摘要：电力监控系统安全防护面临着严峻形势，安全和危险的态势瞬息更迭，采用切实可行的管理和技术手段，保障电力监控系统的安全，是保障电力安全生产的关键，也是保障国家安全的基础。
关键词：电力监控系统；安全综合防护；管理措施；
前言
随着计算机技术、通信技术和网络技术的发展，接入数据网络的电力监控系统越来越多。而某些发电厂、变电站、调控中心等对网络安全问题重视不够，安全防护的手段落实不到位，使得电力监控系统存在严重的安全隐患，其安全性和可靠性成为迫在眉睫要解决的问题。
1电力监控系统存在的安全风险
电力监控系统的管理及运行人员在设备新建、运行、研发过程缺乏有效的安全管理方法和必要的安全防护措施，存在直接进入设备系统机房，或采用线路搭结手段，进入计算机监控系统的可能性；部分新能源厂站存在网络非法外联的风险；远程业务的旺盛需求与防护管理水平不匹配，存在不安全拨号、私自拉线等后门。影响电力监控系统安全稳定运行的风险主要表现在网络安全、远程运维、主机加固以及安全管理与应急等方面。
2安全综合防护的技术措施
2.1网络安全
电力企业采用电力调度数据网作为专用网络，承载电力实时控制、在线生产以及本网网管业务。采用基于SDH/PDH的不同通道，实现与其它数据网络的物理层面的安全隔离。
电力调度数据网络采用MPLS-VPN技术、安全隧道等技术将实时控制业务、非控制生产业务分割成两个相对独立的逻辑专网，路由各自独立。
边界网络设备采用访问控制（ACL）功能，严格控制穿越各级数据网边界的业务报文，提高网络互联的安全；采用严格的接入控制措施，只有经过授权的节点才能接入数据网。
在生产控制大区纵向与广域网的交接处采取安全隔离、加密、认证等防护措施，对于实时控制业务，通过纵向加密认证装置或加密认证网关接入实时子网，保证实时控制报文的可信、完整、机密性。
对网络设备采取必要的安全配置，关闭或限定网络服务、禁止缺省口令登录、避免使用默认路由、网络边界关闭OSPF路由功能、采用安全增强的SNMPv2级以上版本的网管系统、升级软件，防止已知漏洞被利用、使用更安全的管理方式（SSH）、限制登录地址、记录设备日志、设置较复杂的密码，定期更改、适当配置访问控制列表等。
2.2远程终端接入管理
新开发关键应用系统：要求本身实现基于数字证书的身份认证、授权管理、访问控制、数据通信的加密与签名以及行为审计功能。
原有关键应用系统：进行适当安全改造，或者采用安全服务代理的方式进行安全增强。该安全代理服务器具有基于数字证书的认证、权限管理、访问控制、安全通信、行为审计功能。
2.3带宽管理
所谓带宽管理就是要确保有足够的带宽满足通信量的需要，如果不满足需要，则采用某种方式对通信量进行管理以确保关键性的通信量畅通。
普通的防火墙可以对协议、IP地址或是获得的URL等相关信息进行收集，交换机/路由器的ACL/QoS技术能够实现简单的带宽管理，路由器还具备相关的过滤功能。对网络做细致检测，分析带宽都用在那里。按照业务服务的重要次序来指定带宽分配优先级别，从而优先保障重要业务服务的带宽。
2.4主机加固
通过合理的设置系统配置、服务、权限，减少安全弱点。禁止不必要的应用，对操作系统及应用软件的安装与使用进行严格管理。通过及时更新操作系统安全补丁，消除系统内合计平台的漏洞与后门。
安装主机加固软件，强制进行权限分配，保证对系统的资源（包括数据与进程）的访问符合规定的主机安全策略，防止主机权限被滥用。
加固系统TCP/IP配置、根据系统应用要求关闭不必要的服务和帐号、强化用户口令、禁止任何应用程序以超级用户身份运行、设定系统日志和审计行为。
对数据库的应用程序进行必要的安全审核、安装补丁、使用安全的密码和账号策略；将具有管理员权限的用户限定在最小范围、加强数据库日志的管理、数据定期备份。
期刊文章分类查询,尽在期刊图书馆
2.5灾备及应急恢复
对关键主机设备、网络设备或关键部件进行相应的冗余配置，对安全区I的业务应采用热备份，其它安全区的业务可根据需要选用备份方式，避免单点故障影响系统可靠性。
对实时控制系统、电力市场交易系统，在具备条件的情况下进行异地数据与系统备份，提供系统级容灾功能，保证在大规模灾难情况下系统业务的连续性。
2.6网络安全状态监视
利用内网安全监视平台实现安全防护设备的资产管理，运行状态、安全告警信息的采集、统计分析以及纵向设备管控，使电力监控系统安全防护体系由边界防护向纵深防御发展，实现智能电网调度技术支持系统安全运行情况的量化分析及可视化，及时掌握潜在信息安全风险和隐患，保障电网的安全稳定运行。
3安全综合防护的管理手段
3.1建立完善的安全管理组织机构
电力企业应当按照“谁主管谁负责、谁运营谁负责”的原则，将电力监控系统安全防护及信息报送纳入日常安全生产管理体系。各电力企业负责本地区电力监控系统的安全管理，各单位主要负责人为安全防护第一责任人，电力调度机构指定专人负责管理本单位电力监控系统公共安全设施，明确各业务系统专责安全管理职责。
3.2制定日常的安全管理制度
建立健全各级电力调度部门及相关单位的安全管理制度，门禁制度、人员管理、权限管理、访问控制管理、安全防护岗位职责、维护管理制度、备份与恢复管理制度、安全评估、安全审计管理制度、用户口令密钥及数字证书的管理、安全培训管理制度等。有条件的调度机构聘请信息安全专家作为常年的安全顾问，针对国家安全相关规章制度和执行文件进行相应的安全规划和安全评审。
3.3自动化机房管理
加强自动化机房值班、巡视、出入管理。自动化人员每天定时进行机房巡视、遇特殊情况，增加巡视次数。值班人员加强对机房动力环境监控系统的监视，遇异常情况，及时采取相应的措施。外来人员进出机房必须经过批准，填写登记表且有专人陪同，运维厂家在机房工作需提交书面申请经过批准，并有专人监护。
3.4备份管理
电力监控系统的实时数据库以及历史数据库必须定期进行备份，备份的数据存储在可靠的介质中并与系统分开存放；制定详尽的使用数据备份进行数据库故障恢复的预案，并进行预演。
电力监控系统的计算机操作系统、应用系统要有存储在可靠介质的全备份，软件以及计算机和网络设备的配置和设置的全部参数也必须进行备份；与系统安装和恢复相关的软硬件、资料等必须放置在安全的地方。
3.5应急响应策略和联合防护
相关单位制定切实可行的应急处置方案，并经过预演。一旦发现攻击，采用加强保护、中断对方连接、反跟踪等处理措施，并及时向上级部门报告，通报有网络连接的相邻单位，采取联合防护措施（包括：隔断、隔离、跟踪、根除、恢复），防止事故的扩大以保证系统的正常运行。当系统因自然或人为的原因遭到破坏，可采用立即完全恢复、部分恢复或启用备份系统恢复（保护现场）等措施。
3.6人员管理与培训
涉密人员应严格遵守国家和公司系统的保密规定，保管好涉密文件、资料，不得在没有保密措施的计算机系统中处理、存储和传输。
应用系统开发、维护人员办理离岗手续，移交全部技术资料，明确其离岗后的保密义务，系统管理员更换口令和密钥，注销其专用账户。
开展网络安全类专业培训，采取从业人员自学、外请专家讲课、组织各类培训班等形式，提升从业人员的岗位技能；开展安防相关制度解读宣讲，提高各级人员安全意识和风险辨识能力。
结束语
树立全局的观念，完善各项管理制度，明确相关单位的运维职责。加强队伍建设和业务培训，强化人员信息安全意识。依托先进的管理手段，探索新的管理思路和模式。通过持续改进，使公司电力监控系统安全防护管理和运维水平达到新的高度。
作者简介：
张瑛（1969-），性别，女，职称，高级工程师，现主要从事调度自动化运维及管理工作。
韦翔（1986-），性别，男，职称，工程师、高级技师，现主要从事保护、自动化专业管理工作。
孔庆伟（1978-），性别，男，职称，工程师，现主要从事新能源基建生产的相关工作。
论文作者:张瑛1,韦翔1,孔庆伟2
论文发表刊物:《电力设备》2017年第21期
论文发表时间:2017/11/29
标签：电力论文; 监控系统论文; 系统论文; 措施论文; 业务论文; 安全防护论文; 备份论文; 《电力设备》2017年第21期论文;