发电厂电力监控系统安全防护方案风电场.docx

发电厂电力监控系统安全防护方案风电场.docx

《发电厂电力监控系统安全防护方案风电场.docx》由会员分享，可在线阅读，更多相关《发电厂电力监控系统安全防护方案风电场.docx（20页珍藏版）》请在冰点文库上搜索。

发电厂电力监控系统安全防护方案风电场

国电玛依塔斯风电一场电力监控系统

安全防护技术方案

（风电场）

编制：

（场站网络安全专责）

审核：

（发电集团信息安全主管部门）

批准：

（发电集团分管领导）

单位名称（加盖公章）

xxxx年xx月xx日

一、

方案编制依据

《中华人民共和国计算机信息系统安全保护条例》国务院1994年147号令（2011年修订）

《电力监控系统安全防护规定》中华人民共和国国家发展和改革委员会2014年第14号令

《电力行业网络与信息安全管理办法》国能安全〔2014〕317号

《电力行业等级保护管理办法》国能安全〔2014〕318号

《电力监控系统安全防护总体方案》国能安全〔2015〕36号

二、总体目标和原则

（一）总体目标

确保国电玛依塔斯风电一场电力监控系统和电力调度数据网络的安全，能够抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，防止电力监控系统的崩溃或瘫痪，以及由此造成的电力系统事故或大面积停电事故。

（二）总体原则

坚持“安全分区、网络专用、横向隔离、纵向认证”总体原则，重点强化边界防护，同时强化系统综合防护，提高厂站电力监控系统内部安全防护能力，保证新疆电网电力生产控制系统及重要数据的安全。

三、安全防护方案

（一）电力监控系统概述

国电玛依塔斯风电一场于2012年12月25日正式并网运行，站内电力监控系统合计**套，分别是***、***、……。

具体分析如下：

1．风电场监控系统（生产/集成厂家为国电联合动力，投运时间2012年12月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

一期服务器

iRack/konotron

Unix/

2

二期服务器

iRack/konotron

Unix/

一期工作站

OPTIPLEX380（戴尔）

Windowsxp/2003serbiceback3

二期工作站

OPTIPLEX3010（戴尔）

Windowsxp/2002serbiceback3

3

一期交换机

clsco/Catalyst2960

二期交换机

HWAWEI/S3700

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

TCP/IP

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

2．无功电压控制系统（生产/集成厂家为山东泰开，投运时间2012年12月）

系统结构参见附图1——玛依塔斯风电一场网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

SVC服务器

2

SVC工作站

联想/扬天2900D

Windowsxp/2002

3

***交换机

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

3．发电功率控制系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

AGC服务器

Norco/rich-300

Windows7/2010

2

AGC工作站

联想/扬天W46900d-10

Windowsxp/2002

3

***交换机

HWAWEI/S3700

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

4．升压站监控系统（生产/集成厂家为北京四方，投运时间2012年12月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

变电站监控服务器

TIPLEX390（戴尔）

Windowsxp/2002serbiceback3

Pgsql/

变电站监控工作站

OPTIPLEX3010（戴尔）

Windowsxp/2002serbiceback3

Pgsql/

变电站交换机

北京四方/CSC-187E

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

5．相量测量装置PMU（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

PMU服务器

北京四方/CSC-361

2

3

4

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

6．五防系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

五防服务器

戴尔/OPTIPLE780

Windowsxp/2002

2

3

4

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

7．故障录波（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

故障录波服务器

深圳双合/SH2000C-CRU

2

故障录波工作站

GREAT/WALL-M156

Windows2000/scvicopk4

3

4

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

8．保信子站（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

***服务器

2

***工作站

3

***交换机

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

9．电能量采集装置（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

电能质量服务器

Nexus-1500

2

3

4

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

10．风功率预测系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

内网服务器

惠普/proliantDL28896

Unix/

2

***工作站

3

交换机

HUAWEI/secowayusg2000

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

11．状态监测系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

稳控装置主机

南瑞/RCS-992

2

稳控装置从机

南瑞/RCS-990

3

***交换机

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

12．测风塔系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

测风塔服务器

戴尔/POWEREDGER710

Windowsxp/2002

2

***工作站

3

测风塔交换机

华为/secowayusg2000

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

13．天气预报系统（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

天气预报服务器

惠普/proliantDL28896

Unix/

2

***工作站

3

风功率交换机

HUAWEI/secowayusg2000

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

14．管理信息系统MIS（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

***服务器

2

***工作站

3

***交换机

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

15．其他（生产/集成厂家为****，投运时间****年**月）

系统结构参见附图1——***电厂网络安全拓扑图

系统硬件组成、操作系统及数据库

序号

设备名称

生产厂家/型号

操作系统类型/版本号

数据库类型/版本号

1

***服务器

2

***工作站

3

***交换机

4

***磁盘阵列

……

系统数据流及网络边界

数据类型

数据内容

数据交互对象

传输方式

数据流入

……

数据输出

……

网络边界：

简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。

（二）安全分区

1.安全一区部署系统包括：

风电场监控系统、无功电压控制、发电功率控制、升压站监控系统、相量测量装置PMU、五防系统，安全一区横向网络边界设备为无，纵向网络边界设备为省调I区纵向加密；

2.安全二区部署系统包括：

故障录波、保信子站、电能量采集装置、风功率预测系统。

安全二区横向网络边界设备为无，纵向网络边界设备为II区纵向加密装置；

3.管理信息大区部署系统包括：

测风塔系统、天气预报系统、管理信息系统MIS。

管理信息大区横向网络边界设备为无，纵向网络边界设备为省调三区纵向加密装置。

（三）网络专用

电力通信传输通道（2*2M）有2条三区D-MIS（1*2M），互联网（宽带）接入有2条，

序号

通信通道

通道数量

通信通道类型

1

省调调度数据网

2

电力通信传输通道，2*2M

2

省调OMS通道

1

电力通信传输通道，1*2M

3

地调调度数据网

2

电力通信传输通道，2*2M

4

5

……

（四）横向隔离

1.生产控制大区与管理信息大区边界安全防护

生产控制大区**套系统与管理信息大区系统存在数据交互，按36号文要求应部署电力专用横向单向隔离装置，具体方案如下：

电力专用横向单向隔离装置部署方案

序号

隔离装置

数量

部署位置

跨安全区业务数据交互需求

1

反向隔离装置

1

功率预测系统交换机与天气预报系统之间

功率预测服务器与天气预报服务器数据交互

2

3

……

……

……

2.安全一区与安全二区边界安全防护

安全一区一套系统与安全二区系统存在数据交互，按36号文要求应采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当功能的设备，实现逻辑隔离、保温过滤、访问控制等功能，本方案采用硬件防火墙，具体部署方案如下：

硬件防火墙部署方案

序号

硬件防火墙

数量

部署位置

业务数据互访需求

1

百兆硬件防火墙

1

站控安全一区与安全二区之间

远动装置与风功率预测服务器进行数据交换

2

百兆硬件防火墙

1

站控层三区与外网

风功率预测服务器与互联网数据交换

3.系统间安全防护

根据36号文要求，同属于同一安全区的应用系统之间根据需要可以采取一定强度的逻辑访问控制措施，如防火墙、VLAN等，本方案采用VLAN实现逻辑隔离，具体方案如下：

安全一区VLAN配置方案

序号

系统名称

VLAN-id

访问控制策略配置要求

1

风电场监控系统

100

允许功率控制系统功率控制服务器访问

2

测风塔系统

200

允许功率控制系统功率控制服务器访问

发电功率控制系统

300

允许风电场监控系统web服务器访问

安全二区VLAN配置方案

1

2

……

（五）纵向认证

根据36号文要求，发电厂生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，应当采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护，本方案采用电力专用纵向加密认证装置，具体方案如下：

纵向加密认证装置部署方案

序号

纵向加密认证装置

数量

部署位置

配置要求

1

省调

2

省调接入网路由器与一、二区交换机之间各1台

使用省调颁发的调度数字证书

2

地调

2

地调接入网路由器与一、二区交换机之间各

使用地调颁发的调度数字证书

3

省调OMS通道

1

管理信息大区与调度

使用发电集团的调度数据网三区交换机之间1台

4

……

（六）其他安全措施

1.防病毒

可以采取的方式包括（实际编制方案，以下方式自行确定选择一个）：

（1）部署网络版（单机版）防病毒软件，增加1台防病毒服务器，采用离线方式升级病毒库，站端各应用系统服务器/工作站将防病毒服务器设置为升级管理中心，实现局域网内网络方式自动升级病毒库。

（2）部署防病毒网关。

考虑防病毒网关无法解决移动存储介质导致给站端各应用系统服务器/工作站带来病毒/恶意代码威胁，拟配合主机加固措施，限制移动存储介质的使用。

（3）部署可信计算安全模块。

原则上，防病毒措施应覆盖站端电力监控系统所有的服务器、工作站，采用基于UNIX/LINUX内核的专用操作系统设备（如远动装置）可以不作考虑，采用非安全操作系统的则必须制定防病毒措施。

2.主机加固

说明生产控制大区系统或设备帐号、口令、权限、网络服务、访问控制策略、审计策略、漏洞补丁等涉及操作系统、数据库及应用系统的安全加固措施，配置策略应细化至IP地址（段）和使用的端口等。

主机加固应当覆盖关键应用系统的主要服务器，以及网络边界处通信网关机、Web服务器等。

加固方式包括：

安全配置、安全补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安装应当经过测试。

3.入侵检测

生产控制大区可以统一部署一套网络入侵检测系统，应当合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计。

本章节应当明确生产控制大区网络入侵检测系统部署方案，包括设备部署位置、检测规则、运行情况、日志的存储位置及浏览方式等。

4.安全审计

生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。

对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。

本章节应当明确生产控制大区第三方安全审计系统/设备部署方案，包括系统/设备部署位置、审计规则及运行情况等（可采用系统或设备自带安全审计功能，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析）。

5.等级测评

说明生产控制大区电力监控系统等级保护相关工作开展情况，包括系统定级、备案、测评等。

1、说明现场有几个系统需纳入定级备案以及每个系统定为几级。

2、2017年开展系统等级测评的计划。

目前缺少的硬件：

1）一区与二区之间缺防火墙（远动与风功率预测内网服务器）

2）天气预报系统与外网缺防火墙