| 〔摘要〕分析了电网监控系统对平安性、靠得住性、实时性的特殊要求,提出了在电力网络平安的系统中，应当接纳需要的措施，使电网监控系统与其它信息系统进行网络隔离，并就相关技术手段进行了探讨，为建立严酷的平安经管规章制度缔造条件，确保电网监控系统和电力系统的平安.(关头词〕电网监控系统；信息系统；网络隔离引言随着Internet的迅速成长，信息平安问题面临新的挑战。电力系统信息平安问题已威胁到电力系统的平安、稳定、经济、运行，影响着“数字电力系统”的实现进程。开发响应的运用系统、制定电力系统信息蒙受外部进犯时的防范与系统恢复措施等信息平安战略是当前信息化工作的重要内容。电力系统信息平安已成为电力企生产、经营和经管的重要组成部门，是电力系统平安运行和对社会靠得住供电的保障。电力系统信息平安是一项触及电网调剂自动化、继电庇护及安自装配、厂站自动化、配电网自动化、电力负荷控制、电力市场买卖、电力营销、信息网络系统等有关生产、经营和经管方面复杂的多领域年夜型系统工程。建立电力系统信息平安系统的一个关头问题是怎样实施实时监控系统(简称监控系统)与其它信息系统的联网。针对监控系统与其它信息系统互联而设计的“电力系统用网络隔离装配”，对提高监控系统对有可能致使电网平安事故的进犯、病毒、泄密等的防御水平，消除尽年夜部门的平安隐患，为电力系统信息平安、电网平安运行把好重要的关口，具有重年夜的意义。1网络情况1.1监控系统与其它信息系统的特点监控系统是指电网运行控制系统，它包括各级调剂自动化系统，对水、火电厂机组自动发电控制的电网AGC系统，继电庇护，故障录波，平安自动装配，火机电组DCS系统，水电厂计较机实时监控系统，电力系统光纤、数字微波、模拟微波等通讯系统等。监控系统类中的基于TCP/IP的数据营，速度要求不高，数据流基本恒定，但营实时性较强，其中远控远调更与电网平安直接相关，靠得住性要求较高；从运用范围来看，生产控制类营散布在各网省调及年夜发电厂和变电站，属于较特殊的一类窄带营。其它信息系统是指以电力信息主干网络为中心，辐射各发、供电、施工、修造等单元的计较机信息网络系统。其它信息系统类营突发性很强，速度要求较高，实时性不强，保密性要求较高，笼盖除生产控制类之外的所有数据营，其网络结构集中于行政办公中心，一般要求为宽带网络。1.2监控系统与其它信息系统互联情况近年来监控系统的内在有了较年夜的延长，其它信息系统的成长也很快。系统互联是生产经管的必然需要。今朝主要有串行口联接和网关毗连2种方式，按串行口联接基本不会带来进犯或病毒，但数据交互很不利便。是以，当前的监控系统与其它信息系统年夜多分分歧网段经由过程网联系关系接，可是其它信息系统平安性不够，对实时监控系统会带来一些平安隐患(如进犯、病毒、泄密等)，致使电网平安事故。2网络隔离2.1网络平安信息系统的平安主要包括5个层面，即物理平安、网络平安、系统平安、运用平安、人员经管。其中网络平安即网络上的信息平安，是指网络系统的硬件、软件及其系统中的数据遭到庇护，以免遭到破坏、更改、泄露，使系统接连靠得住地正常运行，网络服务不中断。广义来说，凡是触及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络平安所要研究的领域。网络平安触及的内容既有技术方面的问题，也有经管方面的问题，技术方面主要偏重于防范外部非法用户的进犯，经管方面则偏重于内部工钱身分的经管。2.2网络隔离国家保密局公布的“计较机信息系统联网保密经管划定”肯定，触及国家秘密的计较机信息系统，不得直接或间接地与互联网或其它公共信息网络相联接，必需实行物理隔离。电力生产事关国计平易近生，电力系统的平安很是重要，监控系统要求靠得住、平安、实时，而其它信息系统要求完整、保密。两种营应当有用平安隔离。今朝各级电力信息系统凡是在企Internet出口侧设普通防火墙，承当的是普通的网络隔绝距离使命。在此根蒂根基上对网络进行分层，能增强系统的靠得住性，具体实施是在监控系统与其它信息系统接进点设置用隔离装配，从物理上分为两级，以保证监控系统的平安，结构如图1所示。图1电力系统用网络隔离防火墙接进设置装备摆设用隔离装配提供了2个网络接口。除监控系统LAN接口、其它信息系统LAN接口，还门有一个控制口用来毗连一台用经管机，用于对装配进行设置装备摆设、经管。监控系统LAN区是不合错误外开放的区域，它只对其它信息系统LAN区提供部门服务，所之外部Internet用户检测不到它的IP地址，没法对它进行进犯。其它信息系统LAN区可以对外提供服务，系统开放的信息都放在该区，由于它的开放性，就有可能成为黑客进犯的对象，但由于与监控系统是隔脱离的，即使遭到了进犯也不会危及监控系统。3技术平台网络隔离装配的平安品级应高于防火墙，是以应选用今朝国内通用的Linux为根蒂根基进行年夜幅整改的用网络平安操作系统。通用的Linux操作系统虽然能提供多种多样的功能，但由于其开放性和自己含有平安破绽,是以极易遭到进犯,直接致使了受其庇护的网络的平安危机，而且这类通用操作系统的破绽是不竭被发现的，一经发现网上就会公布，响应的进犯法子也随着公布，致使终用户和制造厂商没法应付。是以对通用Linux应作以下方面的修改：取消危险的系统挪用或截获系统挪用,限制饬令执行权限,取消IP转发功能,检查每一个分组的接口,采用随机毗连序号,驻留分组过滤模块,取消动态路由功能,采用多个平安内核等。经由过程以上设计方式和实现技术，基于自力开发的用网络平安操作系统之上，网络隔离装配的运行效率很高，平安性能越。4运用介绍网络隔离装配软件包括以下模块：内核模块，隔离模块(含状态检测模块),NAT模块,带宽经管模块,通讯协议模块,图形用户界面模块(或Web界面模块),透明代办署理模块(属于NAT模块),透明模式模块(包括ARP代办署理子模块、路由转发子模块等),各电力系统运用代办署理模块(包括过滤模块),流统计模块,审计模块,其它模块(如MAC、IP地址绑定模块、简单的IDS、自我庇护)等。网络联接要求：监控网中主机(地址为10.43.10.233)可以单标的目的对其它信息系统DMIS前置主机(地址为192.168.2.66)传输层按TCP协议、端口为9000、运用层为用户自界说的通讯规约提供服务，而从经管角度其它所有的服务均不提供。凭据上述要求拟定网络隔离划定规矩，对单个非特权端口、协议、单标的目的、监视界说帧甲等联合平安策略控制，实现网络隔离。隔离装配将监控系统的平安性统一到其自己，网络平安性是在隔离装配系统上获得加固，而不是散布在监控系统网络的所有节点上，简化了监控系统平安经管。从而实现网络隔离装配的基本方针即作为一个中心“遏制点”，将监控系统的平安经管集中起来，屏障非法请求，避免跨权限会见，并发生平安报警。电网监控系统与其它信息系统进行网络隔离是电力系统网络平安的重要焦点，使用用平安操作系统的网络隔离装配已势在必行，同时也要建立周密的平安经管措施相配合，以确保电网监控系统和电力系统的平安。
|