江苏正规南瑞网络安全监测 提供了透明的远程安全监测

风险规避措施


工作内容与运行中的监控、远动等业务没有交互,因此对运行系统的影响较小,但是由于涉及到主机设备的探针布置、参数修改及重启,以及交换机的升级和更换,故针对可能有影响的设备进行逐一分析并列举应对措施。


序号
风险识别
应对措施
1
本次进站工作涉及范围较宽,涉及设备较多,存在工作范围的风险;
明确工作范围,防止走错屏柜和间隔,防止误操作设备;
明确工作内容,防止错误操作;
实施过程中,应遵循安全规程的组织措施和技术措施,确保安全措施可靠落实和安全生产工作有序开展。
2
主机需要布置安全探针并配置参数等,理论上存在对原监控系统业务影响风险,而且需要重启主机等操作;
操作前做好备份,对有冗余的主机,先操作其中一台,确保测试完毕无异常后,再操作另外一台;
工作前应制定详细的实施方案。
3
站控层交换机升级程序或者更换交换机,修改配置并重启等操作,并且现场站控层通信网络为单网,故会造成主机、网关机和保护、测控等装置短时间的单网通信中断;
需要提前联系调度,做好主站相应措施。
4
厂站纵向加密涉及修改配置操作。
需要提前做好纵向加密配置备份及策略备份。
5
与主站联调过程中,存在使用调试专用笔记本电脑测试站控层交换机网络安全事件触发。
工作中严格管控外来工作人员行为,严禁连接外网,防止发生网络安全告警信息和违规外联。
告警治理
调试人员应在主机Agent部署前,提前整理并录入白名单,白名单可形成知识库,在接入过程中逐渐完善。
网络外联白名单——主机Agent部署时,应提前整理并录入网络外联白名单,白名单应包括该主机需要进行网络交互的所有网络地址(段),不允许加全网段、A、B类地址,限制添加C类地址,地址应尽可能细化。
关键服务端口白名单——主机Agent部署时,应提前整理并录入关键服务端口白名单,原则上只开放变电站监控系统需要的端口及服务。
对于部分无法消除的告警,如交换机MAC地址未绑定,调试人员可酌情在网络安全监测装置中配置白名单。
告警模拟上送
厂站进行如下告警模拟,主站运维人员观察告警接收情况(多通道),时间误差应小于30 秒:
①监控后台机中进行USB 插拔、网络外联事件、登录失败告警事件测试。
②防火墙进行不符合安全策略事件、修改策略测试。
③交换机进行登录失败、配置更改、修改用户名密码测试。
设备加固
调试人员需对新增的网络安全监测装置和交换机进行加固,包括修改监测装置前台登录密码、后台登录密码,交换机后台登录密码,关闭交换机不用的端口,配置三权分立用户和口令等。
安装前准备
主站工作
地址规划
网络安全监测装置需要使用的地址包括数据网地址和站控层地址。
主站人员进行数据网地址的规划,分为一平面地址和二平面地址,根据江苏公司统一规划,安全I区监测装置IP地址为**.**.**.46。
站控层地址由监控系统厂商分配,若有A、B网则需要分别分配一个地址。
配置加密装置策略
二、现状
根据国调的安排,平台只有南瑞信通、科东2家负责研发,监测装置主要由南瑞研制,同时也对自动化厂商等开放。
南瑞信通研制的平台和装置分别是NS-5000电力监控系统网络安全管理平台、ISG-3000网络安全监测装置。
目前主要用户是华东分部、江苏、上海、安徽、陕西、重庆、新疆、西藏、甘肃、吉林、四川,另外福建、浙江、山西也有部分。
南网总调态势感知平台项目也是我方承担(同源技术产品)。
大部分网省调都希望在所辖范围内同时共用多家厂商的产品,平台如此,装置更是如此,因此有大量可挖掘的潜在市场。

南瑞NS-5000电力监控系统网络安全管理平台
南瑞ISG-3000网络安全监测装置
南瑞信通NS-5000电力监控系统网络安全管理平台及ISG-3000网络安全监测装置简介
一、背景
国调自2016年底启动新一代内网安全监视平台的研制工作,也就是电力监控系统网络安全管理系统,包含主站端的管理平台和厂站端的网络安全监测装置2部分,平台部署与国、分、省、地调侧,装置部署于变电站、电厂调度数据网涉网侧。
根据经研咨【2017】712号文,项目投资为:平台6.8亿,装置20亿,其中国(分)、省调平台为231万/套,大型地调(厂站数量超过100家)为209万/套,小型地调(厂站数量不到100家)为175万/套,监测装置5.5~7.5万/台。
系统按照设备自身感知、监测装置分布采集、监管平台统一管控的原则,构建感知、采集、管控三层架构的网络安全监管系统技术体系。
江苏正规南瑞网络安全监测