火力發電企業二次系統安全防護實施研究

萬寧天然氣發電有限責任公司 唐雁文

引言

電力二次系統如電網監測網絡、發電網絡通信和數字網絡系統等，安全保護重點面向網絡和基于互聯網的發電生產管理系統，并重點加強邊界保護，增強內部的安全保護功能，以確保發電生產管理系統和關鍵信息的安全性。電力二次系統安全保護的目的主要是為保障發電信息閉環監測系統和發展調度數字網絡系統的安全：保障發電監測網絡和發展發電調度信息網絡的安全，以抵御由黑客、病毒、惡意代碼等利用不同方式對系統所進行的非法攻擊與入侵，尤其要能夠有效對抗集團式入侵，從而避免了二級網絡系統的崩潰或癱瘓，以及因此引發的電力系統意外或大規模中斷事件。

按照《電力二次系統安全防護規定》，電網的二級網絡系統安全保護工作須貫徹安全性劃分、網絡系統專業、橫向隔離、縱向驗證的方針，以確保電網監控網絡系統和電網調度信息網絡的安全性。所謂安全性劃分，就是按照網絡系統中服務的重點性及對一次網絡系統的危害程度實行分組，每個網絡系統都須放在一定的安全區域；網絡系統專業：通過建設調度專業的信息網絡系統，進行與其他信息網絡系統的物理分隔；側向分離：通過各種強度的安全性隔離設備，使各監管信息系統大區中的服務網絡系統受到有效的保障。

縱向驗證：通過驗證、保密、訪問與監控等技術手段，進行信息的遠方安全傳輸和縱向邊界的安全保護。

1 企業二次系統安全的實施策略

1.1 目前網絡安全防護的實施現狀以及需求

伴隨著不斷發展的網絡技術及不斷革新變化而通信技術，越來越多的電力控制系統需接入企業的數據網絡中心，尤其是在電力及網絡系統革新的推進和電力相關市場的不斷建立，要求在調度中心及電廠向用戶所互相傳輸的數據量也在增加，電廠不斷地希望通過以自動化代替人工的經營策略，也使發電公司為了更安全、可靠性更強的數據網絡和電力系統提出了新的要求。現今網絡上存在著大量游走于非法地帶的網絡黑客，其在網絡上日益猖獗的非法活動及對網絡安全的蓄意破壞，不僅帶來了嚴重迫切的安全隱患問題，更對網絡系統安全的全方位考察與衡量進行了重新的定義與標準。

為更好地建立健全電力二次系統的網絡安全體系保障電力系統的安全穩定運行，更好、更全面穩定的系統安全已經成為現今網絡生態下的必需品、必要要求，更是對于企業的快速平穩的發展，以及公司個人資源信息保護的必備條件和穩定基礎，穩定安全的網絡安全防護環境才能保證現代企業的快速發展節奏，才能更為適應現代企業網絡數據的安全，從而最大化地保證企業資源的牢固穩定[1]。

1.2 實施策略

分程度分區的安全防護。企業的二次系統安全防護要格外注意到系統和企業任務的重點以及規劃方向的不同，這正是系統安全分區的重要依據，要根據系統對于企業發展目標及進度的影響程度及對企業的重要程度機密程度進行主次順序的劃分，且所有相關需保護的系統都須放置于相對應的安全網絡區域內進行規劃和管理，對企業的關鍵業務、關鍵機密文件采用加密、認證的技術，保證其文件信息的安全穩定，在此原則上需劃分生產大區和信息管理大區。

采用橫向劃區防護策略。要在每個企業網絡安全區之間進行細致的劃分，使其受到不同強度及安全能力的業務系統保護，要注意做到個人安全區間的劃分正確，真正做到有效保護而不是無效的阻礙保護。橫向劃區防護策略關鍵點在于要將辦公自動化系統設置與實時的網絡安全監控系統進行有效安全隔離，隔離強度應逐漸穩定的發展并達到物理隔離，這是企業橫向劃分的基礎點，也是必要元素。

切實做到一渠道一隔離。要落實將網絡隔離的數據放在專用網絡區域上來，要在使用保存或傳輸專用的企業網絡的數據時切實做到用專用渠道進行傳輸，只有在建立與其相關的傳輸數據是才能切實地做到保證使用專用數據網絡進行數據傳輸，逐漸實現與其他不同區域、不同種類的網絡安全數據的物理隔離狀態；網絡安全認證徐保證縱向認證。企業二次防護系統安全的過程中信息認證是更為重要的一環，需努力保證其縱向認證的前提條件，并在縱向認證的過程中加入加密保護等技術手段實現數據的安全傳輸[1]。

1.3 設置同步管理系統

數據傳輸是二次防護系統安全防護的重難點，在實際改造的過程中，由于增加了網閘這項單向數據傳送的物理隔離設備，因此2個安全取得數據采集會運用鏡像同步的方式進行具體措施的落實與實施。實時數據同步系統在實際運行的過程中主要在實時數據庫中進行數據同步，而該系統的運作則需通過數據發送端和接收端程序共同運作，再通過TCP協議進行數據通信，實現發送端數據庫和接收端數據庫同步維護的效果。

該系統在實際建立后發送端需在實時源數據庫服務器中進行數據的讀取和運用，之后再通過TCP協議向著接收端發送數據，而接收端接收到后直接到數據庫的服務器中。此種同步鏡像系統的運用能有效提升網絡的安全性和可靠性。

在實際運行過程中需堅守以下原則方能有效地進行數據輸送和運行：網絡單向連接，數據單向發送。為有效保障同步系統的運行成效，使其在網閘中得到良好的運用，同步數據在實際運行過程中需運用發送端單向接收端進行數據發送；秒級發生變化數據，定時發送全數據。當發送端首次鏈接后需立即向接收端進行全數據的發送，之后再以秒為單位進行數據變化。

為保障向接收端發起請求的時間準確，不僅需運用定時發動程序，還應將定時發送與網絡結合，在網絡上恢復后，系統第一時間進行恢復與銜接。之后系統會設置一個定時周期，一般情況下會設立十分鐘的鏈接間隔，之后定時向著接收端進行全數據的發送。

2 企業二次系統安全防護的具體實施方案

某火力發電企業在實際運行的過程中對于自身的發電運行系統進行改造，融合了SIS系統，其中涵蓋生產過程的各個細節，如控制、檢測等。在改造前其存在以下問題：系統的安全較為混亂，具有分區層次結構不明確、功能區間不清晰，各個功能之間的隔離措施運用的效果不強的問題；在控制系統運行的過程中，與管理系統間的隔離力度不強，致使其自身的安全性較低；信息系統自身的網絡安全防護層次較低，其管理效能較弱。

2.1 增設硬件防火墻

增設的硬件防火墻可放置部署在每個安全區間進行隔離防護，增設硬件防火墻的主要安全策略與布局是為了企業業務流量的IP地址、相關方向的信息過濾，以及對應端口和相關方向的報文過濾。主要體現在五個重點防護區域綜合自動模式的后臺網絡采用的通信模式，通過增設硬件防火墻來不斷加強二次網絡防護系統的抵抗入侵強度，最大限度地避免企業數據的泄露。

2.2 對企業相關網絡服務區域進行網絡加固

對企業相關網絡服務站及服務區域進行加固，需對相應的服務站服務區網絡進行必要的修復和相應的關閉，并停止多余的網絡設置及多余的渠道服務，減少企業網絡安全數據被竊取入侵的可能性，通過減少數據傳輸的傳送渠道接口來直接減少丟失數據的可能，具體實施過程將采用關閉多余服務、無用設置，關閉無關網絡設置及相關網絡連接、關閉遠程控制桌面，要切實設置訪問的數據流量，來保證避免發生被大型黑客集團集體入侵癱瘓系統的可能性，更要采取設置網絡系統的訪問控制，取消匿名用戶的鏈接，避免任何非法用戶對于企業數據的破壞和竊取，要在數據傳輸及服務站的連接上切實地做到拒絕非法個人以及非法團體同一時間的大量進入，要通過網絡加護和具體的網絡設置對非法集團以及個人的網頁操作進行智能辨認，更要停止默認共享，逐步加強網絡的系統防護級別，最大限度地防止企業相關數據的泄露以及被非法個人和團體破壞的可能[1]。

2.3 入侵檢測及漏洞掃描

實時威脅監測響應系統主要是透過對互聯網或電腦網絡系統中的某些問題收集數據并對之加以分析，從而從中發掘互聯網或信息系統中是否有觸犯國家安全策略的情況，以及受到威脅的征兆。目前火力發電企業和其他單位的接口處以及重要網段處均尚未部署IDS。

掃描對于網絡安全而言具有關鍵性的作用，在網絡安全防御的過程中應根據實際需要進行安全漏洞知識庫與外界目標對比，以此掃描安全隱患，提升檢查的細致性、保障網絡安全。安全是一種能夠隨著實踐不斷變化的動態過程，對于信息系統的網絡安全而言需根據實際需要不斷變化，因此需進行漏洞掃描和安全評估。火力發電企業目前并沒有真正應用任何風險評估及發現漏洞和弱點的軟硬件，因此采用漏洞掃描產品或服務就顯得尤為重要。

2.4 網絡隔離、專網專用

電力二次系統內由于缺乏對安全域的界定，企業內部基本上處在一種充分信賴的狀況。而針對電力二次系統內相對繁雜的網絡，單獨對每個網絡資產制定防護方法是非常復雜的工作，常因為過失或錯誤而造成安全漏洞。但如把整個網絡作為一種安全管理層次來保護，就難免出現缺乏防范層次和防范重點，從而造成了對經營風險特別是企業內在經營風險的控制缺失。較好的解決方法是進行對安全域的界定，并制定了資產分類的規范，把整個網絡資產都納入各個安全域中，各個安全域內都存在著相同的安全特征，即安全級別、安全威脅、安全缺陷和經營風險等。

在此安全域的基礎上設定了該地域的所有信息系統安全防護級別與保護手段，對同一安全域內的信息資產進行了統一的保護。此安全域是由一個擁有同樣安全防護要求且相互信任的復雜網絡所構成的邏輯域。同一個安全域的所有網絡都共享著同樣的安全策略，此安全域劃定的目的，就是將某個大型復雜性網絡的安全性問題化解為更小范圍的安全性防護問題，是進行大型復雜性信息系統安全等級防護的最有效方式。

2.5 認證授權

識別和驗證是一種完整的安全體系中至關重要的部分，尤其是對于需采用遠程登錄方法使用系統資源的客戶來說尤為重要。對客戶進行驗證將有助于知道誰想使用某個網絡資源，這對安全資源體系是必要的。此外對客戶驗證也有助于界定每一位客戶可訪問的網絡資源，這也給多個信息共存的環境帶來了更為嚴密的控制和良好的安全性。但通過風險研究報告，可看到火力發電的網絡系統在應用授權上有著突出的缺陷。作為通過西門子TX-3000測試、安裝和升級的遠程電話撥號系統無法進行完整的高權限訪問和訪問控制，而如有未經認證的客戶侵入信息系統或進行非法操作，則可能引發巨大的事故。

客戶的權限管理更是網絡安全的一項重點，目前火力發電企業信息系統的客戶登錄機制多是通過單一的穩定口令保護、且很容易被人嗅探。而單一的靜態口令從原理上來說，不管是類Unix、WIN2019/2018/XP系統還是網絡設備，只要有適當的技術考慮，就能采取通過測試等各種可能性的方式去解決掉。

火力發電企業重要服務器和網絡設備數量多、賬號密碼多，記錄會存在潛在的安全隱患，如全靠記憶又可能丟失，沒有一套合適的系統和設備可以對眾多的賬號口令進行統一管理，所以采用合適的認證授權機制進行管理非常必要。

二次系統的完善安全方案事實完成已近十個月，運行狀況穩定安全、可靠性強，對病毒的抵抗能力和預警能力有較大的提高，并能對黑客的非法入侵進行抵抗，且符合國家對于二次系統安全防護的規定以及準則，并按照國家相關法律法規進行逐步實施，且經過不斷檢驗并未發生因防護系統所對系統的工作能力以及運行效率有明顯干預，符合并適應了國家和企業對于系統安全的相應需求。