【正文】 只有一臺(tái)交換機(jī)， 可以在交換機(jī)和路由器之間采用 MPLS VPN 為實(shí)時(shí)和非實(shí)時(shí)系統(tǒng)劃分不同的 VLAN 網(wǎng)段，實(shí)現(xiàn)通信的機(jī)密性和完整性。 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)支持采用 MPLS VPN 建立的不同虛擬專網(wǎng)之間的數(shù)據(jù)安全通信， 通過建立多條加密隧道，保證數(shù)據(jù)傳輸?shù)膶?shí)時(shí)性、機(jī)密性和完整性。 集中安全管理 支持對(duì)所轄的所有縱向加密認(rèn)證網(wǎng)關(guān)集中管理（ SCM），用戶可以非常方便地通過縱向加密認(rèn)證網(wǎng)關(guān)配套的裝置安全管理系統(tǒng)以圖形化的方式安全高效地更新密鑰、查詢所有隧道狀態(tài)，完成證書發(fā)放、更換，設(shè)置安全策略等 和各種狀態(tài)信息的監(jiān)控，如圖 13 所示。 報(bào)文加密速度快 通過采用硬件加密技術(shù)、密碼專用芯片技術(shù)、實(shí)時(shí)操作系統(tǒng)技術(shù)和明密信息傳遞通道擴(kuò)展技術(shù)，有效地降低了系統(tǒng)時(shí)延，在電力調(diào)度數(shù)據(jù)網(wǎng)上可以實(shí)現(xiàn)高速加密，充分保證電力實(shí)時(shí)數(shù)據(jù)通信的實(shí)時(shí)性。 整個(gè)界面使用全中文化的設(shè)計(jì)，通過友好的圖形化界面，網(wǎng)絡(luò)管理員可以很容易地定制安全策略和對(duì)系統(tǒng)進(jìn)行維護(hù)管理，用戶只需進(jìn)行簡(jiǎn)單的培訓(xùn)就可以完成對(duì)隔離設(shè)備的管理與配置。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 ? 采用專用加密算法進(jìn)行數(shù)據(jù)加密和數(shù)字簽名 南瑞 SysKeeper2020 反向型隔離設(shè)備采用 motorola 高性能 RISC 體系結(jié)構(gòu) CPU，采用對(duì)稱加密算法、 RSA 公私密鑰算法實(shí)現(xiàn)數(shù)據(jù)加、解密、數(shù)字簽名、身份認(rèn)證等功能，保證數(shù)據(jù)的安全傳輸。 ? 基于純文本的編碼轉(zhuǎn)換和識(shí)別 根據(jù)全國(guó)電力二次安全防護(hù)的要求，需要將純文本文件中單字符的ASCII 碼（非控制字符）轉(zhuǎn)換為對(duì)應(yīng)的雙字節(jié)碼，并能正常顯示。針對(duì)I/II 區(qū)到 III 區(qū)通信內(nèi)容規(guī)定，南瑞 SysKeeper2020 網(wǎng)絡(luò)安全隔離設(shè)備提供了豐富的通信工具軟件（包括數(shù)據(jù)庫(kù)傳輸軟件和文件傳輸軟件）和 API 函數(shù)接口，方便用戶進(jìn)行二次系統(tǒng)安全隔離改造。目前，內(nèi)核中只包括用戶管理﹑進(jìn)程管理，裁剪掉 TCP/IP 協(xié)議棧和其它不需要的系統(tǒng)功能， 進(jìn)一步 提高了系統(tǒng)安全性和抗攻擊能力 ，免于黑客對(duì)操作系統(tǒng)的攻擊，并有效抵御 Dos/DDos 攻擊。 ? 嚴(yán)格的生產(chǎn)流程控制 南瑞網(wǎng)絡(luò)安全隔離系列產(chǎn)品嚴(yán)格 遵循 ISO9000 2020 版質(zhì)量認(rèn)證體系，對(duì)每一臺(tái)隔離產(chǎn)品的關(guān)鍵芯片和元器件進(jìn)行產(chǎn)品老化試驗(yàn)，所有的隔離產(chǎn)品在出廠前必須經(jīng)過 240 小時(shí)以上的連續(xù)通電測(cè)試，確保每一臺(tái)網(wǎng)絡(luò)安全隔離產(chǎn)品運(yùn)行的穩(wěn)定性和硬件的高可靠性。方案二的建議網(wǎng)絡(luò)拓?fù)淙缦聢D所示，圖 2 為下屬的一個(gè)電廠的安全防護(hù)分區(qū)拓?fù)涫疽鈭D，其他電廠可采用類似的安全防護(hù)網(wǎng)絡(luò)結(jié)構(gòu)。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 設(shè)計(jì)范圍 本方案覆蓋水電公司安全防護(hù)系統(tǒng)設(shè)計(jì)及工程部署方面的原則要求。 二、 水電公司網(wǎng)絡(luò)改造設(shè)計(jì)方案 網(wǎng)絡(luò)現(xiàn)狀分析 水電 公司 水電公司 水庫(kù) 梯級(jí) 調(diào)度 中心下屬 6 個(gè)直管電廠， 水調(diào)自動(dòng)化系統(tǒng)為一個(gè)獨(dú)立的子系統(tǒng) ，下屬 6 個(gè)直管電廠采用獨(dú)立的局域網(wǎng)絡(luò)系統(tǒng)與信息中心互連，并進(jìn)行實(shí)時(shí)信息傳輸。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 圖 2 建議方案網(wǎng)絡(luò)拓?fù)鋱D 本方案只是從邏輯上描述出了基本的數(shù)據(jù)流向和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，具體在進(jìn)行安全防護(hù)工程時(shí)還需要配合其它的防護(hù)措施，比如在同一大區(qū)內(nèi)部的不同安全區(qū)之間需要采用國(guó)產(chǎn)硬件防火墻進(jìn)行邏輯隔離，同時(shí)待條件成熟，可以部署 IDS入侵檢測(cè)系統(tǒng)對(duì)數(shù)據(jù)進(jìn)行實(shí)時(shí)監(jiān)視與報(bào)警。 ? 支持雙電源 實(shí)踐經(jīng)驗(yàn)及理論都證明，一個(gè)產(chǎn)品最易出故障的部位在電源部分。 ? 數(shù)據(jù)單向傳輸控制 物理上控制反向傳輸芯片的深度，在硬件上保證叢低安全區(qū)到高安全區(qū)的 TCP 應(yīng)答禁止攜帶應(yīng)用數(shù)據(jù)，大大增強(qiáng)了高安全區(qū)業(yè)務(wù)系統(tǒng)的安全性。 ? 豐富的電力二次系統(tǒng)安全改造經(jīng)驗(yàn) 南瑞 SysKeeper－ 2020 網(wǎng)絡(luò)安全隔離設(shè)備（正向型）與南瑞所有的監(jiān)控 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 系統(tǒng)（包括網(wǎng)、省調(diào)、地調(diào)、縣調(diào)和變電站 SCADA 系統(tǒng)以及水電、火電監(jiān)控系統(tǒng)）進(jìn)行了安全改造 工作和現(xiàn)場(chǎng)的實(shí)際運(yùn)行；同時(shí)與國(guó)內(nèi)外主流的監(jiān)控系統(tǒng)廠商進(jìn)行了廣泛、深入的合作（國(guó)內(nèi)：包括東方電子、魯能積成、上海申瑞等；國(guó)外： 阿爾斯通 監(jiān)控系統(tǒng)、原 CAE 公司監(jiān)控系統(tǒng)、 PI 實(shí)時(shí)數(shù)據(jù)庫(kù)、Valmet SCADA 系統(tǒng)等 ），保證電力二次系統(tǒng)安全防護(hù)工程的順利實(shí)施。南瑞 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 SysKeeper－ 2020 反向隔離裝置提供了專用發(fā)送軟件在發(fā)送文本文件數(shù)據(jù)時(shí)，自動(dòng)將半角字符轉(zhuǎn)換為全角字符。在 1024 位模長(zhǎng)下， RSA 數(shù)字簽名速度為 150 次 /秒，密文數(shù)據(jù)包通吐量 20Mbps（ 50 條安全策略， 1024字節(jié) 報(bào)文長(zhǎng)度） 。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 四、南瑞 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)介紹 為滿足 電力系統(tǒng)二次安全防護(hù)的需要， 南瑞信息系統(tǒng)分公司所依托在網(wǎng)絡(luò)安全產(chǎn)品中的廣泛技術(shù)積累和成功開發(fā)電力系統(tǒng)專用安全隔離裝置的應(yīng)用實(shí)踐經(jīng)驗(yàn)，以安全性 ﹑ 可靠性 ﹑易用性為電力專用縱向加密認(rèn)證裝置的設(shè)計(jì)原則，自主研制并推出 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)， 如圖 12 所示 。 完善的密鑰管理機(jī)制 NetKeeper2020 縱向加密認(rèn)證 網(wǎng)關(guān)提供基于 RSA 公私密鑰對(duì)的數(shù)字簽名和采用專用加密算法進(jìn)行數(shù)字加密的功能。 圖 13 裝置安全管理系統(tǒng) 完善的日志審計(jì)功能 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)能依據(jù)系統(tǒng)要求記錄敏感通信事件和管理事件，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 網(wǎng)省調(diào)加密認(rèn)證網(wǎng)關(guān)接入方案 網(wǎng)、省調(diào)的網(wǎng)絡(luò)設(shè)備通過雙機(jī)冗余技術(shù)，增強(qiáng)網(wǎng)絡(luò)接入環(huán)節(jié)的可靠性。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 圖 17 廠站端加密裝置接入方案 裝置管理 根據(jù)電力二次系統(tǒng)安全防護(hù)的規(guī)定和縱向加密認(rèn)證裝置的管理體制，南瑞信息系統(tǒng)分公司自 主研制開發(fā)了 DMS2020 縱向加密認(rèn)證裝置管理系統(tǒng)，為調(diào)度中心所轄的加密認(rèn)證裝置提供遠(yuǎn)程安全管理服務(wù)。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 審計(jì)管理 在裝置管理系統(tǒng)進(jìn)行的操作和發(fā)生的事件 均應(yīng)有日志記錄， DMS2020 加密認(rèn)證網(wǎng)關(guān)在系統(tǒng)提供日志的基礎(chǔ)上，基于自身多年對(duì)電力系統(tǒng)調(diào)度業(yè)務(wù)的理解和安全隔離裝置的應(yīng)用實(shí)踐經(jīng)驗(yàn)，添加了一些重要的日志信息，為用戶制定審計(jì)策略并對(duì)其進(jìn)行歸納和分析。尤其是外網(wǎng)中需要進(jìn)行各種事務(wù)處理、電力業(yè)務(wù)管理、查詢統(tǒng)計(jì)、報(bào) 表等工作時(shí)，需要綜合 SCADA 系統(tǒng)、電量計(jì)量系統(tǒng)等多個(gè)分布在內(nèi)網(wǎng)中的業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)。 菜單欄 工具欄 導(dǎo)航欄 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 強(qiáng)大靈活的數(shù)據(jù)庫(kù)傳輸功能 ST3000 安全傳輸軟件采用符合國(guó)際標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)的 JDBC 技術(shù)，屏蔽各類數(shù)據(jù)庫(kù)系統(tǒng)的訪問差異，可穩(wěn)定高效的訪問 Oracle、 SQL Server、 Sybase、 DB2等數(shù)據(jù)庫(kù)系統(tǒng)，如圖 23 所示。 ■ Windows 操作平臺(tái)： Microsoft Windows 9x 和 ME， NT 、 2020 和 XP 操作系統(tǒng) ，推薦Windows NT 和 2020 或以上版本。對(duì)現(xiàn)有系統(tǒng)的物理配置、連接 關(guān)系以及信息流程有明晰的認(rèn)識(shí)，確定實(shí)際網(wǎng)絡(luò)連接狀況及系統(tǒng)的邏輯邊界和物理邊界；掃描系統(tǒng)漏洞，進(jìn)行安全風(fēng)險(xiǎn)評(píng)估；修補(bǔ)系統(tǒng)和主服務(wù)器、網(wǎng)關(guān)機(jī)、通信前置機(jī)等關(guān)鍵設(shè)備的主要漏洞；按照二次安全防護(hù)方案，做好相應(yīng)的安全區(qū)規(guī)劃，對(duì)現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)、業(yè)務(wù)系統(tǒng)及外部接口進(jìn)行結(jié)構(gòu)調(diào)整和網(wǎng)絡(luò)改造。反向隔離裝置要求傳輸?shù)奈募仨殲榧兾谋疚募?，如果為其它格式文件，需轉(zhuǎn)換為純文本文件再進(jìn)行傳輸。文件接收端指定傳入文件的根目錄，接受客戶端傳入的文件，如圖 28 所示。 實(shí)時(shí)數(shù)據(jù)傳輸軟件由以下二部分組成： 1） 實(shí)時(shí)數(shù)據(jù)發(fā)送端； 2） 實(shí)時(shí)數(shù)據(jù)接收端； 其數(shù)據(jù)工作流程如下圖所示： 圖 29 實(shí)時(shí)數(shù)據(jù)傳輸軟件工作流程圖 實(shí)時(shí)數(shù)據(jù)發(fā)送端運(yùn)行在 I 區(qū)現(xiàn)有監(jiān)控系統(tǒng)的實(shí)時(shí)數(shù)據(jù)通信網(wǎng)關(guān)機(jī)上，采用單 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 向主動(dòng)發(fā)送的方式將實(shí)時(shí) 庫(kù)中的數(shù)據(jù)發(fā)送到 III 區(qū)的數(shù)據(jù)接收端，實(shí)時(shí)數(shù)據(jù)接收端運(yùn)行在 III 區(qū)現(xiàn)有 DMIS 系統(tǒng)的服務(wù)器上，負(fù)責(zé)接收從 I 區(qū)實(shí)時(shí)數(shù)據(jù)發(fā)送程序發(fā)送來的實(shí)時(shí)數(shù)據(jù)。傳輸軟件分為客戶端與服務(wù)端，客戶端為數(shù)據(jù)發(fā)送端，服務(wù)端為數(shù)據(jù)接收端，客戶端運(yùn) 行在 I 區(qū)的數(shù)據(jù)傳輸服務(wù)器上，服務(wù)端運(yùn)行在 III 區(qū)現(xiàn)有的歷史服務(wù)器上。 由于需要在 I 區(qū)增加一臺(tái)基于 NT 的數(shù)據(jù)庫(kù)傳輸服務(wù)器，所以基于 NT 平臺(tái)的主機(jī)必須進(jìn)行安全加固。 對(duì)于 WEB 服務(wù)器在 I 區(qū)，客戶端在 III 區(qū)的應(yīng)用，必須將 WEB 服務(wù)器移至外網(wǎng)，以專用橫向隔離設(shè)備將調(diào)度自動(dòng)化系統(tǒng)隔開，由于傳統(tǒng)的防火墻不能做到應(yīng)用 級(jí)的安全防護(hù)，所以 WEB 服務(wù)器放在調(diào)度自動(dòng)化系統(tǒng)內(nèi)部，將很難確保不受基于 IIS 等漏洞的攻擊，進(jìn)而攻擊整個(gè)調(diào)度自動(dòng)化系統(tǒng)，而將其放到外網(wǎng)系統(tǒng)中，在隔離裝置上做控制，只允許 WEB 服務(wù)器上的特定應(yīng)用與自動(dòng)化系統(tǒng)進(jìn)行通訊，從而可以大大提高整個(gè)系統(tǒng)的安全性。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 圖 31 數(shù)據(jù)庫(kù)傳輸軟件工作流程示意圖 數(shù)據(jù)庫(kù)傳輸發(fā)送端主要功能： ? 支持多種流行的數(shù)據(jù)庫(kù)如 ORACLE/SYBASE/SQL SERVER/FOXPRO； ? 支持自定義多個(gè)數(shù)據(jù)源； ? 手工或自動(dòng)進(jìn)行用戶指定表的鏡像傳輸； ? 根據(jù)用戶定義的規(guī)則，進(jìn)行不同表結(jié)構(gòu)之間的數(shù)據(jù)傳輸； ? 支持規(guī)則設(shè)定，使得服務(wù)在指定的時(shí)間點(diǎn)、指定的時(shí)間間隔自動(dòng)傳輸指定表中的數(shù)據(jù)； ? 可根據(jù)用戶指定的規(guī)則，將數(shù)據(jù)庫(kù)中的數(shù)據(jù)以文件方式保存并進(jìn)行傳輸，傳輸失敗后，具備告警功能； ? 完備的日志功能，以便于用戶定位，進(jìn)行故障分析，對(duì)失敗的任務(wù)重新執(zhí)行。 從應(yīng)用程序改造的角度來看，只需要改動(dòng)應(yīng)用程序的工作模式即可，具體的通信規(guī)約不需要進(jìn)行大的改動(dòng)。 圖 28 正向文件傳輸軟件工作流程圖 水電公司二次系統(tǒng)安全防護(hù)設(shè)計(jì)方案 2) 實(shí)時(shí)數(shù)據(jù)轉(zhuǎn)發(fā) 對(duì)于需要從 I 區(qū)轉(zhuǎn)發(fā)實(shí)時(shí)數(shù)據(jù)到 III