电力监控系统网络安全防护方案

电力监控系统网络安全防护方案一、方案概述1.1编制目的与适用范围电力监控系统（含SCADA、EMS、DMS、变电站自动化系统、电厂分散控制系统DCS、风机/光伏功率预测与控制系统等）直接控制一次设备，一旦被侵入，最坏后果是断路器误跳、机组非停、大面积失电。本方案依据《中华人民共和国网络安全法》《电力监控系统安全防护规定》（国家发展和改革委员会2014年第14号令）及《电力监控系统安全防护总体方案》（国家能源局国能安全〔2015〕36号）编制，目标是在不改造一次系统的前提下，通过分区、专网、隔离、审计四条主线，把安全事件从“可能波及主网”压缩到“可在本地发现并阻断”。本方案适用于本公司所辖110kV及以下变电站监控系统、调度自动化主站系统、配网自动化系统及新能源场站监控系统的建设、改造与日常运维，由生产技术部归口管理，各变电运维班、自动化班、信息通信班按职责执行。1.2总体防护方针执行“安全分区、网络专用、横向隔离、纵向认证”十六字方针，落实“三同步”（同步规划、同步建设、同步使用）。任何新增监控业务接入，必须在立项阶段同步提交安全防护设计，未通过安全防护审查的项目一律不得接入生产控制大区。二、安全分区与网络边界分区是整个防护体系的骨架——先划清边界，后续所有隔离、审计、监测手段才有明确的部署位置。分区的核心判断标准只有一个：该系统是否直接参与对一次设备的实时控制。2.1大区划分分区典型系统判定依据生产控制大区（安全区I）SCADA、变电站监控系统、DCS、安稳装置、PMU主站直接下发遥控、遥调命令生产控制大区（安全区II）电能量计量系统、故障录波主站、保信子站、功率预测只采集数据，不实时控制管理信息大区（安全区III）生产管理系统、营销系统、办公OA与监控系统仅存在数据交换，无控制链路2.2分区执行要求1.每台接入系统的服务器、工作站、装置必须在资产台账（附件1表式）中登记所属安全区，标签牌固定于机柜正面，标注“区I/区II/区III”。新设备上架前由自动化班核对台账与标签，不一致的24小时内整改。2.安全区I与安全区II之间部署硬件防火墙，仅放行业务必需的端口（如电能量采集TCP102端口、文件传输FTP限定向地址），默认策略为denyall；防火墙策略变更须经生产技术部审批，变更记录保存期不少于3年。3.生产控制大区与管理信息大区之间必须部署电力专用横向单向安全隔离装置（正向/反向按业务流向选型），实现数据单向传输；严禁以软件防火墙、网闸替代物理隔离装置，也严禁在该边界上开通任何反向可写通道。三、纵向通信防护调度数据网是监控命令出站的唯一合法通道，纵向防护的重点是“认证身份+加密链路+收紧通道”三件事。3.1纵向加密认证1.与上级调度主站的远动通信（104规约通道）必须部署纵向加密认证装置，启用国密算法对104报文加密封装，密钥由调度机构统一管理，装置钥匙卡由专人保管并登记领用。2.纵向加密装置每月检查1次运行状态与隧道协商情况，加密隧道中断超过5分钟视为通信异常，按本方案第七章应急流程处置。3.2通道管理•远动通道优先使用电力调度数据网（SPDnet）专网承载；不具备专网条件的边远站点，采用2M专线+纵向加密，严禁使用公网、互联网VPN、微信/邮件等方式传输遥控报文、定值文件。•每个远动通道登记源地址、目的地址、端口于通道台账；路由器ACL仅放行台账内地址，每季度由自动化班核对1次，多余放行项5个工作日内删除。四、主机与系统加固主机是攻击者最终落地的位置。监控系统的主机多为老旧Windows或专用实时系统，打补丁往往不可行，因此加固重心放在关面、控权、审计三个可操作动作上。4.1基线加固1.所有区I/区II主机安装电力专用病毒防护软件（离线更新病毒库，更新周期不超过7天），严禁接入互联网更新。2.关闭不必要的服务与端口：Telnet、FTP、SMBv1、远程桌面（3389端口除运维堡垒机地址外全部关闭）。加固后由自动化班使用端口扫描工具复测，确认无多余开放端口，复测记录存档。3.操作系统与监控系统账号实行最小授权：运维人员一人一号，禁用共享账号；超级管理员口令由生产技术部封存管理，使用需双人到场并登记。口令复杂度不低于12位（含大小写、数字、符号），更换周期不超过90天。4.U盘、移动硬盘等移动介质必须先经专用病毒查杀机全盘扫描，方可接入监控主机；严禁将曾接入互联网的移动介质直接插入生产控制大区任何主机——这是近年多起工控病毒事件的实际入侵路径，替代方案是为每个变电站配备专区专用的隔离介质。4.2变更与补丁监控系统软件升级、定值下装、数据库变更实行工作票制度：工作票中写明变更内容、回退步骤、影响范围，经生产技术部审批后执行；变更完成后3个工作日内提交变更记录。无法获得厂商补丁的老旧系统，以网络隔离（防火墙ACL收紧）+行为审计作为补偿措施，并在台账中标注“高风险遗留项”，纳入年度改造计划。五、监测审计与入侵检测分区与加固解决“挡住外面”，监测审计解决“看见里面”。没有监测的防护体系，即使边界完好，也无法发现内部误操作或已潜伏的攻击。5.1部署要求1.生产控制大区部署网络安全监测装置，采集主机、网络设备、纵向加密装置的日志与告警，并按调度机构要求上送主站。监测覆盖率目标100%——区I/区II每台主机与网络设备均须纳入采集，缺一台视为未达标。2.关键操作（遥控预置/执行、定值修改、账号创建、防火墙策略变更）必须留存审计日志，日志保存期不少于6个月，日志服务器时钟与全站统一对时（对时偏差不超过1秒）。3.遥控命令执行实行“双重校验”：监控系统内预置与执行分离操作，涉及线路跳闸、机组启停的重要遥控，调度员须与现场核对设备状态后方可下发。5.2告警分级与响应级别判定标准响应时限处置主体一般单点登录失败、病毒库过期、单台主机日志中断24小时内核查处置自动化班严重横向隔离装置故障、纵向加密隧道中断、批量口令猜解告警30分钟内响应，2小时内定位自动化班+信息通信班紧急监控主机发现恶意代码、出现非授权遥控报文、疑似横向渗透行为10分钟内电话上报生产技术部与调度机构，立即评估是否申请退出远方遥控改现场操作生产技术部负责人牵头紧急事件处置期间，优先采取断开纵向通道、切换至就地控制的方式隔离风险，再开展取证；严禁在未保存日志、未拍照取证前直接重装受感染主机——这会销毁追溯攻击路径的唯一证据。六、应急管理应急管理的价值不在于写多厚的预案，而在于让值班员在凌晨三点、通信可能已受损的情况下，仍然知道第一步做什么、报告给谁、什么情况下放弃远方控制。6.1事件分级1.Ⅰ级（重大）：监控系统被成功入侵并可能影响电网安全（出现非授权遥控、保护装置通信异常），或主站瘫痪导致调度失去监视超过30分钟。启动权限：生产技术部报公司应急领导小组批准，同时上报能源监管机构与上级调度。2.Ⅱ级（较大）：边界防护设备（隔离装置/纵向加密装置）失效、监控主站单系统瘫痪但可切换备用，处置时限4小时内恢复。启动权限：生产技术部负责人。3.Ⅲ级（一般）：单台终端病毒告警、局部功能异常，不影响主控功能。启动权限：自动化班班长。6.2处置流程（PDCA）•计划：每年3月前修订应急预案，明确各角色（值班长、自动化运维、信息安全员、对外联络人）的呼叫链与备用联系方式（纸质版存放于变电站值班室，电子版联系方式见附件3通讯录）。•执行：事件发生后值班员按“先隔离、再报告、后处置”顺序操作——隔离（断通道/退遥控）应在10分钟内完成，报告在隔离完成后立即进行，不得因等待审批而延迟隔离。•检查：每次事件处置后5个工作日内召开复盘会，输出事件报告（时间线、根因、影响范围、处置耗时对照时限）。•改进：由复盘会确定整改项，责任到人，下月度安全例会验收销项；连续两季度同类问题重复发生，升级至公司安委会督办。6.3演练每年至少组织1次实战演练，场景轮流覆盖“主站瘫痪切换”“隔离装置故障”“疑似入侵断网”。演练采用桌面推演+现场操作结合，现场操作环节须编写演练方案并经审批，确保演练本身不误碰运行设备。演练结束后1周内提交演练评估报告。七、人员与运维管理人是防护体系中最薄弱也最常被忽视的环节。多数监控系统安全事件的起点不是高超攻击，而是一个共享口令、一只插错的U盘、一次未审计的厂商远程维护。1.准入培训：接触生产控制大区系统的人员（含运维、厂家调试）上岗前完成不少于4学时的安全培训并通过考核；培训内容涵盖分区概念、介质管理、口令制度、事件上报流程。培训记录纳入培训矩阵（附件4）。2.厂商远程维护管控：优先采用现场维护方式；确需远程调试的，须经生产技术部审批，通过运维堡垒机接入，全程录屏审计，维护结束后当日回收账号权限。严禁为厂商开通直连互联网的远程通道或长期保留的VPN账号。3.第三方调试管理：调试用笔记本接入前在专用查杀机全盘扫描，登记设备MAC与序列号；调试结束后由自动化班核查防火墙ACL，确认临时放行项已全部关闭。4.考核：介质违规接入、共享账号、未审批变更等行为纳入月度安全考核，单次违规按公司安全考核办法扣分并通报。八、实施计划与保障8.1分阶段实施阶段时间主要任务验收标准一：摸底第1~2个月完成资产台账梳理、分区核实、边界设备排查台账覆盖率100%，标签核对完成二：加固第3~5个月防火墙策略收紧、主机基线加固、账号清理端口扫描复测通过，共享账号清零三：监测第6~8个月网络安全监测装置部署、日志审计上线监测覆盖率100%，日志留存6个月可查四：固化第9~12个月应急演练、制度宣贯、接受上级检查演练评估达标，防护审查通过8.2资源与责任•生产技术部：方案归口、审查审批、对外上报，每月组织1次安全例会，会后24小时内下发纪要并跟踪决议。•自动化班：日常巡检（每日查看监测告警，每周1次现场巡视边界设备指示灯与加密装置状态）、变更执行、台账维护。•信息通信班：网络安全监测平台运维、日志分析、事件技术取证。•经费：加固改造、监测装置购置按年度技改大修计划申报，工控安全专用设备按政策要求列支专项。附件附件1：监控系统资产台账（样表）序号设备名称IP地址所属安全区安装位置责任人标签编号备注1附件2：日常