漢江王甫洲水電站電力監控系統安全防護系統改造分析

王傳磊

湖北漢江王甫洲水力發電有限責任公司 湖北 441800

電力二次系統是電網調度生產運行的有效組成部分之一，電網安全涉及國家安全和社會穩定，電網的安全穩定運行高度依賴電力二次系統。實施電力二次安全防護的目標是為了確保電力監控系統及電力調度數據網絡的安全，抵御黑客、病毒、惡意代碼等各種形式的惡意破壞和攻擊，特別是抵御集團式攻擊，防止電力二次系統的崩潰或癱瘓，以及由此造成的電力系統事故或大面積停電事故。隨著網絡、應用系統在電力生產控制大區中的廣泛使用，電力二次系統面臨的風險越來越大。

2017年9月由湖北省調及地調組成的檢查組，對電廠進行電力監控系統的專項檢查及根據襄陽供電公司襄供調[2019]3號《關于印發2018年12月電廠及用戶變電站電力監控系統安全防護運行情況的通報》，電廠地調接入系統實時縱向加密裝置無密通率上傳，不能管控等問題。經過技術人員現場檢查判斷，找到問題。

一、檢查中發現的問題

1.缺配置入侵檢測、缺配備日志審記、缺水情系統采用國產防火墻、缺操作系統安全加固。

2.設備投運時間較早，當時沒有密通率上傳及管控功能

3.路由器在運行中出現了故障，導致上傳地調數據網中斷.

二、針對發現的問題，我廠對照標準及規程規范要求，采取以下幾個方面的措施：

2.1 技術方面

2.1.1 物理安全按照安全分區的原則，將不同重要程度設備置于安全區域內，對重要設備采取電磁屏蔽措施。其防護強度等于等級保護要求。措施：按照設備、操作間進行機房物理區域劃分，按安全分區擺放機柜

2.1.2 電力監控系統遵循“安全分區、網絡專用、橫向隔離、縱向加密”的防護原則，將電力監控系統分置于生產控制大區和管理信息大區、在兩個大區之間部署橫向單向隔離裝置，在生產控制大區專用的調度數據專用網絡邊界部署縱向加密認證裝置，形成柵格狀安全防護體系架構，其防護強度等同于等級保護要求。措施：專網專用；安全分區；橫向邊界部署縱向加密裝置；縱向邊界部署縱向加密認證裝置，配置IP+限定端口的控制策略，啟用隧道密通功能。網絡設備安全加固，關閉不必要的服務和端口，限制登陸地址及用戶等，配置多用戶。

2.1.3 主機安全新一代調控系統采用國產設備，國產操作系統提高安全防護水平，同時滿足等級保護要求，措施系統采用國產設備、國產安全操作系統，國產安全數據庫。

應用安全：安全訪問控制可信可控。措施系統采用基于調度數字證書及標簽的安全認證。

數據安全：數據完整性、數據保密性、備份和恢復實現數據級備用；實現自動化系統及功能備用；實現調度業務及人員備用。

2.2 管理方面 制定電力監控系統安全防護管理制度建立電力監控系統安全管理機構定期培訓；簽署保密協議；外來人員管控。與開發單位及供應商簽署保密協議。制定安全運維管理制度；制定監控系統的應急預案。

2.3 安全加固方面 電力調度數據網和二次安防系統設備進行安全加固，以保證電廠業務平穩，安全的傳輸。

路由器安全加固內容

不得使用初始密碼，密碼復雜滿足強度要求，密碼必須密文顯示，限制登陸次數及時間

限制遠程登陸地址

SNMP協議使用V2及以上版本，不得使用默認的讀寫團體字，限制SNMP服務器地址

只許使用SSH作為遠程登錄方式

關閉不使用的端口

關閉不需要的服務，如HTTP、Telnet、Rlogin、FTP

必須配置三個用戶，普通、審計、超級

路由器做ARP綁定

NTP對時，配置syslog服務器地址

交換機安全加固內容

不得使用初始密碼，密碼復雜滿足強度要求，密碼必須密文顯示，限制登陸次數及時間

限制登陸次數及時間

只許使用SSH作為遠程登錄方式

關閉不需要的服務，如HTTP、Telnet、Rlogin、FTP

關閉不使用的端口

必須配置三個用戶，普通、審計、超級

配置NTP和syslog服務器地址

防火墻安全加固

不得使用初始密碼、密碼復雜滿足強度要求、盡量限制登陸次數及時間

不得出現大明通策略

策略必須細化到IP、協議、端口

限制遠程登陸地址

防火墻啟用對時功能

防火墻啟用兩個用戶，配置用戶和審計用戶

關閉不使用的端口

縱向加密安全加固

隧道必須正確配置且建立正常

不得出現大明通策略

策略必須細化到IP、協議、端口

業務通訊必須使用密文

不得使用默認初始密碼

提升密通率至95%，在線率99%及以上

2.4 應急演練方面 制定網絡安全事件應急預案。同時制定縱向、橫向安防應急演練工作，在不影響業務系統正常運行的情況下完成應急演練操作，提高員工技術水平及應急能力。

2.5 軟、硬件技術要求方面 防火墻系統要求識別、控制、掃描、可視化等，網絡入侵檢測系統要求檢測Web過濾應用識別流量識別安全審計系統日志審計要求安全審計系統日志審計包含日志采集、日志管理、資產管理、事件告警、統計管理、報表管理、系統管理以及用戶管理等八大核心功能。

三、總結

通過采取以上措施，達到規程規范及上級部門要求的目標。

達到的目標是抵御黑客、病毒、惡意代碼等通過各種形式對系統發起的惡意破壞和攻擊，特別是能夠抵御集團式攻擊，防止由此導致一次系統事故或大面積停電事故及電力監控系統的崩潰或癱瘓。發電廠電力監控系統安全防護的總體目標包括：防止發電廠監控系統服務等核心業務(即電力生產)中斷。防止發電廠監控系統本身崩潰。抵御外部人員對發電廠監控系統發起的惡意破壞和攻擊，及可能對相連的調度自動化系統的影響。防止利用病毒、木馬等惡意程序，從發電廠監控系統局域網內部發起的對電力生產及相連的調度自動化系統的惡意破壞和攻擊。保護發電廠監控系統實時和歷史數據，主要防止數據被非授權修改。