011 智能电网调度技术支持系统_第 3-6 部分:基础平台_系统安全防护编制说明.pdf
《011 智能电网调度技术支持系统_第 3-6 部分:基础平台_系统安全防护编制说明.pdf》由会员分享,可在线阅读,更多相关《011 智能电网调度技术支持系统_第 3-6 部分:基础平台_系统安全防护编制说明.pdf(37页珍藏版)》请在麦多课文档分享上搜索。
1、ICS29.240国家电网公司企业标准Q/ GDW 680.3 6要 2011智能电网调度技术支持系统第 3-6 部分:基础平台 系统安全防护Smartgridoperationsupporting systemPart3-6: Foundationalplatform systemsecurity protection2011-12-28发布 2011-12-28实施国家电网公司 发 布Q /G D WQ / GDW 680.36要 2011I目 次前言 II1 范围 12 规范性引用文件 13 术语和定义 14 概述 15 安全防护总体要求 16 系统安全 26.1 操作系统安全 26.2
2、 数据库安全 26.3 安全监视 26.4 身份认证 46.5 安全授权 56.6 网络设备和安全设备 56.7 性能指标 5附录 A(资料性附录) 智能电网调度技术支持系统安全监视运行报表模板 7附录 B(规范性附录) 智能电网调度技术支持系统安全监视日志规范 14附录 C(规范性附录) 智能电网调度技术支持系统安全监视日志代理接口规范 24编制说明 27Q / GDW 680.36要 2011II前 言随着坚强智能电网建设工作的深入开展,国家电网正在发展成为世界上电压等级最高、 技术水平最先进、 资源配置能力最强的坚强智能电网,电网的形态和运行特性将发生重大变化,对电网调度驾驭大电网、 进
3、行大范围资源优化配置的能力以及电网调度一体化运行管理和信息化、 自动化、 互动化水平提出了新的更高的要求。作为保障电网安全、 优质、 经济运行的重要技术手段,现有电网调度技术支持系统已难以适应特高压大电网安全稳定运行的要求,迫切需要开展新一代电网调度技术支持系统 智能电网调度技术支持系统的研究和建设。 智能电网调度技术支持系统 系列标准,提出了省级及以上智能电网调度技术支持系统体系架构及总体要求,定义了系统的名词和术语,明确了系统基础平台的技术要求,给出了省级及以上智能电网调度技术支持系统实时监控与预警、 调度计划、 安全校核、 调度管理四类应用的技术要求,具有涉及范围广、 系统性强、 一体化
4、程度高等特点。 该系列标准转化为国家电网公司企业标准并贯彻执行,将会有力地推进电网调度技术支持系统标准化建设,全面提高电网调度的精益化和智能化水平。Q/GDW680 智能电网调度技术支持系统 系列标准包括以下 24 个部分: 第 1 部分:体系架构及总体要求 第 2 部分:名词和术语 第 3-1 部分:基础平台 消息总线和服务总线 第 3-2 部分:基础平台 数据存储与管理 第 3-3 部分:基础平台 平台管理 第 3-4 部分:基础平台 公共服务 第 3-5 部分:基础平台 数据采集与交换 第 3-6 部分:基础平台 系统安全防护 第 4-1 部分:实时监控与预警类应用 电网实时监控与智能告
5、警 第 4-2 部分:实时监控与预警类应用 水电及新能源监测分析 第 4-3 部分:实时监控与预警类应用 电网自动控制 第 4-4 部分:实时监控与预警类应用 网络分析 第 4-5 部分:实时监控与预警类应用 在线安全稳定分析与调度运行辅助决策 第 4-6 部分:实时监控与预警类应用 调度员培训模拟 第 4-7 部分:实时监控与预警类应用 辅助监测 第 5-1 部分:调度计划类应用 数据申报与信息发布 第 5-2 部分:调度计划类应用 预测与短期交易管理 第 5-3 部分:调度计划类应用 检修计划 第 5-4 部分:调度计划类应用 发电计划 第 5-5 部分:调度计划类应用 水电及新能源调度
6、第 6 部分:安全校核类应用 安全校核 第 7-1 部分:调度管理类应用 调度生产运行管理 第 7-2 部分:调度管理类应用 专业和内部综合管理及信息展示发布 第 8 部分:分析与评估本部分是 Q/GDW680 智能电网调度技术支持系统 系列标准的第 3-6 部分。Q / GDW 680.36要 2011III本部分由国家电力调度控制中心提出并解释。本部分由国家电网公司科技部归口。本部分起草单位:国网电力科学研究院、 中国电力科学研究院、 福建电力调度通信中心、 华中电力调控分中心、 江西电力调度通信中心、 四川电力调度通信中心、 华北电力调控分中心。本部分主要起草人:蔡云江、 孙炜、 马 骁
7、、 张 涛、 杨维永、 李 勃、 邓兆云、 韩水保、 金学成、朱亦兵、 王民昆、 黄河清、 邵志鹏、 刘炎炎。Q / GDW 680.36要 2011IVQ / GDW 680.36要 20111智能电网调度技术支持系统第 3-6 部分:基础平台 系统安全防护1 范围本部分规定了智能电网调度技术支持系统中操作系统安全、 数据库安全、 安全监视、 身份认证、 安全授权的功能和性能等技术要求,并提出了网络设备、 安全设备的配置和性能要求。本部分适用于智能电网调度技术支持系统的设计、 研发、 建设和验收。2 规范性引用文件下列文件对本文件的应用是必不可少的。 凡是注日期的引用文件,仅注日期的版本是用
8、于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T20270 信息安全技术 网络基础安全技术要求GB/T20271 信息安全技术 信息系统通用安全技术要求GB/T20272 信息安全技术操作系统安全技术要求GB/T20273 信息安全技术数据库管理系统安全技术要求GB/T22239 信息安全技术信息系统安全等级保护基本要求Q/GDW680.1-2011 智能电网调度技术支持系统 第 1 部分:体系架构及总体要求Q/GDW680.2-2011 智能电网调度技术支持系统 第 2 部分:名词和术语中华人民共和国国务院令( 147 号) 中华人民共和国计算机信息系统
9、安全保护条例中华人民共和国国家经济贸易委员会令 第 30号 电网和电厂计算机监控系统及调度数据网络安全防护规定公通字 2007 43 号 信息安全等级保护管理办法国家电力监管委员会令(第 5 号) 电力二次系统安全防护规定电监安全 2006 34 号 关于印发 电力二次系统安全防护总体方案 等安全防护方案的通知3 术语和定义标准 Q/GDW680.2-2011 界定的术语和定义适用于本文件。4 概述本部分依据 Q/GDW 680.1-2011 编制,确定了 Q/GDW 680.1-2011 中规定的基础平台系统安全防护功能要求和性能指标。系统安全防护包括操作系统安全、 数据库安全、 安全监视、
10、 身份认证、 安全授权等功能,以及网络设备、 安全设备的配置等。5 安全防护总体要求智能电网调度技术支持系统安全防护应遵循“ 安全分区、 网络专用、 横向隔离、 纵向认证” 的总体要求:a) 智能电网调度技术支持系统应分为生产控制大区和管理信息大区,生产控制大区内应划分为控制区和非控制区;Q / GDW 680.36要 20112b) 与生产控制大区连接的广域网和与管理信息大区连接的广域网应在物理层面上使用独立的网络设备;c) 生产控制大区与管理信息大区间应部署电力专用横向隔离装置,控制区和非控制区应部署逻辑隔离装置;d) 生产控制大区的应用系统与调度数据网连接时,纵向边界应采用认证、 加密、
11、 访问控制等技术措施。6 系统安全智能电网调度技术支持系统应遵循公通字 2007 43 号、 国家电力监管委员会令第 5 号、 GB/T22239的要求,建立覆盖网络层、 应用层的纵深安全防护机制,应包括操作系统安全、 数据库安全、 安全监视、身份认证、 安全授权的功能和性能等技术要求,以及网络设备、 安全设备的配置和性能要求6.1 操作系统安全智能电网调度支持技术系统采用的操作系统应达到 GB/T20272 中 4 级安全防护等级的要求。6.2 数据库安全智能电网调度支持技术系统采用的关系数据库应达到 GB/T20273 中 3 级安全防护等级的要求。6.3 安全监视安全监视功能包括安全监视
12、与管理、 事件分析与处理、 纵向加密认证装置集中管控等功能。6.3.1 安全监视与管理安全监视与管理应至少包括实时监视、 系统管理、 资产管理、 风险指标管理、 辅助工具等功能。6.3.1.1 实时监视实时监视智能电网调度技术支持系统的安全情况,至少包括以下内容:a) 系统整体安全情况;b) 安全设备数量和运行状态;c) 告警日志总量;d) 紧急安全事件发生情况;e) 日志数据流量;f) 经过纵向加密装置的明、 密文数据流量。6.3.1.2 系统管理系统管理应至少包括系统配置管理、 用户权限管理等内容:a) 系统配置管理包括所有用于安全监视后台处理和前端展示信息的配置,同时支持配置参数的离线备
13、份。b) 用户权限管理用户权限管理应至少包括以下功能:1) 用户帐号维护;2) 用户角色维护;3) 角色权限控制。身份验证信息(帐号及口令)应加密存储,登录页面可使用图片验证码功能,防止恶意攻击。6.3.1.3 资产管理提供监视范围内的资产管理功能,至少包括以下内容:a) 资产名称、 厂商、 型号、 联系人等信息维护;b) 资产信息的 Excel 批量导入、 导出;c) 资产对应的日志代理类型选择;d) 资产检索及结果导出功能。6.3.1.4 风险指标管理Q / GDW 680.36要 20113建立针对二次系统安全风险的评估指标体系,包括运行类和安全类两类指标。 指标数据支持报表形式展现,格
14、式参见附录 A。6.3.1.5 辅助工具应提供辅助工具,具备局域网主机信息扫描功能。 扫描信息至少包括以下内容:a) IP 地址;b) MAC 地址;c) 工作组名;d) 用户名称;e) 操作系统类型。扫描结果应支持删除、 修改、 存储、 导出。6.3.2 事件分析与处理事件分析与处理应包括事件采集、 转换代理、 过滤存储、 分级上报、 事件分析、 事件响应等功能:6.3.2.1 事件采集以 Syslog 方式,实现设备日志的采集,应至少支持以下设备:a) 横向(正、 反向)隔离装置;b) 纵向加密认证装置;c) 安全拨号装置;d) 防火墙;e) 入侵检测装置;f) 防病毒;g) 局域网重要主
15、机。采集事件应满足 GB/T 22239 中“ 8.1.2.3 安全审计” 的要求。 具体范围和事件日志格式见附录 B。6.3.2.2 转换代理转换代理程序将原始日志数据转换为标准格式,日志格式要求应满足附录 B 要求。 转换流程应满足附录 C 要求。6.3.2.3 过滤存储对原始事件数据过滤、 存储,应满足以下功能要求:a) 保留有效事件,丢弃无效事件,归并同类事件;b) 过滤后的入库事件具备存储备份和灾难恢复功能。6.3.2.4 分级上报下级安全监视将重要事件告警日志上报至上级单位,应至少包括以下参数:a) 事件类型;b) 事件名称;c) 事件描述;d) 告警等级;e) 事件发生次数;f)
16、 设备统一编码;g) 事件发生时间(时间范围);h) 报告事件的安全设备类型;i) 攻击源 IP;j) 攻击目的 IP;k) 攻击源端口;l) 攻击目的端口。Q / GDW 680.36要 201146.3.2.5 事件分析对原始日志数据进行关联分析,生成安全事件。 应支持至少以下关联分析类型:a) 基本关联,根据事件基本属性信息,生成关联分析结果;b) 攻击关联,根据安全设备发出的事件,结合目标资产类型,生成关联分析结果;c) 位置关联,根据事件来源的位置或者目标资产的物理位置,生成关联分析结果;d) 角色关联,根据事件相关用户名结合事件基本属性,生成关联分析结果;e) 因果关联,根据事件类
17、型结合事件行为结果,生成关联分析结果。事件分析结果支持以报表的形式展现,详细格式参见附录 A。 报表类型至少包括以下几种:a) 实时分析报表;b) 历史分析报表;c) 对比分析报表;d) 趋势分析报表。6.3.2.6 事件响应对关联分析生成的安全事件进行告警响应,具备以下功能要求:a) 支持告警的实时显示;b) 可通过邮件、 短信、 声光告警等方式报送运维人员。6.3.3 纵向加密认证集中管控6.3.3.1 拓扑管理具备设备拓扑图的自动生成和更新功能,并至少支持设备增加、 删除、 编辑等功能。6.3.3.2 运行监视具备在线监视功能,至少包括以下设备运行状态信息:a) 在线隧道链路状态信息;b
18、) 隧道加解密数据包数量信息;c) 装置及隧道通断信息。6.3.3.3 设备配置实现管控设备的基础信息配置,包括设备基本信息、 网络及安全等配置。6.3.3.4 隧道管理提供隧道的维护工具,实现隧道的创建、 修改、 删除和查询等功能。6.3.3.5 策略管理提供策略维护工具,实现选定隧道下策略的查询、 添加、 修改和删除等功能。6.3.3.6 证书管理实现对装置证书的管理功能,提供对所选择加密隧道相关证书的替换功能。6.4 身份认证6.4.1 主机认证系统中与调度数据网连接的主机在与远方主机通信时应通过身份认证,并定期重认证。 认证过程遵循 电力系统专用纵向加密认证装置技术规范 中规定的认证协
19、议。6.4.2 用户认证应提供用户登录身份认证功能,并定期重认证。 用户认证功能至少应满足以下要求:a) 应使用基于智能卡或指纹型智能卡等方式;b) 应提供相应智能卡管理工具,支持修改口令、 登记指纹等信息;c) 卡内数字证书应由电力专用调度证书服务系统签发。6.4.3 服务认证智能电网调度支持技术系统中所有的服务请求者、 服务提供者与服务代理间通信时应采用数字证书进行身份认证,并由服务代理发起重认证。 认证协议参照 电力系统专用纵向加密认证装置技术规范 。Q / GDW 680.36要 201156.5 安全授权6.5.1 安全授权基本要求智能电网调度支持技术系统中访问主体(用户、 服务请求
20、者等)对访问客体(文件、 系统、 服务提供者等)采用服务总线时的访问权限应使用安全标签功能,杜绝非法访问。 安全授权功能至少应满足以下要求:a) 一个安全标签只对应一个数字证书,一个数字证书可对应多个安全标签;b) 安全标签应规定主体和客体具备的权限;c) 主体和客体分别对应一个安全标签;d) 安全标签应分配给用户、 服务提供者、 服务请求者、 服务代理等。6.5.2 安全标签的应用本地访问与远程访问服务的安全标签应用流程见表 1:表 1 安全标签应用流程访问的主客体 需要比较的两方标签访问方式 次序主体 客体 主体 客体先决条件1 本地服务请求者 本地服务代理本地服务请求者安全标签本地服务代
- 1.请仔细阅读文档,确保文档完整性,对于不预览、不比对内容而直接下载带来的问题本站不予受理。
- 2.下载的文档,不会出现我们的网址水印。
- 3、该文档所得收入(下载+内容+预览)归上传者、原创作者;如果您是本文档原作者,请点此认领!既往收益都归您。
本资源只提供5页预览,全部文档请下载后查看!喜欢就下载吧,查找使用更方便
5000 积分 0人已下载
下载 | 加入VIP,交流精品资源 |
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 011 智能 电网 调度 技术 支持系统 36 部分 基础 平台 系统安全 防护 编制 说明 PDF
