07 中国华电集团公司信息安全应急预案

07 中国华电集团公司信息安全应急预案 附件4中国华电集团公司信息安全应急预案信息安全应急预案总则则【编制目的和依据】为保证中国华电集团公司信息网络的安全，保障各种业务应用系统的持续、正常运转，建立健全公司信息安全突发事件应急处理体系，根据集团公司相关要求及中国华电集团公司信息化建设管理细则及办法（华电信995号文），特制定本预案。 【适用范围】本预案适用于中国华电集团公司系统信息安全突发事件的指导和处置。 【遵循原则】本预案以“统一领导、分类管理、分级负责、响应及时”为原则。 【组织机构】集团公司系统逐级分别成立信息安全应急处理指挥部。 集团公司信息安全应急处理指挥部总指挥由分管副总经理担任，副总指挥由信息中心主任担任，成员由信息中心各处室负责人组成；指挥部下设办公室，办公室设在集团公司机房值班室。 值班电话010-51966116010-51966114应急预案流程程1.1应急服务流程当华电信息系统出现技术故障时，系统管理员将立即作出实质性响应，收集故障信息，以最快的速度分析故障原因，确定故障点，在根据故障类型和技术需求，进行故障排除，保证在尽可能短的时间内解决技术故障。 应急服务流程图如下1.2应急故障处理流程本流程规范应急故障处理过程，具体处理步骤如下事件报警及确认启动备用系统备用系统测试查明故障原因并予以解决写入广域网运行周报、归档成功否？否是否是事件报警与确认华电值班员巡检发现情况或客户投诉发现故障时，应由值班员首先确认是否发生故障。 在认定确为应急故障时，启用该应急预案。 启用备用系统值班员依据故障情况，采用技术应急预案中备用系统或备份手段解决突发故障，具体备用系统及处理方式见“技术故障应急预案”。 备用系统测试对备用系统进行测试，检查网络设备、链路故障等其他环节，保障备用系统的有效性。 查明故障原因并予以解决通过检查设备日志等分析事故原因。 对损失进行评估，追查事件的发生原因，依据事件发生得原因并予以解决。 写入系统运行周报、归档由信息中心形成事故分析报告，分析事故原因，修正预案处理流程并归档。 22技技术故障应急预案案针对华电集团公司现有网络与应用系统的情况，制定了详细的应急预案。 2.1网络系统应急预案2.1.1广域网线路故障 （1）故障确认方法首先确定故障原因是否出在广域网链路上。 在网管软件中看到链路中断后，先与该二级单位用户联系，确认用户是否将广域网接入路由器关闭或者由于其他原因路由器掉电。 一个简单的方法就是让用户从一台二级单位局域网内的电脑ping该单位Cisco3745路由器的F0/0局域口，如果能ping通，则说明该单位路由器没有问题，故障的确出在广域网链路上；如果不能ping通，则需要检查Cisco3745路由器是否掉电，用户是否将其关闭等之后再做处理。 （2）配合线路运营商网管排除故障通过上一步工作如果可以确定故障是发生在广域网链路后，则需要立即与线路运营商的网管人员联系，要求其网管人员对故障线路进行检查。 对于中电飞华的线路，只需告诉其技术人员故障线路是到哪个电厂的即可；对于中国电信的线路，需要向电信网管提交电路号。 线路运营商网管在检查出线路故障之后，需要在集团公司配合其工作，进一步确定故障点的范围。 线路运营商网管会在其线路光端机处由近到远逐级做环路测试，先让线路运营商网管在距离集团公司最近的光端机做环路测试，在本端核心路由器上可以看到故障线路是否有环路信号，如果能看到环路信号，说明从集团公司到刚刚做环路的光端机之间的线路正常，那么可以要求线路运营商网管再从稍远些的光端机再做环路测试，以此类推，直到发现无法看到环路信号，就说明故障点就在刚刚扩展的这段线路中，然后由线路运营商网管排查故障。 （3）排除结果记录出现故障后，按照合同规定，线路提供商应主动在故障发生30分钟内向集团公司信息中心报告故障情况，故障解决后向集团公司信息中心发送故障保修单，注明链路故障发生和恢复时间，信息中心工程师核对无误后，将相关邮件归档，月底根据这些邮件填写链路月运行情况表；如果没有在30分钟内给予答复，信息中心工程师负责给线路提供商打电话，通告故障，要求对方检查线路，故障解决后线路提供商负责向集团公司信息中心发送故障报修单，注明链路故障发生和恢复时间，集团公司工程师核对无误后，将相关邮件归档，月底根据这些邮件填写链路月运行情况表，具体单据如下表线线路故障报修工作单编号部门报告人联系电话线路提供商主要应用故障发现时间故障恢复时间故障等级故障发生频度故障现象集成商工程师意见线路提供商工程师意见初步诊断工程师（签字）解决结果及原因分析网络及安全管理处意见备注编号规则:年-事件编号,例如xx年第一次发生线路故障,编号为:xx-001.2.1.2本部路由器和交换机应急方案华电广域网采用两台CISCO路由器做接入。 其中A设备用于中电飞华的线路做接入，B设备用于中国电信的线路接入。 它们通过两台防火墙同集团公司局域网相连接。 由于华电广域网集团公司是整个华电广域网的核心，设计上突出冗余性。 如由于华电广域网集团公司是整个华电广域网的核心，设计上突出冗余性。 如集团公司两台核心路由器和核心交换机均配备了双引擎以及双电源，双引擎包括一个主引擎和一个备份引擎，双电源不分主备，平时都参与供电工作。 在两台交换机同中心局域网的连接上采用两台防火墙，并且对两台防火墙之间进行了热备，防止了单点故障。 在两台交换机之间采用了捆绑技术，这样既增加了带宽又提高了冗余性。 同时为每一个连接在交换机上的设备也提供了端口冗余。 集团公司的两台核心路由器分别接中电飞华155M线路和中国电信155M线路，其中接中电飞华线路的是A设备，接中国电信线路的是B设备。 两台核心路由器之间由两根光纤做了捆绑后连接进行数据传输，其端口分别时G6/1和G6/2，当任何一个连线出了问题都不会导致数据传输中断。 如果捆绑也出了问题，就将两台路由器之间的G5/2互相连接，用于应急。 2.1.2.1电源冗余核心交换机、核心路由器双电源，当路由器的某个电源故障失效后，剩余的电源会继续供电，路由器的正常工作不会受到某个电源失效的影响。 2.1.2.2交换机主引擎发生故障和路由器主引擎发生故障2.1.2.3Cisco的的A设备发生故障对于主防火墙采用了基于链路的检测。 对于连接到CiscoA设备的飞华线路需要手动地切换到CiscoB。 2.1.2.4两台Cisco路由器链路发生故障在两台Cisco路由器之间的连接上我们采用了两条千兆光纤做捆绑，以增加其冗余性和带宽。 两台Cisco上捆绑的端口分别为6/1及6/2。 当其中的一个端口状态是红色或黄色时，不会发生数据的中断。 2.1.2.5配置文件丢失或非法更改对华电集团各级技术人员强调系统备份工作的重要性，同时提供系统备份，使得信息中心技术人员掌握对于网络设备配置、各类关键数据文件等多种类型的系统备份与恢复步骤，技术人员可以独立或者在厂商技术人员的指导下利用事前的配置备份完成系统恢复工作。 2.1.3二级单位接入路由器应急方案本次工程中，对于二级单位接入路由器也采取了相应的应急方案，主要包括链路应急措施和硬件应急措施。 2.1.3.1部分单位冗余链路应急措施根据业务流量和实际情况，本次实施中对华电国际电力股份有限公司和股份有限公司（华电能源）采用了22M捆绑的链路连接方式。 这种连接方式可以保证集团公司与这两家单位之间的带宽，又做到了链路的冗余，即当某一条链路发生故障断开的时候，另外一条链路可以继续工作，保障集团公司与此单位通信不会中断。 2.1.3.2电源故障及应急处理措施3745路由器全部配有双电源模块对路由器进行供电，当路由器的某个电源故障失效后，剩余的电源会继续供电。 二级节点单位可通过电源显示灯的颜色辨别电源是否工作正常，正常情况电源指示灯为绿色，否则为红色或不显失，此时电源进入保修流程。 2.1.3.3二级节点单位FA0/0或或FA0/1端口发生故障本次工程接入路由器配置了两个10/100BASE-T的以太口，分别是FA0/0（用于局域网连接）和FA0/1（用于与视频会议终端连接），如果其中一个端口损坏而此时不能耽误某个业务，可通知中心互换两个接口的配置，实现某个业务能够快速恢复起来，同时进入设备保修流程（将模块拆除后送中心返修）。 2.1.3.4二级节点单位S0/00端口发生故障本次工程中接入路由器均配置了双口E1模块，如果S0/00发生故障，可以通过手工将S0/00配置转移到S0/10，具体操作步骤如下1）故障判断局域网无法与华电广域网无法连通，首先观察路由器上G.703端口状态灯，如果G.703端口状态灯是黄色，可以使用双通将BNC端数据线连通，如果硬件正常，黄灯会立即转变为绿灯，如果黄灯一直亮着并且show其状态却一直是down，则说明该端口出现故障。 2)清除s0/0:0的配置3）配置S0/102.1.3.5二级节点单位路由器与光端机连接G.703线缆发生故障首先需要确定故障，维护人员可以采用BNC双通将G.703线缆TX和RX环接起来，然后通过show interfaces0/0:0查看是否有LOOP信号，如果有则证明该线缆没有问题，如果没有则证明该线缆有问题，本次工程为每家二级单位配置了两条G.703线缆，还有一条剩余，此时可以用备用线缆先替换下损坏的电缆。 2.1.3.6二级节点单位4FXS接口发生故障及应急措施当接入路由器4FXS模拟电话无法拨出或接听，处理流程如下1）检查电话线是否连接正常可以取一台模拟电话到路由器端，直接接到FXS接口上，如果摘机后FXS端口灯变绿，则证明该端口没问题，问题在线路上。 2）检查路由器接口状态及配置二级节点派人到现场检查模块状态，如果在无拨号的情况下正常状态下所有端口状态灯都不会亮，如果出现黄色则证明该模块有问题，处置办法是首先将路由器掉电，然后将4FXS模块拔出重新插入，然后开启路由器，如果状态仍然有问题则必须与集团公司联系进行返修。 同时为最终解决该问题，需提醒用户对路由器进行接地处理。 3）如果端口状态正常，仍然有问题，可以通过TELNET命令查看路由器的配置是否正常。 2.1.4本部核心防火墙应急方案集团公司配置两台核心防火墙，两台防火墙之间用心跳线相连。 两台核心防火墙采用的是双机热备的配置方式。 在同一时刻只有一台防火墙F_A在工作，而另一台防火墙F_B处于监听状态。 一旦主防火墙F_A停止工作，监听机立即活动起来，变为工作状态；而停止工作的防火墙再次启动后则进入监听状态。 配置完成时首先处于工作状态的是F_A。 两台核心防火墙都配置了双电源模块，当防火墙的某个电源故障失效后，剩余的电源会继续供电，从而保证了防火墙不会受到某个电源失效的影响而无法正常工作。 2.1.5二级单位防火墙应急方案二级单位的防火墙是处于3745接入路由器和局域网核心交换机之间，二级单位的防火墙采用的是透明模式进行工作，这种工作模式下，防火墙对网络来说就像是“透明”一样，数据在进出防火墙时的IP地址是没有改变的。 所以一旦防火墙发生故障，可以跳过防火墙，直接用网线将3745路由器和二级单位的核心交换机连接起来，从而避免了因防火墙故障导致集团公司与二级单位通信中断。 在集团公司的备品备件库房中，有一台F300P的备件，如果二级单位防火墙出现故障，可以更换此台备件。 2.2视频会议系统应急预案2.2.1本部MCU应急方案2.2.1.1MCU电源故障及应急措施集团公司使用一台型号为MGC-100的MCU为整个广域网视频会议系统提供服务。 MCU有三个电源模块槽位，本次实施中配置了两块电源模块，当MCU的某个电源故障失效后，剩余的电源会继续供电，从而保证了MCU不会受到某个电源失效的影响而无法正常工作。 2.2.1.2H.323板卡故障及应急措施本项目MCU有三块H.323板卡，每块板卡支持24路视频会议终端接入，三块板卡共计支持72路视频会议终端接入。 目前已经使用65路终端接入服务。 经过统计得知第一块板卡使用了20路视频终端接入服务，第二块板卡使用了24路视频终端接入服务，第三块板卡使用了21路视频终端接入服务。 这样将65路视频终端接入服务分别加载在三块板卡，可以避免因单点故障导致全部视频服务均无法使用。 如果某块板卡出现故障，处理步骤如下步骤一重起板卡；步骤二只需要修改用户模块的服务板卡号就可以将此板卡上的重要单位的视频终端服务加载到其余两块板卡中，保证重点单位的视频会议不受到设备故障的影响；步骤三如果大型会议超过48家，这些单位如果要参加会议，可以采用就近的原则呼叫临近单位的视频终端VS4000，我们已经在各个二级单位的VS4000上做过相应设置，可以使无法通过MCU接入会议的单位通过临近单位的VS4000上联到华电集团视频会议；也可通过网络视频参加会议；步骤四在MCU图标上单击右键，弹出菜单选择FAULTS，打开系统日志，并通过SAVE TOFILE按扭将该日志存成文件，便于厂商诊断系统故障，如板卡损坏，进入保修流程。 2.2.2二级单位视频终端应急方案2.2.2.1视频终端硬件故障及对策集团公司的备品备件库房中有视频终端VS4000的备件，如果终端发生硬件故障无法使用，二级单位相应负责人可以联系集团公司，我们可以提供备件更换，避免影响二级单位参加视频会议。 2.2.2.2音频故障及应急措施1）呼叫中无音频，排除步骤如下步骤一确认音频线缆已正确的连接到扬声器上；步骤二远程站点处于静音状态，可按一次VS4000控制器MUTE键打开音频；步骤三利用VS4000诊断中的“产生音频”测试，如果正常发声则本地没有问题，如果通过以上排查任不能解决问题，则进行设备返修。 2）发言时听到回声，排除步骤如下步骤一确保话筒或全向MIC远离VS4000监视器的扬声器；步骤二关小VS4000监视器的扬声器音量，如电视机的音量、音箱的音量，直到没有回音为止。 3）呼叫期间音量不足，直接将VS4000或电视机的音量调大。 2.2.2.3视频故障及应急措施1）主监视器上无画面，排除步骤如下步骤一系统闲置一段时间后，系统进入休眠模式，拿起遥控器，唤醒系统；步骤二确认显示器（如电视机、投影）的线缆连接没有问题；步骤三系统重起，先开摄像头后开VS4000，摄像头转动两次；同时如果有中控系统，最好在VS4000视频源中重新选择摄像头。 2）画面抖动，排除步骤如下步骤一打开IE浏览器，敲入终端的IP地址；步骤二进入网络诊断界面查看丢包率，如果小于1%则不影响视频会议，如果大于1%则对视频会议有影响，此时需要联系线路提供商对该线路进行测试并解决线路丢包问题，系统维护人员可通过PING大容量的包（标准10000次1024BYTE的包）查看线路恢复情况；步骤三如果此时正在召开一个重要会议，在主会场可以通过MGC-100管理软件屏蔽其视频，避免其对整个视频会议的影响。 2.2.2.4配置丢失或非法修改二级单位使用的视频终端可以通过WEB方式进行管理，如果二级单位负责视频终端负责人员不慎将终端误操作，将其配置更(除IP地址设置外)改，且无法恢复原来正常配置，可以与集团公司维护人员联系，我们可以在集团公司通过WEB访问的方式对其进行重新配置。 2.3服务器及数据备份应急预案2.3.1服务器备份及应急方案区域序号应用服务主机备份系统区1CISCO日志服务器raid5磁盘数据冗余备份2邮件系统raid5磁盘数据冗余备份3系统网站用GHOST软件进行系统程序备份到本地4DNS系统系统重装5防病毒系统用GHOST软件进行系统程序备份到本地6邮件防毒系统用GHOST软件进行系统程序备份到本地7CITRIX单点登陆系统raid5磁盘数据冗余备份8公文交换网站系统重装9PIMS raid5磁盘数据冗余备份10法律法规网站raid5磁盘数据冗余备份11企业年金系统raid5磁盘数据冗余备份12MCU软视频系统raid5磁盘数据冗余备份13CTMX软视频系统raid5磁盘数据冗余备份14VOD点播系统raid5磁盘数据冗余备份15VOD录播系统不需要16电子地图;国际任务件raid5磁盘数据冗余备份17新OA系统unix双机备份18PIMS raid5磁盘数据冗余备份19PIMS磁带机备份20新OA系统备份用机备份用机21统计网站raid5磁盘数据冗余备份,开发商协助备份22结算中心系统重装总部区1内网网站raid5磁盘数据冗余备份2旧OA系统raid5磁盘数据冗余备份3新OA系统unix双机备份4档案管理raid5磁盘数据冗余备份5TJ-APP统计系统raid5磁盘数据冗余备份,开发商协助备份6TJ-DB统计系统raid5磁盘数据冗余备份,开发商协助备份7财务核算系统系统重装8财务信息管理系统拟采用双机备份9结算管理系统重装其他区1TOPSEC认证服务器raid5磁盘数据冗余备份2外网网站raid5磁盘数据冗余备份3SUN网管检测4局域网检测2.3.2数据备份及应急方案区域序号应用服务数据备份系统区1CISCO日志服务器不需要2邮件系统将用户列表文件导出到另一台服务器做备份恢复3系统网站在哈三电厂进行日备份4DNS系统备份DNS数据列表5防病毒系统不需要6邮件防毒系统不需要7CITRIX单点登陆系统备份OA数据库数据8公文交换网站暂委托开发商进行日备份9PIMS双机备份，磁带机备份10法律法规网站不需要11企业年金系统未上线12MCU软视频系统不需要13CTMX软视频系统不需要14VOD点播系统不需要15VOD录播系统不需要16电子地图;国际任务件无17新OA系统第三台windows备份unix的数据库数据18PIMS双机备份，磁带机备份19PIMS双机备份，磁带机备份20新OA系统备份用机不需要21统计网站暂委托开发商进行日备份22结算管理备份在本机不同分区总部区1内网网站暂委托开发商进行日备份2旧OA系统以文件夹形式每周循环备份到MAIL服务器硬盘上3新OA系统第三台windows备份unix的数据库数据4档案管理光盘备份5TJ-APP统计系统暂委托开发商进行日备份6TJ-DB统计系统暂委托开发商进行日备份7财务核算系统备份在本机不同分区8财务信息管理系统拟采用双机备份9结算管理备份在本机不同分区其他区1TOPSEC认证服务器备份SCM证书列表2外网网站暂委托开发商进行日备份3SUN网管检测不需要4局域网检测不需要2.4应用系统应急预案2.4.1系统报警事件及应急方案2.4.1.1事件描述数据库服务器、应用服务器平台软件或应用软件发生异常，系统产生了报警事件，但运行情况未受影响。 2.4.1.2应急处理方法应当立即查看系统事件日志，根据报警事件查找日志中相应内容。 通过对日志的分析，初步判断事件起因。 在不影响系统正常运行的情况下，尝试解决该报警事件。 解决报警故障后，应对事件日志继续观察，直至系统正常运行24小时为止。 如通过修复，系统仍然报警，则应当选择在适当的时间（例如下班后或周末休息时间）对服务器进行重启动操作，并及时通知系统用户重启操作的时间。 但在系统带病运行期间应当至少每2小时观察一次系统运行情况，并作记录。 2.4.2系统功能异常事件及应急方案2.4.2.1事件描述数据库服务器、应用服务器平台软件或应用软件发生故障，系统产生了功能异常。 2.4.2.2应急处理方法应当立即通知用户系统出现故障，系统功能已发生异常，暂时停止系统服务。 对于双机备用的系统来讲，应立刻将应用从故障服务器切换到正常运行的服务器上，故障服务器退出运行，最大程度保证