电力二次系统安全防护培训.ppt

建立完善的安全管理制度 以加强运行管理 人员管理 权限管理 访问控制管理 设备及子系统的维护管理 恶意代码（病毒及木马等）的防护 审计管理 数据及系统的备份管理 用户口令及数字证书的管理 应急处理 联合防护 数据传输过程 协商完成后，建立隧道，主机A访问主机B全过程 ①主机A向主机B发送报文 192.168.1.1-192.168.2.1 (TCP协议) ②纵向装置A在0口接收到该报文，查找策略为加密策略且隧道OPEN，将整个IP报文加密并重新构造IP头，源IP为192.168.1.250，目的IP192.168.2.250，协议为ESP。192.168.1.250-192.168.2.250(ESP协议) ③纵向装置B在1口接收到该报文，查找对应隧道进行解密还原，策略判断。发送至eth0口。 192.168.1.1-192.168.2.1(TCP协议) ④主机B接收到报文，产生应答。 结论 纵向加密认证装置更适用于实时通信 第三部分 安全防护技术和装置 问题：接收方如何知道发送方就是合法的？ 关键技术——电力调度数字证书 电力调度数字证书是专用于电力调度业务需要的数字证书，主要用于生产控制大区，可使用于交互式登录的身份认证、网络身份认证、通信数据加密及认证（包括数据完整性和数据源认证）等。 地市以上调度控制中心应该建立电力调度证书系统。 关键技术——电力调度数字证书 用户首先产生自己的密钥对 将自己的公钥及部分个人身份信息传送给认证中心 认证中心验证个人身份。 认证中心对用户的公钥和个人信息进行签名 认证中心发给用户一个数字证书。 数字证书颁发过程 至此，用户就可以使用自己的数字证书进行相关的各种活动。数字证书由独立的证书发行机构发布。 调度证书系统结构 证书链短，认证效率高 风险分散 国调 根 国调 省调 网调 其他 网调 网调 省调 省调 省调 省调 地调 地调 * * 电力专用拨号加密认证装置 * * 部署位置 变电站自动化系统的拨号安全防护方案 调度自动化系统的拨号安全防护方案 * * 应用场景 按照国家电力调度中心电力二次系统安全防护要求，电力信息系统分为生产控制大区及生产管理大区，电力系统专用拨号加密认证装置主要用于生产控制大区的远程拨号安全接入,参考下图： 电力系统专用拨号加密认证装置将TCP/IP网络通讯技术、IPSEC安全隧道技术以及USB KEY加密认证技术完美地融合在一起，为生产控制大区的技术维护人员提供安全的远程接入，实现随时随地以拨号方式接入使用，并且无需网络或应用软件做任何改动，提高维护工作效率，同时保证信息安全。 总体方案 其他安全防护技术措施 备份与恢复 数据与系统备份 对关键应用的数据与应用系统进行备份，确保数据损坏、系统崩溃情况下快速恢复数据与系统的可用性。 设备备用 对关键主机设备、网络的设备与部件进行相应的热备份与冷备份，避免单点故障影响系统可靠性。 异地容灾 对实时控制系统、电力市场交易系统，在具备条件的前提下进行异地的数据与系统备份，提供系统级容灾功能，保证在规模灾难情况下，保持系统业务的连续性。 备份系统 在一定的备份策略的引导下，通过磁带库等设备对系统进行备份也十分必要。 备份系统由备份管理系统和备份设备构成。 备份策略 ：全备份 (Full Backup) ，增量备份 (Incremental Backup) （又分：差量备份及累计备份） 防病毒措施 病毒防护是调度系统与网络必须的安全措施。建议病毒的防护应该覆盖所有安全区I、II、III的主机与工作站。病毒特征码要求必须以离线的方式及时更新。 防火墙 防火墙产品仅用于横向逻辑隔离防护，部署在安全区I与安全区II之间、安全区III与安全区IV之间，实现两个区域的逻辑隔离、报文过滤、访问控制等功能。 防火墙安全策略主要是基于业务流量的IP地址、协议、应用端口号、以及方向的报文过滤。 具体选用的防火墙必须经过有关部门认可的国产硬件防火墙。 入侵检测 IDS 对于安全区I与II，建议统一部署一套IDS管理系统。考虑到调度业务的可靠性，采用基于网络的入侵检测系统（NIDS），其IDS探头主要部署在： 安全区I与II的边界点、SPDnet的接入点、以及安全区I与II内的关键应用网段。其主要的功能用于捕获网络异常行为，分析潜在风险，以及安全审计。 对于安全区III，禁止使用安全区I与II的IDS，建议与安全区IV的IDS系统统一规划部署。 主机防护 安全配置 通过合理地设置系统配置、服务、权限，减少安全弱点。禁止不必要的应用，作为调度业务系统的专用主机或者工作站， 严格管理系统及应用软件的安装与使用。 安全补丁 通过及时更新系统安全补丁，消除