联想网御电力行业安全解决方案-网络安全解决方案.doc

联想网御电力行业安全解决方案 -网络安全解决方案 电力安全方案要能抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致的一次系统事故或大面积停电事故，二次系统的崩溃或瘫痪，以及有关信息管理系统的瘫痪。 随着计算机技术、通信技术和网络技术的发展，电力系统网上开展的业务及应用系统越来越多，要求在业务系统之间进行的数据交换也越来越多，对电力网络的安全性、可靠性、实时性提出了新的严峻挑战。电力系统网络的安全性和可靠性已成为一个非常紧迫的问题。 安全策略 根据《全国电力二次系统安全防护总体方案》的要求，调度自动化系统分为4 个安全域，分别是：安全区Ⅰ（实时控制区）包括调度自动化系统（ SCADA/EMS）、配电自动化系统、变电站自动化系统、发电厂自动监控系统等，它是电力二次系统中最重要系统，安全等级最高，是安全防护的重点与核心；安全区Ⅱ（非控制生产区）包括调度员培训模拟系统（ DTS）、继电保护及故障录波信息管理系统、电能量计量系统、批发电力交易系统等；安全区Ⅲ（生产管理区）主要为电力生产所需的信息管理系统，如调度生产管理系统（ DMIS）、统计报表 系统（日报、旬报、月报、年报）、雷电监测系统、气象信息接入等；安全区 IV（管理信息区）包括管理信息系统（ MIS）、办公自动化系统（ OA）、客户服务等。 因此，根据以上区域的划分，安全解决方案的总体策略如下： 分区防护、突出重点 根据系统中业务的重要性和对一次系统的影响程度，按其性质划分为实时控制区、非控制生产区、调度生产管理区、管理信息区等四个安全区域，重点保护实时控制系统以及生产业务系统。所有系统都必须置于相应的安全区内，纳入统一的安全防护方案。 区域隔离 采用各类强度的隔离装置使核心系 统得到有效保护。 网络专用 在专用通道上建立电力调度专用数据网络，实现与其他数据网络物理隔离，并通过采用 MPLS-VPN 形成多个相互逻辑隔离的 VPN，实现多层次的保护。 设备独立 不同安全区域的系统必须使用不同的网络交换机设备。 纵向防护 采用认证、加密等手段实现数据的远方安全传输。 设计思路 安全Ⅰ区、安全Ⅱ区的防护策略 实时控制区与非控制区的业务系统都属电力生产系统，都采用电力调度数据网络，都在线运行，数据交换较多，关系比较密切，可以作为一个逻辑大区（生产控制区）。它 们之间