【正文】 20 總體安全策略 ..................................................................................................... 21 總體防護(hù)方案 ..................................................................................................... 21 13 XX、 XX 梯級電站二次安防方案 ............................................................................ 25 安全分區(qū) ............................................................................................................ 25 安全區(qū) I 安全防護(hù) ............................................................................................. 26 安全區(qū) II 安全防護(hù) ............................................................................................ 27 14 二次系統(tǒng)安全管理體系建設(shè) ................................................................................... 29 建立完善的安全管理組織機(jī)構(gòu) ............................................................................. 29 安全評估的管理 .................................................................................................. 30 工程實施過程中的安全管理 ................................................................................ 30 設(shè)備、應(yīng)用及服務(wù)的接入管理 ............................................................................. 31 建立日常運(yùn)行的安全管理制度 ............................................................................. 31 15 安全防護(hù)產(chǎn)品技術(shù)要求 .......................................................................................... 34 縱向加密認(rèn)證裝置技術(shù)要求 ................................................................................ 34 主機(jī)加固軟件技術(shù)要求 ....................................................................................... 35 入侵檢測系統(tǒng)技術(shù)要求 ....................................................................................... 36 漏洞掃描系統(tǒng) 技術(shù)要求 ....................................................................................... 38 安全審計管理平臺 .............................................................................................. 41 防病毒系統(tǒng) ......................................................................................................... 42 16 投資估算表 ........................................................................................................... 43 3 1 工程 簡介 XX、 XX梯級電站 位于 四川省 XXXX縣境內(nèi)， 是 XX在 XX縣境內(nèi)梯級開發(fā)的第一、二 級電站， 均 為 引水式電站 。接入方案按《國家電網(wǎng)調(diào)度數(shù)據(jù)網(wǎng)第二平面網(wǎng)絡(luò)（ SPD2）總體技術(shù)方案》的要求執(zhí)行。 設(shè)計原則 XX、 XX梯級電站 接入四川電力調(diào)度數(shù)據(jù)網(wǎng)方案規(guī)劃設(shè)計的主要原則如下： （ 1）接入方案應(yīng)滿足電監(jiān)會 5 號令的要求，確保電網(wǎng)和電廠計算 機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)等電力二次系統(tǒng)的安全。電力市場數(shù)據(jù)內(nèi)容主要有電能計量數(shù)據(jù)、現(xiàn)貨交易數(shù)據(jù)（負(fù)荷、電量、報價等）、期貨交易數(shù)據(jù)（負(fù)荷、電量、報價等）、市場其它信息等。 IP路由設(shè)備與SDH/PDH設(shè)備接口簡單、標(biāo)準(zhǔn)，便于在故障情況下快速定位和故障處理。網(wǎng)絡(luò)設(shè)備應(yīng)有開放的接口，擁有良好的維護(hù)、 測量及管理手段，實現(xiàn)統(tǒng)一網(wǎng)管。如圖 72 所示： 圖 72 XX、 XX 梯級電站 接入拓?fù)? 8 廠站業(yè)務(wù)接入方案 業(yè)務(wù)系統(tǒng)接入原則 根據(jù)《全國電力二次系統(tǒng)安全防護(hù)總體方案》的要求： 根據(jù)《全國電力二次系統(tǒng)安全防護(hù)總體方案》的要求， XX、 XX 梯級電站 的各類業(yè)務(wù)按安全等級劃分為 2 個區(qū)，要求建立 2 個 VPN 分別進(jìn)行信息交換：安全區(qū)I 是生產(chǎn)控制區(qū)，凡是具有實時監(jiān)控功能的系統(tǒng)或其中的監(jiān) 控功能部分均屬于安全區(qū) I，本工程中 主要是包括 XX、 XX 梯級電站 的計算機(jī)監(jiān)控系統(tǒng)；安全區(qū) II 是非生產(chǎn)控制區(qū)，原則上不具備控制功能的生產(chǎn)業(yè)務(wù)和系統(tǒng)中不進(jìn)行控制的部分均屬于安全區(qū) II，本工程中主要是包括電能量計量系統(tǒng)、發(fā)電計劃申報系統(tǒng)終端等。省調(diào)電量采集主站系統(tǒng)采用電力調(diào)度數(shù)據(jù)專網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)傳輸為主，撥號方式數(shù)據(jù)傳輸為輔，抄錄電站端電量數(shù)據(jù)。 （ 2）應(yīng)能支持 OSPF v2 或 /和 ISIS 和 RIP v2 等內(nèi)部網(wǎng)關(guān)協(xié)議（ IGP） 與其它同一自治域（ AS）中路由器交換路由信息及可達(dá)性信息。 （ 7）應(yīng)能支持 MPLS（ VPN， TE）。 支持優(yōu)先級設(shè)定 /映射。如果僅因為 ARP 緩存中沒有相應(yīng)的目的地地址，鏈路層不允許報告目的地不可達(dá)差錯；鏈路層應(yīng)在執(zhí)行 ARP 請求 /響應(yīng)序列時緩存數(shù)據(jù)包，只有在請求無結(jié)果后才報告目的地不可達(dá)。 接入路由器詳細(xì)技術(shù)指標(biāo) 功能及技術(shù)指標(biāo) 參數(shù)要求 包轉(zhuǎn)發(fā)能力 ≥200kpps 接口槽數(shù) ≥ 4 配置 DRAM 內(nèi)存 ≥ 256M 配置 Flash 內(nèi)存 ≥ 32M 可支持接口類型 10/100BaseT、 E1 電路端口、 冗余電源 1＋ 1 最大快速以太接入數(shù)量 ≥ 10 最大 E1 接口數(shù)量 ≥ 16 整機(jī)不間斷工作時間 20 萬小時 時延 ≤ 100μ s 用戶協(xié)議 IP， ATM， Frame Relay 路由協(xié)議 OSPF、 BGP v BGP4 Extension、 RIP v2 路由器管理 /安全協(xié)議 SNMP、 RMON II、在線升級，在線打補(bǔ)丁 服務(wù)質(zhì)量 流量分類和流量監(jiān)管 CAR/LR、流量整形 GTS、擁塞管理PQ/CQ/WFQ/CBQ、擁塞避免 WRED 網(wǎng)絡(luò)安全 錄用戶認(rèn)證 、 RADIUS 認(rèn) 證 /計費(fèi) 、 IPSEC、 IKE、硬 件加密卡、防火墻支持（對接口 /時間段 /MAC 地址的 過濾 ）、高性能 NAT。 （ 8） 運(yùn)行維護(hù)功能：交換機(jī)必須實現(xiàn)運(yùn)行維護(hù)功能。 機(jī)箱上各種插板、模塊均應(yīng)是嵌入式的，易于插入、拔出，并有定位、鎖定裝置，插板、模塊上應(yīng)標(biāo)示有導(dǎo)向。 19 （ 7）路由器等設(shè)備應(yīng)具備相應(yīng)的抗電磁干擾能力，路由器等設(shè)備本身在 頻率范圍內(nèi)受到電場強(qiáng)度為 140dBuV/m 的外界電磁波干擾時，應(yīng) 不出現(xiàn)故障和性能的下降。 （ 3） 調(diào)度數(shù)據(jù)網(wǎng)機(jī)柜應(yīng)采用雙 路 UPS 電源供電 ； 交流 ： 220V 177。這些因素決定了電力二次系統(tǒng)的安全防護(hù)是一個系統(tǒng)性的工程。 圖 121 安全防護(hù) P2DR 動態(tài)模 型 P o licyP ro t ec t io nD et e ct i o nR es po ns e防護(hù)防護(hù)檢測檢測反應(yīng)反應(yīng)策略策略防護(hù)防護(hù)檢測檢測反應(yīng)反應(yīng)策略策略 21 總體安全策略 ﹡ 安全分區(qū) 根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對一次系統(tǒng)的影響程度進(jìn)行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的安全區(qū)內(nèi)。生產(chǎn)控制大區(qū)劃分為：實時控制區(qū)、非控制生產(chǎn)區(qū)。 2）進(jìn)行實時控制的功能或系統(tǒng)均須置于安全區(qū)Ⅰ。 ﹡ 允許安全區(qū)Ⅱ縱向 Web服務(wù)，其專用 Web服務(wù)器和 Web瀏覽工作站均在“非軍事區(qū)”的網(wǎng)段，專用 Web服務(wù)器是經(jīng)過安全加固且支持 HTTPS的安全 Web服務(wù)器， Web瀏覽工作站與 II區(qū)業(yè)務(wù)系統(tǒng)工作站不得共用，而且必須由業(yè)務(wù)系統(tǒng)向 Web服務(wù)器單向主動傳送數(shù)據(jù)。病毒庫和木馬庫 的更新必須離線進(jìn)行，不得直接從因特網(wǎng)下載。隔離裝置必須是國產(chǎn)設(shè)備并經(jīng)過國家或電力系統(tǒng)有關(guān)部門認(rèn)證。安全區(qū)Ⅰ、Ⅱ接入 SPD 時，應(yīng)配置縱向加密認(rèn)證裝置，實現(xiàn)網(wǎng)絡(luò)層雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制。 5） 系統(tǒng)設(shè)備之間的硬接線不視為通信連接，本設(shè)計中視其為安全。安全區(qū) I網(wǎng)絡(luò)結(jié)構(gòu)及安全防護(hù)產(chǎn)品如下： ﹡ 安全區(qū) I與省調(diào)縱向通信中采用認(rèn)證加密裝置進(jìn)行安全隔離。 建立完善的安全管理組織機(jī)構(gòu) 系統(tǒng)設(shè)立一套安全審計平臺： 建立完善的安全負(fù)責(zé)制 本著“誰主管，誰負(fù)責(zé)”和“誰經(jīng)營，誰負(fù)責(zé)”的原則，應(yīng)成立二次系統(tǒng)安全防護(hù)小組，小組成員由各類業(yè)務(wù)的代表組成，成員對各自業(yè)務(wù)所涉及的應(yīng)用系 統(tǒng)的安全防護(hù)工作負(fù)責(zé)。 3）新的生產(chǎn)設(shè)備或 信息系統(tǒng)在投運(yùn)之前、老系統(tǒng)進(jìn)行安全整改之后或進(jìn)行重大改造或升級之后必須進(jìn)行安全評估；電力二次系統(tǒng)應(yīng)該定期（一年或兩年）進(jìn)行安全評估。 ﹡ 禁止在網(wǎng)絡(luò)內(nèi)部私自使用撥號方式訪問 Inter 等外部公共網(wǎng)絡(luò)。 5）權(quán)限管理 ﹡ 針對不同專業(yè)的業(yè)務(wù)系統(tǒng)，對不同的用戶實體、不同的使用人員按最小化原則賦予相應(yīng)的訪問權(quán)限和操作權(quán)限。 9）惡意代碼（病毒及木馬等）的防護(hù)以有效的方式及時發(fā)布病毒報告、相應(yīng)的升級防病毒軟件、以及各個公用系統(tǒng)軟件的漏洞報告及相應(yīng)的軟件補(bǔ)丁；及時部署升級的防病毒軟件，并追蹤查殺效果；及時向上級報告新病毒等惡意代碼的入侵情況。 15）聯(lián)合防護(hù) ﹡ 應(yīng)密切配合上級和其它電廠，聯(lián)合進(jìn)行安全防護(hù)； ﹡ 出現(xiàn)安全事故或遭受病毒或 黑 客的攻擊時，應(yīng)該及時向上級部門報告，并通報有網(wǎng)絡(luò)連 接 的單位，采取聯(lián)合防護(hù)措施， 防止事故的擴(kuò)大以保證整個系統(tǒng)的正常運(yùn)行。 5） 采用專用嵌入式 安全操作系統(tǒng)，系統(tǒng)無 TCP/IP 協(xié)議棧。當(dāng)系統(tǒng)發(fā)生入侵行為或者違反安全策略的操作時，在 36 網(wǎng)絡(luò)層和系統(tǒng)內(nèi)部對該用戶或程序進(jìn)行阻斷，并由系統(tǒng)向管理員報警。 入侵檢測系統(tǒng)技術(shù)要求 1） 產(chǎn)品需獲得如下資質(zhì)證書： 計算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證； 國際信息安全認(rèn)證產(chǎn)品 EAL3 認(rèn)證證書； 涉密信息系統(tǒng)產(chǎn)品檢測證書； 國際 CVE 組織產(chǎn)品兼容認(rèn)證證書。 6） 采用基于行為分析的檢測技術(shù)，對未知漏洞 進(jìn)行攻擊能夠很好防范。 12）應(yīng)提供按照檢測對象、攻擊類型等分類的默認(rèn)內(nèi)置檢測模版，且默認(rèn)模版不可修改；提供向?qū)Щ牟呗跃幹品绞剑峁┖?、并、交等策略集操作策略? 18）要求對用戶分級，并能夠調(diào)整對不同用戶具體權(quán)限，具備不同的操作。 17）應(yīng)支持多種數(shù)據(jù)庫類型，包括： ACCESS、 MSDE（ SQL SERVER）和任何具備 ODBC（開放式數(shù)據(jù)庫互聯(lián)）通用數(shù)據(jù)庫接口的數(shù)據(jù)庫系統(tǒng)，并且支持獨(dú)立的日志數(shù)據(jù)庫部署。 11）具有設(shè)備的拓?fù)滹@示功能，可以在界面上以 圖形化的方式顯示當(dāng)前的 IDS 部署拓?fù)?。具備完備、開放的特征庫，支持生成自己的事件庫，對非通用入侵行為進(jìn)行定義檢測；支持向?qū)降淖远x事件方式。 “零影響 ” 系統(tǒng)應(yīng)采用動態(tài)可加載模塊技術(shù)，保證服務(wù)器加固與管理系統(tǒng)安裝或卸載時不需要重啟系