火电厂、光伏电站、风电场电力监控系统安全防护方案(共11页).docx

精选优质文档-倾情为你奉上XX电厂电力监控系统安全防护技术方案（光伏电站、风电场、火电厂）编制：（场站网络安全专责）审核：（发电集团信息安全主管部门）批准：（发电集团分管领导）单位名称（加盖公章）xxxx年xx月xx日一、 方案编制依据中华人民共和国计算机信息系统安全保护条例国务院1994年147号令（2011年修订）电力监控系统安全防护规定中华人民共和国国家发展和改革委员会2014年第14号令电力行业网络与信息安全管理办法 国能安全2014317号电力行业等级保护管理办法 国能安全2014318号电力监控系统安全防护总体方案 国能安全201536号二、 总体目标和原则(一) 总体目标确保（发电厂名称）电力监控系统和电力调度数据网络的安全，能够抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，防止电力监控系统的崩溃或瘫痪，以及由此造成的电力系统事故或大面积停电事故。(二) 总体原则坚持“安全分区、网络专用、横向隔离、纵向认证”总体原则，重点强化边界防护，同时强化系统综合防护，提高厂站电力监控系统内部安全防护能力，保证新疆电网电力生产控制系统及重要数据的安全。三、 安全防护方案(一) 电力监控系统概述（发电厂名称）于*年*月*日正式并网运行，站内电力监控系统合计*套，分别是*、*、。具体分析如下：1 光伏电站运行监控系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。2 无功电压控制系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。3 发电功率控制系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。4 升压站监控系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。5 相量测量装置PMU（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器国电南自（SSM552）LINUX系统（2.6）SSM5501(1.0)2*工作站无3*交换机国电南自（PSW 618D）无无4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入电压、电流、等实时数据测控装置硬接线并过来硬接线直采数据输出电压、电流、频率、有功、无功等实时数据PMU的WARMS主站网络方式PMU是通过硬接线采集站内应该送给主站的间隔的电压和电流计算有功、无功然后把实时数据送给WARMS主站，同时会给监控后台送需要的硬节点信号，除了WARMS主站与其他装置没有任何网络通讯与数据交互。6 五防系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。7 故障录波（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。8 保信子站（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。9 电能量采集装置（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。10 光伏功率预测系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。11 天气预报系统（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。12 管理信息系统MIS（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。13 其他（生产/集成厂家为*，投运时间*年*月）系统结构参见附图1*电厂网络安全拓扑图系统硬件组成、操作系统及数据库序号设备名称生产厂家/型号操作系统类型/版本号数据库类型/版本号1*服务器2*工作站3*交换机4*磁盘阵列系统数据流及网络边界数据类型数据内容数据交互对象传输方式数据流入数据输出网络边界：简要说明系统横向和纵向网络边界，重点说明与其他系统在硬件上的分界面。(二) 安全分区1. 安全一区部署系统包括：光伏电站运行监控系统、无功电压控制、发电功率控制、升压站监控系统、相量测量装置PMU、五防系统、（如有其它系统请继续添加）。安全一区横向网络边界设备为*，纵向网络边界设备为*；2. 安全二区部署系统包括：故障录波、保信子站、电能量采集装置、光伏功率预测系统、（如有其它系统请继续添加）。安全二区横向网络边界设备为*，纵向网络边界设备为*；3. 管理信息大区部署系统包括：天气预报系统、管理信息系统MIS。管理信息大区横向网络边界设备为*，纵向网络边界设备为*。(三) 网络专用电力通信传输通道（2*2M）有*条，租用运营商SDH纯物理通道（1*2M）有*条，租用运营商SDH通道（10M）有*条，互联网（宽带）接入有*条，互联网（IPsec-VPN）接入有*条。序号通信通道通道数量通信通道类型1省调调度数据网2电力通信传输通道，2*2M2省调OMS通道1电力通信传输通道，1*2M3地调调度数据网2电力通信传输通道，2*2M4远程集控中心数据上送2租用移动、联通SDH通道，2*2M5(四) 横向隔离1. 生产控制大区与管理信息大区边界安全防护生产控制大区*套系统与管理信息大区系统存在数据交互，按36号文要求应部署电力专用横向单向隔离装置，具体方案如下：电力专用横向单向隔离装置部署方案序号隔离装置数量部署位置跨安全区业务数据交互需求1正向隔离装置12反向隔离装置1功率预测系统交换机与天气预报系统之间功率预测服务器与天气预报服务器数据交互32. 安全一区与安全二区边界安全防护安全一区*套系统与安全二区系统存在数据交互，按36号文要求应采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当功能的设备，实现逻辑隔离、保温过滤、访问控制等功能，本方案采用硬件防火墙，具体部署方案如下：硬件防火墙部署方案序号硬件防火墙数量部署位置业务数据互访需求1百兆硬件防火墙1站控层安全一区交换机与安全二区交换机之间保信子站与保护装置数据交互23. 系统间安全防护根据36号文要求，同属于同一安全区的应用系统之间根据需要可以采取一定强度的逻辑访问控制措施，如防火墙、VLAN等，本方案采用VLAN实现逻辑隔离，具体方案如下：安全一区VLAN配置方案序号系统名称VLAN-id访问控制策略配置要求1光伏站监控系统100允许*系统*服务器/工作站访问2安全二区VLAN配置方案1SIS系统200允许*系统*服务器/工作站访问2(五) 纵向认证根据36号文要求，发电厂生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，应当采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护，本方案采用电力专用纵向加密认证装置，具体方案如下：纵向加密认证装置部署方案序号纵向加密认证装置数量部署位置配置要求1省调2省调接入网路由器与一、二区交换机之间各1台使用省调颁发的调度数字证书2地调2地调接入网路由器与一、二区交换机之间各1台使用地调颁发的调度数字证书3远程集控中心2集控中心接入网路由器与一、二区交换机之间各1台使用发电集团颁发的调度数字证书4(六) 其他安全措施1. 防病毒可以采取的方式包括（实际编制方案，以下方式自行确定选择一个）：（1） 部署网络版（单机版）防病毒软件，增加1台防病毒服务器，采用离线方式升级病毒库，站端各应用系统服务器/工作站将防病毒服务器设置为升级管理中心，实现局域网内网络方式自动升级病毒库。（2） 部署防病毒网关。考虑防病毒网关无法解决移动存储介质导致给站端各应用系统服务器/工作站带来病毒/恶意代码威胁，拟配合主机加固措施，限制移动存储介质的使用。（3） 部署可信计算安全模块。原则上，防病毒措施应覆盖站端电力监控系统所有的服务器、工作站，采用基于UNIX/LINUX内核的专用操作系统设备（如远动装置）可以不作考虑，采用非安全操作系统的则必须制定防病毒措施。2. 主机加固说明生产控制大区系统或设备帐号、口令、权限、网络服务、访问控制策略、审计策略、漏洞补丁等涉及操作系统、数据库及应用系统的安全加固措施，配置策略应细化至IP地址（段）和使用的端口等。主机加固应当覆盖关键应用系统的主要服务器，以及网络边界处通信网关机、Web服务器等。加固方式包括：安全配置、安全补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安装应当经过测试。3. 入侵检测生产控制大区可以统一部署一套网络入侵检测系统，应当合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计。本章节应当明确生产控制大区网络入侵检测系统部署方案，包括设备部署位置、检测规则、运行情况、日志的存储位置及浏览方式等。4. 安全审计生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。本章节应当明确生产控制大区第三方安全审计系统/设备部署方案，包括系统/设备部署位置、审计规则及运行情况等（可采用系统或设备自带安全审计功能，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析）。5. 等级测评说明生产控制大区电力监控系统等级保护相关工作开展情况，包括系统定级、备案、测评等。1、说明现场有几个系统需纳入定级备案以及每个系统定为几级。2、2017年开展系统等级测评的计划。附件：*电厂电力监控系统网络安全拓扑图具体要求：（1） 数据网设备、服务器、重要工作站、系统边界设备（如通信服务器、安全区交换机、边界防护设备等）应在图中明确绘制和标记；（2） 连接线缆应区分光纤、网络连接线缆、非网络连接线缆等。（3） 本方案中拓扑图与现场检查时提供的图有区别，检查时提供的图要求必须“图实相符”，与现场实际接线、设备实际部署情况保持完全一致，本方案拓扑图则应根据安全防护设计要求，将站端电力监控系统及安全防护所有系统设备纳入拓扑图范围。专心-专注-专业