【正文】 WEB一般發(fā)布數(shù)據(jù)庫中或?qū)崟r數(shù)據(jù)的信息，在將數(shù)據(jù)庫應(yīng)用和實時數(shù)據(jù)轉(zhuǎn)發(fā)改造完畢后，將 WEB 服務(wù)器移至外網(wǎng)，即可完成改造。維護(hù)工作采用圖形化的界面，有詳細(xì)的日志處理，配置維護(hù)工作簡單。 數(shù)據(jù)庫接收端主要功能 ? 接收客戶端數(shù)據(jù)，將內(nèi)網(wǎng)表結(jié)構(gòu)及數(shù)據(jù)保存到外網(wǎng)的數(shù)據(jù)庫中； 完備的日志功能； 方案分析： 1） 易于應(yīng)用：基于 WIN32 系統(tǒng)的數(shù)據(jù)庫傳輸軟件，采用圖形化的管理界面，方便用戶統(tǒng)一進(jìn)行數(shù)據(jù)傳輸策略的配置。 本方案采用南瑞信息公司基于 Java 技術(shù)的跨平臺的數(shù)據(jù)庫傳輸軟件，通過一定的安全策略實現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)庫的同步，數(shù)據(jù)庫傳輸 軟件采用標(biāo)準(zhǔn) Socket 語言開發(fā)，單向數(shù)據(jù)傳送方式，數(shù)據(jù)加工采用通用的XML 格式。由于反向 4 個字節(jié)的限制，所以應(yīng)答報文需要精心設(shè)計，保證應(yīng)用程序的可靠穩(wěn)定運(yùn)行。對于國外的實時系統(tǒng)，可以利用現(xiàn)有系統(tǒng)資源，根據(jù)實時系統(tǒng)提供的標(biāo)準(zhǔn) SQL 接口，開發(fā)實時數(shù)據(jù)轉(zhuǎn)發(fā)軟件。在 I/II 區(qū)和 III 區(qū)之間安裝隔離裝置后，這種通信方式是不允許的，容易造成攻擊，必須對此類應(yīng)用加以修改以符合電力二次系統(tǒng)安全防護(hù)的要求，主要包括連接方向和反向應(yīng)答字節(jié)數(shù)的調(diào)整，具體如下所述。根據(jù)調(diào)度系統(tǒng)需要，文件發(fā)送端在功能上具備定時發(fā)送多批文件（分別放置在不同目錄），實 時發(fā)送多批文件（分別放置在不同目錄），與手動發(fā)送一組文件的功能。現(xiàn)有的二次系統(tǒng)中比較典型的應(yīng)用有 ：文件傳輸 、 實時數(shù)據(jù)轉(zhuǎn)發(fā)、數(shù)據(jù)庫傳輸及WEB 應(yīng)用?，F(xiàn)有系統(tǒng)如果采用 UDP 協(xié)議，外網(wǎng)不能返回任何應(yīng)用數(shù)據(jù)，應(yīng)用系統(tǒng)如果采用 TCP 協(xié)議，反向應(yīng)答字節(jié)數(shù)不能超過 4 個字節(jié)。 對現(xiàn)有系統(tǒng)網(wǎng)絡(luò)環(huán)境的影響 橫向隔離裝置部署在 I,II 區(qū)和 III 區(qū)的網(wǎng)關(guān)機(jī)之間，支持連接路由器，交換機(jī)，集線器或者直接和網(wǎng)關(guān)機(jī)相連，支持透明接入。 圖 27 電力二次系統(tǒng)安全防護(hù)方案實施步驟 理清流程修補(bǔ)漏洞結(jié)構(gòu)調(diào)整清理邊界部署橫向隔離裝置研究部署縱研究部署縱向安全裝置向安全裝置研究部署認(rèn)證機(jī)制現(xiàn)現(xiàn) 系統(tǒng)改造系統(tǒng)改造新系統(tǒng)開發(fā)新系統(tǒng)開發(fā)第第 1 階段第第 5 階段第第 4 階段第第 3 階段第第 2 階段第第 6 階段實施階段安安全全強(qiáng)強(qiáng)度度 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 在部署電力系統(tǒng)專用橫向隔離裝置前，必須進(jìn)行第一階段和第二階段的工作。通過本方案，達(dá)到以下目的： 保證應(yīng)用系統(tǒng)能夠符合“電力二次系統(tǒng)安全防護(hù)總體方案”中規(guī)定的安全防護(hù)要求。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 圖 26 ST3000 安全傳輸平臺安全管理示意圖 ST3000 安全傳輸平臺運(yùn)行環(huán)境 ST3000 安全傳輸平臺可運(yùn)行于任何支持 JavaTM 2 SDK 標(biāo)準(zhǔn)版的操作系統(tǒng)上。支持隨時啟停某個或全部任務(wù)，且在修改任務(wù)配置信息后平臺也會立即以新的參數(shù)重新初始化該任務(wù)；某個任務(wù)在發(fā)生故障時也不會影響其它任務(wù)的正常運(yùn)行；當(dāng)系統(tǒng)發(fā)生嚴(yán)重故障時可立即按用戶預(yù)先定義好的方式 (聲音、短消息、 EMAIL 等 )告警系統(tǒng)管理員。 圖 22 ST－ 2020 安全傳輸平臺界面示意圖 ST200 專用數(shù)據(jù)傳輸軟件的實施將達(dá)到以下目標(biāo)： ? 遵循二次安防體系 ,充分保障系統(tǒng)安全； ? 提供多種統(tǒng) 一標(biāo)準(zhǔn)接口，協(xié)助兩側(cè)的應(yīng)用方便的使用高級應(yīng)用層接口實現(xiàn)數(shù)據(jù)交換，避免在 TCP 底層進(jìn)行所有應(yīng)用的改造及網(wǎng)關(guān)的開發(fā)； ? 使得兩側(cè)的應(yīng)用無需花費(fèi)精力在穿越隔離裝置的研究中，而可以專注于自身的業(yè)務(wù)邏輯研究； ? 保護(hù)兩側(cè)應(yīng)用不受隔離裝置內(nèi)部改變的影響； ? 屏蔽不同廠家隔離裝置的差異性。 為方便用戶進(jìn)行二次系統(tǒng)安全改造，南瑞信息系統(tǒng)分公司結(jié)合成功開發(fā)電力專用安全隔離裝置的技術(shù)積累，自主研制并推出 ST3000 安全傳輸平臺。由于各系統(tǒng)被分割在不同安全區(qū)中，其間部署了防火墻以及物理隔離裝置等安全設(shè)備，使得各系統(tǒng)之間無法通過直接的網(wǎng)絡(luò)連接進(jìn)行任意的數(shù)據(jù)交互，特別是安全一、二區(qū)和安全三區(qū)之間的數(shù)據(jù)交互由于隔離裝置的限制，迫使應(yīng)用系統(tǒng)需要進(jìn)行相應(yīng)的改造 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 以適應(yīng)隔離裝置的要求。 DMS2020 有自己的設(shè)備證書和私鑰，有單獨(dú)的密碼設(shè)備為其服務(wù)。 監(jiān)控管理 裝置管理系統(tǒng)通過管理報文在線監(jiān)控本管轄范圍的縱向加密認(rèn)證裝置，包括狀態(tài)查詢、設(shè)置工作模式等。監(jiān)測采用在線方式，裝置管理系統(tǒng)直接將管理報文發(fā)到縱向加密認(rèn)證裝置，縱向加密認(rèn)證裝置自動響應(yīng)并處理來自裝置管理系統(tǒng)的監(jiān)控請求并將執(zhí)行結(jié)果返回裝置管理系統(tǒng)。如果接入層只有一臺交換機(jī)， 可以在交換機(jī)和路由器之間采用 MPLS VPN 為實時和非實時系統(tǒng)劃分不同的 VLAN 網(wǎng)段，實現(xiàn)通信的機(jī)密性和完整性。當(dāng)某一區(qū)域主加密設(shè)備出現(xiàn)故障時，能夠快速將認(rèn)證和加密傳輸處理工作切換至備用裝置中，保障通信連續(xù)性。 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)支持采用 MPLS VPN 建立的不同虛擬專網(wǎng)之間的數(shù)據(jù)安全通信， 通過建立多條加密隧道，保證數(shù)據(jù)傳輸?shù)膶崟r性、機(jī)密性和完整性。 如果網(wǎng)關(guān)設(shè)備中的主節(jié)點發(fā)生了故障， 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 那么 將由次節(jié)點代替它。 集中安全管理 支持對所轄的所有縱向加密認(rèn)證網(wǎng)關(guān)集中管理（ SCM），用戶可以非常方便地通過縱向加密認(rèn)證網(wǎng)關(guān)配套的裝置安全管理系統(tǒng)以圖形化的方式安全高效地更新密鑰、查詢所有隧道狀態(tài)，完成證書發(fā)放、更換，設(shè)置安全策略等 和各種狀態(tài)信息的監(jiān)控，如圖 13 所示。采用高效的基于流過濾的狀態(tài)檢測技術(shù)和黑洞式防火墻機(jī)制，具有硬件防火墻的基本功能；集成應(yīng)用層安全控制功能，可以對電力特殊應(yīng)用協(xié)議進(jìn)行選擇性保護(hù)，充分保證應(yīng)用系統(tǒng)的安全性。 報文加密速度快 通過采用硬件加密技術(shù)、密碼專用芯片技術(shù)、實時操作系統(tǒng)技術(shù)和明密信息傳遞通道擴(kuò)展技術(shù)，有效地降低了系統(tǒng)時延，在電力調(diào)度數(shù)據(jù)網(wǎng)上可以實現(xiàn)高速加密，充分保證電力實時數(shù)據(jù)通信的實時性。在 PCB 板的設(shè)計中，加有線性穩(wěn)壓及濾波裝置，并嚴(yán)格按照 EDA 對高頻電路設(shè)計的要求，設(shè)計了單獨(dú)的電源層與地層，進(jìn)一步保證了整個板上電源的穩(wěn)定性。 整個界面使用全中文化的設(shè)計，通過友好的圖形化界面，網(wǎng)絡(luò)管理員可以很容易地定制安全策略和對系統(tǒng)進(jìn)行維護(hù)管理，用戶只需進(jìn)行簡單的培訓(xùn)就可以完成對隔離設(shè)備的管理與配置。 ? 支持第三方病毒查殺引擎 南瑞 SysKeeper2020 反向型網(wǎng)絡(luò)安全隔離裝置的配套文件傳輸軟件支持調(diào)用本地殺毒軟件的防毒引擎，在發(fā)送非文本文 件時，對數(shù)據(jù)內(nèi)容進(jìn)行防病毒檢查，防止帶有病毒的文件進(jìn)入內(nèi)網(wǎng)。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 ? 采用專用加密算法進(jìn)行數(shù)據(jù)加密和數(shù)字簽名 南瑞 SysKeeper2020 反向型隔離設(shè)備采用 motorola 高性能 RISC 體系結(jié)構(gòu) CPU，采用對稱加密算法、 RSA 公私密鑰算法實現(xiàn)數(shù)據(jù)加、解密、數(shù)字簽名、身份認(rèn)證等功能，保證數(shù)據(jù)的安全傳輸。進(jìn)行 RSA 運(yùn)算時，為了保證密鑰的安全性，提供已密鑰的 ID 號使用密鑰的功能，密鑰僅存在與反向型網(wǎng)絡(luò)安全隔離設(shè)備的安全存儲區(qū)中，與應(yīng)用系統(tǒng)隔離，不能通過任何非法手段進(jìn)行訪問，極大的提高了數(shù)據(jù)交換的安全性。 ? 基于純文本的編碼轉(zhuǎn)換和識別 根據(jù)全國電力二次安全防護(hù)的要求，需要將純文本文件中單字符的ASCII 碼（非控制字符）轉(zhuǎn)換為對應(yīng)的雙字節(jié)碼，并能正常顯示。用戶只需進(jìn)行簡 單的培訓(xùn)就可以完成對隔離設(shè)備的管理與配置。針對I/II 區(qū)到 III 區(qū)通信內(nèi)容規(guī)定，南瑞 SysKeeper2020 網(wǎng)絡(luò)安全隔離設(shè)備提供了豐富的通信工具軟件（包括數(shù)據(jù)庫傳輸軟件和文件傳輸軟件）和 API 函數(shù)接口，方便用戶進(jìn)行二次系統(tǒng)安全隔離改造。 ? 基本安全功能豐富，可實現(xiàn)在網(wǎng)絡(luò)中的快速部署 采用綜合過濾技術(shù)，在鏈路層截獲數(shù)據(jù)包，然后根據(jù)用戶的安全策略決定如何處理該數(shù)據(jù)包；實現(xiàn)了 MAC 與 IP 地址綁定，防止 IP 地址欺騙；支持靜態(tài)地址映射 (NAT)以及虛擬 IP 技術(shù)；具有可定制的應(yīng)用層解析功能，支持應(yīng)用層特殊標(biāo)記識別，為用戶提供一個 全透明﹑安全﹑高效的隔離裝置。目前，內(nèi)核中只包括用戶管理﹑進(jìn)程管理，裁剪掉 TCP/IP 協(xié)議棧和其它不需要的系統(tǒng)功能， 進(jìn)一步 提高了系統(tǒng)安全性和抗攻擊能力 ，免于黑客對操作系統(tǒng)的攻擊，并有效抵御 Dos/DDos 攻擊。南瑞安全 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 隔離系列產(chǎn)品為國內(nèi)第一 家采用雙電源設(shè)計的物理隔離產(chǎn)品。 ? 嚴(yán)格的生產(chǎn)流程控制 南瑞網(wǎng)絡(luò)安全隔離系列產(chǎn)品嚴(yán)格 遵循 ISO9000 2020 版質(zhì)量認(rèn)證體系，對每一臺隔離產(chǎn)品的關(guān)鍵芯片和元器件進(jìn)行產(chǎn)品老化試驗，所有的隔離產(chǎn)品在出廠前必須經(jīng)過 240 小時以上的連續(xù)通電測試，確保每一臺網(wǎng)絡(luò)安全隔離產(chǎn)品運(yùn)行的穩(wěn)定性和硬件的高可靠性。 南瑞網(wǎng)絡(luò)安全隔離裝置（正向 II 型）前面板圖 圖 7 南瑞網(wǎng)絡(luò)安全隔離裝置（反向 II 型）前面板圖 硬件特色 ? 高安全隔離能力的硬件結(jié)構(gòu) SysKeeper2020 網(wǎng)絡(luò)安全隔離系列產(chǎn)品由兩個高性能嵌入式微機(jī)及輔助裝 置形成安全隔離系統(tǒng)，嵌入式微處理器采用 RISC 體系結(jié)構(gòu)， 減少受攻擊的概率； 實現(xiàn)兩個安全區(qū)之間的非網(wǎng)絡(luò)方式的數(shù)據(jù)交換，并且采用安全算法保證安全隔離裝置內(nèi)外兩個處理系統(tǒng)不同時連通 ,在保證安全隔離的前提下，實現(xiàn)數(shù)據(jù)的高速交換。方案二的建議網(wǎng)絡(luò)拓?fù)淙缦聢D所示，圖 2 為下屬的一個電廠的安全防護(hù)分區(qū)拓?fù)涫疽鈭D，其他電廠可采用類似的安全防護(hù)網(wǎng)絡(luò)結(jié)構(gòu)。 建議方案 根據(jù)《電力二次系統(tǒng)安全防護(hù)規(guī)定》的要求，需要 在生產(chǎn)控制大區(qū)與管理信息大區(qū) 部署電力專用隔離裝置， 在生產(chǎn)控制大區(qū)與廣域網(wǎng)的縱向交接處應(yīng)當(dāng)設(shè)置經(jīng)過國 家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置 。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 設(shè)計范圍 本方案覆蓋水電公司安全防護(hù)系統(tǒng)設(shè)計及工程部署方面的原則要求。 水電公司二次系統(tǒng) 安全防護(hù)設(shè)計方案與南瑞安 全隔離技術(shù)與產(chǎn)品介紹 2020年 4月 目 錄 一、方案概述 ................................................................................................................ 4 設(shè)計目標(biāo) .............................................................................................