电力调度二次系统安全防护方案研讨.ppt

《电力调度二次系统安全防护方案研讨.ppt》由会员上传分享，免费在线阅读，更多相关内容在PPT专区-天天文库。

1、电力调度二次系统安全防护解决方案日期：2008-08-28杭州华三通信技术有限公司电力调度安全现状分析H3C电力调度二次系统安全防护解决方案H3C安全简介H3C电力典型应用案例电力信息系统电力调度系统出口出口调度中心电厂变电站控制系统外部因特网电力二次业务层次电力二次业务包括满足电力生产、经营和管理各环节的必备和必要的所有关联信息系统,用于承载这些业务的电力数据网络主要包括电力调度系统数据网络和电力综合数据通信网络。这两大网络级别与电网五级控制模型相吻合,在两个网络平台上承载了电力调度系统（EMS/SCADA）

2、、电量自动计量系统(TMR)、保护及负荷控制管理信息、办公自动化（OA）、MIS系统、电力市场和营销系统、、配电管理系统（DMS）和呼叫中心（CallCenter）等电力行业信息应用系统。调度二次安全防护发展过程第三阶段:策略防护阶段2008-第二阶段:技术防护阶段(2002-2007)第一阶段:简单防护阶段(2002年以前)Welcome.Password:Welcome.Password:Welcome.Password:现阶段调度二次安全防护概况调度数据网采用VPN技术实现不同安全区业务的隔离厂站业务实现

3、I/II区的横向隔离调度主站实现I/II区的横向隔离DMIS/OMS通过升级改造实现专网专用,在确保电网控制安全的前提下实现初步的生产数据抽取与共享部署防火墙或纵向加密认证加密装置采用网闸实现生产控制与管理大区的数据摆渡电力二次系统安全防护总体策略4、纵向认证3、横向隔离电力通信/信息网或发电信息网控制区生产区管理区信息区电力调度数据网生产控制大区管理信息大区防火墙2、网络专用1、安全分区现阶段存在的潜在风险分析技防为主,策略不明生产网络终端非严格受控接入生产网络非法外联无法有效监控弱口令移动存储介质的滥用补丁

4、升级不及时防不胜防的网络病毒网络行为审计机制未严格贯彻没有统一的安全事件分析机制BCP/DRP流程有待完善电力调度安全现状分析H3C电力调度二次系统安全防护解决方案H3C安全简介H3C电力典型应用案例生产控制区边界安全防御端点准入防御系统EAD端点准入防御系统EAD控制区非控制区信息区管理区管理信息区物理隔离SPDnetSPTnet或InternetH3C电力二次防护安全解决方案H3CIPS/IDS4－7层防御H3CIPSSecPathFW1－4层防护SecPathFWSecCenterFWACGIPS/IDS

5、IPSFWFWSecCenterH3C电力调度策略防护解决方案概览SecPath防火墙安全管理中心SecCenter智能网管中心iMC安全管理平台EADEADEADSecPathIPS/IDSSecBlade服务器区方案描述制定策略网络基础设施加固终端接入软件：进行身份认证和和终端安全状态评估安全防护设备：及时发现或阻断来自I/II及III区的攻击，同时上报安全管理平台，并与之联动安全管理平台：对网络和安全设备统一管理，并提供整网审计报告SGDnet-1/2SGDnet3/4围绕总体策略部署点(接入端点)、线(

6、安全联动)、面(管理平台)相结合的纵深防御电力调度纵深防御总体安全防护策略满足现有电力二次安全防护规范的基本策略对调度一区EMS/SCADA进行重点保护对厂站RTU的接入设备进行重点防护调度网内禁止所有与业务无关的协议及应用横向和纵向通过关闭空闲调度数据网络端口对同一安全区内不需要横向访问的终端实施端口隔离对调度应用终端通信服务器实现强安全准入检测建立非法外联监控告警机制部署安全事件统一分析及行为审计系统对重要业务系统实施异地灾备(EMS历史数据/TMR/DMIS)建立规范统一的应急相应机制与流程目标:建立基

7、于策略的统一监控和应急联动平台点:通过终端策略准入实现线:安全分析中心及用户行为审计实现面:通过智能管理中心实现接入终端设备省电力调度接入设备防病毒服务器CAMS服务器补丁升级服务器省电力调度安全策略服务器全方位安全准入解决方案电力调度内网控制解决方案省电力公司SwitchRouterFW不合格进入隔离区强制加固隔离区安全认证合法用户非法用户拒绝入网身份认证接入请求企业网络动态授权合格用户不同用户享做不同的网络使用权限你是谁？你安全吗？你可以做什么？预防：终端安全接入响应：安全事件联动核心交换机安全管理中心Se

8、cCenter智能网管中心iMC安全管理平台2、设备自动处理后，同时将日志上报给安全管理平台。5、iMC对该用户进行告警、下线等处理EADEADEAD1、用户进行非法或非授权行为告警SecBlade补丁/病毒库/安全代理服务器IPS防火墙3、Seccenter根据预定策略，将需要联动的告警通过iMC进行下发服务器区告警告警电力调度数据中心安全解决方案SecBladeAFCSecBlad