智能变电站通信网络安全技术探究

1、智能变电站通信网络安全技术探究摘要：文章通过分析智能变电站现有iec61850体 系的结构，针对安全问题和需求，提出了总体设计方案来加 强变电站网络安全性。主要包括网络准入系统和运维审计系 统，对两者的理论和实现进行了研究讨论，为智能变电站信 息化安全建设提供了一种解决办法。关键词：iec61850协议；网络准入；运维审计；部署 实现引言目前，智能变电站系统基本都采用了 iec61850规约统 一建模，为保证变电站系统的数据安全和正常运行，国家电 网公司逐步部署了一些网络安全设备和相关管理办法，加强 智能变电站信息系统自动监测和安全防护工作。1研究现状1.1现状分析在iec61850规约中，将

2、智能变电站系统划分为站控层、 间隔层、过程层三个层面。其中，站控层、间隔层设备构成 与常规综合自动化变电站差异不大，但功能及网络结构发生 了较大的变化，主要是实现了信息统一建模，统一了数据模 型，实现设备之间的互连互通。过程层（设备层）主要是电 子互感器及合并单元，配置智能化一次设备。1典型的智 能变电站系统网络部署逻辑结构示意图如图lo图1智能变电站系统网络部署逻辑结构1. 2网络安全问题分析由于智能变电站内部工作人员，运维人员较少，站内系 统的网络与计算机系统故障无法及时处理，需要各系统厂家 人员至现场进行调试，导致站内网络接入员管控难。智能变电站内系统网络与计算机系统缺少准入管控手 段，

3、对于接入各层网络进行运维调试操作的设备尚没有规范 的管控手段；智能变电站内系统运维操作没有审计管控手段，内外部 人员、第三方人员接入网络进行测试、调试和运维操作缺乏 技术管控、审批和核实手段。1. 3需求分析目前，变电站安全防护措施很少，主要是严格按照电力 二次系统安全防护相关规定2。变电站的运行管理部门， 运维检修部对网络安全认识不足，特别是对工业控制网络存 在的安全隐患了解很少。变电站层主机、交换机网络访问接 入控制缺乏技术手段与管理措施。3若运维人员接入内网 的设备感染病毒，可成为攻击变电站的跳板，能导致监控后 台、保护测控的全面瘫痪。2总体设计针对智能变电站站内运行安全管理所面临的问题

4、，构建 站内运维管理机制。基于准入系统和运维操作审计，构建站 内工作审批、审核和校核的工作机制，减小误操作、违规操 作对变电站内的影响。2.1加强对站内网络的接入控制，实现对所有设备网络 接入的准入控制。通过准入控制系统，确保向在运行的站内 网络接入任何设备时，都需要进行准入审批。只有经过身份 验证、健康检查的设备才能接入站内系统。2.2加强对站内运行操作的审计与管控，实现对所有站 内设备运维操作的记录和审核。通过运维操作审计系统，确 保在站内进行运维操作的人员获得授权，确保运维操作有记 录可审核。3准入系统准入控制系统是确保，在运行的站内网络接入任何设备 时，都需要进行准入审批。只有经过工作

5、核准、健康检查的 设备才能接入站内系统开展工作。准入控制系统以分布式部署、集中管理为基础设计思 想，范围界定于终端用户信息管理、终端设备信息管理、终 端健康管理、监测设备管理、网络设备信息管理、ip管理六 大业务内容，实现一体化平台基础上统一的准入控制系统监 测平台。主要功能如下：3. 1主机健康检查终端首次接入网络时，强制下载主机健康检查插件，扫 描终端健康状况，检查规定软件是否安装到位，特征库是否 及时更新。对不合规终端放入隔离区，禁止与内网通讯。这 样既确保终端设备的安全性，又保证了信息内网的安全。3.2实名准入控制web界面强制认证，对网络内的用户进行统一帐号管理, 对用户访问网络资源

6、时进行统一认证、统一授权和对用户访 问网络的行为进行事后统一审计。事后统一审计包括记录用 户何时、通过哪台终端、以何种方式接入网络，访问了或试 图访问了哪些资源，并于何时退出网络，管理员可以方便的 查询任意一个或者一批用户的活动记录并生成相应的报表。3. 3原有认证对于已有用户认证机制的网省公司，如ad域、ed、802. lx 或radius认证等，监测子系统在不改变原有认证服务的情 况下，实现与已有认证服务器用户信息的联动。监测子系统 在用户认证过程中只承担认证转发和读取功能，这样既保持 原有认证机制，又能实现新的监测系统的用户认证。3.4 ip统一管理对固定ip实行中心下发的管理方式，可以

7、防止用户私 改ip、私设ip。在动态ip环境下，还随时定位到人。对每 个人不同时候得到的ip进行审计。并可以图形化显示交换 机所有端口使用状况，如：有无终端通信、端口下接几个终 端、各自的ip地址/mac/用户id等。定位ip接入网络的交 换机及端口。4审计系统运维操作审计系统是用于确保在站内进行运维操作的 人员获得授权，确保运维操作合法合规，并有记录可追溯审 核。4. 1自然人审计由于网络及应用的复杂化，孤立的设备日志无法直接与 用户身份关联在一起，不利于问题分析、处理。通过有效的 关联，准确地判断出用户的身份和属性，从而将操作行为和 自然人进行对应。平台需要将系统层的日志、数据库日志、应用层的日志 及网络数据和实际用户关联起来，对不同用户之间的操作的 日志进行关联审计，区分不同用户行为。4.2资源审计资源审计主要实现对审计