溧陽新暉光伏電站電力監(jiān)控系統(tǒng)安全防護(hù)實施方案-資料下載頁

　　

【正文】 管理辦法自發(fā)布之日起執(zhí)行附件七 電力監(jiān)控系統(tǒng)安全評估制度為提高電力監(jiān)控系統(tǒng)的安全防護(hù)水平，保證電力系統(tǒng)的安全穩(wěn)定運行，有效防止、控制XX溧陽新暉光伏電站生產(chǎn)大區(qū)監(jiān)控系統(tǒng)遭到黑客、惡意代碼攻擊及其他人為破壞而造成重大損失及系統(tǒng)癱瘓，縮小故障時的故障范圍。本著“安全第一，預(yù)防為主”的原則，防范與未然，特制定電力監(jiān)控系統(tǒng)安全評估制度。 監(jiān)控系統(tǒng)安全評估采取以自評估為主、聯(lián)合評估為輔的方式，將安全評估納入電力系統(tǒng)安全評價體系，掌握基本的評估技術(shù)和方法。 監(jiān)控系統(tǒng)在投運前、升級改造之后必須進(jìn)行安全評估。 對已投入運行的系統(tǒng)，根據(jù)國家及國家電力監(jiān)管委員會，關(guān)于電力監(jiān)控系統(tǒng)安全評估的相關(guān)規(guī)定，進(jìn)行定期安全評估。 對于電力監(jiān)控系統(tǒng)，根據(jù)國家及國家電力監(jiān)管委員會，關(guān)于電力監(jiān)控系統(tǒng)安全評估的相關(guān)規(guī)定，每年進(jìn)行一次安全評估。評估方案及結(jié)果應(yīng)及時向上級主管部門匯報、備案。 對電力生產(chǎn)大區(qū)安全評估的所有記錄、數(shù)據(jù)、結(jié)果等均不得以任何形式攜帶出公司，并按國家有關(guān)要求做好保密工作。 電力監(jiān)控系統(tǒng)安全評估必須嚴(yán)格控制實施風(fēng)險，確保評估工作不影響電力監(jiān)控系統(tǒng)的安全穩(wěn)定運行。 評估前應(yīng)根據(jù)國家及國家電力監(jiān)管委員會，關(guān)于電力監(jiān)控系統(tǒng)安全評估的相關(guān)規(guī)定，制定相應(yīng)的應(yīng)急預(yù)案，實施過程應(yīng)符合電力監(jiān)控系統(tǒng)的相關(guān)管理規(guī)定。本管理辦法自發(fā)布之日起執(zhí)行。附件八 溧陽新暉光伏電站主機(jī)加固安全管理制度操作系統(tǒng)安全是計算機(jī)網(wǎng)絡(luò)系統(tǒng)安全的基礎(chǔ)，而服務(wù)器上的業(yè)務(wù)數(shù)據(jù)又是被攻擊的最終目標(biāo)，因此，加強(qiáng)對關(guān)鍵服務(wù)器的安全控制，是增強(qiáng)系統(tǒng)總體安全性的核心一環(huán)。完成主機(jī)加固，一是對主機(jī)密碼進(jìn)行修改加固；二是對賬戶進(jìn)行權(quán)限分配，保證對系統(tǒng)資源（包括數(shù)據(jù)和進(jìn)程）的訪問符合定義的主機(jī)安全策略，防止主機(jī)權(quán)限被濫用。針對不同的電力監(jiān)控專業(yè)系統(tǒng)，對不同的用戶實體、不同的使用人員賦予相應(yīng)的訪問權(quán)限和操作權(quán)限。操作人員登錄進(jìn)入關(guān)鍵的業(yè)務(wù)系統(tǒng)以及對關(guān)鍵的控制操作應(yīng)該進(jìn)行賬號身份認(rèn)證及操作權(quán)限控制。從應(yīng)用底層關(guān)閉系統(tǒng)服務(wù)器上不必要的USB接口，從根本上杜絕操作人員外接u盤的操作。、網(wǎng)絡(luò)路由器以及繼電保護(hù)裝置的口令和密碼，由安監(jiān)部負(fù)責(zé)人和系統(tǒng)管理員商議確定，必須兩人同時在場設(shè)定。、網(wǎng)絡(luò)路由器以及繼電保護(hù)裝置的口令須部門負(fù)責(zé)人在場時由系統(tǒng)管理員記錄封存。（視網(wǎng)絡(luò)具體情況），更換后系統(tǒng)管理員要銷毀原記錄，裝飾新密碼或口令記錄封存，系統(tǒng)管理員要立刻報告部門負(fù)責(zé)人，經(jīng)生產(chǎn)副總指示后再更換密碼和口令。，由用戶方指定負(fù)責(zé)人與系統(tǒng)管理員商定密碼及口令，由系統(tǒng)管理員登記并請用戶負(fù)責(zé)人確認(rèn)（簽字或電話通知），之后系統(tǒng)管理員設(shè)定密碼及口令，并保存用戶檔案。、口令時要求更換密碼及口令的情況下，需向網(wǎng)絡(luò)服務(wù)管理部門提交申請單，由部門負(fù)責(zé)人或系統(tǒng)管理員核實后，履行審批手續(xù)，并用戶檔案做更新記載。 如果網(wǎng)絡(luò)提供用戶自我更新密碼及口令的功能，用戶應(yīng)自己定期更換密碼及口令，并設(shè)專人負(fù)責(zé)保密和維護(hù)工作。：必須由數(shù)字、字符和特殊字符組成；密碼長度不能少于8個字符；機(jī)密級計算機(jī)設(shè)置的密碼長度不得少于10個字符；設(shè)置密碼時應(yīng)盡量避開有規(guī)律、易破譯的數(shù)字或字符組合作為自己的密碼。：必須由數(shù)字和字符組成；密碼長度不能少于8個字符；設(shè)置密碼時應(yīng)盡量避開有規(guī)律、易破譯的數(shù)字或字符組合作為自己的密碼。 ，主要措施包含了：關(guān)閉遠(yuǎn)程登陸端口，關(guān)閉不必要的網(wǎng)絡(luò)服務(wù)等。，并經(jīng)常進(jìn)行預(yù)演。，及時獲得補(bǔ)救措施或軟件補(bǔ)丁對軟件進(jìn)行加固。、保護(hù)現(xiàn)場、恢復(fù)系統(tǒng)。附件九 溧陽新暉光伏電站主機(jī)加固技術(shù)方案 Windows服務(wù)器 停止或刪除不需要的服務(wù)：C: 打開服務(wù)面板，禁用不必要的服務(wù)。（如：snmp服務(wù)、message服務(wù)、DHCP Client服務(wù)、DNS Client服務(wù)等。 刪除默認(rèn)網(wǎng)絡(luò)共享：手工刪除默認(rèn)共享： 文件，鍵入如下內(nèi)容： net share c$ /del net share d$ /del net share e$ /del ?? net share ipc$ /del net share admin$ /del 創(chuàng)建此文件的快捷方式，并將其拖放到開始程序啟動欄中，這樣每次重啟系統(tǒng)后，系統(tǒng)會自動刪除默認(rèn)共享。 重新配置管理員Administrator：由于Windows 系統(tǒng)的Administrator帳號是不能被停用的，攻擊者可以利用這一點對Administrator帳號的密碼進(jìn)行暴力破解。解決辦法將Administrator帳號改名。 配置系統(tǒng)審核策略：在控制面板－管理工具－本地安全策略本地策略中指定需要的審核策略。 禁用或刪除不必要的系統(tǒng)帳號：禁用guest帳號。檢查并刪除不必要的系統(tǒng)帳號。如主機(jī)不需開放IIS 服務(wù)，可刪除或禁用IUSR_yourputername、IWAM_ yourputername帳號。 設(shè)置較強(qiáng)的密碼策略：建議進(jìn)行下列更改，啟用“密碼必須符合復(fù)雜性要求” 將“密碼長度最小值”設(shè)置為8個字符 將“密碼最長保留期”設(shè)置為60天 將“密碼最短存留期”設(shè)置為0天 將“強(qiáng)制密碼歷史”設(shè)置為2個記住的密碼。 Linux服務(wù)器為不同的管理員分配不同的賬號：為用戶創(chuàng)建賬號： useradd username 創(chuàng)建賬號 passwd username 設(shè)置密碼 修改權(quán)限： chmod 750 directory 其中755為設(shè)置的權(quán)限，可根據(jù)實際情況設(shè)置相應(yīng)的權(quán)限，directory是要更改權(quán)限的目錄使用該命令為不同的用戶分配不同的賬號，設(shè)置不同的口令及權(quán)限信息等。去除不需要的帳號、修改默認(rèn)帳號的shell變量：參考配置操作 userdel lp groupdel lp 如果下面這些系統(tǒng)默認(rèn)帳號不需要的話，建議刪除。 lp, sync, shutdown, halt, news, uucp, operator, games, gopher 修改一些系統(tǒng)帳號的shell變量，例如uucp,ftp和news等，還有一些僅僅需要FTP 功能的帳號，一定不要給他們設(shè)置/bin/bash或者/bin/sh 等Shell變量。可以在/etc/passwd中將它們的shell 變量設(shè)為/bin/false 或者/dev/null 等，也可以使用usermod s /dev/null username命令來更改username的shell為/dev/null。限制超級管理員遠(yuǎn)程登錄：SSH: vi /etc/ssh/sshd_config 把 PermitRootLogin yes 改為 PermitRootLogin no 重啟sshd服務(wù)service sshd restart CONSOLE: 在/etc/securetty文件中配置：CONSOLE = /dev/tty01對系統(tǒng)賬號進(jìn)行登錄限制：Vi /etc/passwd 例如修改 lynn:x:500:500::/home/lynn:/sbin/bash 更改為： lynn:x:500:500::/home/lynn:/sbin/nologin 該用戶就無法登錄了。為空口令用戶設(shè)置密碼：awk F: 39。($2 == ){print $1}39。 /etc/passwd 用root用戶登陸Linux系統(tǒng)，執(zhí)行passwd命令，給用戶增加口令。例如：passwd test test。審核登陸：，設(shè)置日志記錄文件、記錄內(nèi)容、記錄格式。LogLevel notice ErrorLog logs/error_log LogFormat %h %l %u %t \%r\ %s %b \%{Accept}i\ \%{Referer}i\ \%{UserAgent}i\ bined CustomLog logs/access_log binedErrorLog指令設(shè)置錯誤日志文件名和位置。錯誤日志是最重要的日志文件，Apache d將在這個文件中存放診斷信息和處理請求中出現(xiàn)的錯誤。若要將錯誤日志送到Syslog，則設(shè)置：ErrorLog syslog。CustomLog指令設(shè)置訪問日志的文件名和位置。訪問日志中會記錄服務(wù)器所處理的所有請求。LogFormat設(shè)置日志格式。LogLevel用于調(diào)整記錄在錯誤日志中的信息的詳細(xì)程度，建議設(shè)置為notice。禁用Apache Server 中的執(zhí)行功能： NO EXEC選項，用以禁用Apache Server 中的執(zhí)行功能。避免用戶直接執(zhí)行Apache 服務(wù)器中的執(zhí)行程序，而造成服務(wù)器系統(tǒng)的公開化。 修改：Options Includes Noexec拒絕服務(wù)防范：(1) ， Timeout 10 KeepAlive OnKeepAliveTimeout 15AcceptFilter SSH data刪除缺省安裝的無用文件：刪除缺省HTML文件： rm rf /usr/local/apache2/htdocs/* 刪除缺省的CGI腳本： rm –rf /usr/local/apache2/cgibin/*刪除Apache說明文件： rm –rf /usr/local/apache2/manual刪除源代碼文件： rm rf /path/to/*根據(jù)安裝步驟不同和版本不同，某些目錄或文件可能不存在或位置不同。 Mysql數(shù)據(jù)庫加固，刪除空口令缺省安裝的MySQL的root用戶是空密碼的，為了安全起見，必須修改為強(qiáng)密碼，所謂的強(qiáng)密碼，至少8位，由字母、數(shù)字和符號組成的不規(guī)律密碼。使用MySQL自帶的命令mysaladmin修改root密碼，同時也可以登陸數(shù)據(jù)庫，修改數(shù)據(jù)庫mysql下的user表的字段內(nèi)容，修改方法如下所示： /usr/local/mysql/bin/mysqladmin u root password “upassword” //使用mysqladminmysql use mysql。mysql update user set password=password(‘upassword’) where user=’root’。mysql flush privileges。 //強(qiáng)制刷新內(nèi)存授權(quán)表，否則用的還是在內(nèi)存緩沖的口令一般情況下，MySQL數(shù)據(jù)庫安裝在本地，并且也只需要本地的php腳本對mysql進(jìn)行讀取，所以很多用戶不需要，尤其是默認(rèn)安裝的用戶。MySQL初始化后會自動生成空用戶和test庫，進(jìn)行安裝的測試，這會對數(shù)據(jù)庫的安全構(gòu)成威脅，有必要全部刪除，最后的狀態(tài)只保留單個root即可，當(dāng)然以后根據(jù)需要增加用戶和數(shù)據(jù)庫。mysql show databases。mysql drop database test。 //刪除數(shù)據(jù)庫testuse mysql。delete from db。 //刪除存放數(shù)據(jù)庫的表信息，因為還沒有數(shù)據(jù)庫信息。mysql delete from user where not (user=’root’) 。 // 刪除初始非root的用戶mysql delete from user where user=’root’ and password=”。 //刪除空密碼的root，盡量重復(fù)操作Query OK, 2 rows affected ( sec)mysql flush privileges。 //強(qiáng)制刷新內(nèi)存授權(quán)表。密碼是數(shù)據(jù)庫安全管理的一個很重要因素，不要將純文本密碼保存到數(shù)據(jù)庫中。如果你的計算機(jī)有安全危險，入侵者可以獲得所有的密碼并使用它們。相反，應(yīng)使用MD5()、SHA1()或單向哈希函數(shù)。也不要從詞典中選擇密碼，有專門的程序可以破解它們，請選用至少八位，由字母、數(shù)字和符號組成的強(qiáng)密碼。在存取密碼時，使用mysql的內(nèi)置函數(shù)password（）的sql語句，對密碼進(jìn)行加密后存儲。例如以下方式在users表中加入新用戶。mysql insert into users values (1,password(1234),’test’)。絕對不要作為使用root用戶運行MySQL服務(wù)器。這樣做非常危險，因為任何具有FILE權(quán)限的用戶能夠用root創(chuàng)建文件(例如，~root/.bashrc)。mysqld拒絕使用root運行，除非使用–user=root選項明顯指定。應(yīng)該用普通非特權(quán)用戶運行mysqld。正如前面的安裝過程一樣，為數(shù)據(jù)庫建立獨立的linux中的mysql賬戶，該賬戶用來只用于管理和運行MySQL。要想用其它Unix用戶啟動mysqld，增加user選項指定/etc/[mysqld]組的用戶名。vi /etc/[mysqld]user=mysql該命令使服務(wù)器用指定的用戶來啟動，都能確保使用mysql的身份。也可以在啟動數(shù)據(jù)庫是，加上user參數(shù)。 /usr/local/mysql/bin/mysqld_safe –user=mysql amp。作為其它linux用戶而不用root運行mysqld，你不需要更改user表中的root用戶名，因為MySQL賬戶的用戶名與linux賬戶的用戶名無關(guān)。確保mysqld運行時，只使用對數(shù)據(jù)庫目錄具有讀或?qū)憴?quán)限的linux用戶來運行。在命令行netstat ant下看到，默認(rèn)的3306端口是打開的，此時打開了mysqld的網(wǎng)絡(luò)監(jiān)聽，允許用戶遠(yuǎn)程通過帳號密碼連接數(shù)本地?fù)?jù)庫，默認(rèn)情況是允許遠(yuǎn)程連接數(shù)據(jù)的。為了禁止該功能，啟動skipnetworking，不監(jiān)聽sql的任何TCP/IP的連接，切斷遠(yuǎn)程訪問的權(quán)利，保證安全性。假如需要遠(yuǎn)程管理數(shù)據(jù)庫，可通過安裝PhpMyadmin來實現(xiàn)。假如確實需要遠(yuǎn)程連接數(shù)據(jù)庫，至少修改默認(rèn)的監(jiān)聽端口，同時添加防火墻規(guī)則，只允許可信任的網(wǎng)絡(luò)的mysql監(jiān)聽端口的數(shù)據(jù)通過。 vi /etc/將