李朝辉 陶立新
株树桥水库管理局 湖南 长沙410300
摘要：近年来国际上相继爆发了乌克兰大面积停电、勒索病毒肆虐等网络安全事件，作为国家关键信息基础设施的电网无疑是网络攻击的重要目标。网络攻击通过电力监控系统的攻击，对电网调度控制系统及通信网络进行破坏，对智能电网实体形成了致命威胁，已成为国家间“网络战”首选。
关键词：调度数据，网络安全，电力研究
按《电网和电厂计算机监控系统及调度数据网安全防护规定》，电力调度数据网络只允许传输与电力调度生产直接相关的数据业务，并与公用信息网络实现物理层面上的安全隔离。根据省电力调度规程要求，并网电厂数据传输至地调主站和变电站，均需建设调度数据网和部署网络安全设备，方允许并网发电。
笔者所在的电厂按国网省电力调控中心的具体要求，实施了电力监控系统网络安全防护建设工作，笔者负责本站电力网络安全防护系统建设，开展网络安全监测装置部署及电力监控系统等级保护工作。
我站监控系统现场有监控主机4台，原网络现状为电站发电运行数据经中控室监控主机处理后经交换机通过单一光纤收发器传输至变电站光端机转送地调控制室。原有设备未部署网络安全装置，不符合并网电站网络安全要求，必须进行网络安全装置的部署工作。
为确保电力网络安全，我站发电生产监控系统网络与非生产网络进行了物理隔离，根据我站目前状况和安全要求，故只需进行生产控制大区的网络安全建设工作，设置生产控制大区(安全区I)。 生产控制大区（安全区Ⅰ）由具有实时监控功能、纵向联接使用电力调度数据网的实时子网或专用通道的各业务系统构成的安全区域。根据应用系统实际情况，在满足总体安全要求的前提下，简化安全区的设置。
网络防护方案拟增设网络安全监测装置、入侵检测装置、漏洞扫描装置、安全审计装置。
一、网络安全检测部署位置
安全区I网络安全监测装置部署在I区数据网交换机上,网络安全监测装置的eth1，通过网线连接至省调交换机指定接口，接入纵向加密装置，与省调进行通信。
网络安全监测装置告警规划
网络现状分析：
外部威胁
（1）电厂实时控制功能的监控系统未与外网相连,那么来自外部威胁的可能性非常小。
（2）监控系统与地调中心传输没有任何加密措施和安全隔离措施，极易导致控制数据调度产生旁路控制、监听、篡改等风险！
（3）网络行为缺乏安全审计措施，无法实现安全事件风险等问题的定位，出现问题无法定位溯源，极易产生信息泄密、风险。
内部威胁
没有建立健全安全管理机制使得内部人员有意或无意的的违规操作甚至犯罪行为可能给系统造成的损害等。
病毒或恶意代码威胁
病毒和恶意代码是计算机信息系统一个重要安全威胁源，主要针对操作系统、数据库管理系统、应用系统等软件。威胁主要来自内部网络、ＵＳＢ盘、光盘等介质。
网络安全防护的目标及重点：
1) 抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起的恶意破坏和攻击，尤其是集团式攻击。
2) 防止内部未授权用户访问系统或非法获取信息以及违规操作。
3) 防护重点是通过各种技术和管理措施，对监控系统的安全实施保护，防止电力监控系统瘫痪和失控，并由此导致电力系统故障。
安全防护总体策略：
? 安全分区原则
根据系统中业务的重要性和对系统的影响程度进行分区，所有系统都必须置于相应的安全区内。网络专用安全区边界清晰明确，分区间根据业务情况分别部署横向隔离与纵向隔离设备，区内根据业务的重要性提出不同安全要求，制定强度不同的安全防护措施。
? 横向隔离
在安全区之间和安全区通信通道间采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护。 我站现状只设置一个生产控制大区(安全区I)，故无需部署横向隔离装置。
? 纵向认证
采用认证、加密、访问控制等手段满足各种数据在远程通信中的保密性、完整性和可用性要求，防止远程攻击和违规操作，形成纵向边界的安全防御，与调度机构和上级管理单位建立互信可靠的通信机制。
? 综合防护 对电站的电力监控系统从主机、网络设备、恶意代码方案、应用安全控制、审计、备份等多个层面进行信息安全防护的措施。
方案实现的防护目标是抵御黑客、病毒、恶意代码等通过各种形式对发电厂电力系统发起的恶意破坏和攻击，以及其它非法操作，防止发电厂电力监控系统瘫痪和失控，并由此导致的发电厂系统事故。
综合安全防护基本措施：
入侵检测
生产控制大区统一部署一套网络入侵检测系统，合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计。
综合安全防护基本措施：
网络安全监测
网络安全监测装置部署于电力监控系统发电厂涉网生产控制大区或变电站站控层，用以对监测对象的网络安全信息进行采集，采集服务器、工作站的用户登录、操作信息、运行状态、移动存储设备接入、网络外联等事件信息；采集网络设备的用户登录、操作信息、配置变更信、流量信息、网口状态信息等事件信息；采集安全防护设备的用户登录、配置变更、运行状态、安全事件信息等事件信息；触发性事件信息的采集和周期性上送的状态类信息的采集。
综合安全防护基本措施：
安全审计
生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。同时可以采用安全审计功能，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。
综合安全防护基本措施：
漏洞扫描系统
通过漏洞扫描系统的脆弱性监测，发现目标服务器的安全配置缺陷以及安全漏洞缺陷，同时提供专业的加固建议和指导，通过系统补丁方式对操作系统和插件进行漏洞修补。
.png)