双翼煤化-电力监控系统安全防护总体方案.doc

《双翼煤化-电力监控系统安全防护总体方案.doc》由会员分享，可在线阅读，更多相关《双翼煤化-电力监控系统安全防护总体方案.doc（127页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、Four short words sum up what has lifted most successful individuals above the crowd: a little bit more.-author-date双翼煤化-电力监控系统安全防护总体方案秦山核电厂三十万机组二次系统陕西双翼煤化科技实业有限公司电力监控系统安全防护方案陕西双翼煤化科技实业有限公司2017-9-26陕西双翼煤化科技实业有限公司电力监控系统安全防护方案编 写： 校 对：审 核： 会 审： 批 准： 目 录1 前 言52 适用范围和法律依据52.1 适用范围52.2 标准及规范53 总体目标64 管理组织

2、机构65 电力监控系统安全防护方案85.1安全分区85.2网络专用105.3横向隔离115.4纵向认证115.5边界安全防护方案126 电力监控系统安全防护策略136.1 生产控制大区安全防护策略136.2 管理信息大区安全防护策略147 综合安全防护措施147.1物理安全147.2主机安全加固147.3网络安全加固157.4应用安全控制157.5安全审计157.6入侵检测167.7备份与容灾167.8恶意代码防范167.9专用安全产品的管理177.10安全接入177.11应急预案187.12安全管理188 定级备案209 等保测评2110 安全评估2111 整改措施22附件1：网络拓扑图22

3、附件2：软硬件设备清单23附件3：管理组织机构人员24附件4：安全防护现状24定级备案情况24安全整改情况25漏洞扫描情况461 前 言为了加强电厂电力监控系统安全防护，确保电力监控系统及电力调度数据网络的安全，抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，阻止电力监控系统崩溃和瘫痪，以及由此造成的电力系统事故和大面积停电事故，依据中华人民共和国国家发展和改革委员会2014第14号令电力监控系统安全防护规定、国家能源局2015第36号电力监控系统安全防护总体方案及配套文件发电厂监控系统安全防护方案以及中华人民共和国网络安全法，结合陕西双翼煤化科技实业有限公司实际情况

4、，制定本方案。2 适用范围和法律依据2.1 适用范围本方案适用于陕西双翼煤化科技实业有限公司电力监控系统，即用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等。2.2 标准及规范1) 电力监控系统安全防护规定（发改委14号令）2) 电力监控系统安全防护评估规范（国能安全36号）3) 发电厂监控系统安全防护方案（国能安全36号）4) 中华人民共和国网络安全法5) 电力行业信息系统安全等级保护基本要求（电监信息201262号）6) 中华人民共和国计算机信息系统安全保护条例（国务院令147号）；7) 计算机信息系统保密管理暂行规定(国保发

5、（1998）1号)；8) 信息系统安全保护等级划分准则(GB 17859-1999)；9) 电力行业信息系统等级保护定级工作指导意见（电监信息200744号）3 总体目标陕西双翼煤化科技实业有限公司电力监控系统安全防护的总体目标是：加强陕西双翼煤化科技实业有限公司电力监控系统安全防护，抵御黑客及恶意代码等各种形式对陕西双翼煤化科技实业有限公司监控系统发起的恶意破坏和攻击，以及其它非法操作，防止陕西双翼煤化科技实业有限公司电力监控系统瘫痪和失控，以及由此导致的电厂一次系统事故和其他事故。4 管理组织机构为更好地推进公司信息化建设，根据电力监控系统安全防护的要求和本公司的实际情况，公司成立了信息安

6、全领导小组和信息安全工作小组。由主管安全生产的领导作为信息安全领导小组组长，并指定专人为信息安全工作小组组长。 一、信息安全领导小组主要职责：1. 负责组织建立、健全公司电力监控系统安全防护管理的组织机构；2. 负责组织制定、完善公司电力监控系统安全防护管理的分级负责的责任制；3. 负责审议批准公司信息安全规划与规划实施提供资源保障；4. 负责审议批准公司年度信息安全工作计划；5. 负责审议批准公司重大信息安全项目建设方案；6. 负责为推进公司业务信息安全标准建设提供支持；7. 负责协调解决信息安全项目推进过程中的重大问题；8. 负责审议确定公司信息安全管理政策与重大信息项目方案；二、信息安全

7、工作小组主要职责：1. 负责组织制订公司信息安全规划、工作计划和重大项目方案，为领导小组决策提供基础；2. 负责公司信息安全规划和工作计划的落实、执行以及各领域信息需求评估工作；3. 负责落实信息安全领导小组议定事项的执行、跟踪和反馈；4. 负责组织和协调公司信息安全建设和重大信息化项目建设工作；5. 负责业务流程的梳理和标准化业务流程的确定；6. 负责制订业务信息标准化推进计划；7. 负责收集和协调信息安全项目推进过程中的问题；8. 负责评估各信息系统运作情况；9. 负责组织和协调公司各领域业务信息安全标准建设工作。5 电力监控系统安全防护方案根据国能安全第36号文附件1电力监控系统安全防护

8、总体方案及配套文件附件4发电厂监控系统安全防护方案的要求，陕西双翼煤化科技实业有限公司电力监控系统安全防护总体方案框架结构示意图1如下：图1 陕西双翼煤化科技实业有限公司电力监控系统安全防护总体方案框架结构示意图5.1安全分区根据电力监控系统的特点，各相关业务系统的重要程度和安全要求，将整个电力监控系统分为两个大区、三个安全区。陕西双翼煤化科技实业有限公司划分为生产控制大区和管理信息大区。生产控制大区分为控制区（又称安全区I）和非控制区（又称安全区II）。管理信息大区划分为安全区III。安全区根据业务接入需求设立。不同的安全区确定了不同的安全防护要求和防护措施，从而决定了不同的安全等级和防护水

9、平。其中安全区的安全等级最高，安全区II次之，其余依次类推。5.1.1 控制区（安全区）控制区中的业务系统或功能模块的典型特征为：是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用电力调度数据网络或专用通道，是安全防护的重点与核心。控制区的典型业务主要包括DCS系统、NCS系统、PMU等，其主要使用者为调度员和运行操作人员。其数据通信使用电力调度数据网或专用通道进行传输。5.1.2 非控制区（安全区）：非控制区中的业务系统或功能模块的典型特征为：是电力生产的必要环节，在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或功能模块联系紧密。非控制区的典型业务主要包括

10、SIS系统、电量计量系统、保信子站及故障录波管理系统等。其数据通信使用电力调度数据网。5.1.3 管理信息大区（安全区III）管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。电力企业可根据具体情况划分安全区，但不影响生产控制的安全。陕西双翼煤化科技实业有限公司管理信息大区分为安全区。该区实现电力生产的管理功能，但不具备控制功能，不在线运行，可不使用电力调度数据网络。该区的典型业务为办公局域网、生产管理系统（OMS）等，该区的外部通信边界为信息VPN及因特网。5.1.4 安全接入区如果生产控制大区内个别业务系统或其功能模块（或子系统）需使用公用通信网络、无线通信网络以及处于非可控状

11、态下的网络设备与终端等进行通信，其安全防护水平低于生产控制大区内其他系统时，应设立安全接入区，典型的业务系统或功能模块包括配电网自动化系统的前置采集模块（终端）、负荷控制管理系统、某些分布式电源控制系统等。安全接入区的典型安全防护框架结构如图2所示：图2 安全接入区的典型安全防护框架结构示意图因陕西双翼煤化科技实业有限公司的生产控制大区暂无业务和系统与外网相连，暂不需要部署安全接入区。5.2网络专用电力调度数据网为生产控制大区服务的专用数据网络，承载了电力实时控制、在线生产交易等业务，陕西双翼煤化科技实业有限公司电力调度数据网通信按照省调与地调的相关要求进行建设， 电力调度数据网络采用MPLS

12、 VPN技术，将实时控制业务、非控制生产业务分割成两个相对独立的逻辑专网：实时VPN1和非实时VPN2，路由各自独立，在网络路由层面不能互通。5.3横向隔离5.3.1 横向隔离是电力监控安全防护体系的横向防线。在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力横向单向安全隔离装置(单比特型)，隔离强度应接近或达到物理隔离。生产控制大区内部的安全区之间应当采用防火墙实现逻辑隔离。5.3.2电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区或生产控制大区到安全接入区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制

13、大区或安全接入区到管理信息大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。5.3.3 严格禁止 E-Mail、WEB、FTP等安全风险高的通用网络服务和以B/S或C/S方式的数据库访问穿越专用单向安全隔离装置，仅允许纯数据的单向安全传输。5.3.4生产控制大区内部I区、II区之间，应当采用国产硬件防火墙设备，实现逻辑隔离。5.3.5管理信息大区内部与外网之间，应当采用国产硬件防火墙设备，实现逻辑隔离。5.4纵向认证5.4.1 纵向加密认证是电力监控系统安全防护体系的纵向防线。采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。5.4.2在生产控制大

14、区与广域网的纵向连接处设置国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。5.4.3具有远方遥控功能的业务（如AGC、AVC、继电保护定值修改）应采用加密、身份认证等技术措施进行安全防护。5.5边界安全防护方案应当采用严格的接入控制措施，保证业务系统接入的可信性，经过授权的节点通过纵向加密装置或加密认证网关方可允许接入电力调度数据网，进行广域网通信。采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。生产控制大区内部的安全区之间应当采用具有访问控制功

15、能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。对于跨越互联网边界的服务，应当于边界部署访问控制设备并强化访问控制列表，限制由应用服务器发起的外发连接，细化访问控制策略。需通过远程拨号访问生产控制大区的，要求远方用户使用安全加固的操作系统平台，结合数字证书技术，进行登录认证和访问认证。对于通过拨号服务器（RAS）访问本地网络与系统的远程拨号访问的方式，应当采用网络层保护，应用VPN技术建立加密通道。对于以远方终端直接拨号访问的方式，应当采用链路层保护，使用专用的链路加密设备。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。使用安全专网或无线公网接入管理信息大区时必须通过安

16、全接入平台进行安全认证接入，建立专用加密传输通道，实现终端身份认证，安全准入和数据安全交换。不得从任何公共网络直接接入公司内部网络，更不能接入生产控制大区。采用信息入侵检测、边界流量监测等安全控制措施对进出边界的数据流进行有效的检测和控制。6 电力监控系统安全防护策略6.1 生产控制大区安全防护策略6.1.1 禁止生产控制大区内部的E-Mail服务，禁止控制区内通用的WEB服务。6.1.2允许非控制区内部业务系统采用B/S结构，但仅限于业务系统内部使用。允许提供纵向安全WEB服务，但应当优先采用专用协议和专用浏览器的图形浏览技术，也可以采用经过安全加固且支持HTTPS的安全WEB服务。6.1.

17、3 生产控制大区重要业务（如SCADA/AGC/AVC等）的远程通信应当采用加密认证机制。6.1.4生产控制大区内的业务系统间应采用VLAN和访问控制等安全措施，限制系统间的直接互通。6.1.5生产控制大区的拨号访问服务，服务器和用户端均应当使用经过国家指定部门认证的安全加固的操作系统，并采取加密、认证和访问控制等安全防护措施。6.1.6生产控制大区边界上应当采用入侵检测措施。6.1.7生产控制大区应当采取安全审计措施，把安全审计与安全区网络管理系统、IDS管理系统、敏感业务服务器登录认证和授权、关键业务应用访问权限相结合。6.1.8生产控制大区内重要服务器应该统一部署恶意代码防护系统，采取防

18、护恶意代码措施。病毒库、木马库以及IDS规则库应经过安全检测并应离线进行更新。6.2 管理信息大区安全防护策略统一部署防火墙、恶意代码防护系统、IDS等通用安全防护措施。 7 综合安全防护措施7.1物理安全机房应设置电子门禁系统，采取防火、防水、防雷、防盗窃、防破坏等措施。机房应安装监控探头、温湿度感应器、水浸检测探头、机房自动灭火系统等，并接入到机房动力环境监控系统中。应当安排专人值守，并且每日做好运行值班交接班工作，做好值班记录。应提供短期的备用电力供应，保证主要设备在断电状态下的正常运行。7.2主机安全加固关键应用系统的主服务器，以及网络边界处的服务器等应使用安全加固的操作系统，并强化操

19、作系统的访问控制能力。关闭或拆除服务器和工作站的软盘驱动、光盘驱动、USB 接口、串行口等，确需保留的必须通过安全管理措施实施严格监控。加固的方式包括：安全配置、安全补丁、安装软件防火墙、安装防病毒系统等。7.3网络安全加固网络、安全等设备可能默认存在不安全的配置，应当对配置信息根据具体情况进行安全配置修改及安全加固，如升级存在漏洞的设备操作系统文件，禁止不必要的协议响应，禁止ARP转发，设定安全的口令策略，制定会话超时自动结束策略等。加强访问控制策略管理，仅开放业务系统所需的IP地址、端口,关闭未使用的业务和物理端口。7.4应用安全控制应用软件系统应具有专用登录模块，根据运维人员工作情况分配

20、相应用户；授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；可根据身份与权限进行访问控制，并可对登录行为进行安全审计。7.5安全审计生产控制大区的电力监控系统应当具备安全审计功能或必要的审计手段，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，提供经授权的以及未经授权的行为记录。可对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。定期检查日志磁盘空间，及时备份和删除日志，并按照规定留存相关的日志不少于六个月。即时或定期对日志进行分析处理以及时发现各种违规行为以及病毒和黑客的攻击行为。陕西双翼煤

21、化科技实业有限公司目前暂未部署安全审计系统，无法对网络日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。7.6入侵检测电力监控系统生产控制大区及管理信息大区应各部署一套网络入侵检测系统，根据业务需求设置合理规则以优化入侵检测性能，并制定合理的报警或日志记录方式，入侵检测探头部署于各安全分区核心交换机,及时捕获网络异常行为、分析潜在威胁，每月对入侵检测日志进行审计。陕西双翼煤化科技实业有限公司目前暂未在网络中部署入侵检测系统，无有效技术手段监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫

22、攻击等。7.7备份与容灾定期对关键业务的数据与系统进行备份，建立历史归档数据的异地存放制度。重要系统的关键主机设备、网络设备或关键部件需要冗余配置，或者有备用设备。重要数据应当建立异地存放制度，设置多个在线备份，同时在重大修改后、重要节假日前、每月对数据进行离线备份。7.8恶意代码防范应当及时更新病毒库，主机应设置自动定时进行病毒及恶意代码查杀，查看查杀记录，禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。应对病毒可能侵入系统的途径（如软盘、光盘、可移动磁盘、网络接口等）进行控制，严格控制并阻断可能的病毒携带介质在系统中的使用。陕西双翼煤化科技实业有限公司暂未部署防恶意代码软件或独

23、立部署恶意代码防护设备。7.9专用安全产品的管理陕西双翼煤化科技实业有限公司安全防护工作中涉及使用横向单向安全隔离装置、纵向加密认证装置、防火墙等专用安全产品，按照国家有关要求做好保密工作，部分机柜加锁处理，禁止关键技术和设备的扩散。应当禁止选用经国家相关管理部门检测认定并经国家能源局通报存在漏洞和风险的系统及设备；对于已经投入运行的系统及设备，应当按照上级监管单位的要求及时进行整改，同时应当加强相关系统及设备的运行管理和安全防护。生产控制大区中除安全接入区外，应当禁止选用具有无线通信功能的设备。7.10安全接入应确保未使用的交换机端口全部封闭。保证接入设备身份可信、设备证书符合要求。系统所有

24、的服务器、工作站等未使用的USB端口全部封闭；禁止非安全移动介质的接入。如需要运维第三方计算机的接入，需提供第三方运维计算机接入的登记记录及防护措施。严格限制远程网络或者无线接入设备接入生产控制系统内。接入调度数据网络的节点、设备和应用系统，其接入技术方案和安全防护措施须经本级电力调度机构审核批准，并报上级调度机构备案。7.11应急预案一旦出现安全事故（遭到黑客、病毒攻击和其他人为破坏），必须立即采取安全应急措施，及时向管辖本单位的电力调度机构和本地信息安全主管部门报告，并进行事故现场的保护，认真进行事故的分析；一旦发现系统正被黑客攻击应该按照预先制订的应急方案进行处理。根据不同情况分别采用加

25、强保护、中断对方连接、反跟踪以及其它处理措施；当系统因自然或人为的原因遭到破坏，应当按照预先制定的应急方案实施系统恢复，可采用立即完全恢复或部分恢复或启用备份系统恢复（保护现场）等措施。发现已经被攻击、出现异常、甚至瘫痪的设备应立即汇报上级领导，并经领导同意进行有效隔离、或停用该设备。在有条件的情况下立即投入备用设备，并保证备用设备的正常运行。对涉网重要设备一旦遭受攻击造成不良后果，应立即通报电网，必要时执行有关电网制定的应急预案措施。7.12安全管理公司按照“谁主管，谁负责，谁运营，谁负责”的原则，建立信息安全管理体系规范、电力监控系统信息安全管理细则，说明机构安全工作的总体目标、范围、原则

26、和安全框架等，并将电力监控系统安全防护及其信息报送纳入日常安全生产管理体系，负责所辖范围内计算机及数据网络的安全管理。信息安全管理体系规范包括人员安全管理规程、信息安全组织及岗位职责管理制度、体系内部审核管理规程等管理程序和规范。公司应对安全管理活动中各类管理内容建立安全管理制度，主要包括：信息机房管理细则、人员安全管理规程、信息安全组织及岗位职责管理制度、体系内部审核管理规程等。公司指定和授权信息系统运维处负责安全管理制度的制定，安全管理制度格式由公司统一模版，进行版本控制；公司指定信息安全工作小组负责安全管理制度的论证和审定，信息安全工作领导小组定期组织相关部门和相关人员对安全管理制度体系

27、进行审定；安全管理制度以正式文件下发，有版本标识，有公司公章，格式统一，并对各项管理制度注明发布范围，收发文进行签字登记；发生重大变更时由信息安全工作小组对制度进行修订。公司成立信息安全工作领导小组，组长为公司总经理，信息部门分管领导为电力监控系统安全防护的主要负责人。明确了信息部门各个岗位职责。信息安全组织及岗位职责管理制度明确安全管理机构各个部门和岗位的职责、分工和技能要求。设立了系统管理员、网络管理员和安全管理员等岗位，由信息安全组织及岗位职责管理制度定义各岗位的职责。信息安全职能部门和其它部门不定期召开协调会议，进行各类管理人员之间的合作与沟通，同时加强与陕西省能监办、陕西省公安厅进行

28、合作与沟通、与供应商建立合作与沟通，与专业的安全公司等合作，建立外联清单，包括外联单位名称、合作内容、联系人和联系方式等。人员安全管理规程规定了人事管理处负责人员录用、人员的专业资格、资质进行审查，对技术能力进行考核；规定安全管理员、系统管理员、网络管理员等关键岗位的人员签订关键岗位安全协议；规定所有员工签订相关保密协议；规定员工离职时，员工账户、权限管理、信息资产交接清单，及审核调离手续等相关要求；规定由信息安全工作办公室每年对所有岗位人员进行信息安全考核、对关键岗位的人员进行全面、严格的安全审查和技能考核，以及公司对各类人员进行安全意识教育、岗位技能培训和安全技术培训。机房管理规程对外部人

29、员允许访问的区域、系统、设备和信息等内容进行了书面的规定。8 定级备案应参照国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知（国能安全201536号）附件7电力监控系统安全防护评估规范附录A要求，完成完成火电场监控系统的定级工作，其中火电监控系统单机容量300MW及以上为3级，以下为2级。（故障录波、保信子站、PMU、AGC、AVC等均视为火电场监控系统子系统，不再独立定级）；220千伏及以上变电站自动化系统为3级，220千伏以下变电站自动化系统为2级。陕西双翼煤化科技实业有限公司需根据当地公安机关要求，确定所管辖电力监控系统的安全保护等级，经相关信息安全管理部门审

30、核、批准后将编制完成的备案表、定级报告审核、盖章后，送交至对口公安机关网警部门完成系统定级备案，获取信息系统安全等级保护备案证明，定级备案结果报送相应电力行业主管部门备案。9 等保测评应当按照信息系统安全等级保护实施指南（ GB/T 25058-2010）具体实施等级保护工作。应当选择符合规定条件的测评机构，依据信息安全技术 信息系统安全等级保护测评过程指南（GB/T 28449-2012）、信息 安全技术信息系统安全等级保护基本要求 （GB/T 22239-2008 ）、信息系统安全等级保护测评要求（GB/T 28448-2012）、电力行业信息系统安全等级保护基本要求等标准或规范要求，定期

31、对电力信息系统安全等级状况开展等级测评。电力监控系统信息安全等级测评工作应当与电力监控系统安全防护评估工作同步进行。10 安全评估应当结合等级保护的基本要求对自身电力监控系统的总体安全防护水平进行安全评估。对已投入运行的电力监控系统每年进行安全评估；电力监控系统在上线投运之前、升级改造之后必须进行安全评估。新建或改造的变电站监控系统在投运前应进行安全评估，已投运的变电站监控系统每年进行安全评估。评估结果应当及时向上级主管部门汇报、备案。11 整改措施通过企业安全自查、电力监控系统安全防护评估、等级测评等相关工作，目前存在部分安全风险隐患，通过对安全风险的详细分析与归纳总结，风险隐患问题主要表现

32、在物理安全、网络安全、主机安全、应用安全、数据安全、安全管理机构等几个层面，应逐步进行整改落实。附件1：网络拓扑图根据电力监控系统安全防护总体方案的要求，陕西双翼煤化科技实业有限公司电力监控系统安全防护结构如下图3所示。图3 陕西双翼煤化科技实业有限公司电力监控系统安全防护结构示意图陕西双翼煤化科技实业有限公司电力监控系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵向认证”。陕西双翼煤化科技实业有限公司将电力监控系统置于生产控制大区。生产控制大区又划分为生产控制区与生产非控制区。生产控制区和非控制区之间通过4-20毫安电信号传输数据。在生产控制大区专用的调度数据专用网络边界部署纵向加

33、密认证装置，形成栅格状安全防护体系架构；在电力调度数据网路由器上部署MPLS-VPN技术实现控制区与电力调度数据网的实时子网，非控制区与电力调度数据网的非实时子网进行数据通讯。附件2：软硬件设备清单网络设备清单：序号设备名称型号数量11#DCS交换机SCIYOU KN831A221#DEH交换机SCIYOU KN831A232#DCS交换机SCIYOU KN831A242#DEH交换机SCIYOU KN831A25NCS交换机WITNet IAS302826实时交换机华为 S370027非实时交换机华为 S370028数据路由器华为 AR220029纵向加密装置NetKeeper 20004主

34、机设备清单：序号设备名称操作系统数量1NCS工程师站Windows 712NCS操作员站Windows 713NCS防误终端Windows 7141#DEH工程师站Windows 7151#DEH操作员站Windows 7161#DCS工程师站Windows 7171#DCS操作员站Windows 7582#DEH工程师站Windows 7192#DEH操作员站Windows 71102#DCS工程师站Windows 71112#DCS操作员站Windows 7312OMS操作员站Windows 7113保护信息子站Ubuntu114烟气监控Windows Server 20081数据库清单：

35、序号数据库名数据库类型业务系统1实时数据库SyncBASE5.0DCS系统2NCS数据PostgreSQL8.3NCS系统业务应用清单：序号业务系统应用软件名称开发厂商1DCS系统科远NT6000 K4.0.4南京科远自动化集团股份有限公司2NCS系统CSC-2000(v2) 3.4北京四方继保自动化股份有限公司附件3：管理组织机构人员一、信息安全领导小组组 长：冯利军 电话:13379585222副组长：杨永斌 电话:13772912618组员： 张向成 电话: 13892232856 刘迎锋 电话:15829986902二、信息安全工作小组组 长：张向成 电话:13892232856副组长

36、：刘迎锋 电话:15829986902组 员：刘琦 电话:15619936820 高亮 电话:13892252533附件4：安全防护现状定级备案情况陕西双翼煤化科技实业有限公司根据榆林公安局和榆林供电公司的要求，已开展定级备案工作，并邀请专家对公司所含信息系统进行定级，明确信息系统等级保护级别。陕西双翼煤化科技实业有限公司的DCS系统为二级，NCS系统为二级。已将相关信息系统备案材料提交当地榆林公安局进行备案。安全整改情况陕西双翼煤化科技实业有限公司于2017年9月委托电力行业信息安全等级保护测评中心第四测评实验室（国电南京自动化股份有限公司）开展电力监控系统安全防护评估工作，本次评估范围报告

37、1#DCS系统、2#DCS系统、NCS系统、调度数据网、OMS工作站、故障录波、保信子站等。评估结果基本满足电力行业十六字方针“安全分区、网络专用、横向隔离、纵向认证”的要求。并针对评估过程中发现的问题进行了相应的整改，落实并网调度协议中安全防护内容。安全问题整改情况：序号系统层面脆弱性名称整改情况紧急程度整改情况备注1整体安全整体安全生产控制大区目前暂未部署安全审计系统，无法对网络日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析未整改需要统一进行部署安全审计系统低2物理安全物理安全进入机房的来访人员未经过申请和审批流程，进入机房的来访人员

38、有专人全程陪同，限制和监控其活动范围未整改制度已进入编制流程，编制完成并经过审核后将进行发布中3重要区域未配置电子门禁系统未整改需要采购电子门禁系统，已报整改计划，近期进行立项整改低4机房设备或主要部件通过螺丝与机架进行固定，网线未设置标签已整改机房设备已通过螺丝与机架进行固定，网线已贴标签高5未设置防雷保安器未整改需要采购浪涌保护器，已报整改计划，近期进行立项整改低6机房未设置火灾自动消防系统，不能自动检测火情、自动报警、并具有自动灭火功能未整改需要采购自动消防系统，已报整改计划，近期进行立项整改低7机房未采取区域隔离防火措施，将重要设备与其他设备隔离开未整改需要移动设备，近期安排人员进行立

39、项整改低8未安装对水敏感的检测仪表或元件，对机房进行防水检测和报警未整改需要采购水情系统，已报整改计划，近期进行立项整改低9机房未部署空调和温湿度仪，不能监测和调节温度、湿度未整改需要采购精密空调，已报整改计划，近期进行立项整改低10电源线与通信线缆未隔离铺设，不能避免电磁相互干扰未整改近期安排人员进行立项整改中11DCS系统网络安全未采取相关手段在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等未整改需要采购光IDS/IPS，已报整改计划，近期进行立项整改低12未对重要网段应采取技术手段防止地址欺骗。未整改已联系厂家，厂

40、家近期进行现场调研及问题整改低13设备不使用的端口均未关闭，SNMP服务未开启。未整改已联系厂家，厂家近期进行现场调研及问题整改低14目前设备无法根据审计记录数据进行分析，并生成审计报表，也没有采用第三方工具生成审计报表。未整改需要采购审计系统，已报整改计划，近期进行立项整改低15未对网络设备的管理员登录地址进行限制。未整改已联系厂家，厂家近期进行现场调研及问题整改中16设备登录口令未采取周期更换措施。未整改已联系厂家，厂家近期进行现场调研及问题整改中17远程管理使用Telnet和SSH方式，其中Telnet为非加密通讯。未整改已联系厂家，厂家近期进行现场调研及问题整改中18数据路由器不使用的

41、端口均未关闭。SNMP支持v1版本，SNMP v1为非安全性增强版本；默认Community read 、write字段已修改。未整改已联系厂家，厂家近期进行现场调研及问题整改中19实时纵向加密装置用户口令为纯数字组合，口令未定期更换。已整改已设置符合复杂度要求的口令，口令长度大于8位，且为数字字母特殊符号的组合高20实时纵向加密装置特权用户权限未分离；日志记录能够记录操作行为，审计记录不能删除。已整改已联系厂家，厂家近期进行现场调研及问题整改高21主机安全系统口令复杂度要求未启用，口令没有定期更换要求。已整改已设置符合复杂度要求的口令，口令长度大于8位，且为数字字母特殊符号的组合，设置口令的

42、定期更新策略为90天高22未启用登录失败处理功能，未采取结束会话、限制非法登录次数和自动退出等措施；未限制同一用户连续失败登录次数已整改已启用登录失败处理功能，失败次数为5次，锁定时间为15分钟高23操作系统使用administrator默认账户，禁用guest账户，默认账户未重命名，当前为空口令。已整改已重新设置默认账户administrator的口令高24操作系统只安装了所需应用程序，未关闭不必要的服务端口，如print spooler等，操作系统没有进行补丁更新。未整改已联系厂家，厂家近期进行现场调研及问题整改中25操作系统未在本机安装防恶意代码软件或独立部署恶意代码防护设备。已整改已在

43、系统安装360安全卫士高26没有相关措施限制登录终端的操作超时锁定。已整改已为工程师站设置屏幕保护程序，超时时间为10分钟；操作员站为实时监控画面，不允许设置超时锁定高27主机的光盘驱动、USB接口均未封闭。已整改采用贴封条形式对光盘驱动、USB接口进行封闭高28实时数据库未限制默认账号sa的访问权限、未重命名默认账户，当前使用空口令。未整改已联系厂家，厂家近期进行现场调研及问题整改中29应用安全科远NT6000没有用户身份鉴别信息复杂度鉴定功能，口令没有定期更换的要求，当前密码长度为6位，采用数字和字母的组合，用户名口令不同，未强制要求用户在第一次登录系统时修改分发的初始口令，没有使用明文存

44、储口令。未整改已联系厂家，厂家近期进行现场调研及问题整改低30科远NT6000未提供登录失败处理功能，未采取结束会话、限制非法登录次数和自动退出等措施。未整改已联系厂家，厂家近期进行现场调研及问题整改低31科远NT6000具备生成审计报表功能，但当前未进行配置使用。未整改已联系厂家，厂家近期进行现场调研及问题整改低32NCS系统网络安全未采取相关手段在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等未整改需要采购光IDS/IPS，已报整改计划，近期进行立项整改低33未对重要网段应采取技术手段防止地址欺骗。未整改已联系厂家，厂家近期进行现场调研及问题整改中34NCS交换机不使用的端口均未关闭，SNMP服务未开启。未整改已联系厂家，厂家近期进行现场调研及问题整改中35实时纵向加密装置用户口令为纯数字组合，口令未定期更换。已整改已设置符合复杂度要求的口令，口令长度大于8位，且为数字字母特殊符号的组合高36实时纵向加密装置特权用户权限未分离；日志记录能够记录操作行为，审计记录不能删除。未整改已联系厂家，厂家近期进行现场调研及问题整改低37主机安全未启用登录失败处理功能，未采取结束会话、限制非法登录次数和自动退出等措施；未限制同一用户连续失败登录次数