向家坝升船机网络安全概述

叶子蜻

摘 要：本文从技术和管理两个角度介绍了向家坝升船机网络安全相关情况，以及向家坝升船机信息系统相关安全设备及管理制度等。

关键词：升船机;网络安全;技术;管理

中图分类号：U642             文献标识码：A            文章编号：1006—7973（2020）09-0053-03

近年来，随着全球网络信息系统攻击事件爆炸式增加，对信息系统进行网络攻击的手段不断升级，全球网络安全形势日益严重。随着电力监控系统安全防护工作的推广实施，电力系统的网络安全事件却极少发生，表明了电力系统安全防护体系作用极为有效，显著提高了我国电力系统抵御网络攻击的能力，有效保障了电力系统的网络安全。向家坝升船机作为向家坝电站全电站管理模式下的一个重要板块，升船机信息系统的网络安全建设完全参照了电力监控系统网络安全建设标准执行。根据《电力行业信息系统安全等级保护基本要求》，主要分为技术和管理两大类要求，本文主要围绕技术和管理两个方面，对向家坝升船机网络安全进行概述。

1 网络安全概述

网络安全为信息系统在网络环境下的安全运行提供支持。确保了网络设备的安全运行和网络数据传输的可用性、保密性和完整性等，提供了有效的网络服务。网络是保障生产控制类业务稳定运行的基础设施，网络安全事故会使得网络传输的数据可用性、保密性和完整性遭受极大破坏，因为必须加以防护。网络安全的重点工作之一是保障网络边界安全，结合《电力监控系统安全防护规定》中网络安全分区、横向隔离和纵向认证等具体要求，严格落实安全策略;另一个重点工作是对网络内部各类安防设备、策略、机制、控制措施进行规范要求，从而抵御各种网络攻击行为。网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等，具体的控制点包括：网络结构安全、入侵防范、恶意代码防范、访问控制、安全审计、边界完整性检查、网络设备防护七个控制点。

2 网络安全技术

2.1  物理安全

根据《电力行业信息系统安全等级保护基本要求》，物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）、设备和介质的防盗窃防破坏等方面。具体包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护十个控制点。对机房按照定级要求进行建设需满足防火、防水和防潮、温湿度控制、门禁等相关要求。对定级为三级系统的机房，如升船机监控系统机房，加装有静电地板、精密空调、水浸传感器、UPS不间断电源、光电报警装置，设置门禁刷卡准入及进出机房的台账记录等;对定级为二级系统的机房，如升船机通航调度系统、通航安全系统、火灾报警系统等，给机房加装静电地板、精密空调、光电报警装置，设置门禁刷卡准入及進出机房的台账记录等。

2.2 防火墙

防火墙技术是一种计算机硬件和软件的组合，在内外网建立起安全网关，通过访问控制，可以有效阻止非法的信息传递。同时对进出网络边界的数据进行保护，防止恶意入侵、恶意代码的传播等，保障内部数据的网络安全。升船机信息系统防火墙主要在不同分区与不同系统之间设置进行网络隔离，如计算机监控系统、图像监控系统与火灾报警系统之间，通航安全系统和通航调度系统之间分别设置防火墙。采用的应用网关防火墙，它的逻辑位置在应用层协议上，技术上采用应用协议代理服务实施安全策略，对应用层提供访问控制。

2.3 内外网隔离装置

内外网隔离装置又名安全网闸，通过多种控制功能的固态开关隔离两个独立主机系统的信息安全设备。由于主机系统之间通过网闸进行隔离，不存在物理连接、逻辑连接及信息协议传输和信息交换，而只有以数据文件形式进行的无协议摆渡。因此，网闸从逻辑上有效隔离、阻断了对内部的网络攻击，使攻击者无法直接攻击内网，保障了主机系统的安全（见图1）。在升船机信息系统中，主要采用内外网隔离装置将升船机上层管理网与级间控制网进行隔离，确保信息系统安全。

2.4 运维审计系统

运维审计系统又名堡垒机，是一种针对系统用户运维操作进行控制、审计的安全系统。它通过对用户身份、账号，以及资源的集中管理，建立“用户—资源—账号”对应关系，实现用户对资源的统一授权，同时，对授权人员的运维操作进行记录、分析，帮助操作事前规划、事中监控、违规行为响应、事后报告、事故回放，加强操作行为监管，避免核心资产（服务器、安全设备、网络设备等）损失，保障业务系统的正常运营。升船机运维审计系统布置在计算机监控系统和通航安全系统上。用旁路网络可达的方式部署在主干网交换机上（见图2），保证运维审计系统与各个管理资产网络连通，在运维审计系统添加相应的资产配置资产的用户名密码，实现对相应资产运维人员的运维过程监管。

2.5 安全审计系统

安全审计系统又名日志审计系统，通过实时采集网络中用户资源（安全设备、主机、网络设备等）、操作系统以及各种系统产生的日志信息，并将这些信息汇总到日志审计中心，进行集中备份、存储、审计、告警、响应，获取全网安全运行态势，实现设备的全生命周期日志管理（见图3）。升船机日志审计系统布置在计算机监控系统和通航安全系统上，采用B/S架构，对各项资产进行syslog配置，获取安全设备（如防火墙、入侵检测系统、隔离装置等）、调度数据网设备的安全事件信息，对网络安全事件信息进行集中分析、过滤、处理、保存，为设备的日志审计提供保障。

2.6 入侵检测系统

入侵检测系统又名IDS系统，可以根据采集被监测的系统中相关信息数据流，比对攻击类型数据库，找出入侵攻击的存在。升船机入侵检测系统主要布置在计算机监控系统和通航安全系统上，实现对升船机计算机监控系统和通航安全系统的入侵风险检测。以监控系统为例：入侵检测系统的探测引擎为一个独立的监听端口，入侵检测系统控制中心安装在一台安全服务器上。在核心交换机上对入侵检测系统业务口端口做流量镜像，将核心交换机上其他接口的流量镜像到入侵检测系统的端口，由于入侵检测系统属于旁路部署，不会造成网络阻断，所以入侵检测系统在保证现有系统网络安全的前提下不会对现有生产网络产生影响（见图4）。

2.7  终端安全防护软件

向家坝升船机信息系统安装的终端安全防护软件又名内网安全风险管理与审计系统，所有策略集中放在升船机安全服务器上，开放了配置用户的界面，管理员从Web登录到安全服务器，进行策略配置，报表查询（见图5）。其客户端位于监控系统两台操作员站上，执行策略的检查、从安全服务器上读取规则、向安全服务器发送报表等，当用户不满足策略条件时，向用户提示相关信息，实现对操作员站平台管理、桌面管理、准入管理、桌面运维等功能。

2.8  主机加固策略

根据中国长江电力股份有限公司《Windows主机加固规范操作手册》，需对Windows操作系统做安全配置，符合GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T 20272-2006《信息安全技术操作系统安全技术要求》这两个规范性文件要求。其中包含：补丁管理、账号密码策略、认证授权、日志审计、网络服务、可移动存储访问策略、IP协议安全、网络病毒管理、端口服务管理等策略，对生产控制大区和管理信息大区的Windows主机进行主机加固，增强主机安全防护等级。

3 网络安全管理

3.1 制度建设

为了“树立正确的网络安全观、加快构建关键信息基础设施安全保障体系”，向家坝电厂升船机部借鉴了2013年以来国家、行业、公司及电网对水电站工控网络安全的制度要求，结合现场生产实际情况，编制了《升船机部网络安全管理制度汇编》。将网络安全建设制度化、规范化。内容涵盖了《向家坝升船机机房日常维护工作规范》、《向家坝升船机便携式计算机和移动介质管理制度》、《升船机部计算机病毒防治管理办法》、《向家壩升船机部计算机软件管理制度》、《向家坝升船机部账户及密码管理制度》、《向家坝升船机机房消防安全管理制度》和网络安全保密要求、网络安全考核等方面的规定，将升船机网络安全管理制度化。梳理出针对网络安全保障的定期工作，如：定期修改信息系统密码 、定期进行病毒查杀、定期进行数据备份等，按照规定时间建立相应的电子台账或纸质记录。

3.2 应急预案

制定网络安全事件应急预案和应急处置方案，对可能发生的网络安全事故进行事故预想，并定期演练。升船机部编制了《向家坝电厂升船机监控系统网络安防事故现场处置方案》、《向家坝电厂升船机通航安全系统网络安防事故现场处置方案》、《向家坝电厂升船机通航调度系统网络安防事故现场处置方案》三个应急处置方案和《升船机部防特权账户滥用的应急处置流程》一个应急预案。规定了升船机发生网络安全事故时的报警、应急措施启动、现场处置、事故控制和人员救护等方面应急处置措施以及注意事项。在现场处置方案中，根据网络安全事故的发生原因、性质和机理，将网络安全事故主要分为攻击类事件、故障类事件、灾害类事件三类进行事故预想。就可能出现的故障分为了网络设备异常、硬件故障、软件故障三类制定相应的应急措施、物资准备和组织职责。

4 结语

向家坝升船机信息系统网络安全建设按照目前的网络安全定级标准已经建设完成，这只是目前网络安全工作一个新的开始。后续继续做好整个信息系统的网络安全维护工作，严格按照制定出的管理制度实施是保障向家坝升船机信息系统网络安全的重要手段。

参考文献：

[1]国家能源局. 《电力行业信息系统安全等级保护基本要求》释义[M]. 北京： 电子工业出版社，2014. 15-17.

[2]发改委[2014]14号， 《电力监控系统安全防护规定》 [S].

[3]电监信息[2012]62号， 《电力行业信息系统安全等级保护基本要求》[S].