浅谈电力二次系统安全防护风险与防护技术贺桂琴

浅谈电力二次系统安全防护风险与防护技术贺桂琴

贺桂琴

（国网海东供电公司青海海东810100）

摘要：随着科技的不断发展和数字网络的普及，自动化水平发展迅速，有力的提高了电力调度的运行和电力系统的效率。同时，电网规模大壮大，电力二次系统也面临着诸多风险，要将这一工程作为一个动态的、复杂的过程来对待，就要致力于完善安全防护技术，提高安全防护产品的集成性能，要有规划、有步骤的完善安全防护建设，逐步形成安全防护管理服务体系，为加强电力二次系统安全防护提供有力全方位得保障。

关键词：电力二次系统；风险；安全防护

一、电力二次系统安全防护的主要风险

1、大量的终端和现场设备如PLC、RTU和IED等可能存在逻辑炸弹或漏洞，且部分设备采用国外的操作系统、控制组件，未实现自主可控，可能有安全漏洞，设备存在被恶意控制、中断服务、数据被篡改等风险。

2、通信网及规约上可能存在漏洞，攻击者可利用漏洞对电力二次系统发送非法控制命令。通信网及规约的安全性是整个系统支全的主要环节，通信网及规约的漏洞是非法入侵者主要攻击的目标。电网主厂站通信主要采用IEC60870-5-101/104规约进行通信，但104规约不具备加密、认证功能，且端口为固定的2404端口，存在被窃听、分析、替换的风险；一些不具备光纤通信条件的厂站采用GPRS\CDMA等无线通信方式，有的将101规约直接用在GPRS环境，通过APN虚拟专网采集测量数据、下发控制命令，没有身份认证和加密措施，安全强度不够，存在安全风险。

3、TCP/IP网络通讯技术广泛应用，电力二次系统面临病毒、蠕虫、木马威胁。系统各类智能组件技术、TCP/IP网络通讯技术广泛应用，将面临传统信息网络面临的病毒、黑客、木马等信息安全问题。

4、其他主要风险如下：调度主厂站系统业务通信时，缺乏相应的安全机制保证业务信息的完整性、保密性；调度主站系统、通讯系统和厂站系统的网络设备、主机操作系统和数据库等的安全配置需要增强；缺乏对系统帐号和口令进行集中管理和审计的有效手段；缺乏记录和发现内部非授权访问的工具和手段，对重要业务系统维护人员缺少监控手段，无法有效记录维护人员的操作记录；对于软件补丁的安装缺乏有效的强制措施；人员的信息安全意识教育、基本技能教育还需要进一步普及和落实。

二、安全防护技术

电力二次系统安全解决方案在技术上系统性地考虑了主厂站之间的网络纵向互联、横向互联和数据通信等安全性问题，通过划分安全区、专用网络、专用隔离和加密认证等项技术从多个层次构筑纵深防线，抵御网络黑客和恶意代码攻击。

1、物理环境安全防护。物理环境分为室内和室外物理环境，包括主厂站系统机房物理环境、PLC等终端设备部署环境等。根据设备部署安装位置的不同，选择相应的防护措施。室内机房物理环境安全需满足对应信息系统等级的等级保护物理安全要求，室外设备物理安全需满足国家对于防盗、电气、环境、噪音、电磁、机械结构、铭牌、防腐蚀、防火、防雷、电源等要求。

2、边界安全防护。电力二次系统边界包括横向边界、纵向边界，其中横向边界包括系统不同功能模块之间，与其他系统之间的边界，纵向边界包括主厂站系统之间的边界。对于横向边界通过采用不同强度的安全设备实施横向隔离保护，如专用隔离装置、硬件防火墙或具有ACL访问控制功能的交换机或路由器等设备；主厂站系统之间的纵向边界采用认证、加密、访问控制等技术措施实现安全防护，如部署纵向加密认证网关，提供认证与加密服务，实现数据传输的机密性、完整性保护。

3、网络安全防护。电力二次系统的专用通道应采用独立网络设备组网，在物理层面上实现与对外服务区网络以及互联网的安全隔离；采用虚拟专网VPN技术将专用数据网分割为逻辑上相对独立的实时子网和非实时子网，采用QOS技术保证实时子网中关键业务的带宽和服务质量；同时核心路由和交换设备应采用基于高强度口令密码的分级登陆验证功能、避免使用默认路由、关闭网络边界关闭OSPF路由功能、关闭路由器的源路由功能、采用增强的SNMPV2及以上版本的网管协议、开启访问控制列表、记录设备日志、封闭空闲的网络端口等安全配置。

4、主机系统安全防护。电力二次系统应对主机操作系统、数据库管理系统、通用应用服务等进行安全配置，以解决由于系统漏洞或不安全配置所引入的安全隐患。如按照国家信息安全等级保护的要求进行主机系统的安全防护，并采用及时更新经过测试的系统最新安全补丁、及时删除无用和长久不用的账号、采用8位以上数字字符混合口令、关闭非必须的服务、设置关键配置文件的访问权限、开启系统的日志审计功能、定期检查审核日志记录等措施。

5、应用和数据安全防护。(1)应用系统安全防护，在系统开发阶段，要加强代码安全管控，遵循相关安全要求，明确信息安全控制点，严格落实信息安全防护设计方案，根据国家信息安全等级保护要求，确定的相应的安全等级，部署身份鉴别及访问控制、数据加密等应用层安全防护措施。(2)用户接口安全防护，用户远程连接应用系统需进行身份认证，需根据电力二次系统等级制定相应的数据加密、访问控制、身份鉴别、数据完整性等安全措施，并采用密码技术保证通信过程中数据的完整性。(3)系统数据接口安全防护，系统间的数据共享交换采用系统间直接数据接口交换或通过应用集成平台进行数据交换，此类系统均应制定数据接口的安全防护措施，而数据接口的安全防护分为域内和域间数据接口安全防护，域内系统间数据接口和安全域间的系统数据接口：根据确定的等级，部署身份鉴别、数据加密、通信完整性等安全措施，在接口数据连接建立之前进行接口认证，跨安全域进行传输的业务数据应当采用加密措施；三级系统应具有在请求的情况下为数据原发者或接收者提供数据原发或接收证据的功能，可采用事件记录结合数字证书或其他技术实现。

三、安全管理和服务体系

规范化管理是电力二次系统安全的保障。以“三分技术，七分管理”为原则，建立信息安全组织保证体系，落实责任制，明确各有关部门的工作职责，实行安全责任追究制度；建立健全各种安全管理制度，保证电力二次系统的安全运行；建立安全培训机制，对所有人员进行信息安全基本知识、相关法律法规、实际使用安全产品的工作原理、安装、使用、维护和故障处理等的培训，以强化安全意识，提高技术水平和管理水平。

建立完善的安全服务体系，进行电力二次系统上线前的安全测评、上线后的安全风险评估、安全整改加固以及监控应急响应，用于保护、分析对系统资源的非法访问和网络攻击，并配备必要的应急设施和资源，统一调度，形成对重大安全事件（遭到黑客、病毒攻击和其他人为破坏等）快速响应的能力。

结语

随着我国基础产业“两化融合”进程的不断加快，电力二次系统的安全防护已纳入国家战略电力二次系统的安全防护有多种技术可以选用，各种安全防护技术均有其特点，各自有不同的适用环境，使用者应该依据电力二次系统的实际拓扑结构和安全需要来选择不同的安全防护技术。在构建电力二次系统的安全防护体系时，应该遵循“安全分区、网络专用、横向隔离、纵向认证”的总体策略，这样便可以选定正确的电力安全防护技术和设备，确保电力二次系统安全可靠。

参考文献

[1]徐青.浅谈电力信息系统的安全防护[J].信息与电脑（理论版），2011，（2）.

[2]杨一民.电力企业重要业务系统计算机的信息安全防护方法[J].电力信息化，2008，（3）.

[3]谢善益，梁智强.电力二次系统安全防护设备技术[M].北京：中国电力出版社，2012.

[4]臧琦，邹倩，郭娟莉，等.电网调度自动化二次系统安全防护实践[J].电子设计工程，2011，19（20）：47-49.

作者简介

贺桂琴（1985），女，2007年参加工作，工程师，从事调度自动化系统运维工作。