浅述水电厂二次防护措施.docVIP

浅述水电厂二次防护措施 　　摘要 本文浅谈水电厂二次防护的基本要求及本公司的实际工程实情况。本工程目的是确保实时监控系统（SCADA）及各应用系统的安全，各应用系统之间能进行数据交换，保证关键业务数据能上报到相关的管理机构。本公司安全分区是，安全区I：实时控制区发电厂自动监控系统、继电保护系统，还包括与中调调度、水调系统、电能系统、OA系统的边界设备；安全区II：非控制生产区水调自动化系统及故障录波信息管理系统、电能量计量系统；安全区III：生产管理区大坝观测系统、运行管理终端、生产管理实时系统；安全区IV：管理信息区管理信息系统（MIS）、办公自动化系统（OA）、财务系统、人力资源管理系统（e-HR）、可靠性管理系统。防护措施是通过正向隔离装置和防火墙，按照电监会有关文件的要求，实施各系统互联。最终实现的功能是各应用系统能取得所需数据，各系统能安全运行，业务数据能上报到上级单位或专业管理机构。 　　关键词 水电厂；网络安全；案例分析 　　中图分类号TM6 文献标识码A 文章编号 1674-6708（2011）41-0025-02 　　为了认真贯彻落实《电力二次系统安全防护规定》等有关文件的精神，根据我公司信息系统当前的实际情况并结合《全国电力二次系统安全防护总体方案》，制定了我公司的二次系统防护措施。 　　1 安全防护目标 　　本公司二次系统安全防护的重点是确保实时监控系统（SCADA）及调度数据网络（与中心调度所直联）的安全，目标是抵御黑客、病毒、恶意代码等对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，不会因我公司的原因而导致二次系统的崩溃或瘫痪。 　　保证关键业务数据能上报到相关的管理机构。 　　2 防护策略 　　2.1总体策略 　　1）分区防护、突出重点。根据系统中的业务的重要性和对一次系统的影响程度进行分区，重点保护实时监控系统以及生产业务系统；2）所有系统都必须置于相应的安全区内，纳入统一的安全防护方案；3）系统的安全区间隔离。安全区Ⅰ与安全区Ⅱ之间采用逻辑隔离；安全区Ⅰ、Ⅱ与安全区Ⅲ、Ⅳ之间隔离水平必须接近物理隔离；4）网络隔离。本公司没有使用电力数据通信网SPTnet，租用专业通讯公司的2M线路；5）纵向防护。安全区Ⅰ、Ⅱ的纵向边界部署了IP认证加密装置；安全区Ⅲ、Ⅳ的纵向边界应该部署硬件防火墙。 　　2.2二次系统参考逻辑结构 　　根据《电力二次系统安全防护规定》，本公司的二次系统防护逻辑结构如下图1所示。 　　2.3安全区之间的隔离要求 　　在各安全区之间均需选择适当安全强度的隔离装置。具体隔离装置的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。隔离装置选择经过国家电力系统有关部门认证的国产设备。 　　2.3.1安全区I安全区II之间的部署 　　安全区I与安全区II的业务系统均与电力生产关系密切的系统，数据交换较多，关系比较密切，可以作为一个逻辑大区，生产控制区。I、II区之间部署相应的逻辑隔离装置（硬件防火墙），禁止E-mail、Web、Telnet、Rlogin等服务穿越隔离设备。 　　 二次系统防护逻辑结构示意图 　　2.3.2安全区III与安全区IV之间的部署 　　安全区III与安全区IV的业务系统都属管理信息系统，采用专用的通信网络，作为另一个逻辑大区，生产管理信息区。III、IV区之间部署硬件防火墙。 　　2.3.3安全区I、II与安全区III、IV之间的部署 　　安全区I、II不得与安全区IV直接联系；安全区I、II与安全区III之间采用国家电网认定核准的专用正向型安全隔离装置。从安全区I、II往安全区III传动数据采用正向安全隔离装置单向传输，由安全区III不往安全区II传输数据。禁止E-mail、WEB、Telnet、Rlogin等网络服务和数据库访问功能穿越专用安全隔离装置，仅允许纯数据的单项安全传输。 　　2.4装置介绍 　　（正向）隔离装置用于安全区I/II到安全区III的单向数据传递。需要1台正向装置进行隔离防护。按照安全防护方案的要求，“严格禁止E-mail、Web、Telnet、Rlogin等网络服务和数据库访问功能穿越专用安全隔离装置”；以上规定明显要求不能在安全区III内对安全区II内的Web服务器进行访问。 　　在安全区I到安全区II的数据传递可以采用防火墙，在安全区Ⅰ与安全区Ⅱ必须部署经有关部门认定核准的硬件防火墙。实现两个区域的逻辑隔离、报文过滤、访问控制等功能。防火墙安全策略主要是对IP地址、协议、应用端口号、以及方向的报文过滤，禁止安全区Ⅰ和安全区Ⅱ内部的E-MAIL 服务，禁止安全区Ⅰ内部和纵向的Web服务。禁止跨安全区的E-MAIL 、Web服务。 　　3 实施方案 　　3.1安全区