H3C电力调度二次安全防护解决方案

应用领域：能源承担项日公司：杭州华三通信技术有限公司（文中简称Ｈ３Ｃ）Ｈ３Ｃ电力调度二次安全防护解决方案电力调度二次防护背景电力能源是国民经济的命脉，随着“厂网分离”、“西电东送”、“电力交易市场”的开展，电力企业竞争加剧，信息化建设作为我国电力行业产业优化升级和实现现代化的关键手段，成为电力企业谋求生存和发展的必然选择。

近年来，信息技术在电力企业管理、生产管理和过程管理中的应用，提高了电力企业的生产运行和经营管理水平。

电力行业是国家重要的能源支柱产业，也是我们日常工作和生活的基础保障。

电力行业中对信息安全业务影响最大的两个文件是国家经贸委《电网和电厂计算机监控系统及调度数据网络安全防护规定》（【２００２】第３０号令）和国调中心发布的“全国电力二次系统安全防护总体方案”。

这两个文件从政策法规的层面和技术方案的层面，规定了电力企业，尤其是电力调度部门信息安全建设的具体措施，包括各类信息安全产品的采用及部署。

各地、各公司正在按方案的要求进行整改和建设。

电力调度二次系统安全需求分析电力信息化发展到现在已经走过了一段较长的历程，经历了个人业务信画化，网络大规模建设实现办公电子化的过程，对于企业信息系统的安全建设也做了＝大量的工作，完成了对信息节点安全和整网区域安全的规范和规定的下发，实现了安全分区，网络专用，横向隔离，纵向认证，完成了电力调度网络的安全防护产品规模部署。

按照国家电力监管委员会第５号令《电力二次系统安全防护规定》的安全分区原则，省调、地调、厂站二次系统划分为生产控制大区和管理信息大区。

生产控制大区分为控制区（安全区Ｉ）和非控制区（安全区Ⅱ）；根据调度中心二次系统的业务安全要求，将管理信息大区分为生产管理区（安全区Ⅲ）和管理信息区（安全区ＩＶ）。

目前在电力调度数据网中，比较常用的安全防护手段主要包括：在安全Ｉ区和安全Ⅱ区之间通过防火墙进行了隔离；安全Ⅱ区和安全Ⅲ区通过网闸实现正向隔离和反向隔离，通过上述措施实现了横向的逻辑隔离，同时采用ＩＤＳ进行了入侵检测。

而各县调虽然也划分了安全区域，但是各安全区之间缺乏横向的逻辑隔离措施。

在前期安全系统建设中，已经购买了一些基础性的安全防护产品，但是这些安全产品大部分防护层次低，已经无法满足目前的网络与信息系统安全防护需求。

随着电力行业对于信息系统依赖度的不断提高，电力业务系统开始向资源业务整网集中，统一协同，快速响应过波对于企业网络安全的需求也逐步转向统一策略，统一规划，统一管理。

图１电力调度二次系统安全现状图电力调度＝次安全防护解决方案Ｈ３Ｃ电力调度二次安全防护解决方案通过对电力二次系统安全防护总体要求的深刻理解，提出了统一规划，统一策略，统一管理的统一安全构建体系，从内网安全区域隔离，接入控制，数据中心保护以及统一安全管理四个方面给出了一套符合电力二次系统安全防护总体方案要求的端到端通讯安全保障体系，并在相当多的电力企业等到了实践和应用。

图２电力调度二次系统安全加固图万方数据２００９．０１１．内网安全区域隔离针对安全Ｉ／ＩＩ区之间、ＩＩ／ＩＩＩ区之间的横向边界，省调、地调、厂站的纵向边界进行安全隔离和防护。

１．Ｉ横向隔离和防护在安全Ｉ区和ＩＩ区之间部署一台Ｈ３ＣＳｅｃＰａｔｈ防火墙进行安全隔离，部署一台ＩＰＳ进行应用层安全防护；在安全ＩＩ区和ＩＩＩ区之问目前已经采用正向隔离装置和反向隔离装置进行安全管理，因此再增加一台ＩＰＳ进行引用层防护。

同时，Ｈ３ＣＩＰＳ可以采用在线，旁路混合部署模式，利用ＩＰＳ多端口可以将一台设备可以同时当作ＩＰＳ和ＩＤＳ使用，降低投入成本，简化网络结构。

图３Ｉ－－１３ＣＩＰＳ可支持在线／旁路混舍部署１．２纵向隔离和防护各安全区域从省调到地调到各厂站的纵向连接处，目前大多采用了纵向加密设备，没有采用安全防护手段，因此，在各级网络的出口部署一台防火墙，进行安全隔离和防护。

同时，由于电力调度网中，采用ＭＰＬＳＶＰＮ组网，从省中心到地调、县调、变电站、电厂均通过ＭＰＬＳＶＰＮ连接。

在各ＰＥ与ＣＥ设备之间，部署一台ＳｅｃＰａｔｈ防火墙，采用虚拟防火墙技术，可以对各分支机构的访问做安全控制，每个ＶＰＮ分配一个虚拟防火墙，配置不同的安全策略，互相之间不影响，避免ＭＰＬＳＶＰＮ中ＩＰ地址重叠的问题，并目可以对ＶＰＮ灵活的增加或删除。

图４Ｈ３ＣｓｅｃＰａｔｈ防火墙支持ＭＰＬＳｖＰＮ组网２．安全…区终端安全准入针对安全ＩＩＩ区的接入ＰＣ终端进行安全准入控制，防止因为某些终端安全隐患影响到电力调度数据网。

在电力调度ＩＩＩ区中，ＰＣ终端具有较大的安全隐患，不安装杀毒软件、不及时升级病毒库和系统能够补丁、随意接入网络、私设代理服务器、私自访问保密资源等行为会直接影响电力调度网的正常运行，并可能造成重大损失。

因此必须建立端点准入机制，对接入电力调度网络的终端强制实施安全策略，严格控制终端用户的网络使用行为，可以加强用户终端的主动防御能力，大幅度提高网络安全。

电力调度终端安全准入要求用户接入网络前，通过统一管理的安全策略强制检查用户终端的安全状态，并根据对用户终端安全状态的检查结果实施接入控制策略，对不符合安全标准的用户进行“隔离”并强制用户进行病毒库升级、系统补丁升级等操作；在保证用户终端具备自防御能力并安全接入的前提下＇可以通过动态分配ＡＣＬ、ＶＬＡＮ等合理控制用户的网络权限，从而提升网络的整体安全防御能力。

图５终端安全准入四部曲３．数据中心保护数据中心的数据十分机密和重要，如果没有完善的安全保护，那么内部的机密信息将受到威胁，包括被窃取、篡改、删除的威胁，而可能导致灾难性的后果。

因此，必须能够全方位的保护数据中心业务的安全，不但需要保护数据中心中关键应用和保密数据；并需要增强数据中心的运营效率，增强业务竞争力，而且具有扩展性以支持随时可能出现的新业务流程。

电力调度网的数据中心主要是安全ＩＩＩ区的ＯＭＳ数据平台，因此针对ＯＭＳ数据平台通过相应的防护手段进行安全加固。

图６电力调度数据平台安全防护万方数据（１）建议数据平台交换机采用Ｈ３ＣＳ７５００Ｅ系列交换机，可以通过安全模块方式扩充各种安全功能。

安全模块能够简化电力调度网络结构、减少设备单点故障、降低维护成本，相对独立的安全没备更加灵活可靠。

（２）部署ＳｅｃＢｌａｄｅ防火墙模块，对数据平台进行分区隔离，并且进行２—４层安全防护。

（３）部署ＳｅｃＢｌａｄｅＩＰＳ模块，针对数据平台服务器进行４－７层深度的入侵防护。

同时可通过Ｈ３ＣＩＰＳ独有的“虚拟软件补丁”技术对服务器进行漏洞防御。

（４）部署Ｓ＇ｅｃＢｌａｄｅＬＢ模块，对数据平台的服务器进行智能的动态负载均衡。

（５）单独划分安全管理区域，对数据平台的网络和安全设备以及服务器进行有效的统一安全管理。

４．统一安全管理随着电力二次防护系统的发展，需要综合部署各种安全设备。

为了管理这些设备，一般传统的手段是通过网络安全设备发送日志到服务器上，进行事后审计。

一个大型的网络，包含若干个网络产品。

这些网络设备随时发送系统日志信息，每天产生的日志信息多达数万条。

任何一个网络管理员很难通过系统日志来准确定位网络发生的安全故障；熟练的网络管理员，可通过系统日志分析，得到有用的网络信息，但响应速度很慢。

这个时候，采用网络设备自带的日志功能，已经不能满足用户需求了ｏＨ３ＣＳｅｃＣｅｎｔｅｒ安全事件统一管理能够提供对全网海量的安全事件和日志的集中收集与统一分析，兼容异构网络中多厂商的各种设备，对收集数据高度聚合存储及归一化处理，实时监控全网安全状况，同时能够根据不同用户需求提供丰富的自动报告，提供具有说服力的网络安全状况与政策符合性审计报告，系统自动执行以上收集、监控、告警、报告、归档等所有任务，使ＩＴ及安全管理员脱离繁琐的手工管理工作，极大提高效率，能够集中精力用于更有价值的活动，保障网络安全。

图表７Ｈ３Ｃ安全管理中心２００９．ｏ・Ｉ瞄图１６１方案优势分析１．Ｈ３Ｃ通过采用防火墙和ＩＰＳ对内网进行区域隔离，ＥＡＤ检测终端补丁、病毒库升级状态，在接入终端和内网区域之间高效控制病毒和蠕虫的传播，对内部病毒攻击进行全方位立体化控制，保证了内网的安全。

２．Ｈ３Ｃ通过在数据中心前端采用虚拟防火墙和ＩＰＳ深度防御技术针对性地将数据中心分为不同的逻辑区域，每个分区制定不同的安全策略和信任模型，灵活的特性满足了数据中心对安全的高标准要求。

３．Ｈ３Ｃ安全管理中心ＳｅｃＣｅｎｔｅｒ由策略管理、日志采集、分析决策、协同响应四个组件构成，与网络中的安全产品、网络设备、服务器、用户终端等独立功能部件通过各种信息交互接口形成一个完整的协同防御审计体系。

可以做到全网的统一管理、统一分析以及安全策略的统—吓发，保证电力二次防护系统的安全运行。

市场展望Ｈ３Ｃ电力二次安全防护解决方案通过对电力系统现阶段的需求分析，提出了统一规划，统一策略，统一管理的统一安全构建体系，从终端防护，数据中心安全，广域网安全，以及安全管理四个方面给出了一套面向电力业务系统的端到端通讯安全保障体系，希望这套解决方案的推出会对电力二次安全防护体系未来的发展提供一定的参考和借鉴意义，Ｈ３Ｃ相信面向业务基于统一安全策略构建的管理安全网络是未来企业网络安全发展的必然趋势。

随着我国电力行业市场化改革加速，电力行业信息化建设在电力企业集团化运做、提高企业综合竞争力方面作用日渐显著。

Ｈ３Ｃ公司在深刻认识到电力行业信息化建设重要性的同时，也认为ＩＴ厂商的价值就在于通过不断创新研发出更好的产品和行业解决方案。

所以，Ｈ３Ｃ公司针对电力行业的应用特点，不断强化服务电力行业信息化的能力，助力电力行业信皂化建设，促进电力行业的长远发展。

想到就要做到，Ｈ３Ｃ正在不懈努力，通过科技创新，相继推出了ＩＴＯＩＰ数字发电解决方案、生产数据一体化ＷＳＡＮ解决方案、电力行业安全内控解决方案、电力行业智能大楼四网合一解决方案及ＥＰＯＮ配网自动化数据通信解决方案等不同领域信息化解决方案，力争为中国电力行业信息化建设做出更大的贡献。

◆（责编潘静）万方数据。