【正文】 16 投資估算表調(diào)度數(shù)據(jù)網(wǎng)接入及二次系統(tǒng)安全防護(hù)工程投資估算表序號設(shè) 備數(shù)量費(fèi)用（萬元）備注一電能量采集及發(fā)電計劃申報系統(tǒng)1電能量采集系統(tǒng)1套442發(fā)電計劃申報系統(tǒng)1套32小計76三調(diào)度自動化系統(tǒng)1調(diào)度自動化系統(tǒng)接入省調(diào)主站端的擴(kuò)容1套402調(diào)度自動化系統(tǒng)接入備調(diào)主站端的擴(kuò)容1套8小計48四調(diào)度數(shù)據(jù)專網(wǎng)接入1路由器2臺242交換機(jī)4臺103縱向認(rèn)證加密裝置2套204防火墻2套165機(jī)柜2面26至地調(diào)通道調(diào)試費(fèi)1項107至省調(diào)通道調(diào)試費(fèi)1項10小 計92五二次安全防護(hù)1監(jiān)控系統(tǒng)主機(jī)加固軟件4套監(jiān)控系統(tǒng)已定貨2橫向隔離裝置1套83入侵檢測系統(tǒng)2套364漏洞掃描系統(tǒng)1套205防病毒系統(tǒng)1套46綜合管理服務(wù)器1臺27安全審計平臺1套56小 計122六時鐘同步裝置1套18小計18總 計356。對區(qū)中的所有計算機(jī)統(tǒng)一進(jìn)行病毒定義碼的更新、防病毒政策的設(shè)定、病毒情況的監(jiān)控，手動的、定時的病毒掃描及清除、病毒日志及匯總報表以及集中隔離未知病毒；并能隔離有病毒的客戶端。（17） 系統(tǒng)內(nèi)部數(shù)據(jù)傳輸具有流控機(jī)制，避免內(nèi)部傳輸?shù)母婢畔⑦^多的占用網(wǎng)絡(luò)帶寬，從而影響業(yè)務(wù)系統(tǒng)的正常運(yùn)行。（15） 系統(tǒng)應(yīng)具有良好的模塊化結(jié)構(gòu)，采用JAVA/DCOM/.NET等通用的主流技術(shù)。（14） 系統(tǒng)應(yīng)提供完善的用戶界面，查詢各設(shè)備、系統(tǒng)的運(yùn)行狀態(tài)、工況信息。（12） 系統(tǒng)支持多種認(rèn)證方式，具有基于角色的用戶授權(quán)管理功能，以及詳細(xì)的系統(tǒng)日志，為分布部署和多人管理提供了可能。（10） 采用觸發(fā)器（優(yōu)先級）、計數(shù)器、滑動窗口等多種機(jī)制實現(xiàn)對安全事件的監(jiān)控和分析，具有“檢修”狀態(tài)設(shè)置功能，屏蔽由于設(shè)備更換、退出運(yùn)行產(chǎn)生的直接和相關(guān)告警。系統(tǒng)應(yīng)通過圖形界面定制事件信息處理規(guī)則，并可靈活地嵌入定制的事件處理程序。（7） 系統(tǒng)能按照既定規(guī)則對接收的安全事件信息進(jìn)行分析，發(fā)生設(shè)備異常及異常的安全事件時，能自動檢測并告警，能自動執(zhí)行預(yù)定義處理動作，如通過發(fā)送手機(jī)短信向管理員告警，并存儲在后臺數(shù)據(jù)庫系統(tǒng)中供事后分析處理。（5） 系統(tǒng)應(yīng)實時接收各類業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)和安全產(chǎn)品（防火墻、IDS、防病毒系統(tǒng)、路由器、隔離裝置、交換機(jī)、業(yè)務(wù)主機(jī)、機(jī)房設(shè)施等）的安全事件信息，能對上述信息進(jìn)行集中存儲、查詢。（3） 平臺必須采用業(yè)界主流的B/S方式，不需要安裝客戶端。 安全審計管理平臺（1） 國內(nèi)自主研發(fā)，系統(tǒng)提供方應(yīng)擁有所提供系統(tǒng)的全部知識產(chǎn)權(quán)，并能夠在其上進(jìn)行進(jìn)一步開發(fā)。入侵檢測的事件和漏洞掃描結(jié)果統(tǒng)一顯示。6) 漏洞掃描系統(tǒng)必須與入侵檢測系統(tǒng)為同一廠家產(chǎn)品。4) 產(chǎn)品要求取得CVE（Common Vulnerabilities and Exposures，世界漏洞披露組織）正式的兼容認(rèn)證 （Certificate of CVE Compatiblity ），并提供證明文件。2) 漏洞掃描廠商應(yīng)具備多年的漏洞研究經(jīng)驗積累，國際CVE組織成員，能夠查看微軟操作系統(tǒng)源代碼。具備中國人民解放軍信息安全測評認(rèn)證中心《軍用信息安全產(chǎn)品認(rèn)證證書》。資質(zhì)要求1) 產(chǎn)品應(yīng)具備中華人民共和國公安部的《計算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證》，中國國家信息安全評測認(rèn)證中心的《國家信息安全認(rèn)證產(chǎn)品型號證書》。21) 支持?jǐn)嗑W(wǎng)續(xù)掃功能，并且對已經(jīng)完成的掃描結(jié)果進(jìn)行保存。19) 掃描過程可視化，能夠?qū)崟r顯示掃描進(jìn)度和IP地址、漏洞信息。可并發(fā)掃描IP30。16) 提供掃描授權(quán)機(jī)制，在授權(quán)許可范圍內(nèi)進(jìn)行單機(jī)掃描、分組掃描和全部掃描。定期執(zhí)行任務(wù)的起始和終止時間可以自定義。13) 歷史掃描任務(wù)可以導(dǎo)出導(dǎo)入和修改。11) 支持分布式掃描，可以定義掃描端口的范圍。9) 具有豐富的漏洞檢查列表，內(nèi)置漏洞庫涵蓋當(dāng)前系統(tǒng)常見的漏洞和攻擊特征，漏洞庫兼容CNCVE、CVE和BUGTRAQ標(biāo)準(zhǔn)。7) 為確保網(wǎng)絡(luò)的保密性，系統(tǒng)應(yīng)能夠檢測到網(wǎng)絡(luò)中存在的網(wǎng)絡(luò)監(jiān)聽設(shè)備。5) 支持對網(wǎng)絡(luò)設(shè)備和安全設(shè)備，如Cisco、Checkpoint等的掃描。4) 可檢測的目標(biāo)主機(jī)的系統(tǒng)包括：Win系列、Linux、Unix、AIX、HPUX、IRIX、BSD等。2) 掃描信息全面，包括主機(jī)信息、用戶信息、服務(wù)信息、漏洞信息等內(nèi)容。對控制臺與探測引擎之間的數(shù)據(jù)通信及存儲進(jìn)行加密、完整性檢查和基于 RSA（1024 位）的身份鑒別處理；網(wǎng)絡(luò)探測引擎采用固化模塊（包含軟硬件），專有操作系統(tǒng)，探測引擎無 IP 地址，在網(wǎng)絡(luò)中實現(xiàn)自身隱藏及帶外管理。18）要求對用戶分級，并能夠調(diào)整對不同用戶具體權(quán)限，具備不同的操作。17）應(yīng)支持多種數(shù)據(jù)庫類型，包括：ACCESS、MSDE（SQL SERVER）和任何具備 ODBC（開放式數(shù)據(jù)庫互聯(lián)）通用數(shù)據(jù)庫接口的數(shù)據(jù)庫系統(tǒng)，并且支持獨立的日志數(shù)據(jù)庫部署。同時還應(yīng)具備基于統(tǒng)計的圖表型報表。14）具備動態(tài)策略調(diào)整功能，對一些頻繁出現(xiàn)的低風(fēng)險事件，自動調(diào)整其響應(yīng)方式。12）應(yīng)提供按照檢測對象、攻擊類型等分類的默認(rèn)內(nèi)置檢測模版，且默認(rèn)模版不可修改；提供向?qū)Щ牟呗跃幹品绞?，提供合、并、交等策略集操作策略?1）具有設(shè)備的拓?fù)滹@示功能，可以在界面上以圖形化的方式顯示當(dāng)前的 IDS 部署拓?fù)洹?） 各組件間（管理平臺與引擎等）使用加密信道通信；簡便易用的 GUI 管理界面，要求能夠?qū)︼@示窗口進(jìn)行自定義，做到只顯示需要關(guān)注的內(nèi)容。7） 支持異常流量檢測，及時發(fā)現(xiàn)網(wǎng)絡(luò)中的流量異常行為。6） 采用基于行為分析的檢測技術(shù)，對未知漏洞進(jìn)行攻擊能夠很好防范。具備完備、開放的特征庫，支持生成自己的事件庫，對非通用入侵行為進(jìn)行定義檢測；支持向?qū)降淖远x事件方式。支持冗余電源設(shè)置。3） 系統(tǒng)集成商必須提交原廠家的授權(quán)書及售后服務(wù)承諾函。 入侵檢測系統(tǒng)技術(shù)要求 1） 產(chǎn)品需獲得如下資質(zhì)證書：計算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證；國際信息安全認(rèn)證產(chǎn)品 EAL3 認(rèn)證證書；涉密信息系統(tǒng)產(chǎn)品檢測證書；國際 CVE 組織產(chǎn)品兼容認(rèn)證證書?！傲阌绊憽毕到y(tǒng)應(yīng)采用動態(tài)可加載模塊技術(shù)，保證服務(wù)器加固與管理系統(tǒng)安裝或卸載時不需要重啟系統(tǒng)。系統(tǒng)采用內(nèi)核密封(Kernel Sealing)技術(shù)，管理內(nèi)核模塊的加載/卸載，可阻斷對內(nèi)核的惡意攻擊。操作系統(tǒng)訪問控制的最佳策略是權(quán)限分離和最小特權(quán)原則。當(dāng)系統(tǒng)發(fā)生入侵行為或者違反安全策略的操作時，在網(wǎng)絡(luò)層和系統(tǒng)內(nèi)部對該用戶或程序進(jìn)行阻斷，并由系統(tǒng)向管理員報警?？稍趦?nèi)核層防止BOF(緩沖區(qū)溢出)攻擊，阻止獲得ROOTSHELL。 基于數(shù)字簽名認(rèn)證機(jī)制，可以防止未經(jīng)授權(quán)的超級用戶非法中止進(jìn)程或中斷系統(tǒng)。7） 具有應(yīng)用層通信協(xié)議轉(zhuǎn)換功能日志審計功能、支持雙機(jī)熱備、基于數(shù)字證書的圖形化界面。5） 采用專用嵌入式安全操作系統(tǒng)，系統(tǒng)無 TCP/IP 協(xié)議棧。3） 采用電力專用分組密碼算法和公鑰密碼算法，支持身份鑒別，信息加密，數(shù)字簽名和密鑰生成與保護(hù)。電力專用加密認(rèn)證裝置其功能要求如下：1） 縱向加密認(rèn)證網(wǎng)關(guān)能為電力調(diào)度數(shù)據(jù)網(wǎng)通信提供具有認(rèn)證、 與加密功能的 VPN，實現(xiàn)數(shù)據(jù)傳輸?shù)臋C(jī)密性、完整性保護(hù)。 縱向加密認(rèn)證裝置技術(shù)要求 電力專用加密認(rèn)證裝置安置在電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的路由器之間，用來保障電力調(diào)度系統(tǒng)縱向數(shù)據(jù)傳輸過程中的數(shù)據(jù)機(jī)密性、完整性和真實性。15）聯(lián)合防護(hù)﹡ 應(yīng)密切配合上級和其它電廠，聯(lián)合進(jìn)行安全防護(hù)；﹡ 出現(xiàn)安全事故或遭受病毒或黑客的攻擊時，應(yīng)該及時向上級部門報告，并通報有網(wǎng)絡(luò)連接的單位，采取聯(lián)合防護(hù)措施，防止事故的擴(kuò)大以保證整個系統(tǒng)的正常運(yùn)行。定期對工作人員進(jìn)行電力二次系統(tǒng)安全防護(hù)知識的培訓(xùn)，應(yīng)該形成制度，堅持不懈的貫徹，以保證各項安全措施的可靠執(zhí)行。12）用戶口令管理 人員的登錄名及口令的設(shè)置必須進(jìn)行審批；口令應(yīng)該具有足夠的長度和復(fù)雜度，及時更新；系統(tǒng)的超級管理員的登錄名及口令嚴(yán)格限定使用范圍；用戶丟失或遺忘登錄名及口令，應(yīng)該申請新的登錄名及口令；用戶調(diào)離后，應(yīng)該立即注銷登錄名及口令。11）數(shù)據(jù)及系統(tǒng)的備份管理﹡ 數(shù)據(jù)備份：各專業(yè)系統(tǒng)的實時數(shù)據(jù)庫以及歷史數(shù)據(jù)庫必須定期進(jìn)行備份，備份的數(shù)據(jù)必須存儲在可靠的介質(zhì)中并與系統(tǒng)分開存放，并制定詳盡的使用數(shù)據(jù)備份進(jìn)行數(shù)據(jù)庫故障恢復(fù)的預(yù)案，并進(jìn)行預(yù)演。9）惡意代碼（病毒及木馬等）的防護(hù)以有效的方式及時發(fā)布病毒報告、相應(yīng)的升級防病毒軟件、以及各個公用系統(tǒng)軟件的漏洞報告及相應(yīng)的軟件補(bǔ)??；及時部署升級的防病毒軟件，并追蹤查殺效果；及時向上級報告新病毒等惡意代碼的入侵情況。7）安全防護(hù)系統(tǒng)的維護(hù)管理 在各個安全區(qū)分別設(shè)立安全防護(hù)系統(tǒng)的軟硬結(jié)合的維護(hù)機(jī)制，負(fù)責(zé)采集有關(guān)安全裝置的日志記錄、狀態(tài)，并進(jìn)行綜合處理，以便 及時發(fā)現(xiàn)安全事故、非法入侵、安全漏洞以及安全裝置的故障。明確保密文件范圍及保密等級和使用人員。﹡ 禁止任何應(yīng)用程序以超級用戶身份運(yùn)行。5）權(quán)限管理﹡ 針對不同專業(yè)的業(yè)務(wù)系統(tǒng)，對不同的用戶實體、不同的使用人員按最小化原則賦予相應(yīng)的訪問權(quán)限和操作權(quán)限。﹡ 原則上建議刪除默認(rèn)用戶，否則應(yīng)嚴(yán)格限制默認(rèn)用戶的權(quán)限。相關(guān)內(nèi)容應(yīng)以文件規(guī)定形式明確。﹡ 定期檢查網(wǎng)絡(luò)設(shè)備安全設(shè)置，進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)漏洞進(jìn)行及時修補(bǔ)。﹡ 禁止在網(wǎng)絡(luò)內(nèi)部私自使用撥號方式訪問 Internet 等外部公共網(wǎng)絡(luò)。3）網(wǎng)絡(luò)管理﹡ 對網(wǎng)絡(luò)使用人員的操作行為作嚴(yán)格的規(guī)定。 建立日常運(yùn)行的安全管理制度1）門禁制度 電力二次專業(yè)系統(tǒng)的機(jī)房及重要場所必須建立合理、嚴(yán)格的門禁制度。 設(shè)備、應(yīng)用及服務(wù)的接入管理1）在已經(jīng)建立安全防護(hù)體系的電力二次系統(tǒng)中，接入任何新的設(shè)備和應(yīng)用及服務(wù)，均必須立案申請，經(jīng)過本單位的安全管理員以及本單位安全主管的審查批準(zhǔn)后，方可在安全管理員的監(jiān)管下實施接入；2）安全區(qū)Ⅰ及安全區(qū)Ⅱ中的工作站、服務(wù)器均嚴(yán)格禁止以各種方式開通與互聯(lián)網(wǎng)、與其它安全區(qū)及任何外部網(wǎng)絡(luò)的連接；原則上不得開通撥號功能，若確需開通撥號服務(wù)，必須配置強(qiáng)認(rèn)證機(jī)制；在安全區(qū)Ⅰ及安全區(qū)Ⅱ中的 PC 機(jī)及其它微機(jī)原則上應(yīng)該將軟盤驅(qū)動、光盤驅(qū)動、USB 接口、串行口等拆除，或通過安全管理平臺實施嚴(yán)格管理，以防止病毒等惡意代碼的傳播。3）新的生產(chǎn)設(shè)備或信息系統(tǒng)在投運(yùn)之前、老系統(tǒng)進(jìn)行安全整改之后或進(jìn)行重大改造或升級之后必須進(jìn)行安全評估；電力二次系統(tǒng)應(yīng)該定期（一年或兩年）進(jìn)行安全評估。 安全評估的管理1）對電力二次系統(tǒng)的安全評估應(yīng)該盡量聘請電力部門的有關(guān)單位進(jìn)行；如確實需要聘請外系統(tǒng)的有關(guān)機(jī)構(gòu)進(jìn)行評估，必須聘請經(jīng)過國家有關(guān)結(jié)構(gòu)認(rèn)證并具有資質(zhì)的國內(nèi)單位進(jìn)行；電力系統(tǒng)關(guān)鍵部門應(yīng)配備必要的安全掃描及檢測工具，盡量自己進(jìn)行常規(guī)安全檢查。3）安全防護(hù)小組成員的職責(zé)為：負(fù)責(zé)對專業(yè)維護(hù)的應(yīng)用系統(tǒng)中已部署的安全產(chǎn)品的安全策略進(jìn)行設(shè)置和調(diào)整，定期對安全產(chǎn)品的日志進(jìn)