第6部分第3篇：边缘网关本质安全（征求意见稿）.docx

Q/CSG中国南方电网有限责任公司企业标准Q/CSG XXXXX南方电网云边融合智能调度运行平台体系化技术标准第6-3部分：边缘网关本质安全（征求意见稿）2022-XX-XX发布2022-XX-XX 实施中国南方电网有限责任公司 发 布Q/CSG XXX目 次前言II1 范围12 规范性引用文件13 术语和定义14 总则15 技术要求2附录A5前 言为贯彻落实公司体系化、规范化、指标化目标，全面支撑以新能源为主体的新型电力系统运行，承接公司数字化转型与数字南网建设任务，适应电网运行特征从计划性、集中式向开放共享、智能互动的方向转变，构建全面支撑电网安全运行和现货市场高效运营两大业务融合的智能调度运行平台，特制定南方电网云边融合智能调度运行平台（CEP）体系化技术标准。本次发布的体系化技术标准用于指导公司CEP云端系统、边缘端系统的建设。本体系化技术标准分为7部分27篇41分册，第1部分为体系及定义，共2篇，描述了总体架构和术语定义；第2部分为模型及接口，共3篇，描述了边缘集群与边缘网关的模型、协议及交互等要求；第3部分为云端系统，共5篇，描述了调度云平台、云端系统平台、云端应用、云端系统人机交互、云边数据交互等要求；第4部分为边缘端系统，共5篇，描述了边缘集群、边缘网关技术要求及边缘网关应用开发、智能运维、即插即用等要求；第5部分为智能应用，共2篇，描述了各类智能应用技术等要求；第6部分为本质安全，共6篇，描述了云端和边缘端的本质安全技术等要求；第7部分为测试及检验，共4篇，描述了云端系统检验、边缘端系统检验、本质安全检测等要求。本体系化技术标准体系架构如下表所示：部分篇分册编号第1部分：体系及定义第1篇：总体架构和一般要求TS1.1第2篇：术语和定义TS1.2第2部分：模型及接口第1篇：边缘网关即插即用模型TS2.1第2篇：边缘网关即插即用接口及协议TS2.2第3篇：边缘集群接入TS2.3第3部分：云端系统第1篇：调度云第1分册：基础资源即服务TS3.1.1第2分册：平台即服务TS3.1.2第3分册：数据即服务TS3.1.3第4分册：调度云平台与边缘集群协同交互TS3.1.4第2篇：云端系统平台TS3.2第3篇：云端应用开发TS3.3第4篇：云端系统人机交互TS3.4第5篇：云边数据交互TS3.5第4部分：边缘端系统第1篇：边缘集群 TS4.1第2篇：边缘网关TS4.2第3篇：边缘网关应用开发 TS4.3第4篇：边缘网关智能运维TS4.4第5篇：边缘网关即插即用 TS4.5第5部分：智能应用第1篇：预测及分析第1分册：人工智能系统负荷预测TS5.1.1第2分册：人工智能母线负荷预测TS5.1.2第3分册：人工智能新能源功率预测TS5.1.3第4分册：基于区块链的分布式能源交易TS5.1.4第5分册：云边融合统一优化模型TS5.1.5第2篇：协同控制第1分册：电化学储能自动调频控制TS5.2.1第2分册：新能源有功功率自动控制TS5.2.2第3分册：充电设施云边协同自动控制TS5.2.3第4分册：微电网云边协同自动控制TS5.2.4第5分册：可调节负荷云边协同自动控制TS5.2.5第6分册：虚拟电厂云边协同自动控制TS5.2.6第7分册：配电网自动电压控制TS5.2.7第8分册：云边协同控制TS5.2.8第6部分：本质安全第1篇：本质安全技术导则TS6.1第2篇：云端系统本质安全TS6.2第3篇：边缘网关本质安全TS6.3第4篇：边缘集群本质安全TS6.4第5篇：数据安全TS6.5第6篇：基于区块链的数据应用和传递TS6.6第7部分：测试及检验第1篇：云端系统检验TS7.1第2篇：边缘网关检验TS7.2第3篇：边缘集群检验TS7.3第4篇：本质安全检测TS7.4本技术标准是该系列的第6部分第3篇。请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。本文件由中国南方电网有限责任公司标准化部归口管理。本文件由中国南方电网电力调度控制中心提出、编制和负责解释。本文件起草单位：中国南方电网电力调度控制中心。本文件参加单位：本文件主要起草人员：本文件在执行过程中的意见或建议反馈至中国南方电网有限责任公司标准化部（广东省广州市黄埔区科翔路11号南网科研基地，510663）。III南方电网云边融合智能调度运行平台体系化技术标准第6-3部分：边缘网关本质安全（征求意见稿）1 范围本技术标准规定了CEP中边缘网关的本质安全的技术要求。本技术标准适用于南方电网CEP的边缘网关的运行、维护、升级、管理等工作过程。2 规范性引用文件下列文件中的条款通过本技术标准的引用而成为本技术标准的条款。凡是标注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本技术标准。凡是不标注日期的引用文件，其最新版本适用于本技术标准。GB/T 22239 信息安全技术网络安全等级保护基本要求GB/T 30279 信息安全技术安全漏洞等级划分指南GB/T 31992 电力系统通用告警格式GB/T 33602 电力系统通用服务协议GB/T 36572 电力监控系统网络安全防护导则DL/T 634.5104 远动设备及系统第5-104部分：传输规约采用标准传输协议子集的IEC 60870-5-101网络访问QCSG 1204005.44 南方电网一体化电网运行智能系统技术规范 第4部分：平台 第4篇：安全防护技术规范QCSG 1204069-2020 南方电网电力监控系统网络安全态势感知采集装置技术规范Q/CSG1204104-2021 南方电网智能电网电力监控系统网络安全防护技术要求国家发展改革委2014第14号令 电力监控系统安全防护规定国能安全201536号 电力监控系统安全防护总体方案中华人民共和国网络安全法中华人民共和国密码法中华人民共和国数据安全法（草案）3 术语和定义TS1.2界定的以及下列术语和定义适用于本技术标准。3.1 边缘网关 edge gateway 一种网关设备，部署在变电站、配电站所/台区/杆塔、分布式新能源等新兴市场主体的并网点等位置，负责采集本地电网运行数据，上送边缘集群，并实现电网运行方式切换、调频/调峰等指令操作，具备边缘计算和云边协同应用功能，支撑调度运行和市场运营。边缘网关根据应用场景和功能性能差异分为I型边缘网关、II型边缘网关和III型边缘网关。I型边缘网关指部署在变电站的智能远动机。II型边缘网关具备交直流模拟量测量及开关量输入输出功能，应用于配电站所/台区/杆塔、分布式新能源、储能、电动汽车充电设施等场合。III型边缘网关从接入对象的监控系统（本地/平台）采集数据，应用于综合能源园区、虚拟电厂等场合。4 总则4.1 总体目标在电力监控系统整体安全防护框架下，建立边缘网关设备的本质安全防护能力，支持所在系统满足网络安全等级保护技术要求。对于本标准未明确提出的安全要求和技术措施，可遵照相关文件和技术标准执行。4.2 总体要求总体要求为：a） 应满足国家法律法规和国家技术标准的相关要求，如国家网络安全法、数据安全法、GB/T22239、GB/T36572等；b） 设备关键组件应实现安全可控，包括核心硬件、操作系统、数据库、密码算法等c） 应全面加强设备的身份鉴别、访问控制、入侵防范、数据安全、通信安全、业务逻辑安全、以及过程审计等安全配置和防护能力；d） 应基于可信计算技术构建设备的主动安全防御能力。5 技术要求5.1 通用安全要求a） 边缘网关的网络安全防护措施应满足GB/T 22239相关要求；b） 应采用安全可控硬件，应选用经国家相关管理部门检测认定的系统和设备；c） 应采用安全操作系统，禁止使用已停止官方技术服务的操作系统；d） 不应包含高危及中危安全漏洞，漏洞分级参照GB/T 30279；e） 应禁止使用易遭受恶意攻击的高危端口和高危服务，禁止开启与业务无关的端口和服务；不应使用Telnet、FTP等高风险服务，当部署于生产控制大区时禁止使用E-Mail、WEB、Rlogin、TFTP、SMB等服务；f） 源代码中禁止包含已知的安全漏洞，如缓冲区溢出、整数溢出、内存泄漏、未释放资源、系统信息泄露、命令注入、SQL注入等；g） 应支持满足基本业务运行要求的抗拒绝服务攻击能力；h） 应采用可信或者其他技术措施及时识别并有效阻断恶意代码。5.2 物理安全a） 边缘网关应具有防窃、防火、防潮、防破坏等物理安全防护措施；b） 边缘网关应安装于固定有遮蔽场所，相关场所应满足GB/T 22239中对物理环境安全防护的要求。5.3 身份鉴别5.3.1 登陆身份鉴别应满足如下要求：a） 应对登陆的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；b） 应具有登陆失败处理功能，应配置并启用结束会话、限制非法登陆次数和当登陆连接超时自动退出等相关措施；c） 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；d） 应使用密码技术对用户进行身份鉴别，宜采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术。5.3.2 配置身份鉴别应能对配套使用的配置工具软件在连接使用时进行基于密码算法的身份认证，未经认证授权的配置工具软件禁止访问设备的任何功能。5.3.3 连接身份鉴别对于传输重要操作控制命令的链路，当通信链路建立时，宜有身份认证机制保证双方身份的合法性。5.4 访问控制应满足如下要求：a） 应支持系统登陆用户访问控制的三权分立原则，设置操作员、管理员和审计员三种角色，不应存在超级用户，权限的设置应基于最小权限原则：1） 操作员：对用户信息、厂家设置信息等进行配置管理，设备配置/数据等进行配置操作（如遥测参数、遥信参数、遥控参数、同期参数等配置）；2） 管理员：具有创建除审计员外的用户账户，并管理除自身外其他用户权限的能力；3） 审计员：查看并操作终端审计日志，审计用户可由审计管理员创建或为内置的唯一用户，可采用远程查看方式；4） 除画面查看等公共权限外，应保证不同角色间权限互斥，且不能将不同的角色授予同一用户。b） 访问控制的粒度应达到主体为用户级，客体为文件级、数据库表级、记录或字段级；c） 应重命名或者删除默认账户，修改默认账户的默认口令；d） 应及时删除或者停用多余的、过期的账户，避免共享账户的存在；e） 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；f） 访问控制的颗粒度应达到主体为用户级或者进程级，客体为文件、数据库表级、记录或字段级；g） 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问；h） 应建立网络白名单机制，白名单之外的连接不允许访问相应的业务。5.5 安全审计应满足如下要求：a） 应支持安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计，审计事件见附录；b） 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计有关的信息；c） 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或者覆盖等；d） 应对审计进程进行保护，防止未经授权的中断；e） 审计记录应支持留存6个月以上。5.6 入侵防范应满足如下要求：a） 应遵循最小安装原则，仅安装需要的组件和应用程序；b） 应关闭不需要的系统服务、默认共享和高危端口；c） 设备的管理宜支持带外管理模式，或至少应通过设定终端接入方式或者网络地址范围，对通过网络进行管理的管理终端进行限制；d） 应提供数据有效性校验功能，保证通过人机接口输入或者通过通信接口输入的内容符合系统设定要求；e） 应具备入侵告警功能，在检测到入侵时应能生成告警信号推送给边缘集群。5.7 数据安全5.7.1 数据完整性应满足如下要求：a） 应采用校验技术或者密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据和重要个人信息等；b） 应采用校验技术或者密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据和重要个人信息等；c） 应提供重要数据的备份与恢复功能。5.7.2 数据保密性应满足如下要求：a） 应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；b） 应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。5.7.3 剩余信息保护应满足如下要求：a） 应保证鉴别信息所在的存储空间被释放或者重新分配前得到完全清除；b） 应保证存有敏感数据的存储空间被释放或者重新分配前得到完全清除。5.7.4 个性信息保护应满足如下要求：a） 应仅采集和保存业务必需的用户个人信息；b） 应禁止未授权访问和非法使用用户个人信息。5.8 通信安全应满足如下要求：a） 采用无线传输的通信协议应支持身份认证和数据加密功能；b） 对包含控制类重要操作的通信协议过程，应支持基于密码机制的身份验证；c） 面对网络风暴、泛洪攻击、拒绝服务攻击，装置不应出现误动、误发报文、死机、重启等现象。5.9 业务逻辑安全应满足如下要求：a） 应对配置信息等业务输入值进行检查，保证输入值的合理性、语法的完整性、有效性和正确性；b） 能够明确拒绝不正确长度的输入；c） 执行业务操作时，不能返回与业务操作无关的信息；d） 应对业务通信、调试维护等过程中的指令以及远方下发的遥控指令进行安全性校核，应能识别并拒绝非法、不合理指令。5.10 容器安全应满足如下要求：a) 宜支持容器的授权安装并进行管理与监控，包括安装、启动、监控、版本更新；b) 宜支持容器访问的安全策略控制；c) 宜支持对未授权容器私自连到平台的行为进行检查，并对其进行有效阻断； d) 宜支持对未授权平台程序私自连到容器的行为进行检查，并对其进行有效阻断。5.11 无线接入安全无线传输接入应支持身份认证和数据加密功能。附录A（资料性）边缘网关设备安全审计事件表表A.1 边缘网关设备安全审计事件表序号类型审计事件1用户管理类用户创建，修改密码，用户删除，权限修改2用户登录类登录成功、登录失败、注销事件3系统类进程异常、时间异常、数据备份、数据恢复4配置变更新增配置、修改配置、删除配置5控制操作遥控、遥调等控制命令6系统资源使用异常CPU，内存，磁盘使用越限，电源异常 1意见汇总及修改序号提出人问题描述结论修改方法或说明1广西中调叶桂南建议规范中增加网络安全定级要求修改增加5.1 a）条2昆明局辛平安建议5.1 a）条，建议修改为“应采用安全可控硬件，应选用经国家相关管理部门检测认定的系统和设备”修改修改为“应采用安全可控硬件，应选用经国家相关管理部门检测认定的系统和设备”3广州局黄凯涛建议5.7.1 b）核实是视频数据还是录屏数据修改笔误，删除视频数据4贵州中调梁铃建议5.4b）放到5.4a）的第4点；修改原5.4 b)放入5.4 a)，作为第4)条5广州局黄凯涛建议5.9 d）增加对遥控指令的安全性进行校核修改修改为“应对业务通信、调试维护等过程中的指令以及远方下发的遥控指令进行安全性校核”6广东中调武天龙建议5.2根据不同类型边缘网关安装位置的不同，分别提出相关的物理安全要求修改5.2 b)条，修改为“缘网关应安装于固定有遮蔽场所，相关场所应满足GB/T 22239中对物理环境安全防护的要求。”7广西中调叶桂南建议5.2增加边缘网关自身的物理安全要求修改增加5.2 a)条8广西中调叶桂南建议5.3.1 d）确定边缘网关是否需要双因子，因为边缘网关的使用人员不确定，采用双因子认证不一定符合实际应用需求修改5.3.1 d）条，修改为“应使用密码技术对用户进行身份鉴别，宜采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术”9广西中调叶桂南建议增加边缘网关发现入侵，应能生成告警信号，并推送给边缘集群修改增加5.6 e)条