2026新能源电力监控系统网络安全防护及功能升级建设方案

二〇二零二六年十月编制说明一、为贯彻《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《电力监控系统安全防护规定》（国家发展和改革委员会令2024年第27号）等法律法规和标准规范要求，落实网络安全等级保护制度和关键信息基础设施安全保护制度，坚持“安全分区、网络专用、横向隔离、纵向认证”的结构安全原则，强化安全免疫、态势感知、动态评估和备用应急措施，结合新能源集控中心及所辖风电场、光伏电站电力监控系统网络安全防护和集控系统功能升级需要，编制本方案。二、本方案为面向新能源发电企业的通用建设方案，适用于方案论证、技术审查和工程实施参考。实际工程应结合企业组织架构、场站装机规模、网架结构、调度关系和监管要求，在经审批的网络安全管理制度和安全防护方案范围内细化实施。三、本方案所涉及的设备数量、功能模块、估算价格等为参考性描述，具体以可行性研究批复、采购询价和设计文件为准。四、本方案有关安全分区、边界防护、配置参数等原则性内容如与电力调度机构及能源监管部门最新要求不一致，从其最新规定。五、本方案插图均为示意性资料，仅用于说明体系架构与部署逻辑，实际网络拓扑和设备清单以设计文件及现场实际为准。TOC\o"1-2"\h\z\u4759第一章概述 9270011.1编制背景 996171.2编制依据 9160001.3建设范围 1176111.4建设目标 1133051.5建设原则 11143241.6内容概述 12121601.7编制说明 1230594第二章现状与需求分析 1424292.1新能源电力监控系统现状概述 14296222.2网络安全防护现状分析 14312292.3存在的主要问题与风险 15266302.4政策法规与监管要求 15277082.5网络安全威胁形势 16168552.6建设需求分析 1629378第三章总体设计方案 183753.1设计思路 1833023.2总体架构 18123233.3安全分区规划 19289943.4横向隔离 20315023.5纵向加密认证 21197423.6安全接入区 22173433.7网络安全监测预警与态势感知 23102013.8可信验证与安全免疫 24144033.9等保2.0三级合规设计 25211983.10部署规模与配置原则 2623043第四章集控中心网络安全管理平台建设 27208214.1建设目标与定位 27205444.2平台体系架构 27168404.3平台功能设计 2829514.4数据采集方案 29224534.5对外接口与数据联动 30106454.6平台软硬件配置 31145054.7既有设备适应性改造 3117793第五章场站侧网络安全监测能力建设 32225775.1建设目标 32323015.2场站网络安全监测装置部署 3253795.3主机代理（Agent）部署 3334065.4网络设备与安防设备采集接入 33103625.5场站第三方边界防护 34234255.6就地终端通信安全 34170835.7场站监测应急与运行管理 358782第六章可信验证与主机安全 36167066.1可信验证体系设计 36294516.2可信根与可信基准库 3668316.3可信验证功能设计 37291736.4可信验证管理模块 38127996.5性能与兼容性要求 38202226.6主机安全加固 3852766.7恶意代码防范体系 394639第七章运维安全管理与审计 404927.1运维安全现状与风险 40161807.2便携式运维网关部署 40137327.3账号、认证与授权管理 4187857.4行为管控与风险阻断 4247127.5行为记录与审计 42147797.6运维流程与工单化管理 4220269第八章数据安全防护 44220218.1数据安全总体要求 44285818.2数据分类分级与标识 44197718.3传输与存储安全 44220868.4访问控制与防泄漏 45128498.5备份与容灾 45255988.6日志管理与合规留存 46158328.7关键信息基础设施数据保护 4625268第九章应急响应与保障 4772549.1应急预案体系 47308489.2应急组织与职责 479579.3网络安全事件处置流程 4746169.4应急演练 48270269.5重保时期保障 4825701第十章集控系统功能升级建设 49551310.1功能升级总体思路 492750810.2升压站五防功能 4979910.3设备挂牌管理 501217010.4站内消防系统集中监视 502072510.5振动监测功能 511379010.6保信与故障录波监视 511334010.7应急指挥系统 512282010.8两票系统 522219810.9集控数据完整性治理 5229747第十一章工程实施与项目管理 53116811.1实施原则 532219011.2实施组织与分工 532397311.3实施流程 533174211.4实施计划 531783611.5测试联调与预验收 543255011.6试运行与竣工验收 541666911.7变更与风险控制 5423097第十二章运行维护与持续改进 561313612.1运行维护组织与职责 561394412.2日常运维管理制度 562013212.3漏洞与补丁管理 563133012.4安全防护评估与安全监测 572017712.5持续改进机制 5727963第十三章测试验收与安全评估 58583813.1验收依据与标准 581736213.2功能与性能测试 582226613.3安全防护评估 581858713.4等保测评 591775913.5验收流程与文档 598523第十四章培训与知识转移 6033614.1培训目标 60168614.2培训对象与内容 601758414.3培训考核与转移 609936第十五章投资估算与实施保障 612268215.1估算范围与原则 612929215.2主要软硬件清单（参考） 611237215.3投资估算表（参考） 611887315.4实施保障 6225761第十六章设备选型与供应链安全 633208016.1设备选型原则 632329016.2国产密码应用 632432616.3供应链安全管理 633256516.4可信可控主机与应用要求 642032416.5设备全生命周期管理 6427541第十七章机房环境与基础设施安全 652149217.1机房物理环境安全 653134417.2关键设备与系统运行环境 652582817.3机房运维与出入管理 652194717.4供电与通信配套 6521710第十八章系统集成与数据接口方案 663180718.1集成总体要求 66297718.2与集控监控系统的集成 661261918.3与调度数据网的集成 662202218.4与数据中台及智慧应用的集成 661308518.5与厂站设备厂商系统的集成 662168218.6接口与数据规范要点 671365118.7集成联调与验证 6713188附录A主要法律法规与标准规范清单 6818466附录B安全分区与边界防护配置参数（参考） 7020070附录C网络安全管理平台功能清单（详版） 7123089附录D网络安全合规自查清单 7223102附录E测试与验收用例（样例） 7312861附录F应急预案模板 746781附录G培训与文档交付清单 7526360附录H术语与缩略语 7612297附录I安全防护方案编制要点 7720158附录J告警信息上送格式要点 7813463附录K网络安全管理主要制度清单 7928181附录L网络安全事件分级与响应参考 8011694附图：网络安全应急处置联动关系 8025367附录M值班监视与告警处置记录模板 81目录加载中，请更新域…目录第一章概述1.1编制背景1.1.1随着风力发电、光伏发电等新能源产业的快速发展，新能源电源装机规模持续增长，新能源场站点多面广、分布偏远、大范围集中接入电网，其电力监控系统网络安全性直接影响电网安全稳定运行。与此同时，网络攻击技术不断发展，攻击手段日益隐蔽，电力监控系统面临的网络安全威胁持续加大，加强新能源电力监控系统网络安全防护已成为当务之急。1.1.2为贯彻落实《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》以及《电力监控系统安全防护规定》（国家发展和改革委员会令2024年第27号，以下简称《规定》）等法律法规和规范要求，落实网络安全等级保护制度和关键信息基础设施安全保护制度，坚持“安全分区、网络专用、横向隔离、纵向认证”的结构安全原则，强化安全免疫、态势感知、动态评估和备用应急措施，有必要结合新能源集控中心及所属场站电力监控系统实际，系统开展网络安全防护体系完善和集控系统功能升级建设。1.1.3本方案在充分调研新能源集控中心、风电场、光伏电站电力监控系统网络结构和安全防护现状的基础上，按照“整体规划、统一标准、分级防护、一体化管理”的思路，提出覆盖生产控制大区（安全Ⅰ区、安全Ⅱ区）、管理信息大区（安全Ⅲ区、安全Ⅳ区）及安全接入区的电力监控系统网络安全防护及功能升级建设方案，重点建设网络安全管理平台、网络安全监测装置、可信验证、恶意代码防范、运维安全管控等防护能力，并同步开展集控系统五防、挂牌、消防监视、振动监测、保信与故障录波、应急指挥、两票管理等功能升级建设。1.2编制依据1.2.1本方案编制依据的法律法规、部门规章和标准规范主要包括以下几类：（1）法律法规：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国密码法》《电力监管条例》《关键信息基础设施安全保护条例》《中华人民共和国计算机信息系统安全保护条例》。（2）部门规章：《电力监控系统安全防护规定》（国家发展和改革委员会令2024年第27号）；《信息安全等级保护管理办法》（公通字〔2007〕43号）。（3）行业文件：《电力监控系统安全防护总体方案等安全防护方案和评估规范》（国能安全〔2015〕36号）；《电力监控系统安全防护方案及评估规范》（国能安全〔2015〕36号）；《并网新能源场站电力监控系统涉网安全防护补充方案》；《国家能源局关于加强电力行业网络安全工作的指导意见》（国能发安全〔2018〕72号）；《电力监控系统网络安全监测装置技术规范（试行）》（调网安〔2017〕135号）等。（4）国家标准：GB/T36572-2018《电力监控系统网络安全防护导则》；GB/T22239-2019《信息安全技术网络安全等级保护基本要求》；GB/T28448-2019《信息安全技术网络安全等级保护测评要求》；GB/T31992-2015《电力系统通用告警格式》；GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》；GB/Z41288-2022《信息安全技术重要工业控制系统网络安全防护导则》等。表1-1主要编制依据清单序号类别名称文号/标准号1法律中华人民共和国网络安全法2016年11月7日通过2法律中华人民共和国数据安全法2021年6月10日通过3法律中华人民共和国密码法2019年10月26日通过4行政法规关键信息基础设施安全保护条例国务院令第745号5部门规章电力监控系统安全防护规定国家发展改革委令2024年第27号6部门规章信息安全等级保护管理办法公通字〔2007〕43号7行业文件电力监控系统安全防护总体方案等安全防护方案和评估规范国能安全〔2015〕36号8行业文件电力监控系统网络安全监测装置技术规范（试行）调网安〔2017〕135号9行业文件并网新能源场站电力监控系统涉网安全防护补充方案调度机构专项文件10国标电力监控系统网络安全防护导则GB/T36572-201811国标网络安全等级保护基本要求GB/T22239-201912国标网络安全等级保护测评要求GB/T28448-201913国标电力系统通用告警格式GB/T31992-201514国标网络安全等级保护安全设计技术要求GB/T25070-201915国标重要工业控制系统网络安全防护导则GB/Z41288-20221.3建设范围1.3.1本方案建设范围包括新能源集控中心以及所辖风电场、光伏电站等新能源场站的电力监控系统网络安全防护与功能升级，涵盖生产控制大区（安全Ⅰ区、安全Ⅱ区）和管理信息大区（安全Ⅲ区、安全Ⅳ区）的网络安全设备部署、平台建设、主机防护、运维管控与系统功能升级，以及必要的安全接入区建设。1.3.2安全防护建设内容包括：网络安全管理平台建设、网络安全监测装置（Ⅰ型/Ⅱ型）部署与数据采集上送、主机可信验证与安全加固、恶意代码防范体系、便携式运维网关及运维审计、外设与介质管控、数据安全与备份、应急预案与演练、安全防护评估等。1.3.3功能升级建设内容包括：升压站电气操作五防校验、逆变器等设备挂牌管理、站内消防系统集中监视、风电机组振动监测接入、保信与故障录波监视、应急指挥系统、两票（工作票、操作票）系统等，并同步完善集控数据完整性治理，为“集中监控、无人值班、少人值守”生产管理模式提供支撑。1.4建设目标1.4.1总体目标：运用网络安全监视、分析、审计、核查、控制等手段，实时监测电力监控系统服务器、工作站等各类设备的网络安全状况，严格管控外部网络访问、外部设备接入、恶意代码侵入、用户登录、人员操作等各类网络事件，实现“外部侵入有效阻断、外力干扰有效隔离、内部介入有效遏制、安全风险有效管控”的安全防控目标。1.4.2外部侵入有效阻断：对非授权的外部登录、外部设备接入、病毒传播和外部攻击等恶意行为，能够通过网络控制等手段进行实时阻断。1.4.3外力干扰有效隔离：对不以直接攻击为目的、干扰电力监控系统正常运行或渗透窃取内部信息的行为，能够通过有效手段对涉及主机或设备进行有效隔离。1.4.4内部介入有效遏制：对内部用户的越权访问、非正常操作，及时进行遏制，使危险操作或恶意行为被有效阻止。1.4.5安全风险有效管控：对安全配置隐患、运行软件漏洞、管理规则违反等安全风险，通过核查、监视、控制等手段及时发现和控制，并纳入闭环管理。1.5建设原则1.5.1合规性原则：严格遵守《电力监控系统安全防护规定》（2024年第27号令）及国能安全〔2015〕36号等文件要求，落实网络安全等级保护制度和关键信息基础设施安全保护制度，确保建设成果符合国家和行业监管要求。1.5.2结构安全与纵深防护原则：坚持“安全分区、网络专用、横向隔离、纵向认证”的结构安全原则，强化安全免疫、态势感知、动态评估和备用应急措施，构建“边界—网络—主机—应用—数据”多级纵深防护体系。1.5.3同步规划、同步建设、同步使用原则：网络安全技术措施与集控系统、场站监控系统同步规划、同步建设、同步使用，避免“带病上线”。1.5.4统筹与一体化原则：统一建设网络安全管理平台，统一数据采集与上送标准，统一安全策略，实现对集控中心和所辖场站网络安全事件的集中监视、集中分析和集中审计，避免重复建设。1.5.5最小化原则：安全策略按最小化原则配置，仅开放业务必需的地址、端口和服务；禁用以“封、堵、查、杀”为主的被动模式，向主动防御、可信免疫方向升级。1.5.6可扩展原则：平台架构支持弹性扩展，已建系统通过适应性改造接入，预留新业务、新场站接入接口，兼顾未来业务发展需要。1.6内容概述1.6.1本方案主要包括现状与需求分析、总体设计方案、各专项建设方案（网络安全管理平台、网络安全监测装置、可信验证与主机安全、恶意代码防范、运维安全管控、数据安全、应急响应）、集控系统功能升级方案、工程实施与项目管理、运行维护与保障、测试验收与安全评估、培训与知识转移、投资估算等内容。1.6.2计划部署的设备与系统包括：主站侧Ⅰ型网络安全监测装置、场站侧Ⅱ型网络安全监测装置、网络安全管理平台（应用服务器、数据库服务器、数据网关机、人机工作站、电力专用加密卡、国产安全数据库）、可信验证管理模块与可信验证节点、多级防恶意代码管理中心的客户端、便携式运维网关（调度自动化运维网关）以及功能升级相关软件和采集系统。1.7编制说明1.7.1本方案是面向新能源发电企业电力监控系统网络安全防护及功能升级的通用建设方案，供方案论证、技术审查和实施参考；实际工程应结合企业组织架构、场站装机规模、网架结构、调度关系和监管要求，在经审批的网络安全管理制度和安全防护方案范围内细化实施。1.7.2方案中涉及的安全分区、系统部署、配置参数等为原则性、参考性描述，实际部署应通过相应电力调度机构审核的接入技术方案和安全防护措施执行，不得擅自降低防护强度。1.7.3本方案所用插图、框图为示意性资料，仅为说明体系架构和部署逻辑，实际网络拓扑、设备清单以设计文件和现场实际为准。

第二章现状与需求分析2.1新能源电力监控系统现状概述2.1.1新能源发电企业（风电、光伏）多采用“区域集控中心＋场站”的生产管理模式，在区域中心城市部署新能源集控中心，实现对所辖风电场、光伏电站的远程集中监视和部分控制功能；场站侧建设升压站监控系统、风机监控系统、光伏区监控系统、功率预测、AGC/AVC、继电保护及安全自动装置、电能量采集、保信子站、故障录波、测风（测光）气象等系统，通过调度数据网与电网调度机构互联，通过运营者专用通信网络与集控中心互联。2.1.2新能源场站电力监控系统按照“安全分区”原则划分为生产控制大区和管理信息大区。生产控制大区包括控制区（安全Ⅰ区）和非控制区（安全Ⅱ区），安全Ⅰ区部署具有实时监控功能、直接参与控制的业务系统，安全Ⅱ区部署在线运行但不直接控制、纵向联接使用调度数据网非实时子网的业务系统。管理信息大区部署生产管理信息系统（安全Ⅲ区）和办公、生活网络（安全Ⅳ区）。2.1.3近年来，新能源集控中心已分期完成建设，实现了所辖风电场、光伏电站的数据汇聚与远程监视，并将数据上传至上级大数据中心和区域数据中心；场站侧已开展Ⅱ型网络安全监测装置部署，实现了涉网业务系统主机设备、网络设备及安防设备安全事件的监视采集和向调度主站侧网络安全管理平台的上送。2.2网络安全防护现状分析2.2.1主站（集控中心）侧防护现状：集控中心已在边界部署横向隔离装置和纵向加密认证装置，实现了不符合安全策略的网络访问的有效隔离。但主机设备操作系统安全防护策略多采用传统的“封、堵、查、杀”等被动应对模式，尚未具备主动防御能力，对边界内的主机设备、网络设备、安防设备和数据库，以及设备网络访问、人员登录、外设接入等重要安全事件缺乏有效的监视手段。2.2.2场站侧防护现状：所辖风电场、光伏电站已部署Ⅱ型网络安全监测装置，实现对涉网业务系统安全事件的监视采集并上送调度主站网络安全管理平台；但对站内非涉网业务系统涉及的各类设备缺少实时监测手段，缺乏完整有效的审计措施，场站侧Ⅱ型网络安全监测装置采集的非涉网告警信息未向集控中心上送，集控侧无法实时有效监测场站网络安全事件。2.2.3运维安全管理现状：当前厂站侧二次系统运维安全管理技术手段不健全。现场运维中，运维人员直接将个人运维终端接入站内网络，无法保证终端设备安全性，各类病毒、木马可能以运维终端为跳板入侵生产控制区网络；同时存在运维人员身份无法确认、运维操作审计缺失、误操作风险和敏感信息泄露等问题，可能造成电力监控系统误操作或被恶意破坏，威胁电网稳定运行。2.3存在的主要问题与风险表2-1新能源电力监控系统网络安全存在的主要问题与风险序号环节存在问题主要风险1集控中心边界的资源管理日志集中审计平台不完善主机/数据库访问日志缺乏审计，违规操作不可追溯2集控中心内部安全缺少网络安全监测装置与平台边界内安全事件无法监视，无法及时发现入侵/非法外联3场站非涉网系统监测非涉网业务系统无监测手段非涉网设备安全事件不可见，且缺乏审计措施4告警信息数据链路场站监测装置未上送集控中心无法对上送调度与集控的告警综合研判，监测孤岛5主机主动防御能力主机加固不足、无可信验证无法防御APT、0day攻击与物理摆渡攻击6运维终端接入运维终端随意接入站内网络病毒木马以运维终端为跳板入侵生产控制区7运维身份与审计身份认证单一、无操作审计误操作、越权操作、敏感信息泄露与责任不可溯8上级监管联动行业通报与集团监管联动不足监管要求落实不到位，应急处置不及时2.4政策法规与监管要求2.4.1《电力监控系统安全防护规定》（2024年第27号令）自2025年1月1日起施行，原2014年第14号令同时废止。新《规定》共六章三十七条，重点调整包括：明确电力监控系统范围（从罗列典型系统改为列举功能）；优化安全分区要求；强化安全接入区防护（通信代理、端到端身份认证、加密认证、可信验证保护）；强化技术防护措施（在“十六字”原则基础上补充安全免疫、态势感知、动态评估和备用应急措施）；定义电力监控专用网络范畴；强化供应链及电力监控系统专用安全产品管理；优化技术监督管理；细化罚则。2.4.2依据新《规定》，除安全分区、横向隔离、纵向认证等结构性措施外，新能源发电企业应重点落实以下要求：生产控制区重要业务优先采用可信验证措施实现安全免疫；运营者建立网络安全监测预警机制，建设基于内置探针等的网络安全监测手段，与调度数据网相连的电力监控系统其网络安全运行状态及可疑行为告警应同步传送至相应电力调度机构；运营者制定电力监控系统安全防护方案并报审、投运前验收；健全安全防护评估制度，开展以自评估为主的安全防护评估；重要电力监控系统建立系统备用和恢复机制，定期开展恢复性测试；健全联合防护和应急机制，制定应急预案并定期演练。2.4.3依据《信息安全等级保护管理办法》和GB/T22239-2019，涉及电力生产控制大区核心业务的电力监控系统一般按网络安全等级保护第三级（等保2.0三级）要求进行规划、建设、运维和管理，落实安全通信网络、安全区域边界、安全计算环境、安全管理中心和安全管理制度等控制要求。2.4.4依据国能安全〔2015〕36号《电力监控系统安全防护总体方案》，电力监控系统安全防护坚持“安全分区、网络专用、横向隔离、纵向认证”原则，生产控制大区是重点防护对象；依据《并网新能源场站电力监控系统涉网安全防护补充方案》，并网风电场、光伏电站应落实安全分区及横向、纵向边界防护，强化第三方边界、就地终端通信安全、安全接入区和监测应急要求。2.5网络安全威胁形势2.5.1从全球看，针对能源电力行业的网络攻击事件持续多发。既有针对供应链（如运维管理软件、OEM设备供应商系统被入侵后经维护通道进入工业控制网络）的攻击，也有针对风机制造商、电力企业信息系统的攻击，攻击后果包括系统瘫痪、数据泄露、机群停运等。网络攻击组织有组织、系统性、高频度、长期潜伏的攻击特征已成为常态，威胁形式从单纯破坏向数据窃取、勒索、影响一次系统运行演变。2.5.2从行业看，国内曾有电厂在二次系统改造调试期间，因施工方违规使用非认证设备连接生产网络导致机组跳闸的教训。新能源场站数量多、分布广、运维力量分散，运维终端、便携设备、无人机、移动作业终端等接入方式多样，进一步扩大了攻击面。供应链风险、零日漏洞（0day）、物理摆渡攻击、非授权无线接入、远程运维通道滥用等，都是当前新能源电力监控系统面临的现实威胁。2.5.3通用网络安全监测产品通常基于网络流量和报文分析技术，主要面向互联网和通用服务，而电力监控系统具有网络空间隔离、设备与用户相对确定、网络服务私有可控、正常运行无人值守等特点。因此，迫切需要研发和应用适合电力监控系统、面向设备事件的网络安全监测技术，提升集控中心和场站电力监控系统网络安全监视、审计、分析、预警、控制和处置能力。2.6建设需求分析2.6.1监视需求：对集控中心及所辖场站主机设备、网络设备、安防设备、数据库的安全运行状态、用户登录、操作信息、外设接入、网络外联、配置变更、流量信息等进行实时监视。2.6.2告警需求：遵循GB/T31992-2015《电力系统通用告警格式》实现实时告警、历史告警，告警信息按规范向调度机构网络安全管理平台同步上送。2.6.3分析需求：从设备安全监视与告警数据多维度开展运行分析、安全报表、对比分析，支撑安全态势研判。2.6.4审计需求：对主机行为、设备行为、接入行为、设备离线、运维操作等进行审计，为安全事件追溯提供手段。2.6.5主动防御需求：通过可信验证实现系统引导、系统程序、应用程序和重要配置参数的可信校验与主动阻断，实现安全免疫；通过多级防恶意代码体系实现恶意代码实时监测和统一管理。2.6.6运维管控需求：通过便携式运维网关实现运维身份认证、设备认证、报文实时解析、高风险行为管控和全过程记录，实现运维“事前认证、事中管控、事后审计”。2.6.7功能升级需求：通过五防校验、挂牌管理、消防集中监视、振动监测、保信与故障录波、应急指挥、两票系统等功能升级，支撑新能源场站“无人值班、少人值守”和集中管控生产管理模式，促进集控数据完整性和实用性提升。

第三章总体设计方案3.1设计思路3.1.1本方案按照“一个平台、两级监测、三层防护、一体化管理”的总体思路开展设计。一个平台即以网络安全管理平台为核心的安全管理中枢；两级监测即主站侧Ⅰ型网络安全监测装置与场站侧Ⅱ型网络安全监测装置分级采集；三层防护即边界防护（横向隔离、纵向认证、安全接入区）、网络与主机防护（分区隔离、访问控制、可信验证、防恶意代码、运维审计）、数据与应急防护（数据安全、备份容灾、应急响应、态势感知）；一体化管理即集控中心对所辖场站网络安全事件的统一采集、统一监视、统一分析、统一审计和统一策略管控。3.1.2防护体系建设贯彻落实“安全分区、网络专用、横向隔离、纵向认证”的结构安全原则，强化安全免疫、态势感知、动态评估和备用应急措施，构建覆盖“边界—网络—主机—应用—数据”的纵深防护体系，实现“外部侵入有效阻断、外力干扰有效隔离、内部介入有效遏制、安全风险有效管控”。3.1.3建设遵循“新建与改造并举”原则：新建网络安全管理平台和场站监测、可信验证、防恶意代码、运维网关等能力；对既有主机、网络、安防设备开展适应性改造，使其满足监测接入和安全加固要求；对不满足接入要求的设备以升级方式进行适应性改造。图3-1电力监控系统纵深防御体系示意图3.2总体架构3.2.1新能源电力监控系统总体防护架构由集控中心（主站侧）、调度机构、新能源场站（风电场、光伏电站、汇集站/升压站）三级节点及连接各节点的专用网络构成。集控中心部署网络安全管理平台、可信验证管理中心、恶意代码防范中心等；场站部署Ⅱ型网络安全监测装置、纵向加密认证装置、微型纵向加密认证装置、Agent探针等；安全Ⅲ区部署数据中台、防病毒中心（升级源）、应急指挥等智慧化应用。3.2.2集控中心与场站之间采用运营者专用通信网络（专用通道、独立纤芯或波长）组网；场站与调度机构之间通过调度数据网互联，在生产控制区纵向边界部署电力专用纵向加密认证装置或加密认证网关。集控中心监控系统按照网络安全等级保护第三级要求进行规划、建设、运维和管理。3.2.3不同安全分区的交换机和网络设备单独使用，严禁通过划分VLAN将不同安全分区设备接入同一交换机；不同分区设备连接到不同网段，严禁主机通过双网卡等手段跨区联接；同一安全区内不同业务系统数据交互时采取VLAN划分、访问控制等措施，控制交互规模和频度。图3-2新能源电力监控系统总体防护架构示意图3.3安全分区规划3.3.1按照新《规定》第四条、第五条要求，电力监控系统实施分区防护，防护区域按照安全等级从高到低划分为生产控制区（可分为安全Ⅰ区和安全Ⅱ区）和管理信息区（可分为安全Ⅲ区和安全Ⅳ区）。对电力一次系统（设备）进行实时监控的业务模块按安全Ⅰ区防护要求部署；与安全Ⅰ区交互紧密、对电力生产供应影响较大但不直接实施控制的业务模块按不低于安全Ⅱ区防护要求部署；实现运行指挥、分析决策的业务模块按不低于安全Ⅲ区防护要求部署；其他业务模块按不低于安全Ⅳ区防护要求部署。3.3.2生产控制区使用电力监控专用网络，在专用通道上使用独立网络设备组网，物理层面上与运营者其他数据网及外部公用数据网安全隔离；专用网络划分为逻辑隔离的实时子网和非实时子网，分别连接安全Ⅰ区和安全Ⅱ区。3.3.3各分区功能定位如下：安全Ⅰ区部署升压站（汇集站）监控系统、SCADA、AGC/AVC、远动装置、继电保护及安全自动装置、功率控制等实时控制业务；安全Ⅱ区部署电能量采集、故障录波、保信子站、测风（测光）气象、功率预测等在线运行但不直接控制的业务；安全Ⅲ区部署生产管理、数据中台、智慧化应用、防病毒中心、应急指挥等业务；安全Ⅳ区部署与生产管理无关的办公、生活网络。装机规模较小的场站可在保持生产控制区与管理信息区物理隔离的前提下简化内部分区，但低安全等级系统按高安全等级分区要求管理。图3-3电力监控系统安全分区及横向边界防护示意图3.4横向隔离3.4.1生产控制区与管理信息区、安全接入区之间的联接处设置经检测认证的电力专用横向单向安全隔离装置。信息由生产控制区传输到管理信息区必须经过正向型隔离装置，信息由管理信息区传输到生产控制区必须经过反向型隔离装置，实现物理层面的单向安全传输。3.4.2安全Ⅰ区与安全Ⅱ区之间、安全Ⅲ区与安全Ⅳ区之间设置具有访问控制功能的设备、防火墙或相当功能的逻辑隔离设施。防火墙策略采用白名单方式，禁止开启与业务无关的地址和服务端口；Ⅰ区与Ⅱ区间通信仅开放业务必需端口。3.4.3禁止任何穿越生产控制区与管理信息区、安全接入区之间边界的通用网络服务（如E-Mail、Web、Telnet、Rlogin、FTP等）；生产控制区禁止采用安全风险高的通用网络服务功能，确需数据传输的应通过隔离装置按纯文本、单向方式传输。集控数据上传上级大数据中心和区域数据中心时，必须经正向型隔离装置实现数据从生产控制区向外部的安全单向传输，严禁逆向传输、远程控制和运维业务。3.5纵向加密认证3.5.1生产控制区与电力监控专用网络广域网之间的联接处设置经检测认证的电力专用纵向加密认证装置或加密认证网关，实现双向身份认证、访问控制和数据加密。场站侧纵向加密认证装置使用调度机构签发的调度数字证书，并接入网络安全管理平台统一管控。3.5.2纵向加密认证装置的隧道配置策略细化至业务IP地址和服务端口，保证与主站的数据通信均为密通状态，全面关闭不必要的服务和端口；密钥、证书和操作员卡（含主卡、备卡）UKey等身份认证工具制定运行管理制度，调试结束后及时收回并妥善保管。3.5.3就地（终端）通信安全：风电机组、光伏逆变器/箱变、汇流箱等就地采集与控制终端与站控系统之间通信采用微型纵向加密认证装置（或加密认证网关）实现身份认证、数据加密和访问控制，防止单一风机或光伏发电单元安全风险扩散至站控系统，并采用IP/MAC地址绑定等措施防止外部设备接入。图3-4纵向加密认证部署与配置要点示意3.6安全接入区3.6.1部署在生产控制区的业务模块与终端联接使用非电力监控专用网络（如公用有线通信网络、无线通信网络、运营者其他数据网等）通信，或终端不具备物理访问控制条件时，设立安全接入区。3.6.2安全接入区设置负责转发采集与控制报文的通信代理模块，通信代理模块与终端间通信采用加密认证措施；业务模块经安全接入区与终端间传输控制指令等重要数据时，与终端进行端到端身份认证。安全接入区内简化功能配置，禁止存储重要数据，使用可信验证措施加强通信代理模块保护。3.6.3安全接入区与生产控制区其他部分的联接处设置电力专用横向单向安全隔离装置；在安全防护方案中对接入对象规模进行评估，避免单个安全接入区接入规模过大，可按业务、地域分别设立安全接入区。图3-5安全接入区结构示意3.7网络安全监测预警与态势感知3.7.1运营者建立网络安全监测预警机制，建设基于内置探针等的网络安全监测手段，实时监视分析电力监控系统网络安全运行状态及可疑行为告警。与调度数据网相连的电力监控系统，其网络安全运行状态及可疑行为告警信息同步传送至相应电力调度机构。3.7.2主站侧部署Ⅰ型网络安全监测装置，负责采集集控中心生产控制区内主机设备、网络设备、安防设备的运行信息、操作信息和告警信息并转发至网络安全管理平台；场站侧部署Ⅱ型网络安全监测装置，实现场站涉网与非涉网业务系统网络安全事件的监视采集。3.7.3集控中心网络安全管理平台对主站及场站上报的告警信息进行统一监视、分析、审计和核查，实现电力监控系统网络安全态势感知；对纵向加密认证装置实施集中管控。监测过程中尽量避免对原始安全数据重复采集。图3-6网络安全事件数据采集与上送链路示意3.8可信验证与安全免疫3.8.1依据GB/T22239-2019可信计算要求，网络安全等级保护三级且涉及核心业务的重要系统，可采用可信验证技术实现在设备引导阶段对系统引导程序、系统程序、重要配置参数和应用程序的可信验证。可信验证基于可信根提供密码计算、可信基准值存储和策略存储等基础服务，在检测到可信性受到破坏后进行报警，并将验证结果形成审计记录上报安全管理中心。3.8.2集控中心关键服务器（采集服务器、前置服务器、SCADA服务器、接口服务器、Web服务器等）部署基于硬件的可信验证模块，其他服务器、工作站部署基于软件的可信验证模块；可信验证模块通过网络安全监测装置将告警信息上送网络安全管理平台，实现对所有可信节点的统一管理。3.8.3重要业务优先采用可信验证措施实现安全免疫；可信验证模块具备内核级自保护能力（守护进程防杀死、模块生效后防卸载），兼容主流服务器、工作站硬件和主流操作系统，对业务应用功能无影响。图3-7可信验证与安全免疫架构示意3.9等保2.0三级合规设计3.9.1依据GB/T22239-2019，集控中心电力监控系统按等保2.0三级要求设计，逐项落实安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等控制层面要求。3.9.2等保三级通过以下本方案能力落地：安全通信网络（专用网络、物理隔离、通信加密）与安全区域边界（横向隔离、纵向认证、访问控制、入侵防范、恶意代码防范、安全审计）由隔离装置、加密装置、防火墙、网络安全监测装置等实现；安全计算环境（身份鉴别、访问控制、入侵防范、恶意代码防范、可信验证、数据完整性保密性）由可信验证、主机加固、防病毒、外设管控等实现；安全管理中心（集中管控、审计、告警分析）由网络安全管理平台实现；安全管理制度与人员管理由运行维护体系实现。表3-1等保2.0三级主要技术类控制要求与实现措施对照控制层面控制点实现措施安全物理环境物理访问控制、防盗窃防破坏、防雷击、温湿度、电力供应机房门禁、监控、UPS、环境监控安全通信网络网络架构、通信传输、可信验证专用网络、独立组网、纵向加密、微型纵密安全区域边界边界防护、访问控制、入侵防范、恶意代码防范、安全审计横向隔离装置、防火墙、监测装置、防病毒安全计算环境身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据安全主机加固、可信验证、Agent、防病毒、USB管控安全管理中心系统管理、审计管理、集中管控网络安全管理平台、堡垒机、运维审计安全管理制度、机构、人员、建设、运维安全管理制度体系、责任制、培训、应急3.10部署规模与配置原则3.10.1主站侧配置：网络安全管理平台按1套建设，含应用服务器2台（双机冗余）、数据库服务器1台（部署国产安全数据库）、数据网关机2台、人机工作站若干、电力专用加密卡及Ⅰ型网络安全监测装置1套；可信验证管理中心1套，主站侧可信验证节点按关键服务器数量配置；恶意代码防范体系在主站Ⅰ区/Ⅲ区分别部署管理中心；便携式运维网关按运维频度和工位配置若干台。3.10.2场站侧配置：每个场站安全Ⅰ区、安全Ⅱ区分别部署Ⅱ型网络安全监测装置，已部署装置同步更新配置（在原有向调度上送告警基础上，增加向集控中心网络安全管理平台上送链路）；场站可信验证节点按场站关键服务器数量配置；就地终端按要求配置微型纵向加密认证装置；场站防病毒客户端按照生产控制区主机全覆盖原则部署。3.10.3配置原则：安全设备选用经检测认证并列入电力监控系统专用安全产品目录的产品；服务器、工作站、交换机、数据库等优先选用安全可信的产品；网络边界安全策略按最小化原则配置并形成台账；所有安全设备配置变更履行审批和记录程序。第四章集控中心网络安全管理平台建设4.1建设目标与定位4.1.1在集控中心主站侧建设网络安全管理平台，实现对集控中心自身网络安全事件和所辖场站上送网络安全事件的统一采集、集中监视、告警、分析、审计、核查与管控，实现对站内非涉网业务系统各类设备告警信息的实时监测和完整审计，实现对纵向加密认证装置的集中管控，形成集控中心及所辖新能源场站网络安全监测与管理的统一中枢。4.1.2平台定位为电力监控系统的安全管理中心，向上对接调度机构网络安全管理平台，向下接收场站网络安全监测装置上送信息，横向接收主站Ⅰ型网络安全监测装置采集信息，并与可信验证管理、恶意代码防范、运维审计等专项系统联动，实现监测、告警、分析、审计一体化闭环。4.2平台体系架构4.2.1网络安全管理平台采用分层架构，划分为数据层、支撑层、应用层和展示层。数据层负责实时/历史告警数据、资产与模型数据、审计日志数据的存储管理；支撑层包含数据采集、模型管理、平台管理、服务管理四类支撑模块；应用层包含安全监视、安全告警、安全分析、安全审计四类应用功能；展示层提供安全概览、拓扑监视、设备监视、行为监视、威胁监视、纵向管控、响应处置等界面。4.2.2平台内部部署采用独立组网方式，部署1台应用服务器、1台数据库服务器（国产安全数据库）、2台数据网关机及人机工作站。应用服务器负责统计分析，数据库服务器负责数据存储，数据网关机负责与Ⅰ型/Ⅱ型网络安全监测装置的通信，人机工作站提供UI图形化界面。4.2.3安全Ⅰ区、Ⅱ区部署的数据网关机通过内置加密卡实现对集控侧纵向加密认证装置的管控功能；主站侧安全Ⅰ区部署Ⅰ型网络安全监测装置，负责采集内网主机设备、网络设备（交换机）、安防设备的相关运行信息、操作信息、告警信息并转发给网络安全管理平台。图4-1集控中心网络安全管理平台体系架构图4.3平台功能设计4.3.1安全监视功能安全监视提供对电力监控系统整体安全运行情况的实时监视功能，包括安全概览（全网安全态势一屏总览）、拓扑监视（网络拓扑与设备状态可视化）、设备监视（主机/网络/安防设备运行状态）、行为监视（用户登录、操作、外设接入、网络外联）、威胁监视（入侵、恶意代码、异常流量）、纵向管控（纵向加密装置状态与策略）、响应处置（告警分派与处置跟踪）。4.3.2安全告警功能遵循GB/T31992-2015《电力系统通用告警格式》提供实时告警和历史告警功能，支持告警分级分类、告警归并去重、告警定位与关联信息联动、告警确认与屏蔽、告警统计分析，并与语音报警、短信/工单通知联动。4.3.3安全分析功能使用综合分析手段对设备安全监视与安全告警数据开展多维度分析与挖掘，提供运行分析（设备在线率、告警趋势、异常统计）、安全报表（日报、周报、月报及专项报表）、对比分析（区域对比、同期对比、基线对比）等功能，输出多视角、多层次的安全分析结果，支撑安全态势研判。4.3.4安全审计功能安全审计为安全事件分析提供追溯手段，包括主机行为审计（用户登录、操作命令、进程、文件）、设备行为审计（网络设备配置变更、安防设备策略变更）、接入审计（外设接入、网络接入）、设备离线审计、运维操作审计和综合审计等，支持按时间、资产、事件类型等多维检索与回溯。表4-1网络安全管理平台应用功能清单功能模块功能项功能说明安全监视安全概览全网安全事件、资产、告警态势一屏展示安全监视拓扑监视网络拓扑视图、设备在线状态、链路状态安全监视设备监视主机/网络/安防设备运行与安全状态监视安全监视行为监视用户登录、操作、外设、外联实时行为安全监视威胁监视入侵事件、恶意代码、异常流量监测安全监视纵向管控纵向加密认证装置状态、策略统一管理安全告警实时/历史告警按GB/T31992-2015格式的告警监视、检索安全分析运行分析设备在线率、告警趋势、异常统计安全分析安全报表日报/周报/月报及专项分析报表安全分析对比分析区域、同期、基线多维度对比安全审计行为审计主机、设备、接入、离线、运维综合审计平台管理设备接入监测装置、探针注册与接入管理平台管理权限管理三权分立、角色权限、操作留痕平台管理告警复核告警确认、误报标注、知识库维护4.4数据采集方案4.4.1主机设备采集：在服务器、工作站上部署网络安全监测代理程序（Agent），采集用户登录、操作信息、运行状态、移动存储设备接入、网络外联等事件信息，Agent作为客户端向网络安全监测装置（服务端）发送数据，实现事件数据的独立采集。4.4.2网络设备采集：通过SNMP协议主动获取交换机用户登录、配置变更、流量、网口状态信息；通过SNMP/TRAP协议被动接收交换机事件信息；通过日志协议（Syslog）采集交换机登录与操作信息。4.4.3安防设备采集：防火墙、隔离装置、纵向加密认证装置等通过装置自身日志协议（Syslog）将用户登录、配置变更、运行状态、安全事件等信息传至网络安全监测装置；日志格式须满足GB/T31992-2015规范要求，不满足时由设备厂商提供日志格式转换动态库或升级设备固件和MIB库。4.4.4场站数据上送：各场站安全Ⅰ区新增部署的Ⅱ型网络安全监测装置采集非涉网业务系统设备的网络安全事件，通过集控中心与场站的通信通道发送至集控中心网络安全管理平台；场站安全Ⅱ区既有Ⅱ型网络安全监测装置采集的涉网业务系统网络安全事件，在原有向调度侧上送的同时增加一条链路，同步上送集控中心网络安全管理平台。图4-2新能源场站网络拓扑与安全监测布点示意图4.5对外接口与数据联动4.5.1对调度机构：按国家电网调〔2017〕1084号等文件要求，场站涉网部分设备网络安全事件上送调度机构网络安全管理平台；集控中心平台保留与调度机构平台的接口，实现告警信息互通与联合处置。4.5.2对可信验证管理、恶意代码防范、运维审计等系统：网络安全管理平台接收可信验证节点验证未通过告警和策略变更信息，接收防病毒平台的告警数据并下发管控策略，接收便携式运维网关上送的运维告警、会话和运行日志，实现统一监视与联动处置。4.5.3对在线监视和应急指挥等功能：平台预留与集控监控系统、五防系统、两票系统、应急指挥系统的数据接口，支撑安全事件与生产业务联动。4.6平台软硬件配置表4-2网络安全管理平台主要软硬件配置（参考）序号名称用途说明数量1平台应用服务器（含操作系统、安全加固）统计分析、应用服务运行2台（冗余）2平台数据库服务器（国产安全数据库）实时/历史告警、审计数据存储1台3数据网关机（含加密卡）Ⅰ/Ⅱ型监测装置通信、纵密管控2台4人机工作站UI图形化展示与操作按班组配置5Ⅰ型网络安全监测装置主站生产控制区设备事件采集1套6运行监视平台软件设备管控、告警监视、拓扑、报表、系统管理1套7国产安全操作系统/数据库基础软件（含探针）按许可8接入交换机（安全区专用）平台独立组网按组网4.7既有设备适应性改造4.7.1主机设备部署主机感知程序（Agent），从事件产生的根源实现安全感知，将主机登录信息、运行信息和安全事件传输至网络安全管理平台。4.7.2网络设备依托既有SNMPv3和Syslog协议能力，将登录信息、接入信息传输至平台；确有必要的由厂商升级设备固件和MIB库。4.7.3安防设备日志格式须满足GB/T31992-2015要求，必要时由厂商提供日志格式转换动态库；不满足接入要求的安防设备（纵向加密、防火墙、隔离装置等）以升级方式进行适应性改造。

第五章场站侧网络安全监测能力建设5.1建设目标5.1.1以实现场站电力监控系统网络安全事件“应采尽采、应接尽接、应上尽上”为目标，在场站安全Ⅰ区、安全Ⅱ区分别部署（或改造）Ⅱ型网络安全监测装置，实现对场站涉网业务系统和非涉网业务系统主机设备、网络设备、安防设备安全事件的监视采集，并将告警信息在向调度机构上送的同时上送集控中心网络安全管理平台。5.1.2同步落实场站第三方边界（集控中心、设备厂商、地方监管等）、就地终端通信安全、安全接入区和监测应急要求，实现场站侧网络安全防护的补强与闭环。5.2场站网络安全监测装置部署5.2.1场站安全Ⅰ区新增部署1台Ⅱ型网络安全监测装置，采集非涉网业务系统主机设备、网络设备、防火墙等通用及专用安全防护设备产生的网络安全事件，并将采集结果同步上送集控中心网络安全管理平台。5.2.2场站安全Ⅱ区既有Ⅱ型网络安全监测装置在保持原有向调度机构上送配置基础上，更新配置增加一路上送链路，将采集的涉网业务系统网络安全事件同时发送至集控中心网络安全管理平台。5.2.3Ⅱ型网络安全监测装置应支持主机感知探针数据、SNMP/TRAP、Syslog等采集方式，具备事件归并、本地存储、规范化处理和按GB/T31992-2015格式上送能力，并支持策略更新与远程配置管理。图5-1场站网络安全事件采集与上送链路示意5.3主机代理（Agent）部署5.3.1场站监控主机、服务器、五防主机、工作站等主机类设备部署网络安全监测代理程序（Agent），采集用户登录和操作等管理事件、USB等外设插拔、串并口及光驱使用、网络连接和服务异常访问、用户及目录权限变更等安全事件，适配Windows、Linux以及凝思、麒麟等国产安全操作系统。5.3.2Agent接入符合电力监控系统网络安全监测装置技术规范要求，按照调度机构相关采集规范采集主机安全事件；涉及调度数据网的涉网主机按“应接尽接”原则纳入监测范围。5.3.3对于存量设备未安装Agent的，采用适应性改造方式统一安装；更换设备时同步完成Agent部署后方可投运。5.4网络设备与安防设备采集接入5.4.1场站网络设备（交换机、路由器）通过SNMPv3（安全增强版本）主动采集和Syslog被动接收方式接入监测装置，采集内容包括用户登录、配置变更、流量、网口状态等；关闭路由器、交换机上的通用网络服务和OSPF等网络边界路由功能，避免使用默认路由，开启访问控制列表，采用安全增强的SNMPv2及以上版本网管协议。5.4.2场站安防设备（横向隔离装置、纵向加密认证装置、防火墙等）通过Syslog或专用协议接入监测装置，内容覆盖用户登录、配置变更、运行状态和安全事件。5.4.3生产控制区内防火墙等边界安防设备按最小化原则配置安全策略，全部策略形成台账，变更履行审批记录；严格保证与调控机构通信的采集服务器独立性，严禁用于向其他单位转发数据。5.5场站第三方边界防护5.5.1场站与远程集控中心、远程监视中心、设备制造厂商的纵向边界安全防护实施方案经调控机构审核，安全设备配置策略经过现场验证确认安全。5.5.2集控中心与场站监控系统数据传输通道在物理层面与其它数据网络安全隔离，采用基于SDH/PDH（推荐SDH）不同通道、不同光波长、不同纤芯等专用独立网络；采用EPON/GPON或光以太网络技术时使用独立纤芯或波长；场站与集控中心纵向联接处设置经检测认证的电力专用加密认证装置或加密认证网关，实现双向身份认证、访问控制和数据加密。5.5.3远程监视中心（具备数据采集、监视和收集功能但不具备控制功能）原则上遵循与远程集控中心相同的网络和安全防护要求；如通过运营商专网或VPN通道传输数据，在场站生产控制区出口处部署电力专用正向型隔离装置，实现数据从生产控制区向外部的安全单向传输，禁止外部向生产控制区传输、开展远程控制和运维业务。5.5.4严格控制生产控制区与设备厂商的网络连接。确需将设备运行数据发送给设备厂商的，在明确数据使用范围前提下设立专用服务器，并经电力专用正向型隔离装置实现单向传输；禁止厂商从外部向生产控制区传输数据、开展远程控制和运维业务。5.6就地终端通信安全5.6.1加强户外就地采集终端的物理防护和通信安全。站控系统与终端之间网络通信部署加密认证装置（如微型纵向加密认证装置），实现身份认证、数据加密、访问控制；终端连接网络设备采取IP/MAC地址绑定等措施，禁止外部设备接入。5.6.2就地终端（风机控制器、逆变器/箱变、汇流箱测控装置、电能质量监测等）与站控系统（环网/星形网络）的通信采用密通方式，加密认证装置隧道配置细化至业务IP与服务端口，部署后开展密通测试确认报文加密传输。5.6.3风机、光伏监控业务的网络安全分区按涉网功能和非涉网功能分别纳入相应安全区管理，防止就地终端安全风险扩散至站控系统。5.7场站监测应急与运行管理5.7.1场站监测装置、Agent、加密认证装置等安全设施的运行状态纳入场站日常巡视检查，告警信息及时处置上报，重要异常按应急预案联合处置。5.7.2场站安全防护、监测设施和系统策略的配置、变更、检修、退役全过程记录归档，纳入场站网络安全台账，并定期与集控中心平台进行配置一致性核查。

第六章可信验证与主机安全6.1可信验证体系设计6.1.1依据GB/T22239-2019第三级安全计算环境可信验证要求，可信计算技术基于可信根，对计算节点的系统引导程序、系统程序、重要配置参数和通信（应用）程序等进行可信验证，检测到可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。6.1.2可信验证体系包括可信根、可信基准库、可信验证模块、可信验证管理模块和可信审计五个组成部分，形成“度量—校验—阻断—告警—审计—管理”的完整机制。图6-1可信验证与安全免疫体系架构图6.2可信根与可信基准库6.2.1可信根为可信验证模块提供密码计算、可信基准值存储、策略存储等基础服务，有硬件和软件两种形式。可信根具备：密码算法符合国家密码主管部门要求，采用国密SM3哈希算法；提供算法调用接口，可计算任意文件度量值；基于可信根对计算节点的引导程序、系统程序、应用程序、重要配置参数等进行可信验证。6.2.2硬件形态的可信根采用计算机板卡形式（如PCI-E接口）提供，尺寸满足主流2U、4U服务器安装要求，板载密码算法芯片和存储硬件，分别提供CPU实模式层、内核层、应用层的算法和存储调用接口，支撑引导阶段对操作系统引导和内核的度量，提供硬件级加密算法和存储保护。软件形态的可信根利用CPU密码运算提供软件密码模块和存储模块功能。6.2.3可信基准库记录可信验证节点程序、配置文件等的预期值（基准值），由可信验证模块采集生成，存储于非易失性存储器并防止非法篡改；可信预期值只能通过可信验证模块的专用更新接口更新。6.3可信验证功能设计6.3.1系统引导程序可信验证：系统引导阶段对系统启动程序目录下的关键文件（如内核文件、初始盘文件、程序文件、配置文件等）进行静态度量并校验，校验通过方正常启动，校验失败主动阻断系统启动并形成审计记录；模块加载后能感知引导程序修改并形成审计记录。6.3.2系统程序可信验证：受保护系统程序（内核层程序、系统文件等）加载时检查绝对路径、文件名、文件内容正确性并静态度量校验，校验失败主动阻断启动并告警；能识别并主动阻断对受保护系统程序的删除、篡改行为。6.3.3应用程序可信验证：受保护应用程序（动态库、可执行程序等）加载时校验其路径、文件名、内容；等保三级以上系统对应用程序所有执行环节采用动态度量（进程代码段、内存代码段和只读数据段），度量失败形成审计记录并告警。6.3.4重要配置参数可信验证：对配置文件、文本文件、配置脚本等被访问、执行时进行可信验证，能识别并主动阻断对受保护配置参数文件的删除、篡改行为。6.3.5软件版本管理：应用程序基于调度数字证书进行开发商和测试机构的软件签名，确保业务程序全生命周期版本一致性和来源可信性；可信验证模块预置开发商及检测机构公钥证书验证签名信息，验证失败主动阻断运行。6.3.6可信审计：对引导程序、系统程序、应用程序、重要配置参数的验证结果进行审计，审计信息上报可信验证管理模块；设备未接入网络时的审计告警记录在接入网络后补报。节点可信状态、验证未通过告警、策略变更信息按规范格式上送网络安全管理平台。6.3.7自保护与本地配置：可信验证模块具备内核级自保护能力（守护进程防杀死、模块生效后防卸载），具备本地化配置能力（本地安全登录认证机制、文件更新、策略配置、可信验证启停），保证节点在无管理模块时仍可本地管理。6.4可信验证管理模块6.4.1节点管理：可信验证节点注册（识别双方身份，读取地址、软件版本，按名称、IP维度排序搜索）、在线/离线状态监控、管理模块与节点间加密通信。6.4.2策略管理：集中展示所有注册节点的目录结构、文件及可信策略信息；策略添加、删除、查看等集中配置（包括程序策略、关键文件保护策略等）；节点本地文件更新、策略修改记录自动同步到管理模块。6.4.3集中审计：采集所有注册节点实时审计信息；按类型、时间范围等要素搜索定位；向所有注册节点集中配置审计策略。6.5性能与兼容性要求6.5.1性能要求：可信验证模块对系统程序、应用程序等程序启动加载的响应时间影响≤5%，对程序访问响应时间影响≤5%；可信验证管理模块支持可信验证节点数≥1000节点；可信验证模块支持安全策略条数≥10000条，批量文件下发数量≥100个；可信验证节点审计告警日志存储≥100000条，管理模块审计告警日志存储≥1000000条，日志查询响应时间≤5秒；部署计算机设备确保存储空间满足日志保存半年以上；可信验证模块平均故障间隔时间（MTBF）≥30000小时。6.5.2兼容性要求：可信验证模块兼容实际生产环境主流厂商服务器、工作站等设备，兼容主流操作系统和国产安全操作系统，对电力监控系统业务应用功能无影响，无需业务应用改造。6.6主机安全加固6.6.1主机（服务器、工作站）安全基线加固：账号口令策略（口令长度、复杂度、更换周期、登录失败锁定）、关闭不必要服务与端口、最小权限运行、补丁与漏洞管理、日志记录与审计、防病毒部署，形成安全配置基线并定期核查。6.6.2远程管理安全：远程运维、维护必须通过运维审计通道（便携式运维网关/堡垒机）进行，杜绝直连和公共账号使用；禁止使用Telnet等高风险服务，管理系统统一改走SSH等加密通道。6.6.3外设与介质管控：对主机USB接口、网口、串口、光驱及交换机空闲网口实施受控使用，采用接口管控软件与USB安全隔离/保护装置结合的方式，实现U盘类介质的白名单式安全接入、病毒查杀和文件黑白名单管控，防范BadUSB等固件攻击。6.7恶意代码防范体系6.7.1按照“全覆盖、早感知、快处置”原则构建集控中心及场站电力监控系统恶意代码监测平台。在集控中心主站Ⅰ区部署终端安全管理系统（管理中心），实现站内Ⅰ区客户端管控、告警接收与运行数据展示；在集控中心主站Ⅲ区部署终端安全管理系统（管理中心），从行业/集团防病毒云获取升级包后推送至主站Ⅰ区管理系统。6.7.2场站侧通过调度数据网经纵向加密通道与主站Ⅰ区管理系统级联，接受策略管控，自动上报升级、告警日志信息，纳入主站恶意代码监管平台体系，形成立体“监、管、控、防”一体化恶意代码安全防护体系。6.7.3升级体系采用省地多级架构：主站Ⅲ区定期从云中心更新特征库，依次完成主站Ⅰ/Ⅲ区更新，场站通过Ⅰ区调度数据网从主站获得更新包完成升级，各场站升级数据汇总到主站完成日常监管运营。图6-2分级级联的电力监控系统恶意代码防范体系示意6.7.4恶意代码防范管理要求：病毒库、特征库定期更新（策略性定时），扫描周期按最小影响业务原则设定；生产控制区与外网物理隔离，更新通过专用通道和隔离装置实施；对移动介质实行“先查杀、后使用”；发现恶意代码事件即时隔离处置并按事件报告流程上报。第七章运维安全管理与审计7.1运维安全现状与风险7.1.1新能源场站现场运维场景中，运维人员往往直接使用个人运维终端接入站内网络开展调试、消缺和维护工作，终端设备安全性无法保证，存在以运维终端为跳板引入病毒、木马的风险；同时存在运维人员身份无法确认、运维操作缺乏审计、误操作风险高、敏感信息泄露等问题。7.1.2为消除上述风险，本方案通过便携式运维网关与运维审计体系建设，实现运维过程“事前认证、事中管控、事后审计”，对运维终端接入、运维人员身份、运维操作行为、文件传输进行全过程管控和留痕，防止危险操作和恶意代码进入生产控制区。7.2便携式运维网关部署7.2.1在安全Ⅰ区部署调度自动化运维网关（便携式运维网关），同时与运维对象及运维工作站所在网络相连。运维对象的维护端口只开放给运维网关，运维人员仅开放运维网关访问端口，实现运维对象与运维终端的隔离接入。7.2.2单台便携式运维网关采用集中存放、自动供电、加密通信和身份认证的统一管理方式（网关扩展基座），防止网关设备随意使用、证书被盗用；网关扩展基座内置加密芯片，存储加密证书和通讯IP地址，作为唯一合法的与集中管控系统通信的接口。图7-1便携式运维网关部署与功能示意7.3账号、认证与授权管理7.3.1账号管理：支持运维人员身份ID、姓名、单位、联系方式、账号、初始密码等信息配置；支持身份信息有效期配置；支持运维人员账号与生物特征或USBKey（电力调度数字证书）绑定；支持CA证书（电力调度根证书）导入和管理；支持账号分组和批量导入导出；适配Windows、Linux、Unix及凝思、麒麟等操作系统。7.3.2密码管理：支持运维人员自助修改密码、密码过期策略、密码复杂度策略、密码初始化和重置；支持主机类运维对象改密以及独立密码复杂度策略；对所有运维对象身份鉴别信息加密备份。7.3.3认证管理：支持运维人员身份有效时间段验证、多点登录阻断、连续登录失败锁定与恢复；支持静态密码、指纹或USBKey（含电力调度数字证书）组合的双因子认证登录；通过SSH、SFTP、VNC、RDP、X11、HTTPS等协议认证登录运维对象，覆盖Windows、Linux、Unix操作系统、主流网络设备、防火墙、数据库及国产操作系统和国产数据库。7.3.4授权管理：支持三权分立（管理员配置管理权限、审计员审计权限、操作员操作权限）；运维任务管理支持新建、查看或关闭运维任务（工作起止时间、运维人员、运维对象、操作权限），任务创建后不允许变更仅可延长结束时间；支持批量录入运维对象信息。7.4行为管控与风险阻断7.4.1协议通道代理：代理SSH访问主机和网络设备、SFTP访问文件共享、VNC/RDP/X11访问主机图形界面、HTTPS/SSH访问防火墙、MySQL/Oracle/SQLServer和达梦/金仓等数据库协议。7.4.2高风险指令阻断：对SSH协议传输指令进行高危风险管控，支持高风险指令集在线维护（增删改查、正则表达式配置）、分级设置和执行策略设置，对高风险指令操作进行提示并产生告警日志；运维过程中的违规外联、攻击行为、恶意代码等风险行为实时阻断。7.5行为记录与审计7.5.1认证登录记录：记录运维人员登录/登出运维网关行为、登录/登出运维对象行为。7.5.2操作行为记录：字符协议（SSH）操作命令实时监视和终端回放；图形协议（RDP、VNC、X11等）实时监视和完整录屏回放；HTTPS操作实时监视和录屏回放；数据库客户端工具操作实时监视和录屏回放；支持任意命令处操作回放、按运维人员账号/时间范围/目标对象/命令关键字检索定位回放、多倍速/低倍速和拖拉定位回放，支持视频水印。7.5.3文件传输记录：记录通过运维网关传输文件至SFTP服务器的行为，支持SFTP上传/下载记录。7.5.4授权行为记录：记录账号创建变更、权限分配、运维任务创建/变更/关闭、高风险指令申请审批流程等行为。7.5.5记录上送：支持通过TCP协议将运维告警日志、会话日志、运行日志上送网络安全管理平台；内置Agent采集自身安全信息上送网络安全管理平台，日志格式符合平台设备信息采集要求。7.6运维流程与工单化管理7.6.1运维工作采用工单化、任务化管理：通过E文件创建运维任务（远程下载E文件并验签、校验收支配对、解析生成运维任务），或通过开放运维任务API接口创建任务，实现运维任务受控下发。7.6.2运维作业流程：申请→审批→任务建立→身份认证→运维网关接入→运维操作管控→审计记录归档→任务关闭；涉及高风险指令的申请履行审批流程。运维全过程与两票（工作票、操作票）管理结合，实现安全管理闭环。图7-2运维行为认证—授权—审计全流程示意

第八章数据安全防护8.1数据安全总体要求8.1.1依据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及国家数据安全相关要求，对电力监控系统运行数据、管理数据、生产数据实施分类分级管理，落实全生命周期安全防护；数据共享坚持最小必要、授权使用、留痕可溯。8.1.2本方案数据安全防护涵盖数据分类分级、传输与存储加密、访问控制、防泄漏监测、备份容灾和日志留存六个方面，与网络安全管理平台、运维审计平台协同实现数据安全防护。图8-1电力监控系统数据安全防护架构示意8.2数据分类分级与标识8.2.1将电力监控系统数据划分为生产运行数据（SCADA、AGC/AVC、电能量、故障录波、保信等）、管理支撑数据（台账、两票、计划报表等）、安全审计数据（告警、日志、录像等）、配置与密钥数据（参数、证书、密钥等）等类别，按影响程度划分为核心、重要、一般等级别，制定分类分级清单。8.2.2对数据实施标识管理，明确数据的产生位置、存储位置、使用权限和责任主体；涉及关键信息基础设施的重要数据、密码相关数据按国家要求管理，禁止关键技术和设备的扩散。8.3传输与存储安全8.3.1生产控制大区纵向数据传输采用电力专用纵向加密认证装置实现加密和完整性校验；集控中心与场站、调度机构通信遵循电力调度认证机制，保障数据传输完整性和真实性。8.3.2重要数据存储采用加密存储或等保要求的安全存储手段，配置访问控制策略，仅授权账号可访问；对连接串口、移动介质采取物理和技术管控，防止数据介质失窃泄露。8.4访问控制与防泄漏8.4.1数据访问坚持最小授权原则，按角色授予数据查看、导出、修改、删除权限；关键数据导出（如告警明细、报表、录波文件）纳入审计并留痕。8.4.2通