需求背景

为遵从发改委14号令《电力监控系统安全防护规定》和国家能源局36号文《电力监控系统安全防护方案》的要求，防范黑客及恶意代码等对电力监控系统的攻击与侵害，抵御其他可能造成电力设备事故或电力安全事件的威胁，天融信公司针对电厂共性安全问题推出“电厂监控系统安全防护建设方案，在满足电厂网络合规建设的同时，切实提升电厂的安全防护水平，保障电厂各生产和业务系统的高效持续稳定运行。

解决方案

电厂网络一般分为两个大区：生产控制大区（安全Ⅰ区和安全Ⅱ区）和管理信息大区（安全Ⅲ区）。电厂的安全防护以“安全分区、网络专用、横向隔离、纵向认证”为原则，需要在各区域边界采取必要的安全防护措施，禁止任何穿越生产控制大区和管理信息大区之间边界的通用网络服务。

• 横向安全防护：在安全I区、安全II区之间部署防火墙用于区域间的逻辑隔离。在安全I区、安全II区与安全III区之间采用电力系统专用安全隔离装置进行网间隔离；

• 安全运行监测：在安全I区和安全II区部署入侵检测设备，对部署在变电站和发电厂内的所有主机设备、网络设备和安全设备进行风险实时监视；

• 行为安全审计：在安全Ⅰ区部署运维安全审计系统，确保用户的行为符合安全管理规范。在安全II区部署日志收集与分析系统，对各类系统产生的日志信息进行统一全面、有效的综合分析。在安全III区部署上网行为管理系统，对不良的上网行为进行管控；

• 主机安全防护：在管理信息大区的办公内网和外网终端全面部署终端威胁防御系统，外网终端通过互联网在线升级病毒库。办公内网部署防病毒服务器，配置必要的防护措施和安全策略，对内网终端进行统一的病毒库升级。采用基于白名单机制的工控主机卫士，对生产大区主机进行恶意代码防护。对工控系统操作员站、工程师站等主机外接设备进行管控。

• 
  

客户价值

符合政策性要求

方案按照国家能源局《电力监控系统安全防护总体方案》（国能安全〔2015〕36号文件)的要求进行设计和规划，在满足横向隔离和纵向认证详细要求的同时，实现生产控制大区的安全审计和管控、管理信息大区的安全隔离和防护。

提升电厂安全防护水平

在电厂的网络边界，采取必要的技术手段，将众多的安全威胁屏蔽在电力监控系统的边界之外；同时监测工业控制系统的实时动态，发现异常行为并及时告警；对工作站、服务器等设备进行病毒查杀，确保工作站与服务器能够稳定、可靠地运行，为电力监控系统创造安全可靠的运行环境。