【正文】 作人員的安全職責(zé)： ﹡ 嚴(yán)格遵守各項(xiàng)安全管理制度； ﹡ 保護(hù)本人的口令、數(shù)字證書、密鑰、 IC 卡等 安全設(shè)施，一旦泄露或丟失，應(yīng)該立即報(bào)告。 ﹡ 訪問控制的粒度應(yīng)達(dá)到主體為用戶組 /用戶級(jí)，以權(quán)限分配的方式實(shí)施控制。 13）培訓(xùn)管理 安全產(chǎn)品廠家應(yīng)負(fù)責(zé)對(duì)安全防護(hù)小組相關(guān)成員進(jìn)行細(xì)致的培訓(xùn)，加強(qiáng)電站安全人員對(duì)安全技術(shù)的認(rèn)識(shí)，提高電站自主解決安全 34 問題的能力。 、全面的訪問控制 可根據(jù)用戶的需求管理系統(tǒng)調(diào)用，對(duì)文件、系統(tǒng)、進(jìn)程進(jìn)行保護(hù)，并可防止由攻擊造成的數(shù)據(jù)篡改，阻止非授權(quán)用戶中斷進(jìn)程和系統(tǒng)服務(wù)，保障服務(wù)器的穩(wěn)定運(yùn)行。 5） 具有用戶自定義事件功能。 16）事件幫助信息必須全中文并提供對(duì)事件的描述和如何修補(bǔ)漏洞的指導(dǎo)。 13）支持虛擬引擎功能，可以按照不同檢測對(duì)象設(shè)置不同的檢測策略。 2）產(chǎn)品廠家應(yīng)獲得如下資 質(zhì)： 安全服務(wù) 2 級(jí)資質(zhì)； 應(yīng)急相應(yīng) 1 級(jí)資質(zhì)； 企業(yè) CIMM3 資質(zhì)。 6） 支持明通和密文傳輸，支持標(biāo)準(zhǔn)的 VLAN 封裝協(xié)議， 可以實(shí)現(xiàn)不同網(wǎng)段應(yīng)用無縫透明接入。 10）審計(jì)管理 對(duì)安全設(shè)備和網(wǎng)絡(luò)裝置（如隔離裝置、縱向加密認(rèn)證裝置、入侵檢測系統(tǒng)、防火墻、路由器、交換機(jī)等）及關(guān)鍵系統(tǒng)（如：計(jì)算機(jī)監(jiān)控系 統(tǒng)、機(jī)組狀態(tài)監(jiān)測系統(tǒng)、水調(diào)自動(dòng)化系統(tǒng)等）的應(yīng)用系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫日志進(jìn)行維護(hù)；認(rèn)真保存日志；由具有特許授權(quán)的安全管理人員進(jìn)行管理，及時(shí)進(jìn)行分析，檢查各種違規(guī)行動(dòng)以及病毒和黑客的攻擊行為；并根據(jù)情況，修改設(shè)備的安全策略以及采取其它相應(yīng)的措施。與網(wǎng)絡(luò)外部的連接應(yīng)進(jìn)行嚴(yán)格的審查。應(yīng)任命安全專責(zé)對(duì)小組事務(wù)全面管理。 6） 入侵檢測系統(tǒng)； 7） 防范病毒入侵網(wǎng)絡(luò)和傳播； 安全分區(qū) ﹡ 安全區(qū) I：包括計(jì)算機(jī)監(jiān)控系統(tǒng)。 1） 安全區(qū)Ⅰ與安全區(qū)Ⅱ之間的隔離要求： 安全區(qū)Ⅰ、Ⅱ之間采用經(jīng)有關(guān)部門認(rèn)定核準(zhǔn)的硬件防火墻或相當(dāng)設(shè)備進(jìn)行邏輯隔離、報(bào)文過濾、狀態(tài)檢測、訪問控制，禁止 mail、 Web、 Tel、 Rlogin 等服務(wù)穿越安全區(qū)之間的隔離設(shè)備。 ﹡ 在安全區(qū)Ⅰ、Ⅱ內(nèi)禁止使用 IDS 與 防火墻的聯(lián)動(dòng)。管理信息大區(qū)可根據(jù)業(yè)務(wù)系統(tǒng)的狀況再細(xì)分。電站安全防護(hù)工作對(duì)內(nèi)應(yīng)做到細(xì)致全面，清晰合理；對(duì)外應(yīng)積極配合上級(jí)和調(diào)度機(jī)構(gòu)的安全管理，在完成內(nèi)部安全防護(hù)的同時(shí)在區(qū)域和全局形成合理優(yōu)化的防護(hù)體系。 （ 8）路由器等設(shè)備應(yīng)采用交流 220V 供電方式，投標(biāo)人應(yīng)詳細(xì)說明所提供的各類設(shè)備所需電源的要求，并給出各種節(jié)點(diǎn)、各種設(shè)備的功耗和總功耗。 （ 9） 網(wǎng)絡(luò)管理功能：交換機(jī)必須實(shí)現(xiàn)網(wǎng)絡(luò)管理接口及協(xié)議。 點(diǎn)到點(diǎn)協(xié)議（ PPP） 對(duì)點(diǎn)到點(diǎn)協(xié)議的實(shí)現(xiàn)必須符合 RFC166 RFC133 RFC1334 和 RFC1994。 （ 8） 應(yīng)能支持路由器節(jié)點(diǎn)的 CQS 功能，并且網(wǎng)絡(luò)具備一定的 QoS 機(jī)制。站端發(fā)電計(jì)劃申報(bào)管理系統(tǒng)通過電力調(diào)度數(shù)據(jù)專網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)傳輸為主，撥號(hào)方式備用的結(jié)構(gòu)訪問主站系統(tǒng)，上報(bào)和獲取計(jì)劃和其它市場信息 。 （ 3） 業(yè)務(wù)管理能力 網(wǎng)絡(luò)需向用戶提供不同類型的服務(wù)，應(yīng)有良好的業(yè)務(wù)管理能力。 （ 3） 電能量信息 數(shù)據(jù) 、 系統(tǒng)繼電保護(hù)及故障錄波 信息 數(shù)據(jù) 、 安全自動(dòng)裝置數(shù)據(jù)業(yè)務(wù)以及保護(hù)記錄的歷史數(shù)據(jù)的非實(shí)時(shí)數(shù)據(jù)傳輸。 同時(shí)在電廠側(cè)配置縱向加密認(rèn)證裝置，實(shí)現(xiàn) 4 電廠與省調(diào)通信的縱向安全防護(hù)體系。實(shí)施方案應(yīng)滿足《電力二次系統(tǒng)安全防護(hù)總體方案》電監(jiān)安全 [2021]34號(hào)文的要求。 （ 2） 電力市場數(shù)據(jù)：電力市場數(shù)據(jù)包括公司內(nèi)部電力市場技術(shù)支持系統(tǒng)之間交換的數(shù)據(jù)，各個(gè)系統(tǒng)采集的各自需要的數(shù)據(jù)，公司交易 中心與其它公司交易中心之間交換的數(shù)據(jù)。 XX、 XX梯級(jí)電站 為接入層節(jié)點(diǎn)。 圖 82為 遠(yuǎn)動(dòng)信息接入 示意圖： 11 圖 82 計(jì)算機(jī)監(jiān)控 系統(tǒng)接入方案示意圖 電能量采集系統(tǒng) /發(fā)電計(jì)劃申報(bào)系統(tǒng) 四川電網(wǎng)電力市場支持系統(tǒng)主站設(shè)在 四川省電力公司調(diào)度中心，由統(tǒng)一的網(wǎng)絡(luò)平臺(tái)、電量采集系統(tǒng)、發(fā)電計(jì)劃申報(bào)管理系統(tǒng)、考核結(jié)算系統(tǒng)、信息發(fā)布系統(tǒng)、調(diào)度自動(dòng)化系統(tǒng)（ EMS） 系統(tǒng)組成，是四川電力市場正常運(yùn)轉(zhuǎn)必不可少的技術(shù)基礎(chǔ)。 13 （ 5）應(yīng)能提供組播功能。 路由器各層協(xié)議及路由協(xié)議要求 鏈路層協(xié)議 路由器應(yīng)能支持地址解析協(xié) 議（ ARP）、 反向地址解析協(xié)議（ RARP）、點(diǎn)到點(diǎn)協(xié)議（ PPP）；對(duì)于核心層、骨干層路由器還應(yīng)能支持 SDH 上傳送 IP 的協(xié)議，即能支持 RFC1619/2615。 （ 6） 路由信息維護(hù)功能：該功能負(fù)責(zé)運(yùn)行路由協(xié)議，維護(hù)路由表。對(duì)此，投標(biāo)人應(yīng)作出相應(yīng)說明。 系統(tǒng)性 二次系統(tǒng)由電站內(nèi)各業(yè)務(wù)系統(tǒng)子網(wǎng)組成，其中以不同的通信方式和通信協(xié)議承載著安全性要求各異的多種應(yīng)用。不同的安全區(qū)確定了不同的安全防護(hù)要求，從而決定了不同的安全等級(jí)和防護(hù)水平。 各安全區(qū)內(nèi)部防護(hù)基本要求 1）對(duì)安全區(qū)Ⅰ及安全區(qū)Ⅱ的要求： ﹡ 禁止安全區(qū)Ⅰ和安全區(qū)Ⅱ內(nèi)部的 Email 服務(wù)。 24 安全區(qū)之間的橫向隔離要求 在各安全區(qū)之間均需選擇適當(dāng)安全強(qiáng)度的隔離裝置。 3） 本次設(shè)計(jì)以各系統(tǒng)間的橫向通信和與上級(jí)單位及調(diào)度端的縱向 通信接口防護(hù)為重點(diǎn)。 II區(qū)安全防護(hù)如圖 133所示： 28 圖 133 II區(qū)安全防護(hù) 29 14 二次系統(tǒng)安全管理體系建設(shè) 電力二次系統(tǒng)的安全防護(hù)除了采取技術(shù)手段之外必須加強(qiáng)管理，按照 “三分技術(shù)，七分管理”的原則認(rèn)真地將安全管理落到實(shí)處。 3）網(wǎng)絡(luò)管理 ﹡ 對(duì)網(wǎng)絡(luò)使用人員的操作行為作嚴(yán)格的規(guī)定。 7）安全防護(hù)系統(tǒng)的維護(hù)管理 在各個(gè)安全區(qū)分別設(shè)立安全防護(hù)系統(tǒng)的軟硬結(jié)合的維護(hù)機(jī)制，負(fù)責(zé)采集有關(guān)安全裝置的日志記錄、狀態(tài)，并進(jìn)行綜合處理，以便 及時(shí)發(fā)現(xiàn)安全事故、非法入侵、安全漏洞以及安全裝置的故障。 3） 采用電力專用分組密碼算法和公鑰密碼算法，支持身份鑒別，信息加密，數(shù)字簽名和密鑰生成與保護(hù)。 “零影響 ” 系統(tǒng)應(yīng)采用動(dòng)態(tài)可加載模塊技術(shù)，保證服務(wù)器加固與管理系統(tǒng)安裝或卸載時(shí)不需要重啟系統(tǒng)。 11）具有設(shè)備的拓?fù)滹@示功能，可以在界面上以 圖形化的方式顯示當(dāng)前的 IDS 部署拓?fù)洹? 18）要求對(duì)用戶分級(jí)，并能夠調(diào)整對(duì)不同用戶具體權(quán)限，具備不同的操作。 6） 采用基于行為分析的檢測技術(shù)，對(duì)未知漏洞 進(jìn)行攻擊能夠很好防范。當(dāng)系統(tǒng)發(fā)生入侵行為或者違反安全策略的操作時(shí)，在 36 網(wǎng)絡(luò)層和系統(tǒng)內(nèi)部對(duì)該用戶或程序進(jìn)行阻斷，并由系統(tǒng)向管理員報(bào)警。 15）聯(lián)合防護(hù) ﹡ 應(yīng)密切配合上級(jí)和其它電廠，聯(lián)合進(jìn)行安全防護(hù)； ﹡ 出現(xiàn)安全事故或遭受病毒或 黑 客的攻擊時(shí)，應(yīng)該及時(shí)向上級(jí)部門報(bào)告，并通報(bào)有網(wǎng)絡(luò)連 接 的單位，采取聯(lián)合防護(hù)措施， 防止事故的擴(kuò)大以保證整個(gè)系統(tǒng)的正常運(yùn)行。 5）權(quán)限管理 ﹡ 針對(duì)不同專業(yè)的業(yè)務(wù)系統(tǒng)，對(duì)不同的用戶實(shí)體、不同的使用人員按最小化原則賦予相應(yīng)的訪問權(quán)限和操作權(quán)限。 3）新的生產(chǎn)設(shè)備或 信息系統(tǒng)在投運(yùn)之前、老系統(tǒng)進(jìn)行安全整改之后或進(jìn)行重大改造或升級(jí)之后必須進(jìn)行安全評(píng)估；電力二次系統(tǒng)應(yīng)該定期（一年或兩年）進(jìn)行安全評(píng)估。安全區(qū) I網(wǎng)絡(luò)結(jié)構(gòu)及安全防護(hù)產(chǎn)品如下： ﹡ 安全區(qū) I與省調(diào)縱向通信中采用認(rèn)證加密裝置進(jìn)行安全隔離。安全區(qū)Ⅰ、Ⅱ接入 SPD 時(shí)，應(yīng)配置縱向加密認(rèn)證裝置，實(shí)現(xiàn)網(wǎng)絡(luò)層雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制。病毒庫和木馬庫 的更新必須離線進(jìn)行，不得直接從因特網(wǎng)下載。 2）進(jìn)行實(shí)時(shí)控制的功能或系統(tǒng)均須置于安全區(qū)Ⅰ。 圖 121 安全防護(hù) P2DR 動(dòng)態(tài)模 型 P o licyP ro t ec t io nD et e ct i o nR es po ns e防護(hù)防護(hù)檢測檢測反應(yīng)反應(yīng)策略策略防護(hù)防護(hù)檢測檢測反應(yīng)反應(yīng)策略策略 21 總體安全策略 ﹡ 安全分區(qū) 根據(jù)系統(tǒng)中業(yè)務(wù)的重要性和對(duì)一次系統(tǒng)的影響程度進(jìn)行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的安全區(qū)內(nèi)。 （ 3） 調(diào)度數(shù)據(jù)網(wǎng)機(jī)柜應(yīng)采用雙 路 UPS 電源供電 ； 交流 ： 220V 177。 機(jī)箱上各種插板、模塊均應(yīng)是嵌入式的，易于插入、拔出，并有定位、鎖定裝置，插板、模塊上應(yīng)標(biāo)示有導(dǎo)向。 接入路由器詳細(xì)技術(shù)指標(biāo) 功能及技術(shù)指標(biāo) 參數(shù)要求 包轉(zhuǎn)發(fā)能力 ≥200kpps 接口槽數(shù) ≥ 4 配置 DRAM 內(nèi)存 ≥ 256M 配置 Flash 內(nèi)存 ≥ 32M 可支持接口類型 10/100BaseT、 E1 電路端口、 冗余電源 1＋ 1 最大快速以太接入數(shù)量 ≥ 10 最大 E1 接口數(shù)量 ≥ 16 整機(jī)不間斷工作時(shí)間 20 萬小時(shí) 時(shí)延 ≤ 100μ s 用戶協(xié)議 IP， ATM， Frame Relay 路由協(xié)議 OSPF、 BGP v BGP4 Extension、 RIP v2 路由器管理 /安全協(xié)議 SNMP、 RMON II、在線升級(jí)，在線打補(bǔ)丁 服務(wù)質(zhì)量 流量分類和流量監(jiān)管 CAR/LR、流量整形 GTS、擁塞管理PQ/CQ/WFQ/CBQ、擁塞避免 WRED 網(wǎng)絡(luò)安全 錄用戶認(rèn)證 、 RADIUS 認(rèn) 證 /計(jì)費(fèi) 、 IPSEC、 IKE、硬 件加密卡、防火墻支持（對(duì)接口 /時(shí)間段 /MAC 地址的 過濾 ）、高性能 NAT。 支持優(yōu)先級(jí)設(shè)定 /映射。 （ 2）應(yīng)能支持 OSPF v2 或 /和 ISIS 和 RIP v2 等內(nèi)部網(wǎng)關(guān)協(xié)議（ IGP） 與其它同一自治域（ AS）中路由器交換路由信息及可達(dá)性信息。如圖 72 所示： 圖 72 XX、 XX 梯級(jí)電站 接入拓?fù)? 8 廠站業(yè)務(wù)接入方案 業(yè)務(wù)系統(tǒng)接入原則 根據(jù)《全國電力二次系統(tǒng)安全防護(hù)總體方案》的要求： 根據(jù)《全國電力二次系統(tǒng)安全防護(hù)總體方案》的要求， XX、 XX 梯級(jí)電站 的各類業(yè)務(wù)按安全等級(jí)劃分為 2 個(gè)區(qū)，要求建立 2 個(gè) VPN 分別進(jìn)行信息交換：安全區(qū)I 是生產(chǎn)控制區(qū)，凡是具有實(shí)時(shí)監(jiān)控功能的系統(tǒng)或其中的監(jiān) 控功能部分均屬于安全區(qū) I，本工程中 主要是包括 XX、 XX 梯級(jí)電站 的計(jì)算機(jī)監(jiān)控系統(tǒng)；安全區(qū) II 是非生產(chǎn)控制區(qū)，原則上不具備控制功能的生產(chǎn)業(yè)務(wù)和系統(tǒng)中不進(jìn)行控制的部分均屬于安全區(qū) II，本工程中主要是包括電能量計(jì)量系統(tǒng)、發(fā)電計(jì)劃申報(bào)系統(tǒng)終端等。 IP路由設(shè)備與SDH/PDH設(shè)備接口簡單、標(biāo)準(zhǔn)，便于在故障情況下快速定位和故障處理。 設(shè)計(jì)原則 XX、 XX梯級(jí)電站 接入四川電力調(diào)度數(shù)據(jù)網(wǎng)方案規(guī)劃設(shè)計(jì)的主要原則如下： （ 1）接入方案應(yīng)滿足電監(jiān)會(huì) 5 號(hào)令的要求，確保電網(wǎng)和電廠計(jì)算 機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)等電力二次系統(tǒng)的安全。 四川省 XX 縣 XX、 XX 電站 調(diào)度數(shù)據(jù)網(wǎng) 接入及二次系統(tǒng)安全防護(hù) 工程 初 步 設(shè) 計(jì) 設(shè)計(jì)單位： XXXX 電力設(shè)計(jì)咨詢有限公司 二○一二 年 三 月 1 目 錄 1 工程簡介 ................................................................................................................... 3 2 設(shè)計(jì)總則 ................................................................................................................... 4 設(shè)計(jì)依據(jù) ................................................................................................................ 4 設(shè)計(jì)范圍 ................................................................................................................ 4