【正文】 全國電力二次系統(tǒng)安全防護(hù)總體方案》，及電監(jiān)會 5 號令《電力二次系統(tǒng)安全防護(hù)規(guī)定》，為確保水電公司電力監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全穩(wěn)定運行，確保二次系統(tǒng)安全防護(hù)工程的順利實施，以對水電公司及其下屬的廠站二次系統(tǒng)安全防護(hù)工程的規(guī)劃、實施代價和階段有一個明確的把握，并在項目后期按照設(shè)計方案具體實施、部署安全產(chǎn)品，制定相應(yīng)的安全管理制度和措施。 設(shè)計目標(biāo) ? 按照電監(jiān)會 5 號令的安全防護(hù)要求，對網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行調(diào)整，并規(guī)劃水電公司二次系統(tǒng)安全防護(hù)工程的部署和實施方案。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 設(shè)計范圍 本方案覆蓋水電公司安全防護(hù)系統(tǒng)設(shè)計及工程部署方面的原則要求。這樣的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)各個安全區(qū)之間是互相聯(lián)通的，安全性比較低，下屬某個網(wǎng)絡(luò)節(jié)點出現(xiàn)問題將很有可能影響到梯級調(diào)度中心的整個監(jiān)控網(wǎng)絡(luò)。 建議方案 根據(jù)《電力二次系統(tǒng)安全防護(hù)規(guī)定》的要求，需要 在生產(chǎn)控制大區(qū)與管理信息大區(qū) 部署電力專用隔離裝置， 在生產(chǎn)控制大區(qū)與廣域網(wǎng)的縱向交接處應(yīng)當(dāng)設(shè)置經(jīng)過國 家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置 。 我們建議首先對 水電公司梯級調(diào)度中心和下屬的直管電廠進(jìn)行安全區(qū)域規(guī)劃，將現(xiàn)有的業(yè)務(wù)系統(tǒng)按照安全要求重新部署到相應(yīng)的安全區(qū)中。方案二的建議網(wǎng)絡(luò)拓?fù)淙缦聢D所示，圖 2 為下屬的一個電廠的安全防護(hù)分區(qū)拓?fù)涫疽鈭D，其他電廠可采用類似的安全防護(hù)網(wǎng)絡(luò)結(jié)構(gòu)。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 三、南瑞 SysKeeper－ 2020 電力專用安全隔離裝置介紹 為滿足 電力系統(tǒng)二次安全防護(hù)的需要 ， 南瑞集團(tuán)公司依托在網(wǎng)絡(luò)安全產(chǎn)品中的廣泛技術(shù)積累和應(yīng)用實踐經(jīng)驗，以 性能好 ﹑ 功能全 ﹑使用簡便﹑運行穩(wěn)定 為網(wǎng)絡(luò)安全隔離產(chǎn)品的設(shè)計原則，自主研制并推出 SysKeeper2020 網(wǎng)絡(luò)安全隔離系列產(chǎn)品。 南瑞網(wǎng)絡(luò)安全隔離裝置（正向 II 型）前面板圖 圖 7 南瑞網(wǎng)絡(luò)安全隔離裝置（反向 II 型）前面板圖 硬件特色 ? 高安全隔離能力的硬件結(jié)構(gòu) SysKeeper2020 網(wǎng)絡(luò)安全隔離系列產(chǎn)品由兩個高性能嵌入式微機及輔助裝 置形成安全隔離系統(tǒng)，嵌入式微處理器采用 RISC 體系結(jié)構(gòu)， 減少受攻擊的概率； 實現(xiàn)兩個安全區(qū)之間的非網(wǎng)絡(luò)方式的數(shù)據(jù)交換，并且采用安全算法保證安全隔離裝置內(nèi)外兩個處理系統(tǒng)不同時連通 ,在保證安全隔離的前提下，實現(xiàn)數(shù)據(jù)的高速交換。在 PCB 板的設(shè)計中，加有線性穩(wěn)壓及濾波裝置，并嚴(yán)格 按照 EDA 對高頻電路設(shè)計的要求，設(shè)計了單獨的電源層與地層，進(jìn)一步保證了整個板上電源的穩(wěn)定性。 ? 嚴(yán)格的生產(chǎn)流程控制 南瑞網(wǎng)絡(luò)安全隔離系列產(chǎn)品嚴(yán)格 遵循 ISO9000 2020 版質(zhì)量認(rèn)證體系，對每一臺隔離產(chǎn)品的關(guān)鍵芯片和元器件進(jìn)行產(chǎn)品老化試驗，所有的隔離產(chǎn)品在出廠前必須經(jīng)過 240 小時以上的連續(xù)通電測試，確保每一臺網(wǎng)絡(luò)安全隔離產(chǎn)品運行的穩(wěn)定性和硬件的高可靠性。在南瑞安全隔離系列產(chǎn)品中，設(shè)計有雙電源。南瑞安全 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 隔離系列產(chǎn)品為國內(nèi)第一 家采用雙電源設(shè)計的物理隔離產(chǎn)品。 ? 支持系統(tǒng)告警 南瑞網(wǎng)絡(luò)安全隔離系列產(chǎn)品支持完備的安全事件告警機制， 當(dāng)發(fā)生非法入侵、裝置異常、通信中斷或丟失應(yīng)用數(shù)據(jù)時，可通過隔離裝置專用的告警串口輸出報警信息。目前，內(nèi)核中只包括用戶管理﹑進(jìn)程管理，裁剪掉 TCP/IP 協(xié)議棧和其它不需要的系統(tǒng)功能， 進(jìn)一步 提高了系統(tǒng)安全性和抗攻擊能力 ，免于黑客對操作系統(tǒng)的攻擊，并有效抵御 Dos/DDos 攻擊。在物理上實現(xiàn)了數(shù)據(jù)流的純單向傳輸 ，數(shù)據(jù)只能從內(nèi)網(wǎng)流向外網(wǎng) 。 ? 基本安全功能豐富，可實現(xiàn)在網(wǎng)絡(luò)中的快速部署 采用綜合過濾技術(shù)，在鏈路層截獲數(shù)據(jù)包，然后根據(jù)用戶的安全策略決定如何處理該數(shù)據(jù)包；實現(xiàn)了 MAC 與 IP 地址綁定，防止 IP 地址欺騙；支持靜態(tài)地址映射 (NAT)以及虛擬 IP 技術(shù)；具有可定制的應(yīng)用層解析功能，支持應(yīng)用層特殊標(biāo)記識別，為用戶提供一個 全透明﹑安全﹑高效的隔離裝置。 ? 網(wǎng)絡(luò)數(shù)據(jù)處理流暢，不會成為網(wǎng)絡(luò)通訊瓶頸 隔離設(shè)備采用 motorola 高性能 RISC 體系結(jié)構(gòu) CPU，內(nèi)核使用高效的過濾算法，充分發(fā)揮良好的硬件性能，采用高速傳輸芯片實現(xiàn)數(shù)據(jù)的高速安全傳輸，百兆狀態(tài)下的有效網(wǎng)絡(luò)吞吐率最高可達(dá) 60～ 80Mbps，不會造成網(wǎng)絡(luò)通訊的瓶頸。針對I/II 區(qū)到 III 區(qū)通信內(nèi)容規(guī)定，南瑞 SysKeeper2020 網(wǎng)絡(luò)安全隔離設(shè)備提供了豐富的通信工具軟件（包括數(shù)據(jù)庫傳輸軟件和文件傳輸軟件）和 API 函數(shù)接口，方便用戶進(jìn)行二次系統(tǒng)安全隔離改造。 ? 操作簡單的圖形化用戶界面 南瑞 SysKeeper2020 網(wǎng)絡(luò)安全隔離設(shè)備 提供了友好的圖形化用戶界面，可以進(jìn)行全新的可視化管理 與配置。用戶只需進(jìn)行簡 單的培訓(xùn)就可以完成對隔離設(shè)備的管理與配置。目前，內(nèi)核中只包括用戶管理﹑進(jìn)程管理，裁剪掉 TCP/IP 協(xié)議棧和其它不需要的系統(tǒng)功能， 進(jìn)一步 提高了系統(tǒng)安全性和抗攻擊能力 ，免于黑客對操作系統(tǒng)的攻擊，并有效抵御 Dos/DDos 攻擊。 ? 基于純文本的編碼轉(zhuǎn)換和識別 根據(jù)全國電力二次安全防護(hù)的要求，需要將純文本文件中單字符的ASCII 碼（非控制字符）轉(zhuǎn)換為對應(yīng)的雙字節(jié)碼，并能正常顯示。 SysKeeper2020 反向隔離裝置對收到的數(shù)據(jù)進(jìn)行純文本的識別，如果數(shù)據(jù) 包中數(shù)據(jù)為合法的純文本，反向隔離裝置都會按照編碼范圍正確的識別，保證進(jìn)入內(nèi)網(wǎng)的數(shù)據(jù)為純文本數(shù)據(jù)。進(jìn)行 RSA 運算時，為了保證密鑰的安全性，提供已密鑰的 ID 號使用密鑰的功能，密鑰僅存在與反向型網(wǎng)絡(luò)安全隔離設(shè)備的安全存儲區(qū)中，與應(yīng)用系統(tǒng)隔離，不能通過任何非法手段進(jìn)行訪問，極大的提高了數(shù)據(jù)交換的安全性。 ? 基本安全功能豐富，可實現(xiàn)在網(wǎng)絡(luò)中的快速部署 采用綜合過濾技術(shù)，在鏈路層截獲數(shù)據(jù)包，然后根據(jù)用戶的安全策略決定如何處理該數(shù)據(jù)包；實現(xiàn)了 MAC 與 IP 地址綁定，防止 IP 地址欺騙；支持靜態(tài)地址映射 (NAT)以及虛擬 IP 技術(shù)；具有可定制的應(yīng)用層解析功能，支持應(yīng)用層特殊標(biāo)記識別，為用戶提供一個全透明﹑安全﹑高效的隔離裝置。 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 ? 采用專用加密算法進(jìn)行數(shù)據(jù)加密和數(shù)字簽名 南瑞 SysKeeper2020 反向型隔離設(shè)備采用 motorola 高性能 RISC 體系結(jié)構(gòu) CPU，采用對稱加密算法、 RSA 公私密鑰算法實現(xiàn)數(shù)據(jù)加、解密、數(shù)字簽名、身份認(rèn)證等功能，保證數(shù)據(jù)的安全傳輸。 ? 提供專用配套反向文件傳輸軟件 為了使隔離設(shè)備達(dá)到預(yù)期的安全效果，經(jīng)過反向型隔離設(shè)備進(jìn)行數(shù)據(jù)傳輸?shù)能浖仨毎凑铡度珖娏Χ蜗到y(tǒng)安全防護(hù)總體方案》的規(guī)定進(jìn)行開發(fā)。 ? 支持第三方病毒查殺引擎 南瑞 SysKeeper2020 反向型網(wǎng)絡(luò)安全隔離裝置的配套文件傳輸軟件支持調(diào)用本地殺毒軟件的防毒引擎，在發(fā)送非文本文 件時，對數(shù)據(jù)內(nèi)容進(jìn)行防病毒檢查，防止帶有病毒的文件進(jìn)入內(nèi)網(wǎng)。隔離設(shè)備內(nèi)、外網(wǎng)各板載安全存儲區(qū)用于系統(tǒng)日志的記載，循環(huán)更新保持最新的系統(tǒng)日志。 整個界面使用全中文化的設(shè)計，通過友好的圖形化界面，網(wǎng)絡(luò)管理員可以很容易地定制安全策略和對系統(tǒng)進(jìn)行維護(hù)管理，用戶只需進(jìn)行簡單的培訓(xùn)就可以完成對隔離設(shè)備的管理與配置。經(jīng)過國家主管部門評測機構(gòu)和長時間的測試表明： NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)可以為電力調(diào)度數(shù)據(jù)網(wǎng)通信提供具有認(rèn)證、與加密功能的 VPN，實現(xiàn)數(shù)據(jù)傳輸?shù)臋C密性、完整性保護(hù)。在 PCB 板的設(shè)計中，加有線性穩(wěn)壓及濾波裝置，并嚴(yán)格按照 EDA 對高頻電路設(shè)計的要求，設(shè)計了單獨的電源層與地層，進(jìn)一步保證了整個板上電源的穩(wěn)定性。 密碼保護(hù)強度高 采用國家密碼委員會推薦的電力專用分組密碼算法和公鑰密碼算法，支持身份鑒別，信息加密，數(shù)字簽名和密鑰生成與保護(hù)。 報文加密速度快 通過采用硬件加密技術(shù)、密碼專用芯片技術(shù)、實時操作系統(tǒng)技術(shù)和明密信息傳遞通道擴展技術(shù)，有效地降低了系統(tǒng)時延，在電力調(diào)度數(shù)據(jù)網(wǎng)上可以實現(xiàn)高速加密，充分保證電力實時數(shù)據(jù)通信的實時性。進(jìn)行 RSA 運算時，為了保證密鑰的安全性，提供已密鑰的 ID 號使用密鑰的功能，密鑰僅存在與縱向加密認(rèn)證網(wǎng)關(guān)的安全存儲區(qū)中，與應(yīng)用系統(tǒng)隔離，不能通過任何非法手段進(jìn)行訪問，極大的提高了數(shù)據(jù)交換的安全性。采用高效的基于流過濾的狀態(tài)檢測技術(shù)和黑洞式防火墻機制，具有硬件防火墻的基本功能；集成應(yīng)用層安全控制功能，可以對電力特殊應(yīng)用協(xié)議進(jìn)行選擇性保護(hù)，充分保證應(yīng)用系統(tǒng)的安全性。現(xiàn)有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)也無須變動，降低了用戶管理和使用的復(fù)雜程度。 集中安全管理 支持對所轄的所有縱向加密認(rèn)證網(wǎng)關(guān)集中管理（ SCM），用戶可以非常方便地通過縱向加密認(rèn)證網(wǎng)關(guān)配套的裝置安全管理系統(tǒng)以圖形化的方式安全高效地更新密鑰、查詢所有隧道狀態(tài)，完成證書發(fā)放、更換，設(shè)置安全策略等 和各種狀態(tài)信息的監(jiān)控，如圖 13 所示。根據(jù)日志可以審計加密認(rèn)證網(wǎng)關(guān)隧道建立的情況、設(shè)備管理員所進(jìn)行的操作和加密認(rèn)證網(wǎng)關(guān)所阻斷的探測、攻擊等非法訪問，并為安全策略的進(jìn)一步完善提供參考。 如果網(wǎng)關(guān)設(shè)備中的主節(jié)點發(fā)生了故障， 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 那么 將由次節(jié)點代替它。 基于數(shù)字證書的圖形化界面 南瑞 NetKeeper2020縱向加密認(rèn)證網(wǎng)關(guān) 提供了基于數(shù)字證書的的圖形化用戶界面，通過縱向加密認(rèn)證網(wǎng)關(guān)的專用智能 IC卡讀寫器進(jìn)行身份認(rèn)證，保證配置管理的安全性； 可以采用本地方式或者遠(yuǎn)程方式來完成加密認(rèn)證網(wǎng)關(guān)的設(shè)置、加密網(wǎng)關(guān)隧道的配置及審計信息的瀏覽，配置界面如圖 14所示。 NetKeeper2020 縱向加密認(rèn)證網(wǎng)關(guān)支持采用 MPLS VPN 建立的不同虛擬專網(wǎng)之間的數(shù)據(jù)安全通信， 通過建立多條加密隧道，保證數(shù)據(jù)傳輸?shù)膶崟r性、機密性和完整性。加密認(rèn)證網(wǎng)關(guān)的接入方案如圖 15 所示 ,此接入方案也可用于大型發(fā)電公司與下級直屬電廠的接入方案。當(dāng)某一區(qū)域主加密設(shè)備出現(xiàn)故障時，能夠快速將認(rèn)證和加密傳輸處理工作切換至備用裝置中，保障通信連續(xù)性。當(dāng)路由器出現(xiàn)故障時，能夠快速將認(rèn)證和加密傳輸處理工作切換至另一臺路由器上中， 保障通信連續(xù)性。如果接入層只有一臺交換機， 可以在交換機和路由器之間采用 MPLS VPN 為實時和非實時系統(tǒng)劃分不同的 VLAN 網(wǎng)段，實現(xiàn)通信的機密性和完整性。調(diào)度中心的加密裝置及下 屬的加密裝置由裝置管理系統(tǒng)直接管理，見圖： 圖 18 加密認(rèn)證裝置的管理模式 水電公司二次系統(tǒng)安全防護(hù)設(shè)計方案 此時，裝置管理系統(tǒng) (管理中心 )與加密裝置是網(wǎng)絡(luò)上通信的實體。監(jiān)測采用在線方式，裝置管理系統(tǒng)直接將管理報文發(fā)到縱向加密認(rèn)證裝置，縱向加密認(rèn)證裝置自動響應(yīng)并處理來自裝置管理系統(tǒng)的監(jiān)控請求并將執(zhí)行結(jié)果返回裝置管理系統(tǒng)。 監(jiān)控的內(nèi)容包括： ? 縱向加密認(rèn)證裝置的工作狀態(tài)查詢； ? 縱向加密認(rèn)證裝置的安全策略查詢； ? 縱向加密認(rèn)證裝置的工作模式查詢與設(shè)置； ? 縱向加密認(rèn)證裝置安全策略和數(shù)字證書下發(fā) ? 所轄縱向加密認(rèn)證裝置實時監(jiān)控（流量、鏈路信息等） ? 對縱向加密認(rèn)證裝置的日志信息進(jìn)行集中管理和審計 DMS2020 裝置管理系統(tǒng)對所轄的縱向加密認(rèn)證裝置進(jìn)行