电力调度二次系统安全防护方案研讨.pptx

1、电力力调度二次系度二次系统安全防安全防护处理方案理方案日期：-08-28杭州华三通信技术有限企业电力调度二次系统安全防护方案研讨第1页2n电力力调度安全度安全现实状况分析状况分析nH3C 电力力调度二次系度二次系统安全防安全防护处理方案理方案nH3C 安全介安全介绍nH3C电力力经典典应用案例用案例电力调度二次系统安全防护方案研讨第2页3电电电电力力力力信信信信息息息息系系系系统统统统电电电电力力力力调调调调度度度度系系系系统统统统出出口口出出口口调度中心调度中心调度中心调度中心电厂电厂电厂电厂变电站变电站变电站变电站控制系统控制系统控制系统控制系统外部因特网外部因特网电力二次力二次业务层次次

2、 电力二次业务 包括满足电力生产、经营和管理各环节必备和必要全部关联信息系统,用于承载这些业务电力数据网络主要包括电力调度系统数据网络和电力综合数据通信网络。这两大网络级别与电网五级控制模型相吻合,在两个网络平台上承载了电力调度系统（EMS/SCADA）、电量自动计量系统(TMR)、保护及负荷控制管理信息、办公自动化（OA）、MIS系统、电力市场和营销系统、配电管理系统（DMS）和呼叫中心（Call Center）等电力行业信息应用系统。电力调度二次系统安全防护方案研讨第3页4调度二次安全防度二次安全防护发展展过程程第三第三阶段段:策略防策略防护阶段段 -第二第二阶段段:技技术防防护阶段段 (

3、-)(-)第一阶段:简单防护阶段 (以前)Welcome.Welcome.Password:Password:Welcome.Welcome.Password:Password:Welcome.Welcome.Password:Password:电力调度二次系统安全防护方案研讨第4页5现阶段段调度二次安全防度二次安全防护概况概况调度数据网采取VPN技术实现不一样安全区业务隔离厂站业务实现I/II区横向隔离调度主站实现I/II区横向隔离DMIS/OMS经过升级改造实现专网专用,在确保电网控制安全前提下实现初步生产数据抽取与共享布署防火墙或纵向加密认证加密装置采取网闸实现生产控制与管理大区数据摆渡

4、电力调度二次系统安全防护方案研讨第5页6电力二次系力二次系统安全防安全防护总体策略体策略4 4、纵向认证、纵向认证3 3 3 3、横向隔离、横向隔离、横向隔离、横向隔离电力通信电力通信电力通信电力通信/信息网信息网信息网信息网或或或或发电信息网发电信息网发电信息网发电信息网控制区控制区控制区控制区生产区生产区生产区生产区管理区管理区管理区管理区信息区信息区信息区信息区电力调度数据网电力调度数据网电力调度数据网电力调度数据网生产控制大区生产控制大区管理信息大区管理信息大区防火墙防火墙2 2 2 2、网络专用、网络专用、网络专用、网络专用1 1、安全分区、安全分区、安全分区、安全分区电力调度二次系

5、统安全防护方案研讨第6页7现阶段存在潜在段存在潜在风险分析分析技防为主,策略不明生产网络终端非严格受控接入生产网络非法外联无法有效监控弱口令移动存放介质滥用补丁升级不及时防不胜防网络病毒网络行为审计机制未严格落实没有统一安全事件分析机制BCP/DRP流程有待完善电力调度二次系统安全防护方案研讨第7页8n电力力调度安全度安全现实状况分析状况分析nH3C 电力力调度二次系度二次系统安全防安全防护处理方案理方案nH3C 安全介安全介绍nH3C电力力经典典应用案例用案例电力调度二次系统安全防护方案研讨第8页9生产控制区生产控制区边 界 安 全 防 御端点准入防御系统EAD端点准入防御系统EAD 控制区

6、非控制区信息区管理区管理信息区管理信息区物理隔离SPDnetSPTnet或InternetH3C电力二次防力二次防护安全安全处理方案理方案H3C IPS/IDS 47层防御层防御H3C IPS SecPath FW 14 层层 防护防护SecPath FWSecCenterFWACG IPS/IDS IPS FW FW SecCenter电力调度二次系统安全防护方案研讨第9页10H3C电电力力调调度策略防度策略防护处护处理方案概理方案概览览SecPath 防火墙防火墙安全管理中心安全管理中心SecCenter智能网管中心智能网管中心iMC安全管理平台安全管理平台EADEADEADSecPath

7、 IPS/IDS SecBlade服务器区服务器区方案描述方案描述制订策略网络基础设施加固终端接入软件：进行身份认证和和终端安全状态评定安全防护设备：及时发觉或阻断来自I/II及III区攻击，同时上报安全管理平台，并与之联动安全管理平台：对网络和安全设备统一管理，并提供整网审计汇报SGDnet-1/2SGDnet3/4围绕总体策略布署点围绕总体策略布署点(接入端点接入端点)、线、线(安全联动安全联动)、面、面(管理平台管理平台)相结合纵深防御相结合纵深防御电力调度二次系统安全防护方案研讨第10页11电电力力调调度度纵纵深防御深防御总总体安全防体安全防护护策略策略满足足现有有电力二次安全防力二次

8、安全防护规范基本策略范基本策略对调度一区度一区EMS/SCADA进行重点保行重点保护对厂站厂站RTU接入接入设备进行重点防行重点防护调度网内禁止全部与度网内禁止全部与业务无关无关协议及及应用横向和用横向和纵向向经过关关闭空空闲调度数据网度数据网络端口端口对同一安全区内不需要横向同一安全区内不需要横向访问终端端实施端口隔离施端口隔离对调度度应用用终端端通信服通信服务器器实现强安全准入安全准入检测建立非法外建立非法外联监控告警机制控告警机制布署安全事件布署安全事件统一分析及行一分析及行为审计系系统对主要主要业务系系统实施异地灾施异地灾备(EMS历史数据史数据/TMR/DMIS)建立建立规范范统一一

9、应急急对应机制与流程机制与流程目标目标:建立基于策略统一监控和应急联动平台建立基于策略统一监控和应急联动平台点:经过终端策略准入实现线:安全分析中心及用户行为审计实现面:经过智能管理中心实现电力调度二次系统安全防护方案研讨第11页12接入接入终端端设备省省电力力调度接入度接入设备防病毒服防病毒服务器器CAMS服服务器器补丁升丁升级服服务器器省省电力力调度安全策略服度安全策略服务器器全全方方位位安安全全准准入入处理理方方案案电电力力调调度内网控制度内网控制处处理方案理方案省省电力企力企业SwitchRouterFW电力调度二次系统安全防护方案研讨第12页13不合格不合格进进入隔离区入隔离区强强制

10、加固制加固隔离区隔离区安全安全认证认证正当用正当用户户非法用非法用户户拒拒绝绝入网入网身份身份认证认证接入接入请请求求企企业业网网络络动态动态授授权权合格用合格用户户不一不一样样用用户户享做不一享做不一样样网网络络使用使用权权限限你是谁？你安全吗？你能够做什么？预预防：防：终终端安全接入端安全接入电力调度二次系统安全防护方案研讨第13页14响响应应：安全事件：安全事件联动联动关键交换机安全管理中心SecCenter智能网管中心iMC安全管理平台2、设备自动处理后，同时将日志上报给安全管理平台。5、iMC对该用户进行告警、下线等处理EADEADEAD1、用户进行非法或非授权行为告警SecBlad

11、e补丁/病毒库/安全代理服务器IPS防火墙3、Seccenter依据预定策略，将需要联动告警经过iMC进行下发服务器区告警告警电力调度二次系统安全防护方案研讨第14页15电电力力调调度数据中心安全度数据中心安全处处理方案理方案SecBlade AFCSecBlade IPSSCADA/EMSDTSTMSH3C ASE关关键交交换汇聚交聚交换SecBlade 防火防火墙应用用优化化安全加固安全加固统一安全管理一安全管理SecCenter安全管理平台安全管理平台iMC电力调度网电力调度网流量清洗流量清洗电力调度二次系统安全防护方案研讨第15页16数据中心数据中心层层次化、次化、组组件化安全模型件化

12、安全模型安全管理入侵入侵防护防护防火墙防火墙“拒绝服务”(DOS)防病毒InternetInternetVPN/campus端点准入数据中心应用优化L2 交换机：BPDU Guard、端口隔离、五元组绑定、802.1X等实现二层安全保护L2.5 MPLS：网络隔离L3 路由器/防火墙/AFC/SSL：访问控制和隔离、加密L4 网络流量异常分析L57 IPS应用层威胁识别和抵抗：蠕虫、间谍软件、P2P、病毒、攻击等应用加速、应用优化安全管理用户管理(iMC)电力调度二次系统安全防护方案研讨第16页17Campus CoreCampus CoreFWFWLBLBSSLSSLNAMNAMFWFWLB

13、LBSSLSSLNAMNAMWEB WEB Servers Servers application application Servers Servers databasedatabaseServers Servers DC CoreDC CoreDC DC AggregationAggregationDC DC AccessAccessn关关键层u提供多个分区提供多个分区汇聚模聚模块互互联，并，并连接数据中心关接数据中心关键n汇聚聚层u提供分区提供分区对外流量高外流量高带宽出口出口u提供增提供增值业务模模块布布署署n接入接入层u高密度高密度GE接入接入u上行双上行双链路冗余能力路冗余能力数据

14、中心分数据中心分层安全布署安全布署电力调度二次系统安全防护方案研讨第17页18Web serversApplication serversDatabase serversWeb serversApplication serversDatabase servers独立业务设备分层组网模式独立业务设备分层组网模式独立业务设备分层组网模式独立业务设备分层组网模式集成业务模块分层组网模式集成业务模块分层组网模式集成业务模块分层组网模式集成业务模块分层组网模式FWFWLBLBASMASMEADEADFWFWLBLBASMASMEADEADFWFWFW/IPSFW/IPSASEASESSLSSLFW/IP

15、SFW/IPSASEASESSLSSL数据中心分数据中心分级突出不一突出不一样安全需求安全需求FWFW电力调度二次系统安全防护方案研讨第18页19电电力力调调度广域网度广域网边边界安全策略界安全策略SecPath 防火防火墙EADEADEAD地地调与EAD联动SecPath 防火防火墙/IPS省省调度中心度中心CAMSlSecPath FW/IPS支持：提供丰富防火支持：提供丰富防火墙/VPN/防毒防毒/防垃圾防垃圾邮件件/URL过滤/内容内容过滤/入侵防范等功效。入侵防范等功效。lFW+EAD支持：支持：强制用制用户准入准入认证、实施用施用户隔离、隔离状隔离、隔离状态解除、基于解除、基于用用

16、户服服务策略策略实施（施（ACL、VLAN）电力力调度网度网SecPath IPS电力调度二次系统安全防护方案研讨第19页20电电力力调调度网广域网防火度网广域网防火墙墙虚虚拟拟化（多化（多实实例）布署例）布署电力调度网中，采取MPLS组网，从省中心到地调、县调、变电站、电厂，均经过MPLS VPN连接。在各PE与CE设备之间，布署一台SecPath FW，采取虚拟防火墙技术，能够对各分支机构访问做安全控制，每个VPN分配一个虚拟防火墙，配置不一样安全策略，相互之间不影响，防止MPLS VPN中IP地址重合问题，而且能够对VPN灵活增加或删除。MPLSSecPath FWSecPath FWV

17、FWVFWVFW省中心省中心县调县调地调地调电力调度数据网电力调度数据网PEPECECECECE电力调度二次系统安全防护方案研讨第20页21实现电力力调度网度网L27层安全防安全防护n应用用负载均衡均衡n基于硬件基于硬件应用用缓存、存、压缩和交和交换n应用用协议优化（化（HTTP/TCP协议优化）化）n内容内容识别与控制与控制n高性能硬件平台高性能硬件平台n丰富网丰富网络协议支持支持n丰富网丰富网络业务能力能力n应用用层认证、授、授权和和审计n应用用层加密（加密（SSL)和集中和集中PKI布署布署n应用用层保保护、IPS技技术等等n应用用层内容安全：病毒、内容安全：病毒、DDoS攻攻击、入侵防

18、入侵防护等等等等应用用优化化应用安全用安全基基础安全安全物理物理层链路路层网网络层传输层会会话层表示表示层应用用层WEB服服务基基础安全安全深度深度安全安全电力调度二次系统安全防护方案研讨第21页22统一安全管理体系建一安全管理体系建设安全建设可连续发展！安全建设可连续发展！网络安全产品网络安全产品安全处理方案安全处理方案安全管理中心安全管理中心安全制度安全制度安全服务安全服务安全流程安全流程为全网安全威胁可视化提供技术平台为全网安全威胁可视化提供技术平台为全网安全威胁可视化提供技术平台为全网安全威胁可视化提供技术平台为安全管理、安全服务提供有效分析数据为安全管理、安全服务提供有效分析数据为安

19、全管理、安全服务提供有效分析数据为安全管理、安全服务提供有效分析数据与安全制度、流程配合实现科学高效管理与安全制度、流程配合实现科学高效管理与安全制度、流程配合实现科学高效管理与安全制度、流程配合实现科学高效管理科学、高效管理科学、高效管理电力调度二次系统安全防护方案研讨第22页23安全管理平台安全管理平台事件过滤漏洞匹配锁定位置告警通知n安全管理中心：p支持H3C全部设备管理p支持对防火墙、IDS、IPS、UTM、Anti-Virus、Anti-Spam、路由器、交换机、Unix、Linux、Windows等各类IT资源管理p支持安全事件、网络事件、系统事件、应用事件电力调度二次系统安全防护

20、方案研讨第23页24实现面向面向业务端到端安全保障端到端安全保障服服务器器客客户机机桌面安全桌面安全应用安全用安全技技术平面平面产品集成品集成智能安全渗透网智能安全渗透网络端到端安全保障端到端安全保障处理方案理方案L2L7层深度安全技深度安全技术安全安全产品与网品与网络产品品集成集成集成了集成了网网络技技术安全安全产品品集成了集成了安全技安全技术网网络产品品数据中心保数据中心保护处理方案理方案内网控制内网控制处理方案理方案边界防界防护处理方案理方案远程安全接入程安全接入处理方案理方案管理平面管理平面智能管理智能管理统一基一基础安全管安全管理理统一用一用户认证与授与授权统一威一威胁与策与策略管理

21、略管理OAA开放开放应用架用架构构CHECKCHECKCHECKCHECK存放系存放系统数据安全数据安全系系统安全安全应用安全用安全用用户认证补丁管理丁管理病毒病毒库管理管理用用户管理管理在在线备份份安全存放安全存放异地容灾异地容灾行行为监管管处理方案理方案电力调度二次系统安全防护方案研讨第24页25n电力力调度安全度安全现实状况分析状况分析nH3C 电力力调度二次系度二次系统安全防安全防护处理方案理方案nH3C 安全介安全介绍nH3C电力力经典典应用案例用案例电力调度二次系统安全防护方案研讨第25页26H3C：IT安全安全领域域领导者者安全市场前三甲均为网络安全融合厂商H3C已成为IT安全领

22、域领导者之一防火墙/VPN应用国内第一，承建全国最大VPN网络IPS产品国内市场拥有率第一全国已经有超出40万用户在使用EAD，市场占有第一安全管理中心市场占有国内第一nH3C拥有“防火墙/VPN/UTM、IPS、ASE、ACG、安全统一管理”等业界最全安全产品及处理方案拥有全球唯一万兆防火墙模块拥有全球最高端40G防火墙F5000-A拥有全球最高清洗能力异常流量清洗产品AFC数据起源：赛迪顾问，01电力调度二次系统安全防护方案研讨第26页27局部安全局部安全全局安全全局安全智能安全智能安全端到端安全端到端安全处理方案理方案ASICNPFPGAMulti-core万兆万兆安全平台安全平台FW/

23、VPN/UTM/IPS/.EAD/Anti-Virus.SecCenter/SecBlade/ACG.CRMERPOASCMP2PWEB2.0.IT 应用用H3C智能安全渗透网智能安全渗透网络电力调度二次系统安全防护方案研讨第27页28远程安全接入程安全接入边界防界防护安全安全统一管理平台一管理平台内网控制内网控制行行为监管管数据中心保数据中心保护H3C安全安全处理方案理方案电力调度二次系统安全防护方案研讨第28页29最高端：万兆安全平台最高端：万兆安全平台 SecBlade防火防火墙插卡插卡（For S75E/S95/SR66/SR88）万兆性能、全球第一万兆性能、全球第一F5000-A/E

24、超万兆超万兆FW/VPN7U、40Gbps吞吐量吞吐量全球性能最高端防火全球性能最高端防火墙F1000-E，万兆防火，万兆防火墙基于多核多基于多核多线程技程技术万兆防火万兆防火墙上海上海电信研究院信研究院测试技技术排名第一，已排名第一，已规模模应用用T200系列系列IPS基于多核基于多核强百兆百兆IPST1000系列系列IPS真正千兆真正千兆IPST5000ACG8800高端千兆高端千兆IPS电力调度二次系统安全防护方案研讨第29页30最完整：安全最完整：安全产品和品和处理方案理方案H3C 应用网关系列用网关系列H3C T系列系列I PS H3C 安全安全业务管理管理SecCenterEADi

25、MCBIMSASE 5000T200-ET1000-ST1000-MT1000-AACG-MH3C SecPathUTMU200-CU200-SU200-MU200-AH3C 系列安全模系列安全模块NSMASMWAN优化 SSL VPNFWACGLBAFCNetStreamH3C SecPath防火防火墙/VPNF5000-A5F1000-AF1000-SF100-EF100-CV100-EF100-A-SIF1000-EV1000-AF100-SF100-AV100-SF1000-CF100-MT200IPST5000-S3ACG 8800-S3IAG-AIAG 5000-A5T200-MT

26、200-A安全咨询与评定H3C拥有有业界最完整安全界最完整安全产品和品和端到端安全端到端安全处理方案理方案电力调度二次系统安全防护方案研讨第30页31n电力力调度安全度安全现实状况分析状况分析nH3C 电力力调度二次系度二次系统安全防安全防护处理方案理方案nH3C 安全介安全介绍nH3C电力力经典典应用案例用案例电力调度二次系统安全防护方案研讨第31页32关键路由器F1000-S防火墙防火墙SecPath T1000-A调度数据网调度数据网关键路由器关键交换区关键交换区业务接入区业务接入区网管区网管区F1000-S防火墙防火墙SecCenter A1000安全管理中心安全管理中心/审计平台审计

27、平台SecPath T1000-A经典案例典案例贵州州电力力调度网二次安全防度网二次安全防护IPSIPSIPSIPS全省及各地市二次安全防护全全省及各地市二次安全防护全部采取部采取H3CH3C安全设备。安全设备。H3C SecBlade II防火墙插卡防火墙插卡数据中心数据中心/服服务器区器区省调整点安全防护方案电力调度二次系统安全防护方案研讨第32页33经典案例典案例福建福建电力力调度四度四级网二次安全防网二次安全防护县调路由器SecPath F100地市调度数据网地市调度数据网备调路由器调度调度I区业务区业务SecPath F100调度调度II区业务区业务全省80个县调SecPath F1

28、00SecPath F100电力调度二次系统安全防护方案研讨第33页34经典案例典案例湖南湖南电力力调度二次安全防度二次安全防护安全安全区区 安全安全区区 安全安全区区 SERVER 安全安全区交换机区交换机S3526NE20SERVER 安全安全区交换机区交换机NE20反向隔离装置反向隔离装置正向隔离装置正向隔离装置安全安全区交换机区交换机S3526IPS管理口连接公管理口连接公共管理区共管理区 IPS管理口连接公管理口连接公共管理区共管理区 T1000-S（1）T1000-S（1）T1000-S（2）T1000-S（2）电力调度二次系统安全防护方案研讨第34页35经典案例典案例安徽安徽电力

29、力调度二次安全防度二次安全防护调度系统调度系统OMS网网IPS 1000-SIPS ManagerIII区交换机区交换机1III 区交换机区交换机2调度报票网调度报票网省企业省企业MIS网网电力调度数据网电力调度数据网IPS T1000-SIPS ManagerI 区交换机区交换机II 区交换机区交换机省企业调度数据网省企业调度数据网隔离装置隔离装置电力调度二次系统安全防护方案研讨第35页36经典案例典案例山西山西电力力调度二次安全防度二次安全防护H3C IPS T1000-S省调度省调度区区OMS服务器群服务器群用于省企业及全部用于省企业及全部11个地市，做电网安全个地市，做电网安全区服务器

30、群实时在线防御。区服务器群实时在线防御。省企业省企业MIS网网地市地市区区OMS服务器群服务器群H3C IPS T1000-S地市地市区区OMS服务器群服务器群H3C IPS T1000-S电力调度二次系统安全防护方案研讨第36页37调度网办公网办公网SecPath F100-E正、反向隔离装置H3C S3100-8C-SIH3C IPS一区交换机拨号访问网管和防病毒服务器WEB服务器安全区安全区I安全区安全区II安全区安全区III安全区安全区IV二区交换机三区交换机DMIS 区交换机网管和防病毒服务器调度自动化系统配网自动化系统办公网办公网正、反向隔离装置-SH3C IPSSecPathF1

31、000-S一区交换机拨号访问网管和防病毒服务器WEB服务器二区交换机三区交换机DMIS 区交换机网管和防病毒服务器调度自动化系统配网自动化系统企业 MISSecPathF1000-SSecPathF1000-SH3C IPSSecPathF1000-S黑龙江省电力调度中心黑龙江省电力调度中心1212个地市电力调度中心个地市电力调度中心经典案例黑典案例黑龙江省江省电力力调度数据网安全防度数据网安全防护H3C IPS 200H3C IPS 200电力调度二次系统安全防护方案研讨第37页38地市路由器N*155M POSGE地市路由器防火墙防火墙防火墙H3C IPSH3C IPSH3C IPSH3C

32、 IPSH3C IPSH3C IPS关键交换机关键交换机关键交换机GEGE地市路由器兰州电力企业其它地市其它地市电力企力企业Internet省企省企业广域网广域网局域网局域网局域网局域网局域网局域网经典案例典案例甘甘肃电力信息网安全力信息网安全电力调度二次系统安全防护方案研讨第38页39经典案例国典案例国电信息中心信息中心IPS案例案例ISP1ISP2国国电信息中心数信息中心数据中心据中心 Mail Server SQL ServerDB Server Web ServerSQL ServerDNS Server接入路由接入路由接入路由接入路由2台台 H3C IPS 200关关键交交换Inte

33、rnetInternet西西单出口出口白广路出口白广路出口电力调度二次系统安全防护方案研讨第39页40经典案例典案例陕西西电力力IPS安全防安全防护DMZ省局VPN/防火墙ISP1ISP2H3C 千兆千兆IPS流量控制流量控制H3C 千兆千兆IPS 认证平台认证平台东门家眷区东门家眷区DNS/WEB/MAILS5624P S85S3928S3928S3928外连单位外连单位电力调度二次系统安全防护方案研讨第40页41电力力贵州电力调度网黑龙江电力调度网国电信息中心河北电力河南电力陕西电力南方电力山西电力甘肃电力广东电网乌鲁木齐电力调度浙江兰溪电厂湖南鲤鱼江电厂湖南益阳电厂华电集团长沙电厂 H3C 安全安全产品部分用品部分用户名名单公共事公共事业湖南通信职业技术学院中石化中原油田设计院中科院中石油天然气运输企业北京公交车队调度安全系统北京地铁10号线AFC汾西矿业集团包头教育局贵阳市电教馆辽宁交通学校网络试验室昆明图书馆文化共享淮浙煤电有限企业浙江省委党校淮南职业技术学院沈阳工业大学长春师范学院四川司法警察学校北京市燕山教委成都地铁AFC系统 电力调度二次系统安全防护方案研讨第41页杭州华三通信技术有限公司电力调度二次系统安全防护方案研讨第42页