刍议电网调度自动化系统安全防护

张 明 国网湖南省电力公司安化县供电分公司 湖南安化 413500

【文章摘要】

电网调度自动化系统的安全工作，从技术上等同于普通网路系统的安全防护工作，但是，由于电网调度自动化系统的特殊性，我们的电网调度系统自动化网络的安全密级比其他网络要高的多。本文重点介绍电网调度自动化网络安全管理中的主要要素及常用管理方式。

【关键词】

电网调度自动化；网络安全；安全防护

0 引言

电网调度自动化系统是一柄双刃剑，他在给我们的电力系统的调度工作带来足够便利的同时，也给电网埋下了巨大的安全隐患。一旦有不法分子入侵了这一网络，就会得到整个电网的调度权。所以，电网调度自动化系统的安全，是具有军事战略意义的信息战高地。

1 电网调度自动化系统简介

电网调度自动化系统，是一个传输着电网运行数据和电网控制指令的高密级专网系统，为了保证电网调度自动化系统不至于被不法分子入侵而导致系统的私密性、可用性、完整性受到破坏，不至于因为调度系统出现问题而导致大面积停电或电气设备大面积损坏的故障，电网调度系统的安全级别是国内最高的网路大系统之一。目前的电网调度自动化系统的专网覆盖率，基本上可以满足专网专线全覆盖的要求，可以保证每个10KV 以上的变电所（站）均有8 芯以上的光纤铺设到位。因为电网调度自动化系统的光纤专线采用的是FDDR 物理层传输模式， IEEE802.3z 的信号模式，所以，电网调度自动化系统的光纤干线是使用普通的光口交换机进行交换的。

2 中央7 层交换柜的保障模式

因为华为系统没有思科的7 层交换概念，我们在华为系统中，常常布置一个42U 机架作为核心的数据保障，机架上装有8U 的核心路由器，4U 的192.168.0.0- 10.0.0.0 的边界防火墙，4U 的身份认证服务器，6U 的抓包监控，2U 的折叠式键鼠LCD，2U 的键鼠LCD 复用，4~6 台2U12 光口8 电口的3COM H3CLS-5500 作为中央汇聚，以及对应的4~6 个1U 光纤穿线整理架。

这些光纤连接到旁边并排的大约40~60 台服务器中，这些服务器是各条电缆的监测系统主机、备机、存储机，各组开关监测系统的主机、备机、存储机，各个变压器监测系统的主机、备机、存储机，各个电能及负荷监测系统的主机、备机、存储机，以及远控系统的主机、备机、存储机。这些系统的相应机器，加上需要进行数据转换的工业网桥设备，或者采取了SEED 系统的专用交换，就构成了电力自动化监控系统的核心机组。而我们的办公网的LAN 接入，外网的VPN 接入，GSM-modem 接入，以及部分外网服务器，如ERP 外网服务器，官方门户外网服务器需要读取指定数据库主机数据库时，在服务器端直接对接的Dig-bridge 线路，都需要在严格的控制下从这些服务器读取数据。

3 VPN 外网

在电力系统中，拥有电网自动化专网VPN 账号的人非常少，VPN 账号一般分为两种，一种是对于个别没有铺设专网专线的电力设施，他们需要使用VPN 在公共网络上架设虚拟线路来传递数据。另一种是针对一些管理员，可以通过VPN 远程登录系统进行维护。

目前来说，VPN 可能为我们带来的攻击是DDoS 的拒绝访问攻击和身份克隆攻击。

因为我们的VPN 设备与核心交换之间，安装了硬件防火墙，所以，VPN 的信息拨入后，在进入身份认证之前，会被防火墙进行率先过滤，反复发送无意义数据包的访问者，会被防火墙直接挡住，所以， DDoS 不会对VPN 端口造成实质性的破坏。而对于身份克隆式的攻击，确实有可能导致VPN 的加密狗被克隆，同时发生VPN 的用户名密码同时丢失的情况。

针对身份克隆攻击，我们一般采用以下方式来防范：

（1）MAC 地址识别及绑定

我们在身份识别系统中，添加MAC 地址识别功能，且在核心交换中建立静态MAC 表，对需要通过核心交换由192.168.0.0/16 网段进入10.0.0.0/8 网段的用户进行过滤，使得身份克隆的攻击者必须同时克隆访问设备的MAC 地址才可以实施克隆。也就是说，我们的VPN 包，只有来自指定MAC、指定IP、指定USERNAME、指定PASSWORD、指定加密狗辅助下的访问才可以有效。

（2）采用行政命令方式管理

我们采用行政命令的方式，对用户名密码的更换频率，相应终端MAC 和IP 的更换频率都加以要求，这就导致攻击者在理论破解时间内拿不到有价值的数据。

4 GSM-modem 外网

GSM-modem 主要有两个功能，一个是接收GSM&GPRS 设备发出的信号，实现对没有光纤接入的信号采集点的信号采集；一个是向管理员及相关负责人发出短信通知。因为这两个系统都需要经过严格的驱动设置，所以，单方面的入侵GSM-modem 接口，并不能对电力自动化系统的网络造成影响，最多只能造成网络的DDoS 的拥塞。因为GSM 设备目前采用的是实名制，我们只需要在发生拥塞时及时报案，要求通信部门停止这台设备的数据交换就可以解除攻击。另外，目前有一部分GSM-modem 支持防火墙功能，可以设置只接收指定号码的信息，这就大幅度减轻了压力。

5 LAN 外网

电力系统的办公系统，特别是ERP 系统是运行在LAN 外网上的，LAN 外网因为通过很高的带宽和跟高的权限连接公共网络，所以导致LAN 外网是病毒、木马、ARP 欺骗、DDoS、挂马、肉鸡等网络安全故障频繁发生的区域。但是，ERP 服务器是安装在LAN 外网上的，如果让ERP 系统与生产相关的监控系统对接，LAN 外网似乎就只能通过一种合理的形式与电力调度自动化系统对接。相比较电力系统自动化网络绝对纯净的网络环境，LAN 外网对调度自动化专网的破坏力可以以猛虎野兽相比拟。

对于通过LAN 外网进来的DDoS 攻击，我们通过限制中间的HUAWEI AR3260 与专网的HUAWEI AR3260 之间的传输速率，或者直接用56Kmodem 硬件限速，导致LAN 网络面向专网的DDoS 攻击到56K 线路就被直接陷阱拥塞。

6 其他安全隐患

前面重点讨论的是电网调度自动化系统的私密性和可用性的保护，在实际过程中，如果我们的设备和线路损坏，系统的完整性受到破坏，其后果也是相当严重的。至少能让我们的电网系统瞬间置于调度的失控状态下。虽然我们可以通过人力进行应急调度和操作，但是，对于这种破坏电力调度设施的行为还是要严加防范的。

一般情况下，我们通过宣传保护电力设施的宣传工作来做好市民的东缘工作，对于蓄意破坏电力设施的，我们会通过视频监控及其他取证手段，通过法律途径来进行制裁。

在机房安全管理上，所有的配电房、配电室、通讯机房，我们都进行上锁和封条式管理，防止有闲杂人等进入，也方式有不法分子潜入。通过对这些设施的加强巡视，我们可以随时发现相关要素的缺失并及时补全，防止因为管理死角导致的事故发生。

7 结束语

电网调度自动化系统无疑是一个高密级的专网系统，这个专网系统的安全直接关系到国计民生，从军事战略意识上，这是网络战的一个制高点。危言耸听的话，如果被敌人夺取了这个制高点，我们就会在电力保障上失去主动权。所以，电网调度自动化系统是未来战争信息战的主战场，加强电网调度自动化系统的安全设置，是打赢这场信息战的关键。所以，电网调度自动化系统的网络安全必须得到我们的足够重视。

【参考文献】

[1] 裴培. 电力调度自动化网络安全运行研究[J] 机电信息2013-08- 25（24）31-32

[2] 杨彬. 刍议电网调度自动化系统的发展方向及安全问题研究[J] 电源技术应用2013-01-15（1）24

[3] 覃干卿. 新兴电网调度自动化系统的整体设计[D] 华南理工大学硕士论文2012 年

【作者简介】