不安全性，因此在安全区Ⅱ中仅允许在本区开通安全 Web 服务，而且用于安全 Web 服务的服务器与浏览器客户机统一布置在安全区Ⅱ中的一个逻辑子区———Web 服务子区，接入安全区Ⅱ交换机上的独立 VLAN 中。 2.2 电力二次系统中关于远程拨号访问的防护策略 当远程拨号访问生产控制大区时，要求远方用户使用安全加固的 LINUX 或 UNIX 系统平台，以防止将病毒、木马等恶意代码引入生产控制大区。远程拨号访问应采用调度数字证书，进行登录认证和访问认证。拨号访问的防护可以采用链路层保护方式或者网络层保护方式。链路保护方式使用专用链路加密设备，实现两端链路加密设备相互进行认证和对链路帧进行加密等安全功能。网络保护方式采用 VPN 技术在拨号服务器（RAS）与远程拨入用户建立加密通道，实现对网络层数据的机密性与完整性保护。 对于通过 RAS 访问本地网络与系统的远程拨号访问，建议采用网络层保护方式。对于以远方终端的方式通过被访问的主机