地區(qū)電力監(jiān)控系統(tǒng)安全技術(shù)及其應(yīng)用淺析

曹丹華

國網(wǎng)江蘇省電力有限公司鹽城供電分公司 江蘇 鹽城 224000

引言

隨著信息技術(shù)在我國各領(lǐng)域的廣泛應(yīng)用，網(wǎng)絡(luò)安全威脅的受關(guān)注程度不斷提升，電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理便是其中的代表。基于此，本文將簡單分析電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理平臺的應(yīng)用價值，并以此為依據(jù)深入探討電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理平臺設(shè)計與實現(xiàn)，希望研究內(nèi)容能夠給相關(guān)從業(yè)人員以啟發(fā)。

1 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險

作為關(guān)鍵信息基礎(chǔ)設(shè)施，我國對電力監(jiān)控系統(tǒng)所處的網(wǎng)絡(luò)結(jié)構(gòu)有明確的規(guī)定，將網(wǎng)絡(luò)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，根據(jù)所承載業(yè)務(wù)的性質(zhì)，進一步將生產(chǎn)控制大區(qū)細分為控制區(qū)、非控制區(qū)，即安全I、II區(qū)，管理信息大區(qū)則細分為生產(chǎn)管理區(qū)和信息內(nèi)外網(wǎng)區(qū)，即安全III區(qū)、IV區(qū)和V區(qū)。生產(chǎn)控制大區(qū)和管理信息大區(qū)之間用電力專用隔離裝置進行物理隔離，兩個大區(qū)內(nèi)的小區(qū)之間使用防火墻進行邏輯隔離，電力監(jiān)控系統(tǒng)按要求部署在安全I、II、III區(qū)。這樣的劃分保證系統(tǒng)處于一個閉合的網(wǎng)絡(luò)環(huán)境，使系統(tǒng)具備一定抵御外部網(wǎng)絡(luò)安全威脅的能力。但軟硬件自身的漏洞、不合理的策略配置、惡意代碼及計算機病毒的擺渡攻擊、安全管理的缺失都使電力監(jiān)控系統(tǒng)安全防護存在木桶效應(yīng)，面對的網(wǎng)絡(luò)安全風(fēng)險不容樂觀[1]。

2 地區(qū)電力監(jiān)控系統(tǒng)安全技術(shù)及其應(yīng)用

2.1 變電站網(wǎng)絡(luò)安全監(jiān)測設(shè)備的信息接入

變電站網(wǎng)絡(luò)安全監(jiān)測裝置需采集三類設(shè)備信息，分別為主機設(shè)備、網(wǎng)絡(luò)設(shè)備和安全防護設(shè)備：①主機設(shè)備采集。主機設(shè)備采集原則上包含了變電站內(nèi)所有類型的主機，如變電站后臺監(jiān)控系統(tǒng)主機、保護信息子站工作站、故障錄波器主機等，考慮到業(yè)務(wù)的可靠運行，一般采用相應(yīng)廠商開發(fā)的探針程序（agent），采集操作系統(tǒng)自身感知的安全信息，再通過TCP/IP協(xié)議，發(fā)送至網(wǎng)絡(luò)安全監(jiān)測裝置，并由網(wǎng)絡(luò)安全監(jiān)測裝置作為服務(wù)端，監(jiān)聽來自主機設(shè)備的連接請求。②網(wǎng)絡(luò)設(shè)備采集。網(wǎng)絡(luò)設(shè)備采集主要指站控層及間隔層交換機的信息采集，網(wǎng)絡(luò)安全監(jiān)測裝置通過SNMP協(xié)議采集交換機的安全信息，交換機產(chǎn)生告警事件后，通過SNMPTRAP協(xié)議向網(wǎng)絡(luò)安全監(jiān)測裝置發(fā)送事件信息，如網(wǎng)口的UP和DOWN、內(nèi)存使用情況及告警信息等。③安全防護設(shè)備采集。安全防護設(shè)備采集主要指變電站內(nèi)防火墻設(shè)備、正反向隔離裝置等，安全防護設(shè)備通過SYSLOG日志格式將數(shù)據(jù)傳送到網(wǎng)絡(luò)安全監(jiān)測裝置，如果日志格式不符合規(guī)范要求，則需要對設(shè)備進行升級，提供標(biāo)準(zhǔn)日志或由廠家提供動態(tài)解析庫，部署到網(wǎng)絡(luò)安全監(jiān)測裝置上，對原始日志進行解析方可準(zhǔn)確上送。針對應(yīng)采集的設(shè)備，如無法通過軟件升級方式支持或不具備硬件條件，則需要進行整體更換[2]。

2.2 網(wǎng)絡(luò)及電力二次安防設(shè)備加固

電力監(jiān)控系統(tǒng)所處的網(wǎng)絡(luò)結(jié)構(gòu)被強制劃分為生產(chǎn)控制和管理信息兩個大區(qū)，區(qū)域內(nèi)由交換機、路由器、防火墻、入侵防御設(shè)備、防病毒管理中心、電力專用縱向加密認證裝置、電力專用橫向隔離裝置等構(gòu)成，彼此之間相互協(xié)助，共同構(gòu)建了電力監(jiān)控系統(tǒng)基礎(chǔ)的網(wǎng)絡(luò)安全環(huán)境。這一部分的加固工作涉及網(wǎng)絡(luò)的物理環(huán)境與邏輯環(huán)境兩個層面，包括策略修改、補丁安裝及軟件升級、硬件設(shè)備的增改、系統(tǒng)所處安全區(qū)再評估及遷移等。①策略修改、補丁安裝及軟件升級是常規(guī)的網(wǎng)絡(luò)安全加固方式，針對存量網(wǎng)絡(luò)及電力二次安防設(shè)備具有成本低、效率高的特點，具體內(nèi)容包括：以最小權(quán)限開放IP地址及端口，置頂黑名單與封堵高危端口，部分業(yè)務(wù)通道開啟加密方式傳輸、安裝設(shè)備補丁、升級設(shè)備軟件及網(wǎng)絡(luò)安全設(shè)備特征庫等。②硬件設(shè)備的增改，網(wǎng)絡(luò)安全技術(shù)日新月異，適度增加或改變網(wǎng)絡(luò)與安防設(shè)備，對抵御新的網(wǎng)絡(luò)安全風(fēng)險有立竿見影的效果，具體內(nèi)容有：網(wǎng)絡(luò)邊界增加入侵防御系統(tǒng)，在生產(chǎn)控制和管理信息大區(qū)部署網(wǎng)絡(luò)安全態(tài)勢感知裝置、移動介質(zhì)管控平臺及防病毒管理中心，將生產(chǎn)控制II區(qū)縱向互聯(lián)防火墻更換為電力專用縱向加密認證裝置等。③系統(tǒng)所處安全區(qū)再評估及遷移，電力監(jiān)控系統(tǒng)是不斷完善與發(fā)展的，其所面對的網(wǎng)絡(luò)安全威脅也是變化的。比如某個電力監(jiān)控系統(tǒng)升級改造后，其監(jiān)測與控制功能的增強，其所承載數(shù)據(jù)的性質(zhì)改變，將導(dǎo)致其網(wǎng)絡(luò)安全形勢產(chǎn)生改變，這就需要對系統(tǒng)所處安全區(qū)進行再評估，給出系統(tǒng)是否遷移的建議，這種遷移主要表現(xiàn)為部分系統(tǒng)功能模塊從低安全區(qū)向高安全區(qū)的部署，由于各自所屬安全區(qū)的改變，遷移后系統(tǒng)模塊的數(shù)據(jù)交互必須通過防火墻或電力專用橫向隔離裝置進行。

2.3 安全訪問控制和惡意代碼防范

實行電力監(jiān)控系統(tǒng)安全訪問控制重點在于訪問控制列表有效的規(guī)則設(shè)定以達到敏感信息的安全訪問。訪問通道應(yīng)禁止明文傳輸，如禁用TELNET協(xié)議訪問方式，采用SSH強加密訪問，對于關(guān)鍵設(shè)備限定本地串口登錄，這樣可犧牲操作便捷性以達到安全訪問的要求。網(wǎng)絡(luò)設(shè)備如交換機、路由器應(yīng)考慮對SNMP協(xié)議進行訪問控制，禁止非法用戶通過SNMP訪問設(shè)備，設(shè)置受信任的網(wǎng)絡(luò)地址范圍。主機安裝惡意代碼軟件，實時查殺病毒并采用專人負責(zé)，定期維護更新策略，嚴(yán)禁在線更新病毒庫[3]。

3 結(jié)束語

電力監(jiān)控系統(tǒng)安全防護是電力安全生產(chǎn)管理體系的有機組成部分，無論是變電站監(jiān)控系統(tǒng)，還是新興的泛在電力物聯(lián)網(wǎng)，每一個環(huán)節(jié)都需要網(wǎng)絡(luò)安全這道鎖進行管控。石嘴山供電公司所建立的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全監(jiān)視體系在近兩年的工作中得到了充分實踐。其具有較完整、嚴(yán)謹、清晰的管理實施思路、框架和過程，既能應(yīng)用于國家電網(wǎng)有限公司內(nèi)部，如各電壓等級變電站、配網(wǎng)系統(tǒng)，又能廣泛應(yīng)用于其他企業(yè)或公司，具有普遍適用性和推廣價值。