淺談枕頭壩電站電力監控二次安全防護系統建設

靳 帥，李 建 清

(國電大渡河枕頭壩發電有限公司，四川 樂山 614700)

0 引 言

近年以來，工控領域發生了數起網絡安全事故，電力監控系統的安全形勢日益嚴峻，開展電力監控安防工作，提升工控系統整體安全防護水平，建立和完善電力監控二次安全防護系統，對保障電力系統的安全穩定運行具有重要的意義[1]。

枕頭壩電站作為四川電網的骨干電源點，其安全生產對電網的穩定運行具有重要作用。通過電力監控二次安全防護系統建設，加強電站電力監控系統安全防護水平，抵御黑客及惡意代碼等對電站電力監控系統進行的惡意破壞和攻擊以及其它非法操作[2]，以滿足《關于印發電力監控系統安全防護總體方案等安全防護方案和評估規范的通知》(國能安全〔2015〕36 號)《電力監控系統安全防護規定》發改委14號令的相關要求和規定，從而有效地防止電站監控系統的癱瘓和失控及由此導致的電站一次系統事故和其他事故，以保障電力系統整體的安全運行。

1 安全防護系統建設原則

枕頭壩電站按照“安全分區、網絡專用、橫向隔離、縱向認證”電力監控系統的安全防護總體原則，結合電站實際情況，根據能源監管辦及國家電網公司相關文件要求，制定具體的建設原則，以保障電力監控系統和調度數據網絡的安全[3]。

1.1 加固操作系統

電站內監控系統關鍵應用系統的主服務器，以及網絡邊界處的通信網關機等，使用安全加固的操作系統。加固方式包括：關閉接口、清除弱口令、升級系統配置、安裝系統補丁、采用專用加固軟件強化操作系統、及時清除無用的應用程序等；非控制區的網絡設備與安全設備采用身份鑒別、訪問權限控制、會話控制等安全配置加固。對于外部存儲器、打印機等外設的使用嚴格管理；對于閑置的數據接口采用物理封禁和軟件封禁兩種方式徹底斷絕移動介質中的數據隱患帶來的威脅。

1.2 布置網絡入侵檢測系統

在安全區I與安全區II分別布置網絡入侵檢測系統，保證安全防護能實時、動態應對安全事件，增強對網絡行為的監察、控制和審計能力，檢測探頭布置在電力調度數據網接入交換機側，及時捕獲網絡異常行為、分析潛在威脅、進行安全審計。

1.3 配置漏洞掃描系統

安全I區與安全II區配置漏洞掃描系統，定期掃描主機服務器系統、數據庫及系統配置并進行加固；定期對網絡的不同斷面進行漏洞掃描，及時發現安全隱患。

1.4 布置惡意代碼防護系統

生產控制大區內統一布置惡意代碼防護系統，采取防范惡意代碼措施。對生產控制大區中的所有計算機統一進行病毒定義碼更新、防病毒政策設定、病毒情況監控，手動、定時病毒掃描及清除、病毒日志及匯總報表以及集中隔離未知病毒，并隔離有病毒的客戶端，手工定期升級惡意代碼防護系統病毒庫。

1.5 采取安全審計措施

生產控制大區采取安全審計措施，把安全審計與安全區網絡管理系統、綜合告警系統、IDS管理系統、敏感業務服務器登錄認證和授權、關鍵業務應用訪問權限相結合。

1.6 設置安全隔離裝置

在生產控制大區與管理信息大區之間設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度接近物理隔離。電力專用橫向單向安全隔離裝置作為生產控制大區與管理信息大區之間的必備邊界防護措施，是橫向防護的關鍵設置。生產控制大區內部的安全區之間采用具有訪問控制功能的網絡設備、防火墻的設施，實現邏輯隔離。

圖1 枕頭壩電站二次安防系統鏈路圖

2 安全防護系統布置

2.1 安全分區

按照《電力監控系統安全防護總體方案》：將電站基于計算機及網絡技術的業務系統劃分為生產控制大區和管理信息大區，并根據業務系統的重要性和對一次系統的影響程度將生產控制大區劃分為安全控制I區和安全控制II區，重點保護生產控制以及直接影響電力生產與機組運行的系統，該分區原則滿足安全可靠的要求[4]。枕頭壩電站安全分區情況見表1：

表1 枕頭壩電站安全分區情況

2.2 網絡專用

調度數據網是與生產控制大區相連接的專用網絡，承載電力實時控制、在線生產交易等業務。電站端的電力調度數據網在專用通道上使用獨立的網絡設備組網，在物理層面上實現與電力企業其他數據網及外部公共信息網的安全隔離。電站端的電力調度數據網劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區，符合網絡專用的原則。

2.3 橫向通信防護

橫向隔離是電力監控系統安全防護體系的橫向防線。枕頭壩電站高度重視網絡邊界的安全防護，為滿足電站ON-CALL系統數據傳輸的需要，在生產控制大區與信息管理大區之間布置了一臺南瑞正向隔離裝置，取消了原設計中的反向隔離裝置，只允許業務數據從生產控制大區向信息管理大區單向傳送；在控制區與非控制區之間布置硬件防火墻實現邏輯隔離，同時根據業務需要對防火墻進行策略配置，以確?？刂茀^內數據的絕對安全。

2.4 縱向通信防護

縱向加密認證是電力監控系統安全防護體系的縱向防線。電站生產控制大區與調度數據網的縱向連接處設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置，實現雙向身份認證、數據加密和訪問控制。

電站生產控制大區所連接的廣域網為電力調度數據網SPDnet，采用MPLS-VPN技術為安全區Ⅰ、Ⅱ分別提供兩個邏輯隔離的VPN。在生產控制大區內，分別配置了2套電力專用縱向加密認證裝置，實現網絡層雙向身份認證、數據加密和訪問控制，滿足電力監控系統防護的要求[5]。

2.5 綜合安全防護體系

綜合防護是結合國家信息安全等級保護工作的相關要求對電力監控系統從主機、網絡設備、惡意代碼防范、應用安全控制、審計、備份及容災等多個層面進行信息安全防護的過程。

2.5.1 防病毒系統

在電站安全I區、II區中分別布置一套景云網絡防病毒系統。對生產控制大區中的所有計算機統一進行病毒定義碼更新、防病毒策略設定、病毒情況監控，手動、定時的病毒掃描及清除、病毒日志及匯總報表以及集中隔離未知病毒，并能隔離有病毒的客戶端。每月由專人定期升級防病毒系統病毒庫，提高抗病毒能力。

2.5.2 安全審計系統

在安全I區和安全II區分別配置一套啟明星辰TSOC-SA2100安全審計裝置。通過SNMP協議的方式獲取安全設備(如防火墻、IDS 、專用隔離設備、防病毒系統等)和調度數據網設備的安全事件信息，對網絡安全事件信息進行集中分析過濾、處理、保存。

2.5.3 主機加固

按照二次安防對生產大區的核心服務器配置主機加固的要求，對全站具備操作系統的主機或服務器中統一配置一套北京信達主機加固軟件，強化操作系統訪問控制能力以及配置安全的應用程序。并在日常工作中加強對服務器登錄賬戶和口令的管理和優化，注重對操作系統的異常情況分析檢測，及時發現和排查系統漏洞和問題[6]。

2.5.4 漏洞掃描系統

在安全Ⅰ區和安全Ⅱ區分別配置一套啟明星辰CSNS-H3漏洞掃描系統。對安全Ⅰ區和安全Ⅱ區的服務器、數據庫、主機和網絡設備定期手動掃描弱配置并進行加固；每月由專人定期對網絡的不同斷面進行漏洞掃描，及時發現安全隱患。

2.5.5 入侵檢測裝置

枕頭壩電站分別在生產控制區和調度數據網分別布置一套啟明星辰網絡入侵檢測系統。生產控制區入侵檢測裝置檢測探頭布置于工程師站、兩臺集控通訊服務器、Ⅱ區接入交換機進行實時檢測；調度數據網入侵檢測裝置檢測探頭布置于省調接入網實時和非實時交換機進行檢測[7]。從而保證安全防護系統能實時、動態應對安全事件，增強對網絡行為的監察、控制和審計能力。

2.5.6 網絡機柜

為保證二次安防系統的安全高效運行，配置一套標準網絡機柜用于布置二次安防設備，做到專柜專用，同時提供兩路冗余電源，保證供電電源的可靠。

3 安全防護系統管理

為充分發揮綜合安全防護系統作用，提高抵御網絡安全風險的能力，枕頭壩電站在系統建設中制定了嚴格的管理規定，定期開展相關作業，不斷升級優化系統功能，以保證安全防護體系能夠有效應對監控系統和工控網絡安全威脅，時刻發揮出最大的作用。

3.1 口令更新

針對系統加固，采用定期對關鍵服務器、邊界防護設備等系統用戶口令進行更新，口令不少于十位，并采用字母大小寫加數字加至少三位特殊字符的組合。

3.2 漏洞掃描

定期對漏洞掃描系統漏洞庫進行離線更新，并手動對相關系統進行漏洞掃描。

3.3 記錄備份

定期對入侵檢測規則庫進行離線更新，及時處理入侵報警信息，對裝置運行記錄進行備份。

3.4 手動查殺

定期對日志審計系統的日志審計記錄進行核查并進行備份，對防惡意代碼系統病毒庫進行離線更新，并對相關系統進行手動查殺。

3.5 升級更新

定期對網絡邊界防護裝置如防火墻、隔離裝置、縱向加密裝置的配置文件及配置策略進行一次備份，當系統網絡結構或業務內容發生變化時，及時對配置策略升級更新。

3.6 異地存放備份文件

對監控機房內各計算機節點的軟件、配置文件、數據、日志審計系統的審計日志等重要信息進行備份并異地存放，確保系統一旦發生故障時能夠快速恢復。

4 結 語

枕頭壩電站電力監控系統二次安防系統的建設，完善了電站電力監控系統及調度數據網絡的安全防護體系，滿足電力二次安防相關的要求。同時也大大提高了抵御黑客及惡意代碼等外部攻擊和入侵對電力監控系統進行的惡意破壞和攻擊，以及其他非法操作的能力，可有效防止系統癱瘓和失控、及由此導致的電站生產事故，從而有力地保障了枕頭壩電站監控系統和工控網絡的安全運行。