[发明专利]面向配电自动化系统主站信息安全的主动防御方法及系统

说明书

本发明公开了一种面向配电自动化系统主站信息安全的主动防御方法及系统，所述方法包括：基于配电主站的系统架构，将配电主站的主动防御划分成主机层、操作系统及支撑平台层、应用层和网络层；基于在所述主机层、操作系统及支撑平台层、应用层和/或网络层中部署的监测装置，获取对应层的风险特征，并基于所述风险特征进行风险辨识获得信任规则；在所述主机层、操作系统及支撑平台层和应用层中均基于所述信任规则通过可信计算确定是否遭到篡改和恶意控制。本发明将配电自动化系统传统的被动式防御技术变更为前瞻性的主动防御，弥补了传统配电主站在抵御未知恶意攻击方面的空白，全面提升了配电主站自身的安全免疫能力。

技术领域

本发明涉及配电自动化系统网络安全防护技术领域，具体涉及一种面向配电自动化系统主站信息安全的主动防御方法及系统。

背景技术

当前，配电自动化系统的安全防护体系建设以“安全分区、网络专用、横向隔离、纵向认证”为原则，形成了横跨生产控制大区与管理信息大区并覆盖边界、主机、终端等层面的纵深防御体系。其中，配电自动化系统主站(简称“配电主站”)的安全防护包括主站自身的安全防护、与终端业务交互的安全防护以及与系统边界安全防护，如附图1所示。

(1)配电主站的安全防护

1)主机自身安全要求：配电主站前置机服务器应采用经相关部门认证的安全加固操作系统；数据库服务器、工作站等其他服务器宜采用安全的操作系统，满足安全可靠要求；采集服务器应采用经相关部门认证的安全加固操作系统，采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户身份认证及账号管理；配电主站应采用经有关机构检测认证的数据库、中间件等支撑软件，满足安全可靠要求；操作系统和支撑软件应仅安装运行需要的组件和应用程序，操作系统和数据库的身份鉴别、访问控制、安全审计等应符合行业内设置的规定；

2)通过配电自动化系统网络安全专项检测工具等，定期进行主站漏洞扫描，发现主站服务器存在的弱口令、多余端口及服务、常见病毒等安全漏洞，并进行脆弱性分析；通过配置IDS/IPS等入侵检测及防御安全设备，实现主站侧攻击行为及恶意代码检测和阻断。

(2)配电主站与配电终端业务交互的安全防护

配电主站前置机配置配电加密认证装置，实现与配电终端的双向身份认证及业务数据的安全防护。

一是具备双向身份鉴别能力，采用数字证书技术实现与终端的双向身份鉴别，防止非法主站控制终端。二是数据安全传输，基于商用密码算法等措施，实现与终端交互业务数据的机密性、完整性、抗重放等保护。三是在生产控制大区设立安全接入区，与配电主站生产控制大区应用之间采用电力专用横向单向隔离装置实现物理隔离，接入生产控制大区的终端均通过安全接入区接入主站。

(3)配电主站边界的安全防护

1)生产控制大区与主网调度系统之间的安全防护

调度自动化系统的安全等级高于配电自动化系统，为满足两个系统之间双向访问控制需求，避免恶意攻击从配电自动化系统入侵主网调度自动化系统，在配电自动化主站I区应用与主网调度自动化系统之间部署电力专用横向单向安全隔离装置，实现两个系统之间的强隔离。

2)生产控制大区与管理信息大区之间的安全防护

配电自动化生产控制大区的安全等级高于管理信息大区，为满足配电自动化系统两个区之间双向访问控制需求，同时避免恶意攻击从管理信息大区入侵生产控制大区，在两个区域的边界部署电力专用横向单向安全隔离装置，实现两个大区之间的强隔离。

3)与其他系统之间的安全防护

配电自动化主站系统与同等安全域的其他业务系统之间也存在互相访问的需求，如从生产管理系统PMS中获取设备的资产信息，为满足此类访问控制需求，通过在两个系统之间部署防火墙等设备，实现系统之间的逻辑隔离。