光伏电站电力监控系统安全防护方案

1 6 XX光伏电站监控系统安全防护方案

6.1 安全防护目标

电站监控系统安全防护主要针对网络信息安全，目标是：

1）抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起的恶意破坏和攻击，尤其是集团式攻击；

2)防止内部未授权用户访问系统或非法获取信息以及重大违规操作行为。

防护重点是通过各种技术和管理措施，对实时闭环监控系统及调度数据网的安全实施保护，防止电力监控系统瘫痪和失控，并由此导致电力系统故障。

6.2 总体安全需求

根据对电站监控系统现状的分析，现提出以下总体安全需求说明：

1） 通信安全需求

 厂内各系统设备之间采用以太网方式连接则必须采取符合相关规定的横向隔离措施。

 生产业务系统设备与调度端专线通信方式不考虑安全防护。

 生产业务系统设备与调度端采用语音拨号通信不考虑安全防护。

 生产业务系统设备与调度端经调度数据网和保护专用网络通信须采取隔离措施，防止网络攻击、病毒和非法操作。

2）各系统安全需求

电站各业务系统应逐步采用电力调度数字证书，对用户登录本地操作系统、访问系统资源等操作进行身份认证，根据身份与权限进行访问控制，并且对操作行为进行安全审计。

2 3）全局安全需求

重点强化边界防护，同时加强内部的物理、网络、主机、应用和数据安全，加强安全管理制度、机构、人员、系统建设、系统运维的管理，提供系统整体安全防护能力，保证电力监控系统及重要数据的安全。

6.3 安全分区

根据《电力监控系统安全防护规定》的要求，在调度数据网内划分两个VPN，分别是：实时控制VPN和非控制生产VPN，分别供安全区I(实时控制区)、安全区II（非控制生产区）。站内调度数据网作为数据采集汇聚中心，由调度数据网接入省调、地调骨干节点，实现集控中心的调度自动化信息经过调度数据网向省调、地调传送。安全分区如图所示

图10 光伏电站监控系统安全部署示意图

6.4 安全措施部署情况

发电站电力监控系统安全防护部署拓扑图：

图11 XX光伏发电站电力监控系统安全防护部署拓扑图

3 6.4.1 电站横向通信防护

XX光伏电站设置管理信息大区，生产控制大区与管理信息大区业务交互、部署横向隔离装置，安全一区与安全二区之间部署硬件防火墙实现逻辑隔离。

6.4.2 纵向通信防护

发电站一平面、二平面安全区Ⅰ区已部署两套纵向加密认证装置采用电力专用分组密码算法和公钥密码算法，支持身份鉴别、信息加密、数字签名和密钥生成与保护，提供基于RSA、SM2公私密钥对的数字签名和采用专用加密算法进行数字加密的功能,实现业务系统数据的远方安全传输以及纵向边界的安全防护，与调度端实现双向身份认证、数据加密和访问控制。

发电站一平面、二平面安全区ⅠⅠ区已部署两套纵向加密认证装置采用电力专用分组密码算法和公钥密码算法，支持身份鉴别、信息加密、数字签名和密钥生成与保护，提供基于RSA、SM2公私密钥对的数字签名和采用专用加密算法进行数字加密的功能,实现业务系统数据的远方安全传输以及纵向边界的安全防护，与调度端实现双向身份认证、数据加密和访问控制。

纵向加密认证装置需采用双向加密认证、禁止明文通信，VPN安全策略源地址只允许站端通信主机、目的地址必须限制为调度主站端主机地址、且需指定业务系统协议和端口号。

6.4.3 防病毒

发电站统一配置一套网络版防病毒系统，配置一台管理中心服务器，服务器部署安装于安全二区，安全一区客户端通过一、二区之间防火墙实现交互；生产控制大区局域网笔记本、工作站、服务器部署安装客户端，

4 服务端管理各个客户端，对客户端进行升级和监控管理，提高对病毒及木马的防护能力，包括进行病毒定义码的更新、防病毒政策的设定、病毒情况的监控，手动的、定时的病毒扫描及清除、病毒日志及汇总报表以及集中隔离未知病毒，并能隔离有病毒的客户端，手工定期升级恶意代码防护系统病毒库。病毒库采用离线升级方式更新。

6.4.4 实时入侵检测

发电站安全区I与安全区II部署一套网络入侵检测系统，并开通四个监听口。保证安全防护能实时、动态应对安全事件，增强对网络行为的监察、控制和审计能力，检测探头部署在电力调度数据网接入交换机侧。检测规则合理设置，以及时捕获网络异常行为、分析潜在威胁、进行安全审计。

6.4.5 漏洞扫描

发电站安全I区与安全II区统一配置一套工控漏洞扫描系统，授权两路扫描口、定期手动扫描主机服务器系统、数据库及脆弱配置并进行加固；定期对网络的不同断面进行漏洞扫描，及时发现安全隐患。

6.4.6 安全审计

安全审计部署在安全区Ⅱ，通过网络（TCP、UDP）、串口等多种通讯方式，采用SNMP 、SNMP Trap、SysLog、ODBC/JDBC、网络SOCKET和可定制化接口等方式采集安全设备（如防火墙、IDS 、专用隔离设备、防病毒系统等）、服务器、数据库及调度数据网设备的不同格式的日志信息和告警信息，对网络安全事件信息进行集中分析过滤、处理、保存。发生设备异常及异常的安全事件时，能自动检测并告警，能自动执行预定义处理动作。日志保存时间不小于6个月。

5 6.4.7 网络安全管理

电力监控系统安全防护是电力安全生产管理体系的有机组成部分。电力企业应当按照“谁主管谁负责，谁运营谁负责”的原则，建立健全电力监控系统安全防护管理制度，将电力监控系统安全防护工作及其信息报送纳入日常安全生产管理体系，落实分级负责的责任制。

电力调度机构负责直接调度范围内的下一级电力调度机构、变电站、发电站涉网部分的电力监控系统安全防护的技术监督，发电站内其它监控系统的安全防护可以由其上级主管单位实施技术监督。

电力调度机构、发电站、变电站等运行单位的电力监控系统安全防护实施方案必须经本企业的上级专业管理部门和信息安全管理部门以及相应电力调度机构的审核，方案实施完成后应当由上述机构验收。

接入电力调度数据网络的设备和应用系统，其接入技术方案和安全防护措施必须经直接负责的电力调度机构同意。

建立健全电力监控系统安全防护评估制度，采取以自评估为主、检查评估为辅的方式，将电力监控系统安全防护评估纳入电力系统安全评价体系。

建立健全电力监控系统安全的联合防护和应急机制，制定应急预案。电力调度机构负责统一指挥调度范围内的电力监控系统安全应急处理。

当遭受网络攻击，生产控制大区的电力监控系统出现异常或者故障时，应当立即向其上级电力调度机构以及当地国家能源局派出机构报告，并联合采取紧急防护措施，防止事态扩大，同时应当注意保护现场，以便进行调查取证。

6 6.4.8 电力监控系统安全监测装置

安全监测装置采集生产控制大区相关服务器、工作站、网络设备、安防设备等信息，同时将涉网部分信息通过II区上传到省调或地调相应网络安全管理平台。

6.4.9 机房物理安全部署防雷、防火、防水防潮和温湿度控制设备和装置

7 安全产品相关技术指标

7.1正向物理隔离装置

网络安全隔离装置（正向型）是位于两个不同安全防护等级网络之间的安全防护装置，用于高安全区到低安全区的单向数据传递。装置采用电力专用隔离卡，以非网络传输方式实现这两个网络间信息和资源安全传递，可以识别非法请求并阻止超越权限的数据访问和操作，保障电力系统的安全稳定运行。

 产品特点

安全裁剪内核，系统的安全性和抗攻击能力强

为了保证系统安全的最大化，装置已经将嵌入式内核进行了裁剪和优化。目前，内核中只包括用户管理﹑进程管理，裁剪掉TCP/IP协议栈和其它不需要的系统功能，进一步提高了系统安全性和抗攻击能力，以防黑客对操作系统的攻击，并有效抵御Dos/DDos攻击。

数据单向传输控制

物理上控制反向传输芯片的深度，在硬件上保证从低安全区到高安全区的TCP应答禁止携带应用数据，大大增强了高安全区业务系统的安全性。在物理上实现了数据流的纯单向传输，数据只能从高安全区流向低安全区。

7 割断穿透性的TCP连接

网络安全隔离装置（正向型）采用截断TCP连接的方法，剥离数据包中的TCP/IP头，将内网的纯数据通过正向数据通道发送到外网，同时只允许应用层不带任何数据的TCP包的控制信息传输到内网，保护内网监控系统的安全性。

基本安全功能丰富，可实现在网络中的快速部署

采用综合过滤技术，在链路层截获数据包，然后根据用户的安全策略决定如何处理该数据包；实现了MAC与IP地址绑定，防止IP地址欺骗；支持静态地址映射(NAT)以及虚拟IP技术；具有可定制的应用层解析功能，支持应用层特殊标记识别，为用户提供一个全透明﹑安全﹑高效的隔离装置。

独特的自适应技术

采用独特的自适应技术，装置没有IP地址，隐藏MAC地址，非法用户无法对装置进行网络攻击，有效的提高了系统安全性。

网络数据处理流畅，不会成为网络通讯瓶颈

采用国产高性能RISC 体系结构CPU，内核使用高效的过滤算法，充分发挥良好的硬件性能，采用高速传输芯片实现数据的高速安全传输，不会造成网络通讯的瓶颈。

丰富的通信工具软件和API函数接口

网络安全隔离装置（正向型）提供了丰富的通信工具软件和API函数接口，方便用户进行电力监控系统安全隔离改造。

丰富的电力监控系统安全改造经验

网络安全隔离装置（正向型）与南瑞所有的监控系统（包括网、省调、

8 地调、县调和变电站SCADA系统以及水电、火电监控系统）进行了安全改造和现场的实际运行；同时与国内外主流的监控系统厂商进行了广泛、深入的合作（国内：包括东方电子、鲁能积成、上海申贝等；国外：阿尔斯通监控系统、原CAE公司监控系统、PI实时数据库、Valmet SCADA系统等），保证电力监控系统安全防护工程的顺利实施。

操作简单的图形化用户界面

网络安全隔离装置（正向型）提供了友好的图形化用户界面，可以进行全新的可视化管理与配置。整个界面使用全中文化的设计，通过友好的图形化界面，网络管理员可以很容易地定制安全策略，并对系统进行维护管理。用户只需进行简单的培训就可以完成对隔离设备的管理与配置。

完善的日志审计功能

日志是发现攻击﹑发现系统漏洞和记录攻击证据的重要手段。隔离设备内、外网各板载安全存储区用于系统日志的记载，循环更新保持最新的系统日志，同时支持专用网络方式将日志发送到后台日志处理程序，供用户分析使用。

 产品性能

 100M LAN环境下，数据包吞吐量98Mbps (100条安全策略，1024字节报文长度)

 数据包转发延迟：＜10ms （100％负荷）

 满负荷数据包丢弃率：0

7.2 防火墙

产品特性

传统防火墙主要通过端口和IP进行访问控制，下一代防火墙的核心功能依然是访问控制。