windecember

当前的威胁

　　电力行业是国民经济的基础，国家对电力系统的运行有着极高的要求。

　　目前电力系统面临的主要威胁是：旁路控制——入侵者对发电厂、变电站发送非法控制命令；完整性破坏——非法修改电力控制系统配置或程序；授权违规——电力控制系统工作人员利用授权身份或设备，执行非授权的操作；拒绝服务——向电力调度数据网络或通信网关发送大量垃圾数据，造成正常服务无法响应。

　　为此，Juniper公司推出了更加实际化的电力网络多层防护解决方案：面对电力系统复杂多样的威胁，只有建立一个由多种安全技术集成化的相互协同工作的防护体系，才可以有效的降低企业防护网被攻破的风险。

　　Juniper多层防护解决方案就是以安全策略和安全管理为核心，以ASIC芯片结构为基础，有机的集成安全体系中全面的产品和技术，如访问控制、VPN、抗拒绝服务攻击、入侵防护、内容安全、认证/授权/审计等，建立安全、可靠、实时的防护体系。

总体防护计划

　　对于电力系统总体防护的原则应该是“安全分区、网络专用、横向隔离、纵向认证”。对于任何发电企业、电网企业和供电企业内部的计算机网络系统，原则上都应该分为“生产控制区”和“管理信息区”两大区域，生产系统、控制系统、交易系统等业务系统属于生产控制区，OA办公系统、生产管理系统、客户服务系统等属于管理信息区，各级单位的生产控制区由电力调度网连接，管理信息区由电力信息网连接，在管理信息区的OA办公区域和客户服务系统等子区域存在与Internet的接口。两个大区之间进行严格的物理隔离，严格控制生产区与信息区之间的信息传输。

　　另外，电力企业还需要从边界安全、内网安全和远程接入安全三方面进行考虑。对于边界安全，电力单位的外部边界包括了通过OA办公区、信息发布区与Internet的接口，通过两个内部广域网与内部其他电力单位的接口，并且有的单位可能还有与其他外部合作机构，如银行、税务等单位网络的接口，在这些边界点都应当进行访问控制，可以根据网络的规模和容量部署相应的Netscreen安全网关。

　　从内网安全上讲，其核心思想就是对内部不同安全等级的系统进行安全区划分，在内部边界上实施控制机制，防止由于木桶原理造成的整个内网的防护强度降低。

　　电力企业需要根据单位内各系统的业务重要性以及对一次电力设备的影响程度，在两大区的基础上进一步对内部系统进行安全区划分隔离。对于生产控制区，需要将实时的和非实时的系统分开，比如EMS调度系统、配电自动化、变电自动化系统、负荷控制系统等，控制区是电力系统中最重要的资产，安全等级最高；把不具备控制功能，实时性要求不太高的生产业务系统、交易业务系统划分为生产区，安全等级其次。对于管理信息区，需要将与生产有关的系统和与生产无关的系统分开，也就是说划分成管理区和信息区两个区域。雷电监测系统、气象信息接入等都属于生产管理区，OA办公系统、客户服务系统等属于信息区。在两大区内部的分区之间，利用Netscreen设备集成的会话认证、访问控制、蠕虫过滤、应用层攻击检测等功能，防范从OA办公区到管理系统的病毒蠕虫的扩散和未经授权的访问。

　　在远程接入安全上，建议电力企业使用Juniper SSL VPN远程接入方式，不用装任何客户端软件，并且SSL 封装保证信息传输的机密性和完整性，身份认证时提供双因子动态口令或数字证书等高强度的认证支持，并且接入后的访问行为是受到控制的，最大程度地提高远程接入的安全性和方便性，而且节约成本。■

windecember

发电企业信息化规划与网络建设探讨

系统设计原则

　　我们在设计网络系统时，首先要考虑网络的开放性和安全性，要从系统工程的角度、要以发展的眼光进行科学的组建，以满足日益增长的业务需求。网络系统的设计应遵守以下准则。

　　开放性和标准化原则

　　网络系统是企业信息管理所必需的基础平台。为了实现整个企业的计算机互连和资源共享，网络系统必须采用基于Internet/Intranet开放式体系结构，采用基于国际IEEE、ISO等标准化组织的标准、国家标准、工业标准。开放性好的网络系统可以让企业自由选择网络产品，能保证系统之间的可连接性、相互可操作性，保证系统的可扩充性和设备的互换性，使得用户在应用和设备上的投资得到最大程度的保护。

　　先进性和可靠性原则

　　为了及时、迅速地处理网络上传送的各类数据，网络系统必须具备数据高速传输和处理能力，提供足够的带宽，保证较高的吞吐量，因此网络必须具有一定的先进性。

　　在火电企业中生产实时数据信息的发生是随机的，要求网络系统必须一年365天、一天24小时不停地运行。因此，网络系统的可靠性显得非常重要。为了防止由于局部故障引起整个网络系统的瘫痪，要在关键部件上进行冗余配置，在网络骨干上提供备用链路，将局部故障对整个网络的影响减到最小。

　　安全性和可扩充原则

　　在企业网络中，因为有生产现场的信息网点互连在一起，所以，网络的安全性尤其重要。为了确保网络上用户数据传输的安全、正确，必须采用多种方式、提供多个层次的访问控制，例如使用VLAN、包过滤及防火墙等技术。对所设计的网络，要充分考虑其可扩充性，以便随着企业未来的发展能灵活方便地扩大连接范围和应用规模，现有设备可以不做任何改动或稍做改动后就能接入扩充设备，满足更多的用户和应用。

拓扑及安全设计

　　网络应用服务体系结构选择采用三层结构体系：客户机/应用服务器/数据库服务器结构和浏览器/Web服务器/数据库服务器结构。

　　三层结构中应用服务器的主要功能是：不仅能实现大量的中间件功能，还能实现事务处理、信息排序和组件管理等功能，同时可以提高数据库访问效率和安全性，符合未来的技术发展动向。

　　另外，根据网络的分层结构，为保障网络系统的安全性，针对不同层采用相应的安全措施：

　　物理层——采用冗余连接的方法（例如Partial Mesh连接方式），既能保证链路上无单点故障，又能均衡网络流量，减少拥塞的发生，使信息传输比较畅通，从而有效地减少数据丢失。

　　网络层——通过正确设计网络拓扑结构，正确使用加密模块，合理配置路由器的访问控制表（ACL），设置NAT功能，禁止系统中危及安全的服务。

　　应用层——主要采用身份认证、访问控制授权、完整性检测、审计日志和病毒监测等方法。

　　防止计算机病毒

　　企业网络连接众多的用户，可能由于内部管理上的疏忽，装入未经杀毒处理的软件或者从Internet下载了带病毒的文件；还可能面临来自外部黑客释放病毒、逻辑炸弹的攻击。携带病毒的软件/数据，必然对企业计算机网络安全构成重大的威胁。因此网络安全系统必须具有及时检测病毒并消除病毒的机制。

　　防火墙技术的核心思想是在不安全的网间网环境中构造一个相对安全的子网环境。采用包过滤、电路网关、应用网关、网络地址转化、病毒防火墙、邮件过滤等技术，对用户使用网络有严格的控制和详细的记录。目前其实现有包过滤和代理防火墙。

　　在企业网络系统中，内外部防火墙之间采用安全监控系统，对整个系统进行实时的安全检测和报警，在入侵者进入防火墙时获得警告信息，便于管理员采取措施，保证系统安全。安全检测是实时对公开网络和公开服务器进行安全扫描和检测，及时发现不安全因素，对网络攻击进行报警。

　　网络安全的动态监测

　　安全的网络系统必须具有网络安全漏洞的检测和监控功能。通过安全检测、监控手段，及时发现网络安全漏洞和各种恶意的攻击手段，及时提供修补系统漏洞的告警并阻断来自内外的非法使用和攻击。

　　全面的备份和重组机制

　　企业计算机网络是信息管理的神经中枢，它具有系统资源多、通信传输容量大、信息处理庞杂、系统运行不间断等特点。信息网络局部受到攻击或破坏时，网络安全系统除了能迅速阻断、隔离和检测被破坏范围外，还应具有快速重组新的运行系统，以保证系统不间断运行的功能。因此，安全网络系统对重要的软硬件设备和信息资源要进行全面的备份，一旦系统局部受破坏，能迅速启动恢复重组机制，恢复信息、重组系统。

机房、布线建议

　　中心机房、设备间的选择，应根据办公楼的高低合理选择机房位置，从安全的角度考虑原则上选在楼上最高一层，但要设计好电缆竖井，在双绞线布线不超出93 米的范围内合理选择设备间位置，设备间与中心机房之间铺设6芯多模光纤和备用的两条双绞线。要提前设计好所有楼房内各房间、生产现场的信息点位置和数量，在楼房、生产现场施工的同时，预埋穿线管、信息盒等。

　　在中心机房、设备间设备机柜的布置上，服务器（最好采用机架式）选择单独机柜安装，两台中心主交换机、防火墙布置在两个机柜里，光纤布线选择2米专用机柜，双绞线布线、语音布线分别布置在不同的机柜里。其中双绞线布线采用24口配线架，每层放一台24口二级交换机（带两个光纤口），二级交换机、服务器与两台主交换级之间分别用多模光纤连接组成双链路冗余互为备份系统。

　　交换机、网络布线机柜应全部采用19英寸标准机柜，光纤配线选择专用配线柜，小型机、PC服务器选择配套机柜。中心主交换机选择带三层路由功能的模块式交换机，只配置光纤模块与二级交换机、服务器相连，二级交换机选择带两个光纤模块的24口交换机分别与两台主交换机相连。另外选择一台带光纤模块的千兆防火墙用于同外网的连接，其他内网可以选择不同与外网品牌的防火墙，从而可以提高安全防护级别。■