电力专用公网通信数据安全防护方法

文档序号:7946432
专利名称:电力专用公网通信数据安全防护方法
技术领域
本发明涉及一种电力专用公网通信数据安全防护方法。
背景技术
当前,全国电力系统正在按照《电力二次系统安全防护规定》(电监会5 号令)确定的"安全分区、网络专用、横向隔离、纵向认证"十六字方针的 要求全面开展的安全防护工作,对加大网络与信息安全保障力度、保证正常 生产运行信息畅通、保障电力二次系统安全具备重大的战略意义。根据《电力二次安全防护方案》,其对公网通信的要求有如下方面 "110kV及以下的变电站安全防护"中提出的"远程通信网络优先使用电 力调度数据网,其次可以选用专线,再次可以选用公网,但是使用公网时通 信必须加密(可软加密)";"地县调二次系统安全防护"中提出的"县调自动化、配网自动化、负荷 管理系统与被控对象之间的数据通信可采用县级专用数据网络,不具备专网 条件的也可采用公用通信网络,但必须采取数据加密等有效安全防护措施";配电二次系统在"不具备专网条件的可采用公网数据通信网络,如GPRS、 CD區、TD-SCDMA、 ADSL和无线局域网等,应当采取安全防护措施,并禁止与 调度数据网互联"。使用公用数据网络只能通过专用通信协议传输实时遥测、遥信、负荷的计 算数据等信息。因此,电力系统在某些特定的情况下即通信条件不具备时与主站可使用 公网通信,但是具体的防护技术措施并未明确。"公网"相对于"电力专用网"来讲,其设计目标是针对公众用户的不 同需求、灵活多样的通信方式及通信成本的经济性等特点而定,因此,其首要目标是盈利、其次才是可靠安全等目标。由于"公网"包含卫星、GPRS、 CDMA、固定电话等多种模式,现在尽以GPRS APN网络为例简要分析其通信 方式和安全漏洞。GPRS是基于IP的骨干网,而目前许多黑客都对TCP/IP协议非常熟悉, 这就使得它更容易受到攻击。GPRS可能面临的攻击如下 黑客是指试图从外部IP网络(如Internet)侵入到GPRS系统的人, 他们的目的是破坏GPRS网络或者窃取信息以显示他们的能力,也有的是为了出卖信息来赚钱。 管理人员应确保GPRS的网络管理人员对系统不造成任何危害,对他们 访问内部网络的权限要加以限制。*服务提供商大多数服务提供商都不是有意的破坏GPRS网络,但是由于 疏于软件更新或其它类似的情况都会对网络造成威胁。 合作者诸如ISP等。因为ISP直接与GPRS骨干网相连,无疑就成为一 个开放的互联,他可能在无意之间泄露了一些信息或者向第三方提供了 物理层的链路。这都使得GPRS网存在着安全隐患。 其通信逻辑框图如图l所示,现行GPRS/CD區网络的一个承担电力通信网 关的是DTU(Data Terminal Unit),事实上,DTU相当于串口数据流与TCP /IP、 SMS协议之间互相转换的转换器,其基本通信工作原理如下上行数据DTU收到用户终端设备串口上的数据后封装成IP包,通过
GPRS/CDMA/EDGE及Internet网络平台并发送到数据中心端;数据中心软件收到数据包后进行IP包的分用,将最原始的用户终端设备发上来的数据呈现给用户的过程。
下行数据数据中心软件向当前在线的DTU发送一个数据并封装成IP包,通过Internet以及GPRS/CDMA/EDGE网络平台发送给DTU, DTU收到这个IP包后,进行IP包的分用还原用户数据并以串口数据流发送给用户设备。
综上所述,由于DTU的设计目标是协议转换与数据通信,从原理上来说没有采取网络层上的身份认证与传输加密技术,因此其安全性很低,尤其是在GPRS网络传输时延较大(通常1500ms左右),采用TCP通信往往会有重传数据包产生,许多DTU为了减少数据流量降低通信成本,将TCP改为UDP,此时更易受到网络上的黑客攻击,安全性更为脆弱,因此以这种通信模式来实现电力调度的数据通信时存在较大的安全隐患,必须采取必要的安全防护措施。

发明内容
本发明所要解决的技术问题是克服现有技术的不足,提供一种电力系统在公网通信数据时的安全防护方法,使在公网进行数据通信时达到安全可靠、不易遭受攻击的目的,解除使用公网通信对电力系统造成的威胁。本发明通过网络隔离、权限受控、身份认证、传输加密的技术手段为电力专用公网通信数据提供安全可靠的数据通信方法,.从而实现随时随地使用公网通信并保证信息安全的前提进行数据通信。
本发明所采用的技术方案是本发明用于对电力专用公网数据通信系统的通信数据进行防护,所述电力专用公网数据通信系统包括通信前置机、远程rtu、公共网络、主叫远动通信安全网关、被叫远动通信安全网关,所述主叫远动通信安全网关内部设有内网主机i 、外网主机i,所述被叫远动通信安全网关内部设有内网主机ii 、外网主机ii,所述电力专用公网通信数据安全防护方法的实现包括以下步骤
A:网络隔离由于公网上存在安全风险,因此首先要以网络隔离的措施来保护电力系统的内部网络,所述通信前置机与所述主叫远动通信安全网关的内
网主机i以网络或串口的方式连接,所述远程rtu与所述被叫远动通信安全
网关的内网主机n以网络或串口的方式连接,所述外网主机i、所述外网主机n与所述公共网络以网络连接,所述内网主机i与外网主机i以高速串口结合非网络协议方式连接,所述内网主机n与外网主机n以高速串口结合非网络协议方式连接,从而达到既能保证应用程序之间进行双向数据通信,又
能保证网络层面公网与内网之间的安全隔离;
B:权限受控对网络层面的数据采用基于MAC、 IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;对应用层的通信规约数据增添各种通讯协议的分析,如104规约等,根据通讯连接建立的状态以及应用数据包的结构,对带控制命令的通信数据包可以根据策略设置允许或限制其通过。C:身份认证所述主叫远动通信安全网关主动向所述被叫远动通信安全网关发出连接信号,采用电力调度专用数字证书进行身份认证,对所述被叫远动通信安全网关进行身份鉴别,同时向所述被叫远动通信安全网关表明自己的身份,电力调度系统数字证书是为电力调度系统的用户、关键网络设备、服务提供数字证书服务,通过数字证书实现高强度的身份认证、安全的数据传输、以及可靠的行为审计,确保电力实时闭环监控系统及调度数据网络的安全,防止由此引起电力系统故障;公网安全防护采用电力调度系统数字证书系统颁发的设备证书进行身份认证,以验证身份是否可以信任,从而确定对方身份的真实性、数据通信保密性、完整性及不可否认性,提高安全防护强度
D:传输加密采用IPSEC安全协议实现对通信数据进行传输加密,在通信两
端使用MD5/SHA1散列算法和数字签名来保证数据的完整性,防止数据中途
被窃获或篡改,考虑到经济成本等因素可以采用软加密,加密算法可以采用
成熟通用的算法,例如DES、 3DES、 AES、 SHA、 RSA等,对于成本控制比较宽松的场合也可采用国密办认证的商业密码算法。
目前,IPSec-VPN在VPN技术当中占主导地位,IPSEC是在IETF (因特网
工程任务组)的组织下开发的一种安全架构,能够符合国家关于加密通信的使用的法律,从IPSEC诞生到现在已经有十多年,经历了长时间的考验,被证明是最有效的网络安全解决方案。
IPSec提供三种不同的形式来保护通过公有或私有IP网络来传送的私有数据
认证可以确定所接受的数据与所发送的数据是一致的,同时可以确定申请发送者在实际上是真实发送者,而不是伪装的。
数据完整保证数据从原发地到目的地的传送过程中没有任何不可检测的
数据丢失与改变。
机密性使相应的接收者能获取发送的真正内容,而无意获取数据的接收者无法获知数据的真正内容。本发明的有益效果是电力调度自动化系统具备生产实时不可间断性和控制信息安全性及保密性的特点,本发明是根据电监会电力二次系统安全防护总体方案要求,针对电力系统中在公网通信的数据安全及保密性而设计。
本发明中,通过所述网络隔离以保证应用程序之间进行双向数据通信,又能保证网络层面公网与内网之间的安全隔离,大大提高通信的安全性;所述权限受控技术中,对通信数据包进行过滤,防止网络上非法的通信以及访问,对应用层的通信规约数据增添各种通讯协议的分析,根据通讯连接建立的状态以及应用数据包的结构,对带控制命令的通信数据包可以根据策略设置允许或限制其通过;所述身份认证技术通过数字证书实现高强度的身份认证、安全的数据传输、以及可靠的行为审计,确保通信的身份可靠性;所述传输加密技术通过对网络上传输的信息进行加密和解密,确保传递数据信息的机密性以及完整性,防止数据在通信过程中被窥窃或篡改。
本发明通过所述网络隔离、权限受控、身份认证、传输加密的技术手段为电力专用公网通信数据提供安全可靠的数据通信方法,从而实现随时随地使用公网通信并保证信息安全的前提进行数据通信,并且无需对应用环境或软件做任何改动,为电力系统提供一种通信方便、使用安全、不易遭受攻击的公网通信方法,并对电力系统的传输协议进行分析及权限控制,为电网调度自动化公网通信提供安全可靠的传输通道,从而实现随时随地使用公网通信并保证信息安全的前提进行数据通信。


图1是本发明应用前环境示意图;图2是本发明应用后环境示意图。
具体实施例方式
如图2所示,本发明的应用后环境为主叫远动通信安全网关7与被叫
远动通信安全网关9通过拨号连接到公共网络8,为通信前置机6与远程RTU10的通信建立加密的公网通信通道,数据从通信前置机6通过串口或网络连接远动通信安全网关7,再通过远动通信安全网关7连接到公共网络8,再从公共网络8连接到远动通信安全网关9,再通过串口或网络连接远程RTUIO,所述主叫远动通信安全网关7内部设有内网主机I 71、外网主机I 72,所述被叫远动通信安全网关9内部设有内网主机I191、外网主机I192。本发明的实现包括以下步骤
A:网络隔离所述通信前置机6与所述主叫远动通信安全网关7的内网主机I 71以网络或串口的方式连接,所述远程RTU10与所述被叫远动通信安全网关9的内网主机I191以网络或串口的方式连接,所述外网主机I72、所述外网主机I192与所述公共网络8以网络连接,所述内网主机I 71与外网主机I 72以高速串口结合非网络协议方式连接,所述内网主机I191与外网主机1192以高速串口结合非网络协议方式连接,从而达到既能保证应用程序之间进行双向数据通信,又能保证网络层面公网与内网之间的安全隔离;实现内网与公网之间的非网络方式的安全的数据交换,因此所述主叫远动通信安全网关7及所述被叫远动通信安全网关9采用双主机非网络安全互联,所述主叫远动通信安全网关7及所述被叫远动通信安全网关9结构均包含内网主机、安全互联部分、外网主机,内网主机与外网主机之间没有网络连接,以确保网络层面的隔离。所述网络隔离主要体现在以下几个方面1. 可以阻断网络直接连接,两个网络不同时连接在设备上;
2. 可以阻断网络逻辑连接,即TCP/IP必须被剥离,将原始数据非网方式传送;
3. 隔离传输机制具有不可编程性;
4. 任何数据都是通过两级代理方式完成;
5. 具备对数据的审查功能,数据不具有攻击及有害的特性;
B:权限受控对网络层面的数据采用基于MAC、 IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制,所述主叫远动通信安全网关7及被叫远动通信安全网关9具有完善的防火墙功能,可设置防火墙规则以
达到控制主机/网络是否能访问服务器,防火墙规则可控的访问元素有源MAC地址、源/目的IP地址,源/目的端口,协议(TCP/UDP),通信方向(UDP),在身份认证未完成前,所述主叫远动通信安全网关7及被叫远动通信安全网关9不接收也不转发非身份认证数据包,也不能向外发起TCP连接或UDP数据包;
对应用层的通信规约数据增添各种通讯协议的分析,安全网关对于特定的多种电力通信规约,远动网关能够跟踪其应用层的数据流,并作出分析,远动网关串口隔离监听一端先与客户机(如RTU)建立普通的TCP连接,接收其应用层数据,按照指定的电力规约进行分析,确认合法后通过隔离串口使用内部通信协议转发到另外一端,另一端再通过普通TCP连接发送到远程的远动通信安全网关,根据通讯连接建立的状态以及应用数据包的结构,对带控制命令的通信数据包可以根据策略设置允许或限制其通过;
C:身份认证所述主叫远动通信安全网关7主动向所述被叫远动通信安
全网关9发出连接信号,采用电力调度专用数字证书进行身份认证,对所述被叫远动通信安全网关9进行身份鉴别,同时向所述被叫远动通信安全网关 9表明自己的身份;电力调度系统数字证书系统是为电力调度系统的用户、 关键网络设备、服务提供数字证书服务,通过数字证书实现高强度的身份认 证、安全的数据传输、以及可靠的行为审计,确保电力实时闭环监控系统及 调度数据网络的安全,防止由此引起电力系统故障。公网安全防护采用电力 调度系统数字证书系统颁发的设备证书进行身份认证,以验证身份是否可以 信任,从而确定对方身份的真实性、数据通信保密性、完整性及不可否认性, 提高安全防护强度。
D:传输加密采川IPSEC安全协议实现对通信数据进行传输加密,在通
信两端使用MD5/SHA1散列算法和数字签名来保证数据的完整性,防止数据 中途被窃获或篡改。
其具体实现如下所述主叫远动通信安全网关7通过和所述被叫远动通
信安全网关9分别通过拨号连接所述公共网络8并获得的通信IP,所述主叫 远动通信安全网关7连接所述被叫远动通信安全网关9的IP,双方出示自己 的电子证书,各自验证对方为自己所信任才能开始发送数据。身份认证完毕 后,双方建立VPN隧道,用于双方数据的加密通信。
数据从所述通信前置机6发送至所述主叫远动通信安全网关7的内网主 机I 71,所述主叫远动皿信安全网关7的内网主机I 71对接收到的数据进行 应用层电力系统通信协议分析,然后通过高速串口发送至所述主叫远动通信 安全网关7的外网主机工72,所述主叫远动通信安全网关7的外网主机I 72 的内置防火墙对数据包进行过滤,然后进行数据加密封装,转发至所述被叫 远动通信安全网关9的外网主机I192。所述被叫远动通信安全网关9的外网主机1192接收到数据包后通过内置防火墙对数据包进行过滤,再对符合规则
的数据进行解密;被叫远动通信安全网关9的外网主机I192解密数据包后再 通过高速串口发送数据至所述被叫远动通信安全网关9的内网主机I191。所 述被叫远动通信安全网关9的内网主机I191对数据包进行应用层的电力系统 协议分析,然后再发送至所述远程RTUIO。若数据从所述远动通信安全网关9 一端开始发送,其数据流程与上述流程一致。
以上描述是本发叨的一种具体实现方式,本发明通过网络隔离技术、权 限受控、身份认证、传输加密的技术手段为电力专用公网通信数据提供安全 可靠的数据通信方法。
1权利要求
1、电力专用公网通信数据安全防护方法,用于对电力专用公网数据通信系统的通信数据进行防护,所述电力专用公网数据通信系统包括通信前置机(6)、远程RTU(10)、公共网络(8)、主叫远动通信安全网关(7)、被叫远动通信安全网关(9),所述主叫远动通信安全网关(7)内部设有内网主机I(71)、外网主机I(72),所述被叫远动通信安全网关(9)内部设有内网主机II(91)、外网主机II(92),其特征在于所述电力专用公网通信数据安全防护方法的实现包括以下步骤A网络隔离所述通信前置机(6)与所述主叫远动通信安全网关(7)的内网主机I(71)以网络或串口的方式连接,所述远程RTU(10)与所述被叫远动通信安全网关(9)的内网主机II(91)以网络或串口的方式连接,所述外网主机I(72)、所述外网主机II(92)与所述公共网络(8)以网络连接,所述内网主机I(71)与外网主机I(72)以高速串口结合非网络协议方式连接,所述内网主机II(91)与外网主机II(92)以高速串口结合非网络协议方式连接;B权限受控对网络层面的数据采用基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;对应用层的通信规约数据增添各种通讯协议的分析,根据通讯连接建立的状态以及应用数据包的结构,对带控制命令的通信数据包根据策略设置允许或限制其通过;C身份认证所述主叫远动通信安全网关(7)主动向所述被叫远动通信安全网关(9)发出连接信号,采用电力调度专用数字证书进行身份认证,对所述被叫远动通信安全网关(9)进行身份鉴别,同时向所述被叫远动通信安全网关(9)表明自己的身份;D传输加密采用IPSEC安全协议实现对通信数据进行传输加密,在通信两端使用MD5/SHA1散列算法和数字签名来保证数据的完整性。
全文摘要
本发明公开了一种电力专用公网通信数据安全防护方法,该方法通过网络隔离、权限受控、身份认证、传输加密的技术手段为电力专用公网数据通信提供安全可靠的数据通信,实现随时随地、安全使用公网通信,无需对应用环境或软件做任何改动。应用时,主叫远动通信安全网关(7)、被叫远动通信安全网关(9)通过拨号连接到公共网络(8),为通信前置机(6)与远程RTU(10)的通信建立加密的公网通信通道,数据从通信前置机(6)通过串口或网络连接远动通信安全网关(7),通过主叫远动通信安全网关(7)连接公共网络(8),从公共网络(8)连接被叫远动通信安全网关(9),再通过串口或网络连接远端RTU(10)。本发明可广泛应用于公网通信数据安全防护领域。
文档编号H04L9/00GK101662359SQ20091004189
公开日2010年3月3日 申请日期2009年8月17日 优先权日2009年8月17日
发明者刘智勇, 陈良汉 申请人:珠海市鸿瑞信息技术有限公司
再多了解一些
网友询问留言 已有0条留言
  • 还没有人留言评论。精彩留言会获得点赞!
1