变电站电力监控系统主机加固工作指引.docx

变电站视频及环境监控系统主机病毒查杀及加固工作指引

目标

为指导全网各单位开展变电站电力监控系统主机病毒查杀及加固工作，提高系统的主机安全防护能力，特编制本指引。

适用范围

本指引主要适用于变电站电力监控系统各工作站Windows操作系统，具体包括Windows7、Windows8、WindowsVista等的病毒查杀与安全加固工作；以及Unix/Linux类型的操作系统的病毒查杀与安全加固工作。

注：鉴于WindowsXP与Windows2000等操作系统已停止官方技术支持，原则上应升级为Windows7操作系统。

工作过程

1.系统退网

全部变电站视频及环境监控系统、设备在线监测系统原则上应退出综合数据网进行全面查杀与安全加固，整改合格后方能并网。退出方法为：在各变电站综合数据网接入交换机上通过交换机命令，断开变电站视频及环境监控系统连接端口。（由通信专业负责）

2.边界加固

（1）在综合数据网接入交换机上配置ACL策略，用白名单的方式只允许在该交换机变电站视频及环境监控系统业务的接入端口及限制双向访问的IP地址及端口，并在黑名单的方式在该交换机所有端口禁止135-139、445、3389等高风险端口业务的双向访问。（由通信专业负责）

（2）变电站视频及环境监控系统、设备在线监视系统的业务通道接入综合数据网交换机前配置了视频专用的三层交换机或路由器的，应在该交换机或路由器上做好地址映射，修改局域网内网络地址段，不与外网地址同段。

（3）变电站视频及环境监控系统的业务通道直接接入视频及环境监控系统局域网的，如果视频通信控制设备（RPU、DVR、NVR）具备两个独立网口，应将业务通道从局域网交换机上转接至视频通信控制设备的外网口上，修改局域网内网络地址段，不与外网地址同段。如果视频通信控制设备（RPU、DVR、NVR）只有一个网口的，暂时维持现有接入方式，及时安排升级改造。

3.病毒查杀

使用已安装好的防病毒客户端进行病毒查杀或单独使用杀毒U盘进行杀毒。其中杀毒U盘的应用场景为：对部分确实无法安装恶意代码防御客户端的主机（典型如兼容性问题），使用杀毒U盘定期进行病毒查杀。

（1）病毒查杀范围为变电站所有电力监控系统Windows、unix/linux工作站；

（2）病毒查杀分为查与杀两步进行，针对发现的每一个病毒须由所属单位运维人员确认后方可执行；

病毒查杀过程具体参照《附录1查杀方法说明》。

4.系统加固

系统加固与病毒查杀过程同步开展，针对单台主机，先查杀，后加固，具体包括以下工作内容：

（1）对操作系统进行全面配置加固，加固具体过程可参照《附录2加固方法说明》；

（2）安装本单位统一采购的防病毒系统，4G以下内存只装一套，4G以上安装360和安天2套防病毒客户端；

（3）卸载系统上安装的游戏、影音、即时通信、P2P下载等与业务无关软件。

5、病毒库更新

对于与管理中心IP不可达的设备，如监控后台机、五防机等，应确保可通过离线方式更新病毒库、防护策略、报表、告警等数据。变电站离线客户端版本部署后，应逐个确认以下设置，避免对业务软件的影响：

（1）确认默认查杀策略为“只检测不清除”，避免误杀应用进程；

（2）确认关闭自动补丁修复。主机仅根据南网要求手动安装指定补丁；

（3）将监控后台等关键业务软件目录加入白名单。

6、安全U盘和杀毒U盘

根据南网关于恶意代码防御的工作要求，各电力监控系统运维班组应配备专用数据拷贝U盘，专用杀毒U盘，专用杀毒电脑。

杀毒U盘：对部分确实无法安装恶意代码防御客户端的主机（典型如兼容性问题），使用杀毒U盘定期进行病毒查杀。

安全U盘：对所有Windows主机，要求使用安全U盘进行数据拷贝，不再使用原班组U盘。

班组专用U盘：仅可用于Linux主机的数据拷贝。且接入前应按业务指导书要求进行杀毒。（业务指导书见附件3）

各主机客户端应启用USB管控功能，任何情况下严禁外来U盘直接接入电力监控系统主机。安全U盘、杀毒U盘、原班组专用U盘应做好编号、命名和登记，明确负责人。安全U盘应定期回归，插入安装了360在线终端的主机上传使用日志，以便进行集中管理和审计。

5.整改验收

（1）系统病毒查杀与安全加固完成后逐项验收并填写《变电站视频及环境监控系统病毒查杀与安全加固作业表单》（每台主机分别填写1张表单），签字后汇总交本级调度机构归档保存；

（2）各分子公司将本单位《XX公司变电站视频及环境监控系统主机病毒查杀及加固统计表》报送至网公司系统运行部。

6.系统并网

（1）现场整改工作验收完成后，开启变电站视频及环境监控终端所连接的综合数据网接入交换机端口，系统并网运行；

（2）测试网络通信是否正常，测试业务是否正常，完成业务功能验收。

注意事项

病毒查杀与系统安全加固可能造成操作系统或应用系