Page 60 - 电力与能源2021年第一期
P. 60
5 4 吴程楠, 等: 地区电力监控系统安全技术及其应用
各种网络攻击的突破口。在电力调度数据网纵向 址 MAC 绑定认证、 基于角色授权的访问控制技
网络边界上, 应在网络出口部署电力专用纵向加 术和调 度 数 字 证 书 安 全 标 签。 其 中 物 理 地 址
密认证装置或硬件防火墙, 并严格限定安全设备 MAC 绑定认证是简单且行之有效的方式, 它是
访问策略, 阻挡大部分外部非法访问、 病毒入侵以 在厂站调度数据网接入交换机上配置端口与主机
及恶意代码攻击。将纵向加密认证装置和硬件防 物理地址 MAC 绑定关系, 仅授权绑定的物理地
火墙的日志接入网络安全管理平台, 可发现网络 址通过指定的交换机端口接入调度数据网。
非法访问、 异常流量以及恶意攻击等威胁。在电 基于角色授权的访问控制技术是通过对授权
力监控系统横向边界上, 根据业务需求可采用不 的角色所进行的访问控制, 可采用集中管理的方
同隔离强度的网络安全设备, 有效地保护各安全 式以决定主客体之间的信息交互控制方式。角色
区中的业务系统。生产控制大区与管理信息大区 的访问控制技术应用在安全模块的权限控制功能
之间则采用电力专用横向单向隔离装置使得电力 中, 依靠已建立的电力调度证书系统建立统一的
生产网络与管理信息网络物理隔离, 并严格限制 身份角色管理制度, 使权限和角色相关联, 用户通
数据流的方向; 管理信息大区内部信息系统数据 过成为适当角色成员而得到这些角色的权限, 通
交互采用硬件防火墙隔离。纵向加密认证装置接 过本地电力调度证书系统签发服务访问者和服务
入网络安全管理平台后, 采集设备的运行状态以 提供者的标签, 形成安全标签, 从事实现跨网络的
及隧道运行情况, 以及基于隧道之上的安全策略 安全认证。安全标签在安全模块中主要实现远程
信息进行监视, 纵向加密认证可部署在网络出口 认证功能, D5000 系统应用根据自身的安全需求
处, 从而发现网络边界和网络内部的异常现象并 对强制访问控制模型进行了优化, 形成了适用于
及时报警, 告知网络安全人员前来处理。 电力系统的专用模型, 依靠已经建立的电力调度
( 8 ) 启用设备审计策略 数字证书, 对电力监控系统中的所有应用( 服务请
电力监控系统网络安全无小事, 既然需要重 求者) 和服务( 服务提供者) 分配安全标识, 形成安
视生产网络的事前防范能力, 也必须做实网络安 全标签。安全标签通过上读 / 下写的访问控制规
全事件事后跟踪、 溯源方面的工作。通过对用户 则限定访问者与资源提供特定的访问控制。
上网端口、 时间、 操作行为等访问的记录, 全面提
3 结语
供用户操作行为的追溯能力, 为网络安全事件后
期的事故分析提供原始资料, 这就需要做好日志 电力监控系统网络安全是一个系统性的、 整
服务开启并做好安全配置和审计工作。利用设备 体性的问题, 系统中任何一个漏洞或威胁都有可
日志记录重要的设备信息, 并传送网络安全管理 能造成全网安全问题, 必须遵循电力行业安全防
平台集中分析可以迅速进行故障定位。 护原则和要求, 切实做好分层分区, 突出重点、 强
( 9 ) 启用主机防火墙 netfilter / i p tables 化边界网络安全防护。通过系统性的安全加固、
明确允许访问的源地址, 端口及数据流向, 通 指定行之有效的网络安全管理方法, 落实工作人
过系 统 防 火 墙 i p tables 限 定 电 力 监 控 主 机 访 问 员安全意识等措施, 提高电力监控系统运行安全
源, 限定源地址访问甚至屏蔽非法端口访问等达 性与稳定性。电力调度数据网络的建设与应用在
到对监控主机的保护。 给调度应用带来高效率的同时, 也必然存在着各
( 10 ) 网络安全管理平台全方位管控 种安全风险和威胁。
网络安全管理平台通过接入网络设备和安全 上海某地区电力监控系统按照安全性、 实用
主机, 实时采集各类安全防护设备的运行状态、 安 性和经济性相统一的原则进行系统安全设计和网
全告警和系统日志信息, 集中监控电力监控系统 络设计, 使电力监控系统及电力调度数据网具有
各种网络安全事件并进行综合告警并提供安全事 高安全性、 高可靠性、 高性能和规范化的特点, 为
件处置辅助决策等功能。 各类调度业务信息系统提供安全保证。
2.3 系统业务及应用安全接入 结合近几年的电力监控系统及电力调度数据
电力监控系统接入变电站或者开关站远程终 网管理经验, 本文提出了保证电力监控系统及电
端的授权访问控制应考虑安全的方式: 如物理地 力调度数据网安全高效运行的一些措施和建议,