电力系统二次安全防护基础[借鉴].pptVIP

* * 安全区 IV 的典型系统 管理信息系统（MIS）、办公自动化系统（OA）、客户服务系统等。 典型特点：纯管理的系统 * 精品PPT·实用借鉴 电力二次系统安全防护总体示意图 上级调度/控制中心 下级调度/控制中心 上级信息中心 下级信息中心 实时VPN SPDnet 非实时VPN IP认证加密装置 安全区I (实时控制区) 安全区II (非控制生产区) 安全区III (生产管理区) 安全区IV (管理信息区) 外部公共因特网 生产VPN SPTnet 管理VPN 防火墙 防火墙 IP认证加密装置 IP认证加密装置 IP认证加密装置 防火墙 防火墙 安全区I (实时控制区) 防火墙 安全区II (非控制生产区) 安全区III (生产管理区) 防火墙 防火墙 安全区IV (管理信息区) 专线 正向专用安全隔离装置 反向专用安全隔离装置 正向专用安全隔离装置 反向专用安全隔离装置 防火墙 防火墙 防火墙 * 精品PPT·实用借鉴 * * 网络专用 电力调度数据网应当在专用通道上使用独立的网络设备组网，采用基于SDH/PDH上的不同通道、不同光波长、不同纤芯等方式，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。子网之间可采用MPLS-VPN技术、安全隧道技术、PVC技术或路由独立技术等来构造子网。电力调度数据网是电力二次安全防护体系的重要网络基础。 * 精品PPT·实用借鉴 * * 网络专用 SDH（N×2M） SDH（155M） SPDnet SPTnet 实时 控制 在线 生产 调度生产管理 电力综 合信息 实时 VPN 非实时 VPN 调度VPN 信息 VPN 语音视频VPN IP语音 视频 SDH/PDH传输网 电力调度数据网 电力企业数据网 * 精品PPT·实用借鉴 * * 横向隔离 物理隔离装置（正向型/反向型） * 精品PPT·实用借鉴 * * 横向隔离装置 必须通过公安部安全产品销售许可，获得国家指定机构安全检测证明，用于厂站的设备还需通过电力系统电磁兼容检测。 专用横向单向安全隔离装置按照数据通信方向分为正向型和反向型。 正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。 严格禁止 E-Mail、Web、Telnet、Rlogin、FTP 等通用网络服务和以 B/S 或 C/S 方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。 * 精品PPT·实用借鉴 隔离设备 实时 控制 系统 调度 生产 系统 接口机A 接口机B 安全岛 关键技术-正向型专用安全隔离装置 内网 外网 * 精品PPT·实用借鉴 内部应用网关 外部应用网关 1、采用非INTEL指令系统的（及兼容）双微处理器。 2、特别配置LINUX内核，取消所有网络功能，安全、固化的的操作系统。抵御除DoS以外的已知的网络攻击。 3、非网络方式的内部通信，支持安全岛, 保证装置内外两个处理系统不同时连通。 4、透明监听方式，虚拟主机IP地址、隐藏MAC地址，支持NAT 5、内设MAC/IP/PORT/PROTOCOL/DIRECTION等综合过滤与访问控制 6、防止穿透性TCP联接。内外应用网关间的TCP联接分解成两个应用网关分别到装置内外两个网卡的两个TCP虚拟联接。两个网卡在装置内部是非网络连接。 7、单向联接控制。应用层数据完全单向传输，TCP应答禁止携带应用数据。 8、应用层解析，支持应用层特殊标记识别 9、支持身份认证 10、灵活方便的维护管理界面 正向专用隔离装置 * 精品PPT·实用借鉴 反向型专用安全隔离装置 安全区III到安全区I/II的唯一数据传递途径。 反向型专用隔离装置集中接收安全区III发向安全区I/II的数据，进行签名验证、内容过滤、有效性检查等处理。处理后，转发给安全区I/II内部的接收程序。 具体过程如下： 1. 安全区III内的数据发送端首先对需发送的数据签名，然后发给反向型专用隔离装置； 2.专用隔离装置接收数据后，进行签名验证，并对数据进行内容过滤、有效性检查等处理； 3. 将处理过的数据转发给安全区I/II内部的接收程序。 * 精品PPT·实用借鉴 * 安全区与远方通信的安全防护要求(一) 安全区Ⅰ、Ⅱ所连接的广域网为国家电力调度数据网SPDnet。SPDnet为安全区Ⅰ、Ⅱ分别提供二个逻辑隔离的MPLS-VPN。安全区Ⅲ所连接的广域网为国家电力数据通信网（SP