電力系統常用網絡隔離技術比較分析

蔣亞坤，韓校，蔣淵

（云南電力調度控制中心，云南 昆明 650011）

0 引言

隨著社會生產生活節奏的加快，用電量也在逐年增加，對于電力系統的運行質量提出了更高的要求。在智能電網的建設進程中，對于先進技術手段的依賴程度相對較高，能夠促進系統運行效率的提升，加強對系統的有效管理，防止各類故障問題的出現。然而，由于網絡具有開放性的特點，因此在電力系統中也會存在諸多威脅，給系統運行埋下了較多的安全隱患。采用多種形式的安全隔離措施，是當前電力系統建設與運行的關鍵，能夠提升系統的可控性。尤其是在電力行業競爭逐漸加劇的趨勢下，做好安全隔離才能防止企業遭受嚴重損失，促進其長遠發展。不同網絡隔離技術在原理、特點和適用性等方面有所差異，在網絡隔離系統設計中應該根據具體需求，改善電力系統的整體運行環境。

1 電力系統網絡隔離概述

網絡隔離可以實現不同網絡的有效分隔，從而避免網絡病毒和網絡攻擊對特定網絡的威脅，保障運行的安全性。但是，不同網絡之間需要進行數據交換，這對于網絡隔離技術提出了更高的要求，網絡隔離不能對正常的數據交換產生負面影響。比如在最早期的人工拷盤中，就實現了不同計算機網絡之間的有效隔離，近年來隨著技術的發展，網絡隔離形式也變得更加豐富，包括了VPN隔離、物理隔離和協議隔離等。網絡隔離技術是在非安全區和網絡之間建立了“橋梁”，能夠實現對危險因素的有效控制，在數據交換中起到良好的防護作用。修橋策略是電力系統網絡隔離中經常采用的策略，能夠保障數據交換的速度，不會出現數據重組的情況，但是其安全性相對不高。防火墻技術和多重安全網關技術都采用了修橋策略，前者針對網絡層實施防護，后者則強化網絡層到應用層的全面防護。相較于修橋策略而言，渡船策略的應用則不允許業務協議直接通過，需要重組數據，因此能夠提升防護安全。網閘隔離方式就是采用了渡船策略，交換緩沖區的構建增強了整體監控效果。此外，人工策略由于不進行物理連接，因此也可以提高系統安全性，但是在大量數據交換中呈現出一定的局限性。

非法人員和黑客等不法分子會借助于網絡攻擊對電力系統進行入侵，導致電力系統面臨的威脅增大。網絡攻擊主要是對電力系統的功能進行破壞，跟蹤控制系統與通信系統的一系列行為，系統或者資源等會由于網絡漏洞的存在而遭受嚴重威脅。電力系統在運行中受到的威脅越來越多，除了直接威脅網絡設備外，還會對數據信息產生影響。強化對電力系統安全的有效防護，成為了當前電力企業生產經營中的主要工作內容，應該以數據安全防護為重點，確保在數據傳輸、存儲和處理等環節都保持良好的安全性。網絡安全涉及的內容較多，需要建立一個完整的防護體系，從管理層面和技術層面入手實施控制。特別是網絡威脅呈現出動態化的特點，因此在安全管理中也應該保持動態化，了解網絡威脅的基本特點，明確應用安全、管理安全、網絡安全和系統安全的不同需求，從而制定針對性的防護策略。

2 電力系統常用網絡隔離技術比較

2.1 防火墻

防火墻技術在電力系統網絡隔離中較為常見，其核心技術是訪問控制列表技術，借助于網絡路由控制實現隔離的目的。以路由為依托，各類數據包可以快速傳輸，加強對路由的安全管控，能夠改善通訊線路的運行狀況，數據包流向也更加科學合理。在互聯網興起的初始階段，防火墻技術就已經得到逐漸應用，該技術具有較強的成熟度。一般情況下，針對網絡4層以下的控制，防火墻能夠起到有效的防護效果，然而在蠕蟲防護和病毒防護中呈現出一定的局限性，因此通常應用于電力系統的初級隔離當中，在深層隔離時還需要融合其他技術手段。在應用NAT技術時，地址翻譯能夠對內網IP地址實施隱藏處理，屬于代理服務器技術范疇，然而該技術也無法實現對網絡的全面防護。隨著網絡攻擊類型的增多，防火墻對于應用層的控制力度不足，容易被病毒侵入，內網地址因此被泄露，難以發揮NAT技術的安全隔離作用。在網絡層應用過濾防火墻，有效過濾信息數據，防止病毒傳輸對信息造成破壞。在對網絡攻擊和病毒數據庫進行更新時，則可以借助于雙穴防火墻，實現對網絡數據的全面搜集。

2.2 多重安全網關

針對當前防火墻技術的劣勢，提出了多重安全網關技術，相較于防火墻而言，可以設置多個屏障實現全面檢查。多重安全網關技術的應用，可以實現網絡層到應用層的深入檢測，真正改善電力系統的運行環境，可以根據處理能力的差異采用多個設備或者一個設備實施防護。在多重網點檢查中，主要涉及防火墻FW、防入侵IPS、防攻擊、內容過濾和流量整形等。隨著技術水平的不斷提高，多重安全網關技術在架橋策略中得到廣泛應用，對于設備安全檢查功能的要求較高，能夠提高運行速度[1]。

2.3 網閘

網閘技術屬于“代理+擺渡”模式，相較于架橋模式而言，由于采用了“擺渡”策略，因此能夠增強整體安全性。除了能夠滿足協議代理的需求外，還應該更加快速地“拆卸”數據，實現數據還原，因此在網絡威脅識別中更具優勢。在應用網閘技術時，主要是通過隔離與交換控制單元、外網處理單元和內網處理單元之間的協同配合來達到網絡安全隔離的目的。通訊協議的連接可以被專用協議所阻斷，上層業務采用代理的方式。網閘隔離技術在非涉密網絡與涉密網絡互連中的應用效果較好，尤其是雙向網閘隔離技術大大提高了電力系統的安全性及穩定性[2]。

2.4 交換網絡

交換網絡隔離技術可以最大限度地提升數據完整性，真正在系統運行中實現了“雙人審計”，同時也滿足了業務代理的要求。無論是數據的雙向交換還是單向交換，都可以在交換網絡當中進行，真正保障隔離網絡的安全性，在兩端設置網閘或者多重網關，增強系統的隔離效果。交換網絡安全防護體系實現了業務平臺和接入平臺的有效優化，為互聯網客戶和專線客戶提供更加可靠的安全保障，避免對企業的生產專用網絡產生較大的安全威脅，充分發揮了審計安全技術和監控安全技術的優勢。業務代理是交換網絡當中的關鍵，有效規范申請代理和業務代理兩個基本流程，確保接入緩沖區和業務緩沖區的安全性，為客戶業務向生產網絡的接入提供了保障[3]。渡船策略是交換網絡運行的主要策略，安全保護措施更加全面和可靠。

2.5 技術比較

由于網絡安全需求存在一定差異，因此在采用網絡隔離技術時也應該更具針對性，應該明確系統的實時性功能需求，分析數據交換量，從而選擇更加切實有效的技術手段。如果數據量不大，則可以采用物理隔離的方式即人工方式，能夠改善系統可靠性。如果系統對于實時性功能要求較高，則可以采用數據交換網絡，而且適應了大數據服務的要求，在多業務平臺建設中也可以獲取可靠的技術支持。針對網絡攻擊，可以采用網閘隔離技術，在定期批量數據交換中可以發揮其自身的優勢。要想有效隔離互聯網和辦公網絡，則采用多重安全網關隔離技術，也可以滿足不同涉密網絡之間的通信，但是無法達到非涉密網絡和涉密網絡的防護要求。如果網絡隔離的安全級別一致，則可以采取防火墻隔離技術[4]。

3 電力系統網絡隔離系統的設計及應用策略

3.1 安全區劃分

3.1.1 實時控制區

在電力系統發電和供電工作當中，應該充分發揮實時控制區的作用，改善業務系統運行狀態，滿足操作員和調度員的使用需求。在實時控制區的作用下，能夠滿足數據實時傳遞的要求，在保障數據安全的前提下，可以提高數據共享的效率，符合新時期電力系統建設的要求。在電力系統二次設計與開發中，應該對實時控制區提高重視，這是保障網絡安全的關鍵前提，安全等級相對較高。該業務系統屬于電力生產范疇，對于電力調度和數據網絡的依賴性較強，需要確保在線運行的可靠性，滿足大量數據交換的要求[5]。防火墻在實時控制區的安全隔離中應用較多，應該經過相關部門的審核后才能設置防火墻，以達到規范化管理和控制的目的。

3.1.2 非控制生產區

非控制生產區也是安全區中的重要組成部分，不具備很強的控制能力，無法實現批發交易，在非控制生產區的作用下，能夠為電力系統中無需控制的部分提供可靠保障。通信監控系統和電能計量系統在電力系統中占據重要地位，會受到非控制生產區功能的影響，需要結合交易人員和運維人員的使用需求實施設計。對于非控制生產區和實時控制區的隔離防護，可以采用防火墻實現[6]。

3.1.3 生產管理區

在電力生產當中，需要通過生產控制區來實施有效防護，這也是提高企業管理水平，保障良好經營成效的關鍵。其中，調度生產管理系統和統計報表系統在電力系統運行中的應用較多，需要以安全性為前提，通過提供WEB服務滿足系統的功能需求。

3.1.4 管理信息區

管理信息區不參與到生產經營當中，也不涉及采購過程，其中MIS系統和OAS系統的應用較為常見。管理信息區和生產管理區之間的數據交換較多，需要建立可靠的網絡隔離防護體系，這是增強數據安全的關鍵途徑。電力數據通信網絡在運行中，需要明確邏輯隔離的具體要求，運用特定的邏輯隔離設備實現全面防護。非控制生產區和實時控制區在業務系統上具有一定的相似性，無法與管理信息區實現直接連接，采用單向傳遞的方式。數據過濾和簽名認證的方式在反向安全隔離裝置中的應用效果較好，實現對純文本數據安全性的控制，避免網絡病毒對系統安全形成威脅。

3.2 技術要求

在系統設計當中要考慮到安全區的非網絡狀態，防止對彼此之間的數據交換產生影響，外部處理系統和內部處理系統實現不同時連接。系統應該滿足單向傳輸的要求，為應用實體和表示層的數據傳輸提供支持。為了有效隱藏MAC地址，同時虛擬化處理IP地址，在系統運行中應該采用透明化形式。要綜合分析報文情況，滿足控制訪問和過濾需求。如果TCP穿透性較強，則在系統設計中不能實施連接，采用虛擬連接的方式對內部網卡和內部網絡應用網關進行處理，同時要滿足外部網卡傳輸協議和外部網絡應用網關的連接需求。在系統設計中除了要保障良好的安全性外，還應該遵循便捷性原則，滿足后期維護管理的要求。非INTEL指令系統的微處理器在安全隔離裝置中的應用較多，系統設計不能出現嚴重的安全漏洞，同時有效隔離現有的網絡攻擊。

3.3 系統設計

配置管理程序和隔離系統，是電力系統網絡隔離裝置的基本組成，其中隔離系統包含了外網關程序、內網關程序、檢測與控制單元等。證書認證模塊等共同組成配置管理程序。

3.4 工作流程

外網處理模塊、內網處理模塊和管理模塊等，共同組成隔離系統的軟件部分，在工作過程中需要借助于規則表、連接信息表和CAM表等，滿足數據包捕獲、規則檢查、地址轉換、數據包重組和內網MAC地址記錄等功能需求。處理地址解析協議的請求和回應時依賴于內網處理模塊，內網發動A印請求包，需要返回相應的A印回應包。對于網卡的數據信息，也可以通過內網處理模塊進行獲取，采取綜合報文過濾的方式滿足傳輸端口、MAC、傳輸協議和IP的要求。在內網處理模塊的支持下，能夠全面檢查NAT規則，在連接信息表當中實現記錄。外部網絡在獲取校驗碼時，依賴于隔離卡，如果接受了外部網絡傳輸控制協議的應答信號，實施地址還原，重新計算校驗碼，發送到內部網絡當中。針對網卡獲得的數據信息，可以通過外網處理模塊加以分析，外網關發送數據時，需要對照CAM表。外網處理模塊能夠全面接收內部網絡的數據，地址信息記錄在CAM表當中。協議數據可以通過檢測和控制硬件實施全面分析，如果內部網絡沒有獲取信息，則可以進行丟棄或者向內部網絡處理模塊傳輸。串口數據在通訊過程中依賴于串口通訊接口，同時能夠對管理端命令實施接收，全面控制配置信息。在維護系統運行規則時，則依賴于規則管理模塊。

4 結語

網絡隔離技術的應用，可以最大限度保障電力系統的運行安全性，降低外界風險因素的威脅，為人們創造可靠的用電環境。網絡隔離技術類型較多，包括了防火墻、多重安全網關、網閘和交換網絡等，其技術特點存在一定差異性，而且適用場景也有所不同，應該在實踐中了解電力系統的運行需求，選擇合適的網絡隔離技術。在安全隔離系統的設計當中，應該做好安全區劃分，同時明確系統的技術要求，為后續設計工作奠定基礎，逐步優化系統工作流程，實現對各類網絡威脅的有效隔離，消除電力系統中的安全隱患。