1、电力监控体系安全防护的整体原则及战略

①电力监控体系安全防护的整体原则 电力监控体系安全防护的整体原则为“安全分区、网络专用、横向阻隔、纵向认证”。 华润南京电厂将电力监控体系分置于出产操控大区和办理信息大区。两个大区之间经过布置正反向阻隔设备进行物理阻隔。出产操控大区又区分为出产操控区与出产非操控区。出产操控区和非操控区之间经过布置防火墙进行逻辑阻隔。办理信息大区与外网相连时布置防火墙进行访问操控。在出产操控大区专用的调度数据专用网络鸿沟布置纵向加密认证设备，构成栅格状安全防护体系架构；在电力调度数据网路由器上布置MPLS-VPN技能完成操控区与电力调度数据网的实时子网，非操控区与电力调度数据网的非实时子网进行数据通讯。

②电力监控体系安全防护战略 a.出产操控大区安全防护战略 根据《电力监控体系安全防护规定》的指导精神，针对发电厂采纳的防护措施主要包含防火墙、侵略检测、侵略防护、病毒防护、缝隙扫描、日志审计体系、正（反）向专用安全阻隔设备、纵向认证加密设备、SSLVPN、终端安全办理、内网监控渠道、电力调度数字证书体系、拨号认证加密设备等体系，完成全面的防护。 b.办理信息大区安全防护战略 统一布置防火墙、恶意代码防护体系、IDS等通用安全防护措施。

2、电力监控体系网络结构描绘

电厂电力监控体系整体区分为出产操控大区和办理信息大区，其间出产操控大区又分为实时操控区（安全区Ⅰ）和非实时操控区（安全区Ⅱ）。电厂严格依照电力监控体系安全防护方案（国能安全[2015]36号）要求，将各电力监控体系进行分区域布置，其间NCS计算机监控体系、火电机组监控体系DCS等布置于实时操控区（安全区Ⅰ）；电能量收集设备、保护信息处理设备、毛病录波设备布置于非实时操控区（安全区Ⅱ）；调度数据网分别完成实时操控区（安全区Ⅰ）和非实时操控区（安全区Ⅱ）与调度端的数据通讯；NCS计算机监控体系、火电机组监控体系DCS均独立组网，相互之间经过硬接线的方法进行通讯；五防体系成为NCS计算机监控体系子模块，布置于NCS计算机监控体系网络中；電能量收集设备、保信子站体系、毛病录波设备经过调度数据网与调度端通讯，独立挂载于调度数据网非实时交流机上。横向连接处：办理信息大区尚未建造；纵向连接处：出产操控大区经过调度数据网与调度端进行数据通讯，布置南瑞纵向加密设备Netkeeper-2000纵向加密认证设备，完成纵向通讯的加密、认证以及访问操控。 三、存在的安全危险及应对措施

①主要安全危险 电源线和通讯线缆未分开铺设，无法避免对通讯线缆的电磁干扰；未对网络设备装备进行备份；体系内存在FTP、HTTP等通用网络服务；本体系未布置具有内网安全监督功用软件，无法完成实时监测电力监控体系的计算机、网络及安全设备运转状况，及时发现不合法外联、外部侵略等安全事件并告警等功用；对登录NCS计算机监控体系网络设备的用户启用了用户名+口令的身份鉴别机制，口令长度10位，字母、数字、特别字符组成。 调度数据网网络设备未设置console登陆密码；主机操作体系及使用体系帐户口令，设置口令长度8位，由字母组成；操作体系不存在无用账号、过期的帐户，但存在多人共用一个账户现象；windows操作体系敞开了默许同享；操作体系、数据库、使用体系敞开了审阅战略，但未布置第三方审计设备，无法对审计记录进行会集收集和统计分析；出产操控大区未布置侵略检测/防御体系；出产操控大区未布置防恶意代码办理体系；数据库未设置合理的口令战略，采用体系默许的战略。

②应对措施 在继电器室装置电子门禁体系，加强办理制度，定时巡检设备状况；重要设备和主要部件设置明显的不宜去除的标签；布置温湿度计量设备，并布置精细空调调理温湿度：动力电缆和信号电缆阻隔铺设；定时备份网络设备装备的备份文件；在出产操控大区内禁止通用网络服务，如E-Mail、Web、FTP等服务；布置内网安全监督使用，完成对网络、安全设备的监督和统一办理；设置口令长度不低于8位，数字、字母组合，且定时更换；口令长度不低于8位，由字母、数字或特别字符组成，且定时更换；避免存在多人同享帐户的情况；关闭默许同享；布置第三方审计体系，对操作体系、使用体系、数据库等日志进行会集收集和统计分析；经过技能手段完成操作体系的剩下信息保护功用，如更换为国产加固的操作体系麒麟和凝思等操作体系；针对操作体系布置主机型侵略检测设备，并采用离线方法及时晋级体系特征库；出产操控大区和信息办理大区布置防恶意代码产品，并采用离线方法及时晋级体系特征库；设置合理的口令战略；完成操作体系和数据库体系特权用户的权限别离；数据库体系敞开登录超时锁定功用；启用登录失败处理功用；经过技能手段完成使用体系的剩下信息保护功用；建立电力二次安全防护专责，配备有专职的安全办理员，负责具体的安全作业。