光伏電站電力監控系統安全防護實施方案培訓資料-資料下載頁

　　

【正文】 程序有無丟失，計算機系統是否穩定。并且檢查和核對前一日報表是否正確、完整，上報數據是否成功報出，電網公司月報表必須填寫合格，打印后交由場領導審核批準后，方可上報電網公司。本管理辦法自發布之日起執行附件七 電力監控系統安全評估制度為提高電力監控系統的安全防護水平，保證電力系統的安全穩定運行，有效防止、控制XX溧陽新暉光伏電站生產大區監控系統遭到黑客、惡意代碼攻擊及其他人為破壞而造成重大損失及系統癱瘓，縮小故障時的故障范圍。本著“安全第一，預防為主”的原則，防范與未然，特制定電力監控系統安全評估制度。 監控系統安全評估采取以自評估為主、聯合評估為輔的方式，將安全評估納入電力系統安全評價體系，掌握基本的評估技術和方法。 監控系統在投運前、升級改造之后必須進行安全評估。 對已投入運行的系統，根據國家及國家電力監管委員會，關于電力監控系統安全評估的相關規定，進行定期安全評估。 對于電力監控系統，根據國家及國家電力監管委員會，關于電力監控系統安全評估的相關規定，每年進行一次安全評估。評估方案及結果應及時向上級主管部門匯報、備案。 對電力生產大區安全評估的所有記錄、數據、結果等均不得以任何形式攜帶出公司，并按國家有關要求做好保密工作。 電力監控系統安全評估必須嚴格控制實施風險，確保評估工作不影響電力監控系統的安全穩定運行。 評估前應根據國家及國家電力監管委員會，關于電力監控系統安全評估的相關規定，制定相應的應急預案，實施過程應符合電力監控系統的相關管理規定。本管理辦法自發布之日起執行。附件八 溧陽新暉光伏電站主機加固安全管理制度操作系統安全是計算機網絡系統安全的基礎，而服務器上的業務數據又是被攻擊的最終目標，因此，加強對關鍵服務器的安全控制，是增強系統總體安全性的核心一環。完成主機加固，一是對主機密碼進行修改加固；二是對賬戶進行權限分配，保證對系統資源（包括數據和進程）的訪問符合定義的主機安全策略，防止主機權限被濫用。針對不同的電力監控專業系統，對不同的用戶實體、不同的使用人員賦予相應的訪問權限和操作權限。操作人員登錄進入關鍵的業務系統以及對關鍵的控制操作應該進行賬號身份認證及操作權限控制。從應用底層關閉系統服務器上不必要的USB接口，從根本上杜絕操作人員外接u盤的操作。、網絡路由器以及繼電保護裝置的口令和密碼，由安監部負責人和系統管理員商議確定，必須兩人同時在場設定。、網絡路由器以及繼電保護裝置的口令須部門負責人在場時由系統管理員記錄封存。（視網絡具體情況），更換后系統管理員要銷毀原記錄，裝飾新密碼或口令記錄封存，系統管理員要立刻報告部門負責人，經生產副總指示后再更換密碼和口令。，由用戶方指定負責人與系統管理員商定密碼及口令，由系統管理員登記并請用戶負責人確認（簽字或電話通知），之后系統管理員設定密碼及口令，并保存用戶檔案。、口令時要求更換密碼及口令的情況下，需向網絡服務管理部門提交申請單，由部門負責人或系統管理員核實后，履行審批手續，并用戶檔案做更新記載。 如果網絡提供用戶自我更新密碼及口令的功能，用戶應自己定期更換密碼及口令，并設專人負責保密和維護工作。：必須由數字、字符和特殊字符組成；密碼長度不能少于8個字符；機密級計算機設置的密碼長度不得少于10個字符；設置密碼時應盡量避開有規律、易破譯的數字或字符組合作為自己的密碼。：必須由數字和字符組成；密碼長度不能少于8個字符；設置密碼時應盡量避開有規律、易破譯的數字或字符組合作為自己的密碼。 ，主要措施包含了：關閉遠程登陸端口，關閉不必要的網絡服務等。，并經常進行預演。，及時獲得補救措施或軟件補丁對軟件進行加固。、保護現場、恢復系統。附件九 溧陽新暉光伏電站主機加固技術方案 Windows服務器 停止或刪除不需要的服務：C: 打開服務面板，禁用不必要的服務。（如：snmp服務、message服務、DHCP Client服務、DNS Client服務等。 刪除默認網絡共享：手工刪除默認共享： 文件，鍵入如下內容： net share c$ /del net share d$ /del net share e$ /del ?? net share ipc$ /del net share admin$ /del 創建此文件的快捷方式，并將其拖放到開始程序啟動欄中，這樣每次重啟系統后，系統會自動刪除默認共享。 重新配置管理員Administrator：由于Windows 系統的Administrator帳號是不能被停用的，攻擊者可以利用這一點對Administrator帳號的密碼進行暴力破解。解決辦法將Administrator帳號改名。 配置系統審核策略：在控制面板－管理工具－本地安全策略本地策略中指定需要的審核策略。 禁用或刪除不必要的系統帳號：禁用guest帳號。檢查并刪除不必要的系統帳號。如主機不需開放IIS 服務，可刪除或禁用IUSR_yourputername、IWAM_ yourputername帳號。 設置較強的密碼策略：建議進行下列更改，啟用“密碼必須符合復雜性要求” 將“密碼長度最小值”設置為8個字符 將“密碼最長保留期”設置為60天 將“密碼最短存留期”設置為0天 將“強制密碼歷史”設置為2個記住的密碼。 Linux服務器為不同的管理員分配不同的賬號：為用戶創建賬號： useradd username 創建賬號 passwd username 設置密碼 修改權限： chmod 750 directory 其中755為設置的權限，可根據實際情況設置相應的權限，directory是要更改權限的目錄使用該命令為不同的用戶分配不同的賬號，設置不同的口令及權限信息等。去除不需要的帳號、修改默認帳號的shell變量：參考配置操作 userdel lp groupdel lp 如果下面這些系統默認帳號不需要的話，建議刪除。 lp, sync, shutdown, halt, news, uucp, operator, games, gopher 修改一些系統帳號的shell變量，例如uucp,ftp和news等，還有一些僅僅需要FTP 功能的帳號，一定不要給他們設置/bin/bash或者/bin/sh 等Shell變量。可以在/etc/passwd中將它們的shell 變量設為/bin/false 或者/dev/null 等，也可以使用usermod s /dev/null username命令來更改username的shell為/dev/null。限制超級管理員遠程登錄：SSH: vi /etc/ssh/sshd_config 把 PermitRootLogin yes 改為 PermitRootLogin no 重啟sshd服務service sshd restart CONSOLE: 在/etc/securetty文件中配置：CONSOLE = /dev/tty01對系統賬號進行登錄限制：Vi /etc/passwd 例如修改 lynn:x:500:500::/home/lynn:/sbin/bash 更改為： lynn:x:500:500::/home/lynn:/sbin/nologin 該用戶就無法登錄了。為空口令用戶設置密碼：awk F: 39。($2 == ){print $1}39。 /etc/passwd 用root用戶登陸Linux系統，執行passwd命令，給用戶增加口令。例如：passwd test test。審核登陸：，設置日志記錄文件、記錄內容、記錄格式。LogLevel notice ErrorLog logs/error_log LogFormat %h %l %u %t \%r\ %s %b \%{Accept}i\ \%{Referer}i\ \%{UserAgent}i\ bined CustomLog logs/access_log binedErrorLog指令設置錯誤日志文件名和位置。錯誤日志是最重要的日志文件，Apache d將在這個文件中存放診斷信息和處理請求中出現的錯誤。若要將錯誤日志送到Syslog，則設置：ErrorLog syslog。CustomLog指令設置訪問日志的文件名和位置。訪問日志中會記錄服務器所處理的所有請求。LogFormat設置日志格式。LogLevel用于調整記錄在錯誤日志中的信息的詳細程度，建議設置為notice。禁用Apache Server 中的執行功能： NO EXEC選項，用以禁用Apache Server 中的執行功能。避免用戶直接執行Apache 服務器中的執行程序，而造成服務器系統的公開化。 修改：Options Includes Noexec拒絕服務防范：(1) ， Timeout 10 KeepAlive OnKeepAliveTimeout 15AcceptFilter SSH data刪除缺省安裝的無用文件：刪除缺省HTML文件： rm rf /usr/local/apache2/htdocs/* 刪除缺省的CGI腳本： rm –rf /usr/local/apache2/cgibin/*刪除Apache說明文件： rm –rf /usr/local/apache2/manual刪除源代碼文件： rm rf /path/to/*根據安裝步驟不同和版本不同，某些目錄或文件可能不存在或位置不同。 Mysql數據庫加固，刪除空口令缺省安裝的MySQL的root用戶是空密碼的，為了安全起見，必須修改為強密碼，所謂的強密碼，至少8位，由字母、數字和符號組成的不規律密碼。使用MySQL自帶的命令mysaladmin修改root密碼，同時也可以登陸數據庫，修改數據庫mysql下的user表的字段內容，修改方法如下所示： /usr/local/mysql/bin/mysqladmin u root password “upassword” //使用mysqladminmysql use mysql。mysql update user set password=password(‘upassword’) where user=’root’。mysql flush privileges。 //強制刷新內存授權表，否則用的還是在內存緩沖的口令一般情況下，MySQL數據庫安裝在本地，并且也只需要本地的php腳本對mysql進行讀取，所以很多用戶不需要，尤其是默認安裝的用戶。MySQL初始化后會自動生成空用戶和test庫，進行安裝的測試，這會對數據庫的安全構成威脅，有必要全部刪除，最后的狀態只保留單個root即可，當然以后根據需要增加用戶和數據庫。mysql show databases。mysql drop database test。 //刪除數據庫testuse mysql。delete from db。 //刪除存放數據庫的表信息，因為還沒有數據庫信息。mysql delete from user where not (user=’root’) 。 // 刪除初始非root的用戶mysql delete from user where user=’root’ and password=”。 //刪除空密碼的root，盡量重復操作Query OK, 2 rows affected ( sec)mysql flush privileges。 //強制刷新內存授權表。密碼是數據庫安全管理的一個很重要因素，不要將純文本密碼保存到數據庫中。如果你的計算機有安全危險，入侵者可以獲得所有的密碼并使用它們。相反，應使用MD5()、SHA1()或單向哈希函數。也不要從詞典中選擇密碼，有專門的程序可以破解它們，請選用至少八位，由字母、數字和符號組成的強密碼。在存取密碼時，使用mysql的內置函數password（）的sql語句，對密碼進行加密后存儲。例如以下方式在users表中加入新用戶。mysql insert into users values (1,password(1234),’test’)。絕對不要作為使用root用戶運行MySQL服務器。這樣做非常危險，因為任何具有FILE權限的用戶能夠用root創建文件(例如，~root/.bashrc)。mysqld拒絕使用root運行，除非使用–user=root選項明顯指定。應該用普通非特權用戶運行mysqld。正如前面的安裝過程一樣，為數據庫建立獨立的linux中的mysql賬戶，該賬戶用來只用于管理和運行MySQL。要想用其它Unix用戶啟動mysqld，增加user選項指定/etc/[mysqld]組的用戶名。vi /etc/[mysqld]user=mysql該命令使服務器用指定的用戶來啟動，都能確保使用mysql的身份。也可以在啟動數據庫是，加上user參數。 /usr/local/mysql/bin/mysqld_safe –user=mysql amp。作為其它linux用戶而不用root運行mysqld，你不需要更改user表中的root用戶名，因為MySQL賬戶的用戶名與linux賬戶的用戶名無關。確保mysqld運行時，只使用對數據庫目錄具有讀或寫權限的linux用戶來運行。在命令行netstat ant下看到，默認的3306端口是打開的，此時打開了mysqld的網絡監聽，允許用戶遠程通過帳號密碼連接數本地據庫，默認情況是允許遠程連接數據的。為了禁止該功能，啟動skipnetworking，不監聽sql的任何TCP/IP的連接，切斷遠程訪問的權利，保證安全性。假如需要遠程管理數據庫，可通過安裝