用于虚拟电厂运营的安全防护系统的制作方法

1.本发明属于虚拟电厂技术领域，具体涉及一种用于虚拟电厂运营的安全防护系统。


背景技术：

2.虚拟电厂是将分布式发电机组、可控负荷和分布式储能设施有机结合,通过配套的调控技术、通信技术实现各类分布式能源进行整合调控的载体,以作为一个特殊电厂与电力市场和电网运行,从某种意义上讲,虚拟发电厂可以看做是一种先进的区域性电能集中管理模。
3.为了保证虚拟电厂智能管控平台的平稳运行，现有技术中通常设置安全防护系统，通常为仅仅设置简单的防火墙，使得安全防护系统的防护能力较为薄弱，安全防护性能有待提升。


技术实现要素：

4.本发明提供了一种用于虚拟电厂运营的安全防护系统，以解决现有技术中虚拟电厂安全防护性能较低的技术问题。
5.本发明提供的技术方案如下：
6.一方面，一种用于虚拟电厂运营的安全防护系统，包括：网络安全模块、主机防护安全模块、应用软件安全模块和数据安全模块；
7.所述网络安全模块，用于保护网络设备安全和保护网络通道安全；
8.所述主机防护安全模块，用于对操作系统、数据库系统进行安全防护；
9.所述应用软件安全模块，用于对软件的应用进行安全防护；
10.所述数据安全模块，用于检测所述安全防护系统的管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性是否受到破坏，并在数据完整性受到破坏时进行安全防护。
11.可选的，所述保护网络设备安全，包括：对网络设备进行安全管理、对设备链路冗余进行安全管理、对网络设备处理能力进行管理、对安全漏洞扫描进行管理、对设备安全加固进行管理、对配置文件备份进行管理中的至少一种。
12.可选的，所述保护网络通道安全，包括：对电力光纤专网进行管理和对运营商互联网网络进行管理。
13.可选的，所述操作系统的安全防护，包括：对操作系统的用户身份认证进行管理、对访问操作系统用户进行控制、对操作系统病毒防范进行管理、对操作系统漏洞扫描进行管理、对操作系统安全补丁更新进行管理、对操作系统资源控制进行管理、对操作系统安全审计进行管理、对操作系统的数据备份进行管理、对操作系统的安全加固进行管理中的至少一种。
14.可选的，所述数据库的安全防护，包括：对数据库的身份认证进行管理和对数据库
的数据备份安全进行管理。
15.可选的，所述应用软件安全模块，用于：对应用软件的登录身份认证进行管理、对应用软件的授权进行管理、对应用软件的输入输出验证进行管理、对应用软件的配置进行管理、对应用软件的会话进行管理、对应用软件的加密进行管理、对应用软件的参数操作进行管理、对应用软件的异常进行管理、对应用软件的日志与审计进行管理中的至少一种。
16.可选的，所述数据安全模块，用于对于采集数据采用事务管理机智，保证数据采集的完整性。
17.可选的，所述数据安全模块，用于对于采集数据采用事务管理机制，保证数据传输的完整性。
18.本发明的有益效果为：
19.本发明实施例提供的用于虚拟电厂运营的安全防护系统，设置网络安全模块、主机防护安全模块、应用软件安全模块和数据安全模块。其中，网络安全模块，用于保护网络设备安全和保护网络通道安全；主机防护安全模块，用于对操作系统、数据库系统进行安全防护；应用软件安全模块，用于对软件的应用进行安全防护；数据安全模块，用于检测安全防护系统的管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性是否受到破坏，并在数据完整性受到破坏时进行安全防护。本发明通过对网络完全、主机防护安全、应用软件安全、数据安全多方面进行安全防护，多角度提升了虚拟电厂的安全性能，保证了虚拟电厂智能管控平台平稳运行，为虚拟电厂智能管控平台提供了一个安全可靠的硬件、软件和数据资源环境。
附图说明
20.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
21.图1为本发明实施例提供的一种用于虚拟电厂运营的安全防护系统的结构示意图。
22.附图标记：1
‑
网络安全模块；2
‑
主机防护安全模块；3
‑
应用软件安全模块；4
‑
数据安全模块。
具体实施方式
23.为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。
24.为了至少解决本发明中提出的技术问题，本发明实施例提供一种用于虚拟电厂运营的安全防护系统。
25.图1为本发明实施例提供的一种用于虚拟电厂运营的安全防护系统的结构示意图，参阅图1，本发明实施例提供的用于虚拟电厂运营的安全防护系统，可以包括：网络安全
模块1、主机防护安全模块2、应用软件安全模块3和数据安全模块4。
26.其中，网络安全模块1，用于保护网络设备安全和保护网络通道安全；主机防护安全模块2，用于对操作系统、数据库系统进行安全防护；应用软件安全模块3，用于对软件的应用进行安全防护；数据安全模块4，用于检测安全防护系统的管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性是否受到破坏，并在数据完整性受到破坏时进行安全防护。
27.在一个具体的实现过程中，可以定义任一虚拟电厂为目标虚拟电厂，在目标虚拟电厂中运用本技术实施例提供的用于虚拟电厂运营的安全防护系统进行安全防护。
28.本发明实施例提供的用于虚拟电厂运营的安全防护系统，通过对网络完全、主机防护安全、应用软件安全、数据安全多方面进行安全防护，多角度提升了虚拟电厂的安全性能，保证了虚拟电厂智能管控平台平稳运行，为虚拟电厂智能管控平台提供了一个安全可靠的硬件、软件和数据资源环境。
29.基于一个总的发明构思，本发明实施例还提供又一种用于虚拟电厂运营的安全防护系统。
30.在上述实施例的基础上，保护网络设备安全，包括：对网络设备进行安全管理、对设备链路冗余进行安全管理、对网络设备处理能力进行管理、对安全漏洞扫描进行管理、对设备安全加固进行管理、对配置文件备份进行管理中的至少一种。
31.例如，对网络设备进行安全管理可以包括：采用网络设备账号唯一性机制对登录网络设备的用户身份进行身份识别和鉴别；配置设备管理策略，对网络设备的管理员登录地址进行限制；制定登录超时及账号锁定策略；本地或远程设备管理必须进行身份认证；修改默认用户和口令，不使用缺省口令，口令长度不小于8位，使用字母和数字、特殊字符的混合形式，不与用户名相同，并加密存储；定期更换口令；登录失败时，采取结束会话措施，限制非法登录次数，网络登录连接超时自动退出；对网络设备进行远程管理时，采用安全的ssh、https进行远程管理，防止鉴别信息在网络传输过程中被窃听；使用网络设备系统自带审计功能或者部署日志服务器保证管理员的操作被审计；禁用不需要的网络端口，关闭不需要的网络服务。
32.对设备链路冗余进行安全管理，可以包括：防火墙、交换机等网络设备双机模式部署，提高设备链路冗余能力。
33.对网络设备处理能力进行管理，可以包括：使用链路捆绑技术实现上联链路聚合，满足业务高峰期带宽需要；使用流量整形设备或qos手段保证网络拥塞时优先保障重要业务信息流的传输。
34.对安全漏洞扫描进行管理，可以包括：采用漏洞扫描工具定期或重大变更时对系统进行安全扫描，并对于扫描出的漏洞及时进行处理，处理方式包括安装补丁、配置网络访问控制策略和监测黑客利用漏洞行为的数据流。
35.对设备安全加固进行管理，可以包括：在建设时进行安全加固。
36.对配置文件备份进行管理，可以包括：在每次更新网络设备或安全设备配置信息后，由网络管理员进行设备配置文件备份；定时对设备的配置文件进行备份和检查。
37.可选的，保护网络通道安全，包括：对电力光纤专网进行管理和对运营商互联网网络进行管理。
38.例如，对电力光纤专网进行管理，可以包括：通道专用；限制终端接入ip地址；开启网络访问控制措施。
39.对运营商互联网网络进行管理，可以包括：互联网用户访问外网系统、申报数据时使用https访问，保证数据传输安全；终端使用usb
‑
key与外网安全交互平台建立加密传输通道。
40.可选的，操作系统的安全防护，包括：对操作系统的用户身份认证进行管理、对访问操作系统用户进行控制、对操作系统病毒防范进行管理、对操作系统漏洞扫描进行管理、对操作系统安全补丁更新进行管理、对操作系统资源控制进行管理、对操作系统安全审计进行管理、对操作系统的数据备份进行管理、对操作系统的安全加固进行管理中的至少一种。
41.例如，对操作系统的用户身份认证进行管理，可以包括：采用操作系统账号唯一性机制对登录操作系统的用户身份进行身份识别和鉴别；采用结束会话、限制非法登录次数和非法登录自动退出等措施，限制同一用户连续失败登录次数；配置操作系统账号口令安全策略：口令最小长度为8位字符；口令要求为字母、数字或特殊字符的混合组合；禁止口令与用户名一样；配置口令定期更换周期为90天；设置连续登录失败5次锁定账号30分钟。
42.对访问操作系统用户进行控制，可以包括：禁止特权账号远程管理使用，日常操作中采用非特权限用户，仅在必要时切换至特权账号进行操作；操作系统远程管理维护时采用ssh终端接入方式，并限定网络地址；设置不同特权用户管理操作系统和数据库，实现权限分离；限定各类服务内置默认账号的访问权限，禁用业务非必需账号；禁止系统默认账号使用默认初始口令。定期删除无用的过期账号。
43.对操作系统病毒防范进行管理，可以包括：由于linux操作系统主机病毒防范工具不够完善，考虑到系统稳定运行需求，不在此类系统部署主机防病毒、入侵防范软件，通过在网络边界中使用入侵监测等措施进行防护。
44.对操作系统漏洞扫描进行管理，可以包括：采用漏洞扫描工具定期或重大变更时对系统进行安全扫描，并对于扫描出的漏洞及时进行处理，处理方式包括安装补丁、配置网络访问控制策略和监测黑客利用漏洞行为的数据流。
45.对操作系统安全补丁更新进行管理，可以包括：根据具体的统一要求开展系统补丁更新。
46.对操作系统资源控制进行管理，可以包括：设置登录终端的操作超时锁定的安全策略；采用磁盘限额等方式限制单个用户对系统资源的最大使用限度。
47.对操作系统安全审计进行管理，可以包括：启用操作系统日志审计功能，对用户行为、系统资源异常访问等重要安全事件进行审计。
48.对操作系统的数据备份进行管理，可以包括：定期对操作系统、数据库系统的数据进行备份，并定期在操作环境发生变更时进行备份恢复测试。
49.对操作系统的安全加固进行管理，可以包括：在应用系统上线前和重大变更时进行安全加固。
50.可选的，数据库的安全防护，包括：对数据库的身份认证进行管理和对数据库的数据备份安全进行管理。
51.例如，对数据库的身份认证进行管理，可以包括：采用数据库系统账号唯一性机制
对登录数据库系统的用户身份进行身份识别和鉴别；采用结束会话、限制非法登录次数和非法登录自动退出等措施，限制同一用户连续失败登录次数；配置数据库系统账号口令安全策略：口令最小长度为8位；口令要求为字母、数字或特殊字符的混合组合；禁止口令与用户名一样；配置口令定期更换周期为90天；设置连续登录失败5次锁定账号30分钟。
52.对数据库的数据备份安全进行管理，可以包括：采用ogg数据库备份软件进行定期数据备份；进行本地数据备份与恢复，完全数据备份至少每天一次，备份介质场外存放；建议数据库服务器采用双机rac冗余部署拓扑，关键节点发生故障时迅速进行服务节点切换及故障节点恢复；提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。
53.可选的，应用软件安全模块，用于：对应用软件的登录身份认证进行管理、对应用软件的授权进行管理、对应用软件的输入输出验证进行管理、对应用软件的配置进行管理、对应用软件的会话进行管理、对应用软件的加密进行管理、对应用软件的参数操作进行管理、对应用软件的异常进行管理、对应用软件的日志与审计进行管理中的至少一种。
54.本实施例中，虚拟电厂智能管控平台的应用服务及业务信息可能面临用户认证欺骗、权限及信息泄露、篡改等风险，本实施例中，严格控制用户认证，对敏感信息进行加密存储及传输，并加强权限管理及日志审计，防护系统安全。
55.例如，对应用软件的登录身份认证进行管理，可以包括：设置密码的存储和传输安全；保护身份验证cookie；同一用户同时只允许登录一个；建议通过数字签名和数字证书相结合的方式实现用户的鉴别，数字证书由可靠的证书认证机构签发，用户申请数字证书时提供足够的身份信息，证书认证机构在签发证书时对用户提供的身份信息进行真实性验证。
56.对应用软件的授权进行管理，可以包括：设计资源访问控制方案，验证用户访问权限；限制用户对系统级资源的访问；设计统一的访问控制机制。
57.对应用软件的输入输出验证进行管理，可以包括：验证所有来源不在可信范围之内的输入数据；在服务器端和客户端都进行输入验证，确保能及时发现数据是否被修改；对输入内容进行规范化处理后再进行验证，如文件路径、url地址等；需要规范化为标准的格式后再进行验证；当从服务器端提取关键参数，禁止从客户端输入。
58.对应用软件的配置进行管理，可以包括：确保配置存储的安全；使用最少特权进程和服务帐户；单独分配管理特权。
59.对应用软件的会话进行管理，可以包括：设置会话存活时间为15分钟，超时后自动销毁用户会话，删除会话信息；用户登录成功后创建新的会话，并随机分配会话id，绑定当前ip地址、机器名等信息；在服务端进行会话信息存储，对用户登录信息及身份数据申报进行加密传输；用户登录后界面提供登出、注销功能；用户注销或关闭浏览器后，服务端自动清除用户会话；不允许同一用户id的并发登录；对单个账户的多重并发会话进行限制，对系统的最大并发会话连接数进行限制。
60.对应用软件的加密进行管理，可以包括：用户密码：采用sm3加密存储、传输；通信报文：使用https安全协议传输，使用数字签名确保信息完整和抗抵赖性；业务关键数据：建议使用加密机、第三方数字证书和浏览器安全插件保证业务关键数据传输的保密性和抗抵赖性。
61.对应用软件的参数操作进行管理，可以包括：使用会话标识符来标识客户端，并将敏感项存储在服务器上的会话存储区中；使用http post来代替get提交窗体，避免使用隐藏窗体；在服务端执行url检查，确保用户没有通过操作参数而绕过检查，防止最终用户可以通过浏览器地址文本框操作url参数。
62.对应用软件的异常进行管理，可以包括：使用结构化异常处理机制；使用通用错误信息；程序发生异常时，终止当前业务，并对当前业务进行回滚操作，保证业务的完整性和有效性，必要时可以注销当前用户会话；程序发生异常时，在日志中记录详细的错误消息。
63.对应用软件的日志与审计进行管理，可以包括：日志安全审计范围应覆盖系统中的每个用户和系统中的所有重要安全事件；不要在日志中保存敏感信息；审核并记录跨业务应用层的业务逻辑、关键数据访问；记录的事件类型包括成功和失败的登录尝试、数据修改、数据检索、网络通信和管理功能等，如启用或禁用日志记录。日志记录发生的时间、地点(包括主机名)、当前用户的标识、启动该事件的进程标识以及对该事件的详细描述；使用中间件日志管理确保日志文件的安全，并限制一般用户对日志文件的访问，仅允许审计员进行日志访问，将有权操作日志文件的个人数量减到最小；定期备份和归档生产服务器上的日志文件。
64.可选的，数据安全模块，用于对于采集数据采用事务管理机智，保证数据采集的完整性。
65.例如，为保证数据采集的完整性，可以对于采集数据采用事务管理机制，从而保证数据的完整性；记录数据采集的时间、采集数据量、采集时长等基本信息。
66.可选的，数据安全模块，用于对于采集数据采用事务管理机制，保证数据传输的完整性。
67.例如，为了保证数据传输的完整性，可以对于采集数据采用事务管理机制，从而保证数据的完整性；记录数据采集的时间、采集数据量、采集时长等基本信息。
68.还可以检测系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；还可以检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。还可以禁止租用第三方服务商提供的网络应用服务传输核心商密数据，包括外部邮件服务、即时通信服务等；还可以使用无线网络传输包含核心商密信息的数据时，须对传输中的数据采用动态加密技术手段；还可以在核心商密数据如需通过非内部网络传输时，采用加密的或其他技术手段,防止数据被截获后被解密或被破解；还可以检测到核心商密数据在传输过程中完整性受到破坏，并采取必要的恢复措施。
69.以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。
70.可以理解的是，上述各实施例中相同或相似部分可以相互参考，在一些实施例中未详细说明的内容可以参见其他实施例中相同或相似的内容。
71.需要说明的是，在本发明的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本发明的描述中，除非另有说明，“多个”的含义是指至少两个。
72.流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
73.应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(pga)，现场可编程门阵列(fpga)等。
74.本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
75.此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。
76.上述提到的存储介质可以是只读存储器，磁盘或光盘等。
77.在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
78.尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。