江苏南瑞网络安全监测说明书 安全检查和实时告警 南瑞

(二)高适应性的网络流量分析技术
考虑到部分存量变电站及电厂存在的无法通过部署安全监测工具实现对主机监测的问题,南瑞信通在网络安全监测装置研制中增加了网络流量分析功能,无需在监控主机上部署agent即可实现对外来设备接入、远程登录、开启危险端口等的安全监测,支持实时监测Syn Flood、Land Attack、UDP Flood Attack等网络攻击事件,同时还支持101、104等电力工控协议解析,实时监测异常业务行为。其他厂商均无此功能。
该方案中,监测装置优先使用华东接入网与华东网调通信,优先使用省级接入网与江苏省调通信。在此方式下,监测装置的地址及主备状态配置应为(同一分组即为主备关系,权限用于区分主备,每组仅有一个IP地址,不需要区分权限,默认为0):
华东网调平台地址1,分组号1,权限0;
江苏省调平台地址2,分组号2,权限0;
华东备调平台地址3,分组号3,权限0;
江苏备调平台地址4,分组号4,权限0。
对于220kV及以下统调电厂应采用主主模式,同步上送江苏省调、江苏备调;监测装置同时使用一、二平面上送江苏省调、江苏备调,一平面主送省调、二平面主送备调,如下图所示:


在此方式下,监测装置的地址及主备状态配置应为:
江苏省调一平面地址1,分组号1,权限0;
江苏省调二平面地址2,分组号1,权限1;
江苏备调一平面地址3,分组号2,权限1;
江苏备调二平面地址4,分组号2,权限0。
对于220kV及以下变电站、非统调电厂(苏州地区以外),应采用主备模式,一般建议优先使用二平面网络上送至地调平台;
在此方式下,监测装置的地址及主备状态配置应为:
xx地调一平面地址1,分组号1,权限1;
xx地调二平面地址2,分组号1,权限0。
苏州地区的220kV及以下变电站、非统调电厂应采用主主模式往苏州地调、苏州备调上送,一平面主送地调、二平面主送备调。


在此方式下,监测装置的地址及主备状态配置应为:
苏州地调一平面地址1,分组号1,权限0;
苏州地调二平面地址2,分组号1,权限1;
苏州备调一平面地址3,分组号2,权限1;
苏州备调二平面地址4,分组号2,权限0。
江苏地区变电站网络安全监测装置
实施作业指导书
范围
本作业指导书规定了网络安全监测装置接入相关规定、安装前准备、实施流程、验收记录等内容。
本作业指导书适用于江苏地区变电站网络安全监测装置实施。
接入相关规定
安装位置
网络安全监测装置应优先安装于调度数据网屏柜,通过两路交/直流电源供电。
网络位置
网络安全监测装置应优先部署在站内安全I区,对主站连接数据网交换机,对站内连接站控层交换机。
数据上送通道及权限配置
网络安全监测装置支持主主链路(即同时向两个网络安全管理平台发送网络安全事件)、主备链路(即以主备链路的方式向同一个网络安全管理平台发送网络安全事件)接入方式。网络安全监测装置对上应同时接入调度数据网一、二平面,不同类型厂站与主站平台的连接关系如下:
对于500kV及以上变电站、统调电厂应采用主主模式,一平面上送华东网调,二平面同步上送江苏省调、江苏备调。监测装置使用一平面上送华东网调、江苏备调,使用二平面上送华东备调、江苏省调,各通道均同步发送,如下图所示:
江苏南瑞网络安全监测说明书
监测装置基本配置
调试人员根据厂站类型完成网络安全监测装置网络配置、路由配置、对时配置,导入主站平台证书等,完成与主平台(备平台)多通道双向身份认证,测试与站控层网络连通性。
网络配置——根据地址规划进行上联一区一、二平面数据网交换机网口配置,下联A、B网站控层交换机网口配置
路由配置——应采用明细路由,禁止使用缺省路由
对时配置——配置与主站平台数据网关机进行对时
导入主站平台证书——导入主站平台(备平台)证书
江苏南瑞网络安全监测说明书
现场调研
网络安全监测装置厂家应提前完成现场调研,填写调研表,根据部署方式等相关规定确定监测装置部署物理位置,网络位置,电源情况,与主站平台通信计划等;调研监控系统型号,版本,计划接入的设备数量、方式等;调研站控层交换机数量,电源,是否支持SNMP,接入监测装置计划等;调研防火墙,隔离装置型号,是否支持接入监测装置。
申请证书
厂站监测装置调试人员将装置生成的证书请求带到调度主站,由主站进行证书签发;
数字证书禁止采用外网的方式进行传输;
设备接入申请
检修公司及电厂按照调度主站的要求完成设备接入申请单填写(可参照《附件2:网络安全监测装置接入申请单》),并提交调度机构审批;省调及各地调公司可根据各自常规流程进行申请及审批;
检修单申请
通过OMS系统进行调度自动化系统及设备检修工作票申请;
™™
告警治理
调试人员应在主机Agent部署前,提前整理并录入白名单,白名单可形成知识库,在接入过程中逐渐完善。
网络外联白名单——主机Agent部署时,应提前整理并录入网络外联白名单,白名单应包括该主机需要进行网络交互的所有网络地址(段),不允许加全网段、A、B类地址,限制添加C类地址,地址应尽可能细化。
关键服务端口白名单——主机Agent部署时,应提前整理并录入关键服务端口白名单,原则上只开放变电站监控系统需要的端口及服务。
对于部分无法消除的告警,如交换机MAC地址未绑定,调试人员可酌情在网络安全监测装置中配置白名单。
告警模拟上送
厂站进行如下告警模拟,主站运维人员观察告警接收情况(多通道),时间误差应小于30 秒:
①监控后台机中进行USB 插拔、网络外联事件、登录失败告警事件测试。
②防火墙进行不符合安全策略事件、修改策略测试。
③交换机进行登录失败、配置更改、修改用户名密码测试。
设备加固
调试人员需对新增的网络安全监测装置和交换机进行加固,包括修改监测装置前台登录密码、后台登录密码,交换机后台登录密码,关闭交换机不用的端口,配置三权分立用户和口令等。