一种三位一体的变电站二次系统安全防护体系架构的制作方法

本发明属于网络安全和电力自动化领域，特别涉及到有关变电站二次系统的安全防护的架构设计。

背景技术：

随着变电站二次系统的网络化、数字化和智能化，变电站二次信息安全的形势变得日益严峻，当前比较明显的安全风险主要有：从结构上讲，二次系统组网边界上存在安全风险。二次系统作为相对独立的应用系统，其组网结构安全性比较高，如果是和别的系统开放性互联的甚至直接连接到公共通信网，则风险就比较高。从网络设备来讲，二次系统中网络设备本身存在安全风险。每个网络设备的操作系统有没有漏洞，应用软件会不会有逻辑炸弹，端口是否合理开放，通信协议是不是保密传输，网络设备在受到攻击时是否健壮等。从网络行为来讲，二次系统不同业务复杂的通信交互带来风险，外部接入的运维也带来的风险。因此变电站二次安防体系的架构设计是否全面并且实用非常重要。

传统的变电站二次安防体系侧重系统结构的边界安全，网络设备的本体安全尤其是网络通信的行为安全监控不足。现在智能变电站的二次系统功能日益复杂，通信的网络化已经普遍，运维手段日趋多样化，因而变电站传统的侧重边界的安全防护体系显出不足。

因此，需要研究设计一种更全面适用的安全防护体系，在系统的边界结构安全、网络节点设备的本体安全、通信交互的行为安全三个方面去建立一种多层次的立体的安全防护体系架构。

技术实现要素：

本发明的目的，在于提出一种三位一体的变电站二次系统安全防护体系架构，在系统的边界结构安全、网络节点设备的本体安全、通信交互的行为安全三个方面去完善优化现在安全防护的不足。

为了达成上述目的，本发明的解决方案具体如下：

1)构建一种三位一体的变电站二次系统安全防护体系架构，包括结构安全子系统、本体安全子系统、行为安全子系统的多层次的立体的组合，其特征在于：

构建集成结构安全、本体安全、行为安全的多层次的立体的变电站二次系统安全防护体系，在系统网络的边界上设置电力专用纵向加密认证装置、正反向网络隔离装置、防火墙作为第一道安全防线，守护二次系统整体的边界安全；在网络节点设备本身上，进行系统加固设置第二道安全防线，守护二次系统中各个网络设备在业务上基本的功能安全；在二次系统网络通信的整个过程中，建立网络行为安全管控系统，包括网络行为安全监控装置和网络节点设备核查代理程序，实时监测网络通信行为，评估安全风险，实时推送预警提示，并对系统的网络安全进行审计。

2)构建结构安全子系统，作为三位一体多层次立体组合的安防体系的第一道安全防线，在二次系统网络独立组网的边界上设置加密认证装置、网络隔离装置和防火墙设备。结构安全实现二次系统的业务出口、内部不同安全等级区域间交互的通信的安全防护，防止非法访问和外部攻击，保障二次系统整体的边界安全。

3)构建本体安全子系统，作为三位一体多层次立体组合的安防体系的第二道安全防线，是在二次系统的网络节点设备上进行系统加固，采用安全的硬件系统和安全的操作系统，关闭不安全的端口服务，增强用户口令的复杂度和强度，建立基于角色的访问控制，建立事件的记录和审计，对外通信建立加密认证控制。第二道安全防线实现网络节点设备本身的运行安全，防止对设备本身的非法访问和恶意攻击，保障二次系统设备在功能运行上的安全。

4)构建行为安全子系统，作为三位一体多层次立体组合的安防体系对网络行为的安全管控，包括独立设置行为安全监控装置和在网络节点设备中安装设备核查代理程序。行为安全监控装置通过系统关键交换机上的镜像网口，获取系统网络交互的全部通信数据，实时监测网络通信行为，核查网络节点设备的网络行为，存储原始报文和系统日志，评估安全风险，实时推送预警提示，并对系统的网络安全进行审计。网络行为安全管控实现对二次系统网络行为的实时监控和分析，对安全风险进行评估和预警，保障二次系统网络交互的安全水平。

本发明的有益效果是：构建集成结构安全、本体安全、行为安全的多层次立体的变电站二次系统的安全防护体系，改变了变电站二次系统安防体系上长期侧重于边界防护而缺少立体纵深防护的安全设计，在系统网络的边界、节点设备、通信行为上全面监管安全风险，进行全系统立体的实时监测和风险评估，可以大大提高二次系统的安全性能。

附图说明

图1为本发明中的体系整体架构图；

图2为本发明中的体系架构中的结构安全子系统图；

图3为本发明中的体系架构中的本体安全子系统图；

图4为本发明中的体系架构中的行为安全子系统图；

具体实施方式

为使本发明的技术方案和特点更加明确，下面对本发明作进一步的阐述。

1)本发明中的体系整体架构图如图1所示，构建集成结构安全子系统、本体安全子系统、行为安全子系统的多层次立体的变电站二次系统的安全防护体系架构。

2)在系统网络的边界上设置电力专用纵向加密认证装置、正反向网络隔离装置、防火墙作为第一道安全防线，守护二次系统整体的边界安全。

3)在网络节点设备本身上，进行系统加固设置第二道安全防线，守护二次系统中各个独立设备在业务上基本的功能安全。

4)在系统网络通信的整个过程中，建立网络行为安全管控系统，实时监测和审计网络通信行为，评估安全风险。

1)本发明中的体系架构中的结构安全子系统图如图2所示，作为第一道安全防线的结构安全子系统，在变电站二次系统网络的边界上按照“网络专用、安全分区、横向隔离、纵向认证”的原则设置安全措施，其特征还在于以下步骤：

步骤一，二次系统的网络按照物理独立的原则建设，和外部网络没有直接相连的环节；

步骤二，将二次系统的网络结构划分为生产控制区和信息管理区，两个区域分别具备不同的安全等级；

步骤三，在二次系统的生产控制区向主站的远动通信出口处，设置电力专用纵向加密认证装置，实现通信建立的认证和信息传输的加密；

步骤四，在二次系统的生产控制区和信息管理区之间，设置正反向物理隔离装置，实现不能安全等级区域之间的数据单向传输；

步骤五，在二次系统的信息管理区向主站的通信出口处，设置防火墙，实现通信访问和数据交互的安全过滤；

5)本发明中的体系架构中的本体安全子系统图如图3所示，作为第二道安全防线的本体安全子系统，在网络节点设备上进行系统加固，其特征还在于以下步骤：

步骤一，采用安全的芯片、主板，设计网络设备的硬件系统；

步骤二，采用安全的操作系统，设计网络设备的软件系统环境；

步骤三，关闭不安全的端口和服务；

步骤四，增强用户口令的复杂度和强度；

步骤五，在设备访问上建立基于角色的访问控制；

步骤六，建立事件的记录和审计；

步骤七，对外通信建立加密认证控制；

6)本发明中的体系架构中的行为安全子系统图如图4所示，作为网络行为安全管控的行为安全子系统，在系统网络通中设置独立的行为安全监控装置和安装在网络节点设备中的设备核查代理程序两个部分，其特征还在于以下步骤：

步骤一，在系统网络的关键交换机上建立镜像口，获取通过该交换机的全部交互数据；

步骤二，通过监测交换机通信数据，监测网络行为，监测网络流量，监视分析网络设备和网络连接的合法性；

步骤三，通过交换机镜像口，采集原始报文，存储原始报文；

步骤四，建立网络异常行为和原始现场报文的关联佐证；

步骤五，发现网络异常后立即推送到界面告警提醒；

步骤六，网络节点设备中的设备核查代理程序实时扫描设备中的进程、移动存储设备接入的特征变化，发送消息给行为安全监控装置，进行记录、告警；

步骤七，日志记录和事件审计；

步骤八，行为安全监控装置实时评估网络安全的风险，给出分析结果；

需要说明的是，以上所述仅表达了本发明的实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。