《中电联团准电力物联网配电网络安全防护技术规范》

ICS17.240

CSSK40T/CEC

中国电力企业联合会标准

T/CECXXXX—202X

电力物联网配电网络安全防护

技术规范

Technicalspecificationforcybersecurityprotectionofdistribution

fieldofpowerinternetofthings

（征求意见稿）

20XX—XX—XX发布20XX—XX—XX实施

中国电力企业联合会发布

T/CECXXXX—202X

II

T/CECXXXX—202X

电力物联网配电安全防护技术规范

1范围

本文件规定了电力物联网配电专业网络安全防护总体要求、安全防护框架，以及云平台、通信管网、

边设备、端设备、边界的安全防护及安全监测要求。

本文件适用于电力物联网配电领域网络安全规划设计、建设实施、测试验收、运行维护等相关工作。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文

件。

GB/T22239—2019信息安全技术网络安全等级保护基本要求

GB/T25069—2010信息安全技术术语

GB/T31167—2014信息安全技术云计算服务安全指南

GB/T36635信息安全技术网络安全监测基本要求与实施指南

GB/T36572—2018电力监控系统网络安全防护导则

GM/T0008—2012安全芯片密码检测准则

3术语和定义

下列术语和定义适用于本文件。

3.1

物联网internetofthings(以下简称“IoT”)

将感知节点通过互联网等网络连接起来构成的系统。

[来源：GB/T22239—2019，3.15]

3.2

电力物联网powerIoT

围绕电力系统各环节，充分应用移动互联、人工智能等现代信息技术、先进通信技术，实现电力系统

各环节万物互联、人机交互，具有状态全面感知、信息高效处理、应用便捷灵活特征的智慧服务系统，包

含感知层、网络层、平台层、应用层四层结构。

3.3

配电物联网powerdistributionIoT

电力物联网在配电领域中的应用体现。通过对配电网中低压设备的全域识别及设备间广泛互联，实现

配电网的全面感知、数据融合和智能应用。

3

T/CECXXXX—202X

3.4

云平台cloudplatform

云计算基础设施及其上的服务层软件的集合。

[来源：GB/T31167—2014，3.7]

3.5

边缘计算edgecomputing

靠近数据源端并采用网络、计算、存储、应用核心能力为一体的开放平台，其应用程序在边缘侧发起，

产生更快的网络服务响应，满足实时业务、应用智能、安全与隐私保护等方面的基本需求。

3.6

边缘计算设备（以下简称“边设备”）edgecomputingunit

具备边缘计算能力的配电终端设备，支持数据边缘处理和标准化建模，提供本地化服务；统一接入（智

能）传感器、表计、采集控制终端等端设备，实现对多种通信方式和协议规约的适配。

3.7

端设备terminalunit

配电物联网状态感知、指令执行的单元，具备通信能力，支持业务信息的收集及处理，并向边设备或

云平台提供配用电相关信息，可执行决策或控制命令。

3.8

通信管网communicationnetwork

配电物联网信息交互的通信网络，包括组网方式、通信协议，为云平台、边设备、端设备提供数据传

输的虚拟管道，实现云平台、边设备、端设备的信息交互。

3.9

容器container

一个虚拟的独立运行环境，能够通过对终端部分物理资源（CPU、内存、磁盘、网络资源等）的划分

和隔离，屏蔽其中的应用软件与其他虚拟独立运行环境或操作系统的相互影响。

3.10

安全芯片securitychip

含有操作系统和加解密逻辑单元的集成电路，可以实现安全存储、数据加/解密、双向身份认证、存

取权限控制等安全控制功能。

[来源：GM/T0008—2012，3.1.3]

3.11

身份认证certification

专用于确定传输、消息或发信方的有效性的安全措施，或者对接受特定的信息类别的个人授权进行验

证的手段。

[来源：GB/T36572—2018，3.13]

3.12

数字签名digitalsignature

4

T/CECXXXX—202X

附加在数据单元上的数据，或是对数据单元所作的密码变换，这种数据或变换允许数据单元的接收者

用以确认数据单元的来源和完整性，并保护数据防止伪造或抵赖。

[来源：GB/T25069—2010，76]

3.13

可信启动verifiedboot

一种基于可信根的、保护设备启动过程中引导程序和系统程序完整性的安全机制。

3.14

沙箱sandbox

在隔离环境中，用以测试不受信任的文件或应用程序等行为的工具。

3.15

网络诱捕networkdeception

一种通过网络动态变形技术，运用虚构主机、伪装等手段，对入侵者进行诱导进而捕获的主动防御技

术。

3.16

微应用micro-application

部署独立、通信轻量、支撑单一业务逻辑功能实现的软件功能模块。

4缩略语

下列缩略语适用于本文件。

DDoS：分布式拒绝服务（DistributedDenialofService）

HTTP：超文本传输协议（HyperTextTransferProtocol）

IDS：入侵检测系统（IntrusionDetectionSystem）

IPS：入侵防御系统（IntrusionPreventionSystem）

JDBC：java数据库连接（JavaDataBaseConnectivity）

MAC：消息认证码（MessageAuthenticationCode）

ODBC：开放数据库连接（OpenDatabaseConnectivity）

SNMP：简单网络管理协议（SimpleNetworkManagementProtocol）

Syslog：系统日志（SystemLog）

Telnet：远程登录协议（TeletypeNetwork）

5总体要求

5.1配电物联网安全防护措施应满足GB/T22239—2019第三级系统相关要求。

5.2应以业务需求为导向，防护范围涵盖云平台、通信管网、边设备、端设备各环节。

5.3应采用国家密码管理部门认可的证书体系，为配电物联网设备签发数字证书。

5

T/CECXXXX—202X

5.4应采用国家密码管理部门认可的密码算法，实现配电物联网云平台、边设备、端设备之间业务交互

的机密性、完整性和行为抗抵赖保护。

5.5应对云平台、通信管网、边设备及端设备的网络运行状态、安全事件等进行监测、审计。

6安全防护框架

6.1配电物联网安全防护框架见图1，且图中云平台、边设备、端设备、相关业务应用系统之间应采取相

应安全防护措施。

6.2云平台与生产控制大区之间应部署电力专用横向单向安全隔离装置，实现物理隔离；云平台与管理

信息大区其他业务系统之间应部署防火墙，实现逻辑隔离；

6.3云平台应部署安全接入服务，实现边设备、端设备接入云平台及业务交互的安全防护；

6.4云平台与边设备、端设备之间的接入边界处应部署专用安全接入网关、专用安全隔离装置、硬件防

火墙，实现边设备、端设备接入云平台的安全管控；

6.5边设备应支持配电物联网安全芯片，实现边设备的可信启动、密钥存储和密码算法支撑，实现边设

备与云平台、端设备、其他边设备及运维工具之间数据交互的完整性、机密性、可用性保护，支持对本地

存储数据的机密性、完整性保护；

6.6端设备应支持配电物联网安全芯片，实现端设备的密钥存储和密码算法支撑，实现端设备与云平台、

边设备之间交互数据的完整性、机密性、可用性保护，支持对本地存储数据的机密性、完整性保护；

6.7应具备安全监测、分析与告警功能。

图1配电物联网整体安全防护框架图

7云平台安全防护技术要求

7.1物理环境安全要求

6

T/CECXXXX—202X

云平台物理环境安全要求应遵循GB/T22239—2019中8.1.1条和8.2.1条规定。

7.2云平台自身的安全要求

7.2.1网络架构安全要求

网络架构安全要求包括但不限于：

a)应保证云平台不承载高于其安全保护等级的业务应用系统；

b)云平台内部应根据业务特点划分为不同的安全域，安全域之间应采用访问控制和技术隔离手段；

c)应具有根据云平台业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置

安全策略；

d)应具备入侵防范能力，能检测到针对云平台以及虚拟网络节点的网络攻击行为，并能记录攻击类

型、攻击时间、攻击流量等；能检测到虚拟机与宿主机、不同业务虚拟机与虚拟机之间的异常流

量；应在检测到网络攻击行为、异常流量情况时进行告警；

e)应具备安全审计功能，对远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重

启；应保证云平台管理人员对云平台业务系统和数据的操作可被云平台业务审计。

7.2.2计算环境安全要求

计算环境安全要求包括但不限于：

a)应具备访问控制功能，遵循GB/T22239—2019中条规定，保证当虚拟机迁移时，访问控

制策略随其迁移；

b)应具备入侵防范功能，遵循GB/T22239—2019中及条规定；

c)应具备镜像和快照保护功能，遵循GB/T22239—2019中条规定；

d)应使用密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必

要的恢复措施；

e)应具备数据备份恢复保护、剩余信息保护功能，遵循GB/T22239—2019中条规定；

f)云平台宜部署于经国家相关部门认证的安全加固操作系统上，采用用户名/强口令、动态口令、安

全介质、生物识别、数字证书等至少一种措施，实现用户访问控制；

g)云平台网络关键设备和网络安全专用设备应经国家或行业有关机构检测认证，防范设备存在恶意

组件或芯片；

h)云平台业务应采用经国家或行业有关机构检测认证的数据库、中间件等支撑软件；

i)云平台宜通过沙箱、网络诱捕等技术实现主动防御；

j)宜基于可信根对云平台服务器、网络设备、安全设备的系统引导程序、系统程序、重要配置参数

和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其

可信性受到破坏后进行告警或阻断等响应。

7.2.3应用软件安全要求

应用软件安全要求包括但不限于：

a)应用软件在部署前应经具备资质的检测机构的有效测试认证，测试认证内容包括但不限于整体安

全检测、代码安全检测、功能检测；

b)应用软件应修改帐户默认口令；应设置强口令，口令长度在8位以上，且由数字、字母和符号组

成；用户名和口令禁止相同，并定期更换；口令不得明文存储；

c)应提供访问控制功能，依据安全策略，控制用户对文件、数据库表等的访问，重要操作应采用权

限管理；

7

T/CECXXXX—202X

d)应具备覆盖每个用户的审计功能，对系统重要安全事件进行审计，审计记录应受到保护，避免受

到未预期的删除、修改或覆盖。

7.3云与边、端交互的安全要求

云与边、端交互的安全要求包括但不限于：

a)云与边、端交互的安全功能通过云平台安全接入服务实现；

b)提供安全接入服务的服务器应采用经国家相关部门认证的安全加固操作系统，采用用户名/强口令、

动态口令、安全介质、生物识别、数字证书等至少两种或两种以上措施，实现用户访问控制；

c)安全接入服务应支持对称密码算法及非对称密码算法，采用基于国家密码管理部门认可的密码算

法的加密卡实现密码运算；

d)安全接入服务应具备MAC计算、数字签名/验证、随机数生成、密钥生成及销毁、密钥导入与导

出等功能；

e)安全接入服务应支持对云平台与边设备、端设备之间基于数字证书的身份认证功能；

f)安全接入服务应支持对云平台与边设备、端设备之间交互数据进行加解密、数字签名及验证等操

作；

g)应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计

相关的信息，应对审计记录进行保护。

7.4运维安全要求

云平台的运维安全要求包括但不限于：

a)应禁止远程运维云平台；

b)本地运维时，应对运维设备进行身份认证，并对运维过程进行安全审计。

8通信管网安全防护技术要求

8.1远程通信管网安全防护技术要求

远程通信管网包括云平台与边设备、端设备之间的通信网，其安全防护要求包括但不限于：

a)应部署专用安全隔离装置，实现云平台与边设备、端设备之间的物理隔离、协议过滤、非法IP

过滤等；

b)应部署防火墙，实现云平台与边设备、端设备之间的逻辑隔离；

c)应部署专用安全接入网关；

d)云平台侧宜部署抗DDoS服务器，应部署IDS/IPS等安全防护设备；

e)可基于可信根对专用安全隔离装置、专用安全接入网关等安全防护设备的系统引导程序、系统程

序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态

可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。

8.2本地通信管网安全防护技术要求

本地通信管网包括边设备与端设备之间的通信网，应具备入侵防范功能，遵循GB/T22239—2019中

条规定。

9边设备安全防护技术要求

9.1物理环境安全要求

8

T/CECXXXX—202X

物理环境安全要求应遵循GB/T22239—2019中8.1.1、8.3.1、8.4.1条规定，具备防火、防盗、防破坏等

硬件防护能力。

9.2边设备自身安全要求

9.2.1硬件层距离防护

边设备硬件层应支持国家密码管理部门认可的密码算法的配电物联网安全芯片，并通过安全芯片实现

密钥生成、存储和使用。

9.2.2系统层

系统层的安全防护要求包括但不限于：

a)宜对操作系统进行安全加固，裁剪不必要的功能；

b)应支持操作系统端口禁用、服务禁用、补丁更新、版本安全升级等功能；

c)应关闭边设备的调试接口，防范软硬件逆向攻击；

d)应鉴别软件更新包的来源，对更新文件进行完整性校验；

e)应具有备份和恢复能力，防止更新异常导致系统失效；

f)应基于可信根对边设备的系统引导程序、系统程序进行可信验证，在检测到其可信性受到破坏后

进行响应；

g)应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计

相关的信息，应对审计记录进行保护。

9.2.3应用层

应用层的安全防护要求包括但不限于：

a)业务微应用应经授权机构进行统一的数字签名，安装前应验证签名的有效性；

b)容器及业务微应用的安装、控制、参数配置类操作指令应采用基于数字证书及密码管理部门认可

的非对称密码算法实现完整性和可用性保护，采用追加随机数或时间戳等新鲜性标识信息实现抗

重放保护；

c)应实现对关键性数据存储的机密性、完整性保护，宜实现对一般性数据存储的完整性保护；

d)应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计

相关的信息，应对审计记录进行保护。

9.3边与云、端交互的安全要求

边与云、端交互的安全防护要求包括但不限于：

a)应采用设备唯一标识和数字证书相结合的方式，实现边设备接入云平台时的双向身份认证；

b)应采用基于国家密码管理部门认可的对称密码算法实现对所有云、边间的业务及管理交互数据的

机密性保护；

c)应根据业务数据的重要程度，设置不同的安全防护措施：对于控制类等关键业务数据采用基于数

字证书及密码管理部门认可的非对称密码算法实现完整性和可用性保护，采用追加随机数或时间

戳等新鲜性标识信息实现抗重放保护；对采集类等一般业务数据采用MAC校验技术实现完整性

保护；

d)应对重要行为和重要安全事件进行审计，包括事件的日期和时间、用户、事件类型及其他与审计

相关的信息，应对审计记录进行保护。

9.4运维安全要求

9

T/CECXXXX—202X

边设备应采用专用运维工具，安全防护要求包括但不限于：

a)应采用基于唯一标识和数字证书相结合的身份认证技术，实现对运维工具的身份认证；

b)运维工具应采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少两种措施组合

的访问控制措施；

c)数据交互过程中，应采用基于国家密码管理部门认可的对称密码算法实现机密性保护。

10端设备安全防护技术要求

10.1物理环境安全要求

端设备的物理环境安全要求应遵循GB/T22239—2019中8.1.1、8.3.1、8.4.1条规定，具备防火、防盗、

防破坏等硬件防护能力。

10.2端设备自身安全要求

10.2.1硬件层

端设备硬件层应支持国家密码管理部门认可的密码算法的安全芯片，并通过安全芯片实现端设备的密

钥生成、存储和使用。

10.2.2系统层

具备操作系统的端设备系统层的安全防护要求包括但不限于：

a)宜对操作系统进行安全加固，裁剪不必要的功能；

b)应支持操作端口禁用、服务禁用、补丁更新、版本安全升级等功能；

c)应关闭端设备的调试接口，防范软硬件逆向攻击；

d)应具有备份和恢复能力，防止更新异常导致系统失效；

e)宜基于可信根对端设备的系统引导程序、系统程序进行可信验证，在检测到其可信性受到破坏后

进行告警或阻断等响应。

10.2.3应用层

端设备应用层安全防护要求包括但不限于：

a)对于支持容器和微应用的端设备，应遵循本文件9.2.3a)条规定；

b)应采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户

对应用的访问控制。

10.3端与边、云交互的安全要求

端与边、云交互的安全防护要求包括但不限于：

a)应采用设备唯一标识和数字证书相结合的方式，实现端设备接入边设备或云平台时的双向身份认

证；

b)应对业务交互数据采用基于国家密码管理部门认可的对称密码算法实现机密性保护；

c)应根据业务数据的重要程度，设置不同的安全防护措施：对于控制类等关键业务数据采用基于数

字证书及密码管理部门认可的非对称密码算法实现完整性和可用性保护；对采集类等一般业务数

据采用MAC校验技术实现完整性保护。

10.4运维安全要求

端设备的运维安全要求应遵循GB/T22239—2019中8.4.4条规定。

10

T/CECXXXX—202X

11边界安全防护技术要求

配电物联网的典型边界见图2，边界描述见表1。

图2配电物联网边界划分示意图

表1配电物联网边界描述表

名称描述

①