摘 要： 發(fā)電企業(yè)計算機網絡信息安全問題已威脅電力系統(tǒng)安全、穩(wěn)定、可靠、優(yōu)質地運行。通過對發(fā)電企業(yè)計算機網絡系統(tǒng)信息安全危險分析,根據發(fā)電企業(yè)的特點提出了相應的風險防范措施。
關鍵詞： 計算機網絡; 風險分析; 安全體系機構; 信息安全; 安全防護
隨著信息化不斷擴展，各類網絡版應用軟件得到推廣應用。計算機網絡在提高數(shù)據傳輸效率、實現(xiàn)數(shù)據集中、數(shù)據共享等方面發(fā)揮著越來越重要的作用，計算機網絡與信息系統(tǒng)建設已逐步成為各項工作的重要基礎設施。但病毒傳播、黑客入侵、惡意軟件肆虐，時刻威脅著計算機網絡信息，并造成嚴重危害。新版《火力發(fā)電廠安全性評價》加入了網絡信息安全評價標準，安評工作中計算機網絡和系統(tǒng)安全建設尤為重要。
1 發(fā)電企業(yè)網絡系統(tǒng)簡介
1.1 總體結構圖
圖1是發(fā)電廠信息系統(tǒng)的結構示意圖。
發(fā)電廠信息系統(tǒng)由廠控二次系統(tǒng)、管理信息系統(tǒng)及相關的網絡和網絡接口構成。根據發(fā)電廠信息系統(tǒng)的組成，廠控二次系統(tǒng)中包括電量計量、DCS、輸煤除灰、化學制水、遠動、脫硫等多個業(yè)務系統(tǒng)及其網絡。各廠控二次業(yè)務系統(tǒng)通過獨立的接口機連接到管理信息系統(tǒng)的實時數(shù)據庫服務器端，向管理信息系統(tǒng)提供實時業(yè)務的數(shù)據，供發(fā)電廠各相關管理部門使用。
管理信息系統(tǒng)包括了EAM、財務管理、OA、燃料管理、生產管理、實時數(shù)據庫等多個系統(tǒng)和系統(tǒng)用戶，還有相關的網絡與網絡接口。其中，實時數(shù)據庫系統(tǒng)服務器接收廠控端接口機采集的實時數(shù)據，并將數(shù)據提供給管理信息系統(tǒng)中的其他業(yè)務系統(tǒng)。
1.2 應用系統(tǒng)
1.2.1 EAM（設備管理系統(tǒng)）
EAM系統(tǒng)主要提供對電廠設備的編碼管理、電廠設備維護工作流程的管理、電廠生產過程中的運行值班情況的管理及電廠的備品備件的管理功能。
EAM系統(tǒng)中數(shù)據主要包括用戶信息/權限、設備數(shù)據、維修管理數(shù)據、運行管理數(shù)據、備件數(shù)據等。因用戶信息/權限的機密性要求高，所以EAM系統(tǒng)數(shù)據的完整性和可用性要求都為高。
1.2.2 實時數(shù)據庫系統(tǒng)
實時數(shù)據庫系統(tǒng)服務器負責通過多個和廠控系統(tǒng)相連的接口機收集與廠控系統(tǒng)相關的實時數(shù)據。接口機分布與各廠控系統(tǒng)現(xiàn)場連接,其中的實時數(shù)據來自于DCS系統(tǒng)、遠動系統(tǒng)、電量采集系統(tǒng)、輸煤除灰系統(tǒng)等。
實時數(shù)據庫系統(tǒng)存在與廠控系統(tǒng)、管理信息網絡其他業(yè)務系統(tǒng)的通信關系。授權用戶對實時數(shù)據庫服務器的訪問，采用用戶名/密碼的認證方式，訪問控制通過防火墻控制。
1.3 安全分區(qū)
根據《電力二次系統(tǒng)安全防護規(guī)定》的安全分區(qū)原則，對發(fā)電廠信息系統(tǒng)進行分區(qū)，按照AGC接口設備、遠動RTU、電量計量RTU和電力市場報價終端與管理信息系統(tǒng)通信方式的不同，劃分成兩個分區(qū):生產控制大區(qū)（安全區(qū)Ⅰ和安全區(qū)Ⅱ）和管理信息大區(qū)。實時數(shù)據系統(tǒng)各組件分布于安全區(qū)I、II和管理信息大區(qū)中，根據實時數(shù)據系統(tǒng)的結構，將實時數(shù)據系統(tǒng)分為兩部分：
(1) 安全區(qū)I、II的接口機：用于采集來自安全區(qū)Ⅰ和安全區(qū)Ⅱ的實時系統(tǒng)數(shù)據，同時將這些實時數(shù)據單向傳給管理信息大區(qū)的實時服務器。
(2) 管理信息大區(qū)的實時數(shù)據庫服務器：從安全區(qū)I、II的接口機獲取數(shù)據，并與管理信息區(qū)的其他業(yè)務系統(tǒng)間進行數(shù)據交互。
2 網絡安全體系機構
電力企業(yè)信息安全體系機構由網絡安全防護、數(shù)據備份和恢復、應用系統(tǒng)安全、信息安全管理等幾部分組成[1-2]。
2.1網絡安全防護
2.1.1 安全域防護
管理信息系統(tǒng)劃分為服務器集群、終端用戶、對外應用服務器三個網絡安全域，將終端用戶安全域劃分成多個子安全域，包括財務系統(tǒng)、管理人員、生產部門、一般用戶等多個安全域；將對外提供服務的應用服務器部署在對外應用服務器域中。
2.1.2 網絡的高可靠性
(1) 核心層網絡設備應采取雙冗余結構，兩臺核心層設備相互熱備；
(2) 關鍵終端用戶安全域接入交換設備到核心層應采用雙鏈路冗余結構，確保用戶接入核心層鏈路的冗余和可靠；
(3) 對關鍵業(yè)務系統(tǒng)服務器域和重要業(yè)務系統(tǒng)服務器域通過兩條鏈路接入核心層；
2.1.3 防病毒
(1) 發(fā)電廠管理信息大區(qū)應統(tǒng)一部署病毒防護措施，禁止安全區(qū)I、II與管理信息系統(tǒng)共用一個防病毒管理服務器。
(2) 對所有系統(tǒng)的服務器、用戶工作站都應當部署適當?shù)姆啦《井a品的客戶端。
(3) 在與Internet的網絡接口處應當部署防病毒網關，防止病毒、蠕蟲從Internet蔓延到發(fā)電廠管理信息系統(tǒng)內部。
(4) 在布置獨立的電子郵件系統(tǒng)時，必須在郵件服務器前端部署郵件病毒網關，防止郵件病毒在辦公網絡中蔓延。
(5) 加強防病毒管理，保證病毒特征碼的及時、全面更新，及時查看病毒查殺記錄，掌握病毒威脅情況。
2.1.4 防火墻
在到Internet的每個網絡接口處都必須部署一臺防火墻；對外應用的服務器安全域應連接到防火墻?；饏^(qū)(DMZ)，選用硬件防火墻，其功能、性能、電磁兼容性必須經過相關測試。防火墻應支持DMZ功能，發(fā)電廠對外部公開的系統(tǒng)(如Web系統(tǒng)、郵件系統(tǒng))需放置在DMZ區(qū)。
2.1.5 入侵檢測系統(tǒng)
發(fā)電廠管理信息系統(tǒng)中應部署一套入侵檢測系統(tǒng)，至少應在核心層網絡設備上部署一個入侵檢測系統(tǒng)的探頭。
2.1.6 虛擬專用網
發(fā)電廠廠控自動化系統(tǒng)與調度中心的通信，應滿足《電力二次系統(tǒng)安全防護規(guī)定》中提出的實時和非實時VPN建設的要求。穿越公用線路與發(fā)電廠管理信息系統(tǒng)進行業(yè)務通信、遠程辦公時，應采用VPN產品，以保障數(shù)據通信的安全性。
2.1.7 主機安全加固
關鍵應用系統(tǒng)(如財務系統(tǒng)、EAM系統(tǒng)、實時數(shù)據庫系統(tǒng)等)的主服務器應定期進行主機安全加固。主機安全加固方式包括：安全配置、安全補丁、采用專用的軟件強化操作系統(tǒng)訪問控制能力以及配置安全的應用。
2.2 備份與恢復
對于關鍵業(yè)務系統(tǒng)（財務系統(tǒng)、EAM、實時數(shù)據庫系統(tǒng)）數(shù)據，安排專人負責數(shù)據的備份，確保對業(yè)務數(shù)據每
月進行一次全備。關鍵業(yè)務系統(tǒng)需雙機備份,安排專人對備份介質進行保管,備份介質必須與原數(shù)據異地存儲。
2.3 應用系統(tǒng)安全
管理信息大區(qū)中應用系統(tǒng)較多，確保應用的安全性是管理信息系統(tǒng)信息安全建設的重點內容。包括： 訪問控制、賬戶與權限管理、審計管理、輸入/輸出完整性、加密管理、系統(tǒng)生命周期安全管理、數(shù)據完整性等。
2.4 信息安全管理
信息安全管理工作包含3個方面：
(1) 建立專門的組織機構負責信息安全工作的管理；
(2)建立專門的策略體系和管理制度體系約束人員行為；
(3) 建立專門的人員隊伍進行具體的管理操作。
網絡信息安全是一個系統(tǒng)工程，不能僅靠殺毒軟件、防火墻、漏洞掃描等硬件設備的防護，還要意識到計算機網絡系統(tǒng)是一個人機系統(tǒng)，在建立以計算機網絡安全硬件產品為基礎的網絡安全系統(tǒng)的同時，也應樹立用戶的網絡信息安全意識才能防微杜漸，構建一個高效、安全的網絡系統(tǒng)。
參考文獻
[1] 張世永.網絡安全原理與應用[M].北京：科學出版社，2003.
[2] 葛秀慧.計算機網絡安全管理(第二版)[M].北京：清華大學出版社，2008.