光伏电站网络安全防护

整改建设方案

XXXXXXX公司

  2020年5月

一 概述

一.1 总则

近年来，信息技术对社会及科学的发展做出了重要贡献，但是网络安全事件也频繁发生，所以网络安全防护也成为各行各业得重中之重，国网、南网供电企业及各新能源电力发电企业电厂电力监控系统安全防护也成为重点防护对象。

根据调网安〔2018〕10号国调中心关于印发《国家电网公司电力监控系统等级保护及安全评估工作规范（试行）》2.5.1文中：

为了认真贯彻落实《网络安全法》、《电力监控系统安全防护规定》等有关文件的精神，确保电网安全、优质、稳定运行，根据光伏电站目前网络实际情况，结合电力二次安防相关文件要求，依据国网XX电网公司要求（后附摘录）并结合X个电站电力监控系统的实际情况，特制定（XX电站、XX电站、XX电站、XX电站、XX电站）5个光伏电站网络安全防护整改建设方案。

《国网XX省电力有限公司2020年安全生产重点任务清单》

摘录

9、强化网络信息安全管理

9.1、严格落实生产控制大区物理隔离，实现变电站监测全覆盖，并网电厂监测覆盖率达到80%。

9.1.1、严格落实生产控制大区物理隔离，实现调度数据网相连并网电厂、用户变网络安全监测装置覆盖率达到100%，要求并网电厂覆盖率达80%。

9.1.2、建设生产控制大区恶意代码监测技术手段，提升恶意代码识别和阻断能力，年内实现地级以上调度机构所有生产控制大区操作系统恶意代码监测全覆盖。

9.2、明晰网络边界，强化动态感知、在线防御、联动处置，开展7×24小时常态监测，做好重大活动网络安全保障。

9.2.1、加强网络安全分析室综合防御技能，强化动态感知、在线防御、联动处置，开展7×24小时常态监测，提升网络安全监测分析能力。

9.2.2、明晰网络边界，完善网络安全应急保障方案，持续提升应急处置能力，加强网络安全督查工作，做好“全国”、“护网”专项演习、“乌镇世界互联网大会”等重大活动网络安全保障。

9.3、加强网络攻防能力建设，推动网络安全红蓝队综合能力提升，逐步形成红蓝一体、攻防一体的攻防对抗态势。

9.3.1、优化网络安全红队技能提升，持续开展网络安全漏洞隐患排查。

9.3.2、锻炼网络安全蓝队实战能力，提升监控预警、应急处置、攻击溯源能力。

✧《中华人民共和国网络安全法》(2016第53号令）

✧《关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全[2015]36号）

✧《关于开展电力行业信息系统安全等级保护定级工作的通知》(电监信息[2007]34号)

✧《信息安全等级保护管理办法》 (公通字[2007]43号)

✧《电力行业信息系统安全等级保护基本要求》（信息管理类）

✧《电力行业信息系统安全等级保护基本要求》（生产控制类）

✧《工业控制系统信息安全》（GB/T 30976-2014）

✧《关于开展信息安全等级保护安全建设整改工作的指导意见》 (公信安[2009]1429号)

✧信息系统安全等级保护基本要求（GB/T 22239-2008）

✧信息系统等级保护安全设计技术要求（GB/T 25070-2010）

✧《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）

✧《关于加强工业控制系统信息安全管理的通知》（工信部451号文）

✧《工业控制网络安全风险评估规范》（GB/T 26333-2010）

二 项目概况

二.1 项目单位

1)（XXX）分布式光伏电站

2)（XXX）分布式光伏电站

3)（XXX）分布式光伏电站

4)（XXX）分布式光伏电站

5)（XXX）分布式光伏电站

二.2 电站网络拓扑（原架构）

以（XXX）分布式光伏电站为例：

综合自动化系统示意图（XXX电站网络拓扑原架构）

二.3 安全防护目标

电站监控系统安全防护主要针对网络信息安全，目标是：

1)抵御黑客、病毒、恶意代码等通过各种形式对电力监控系统发起的恶意破坏和攻击，尤其是集团式攻击；

2)防止未授权用户访问系统或非法获取信息以及重大违规操作行为。

防护重点是通过各种技术和管理措施，对实时闭环监控系统及调度数据网的安全实施保护，防止电力监控系统瘫痪和失控，并由此导致电力系统故障。

二.4 问题情况

三.1 总体防护策略

根据对电站监控系统现状的分析，现提出以下总体安全需求说明：

1 ) 通信安全需求

厂各系统设备之间采用以太网式连接必须采取符合相关规定的横向隔离措施。

生产业务系统设备与调度端专线通信式不考虑安全防护。

生产业务系统设备与调度端采用语语音拨号通信不考虑安全防护。

生产业务系统设备与调度端经调度数据网和保护专用网络通信须采取隔离措施，防止网络攻击、病毒和非法操作。

2 )各系统安全需求

电站各业务系统应采用电力调度数字证书，对用户登录本地操作系统、访问系统资源等操作进行身份认证，根据身份与权限进行访问控制，并且对操作行为进行安全审计。

3 )全局安全需求

重点强化边界防护，同时加强物理、网络、主机应用和数据安全，加强安全管理制度、机构、人员、系统建设、系统运维的管理，提供系统整体安全防护能力，保证电力监控系统及重要数据的安全。

三.1.1安全分区

根据《电力监控系统安全防护规定》的要求，在调度数据网划分两个VPN，分别是：实时控制VPN和非控制生产VPN，分别供安全区I（实时控制区）、安全区II（非控制生产区）。调度数据网作为数据采集汇聚中心，由调度数据网接入省调、地调骨干节点，实现集控中心的调度自动化。

信息经过调度数据网向省调、地调传送。安全分区如图所示：

三.1.2边界安全防护

1)横向边界防护

生产控制大区与管理信息大区边界安全防护：生产控制大区与管理信息大区之间通信应当部署电力专用横向单向安全隔离装置。

控制区（安全区I）与非控制区（安全区II）边界安全防护：安全区I与安全区II之间应当采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当的设备，实现逻辑隔离、报文过滤、访问控制等功能。

系统间安全防护：厂站内同属于安全区I的各机组监控系统之间、机组监控系统与控制系统之间、同一机组的不同功能的监控系统之间，尤其是机组监控系统与输变电部分控制系统之间，根据需要可以采取一定强度的逻辑访问控制措施，如防火墙、VLAN等。

厂站内同属于安全区II的各系统之间、各不同位置的厂站网络之间，根据需要可采取一定强度的逻辑访问控制措施，如防火墙、VLAN等。

厂站内同属于管理信息大区的各系统之间、各不同位置的厂站网络之间，根据需要可采取一定强度的逻辑访问控制措施，如防火墙、VLAN等。

2)纵向边界安全防护

厂站生产控制大区与调度端系统通过电力调度数据网进行远程通信时，应当采用认证、加密、访问控制等技术措施实现数据的远方安全传输及纵向边界的安全防护。厂站的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相关设施，与调度端实现双向身份认证、数据加密和访问控制。 

3)第三方边界安全防护

如果发电厂生产控制大区中的业务系统与环保、安全等部门进行数据传输，其边界防护应当采用生产控制大区与管理信息大区之间的安全防护措施。

管理信息大区与外部网络之间应采取防火墙、VPN和租用专线等方式，保证边界与数据传输的安全。

禁止设备生产厂家或其他外部企业（单位）远程连接发电厂生产控制大区中的业务系统及设备。

三.1.3综合安全防护

1)入侵检测

生产控制大区可以统一部署一套网络入侵检测系统，应对合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计。

2)主机与网络设备加固

厂级监控系统等关键应用系统的主服务器，以及网络边界处的通信网关机、WEB服务器等，应当使用安全加固的操作系统。加固方式包括：安全配置、安全补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安全应当经过测试。

非控制区的网络设备与安全设备应当进行身份鉴别、访问权限控制、会话控制等安全配置加固。可以应用电力调度数字证书，在网络设备和安全设备实现支持HTTPS的纵向安全WEB服务，能够对浏览器客户端访问进行身份认证及加密传输。

应当对外部存储器、打印机等外设的使用进行严格管理。

生产控制大区中除安全接入区外，应当禁止选用具有无线通信功能的设备；管理信息大区业务系统使用无线网络传输业务信息时，应当具备接入认证、加密等安全机制。

3)应用安全控制

厂级监控系统等业务系统应当逐步采用用户数字证书技术，对用户登录应用系统、访问系统资源等操作进行身份认证，提供登录失败处理功能，根据身份与权限进行访问控制，并且对操作行为进行安全审计。

对于发电厂内部远程访问业务系统的情况，应当进行会话控制，并采用会话认证、加密与抗抵赖等安全机制。

4)安全审计

生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。

可以采用安全审计功能，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。

5)专用安全产品的管理

安全防护工作中设计使用横向单向安全隔离装置、纵向加密认证装置、防火墙、入侵检测系统等专用安全产品的，应当按照国家有关要求做好保密工作，禁止关键技术和设备的扩散。

6)备用与容灾

应当定期对关键业务的数据进行备份，并实现历史归档数据的异地保存，关键主机设备、网络设备或关键部位应当进行相应的冗余配置。控制区的业务系统（应用）应当采用冗余方式（客户单位自行建置）。

7)恶意代码防范

应当及时更新特征码，查看查杀记录。恶意代码更新文件的安装应当经过测试。禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。

8)设备选型及漏洞整改

电力监控系统在设备选型及配置时，应当禁止选用经国家相关管理部门检测认定并经国家能源局报存在漏洞和风险的系统及设备；对于已经投入运行的系统及设备，应当按照国家能源局及其派出机构的要求及时进行整改，同时应当加强相关系统及设备的运行管理和安全防护。生产控制大区中除安全接入区外，应当禁止选用具有无线通信功能的设备。

三.2 整改内容

根据现场情况分析检查出的问题作为主要的更改方向，其次完善站内其他安全防护的加固，完成站内涉网系统的安全防护，以下为站内安全防护主要整改内容：

1)系统多为windows操作系统，未关闭多余的80、135、139、445等服务端口，开启了Remote regisry,Tast schedular等多余服务。未安装防病毒软件，未进行主机加固。

整改标准：关闭操作系统多余的高危端口80、135、139、445等，关闭Remoteregisry、Tastschedular 等多余服务。安装企业版杀毒软件，对涉网所有Windows主机及服务器进行加固（设置屏幕保护功能、关闭高危端口、开启三权用户、设置账户权限等）。

2)网络设备（Ⅰ、Ⅱ交换机）空闲端口未封闭，服务器USB接口未关闭的情况。

整改标准：对网络设备（I/II区交换机）空闲端口进行关闭，禁用所有涉网服务器USB接口。

3)生产控制大区未部署日志审计系统。

整改标准：在生产控制大区部署满足国家相关标准的入侵检测系统及安全审计功能的设备和应用，日志审计系统满足网络安全法定制的日志保存6个月的要求。

4)拓扑图过于简单，与现场实际不相符。

整改标准：对网络布线重新整理，安全I区与II区网线与不同颜色的网线进行区分，制作网线标签及设备标签，汇同新增安全防护设备重新绘制网络拓扑图。

5)锻炼网络安全蓝队实战能力，提升监控预警、应急处置、攻击溯源能力。

整改标准：在网络边界部署一套攻击索源系统，实现终端、服务器的保护，未知威胁检测发现、攻击回放、威胁检索、横向移动检测、网络流量分析、攻击取证。

以上工作完成后对（XXXXXX）五个光伏电站涉网所有设备进行全部检查，全部进行整改，对不满足要求的设备软件方面及硬件方面进行实时改进，按照国网XXX电网的标准。

四 工期进度计划措施

四.1 工期进度计划

我司所投的设备生产周期为20天，根据合同进度满足本项目的交付期。

以下工期进度计划预估15天（为单个电站整改实施工期），具体工作内容、人员、天数等安排如下：

(一)人、财、物的保障

公司决定在人力、财力、物力等各方面给予优先安排，以确保施工顺利有序进行。

1)选派技术部骨干成员，组成强有力的技术指挥中心，由一名公司副经理担任现场总指挥，对工作上不称职、不得力的人员，公司将立即给予撤职更换:对分部、分项工程按总进度计划提前完成的有关人员给予奖励，对无故延误工期的有关人员实行经济处罚，并认真查找原因，及时采取措施。

2)供货部门要根据申请计划，提前制定设备采购和供应计划，选择合格的供货商，提前3 天按工程进度、部位将设备采购至现场，避免因供应不及时而耽误工期的现象发生。

(二)加强计划管理

根据工程条件合理安排总施工进度计划和各阶段目标计划，施工中制定光伏电站计划，利用合同管理等手段控制计划目标的实现。

由技术部组织召开每周碰头协调会(远程) ，检查落实当天计划、完成情况、未完成计划原因，及时解决影响进度、质量、安全、文明施工存在的问题及采取相应的措施，安排布置第二周天的计划。

1)技术保障措施

合理配备技术人员、安装调试的各类工具、辅料等。

2)场地狭小的应对措施

若出现安装调试空间不足，施工时必须合理做好施工各阶段现场平面布置，有效规划和利用现有场地。

相关设备放置靠近施工的位置，减少二次搬运，加快施工进度。

3)劳动力保障措施

技术队伍的选择，我们将按照客户公司的要求提前选择技术队伍，并审查技术队伍资质。技术队应按施工所需陆续安排其进场，并在进场时对其进行安全、治安、环保、卫生等方面地教育，并进行针对性的技术、质量标准和现场管理制度的培训。

4)深化设计与设计协调

为保证现场施工的需要，提高施工质量， 减少返工现象，项目中标后我公司将会由技术部负责!，专门负责图纸审核、与设计联系、图纸深化、节点详图制作等工作并且该部门会及时向业主、监理和设计方提交一份详细的深化设计且图纸绘制和送审的计划表， 包括深化设计节点详图出图的总控计划、阶段计划和月计划，由阶段计划和月计划指定周计划，再由周计划制定日计划，井按照已经获得的设计图纸、招标文件和技术规范的要求，进行详细的设计绘制、复核和深化工作。尽可能考虑各种因素， 保证工程进度计划正常进行。通过设计协调，提前将各专业间设计上存在的问题予以解决，避免施工完成后再进行返工处理，为总工期的完成给予设计保障。

5)设备安装进度计划保障措施

⏹配置性能良好，数量充足网络安全监测装置

根据施工进度要求及工程施工经验，在施工现场配置合格的网络安全防护设备， 既有利于保证施工进度，又能保证施工质量。

⏹保证品种辅料及时供应

加强施工辅料的管理与采购力度， 确保按计划进度实施。各专业技术人员及时准确地提出辅料设备需用计划， 根据总体进安排提出辅料、设备的进场时间。并对辅料的供应从开始询价至货到现场进行全过程跟踪，确保到货辅料满足施工图纸及业主、监理的要求，避免安装后不必要的返工。严格道审制度，设备和重要辅料都要履行业主、监理和设计的送审；得到书面的批准后方可进行采购。及时和提前充分准备、辅料资料，以保证设备、辅料早日确定，以免延误工期。

(三)设备及辅料采购、加工和运输的保障措施

1)对采购的过程监控

在公司内部， 我们严格执行质量管理体体系的规定， 供方在经公司评价合格的合格方内选择；所有设备合同必须由公司采购部签定， 项目提交设备计划、技术交底和商务交底等文件；所有设备合同必须经过公司评审，一般设备合同由公司财务部组织评审， 重大设备合同〈金额较高、技术较复杂或确认为重要的物资)必须由技术部、销售部、行政综合部等相关部门共同评审， 所有合同评审合格后方可签订。

2)对运输的过程监控

合同中明确对包装和运输的一般和特殊要求，供方发货、运输和到货时，供需双方及时保持联系和协调。如对合同设备的运输在合同中明确供方应在合同规定的交货期前以传真形式将合同号、货物名称、数量、包装件数、单件重量、单位体积、总毛重、总体积，单价和总价和备妥交货日期等以及对货物在运输、吊装和仓储方面的特殊要求和注意事项通知需方，以便需方准备接货工作，并按需方回复的具体时间将货物运送到现场。

四.2 售后服务方案

四.2.1售后服务方案

⏹技术支持

为便于本项目设备的安装、调试和投运，我方会自费派出熟练的技术人员或专家到项目现场进行技术服务，指导现场安装、调试和运行。并解答项目设备制造及性能等方面的有关问题，详细解答项目范围内招标方提出的问题。我方承诺技术后援支持，并为今后该装置提供1年的质量保证期限。

由招标方安排适当时间以及现场人员的情况，由我方技术人员对设备的正确安装、使用和试验给予技术讲课，并在现场调试阶段，对招标方系统管理员进行培训，使其掌握本项目设备硬件、软件的结构原理，掌握本项目设备的安装、调试及诊断维护，使其掌握系统维护的各项技能。

对招标方选购的与本项目设备有关的配套设备，我方有提供技术配合的义务，并不因此而增加任何费用。

⏹电话支持

我方保证服务时间内，接通率保证100%，95%以上的呼叫接通时间不小于30秒。

服务热线：XXXXXX

⏹邮件支持

我方开设专门的E-Mail信箱，并指派专职工程师定时查看信箱，接受招标人技术咨询或设备报修。我方收到邮件后，对于一般性的技术问题应在30分钟内给以响应；对于较复杂的技术问题，应在2小时内给以答复。

电子邮件：XXXXXXX

我方在江西省、湖南省、浙江省各设有办事处及项目服务驻点地，当系统出现问题时，1小时内响应用户的要求，4小时以内工程师赶赴现场处理，对关键部件须在12小时内解决问题，并确保整个应用系统的正常运转。

由于我方的错误指导或建议所致的损失，由我方负责。

项目实施过程中，将进行设备及软件的部分功能验证测试，双方现场人员对测试结果进行确认签字后，可作为竣工验收的依据。

项目完成交付后，即可进行系统的竣工验收。验收的内容为系统所有设备功能/性能以及稳定性的测试，并按验收大纲要求测试合同设备的所有功能和技术性能并达到合格。如竣工验收开始后一周内合同设备仍不能正常运行，则现场验收不能通过。我司采取必要的措施予以纠正。

竣工验收开始前，我司负责提供验收细则和应用功能最终验收大纲，经双方确认后作为验收的依据。

竣工验收将进行软件介质及其有关技术资料图纸的清点交接。

五 设备清单（以实际现场需求有准）

以下配置清单表。为单个电站整改项目单套数量。（XXX）光伏电站共5个项目，总共需5套。