325MW光伏电站监控系统安全防护实施方案.docx

1、325MW光伏电站监控系统安全防护实施方案325MW光伏电站监控系统安全防护实施方案 批 准： 审 核： 编 写： 地调批准： 地调审核： 目 录1总则 22.适用范围 23.系统概况 33.1系统概述 33.2等级保护定级 34. 随州曾都万店325MW光伏电站监控系统安全防护实施方案 34.1安全防护总体原则 34.2安全分区 44.3网络专用 54.4横向隔离 64.5纵向认证 74.6其他安全措施 84.7二次安全防护实施方案拓扑图 114.8安全防护设备清单 125.安全防护技术要求 13监控系统安全防护实施方案1总则1.1 325MW光伏电站监控系统属于某电力监控系统安全防护体系管

2、理范畴。1.2为了加强随州曾都万店325MW光伏电站监控系统安全防护，确保电力监控系统及电力数据网络的安全，依据国家发改委第14号令电力监控系统安全防护规定、国能安全201536号文电力监控系统安全防护总体方案及其配套方案，制定本方案。1.4 随州曾都万店325MW光伏电站监控系统的防护目标是抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起的恶意破坏和攻击，以及其它非法操作，防止随州曾都万店325MW光伏电站监控系统瘫痪和失控，并由此导致的电网一次系统事故。1.5 本方案重点描述随州曾都万店325MW光伏电站监控系统各业务系统的安全防护，按照电力监控系统安全防护总体方案安全分区的要求，

3、基于系统业务的特点，确定随州曾都万店325MW光伏电站监控系统按照业务特点分为安全生产控制大区控制区和非控制区。 2.适用范围21本方案适用于随州曾都万店325MW光伏电站监控系统，范围为随州曾都万店325MW光伏电站。22随州曾都万店325MW光伏电站简介325MW光伏电站，位于市镇，距220Kv变电站约39公里，规划总装机容量110兆瓦，本期装机容量10兆瓦。3.系统概况3.1系统概述325MW光伏电站监控系统主要由服务器、工作站、各类装置、网络设备、安全防护设备、操作系统、数据库、应用软件等部分组成。系统通过电力数据网络与上级调度机构进行业务通信。325MW光伏电站各业务通过104、10

4、2协议与调度主站相关系统通讯，发送实时遥信、遥测、电量、预测等信息，接收有功、无功控制命令。3.2等级保护定级按照等级保护定级备案要求，随州曾都万店325MW光伏电站监控系统作为一个定级对象定为等保二级。4. 325MW光伏电站监控系统安全防护实施方案4.1安全防护总体原则325MW光伏电站监控系统安全防护的基本原则为“安全分区、网络专用、横向隔离、纵向认证”。 采用“纵深防御”策略和 “适度安全” 策略，安全防护主要针对基于网络的生产控制系统，重点强化边界防护，提高内部安全防护能力，保证电力生产控制系统及重要数据的安全。4.2安全分区根据安全分区原则，结合325MW光伏电站应用系统和功能模块

5、的特点，将各功能模块分别置于控制区、非控制区和管理信息大区。325MW光伏电站监控系统安全分区表序号业务系统控制区非控制区管理信息大区1厂站监控系统厂站监控系统（AGC/AVC）2五防系统五防系统3电能质量在线监测电能采集装置4继电保护继电保护装置5故障录波故障录波装置6安全自动控制系统安全自动控制装置7光功率预测光功率预测系统外网服务器8OMS 客户端OMS 客户端9火灾报警系统火灾报警4.3网络专用电力调度数据网是为生产控制大区服务的专用数据网络，承载电力实时控制、在线生产交易等业务。安全区的外部边界网络之间的安全防护隔离强度应该和所连接的安全区之间的安全防护隔离强度相匹配。 电力调度数据

6、网应当在专用通道上使用独立的网络设备组网，采用基于SDH/PDH 不同通道、不同光波长、不同纤芯等方式，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。 电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。可采用MPLS-VPN 技术、安全隧道技术、PVC 技术、静态路由等构造子网。 电力调度数据网应当采用以下安全防护措施： （1）网络路由防护 按照电力调度管理体系及数据网络技术规范，采用虚拟专网技术，将电力调度数据网分割为逻辑上相对独立的实时子网和非实时子网，分别对应控制业务和非控制生产业务，保证实时业务的封闭性和高等级的网络服务质量。 （2）网络边

7、界防护 应当采用严格的接入控制措施，保证业务系统接入的可信性。经过授权的节点允许接入电力调度数据网，进行广域网通信。数据网络与业务系统边界采用必要的访问控制措施，对通信方式与通信业务类型进行控制；在生产控制大区与电力调度数据网的纵向交接处应当采取相应的安全隔离、加密、认证等防护措施。对于实时控制等重要业务，应该通过纵向加密认证装置或加密认证网关接入调度数据网。 （3）网络设备的安全配置 网络设备的安全配置包括关闭或限定网络服务、避免使用默认路由、关闭网络边界OSPF 路由功能、采用安全增强的SNMPv2 及以上版本的网管协议、设置受信任的网络地址范围、记录设备日志、设置高强度的密码、开启访问控

8、制列表、封闭空闲的网络端口等。 （4）数据网络安全的分层分区设置 电力调度数据网采用安全分层分区设置的原则。省级以上调度中心和网调以上直调厂站节点构成调度数据网骨干网（简称骨干网）。省调、地调和县调及省、地直调厂站节点构成省级调度数据网（简称省网）。 地调和配网内部生产控制大区专用节点构成县级专用数据网。县调自动化、配网自动化、负荷管理系统与被控对象之间的数据通信可采用专用数据网络，不具备专网条件的也可采用公用通信网络（不包括因特网），且必须采取安全防护措施。各层面的数据网络之间应该通过路由限制措施进行安全隔离。当地调或配调内部采用公用通信网时，禁止与调度数据网互联。保证网络故障和安全事件限制

9、在局部区域之内。 企业内部管理信息大区纵向互联采用电力企业数据网或互联网，电力企业数据网为电力企业内网。 4.4横向隔离4.4.1 横向隔离是电力二次安全防护体系的横向防线。采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。电力专用横向单向安全隔离装置作为生产控制大区与管理信息大区之间的必备边界防护措施，是横向防护的关键设备。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。 4.4.2 按照数据通信方向电力专用横向单向安全隔离装置

10、分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。反向安全隔离装置集中接收管理信息大区发向生产控制大区的数据，进行签名验证、内容过滤、有效性检查等处理后，转发给生产控制大区内部的接收程序。专用横向单向隔离装置应该满足实时性、可靠性和传输流量等方面的要求。 4.4.3 严格禁止E-Mail、WEB、Telnet、Rlogin、FTP 等安全风险高的通用网络服务和以B/S 或C/S 方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向

11、安全传输。 控制区与非控制区之间应采用国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离。 4.5纵向认证4.5.1 纵向加密认证是电力监控系统安全防护体系的纵向防线。采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。对于重点防护的调度中心、发电厂、变电站在生产控制大区与广域网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制。暂时不具备条件的可以采用硬件防火墙或网络设备的访问控制技术临时代替。并接入到地调内网安全监控平台。 4.5.2 纵向加密认证装置及加密认证网

12、关用于生产控制大区的广域网边界防护。纵向加密认证装置为广域网通信提供认证与加密功能，实现数据传输的机密性、完整性保护，同时具有类似防火墙的安全过滤功能。加密认证网关除具有加密认证装置的全部功能外，还应实现对电力系统数据通信应用层协议及报文的处理功能。 4.5.3 对处于外部网络边界的其他通信网关，应进行操作系统的安全加固，对于新上的系统应支持加密认证的功能。 4.5.4 重点防护的调度中心和重要厂站两侧均应配置纵向加密认证装置；当调度中心侧已配置纵向加密认证装置时，与其相连的小型厂站侧可以不配备该装置，此时至少实现安全过滤功能。 4.5.5 传统的基于专用通道的数据通信不涉及网络安全问题，新建

13、系统可逐步采用加密等技术保护关键厂站及关键业务。 4.6其他安全措施4.6.1防病毒本电站生产区域内的计算机信息系统，要与 Internet 网分开，并建立计算机病毒防火墙，对服务器，要采用先进的网络防计算机病毒软件，并对经过服务器的信息进行监控，防止计算机病毒通过邮件服务器扩散、传播。随时注意各种异常现象，一旦发现，应立即用查毒软件仔细检查。经常更新与升级防杀计算机病毒软件的版本。对生产区域内的要定点、定时、定人作查毒杀毒巡检。当出现计算机病毒传染迹象时，立即隔离被感染的系统和网络并进行处理，不应带“毒”继续运行；发现计算机病毒后，一般应利用防杀计算机病毒软件清除文件中的计算机病毒，对于杀毒

14、软件无法杀除的计算机病毒，应及时请专业人员解决。对新购进的计算机及设备，为防止原始计算机病毒的侵害，要组织专业人员检查后方可安装运行；联网计算机、重要系统的关键计算机要安装防计算机病毒软件，并定期或及时更新计算机病毒防范产品的版本；要使用国家规定的、具有计算机使用系统安全专用产品销售许可证的计算机防计算机病毒产品。系统中的程序要定期进行比较测试和检查。严禁使用盗版软件，特别是盗版的杀毒软件，严禁在工作计算机上安装、运行各类游戏软件。4.6.2主机加固操作系统安全是计算机网络系统安全的基础，而服务器上的业务数据又是被攻击的最终目标，因此，加强对关键服务器的安全控制，是增强系统总体安全性的核心一环

15、。随州曾都万店325MW光伏电站已完成主机加固，主机加固软件为信达S-numen，强制进行权限分配，保证对系统资源（包括数据和进程）的访问符合定义的主机安全策略，防止主机权限被滥用。4.6.3入侵检测当系统发生入侵行为或者违反安全策略的操作时，S-numen利用自身功能对用户（程序）在网络层和系统内部对该用户（程序）进行阻断，并且由系统向管理员进行报警。在报警条件中添加相应的报警规则，S-numen可对入侵行为和违反安全策略的用户（程序）进行阻断。当有违反安全规则的情况出现时，S-numen服务器端会向特定的系统发送报警信息，S-numen监控程序会以多中方式进行报警。在后台可以提供告警。4.

16、6.4安全日志审计日志审计和日志管理对于网络安全会起到重要作用，S-numen拥有独立的日志审计系统，通过方便的检索可以方便安全管理员的工作。S-numen的日志生成实在内核级上实现的，日志根据设置也可不生成，当生成时，还可以设置是否按项目设置生成，所以应视系统存储空间的大小进行适当设置来使用。S-numen提供多种检索功能，方便管理的工作。4.7二次安全防护实施方案拓扑图4.7.1功率预测及控制系统拓扑图通信接口类型：2路以太网接口，支持综自厂家的以太网103 规约；变电站内采用 GPS 卫星对时，减少误码、乱码的可能性，提高设备的数据传输准确性，符合 IEC 61850 的相关标准。4.7

17、.2监控系统安全防护总体结构图4.8安全防护设备清单设备名称型号数量生产厂家备注地调接入网路由器H3C MSR36401杭州华三实时交换机H3C S3110-26TP1杭州华三非实时交换机H3C S3110-26TP1杭州华三纵向加密认证装置Syskeeper-20002南瑞省调接入网路由器H3C MSR36401杭州华三实时交换机H3C S3110-26TP1杭州华三非实时交换机H3C S3110-26TP1杭州华三纵向加密认证装置Syskeeper-20002南瑞OMS报票专用系统路由器H3C MSR36401杭州华三交换机H3C S3110-26TP1杭州华三防火墙FW1000-MS-S

18、1杭州迪普光功率预测反向隔离装置电力工业以太网交换机防火墙5.安全防护技术要求5.1生产控制大区内部安全防护技术要求（1）禁止生产控制大区内部的E-Mail服务，禁止控制区内通用的WEB服务，并进行安全加固。（2）允许非控制区内部业务系统采用B/S结构，但仅限于业务系统内部使用。允许提供纵向安全WEB服务，可以采用经过安全加固且支持HTTPS的安全WEB服务器和WEB浏览工作站。（3）生产控制大区重要业务的远程维护必须采用身份认证机制。（4）生产控制大区内的业务系统间应该采取VLAN和访问控制等安全措施，限制系统间的直接互通。（5）生产控制大区应该统一部署恶意代码防护系统，采取防范恶意代码措施

19、。病毒库、木马库以及IDS规则库的更新应该离线进行。（6）各层面的数据网络之间应该通过路由限制措施进行安全隔离，保证网络故障和安全事件限制在局部区域之内。附则1：325MW光伏电站电力监控系统安全防护管理制度总则1.1 为了防范黑客以及恶意代码等对电力监控系统的攻击侵害，保障我公司电力监控系统的安全可靠、稳定运行，提高电力监控系统的安全管理水平，根据国家电监会颁布的电力监控系统安全防护规定（电监会5号令）及电力系统安全防护总体方案（电监安全200634号），特制定本管理办法。1.2 本电站电力监控系统安全防护工作应当坚持安全分区、网络专用、纵向认证的原则。1.3 本电站电力监控系统安全防护工作

20、以“安全第一、预防为主、综合治理，管理和技术并重”为方针，“遵循统一领导、统一规划、统一标准、统一组织开发”的原则。1.4 本管理方法适用于本电站电力监控系统，所有涉及电力监控系统的规划、设计、系统改造、工程实施、运行管理等均应符合本管理办法的要求。1.5 引用标准及规范：1.5.1 电网和电厂计算机监控系统及调度数据网络安全防护规定国家经贸委30号令。1.5.2 电力监控系统安全防护规定国家电监会5号令1.5.3 电力监控系统安全防护总体方案国家电监会电监安全200634号文。管理职责2.1 本电站根据国家电监会电力监控系统安全防护总体方案要求，按照“谁主管谁负责，谁运营谁负责”的原则，建立

21、电力监控系统安全管理制度，明确运行、检修、调试、和信息化等部门相关人员的安全职责。2.2 电力调度机构负责直接调度范围内的下一级电力调度机构和变电站的监控系统安全防护的技术监督。本电站内涉及到电力调度的生产控制系统和装置，如本电站的输入变电监控系统、电能质量采集装置、故障录波装置、继电保护装置和安全自动控制装置等，由电力调度机构和本电站主管单位共同实施技术监督，本电站其他监控系统安全防护可由其上级主管单位实施技术监督。2.3 方案负责审核，对涉及电力监控系统安全防护的产品选用提出指导意见。技术管理3.1 本电站电力监控系统安全防护工作必须坚持安全分区、网络专用、横向隔离、纵向认证的原则，保障电

22、力监控系统和电力调度数据网络的安全。3.2 根据各自监控系统情况制定电力监控系统安全防护实施方案，防护实施方案应每年滚动修订、完善。3.3 涉及电力监控系统安全防护的产品应具备国家网络与信息安全主管部门（国家能源局）认可的有关证明。3.4 未完成电力监控系统安全防护措施前应制订安全防护改造应急措施。3.5 在对电力监控系统进行安全检查过程中，如发现部分应用系统及网络未按照电力监控系统安全防护规定执行的应限期整改，若期限之内还不能完成，则应对责任人进行通报批评并依据相关规定进行处罚。4.应急管理4.1 制定本单位电力监控系统安全防护应急预案，内容包括突发事件发现、应急安全隔离措施、事件上报、安全

23、处理、事件反馈等几个方面并定期开展演练。4.2 应急预案的制定和修改必须履行一定的审核手续，存放在规定的地方，并根据演戏结果不断完善应急预案。4.3 对在电力监控系统中发生的安全技术事故和安全事件，要采取妥善措施，防止事件扩大，保护好现场，并立即向区调报告，并在8小时内提供说明报告。对隐报、缓报、谎报或未在上述事件内报告的将按国家有关规定追究相关单位和当事人的责任。培训与评估5.1 每年需举办电力监控系统安全防护知识培训，提高电力监控系统安全防护技能和意识。5.2 在进行安全评估和监督检查中应严格控制风险，确保电力系统安全稳定运行。参加评估的人员应将遵守有关保密规定。5.3 对电力监控系统安全

24、防护工作监督专家组对本单位电力二次安全防护实施情况进行监督检查，提出整改意见进行整改。附则2：权限密码管理制度总则1.1 为确保继电保护装置及网络安全运行，保护电站权益不受侵害，特制订此管理制度。服务器密码及口令管理2.1 监控机、网络路由器以及继电保护装置的口令和密码，由安全生产部门负责人和系统管理员商议确定，必须两人同时在场设定。2.2 监控机、网络路由器以及继电保护装置的口令必须不猛负责人在场是要有系统管理员记录封存。2.3 密码及口令要定期更换（视网络具体情况），更换后系统管理员要销毁原记录，将新密码或口令记录封存。2.4 如发现密码及口令有泄密迹象，系统管理员要立刻报告部门负责人，经

25、生产副站长批准后再更换新密码和口令。用户密码及口令的管理3.1 对于要求设定密码和口令的用户，由用户指定负责人与系统管理员商定密码及口令，由系统管理员登记并请用户负责人确认（签字或电话通知），之后系统管理员设定密码及口令，并保存用户档案。3.2 当用户由于责任人更换或忘记密码、口令是要求查询密码、口令或要求更换密码及口令的情况下，需向网络服务管理部门提交申请单，由部门负责人或系统管理员核实后，履行本条1款所规定的手续，并对用户档案做更新记载。3.3 如果网络提供用户自我更新密码及口令的功能，用户应自己定期更换密码及口令，并设专人负责保密和维护工作。附则3：门禁管理和机房人员登记记录1.总则1.

26、1 为确保计算机网络系统安全、高效运行和各类设备处于良好状态，正确使用和维护各种设备，管理有章、职责明确，特制订本制度。本制度分为5个部分：值班制度、巡视制度、日常管理制度、运行维护制度、安全保密制度。2.值班制度2.1 机房实行24小时值班制度2.2 值班人员要遵守值班守则2.3 值班守则2.3.1 要培养值班人员有一定的综合素质，由一定的应变和事故判断能力。2.3.2 值班人员的主要职责是要在第一时间发现故障和故障隐患，并及时报告，使相关管理人员能及时赶到现场尽最大可能缩短故障恢复时间。2.3.3 熟知工作内容和责任规范。值班时间内不得作与作业、业务无关的任何私事，不得擅自离开岗位。2.3

27、.4 值班人员负责机房的安全和机房环境卫生。认真履行机房的各项规定，并督促进入机房人员严格遵守。2.3.5 负责机房的环境设备与网络系统的安全运行；负责完成规定的日常操作和故障监测记录，简单故障的排除，负责环境设备的日常巡视。2.3.6 值班人员必须以严肃、严格的态度，认真执行机房巡视制度，负责每日对机房网络设备、机房设备、机房环境的巡视、认真填写巡视记录表，发现问题及时向相关管理人员反映。2.3.7 值班人员要定时对网络管理监控机进行巡视并认真进行记录。2.3.8 当遇到故障报警时，应及时判断出故障点，并立即通知相关系统管理员现场排除故障。发生重大故障时，还应及时报告直接领导。2.3.9 值

28、班人员应按时到岗，认真交接，双方签字后交班人员方可离岗。2.3.10 必须严格遵守各项相关管理规定和消防管理规定。3.巡视制度3.1 网络运行设备的巡视3.1.1 各服务器的CPU和内存的工作状况。3.1.2 防火墙的工作状况3.1.3 网站的工作状况3.1.4 邮件服务器的工作状况3.1.5 网络交换机的工作状况3.1.6 客户端的网络运行速度3.1.7 认证做好记录3.2 机房环境的巡视3.2.1 机房门窗的关闭情况3.2.2 机房的卫生状况3.2.3 机房的灯光状况3.2.4 机房的温度、湿度及空气状况3.2.5 认真做好记录3.3 机房设备的巡视3.3.1 对机房的UPS、空调、消防报

29、警等系统的运行情况进行经常性巡视，密切注意工作负荷、电池容量、室内温湿度等数值，以保障网络安全、正常的运行。3.3.2 主配电柜的供电电压、电流3.3.3 UPS的输出电压、电流和负载功率3.3.4 UPS电池的状况3.3.5 空调的工作状况3.3.6 空气净化器的工作状况3.3.7 消防报警系统的工作状况3.3.8 查看所有机房设备的报警记录3.3.9 认真做好巡视记录4.日常管理制度4.1每日清理机房环境卫生。4.2 到机房工作的人员要听从值班人员管理4.3 到机房工作的人员不得在机房内吃食品，饮水，吸烟或其他与工作无关的事宜。4.4 到机房工作的人员严禁携带与工作无关的物品，特别是易燃、

30、易爆、强磁、腐蚀性物体等危险物品进入机房。4.5 到机房工作的人员应严格遵守岗位责任制，不能乱动与自己工作无关的设备。4.6 机房内不能存放任何食品。4.7 严禁在机房内使用其他用电器。4.8 严禁在机房内存放食物。4.9 严禁在机房大声喧哗、玩电子游戏。4.10在机房工作必须按操作规程正确操作、使用各类设备。5.运行维护制度5.1 配电柜一年进行至少2次维护检查。维护内容：清扫灰尘、检查各接点、触点的温升，松紧。注：双路供电还应检查互投开关是否可靠。5.2 UPS一个月进行1次维护。维护内容：清扫灰尘、检查UPS逆变器工作状况及UPS整机的工作状况、检查电池组机每节电池的状况并对电池进行放电。5.3 机房专用空调每月进行一次巡检。维护内容：清扫及更换各过滤网、清洗或更换加湿罐、清扫室外机、测量工作压力、测量工作电压、电流。5.4 机房消防系统每年进行一次检测。维护内容：检测各个监测点及报警设备的可靠性、检查消防设备的电池、喷头。5.5 机房防雷设施每年检查一次。维护内容：检查各防雷器的可靠性、检查接地状况。5.6 机房每年进行两次专业保洁。维护内容：对机房的地板进行调整和清洁、对底板下、天棚板上进行清洁。6.安全保密制度6.1 门禁管理6.1.1 机房必须设有门禁