發(fā)表時間：2018-04-16T11:15:25.293Z 來源：《電力設(shè)備》2017年第32期 作者： 盧沛堅[導(dǎo)讀] 摘要：隨著信息化的高速發(fā)展，信息安全的形勢日趨復(fù)雜和嚴(yán)峻。

（東莞供電局東莞 523000）

摘要：隨著信息化的高速發(fā)展，信息安全的形勢日趨復(fù)雜和嚴(yán)峻。一方面是黑客攻擊手段的多樣化和工具化，使得攻擊的發(fā)生變得更加容易。另一方面，系統(tǒng)的漏洞不斷增加使得系統(tǒng)變得更加脆弱。因此，有效地對電力二次系統(tǒng)進(jìn)行安全防護(hù)評估和等級保護(hù)測評是提升信息系統(tǒng)的安全防護(hù)能力、保證服務(wù)質(zhì)量和企業(yè)核心數(shù)據(jù)的必經(jīng)之路。為保障電網(wǎng)安全穩(wěn)定運(yùn)行同時。保證各安全防護(hù)設(shè)備配置部署后，是否滿足功能與性能的要求，需要做出正確的判斷，利用組建后的網(wǎng)絡(luò)環(huán)境拓?fù)?，對網(wǎng)絡(luò)進(jìn)行測試，測試的內(nèi)容包括：控制區(qū)與非控制區(qū)的相關(guān)內(nèi)容測試。

關(guān)鍵詞：控制區(qū)；非控制區(qū)；調(diào)度數(shù)據(jù)網(wǎng)絡(luò)；防火墻；加密裝置 0.引言

按照原國家電監(jiān)會《關(guān)于組織開展電力二次系統(tǒng)安全防護(hù)評估試點工作的通知（辦安全函[2012]191號）》和南方電網(wǎng)公司有關(guān)文件要求，廣東電網(wǎng)公司將按照“定級備案為基礎(chǔ)，安全評估為指引，建設(shè)整改為主線”的總體思路，一方面依據(jù)原國家電監(jiān)會和南方電網(wǎng)公司有關(guān)要求，繼續(xù)深入開展電力二次系統(tǒng)安全防護(hù)，開展全省電力二次系統(tǒng)信息安全等級保護(hù)定級。杜絕因電力二次系統(tǒng)安全事件引發(fā)電力安全事故，確保公司電力二次系統(tǒng)安全穩(wěn)定運(yùn)行。為保障電網(wǎng)安全穩(wěn)定運(yùn)行同時。保證各安全防護(hù)設(shè)備配置部署后，是否滿足功能與性能的要求，需要做出正確的判斷，利用組建后的網(wǎng)絡(luò)環(huán)境拓?fù)?，對網(wǎng)絡(luò)進(jìn)行測試，測試的內(nèi)容包括： 1）交換機(jī)安全策略檢查

2）變電站實時系統(tǒng)業(yè)務(wù)連通性測試 3）變電站非實時系統(tǒng)業(yè)務(wù)連通性測試 4）變電站橫向訪問業(yè)務(wù)連通性測試 1.測試前要求

1.1.在系統(tǒng)試運(yùn)行前，必須進(jìn)行初驗測試，用以檢驗系統(tǒng)及其相關(guān)設(shè)備是否符合運(yùn)轉(zhuǎn)要求。初驗應(yīng)在系統(tǒng)調(diào)測(單點測試和全網(wǎng)測試)合格后進(jìn)行。初驗測試要求各種設(shè)備處于工作狀態(tài)。

1.2.初驗測試的計劃和內(nèi)容應(yīng)從單點測試和全網(wǎng)測試的內(nèi)容中抽出，具體內(nèi)容可根據(jù)單點測試和全網(wǎng)測試的結(jié)果確定。 1.3.初驗測試的主要指標(biāo)和性能達(dá)不到要求時，應(yīng)重新進(jìn)行系統(tǒng)調(diào)測。

所有初驗測試在以自動化廠站端班組為主的條件下進(jìn)行測試，廠家技術(shù)人員協(xié)作。初驗不合格，由廠家負(fù)責(zé)及時解決產(chǎn)生的問題，直至驗收合格。

2.交換機(jī)安全策略檢查 2.1.測試目的：

驗證交換機(jī)安全策略配置滿足《二次系統(tǒng)安全防護(hù)項目策略配置要求》。 2.2.預(yù)置條件：

所有交換機(jī)配置完成。 2.3.測試過程：

2.3.1.交換機(jī)上采用靜態(tài)路由配置； 2.3.2.交換機(jī)上不允許配置默認(rèn)路由；

2.3.3.交換機(jī)指向地調(diào)與站內(nèi)業(yè)務(wù)相關(guān)的實時業(yè)務(wù)段地址的路由配置應(yīng)以業(yè)務(wù)所在VLAN的地址段為單位；

2.3.4.交換機(jī)上各VLAN的訪問控制策略（ACL）主要用于交換機(jī)上各接入業(yè)務(wù)系統(tǒng)間的訪問控制。VLAN上的訪問控制策略配置可使用黑名單方式，即禁止交換機(jī)上與本VLAN無通信關(guān)系的其他VLAN地址段對本VLAN業(yè)務(wù)系統(tǒng)的訪問，策略最后允許交換機(jī)上設(shè)置的其它路由可達(dá)地址訪問本VLAN；

2.3.5.同一VLAN上的不同業(yè)務(wù)系統(tǒng)可采用PVLAN進(jìn)行隔離。 2.3.6.禁止開通telnet、ftp、http等高風(fēng)險服務(wù)。 2.3.7.設(shè)備登錄賬號采用強(qiáng)口令。 3.變電站實時系統(tǒng)業(yè)務(wù)連通性測試 3.1.測試目的：

測試變電站實時業(yè)務(wù)系統(tǒng)各通信機(jī)之間的連通性，包括鏈路連通，和業(yè)務(wù)連通。 測試拓?fù)洌?p>測試業(yè)務(wù)指向圖 3.2.測試前檢查

對加密裝置做以下檢查：

3.2.1.裝置上不允許配置默認(rèn)路由；

3.2.2.路由配置應(yīng)細(xì)化到有通信關(guān)系的業(yè)務(wù)系統(tǒng)所在業(yè)務(wù)網(wǎng)段； 3.2.3.在裝置上為每一互聯(lián)的遠(yuǎn)程站點分別建立加密隧道； 3.2.4.控制區(qū)業(yè)務(wù)遠(yuǎn)程通信一律必須經(jīng)過加密隧道；

3.2.5.在每一加密隧道上應(yīng)按照控制區(qū)業(yè)務(wù)系統(tǒng)的通信關(guān)系，施加訪問控制策略，控制策略必須細(xì)化到業(yè)務(wù)系統(tǒng)具體的IP地址，業(yè)務(wù)端口號，鏈接方向；

3.2.6.網(wǎng)絡(luò)服務(wù)功能除ICMP可按“明通”配置外，其他網(wǎng)絡(luò)服務(wù)一律禁止開通。 3.2.7.禁止開通telnet、ftp、http等高風(fēng)險服務(wù)；

3.2.8.對加密認(rèn)證裝置的操作采用操作員卡，操作員卡的PIN碼應(yīng)采用強(qiáng)口令；操作員卡應(yīng)由操作員妥善保管，平時操作員卡不得隨機(jī)插在裝置上；

3.2.9.檢查裝置的出廠默認(rèn)口令有無更改。 3.3.預(yù)置條件：

3.3.1.中調(diào)、地調(diào)已經(jīng)完成實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 3.3.2.變電站已經(jīng)完成實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 3.4.測試過程：

3.4.1.在地調(diào)實時業(yè)務(wù)系統(tǒng)通信機(jī)（如EMS、保信系統(tǒng)）發(fā)起與變電站實時業(yè)務(wù)系統(tǒng)通信機(jī)（如RTU、保信系統(tǒng)）的ping或業(yè)務(wù)連接。

3.4.2.在變電站實時業(yè)務(wù)系統(tǒng)通信機(jī)（如遠(yuǎn)動、保信系統(tǒng)）發(fā)起與地調(diào)實時業(yè)務(wù)系統(tǒng)通信機(jī)（如遠(yuǎn)動、保信系統(tǒng)）的ping或業(yè)務(wù)連接。 3.5.預(yù)期目標(biāo)：

3.5.1.地調(diào)EMS系統(tǒng)通信機(jī)能ping通變電站遠(yuǎn)動系統(tǒng)通訊機(jī)。 3.5.2.變電站RTU系統(tǒng)通信機(jī)能ping通地調(diào)EMS系統(tǒng)通訊機(jī)。 3.5.3.地調(diào)保信系統(tǒng)通信機(jī)能ping通變電站保信系統(tǒng)通訊機(jī)。 3.5.4.變電站保信系統(tǒng)通信機(jī)能ping通地調(diào)保信系統(tǒng)通訊機(jī)。 4.變電站非實時系統(tǒng)業(yè)務(wù)連通性測試 4.1.測試目的：

測試地調(diào)-變電站非實時業(yè)務(wù)系統(tǒng)各通信機(jī)之間的連通性

4.2.測試前檢查

在縱向防火墻上面, 對其配置做以下檢查：

4.2.1.縱向邊界防火墻的安全策略應(yīng)采用以白名單方式進(jìn)行配置，即只開放有業(yè)務(wù)系統(tǒng)通信關(guān)系的業(yè)務(wù)系統(tǒng)IP地址、業(yè)務(wù)端口號，策略最后以一條全部禁止的策略作為結(jié)尾；

4.2.2.網(wǎng)絡(luò)服務(wù)功能除開通必需的網(wǎng)管協(xié)議及ICMP外，其它服務(wù)一律禁止。

4.2.3.防火墻設(shè)備應(yīng)啟用防SYN Attack、ICMP Flood、UDP Flood、teardrop、Ping of Death、land、端口掃描等功能。 4.2.4.禁止開通telnet、ftp、http等高風(fēng)險服務(wù)； 4.2.5.設(shè)備登錄賬號采用強(qiáng)口令。 4.3.預(yù)置條件：

4.3.1.地調(diào)已經(jīng)完成非實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 4.3.2.變電站已經(jīng)完成非實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 4.4.測試過程：

4.4.1.在中調(diào)/地調(diào)實時業(yè)務(wù)系統(tǒng)通信機(jī)（如電子發(fā)令、計量）發(fā)起與變電站實時業(yè)務(wù)系統(tǒng)通信機(jī)（如電子發(fā)令、計量）的ping或業(yè)務(wù)連接。

4.4.2.在變電站實時業(yè)務(wù)系統(tǒng)通信機(jī)（如電子發(fā)令、計量）發(fā)起與地調(diào)實時業(yè)務(wù)系統(tǒng)通信機(jī)（如電子發(fā)令、計量）的ping或業(yè)務(wù)連接。 4.5.預(yù)期目標(biāo)：

4.5.1.中調(diào)、地調(diào)計量系統(tǒng)通信機(jī)能ping通變電站計量系統(tǒng)通訊機(jī)。 4.5.2.變電站計量系統(tǒng)通信機(jī)能ping通中調(diào)、地調(diào)計量系統(tǒng)通訊機(jī)。

5.變電站橫向訪問業(yè)務(wù)連通性測試 5.1.測試目的

測試變電站－地調(diào)、中調(diào)保信系統(tǒng)需走非實時網(wǎng)絡(luò)時通信機(jī)之間的連通性，包括鏈路連通，和業(yè)務(wù)連通。

5.2.測試前檢查

在橫向防火墻設(shè)備上面，對其配置做以下檢查： 5.2.1.防火墻上采用靜態(tài)路由配置； 5.2.2.防火墻上不允許配置默認(rèn)路由；

5.2.3.防火墻上指向非實時VPN業(yè)務(wù)段地址的路由可使用匯總路由；

5.2.4.防火墻上指向?qū)崟r業(yè)務(wù)段地址的路由應(yīng)細(xì)化到相關(guān)業(yè)務(wù)系統(tǒng)主機(jī)地址；

5.2.5.控制區(qū)具有使用調(diào)度數(shù)據(jù)網(wǎng)非實時VPN進(jìn)行遠(yuǎn)程通信的系統(tǒng)，應(yīng)使用防火墻的NAT功能，在非控制區(qū)的非實時互聯(lián)VLAN的地址段上映射一個地址；

5.2.6.對控制區(qū)業(yè)務(wù)系統(tǒng)在非控制區(qū)的映射地址必須施加訪問控制策略。策略原則是：只允許控制區(qū)系統(tǒng)通過其非控制區(qū)的映射地址，正向訪問調(diào)度數(shù)據(jù)網(wǎng)非實時VPN上的相關(guān)業(yè)務(wù)地址；不允許調(diào)度數(shù)據(jù)網(wǎng)非實時VPN的網(wǎng)絡(luò)和業(yè)務(wù)地址反向訪問控制區(qū)業(yè)務(wù)系統(tǒng)在非控制區(qū)的映射地址。

5.2.7.防火墻設(shè)備應(yīng)啟用防SYN Attack、ICMP Flood、UDP Flood、teardrop、Ping of Death、land、端口掃描等功能。 5.2.8.禁止開通telnet、ftp、http等高風(fēng)險服務(wù)； 5.2.9.設(shè)備登錄賬號采用強(qiáng)口令。 5.3.預(yù)置條件：

5.3.1.各變電站已經(jīng)完成實時/非實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 5.3.2.地調(diào)已經(jīng)完成實時/非實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 5.3.3.中調(diào)已經(jīng)完成實時/非實時業(yè)務(wù)系統(tǒng)通信機(jī)接入調(diào)度數(shù)據(jù)網(wǎng)并保證運(yùn)行正常。 5.4.測試過程：

5.4.1.各變電站保信系統(tǒng)通信機(jī)ping通中調(diào)保信系統(tǒng)通信機(jī)非實時地址。 5.4.2.各變電站保信系統(tǒng)通信機(jī)ping通地調(diào)保信系統(tǒng)通信機(jī)非實時地址。 5.5.預(yù)期目標(biāo)：

5.5.1.各變電站保信系統(tǒng)通信機(jī)能ping通中調(diào)保信系統(tǒng)通信機(jī)非實時地址。 5.5.2.各變電站保信系統(tǒng)通信機(jī)能ping通地調(diào)保信系統(tǒng)通信機(jī)非實時地址。 6.實時邊界NAT測試 6.1.測試目的：

驗證子站實時業(yè)務(wù)能通過邊界防火墻，訪問主站的虛擬非實時地址。 6.2.測試拓?fù)洌?p>6.3.預(yù)置條件：

6.3.1.測試機(jī)接入到業(yè)務(wù)交換機(jī)上； 6.3.2.業(yè)務(wù)交換機(jī)和防火墻配置完畢；

6.3.3.非實時業(yè)務(wù)互聯(lián)接口及路由配置完畢。 6.3.4.NAT配置完畢。 6.4.測試過程：

測試機(jī)使用PING命令檢查到地調(diào)網(wǎng)絡(luò)連通性是否正常。 6.5.預(yù)期目標(biāo)：

網(wǎng)絡(luò)運(yùn)行正常，業(yè)務(wù)正常。

7.變電站縱向加密裝置ByPass測試 7.1.測試目的：

驗證關(guān)閉所有的縱向加密裝置后，通過ByPass的明文模式傳送數(shù)據(jù)

7.2.預(yù)置條件：

已成功部署加密裝置并遠(yuǎn)動、保證業(yè)務(wù)系統(tǒng)通信正常。 7.3.測試過程：

7.3.1.同時關(guān)閉所有的縱向認(rèn)證加密裝置電源。 7.3.2.同時啟動所有的縱向認(rèn)證加密裝置電源。 7.4.觀察命令：

實時業(yè)務(wù)終端與實時業(yè)務(wù)前置服務(wù)器相互ping的ICMP包，網(wǎng)絡(luò)沒有丟包現(xiàn)象。 7.5.預(yù)期目標(biāo)：

7.5.1.當(dāng)同時關(guān)閉所有縱向加密認(rèn)證裝置電源后，約丟失約60個ICMP包后，自動通過明文模式，恢復(fù)網(wǎng)絡(luò)通信。 7.5.2.當(dāng)同時啟動所有縱向加密認(rèn)證裝置電源后，約丟失約110個ICMP包后，自動通過加密模式，恢復(fù)網(wǎng)絡(luò)通信。 8.Vlan間業(yè)務(wù)系統(tǒng)訪問控制測試 8.1.測試目的：

驗證主站及子站Vlan間相關(guān)的業(yè)系統(tǒng)可以互訪，不同的業(yè)務(wù)系統(tǒng)不能互訪。 8.2.預(yù)置條件：

所有設(shè)備配置完成。 8.3.測試過程：

8.3.1.在主站的“控制區(qū)交換機(jī)”上面，接入2臺遠(yuǎn)動服務(wù)器，劃分進(jìn)vlan100，在遠(yuǎn)動-1同時 ping 遠(yuǎn)動-2，觀察網(wǎng)絡(luò)通信狀態(tài)。

8.3.2.在主站的“非控制區(qū)交換機(jī)”上面，接入2臺計量服務(wù)器和2臺保信服務(wù)器，分別劃分進(jìn)vlan199，在計量-1同時 ping 計量-2和保信-1，觀察網(wǎng)絡(luò)通信狀態(tài)；同理，在保信-1同時 ping保信-2和計量-1，觀察網(wǎng)絡(luò)通信狀態(tài)。

8.3.3.在子站的“控制區(qū)交換機(jī)”上面，接入2臺遠(yuǎn)動服務(wù)器和2臺模擬服務(wù)器，分別劃分進(jìn)vlan100，在遠(yuǎn)動-1同時 ping 遠(yuǎn)動-2和模擬-1，觀察網(wǎng)絡(luò)通信狀態(tài)；同理，在模擬-1同時 ping 模擬-2和遠(yuǎn)動-1，觀察網(wǎng)絡(luò)通信狀態(tài)。

8.3.4.在子站的“虛設(shè)的非控制區(qū)交換機(jī)”上面，接入2臺計量服務(wù)器和2臺保信服務(wù)器，分別劃分進(jìn)vlan199，在計量-1同時 ping 計量-2和保信-1，觀察網(wǎng)絡(luò)通信狀態(tài)；同理，在保信-1同時 ping 保信-2和計量-1，觀察網(wǎng)絡(luò)通信狀態(tài)。 8.4.預(yù)期目標(biāo)：

同一業(yè)務(wù)系統(tǒng)之間可以互相通信，不同業(yè)務(wù)系統(tǒng)之間不能通信。 參考文獻(xiàn)：

1.14號令 [S]，《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》,2014-8-1

2.國家能源局【2015】36號 [S]，“關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評估規(guī)范的通知，2015年3月12日 3.調(diào)自[2008]19 號[S]，《南方電網(wǎng)電力二次系統(tǒng)安全防護(hù)技術(shù)實施規(guī)范》，2015年9月19日 4.《廣東電網(wǎng)電力二次系統(tǒng)安全防護(hù)實施規(guī)范》 [S]，

5.《廣東電力調(diào)度數(shù)據(jù)網(wǎng)及調(diào)度生產(chǎn)業(yè)務(wù)系統(tǒng) IP 地址規(guī)劃（東莞供電局分冊）》 [S]， 6.《廣東電力調(diào)度數(shù)據(jù)網(wǎng)業(yè)務(wù)段IP地址使用說明-地區(qū)供電局部分》 [S]，

7.《廣東電網(wǎng)電力二次系統(tǒng)安全防護(hù)項目之設(shè)備命名指導(dǎo)意見》 [S]， 8.《地區(qū)供電局電力二次系統(tǒng)安全防護(hù)項目之安全策略配置指南》 [S]， 9.《電力二次系統(tǒng)安全防護(hù)總體方案》（電監(jiān)安全[2006]34號） 10.《信息安全等級保護(hù)管理辦法》[S]，（公通字[2007]43號)

11.《關(guān)于開展電力行業(yè)信息系統(tǒng)安全等級保護(hù)定級工作的通知》[S]，（電監(jiān)信息[2007]34號） 12.《關(guān)于組織開展電力二次系統(tǒng)安全防護(hù)評估試點工作的通知》[S]，（辦安全函[2012]191號） 13.《中國南方電網(wǎng)電力二次系統(tǒng)安全防護(hù)技術(shù)規(guī)范》[S]，（Q/CSG110005-2012） 14.《廣東電網(wǎng)電力二次系統(tǒng)安全防護(hù)實施規(guī)范》（廣電生[2008]117號）

15.《廣東電力二次系統(tǒng)網(wǎng)絡(luò)與信息安全管理規(guī)定》（S.00.00.00/DP.0400.0009） 16.《廣東電網(wǎng)公司信息安全等級保護(hù)實施方案》（廣電信[2009]27號） 17.《電力行業(yè)信息系統(tǒng)安全等級保護(hù)基本要求》（電監(jiān)信息[2012]62號）

盧沛堅,1975—，男，電氣工程師，自動化廠站端檢修 修調(diào)試員技師，繼保技師,主要從事變電站繼保自動化的運(yùn)維技術(shù)、電力二次系統(tǒng) 安全防護(hù)方面的研究工作

職創(chuàng)項目：廠站端二次安防集成策略一鍵生成工具，項目編號：031900KK52170028