215215發電公司二次系統安全防護設計方案-資料下載頁

【導讀】××水電公司二次系統。安全防護設計方案與南瑞安。全隔離技術與產品介紹

　　

【正文】 界和物理邊界；掃描系統漏洞，進行安全風險評估；修補系統和主服務器、網關機、通信前置機等關鍵設備的主要漏洞；按照二次安全防護方案，做好相應的安全區規劃，對現有的網絡結構、業務系統及外部接口進行結構調整和網絡改造。經過上述工作后，就可以進行電力專用橫向隔離裝置的安裝部署了。 應用改造解決方案 橫向隔離裝置對現有系統的影響 由于橫向隔離裝置技術要求的嚴格性，使其只能滿足特定的網絡環境和特定的應用系統，對現有系統和網絡環境的影響主要 有以下兩個方面。 對現有系統網絡環境的影響 橫向隔離裝置部署在 I,II 區和 III 區的網關機之間，支持連接路由器，交換機，集線器或者直接和網關機相連，支持透明接入。在連接兩個交換機時，如果需要進行報文標簽封裝，建議采用標準的 協議（在報文 MAC 頭后增加 4 個字節標記）進行封裝，不宜采用 ISL 協議（在報文 MAC 頭前增加 26 個字節標記，報文尾增加 4 個字節 CRC 校驗）進行封裝。 ISL 協議為 Cisco 交換機之間進行標簽封裝的默認協議，需要調整為標準的 協議。 對現有系統應用軟件的影響 橫向隔離裝置支 持 TCP 和 UDP 兩種協議。現有系統如果采用 UDP 協議，外網不能返回任何應用數據，應用系統如果采用 TCP 協議，反向應答字節數不能超過 4 個字節。反向隔離裝置要求傳輸的文件必須為純文本文件，如果為其它格式文件，需轉換為純文本文件再進行傳輸。 水電公司二次系統安全防護設計方案 二次系統應用改造 根據電力二次系統安全防護的要求，在 I/II 區與 III 區之間需要安裝電力系統專用橫向隔離裝置（正向 、 反向）。安裝橫向隔離裝置后，由于隔離裝置是單向傳輸，以往的大部分應用都需要進行改造才能在新的網絡環境下正常工作。現有的二次系統中比較典型的應用有 ：文件傳輸 、 實時數據轉發、數據庫傳輸及WEB 應用。 1) 文件傳輸 文件傳輸是一種非常普遍的數據傳輸方式，在應用改造之前，通常采用標準的 FTP 命令進行數據轉發。由于 FTP 協議是一種雙向通信的協議，所以在安裝隔離裝置后，原來的文件傳輸方式必須進行改造。 本方案采用南瑞集團公司開發的基于 Win32 平臺（也支持 UNIX 平臺）的專用文件傳輸軟件，傳輸軟件分為客戶端與服務端，客戶端為文件發送端，運行在I 區數據傳輸服務器上，服務端為文件接收端。根據調度系統需要，文件發送端在功能上具備定時發送多批文件（分別放置在不同目錄），實 時發送多批文件（分別放置在不同目錄），與手動發送一組文件的功能。文件接收端指定傳入文件的根目錄，接受客戶端傳入的文件，如圖 28 所示。 采用網絡磁盤映射的方式將 I、 II 區的文件映射到 I 區數據傳輸服務器的一個網絡磁盤上，文件傳輸軟件客戶端通過掃描不同的目錄，將 I/II 區的文件發送到 III 區服務器指定目錄下。 圖 28 正向文件傳輸軟件工作流程圖 水電公司二次系統安全防護設計方案 2) 實時數據轉發 對于需要從 I 區轉發實時數據到 III 區的應用，在應用改造之前通用的做法是 III 區的網關機向 I/II 區的網關機發起請求，由 I/II 區的網關機組織數據，然后 發給 III 區的網關機。在 I/II 區和 III 區之間安裝隔離裝置后，這種通信方式是不允許的，容易造成攻擊，必須對此類應用加以修改以符合電力二次系統安全防護的要求，主要包括連接方向和反向應答字節數的調整，具體如下所述。 由于正向隔離裝置是單向傳輸的，實時數據必須由 I/區主動發送到 III 區，因此原來的 SCADA/EMS 系統的工作模式需要進行改造；專用正向隔離裝置在物理上控制反向的應用層應答字節數最多為 4 個，所以 III 區的應用程序的應答報文必須不超過 4 個字節，這 4 個字節可以作為出錯應答或者狀態應答報文。 目前，電力 調度通信中心和電廠的實時系統主要包括國產的主流 EMS/SCADA系統和一些國外的實時 SCADA系統如 PI實時系統等。對于國產系統，建議由 SCADA廠家進行應用改造和 WEB 外移工作。對于國外的實時系統，可以利用現有系統資源，根據實時系統提供的標準 SQL 接口，開發實時數據轉發軟件。 實時數據傳輸軟件由以下二部分組成： 1） 實時數據發送端； 2） 實時數據接收端； 其數據工作流程如下圖所示： 圖 29 實時數據傳輸軟件工作流程圖 實時數據發送端運行在 I 區現有監控系統的實時數據通信網關機上，采用單 水電公司二次系統安全防護設計方案 向主動發送的方式將實時 庫中的數據發送到 III 區的數據接收端，實時數據接收端運行在 III 區現有 DMIS 系統的服務器上，負責接收從 I 區實時數據發送程序發送來的實時數據。實時數據接收端預留標準接口，可以將實時數據轉發給 III區的其它應用系統或者直接寫入 DMIS 數據庫。 從應用程序改造的角度來看，只需要改動應用程序的工作模式即可，具體的通信規約不需要進行大的改動。由于反向 4 個字節的限制，所以應答報文需要精心設計，保證應用程序的可靠穩定運行。 3) 數據庫傳輸 在應用改造前，安全區 III 的一些應用程序如瀏覽實時數據的 WEB 系統等通過 SQL 命令訪 問安全區 I/II 的數據庫服務器，如圖 30 所示。由于 SQL 命令是一種雙向的訪問方式，并且訪問方式為外網為數據請求端，存在安全隱患，所以在安裝隔離裝置后，必須進行改造。 圖 30 應用改造前數據庫訪問示意圖 加裝隔離裝置后，改造方案如下。 本方案采用南瑞信息公司基于 Java 技術的跨平臺的數據庫傳輸軟件，通過一定的安全策略實現內外網數據庫的同步，數據庫傳輸 軟件采用標準 Socket 語言開發，單向數據傳送方式，數據加工采用通用的XML 格式。傳輸軟件分為客戶端與服務端，客戶端為數據發送端，服務端為數據接收端，客戶端運 行在 I 區的數據傳輸服務器上，服務端運行在 III 區現有的歷史服務器上。正向工作流程如圖 31 所示。 水電公司二次系統安全防護設計方案 圖 31 數據庫傳輸軟件工作流程示意圖 數據庫傳輸發送端主要功能： ? 支持多種流行的數據庫如 ORACLE/SYBASE/SQL SERVER/FOXPRO； ? 支持自定義多個數據源； ? 手工或自動進行用戶指定表的鏡像傳輸； ? 根據用戶定義的規則，進行不同表結構之間的數據傳輸； ? 支持規則設定，使得服務在指定的時間點、指定的時間間隔自動傳輸指定表中的數據； ? 可根據用戶指定的規則，將數據庫中的數據以文件方式保存并進行傳輸，傳輸失敗后，具備告警功能； ? 完備的日志功能，以便于用戶定位，進行故障分析，對失敗的任務重新執行。 數據庫接收端主要功能 ? 接收客戶端數據，將內網表結構及數據保存到外網的數據庫中； 完備的日志功能； 方案分析： 1） 易于應用：基于 WIN32 系統的數據庫傳輸軟件，采用圖形化的管理界面，方便用戶統一進行數據傳輸策略的配置。 2） 易于開發：已有相對成熟的產品，開發部署比較容易，可以在較短的時間內完成系統的部署，開發費用低。 水電公司二次系統安全防護設計方案 3） 易于擴展：數據庫傳輸軟件預留標準接口，方便用戶在今后系統升級或者新的系統接入時，進行功能擴展。 4） 易于維護：只需在系統開始投運時，進行安全策略的配置。維護工作采用圖形化的界面，有詳細的日志處理，配置維護工作簡單。 由于需要在 I 區增加一臺基于 NT 的數據庫傳輸服務器，所以基于 NT 平臺的主機必須進行安全加固。 4) WEB 應用 目前在電力二次系統中的 WEB 應用一般有兩種形式：一種是 WEB 服務器在 I區，供 III 區的用戶瀏覽；第二種是 WEB 服務器在 I 區，同時供 I 區的用戶瀏覽。 對于 WEB 服務器在 I 區，客戶端在 III 區的應用，必須將 WEB 服務器移至外網，以專用橫向隔離設備將調度自動化系統隔開，由于傳統的防火墻不能做到應用 級的安全防護，所以 WEB 服務器放在調度自動化系統內部，將很難確保不受基于 IIS 等漏洞的攻擊，進而攻擊整個調度自動化系統，而將其放到外網系統中，在隔離裝置上做控制，只允許 WEB 服務器上的特定應用與自動化系統進行通訊，從而可以大大提高整個系統的安全性。 WEB一般發布數據庫中或實時數據的信息，在將數據庫應用和實時數據轉發改造完畢后，將 WEB 服務器移至外網，即可完成改造。 對于 WEB 服務器在 I 區，同時客戶端也在 I 區的應用，建議保留此 WEB 供內網用戶瀏覽，同時在外網重新開發一個 WEB 供外網用戶瀏覽，內外網的 WEB采用 文件或數據庫傳輸的方式進行同步更新， WEB 外移工作建議由 SCADA 廠家進行改造。 水電公司二次系統安全防護設計方案 七 、安全隔離系列產品預算清單 產品名稱 規 格 單位 數量 單 價（元） 說明 SysKeeper－2020安全隔離裝置 正向 II 型 臺 4 1）支持雙機、雙網 2）雙電源模塊 SysKeeper－2020安全隔離裝置 反向 II 型 臺 2 1）支持雙機、雙網 2）雙電源模塊 3）支持電力專用密碼單元 4）智能 IC 讀寫認證 電力專用安全同步軟件 ST－200 跨平臺數據同步系統 套 1 支持文件、數 據庫內、外網同步傳輸 安全隔離裝置專用調試工具 套 1 采用專用調試工具，方便用戶進行隔離裝置的診斷與調試 反向文件傳API 接口 套 1 提供方便的接口軟件，方便用戶進行反向傳輸系統的改造 安全隔離裝置專用日志分析審計軟件 套 1 用于所管轄的安全隔離裝置的日志收集與分析 水電公司二次系統安全防護設計方案 NetKeeper－2020縱向加密認證網關 縱向 I 型 臺 8 1）支持雙機、 2）雙電源模塊 3）電力專用密碼單元 4）電力專用認證單元 5）支持應用透明接入 電廠網絡系統改造 1 視電廠現狀情況和所選設備而定 應用系統改造 1 視電廠應用現狀情況而定 水電公司二次系統安全防護設計方案 八 、認證資質 1) 公安部檢驗報告 2) 公安銷售許可證 3) 型式試驗檢驗報告 4) EMC 檢驗報告 5) 解放軍信息安全測評認證中心報告 6) 國家電力調度通信中心檢測證明（正向型） 7) 國家電力調度通信中心檢測證明（反向型）