电力监控系统安全防护专项检查大纲.docx

电力监控系统安全防护专项检查大纲.docx

《电力监控系统安全防护专项检查大纲.docx》由会员分享，可在线阅读，更多相关《电力监控系统安全防护专项检查大纲.docx（34页珍藏版）》请在冰豆网上搜索。

电力监控系统安全防护专项检查大纲

电力监控系统安全防护专项检查大纲

自查日期：

自查单位：

检查人：

检查类别

检查要点

检查点

检查方法

检查补充说明

检查结果

（选择“否”或“不适用”，须在“存在的问题”一列进行说明）

存在

的问题

整改

措施

基础设施安全

机房

1.机房等基础设施是否具有防窃、防火、防水、防破坏等物理安全防护措施；

1）检查重要设备安装环境，检查是否满足防窃、防火、防水、防鼠害、防破坏等物理安全防护要求；

2）检查机房重要区域是否有门禁系统

3）查机房重要区域是否有视频监控系统

4）检查机房重要区域门禁系统是否对出入人有明确的鉴别功能（如检查电子门禁系统的记录、定期巡检和维护记录）；

5）检查温、湿度变化是否在设备运行允许范围内。

1.防窃：

专人职守、电子围栏、视频监控

2、防火：

灭火器配备齐全、类型适合、在保值期内，有定期维护记录。

3、防水：

查看有无水禁传感器、墙壁有无渗透痕迹。

4、防鼠害：

查看有无挡板、有无粘鼠贴、电子猫。

5、防破坏：

门窗是否坚固。

6、门禁：

重要场所是否布点齐全。

7、视频监控：

布点是否无死角。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）☑是□否□不适用

5）☑是□否□不适用

电源

2.供电可靠性是否满足系统运行要求；

3.电源电缆布设是否满足安全要求；

4.UPS电源负载是否合理；

1）检查UPS设备间等重要场所，检查是否满足防窃、防火、防破坏等物理安全防护要求；

2）检查机房供电线路上是否配置稳压器和过电压防护设备、设置冗余或并行的电力电缆线路为计算机系统供电；

3）检查机房是否建立冗余备用供电系统，提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；

4）UPS负载是否满足35%以下条件。

1、检查开关柜的空开标签是否清晰，对应的自动化设备是否齐全。

2、ABC三相负载是否平衡。

3、部分电厂存在单套UPS现象。

4、去蓄电池室查看物理环境。

1）□是□否☑不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）☑是□否□不适用

未设置UPS专用设备间

通信

5.通信设备及其线缆沟道（含局域网配线间）是否满足安全可靠运行要求；

1）检查重要设备安装环境，检查是否满足防窃、防火、防破坏等物理安全防护要求；

2）检查通信设备是否具备N-1安全运行要求；

3）检查机房不同的冗余的通信通道是否从不同的电缆沟道分设。

1、检查电缆沟，强电、弱电是否分离。

2、检查光端机设备、SDH设备、核心网络交换机、路由器、以及其他重要网络通信设备是否满足冗余配置要求。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

安全分区★

6.电力监控系统是否存在网络非法外联情况；

7.运维、技术支持人员是否将接入生产控制大区的计算机设备与互联网相连混用；

8.所有业务功能是否按安全区的原则部署；

9.远方控制功能是否在安全I区。

1）检查电力监控系统是否存在网络非法外联情况（双网卡跨接生产大区和外部网络）；

2）检查风光功率预测等服务器非法外连外部网络、

3）检查生产控制大区设备或业务系统是否通过外部网络远程运维或升级工作。

4）检查集团公司设备厂商等建立的远程监视中心是否采用非电力专用网络实现与生产控制大区的直接数据传输。

5）生产控制大区内除安全接入区外违规使用无安全防护措施的无线通信设备

6）检查保护远方操作功能和互联网信息接入功能是否按照安全分区的原则实施部署。

7）检查全厂网络拓扑图，查看安全分区是否合理；

1）□是☑否□不适用

2）□是□否☑不适用

3）□是☑否□不适用

4）□是□否☑不适用

5）□是☑否□不适用

6）☑是□否□不适用

7）☑是□否□不适用

网络专用

☆

10.检查调度数据网网络设备，查看其安全配置是否符合要求；

1）检查调度数据网网络设备的安全配置情况，是否关闭或限定网络服务；

2）是否未使用默认路由；

3）是否关闭网络边界OSPF路由功能；

4）是否采用安全增强的SNMPv2及以上版本的网管协议；

5）是否设置受信任的网络地址范围；

6）是否有设备日志记录；

7）是否设置高强度的密码；

8）是否开启访问控制列表；

9）是否封闭空闲的网络端口。

10）电力监控系统中数据通信采用非安全通信方式。

1、网络配置基本都满足要求。

2、非安全通信方式主要指没有采用电力通讯网、没有配置加密装置等。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）☑是□否□不适用

5）☑是□否□不适用

6）☑是□否□不适用

7）☑是□否□不适用

8）☑是□否□不适用

9）☑是□否□不适用

10□是☑否□不适用

恶意代码防范管理

11.是否部署了防病毒软件并定期更新、查杀？

1）检查安全操作系统是否部署了防病毒系统，并全覆盖。

2）检查非安全操作系统是否部署了防病毒系统，并全覆盖。

3）检查防病毒系统是否定期更新。

4）检查防病毒系统是否定期查杀，并检查查杀记录。

1）☑是□否□不适用

2）☑是□否□不适用

3）□是☑否□不适用

4）☑是□否□不适用

防病毒软件未更新

体系结构安全

横向隔离★

12.安全大区的横向边界是否采用正反向隔离装置，并是否配置正确

1）查看网络拓扑，检查系统横向边界安全防护是否采用正反向隔离装置；

2）查看正反向隔离装置配置，检查是否无不必要的规则策略。

检查正反向隔离装置策略配置情况：

a）是否修改了默认口令；

b）是否限定端口，端口不能全开；

c）策略配置是否备份。

1）☑是□否□不适用

2）☑是□否□不适用

纵向认证★

13.调度数据网纵向边界是否部署电力专用纵向加密认证装置或者加密认证网关及相应设施；

1）查看电力监控系统的网络拓扑结构，是否在生产控制大区与广域网边界设置国家认定部门检测认证的电力专用纵向加密认证装置；

2）检查纵向加密装置，检查隧道是否处于密通；

3）检查纵向加密装置，查看安全策略是否按照实际业务细化到相关业务系统具体的IP地址（段）、业务端口号和连接方向；

4）查看纵向加密装置是否产生告警。

5）检查装置操作卡是否直接插在设备上

1、带上纵向加密配置软件和配置线缆，登录查看。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）□是☑否□不适用

5）□是☑否□不适用

防火墙和入侵监测

14.防火墙是否仅开通应用所需的数据通道，IDS入侵监测策略是否合理；

1）应检查访问控制策略是否使用白名单方式，是否存在源地址、目的地址或端口为空或any的情况；

2）应检查访问控制策略地址、端口配置范围是否过宽，是否对地址段、端口段进行了定义。

3）应该查看防火墙配置，明确访问控制规则是否应用到端口或者安全域中。

4）检查一二区之间是否采用防火墙进行逻辑隔离。

1）□是☑否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）☑是□否□不适用

边界完整性管理

15.是否采取技术或相关措施防止生产控制大区的非法外联；

1）是否从技术上采取了防止私自内联、外联的措施。

2）检查是否在管理上制定了禁止私自内联、外联的行为规定。

3）私自将设备或系统接入电力调度数据网络。

访谈方式

1）☑是□否□不适用

2）☑是□否□不适用

3）□是☑否□不适用

系统本体安全

主机硬件

16.计算机、存储设备、路由器、交换机等关键设备是否存在经过国家有关部门的安全检测，是否存在安全隐患或恶意芯片；

1）查看相关安全检测证明；现场记录设备型号及固件版本号，比较国家披露信息确认是否有安全隐患。

★

查看相关安全检测证明；现场记录设备型号及固件版本号,比较国家披露信息确认是否存在安全隐患：

（检查厂家证书）

a）按照国家披露信息确认是否存在安全隐患的设备信息及工控产品漏洞清单，要求被检查单位提前一周向检查组提供现场设备及工控产品资产信息清单。

如下表所示：

序号设备类型设备名称所属业务所在区域厂家型号版本号工作站PC04保护省调自动化机房联想D30v2331

b）根据安全隐患信息库和现场设备资产信息清单进行比对，检查是否存在安全隐患的装置；

c）现场抽查被检查单位提供的设备资产信息清单准确。

1）□是☑否□不适用

17.其空闲网络端口是否已关闭；生产控制大区是否采取禁止USB、光驱等移动介质接入措施；

1）检查设备空闲端口是否关闭；

2）检查主机USB、光驱等接口是否封闭。

现场检查主机USB、光驱等接口封闭情况：

除必须使用的鼠标键盘、USBKEY端口外，主机USB端口均已封闭，光驱设备已经封闭。

1）☑是□否□不适用

2）☑是□否□不适用

操作系统、关系数据库等基础软件☆

18.发电厂、变电站、换流站的实时监控系统，安全自动装置、控制保护设备等是否采用国家有关部门检测认证的安全操作系统；核查非安全操作系统设备是否已采取有效安全加固防护手段；

1）检查主站使用的操作系统是否为安全加固操作系统，是否有效加固。

2）核查非安全操作系统设备是否已采取有效安全加固防护手段；

抽查现场操作系统，登录后记录操作系统基本信息，终端输入uname-a,参考是否为麒麟或凝思操作系统，判断是否为安全操作系统。

现场核查非安全操作系统设备是否已采取加固：

a）关闭不需要的系统通用服务，见检查项44；

b）部署防止恶意代码软件功能，病毒库、木马库规则库应经过安全检测并应离线进行更新，见检查项44;

c）检查用户及密码情况，不存在系统无关的用户名，密码满足安全要求，见检查项49-52。

1）□是☑否□不适用

2）□是☑否□不适用

存在非安全操作系统情况，未部署防止恶意代码软件

19.核查操作系统、插件或应用系统是否存在高危漏洞

1）现场核查电力控制系统业务主机，操作系统、插件或应用系统是否存在高危漏洞；

使用专业漏扫软件，采用抽查、单机模式扫描。

1）□是☑否□不适用

20.生产控制大区是否按要求关闭通用网络服务；

1）检查操作系统是否关闭了E-Mail、Web、Rlogin、telnet、http、smb、FTP等不必要的通用网络服务。

★

1）检查是否非root帐号启动；

2）由SCADA系统提供必要服务和端口信息；抽查现场操作系统，输入chkconfig-list（windows:

netstat）命令查看当前主机是否开启了必要的E-Mail（25、110）、Web（80、8080）、FTP（20、21）、telnet（23）、rlogin（23）等服务

1）☑是□否□不适用

21.检查操作系统是否存在恶意后门，是否采取防止恶意代码的安全措施；

1）检查操作系统是否具有防止恶意代码软件功能，病毒库、木马库以及IDS规则库应经过安全检测并应离线进行更新；

2）系统涉及的专用终端是否经过安全加固，加固内容不限于系统补丁、账户与口令、安全防护措施、日志与审计等。

通过访谈系统管理员，检查主站系统操作系统是否具有防止恶意代码软件功能，病毒库、木马库以及IDS规则库应经过安全检测并应离线进行更新：

a）主站系统操作系统具有防止恶意代码软件功能；

b）病毒库、木马库以及IDS规则库应经过安全检测并应离线进行更新，并查看更新。

系统涉及的专用终端是指控制室内那些OPS、双细则、OMS以及后台监控系统的工作站。

1）☑是□否□不适用

2）☑是□否□不适用

22.检查是否存在供应商缺省帐户；

1）管理员掌握用户分配情况，检查是否已删除供应商测试账户、缺省帐户；

2）如供应商缺省帐户无法删除，是否已采取技术防护措施；

检查系统用户分配情况：

a）访谈管理员，掌握账户分配情况（通常系统应只具备以下账户类型，审计员账号、系统专责账号、业务配置员账号、普通用户账号）；

b）通过自动化运维工作站，上机检查用户分配情况。

检查供应商缺省帐户情况：

a）通过自动化运维工作站，查看配置文件，检查是否存在供应商缺省帐号，检查不必要的缺省帐号是否关闭，缺省帐号默认口令是否更改等情况。

1）□是☑否□不适用

2）□是☑否□不适用

23.检查用户帐号密码弱口令和管理策略；

1）检查用户账号安全策略及配置文件，检查口令设置是否符合数字加字母至少8位以上的复杂度要求；★

2）口令是否满足至少每3个月1次更新；

3）操作系统、数据库管理员口令是否有专人管理，并定期更换口令；

4）禁止明文传输，口令是否加密保存。

检查系统是否存在弱口令，重点查厂站

a）通过访谈及观察的方式，检查SCADA服务器、关系数据库、值班员工作站、调度员工作站等是否存在弱口令；

b）使用弱口令扫描工具，检查系统是否存在弱口令。

没有扫描工具，就随即抽查，让专责登录一下，查看密码情况。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）☑是□否□不适用

应用系统运行管理

24.生产控制大区是否部署日志审计系统

1）检查在生产控制大区是否部署日志审计系统。

2）检查日志审计系统运行是否正常。

电厂基本没有部署审计系统

1）□是☑否□不适用

2）□是☑否□不适用

未部署日志审计系统

25．检查系统用户帐号及其权限管理情况

1）检查是否定期开展帐号权限清理；

2）是否制定了防特权帐号滥用的管理要求及应急处置方案。

检查系统帐号权限分配及清理情况：

a）通过上机演示的方式，检查系统各类帐号权限是否符合最小化分配原则；

b）检查是否定期开展帐号权限清理，检查清理记录；

c）是否制定了防特权帐号滥用的管理要求及应急处置方案。

1）☑是□否□不适用

2）□是□否☑不适用

无特权账号

26.检查帐号权限管理制度落实情况；

1）检查是否制定账号管理相关流程、规定或制度；

2）运维人员是否清楚制度与流程内容；

3）相关规定制度的发布是否通过信息部门、业务部门等审批；

4）是否有外务人员的工作权限及系统账号及权限管理记录。

检查是否制定帐号权限相关管理制度及其落实情况：

a）检查是否制定账号管理相关流程、规定或制度，相关规定制度的发布是否通过信息部门、业务部门等的审批；

b）访谈自动化运维人员、调度员、值班员是否清楚制度与流程内容；

c）帐号权限的申请、变更等操作是否有相关纸质记录；

d）是否有外来人员的工作权限及系统帐号权限管理记录

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）□是☑否□不适用

27.检查应用系统日志审计情况；

电厂基本没有部署审计系统

1）检查应用系统、数据系统是否开启对特定操作的审计记录功能；

2）查看审计日志覆盖是否全面，内容是否详细，是否有第三方日志审计系统对日志进行统一分析处理并生成第三方日志审计系统安全测试报告等。

1）□是□否☑不适用

2）□是□否☑不适用

没有部署审计系统

全方位安全管理

安全防护方案

28.检查电力监控系统安全防护方案

1）检查电力监控系统安全防护方案是否通过上级技术监督部门审核备案；

2）查实际运行方案与审核方案是否一致

1、提供电力监控系统安防防护方案。

2、检查实际与方案的差别。

1）☑是□否□不适用

2）☑是□否□不适用

等级保护测评

、备案★

29.核查电力监控系统是否到当地公安系统进行备案及等保测评工作开展情况。

1）检查电力监控系统是否具有当地公安系统的备案证明。

2）检查是否具有电力行业监管部门认可的测评机构提供的等保测评和风险评估报告。

1、提供公安备案证明。

2、提供第三方专业测评机构测评报告。

并查看测评机构是否是电力行业认可的五家（第一测评实验室－第五测评实验室）

1）□是☑否□不适用

2）☑是□否□不适用

无公安系统备案

公安备案正在进行

人员管理和运维管理

30.现场运维人员和厂家技术支持人员安全管理及防护措施；

1）检查运维人员和厂家技术人员维护活动是否有相关管理制度；

2）现场核查维护记录或工作票，是否列明相关安全防护措施。

3）是否委托社会第三方提供日常运维管理服务？

4）是否与受托单位签订了保密协议？

5）受托单位是否是国外安全服务机构？

6）信息系统和重要数据是否由本单位自行维护？

7）检查是否有专职网络安防人员。

现场核查维护记录，掌握相关安全防护措施。

1）☑是□否□不适用

2）☑是□否□不适用

3）□是☑否□不适用

4）□是☑否□不适用

5）□是☑否□不适用

6）☑是□否□不适用

7）☑是□否□不适用

设备管理

31.核查电力监控系统的全设备安全管理是否符合管理要求；

1）检查时钟、监控大屏幕系统等辅助设备是否纳入安全管理范畴。

2）查机房设备标签标识是否清晰、完备

3）检查设备是否有无线接入记录。

1）☑是□否□不适用

2）☑是□否□不适用

3）□是☑否□不适用

全生命周期管理

32核查控制系统和主要设备的开发、检测、招标、安装、验收、运维、升级、退役等环节安全管理制度及相应记录是否完整；

1）核查相关设备是否具有安全性入网测试通过证明材料；

2）检查系统结构图中是否有安全防护设施部署示意情况；

3）核查设备软件升级改造是否有安全管理记录；

4）核查密码产品退役淘汰是否有销毁情况；

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

4）□是□否☑不适用

无退役淘汰密码产品

外部设备接入管理

33.核查外部计算机、移动介质的接入是否具有相应的安全管理制度和记录；

1）核查外部计算机的接入是否具有相应的安全管理制度和记录；

2）核查移动介质的接入是否具有相应的安全管理制度和记录；

检查是否指定专门的部门或人员负责外部计算机和移动介质的接入管理；

a重点查三种工作站的移动介质接入痕迹，操作系统记录信息应与审批记录信息成对应关系，例如：

windows系统中，运行regedit打开注册表,打开HKEY_LOCAL_MACHINE\SYSTEM\Current

ControlSet\Enum\USB和HKEY_LOCAL_

MACHINE\SYSTEM\CurrentControlSet\

Enum\USBSTOR目录，查看是否存在移动介质接入记录信息，如有则记录class、FriendlyName、HardwareID等信息

b）检查相关制度中是否明确专门的部门和人员信息；

c）访问并核查，是否按照制度落实外部设备接入管理工作。

1）☑是□否□不适用

2）☑是□否□不适用

远程拨号管理

★

34远程拨号访问是否采用专用拨号认证服务器；

1）检查远程拨号装置，查看访问是否使用了专用的拨号认证服务器。

此条在以前是适用的，最新的国调64号文件中，严格禁用远程运维。

有争议。

1）□是□否☑不适用

无远程拨号装置

安全应急措施

冗余备用

35.核查核心服务器是否满足冗余要求；

1）NCS（DCS）、AGC、数据采集等核心应用服务器是否冗余。

1）☑是□否□不适用

应急预案及演练

36.网络与信息安全的应急预案是否编制并演练，安全应急制度是否健全。

1）检查是否制定网络与信息安全的应急预案；

2）检查是否制定网络与信息安全的应急管理制度；

3）检查是否有网络与信息安全的应急演练记录。

现场查看是否有网络与信息安全的应急预案。

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

应急队伍建设

37.应急队伍建设检查

1）是否建立了应急联络方式？

2）是否建立了应急技术支援队伍？

3）是否与相关单位建立了应急协调机制

参看相关文档

1）☑是□否□不适用

2）☑是□否□不适用

3）☑是□否□不适用

注：

带“★”号的检查要点，为必须满足项，如不满足即一票否决；带“☆”号的检查要点，为部分满足项，其中检查方法中含“★”号的必须满足，如不满足即一票否决。