南京网络安全监测

信通NS-5000电力监控系统网络安全管理平台及-3000网络安全监测装置简介
一、背景
国调自2016年底启动新一代内网安全监视平台的研制工作,也就是电力监控系统网络安全管理系统,包含主站端的管理平台和厂站端的网络安全监测装置2部分,平台部署与国、分、省、地调侧,装置部署于变电站、电厂调度数据网涉网侧。
根据经研咨「2019】712号文,项目投资为:平台6.8亿,装置20亿,其中国(分)、省调平台为231万/套,大型地调(厂站数量超过100家)为209万/套,小型地调(厂站数量不到100家)为175万/套,监测装置5.5~7.5万/台。
系统按照设备自身感知、监测装置分布采集、监管平台统一管控的原则,构建感知、采集、管控三层架构的网络安全监管系统技术体系。
(二)高适应性的网络流量分析技术
考虑到部分存量变电站及电厂存在的无法通过部署安全监测工具实现对主机监测的问题,信通在网络安全监测装置研制中增加了网络流量分析功能,无需在监控主机上部署agent即可实现对外来设备接入、远程登录、开启危险端口等的安全监测,支持实时监测Syn Flood、Land Attack、UDP Flood Attack等网络攻击事件,同时还支持101、104等电力工控协议解析,实时监测异常业务行为。其他厂商均无此功能。
安防设备提供信息


序号
安防设备类型(IDS、防火墙、防病毒、隔离装置、日志审计)
日志格式能否满足国调要求或提供日志解析插件
厂商名称
是否启用
所在安全区




















网络设备提供信息
序号
内网交换机名称
IP地址
所在区域(1、2)
设备厂商
固件版本
型号
是否支持固件升级
支持SNMP协议版本
连接设备涉网业务类型
备注
网络安全监测装置
部署前准备
网络环境准备


图1调度端网络拓扑图
网络连接需求:
装置至少需配置两个IP,其中一个为数据调度网IP(一般为二平面,如接入俩套数据网则需要2个数据IP)与电力监控系统网络安全监管平台数据网关机连通,另一个为厂站内网IP(如厂站内网有AB 网则需要2个内网IP)。没有IP则无法调试
对外端口:
序号
端口号
端口说明
备注
1
22
sshd端口
纵向需配置
2
9999
加密程序SV监控端口
-
3
8801
服务代理端口
纵向需配置
4
8800
主机采集端口
纵向需配置
5
514
syslog端口
-
6
162
SNMP端口
-
7
9092
消息总线服务
-
8
2181
消息总线服务
-
9
20021
本地管理工具与devicemanager的端口
-
10
3306
mysqld服务
-
11
6010
sshd服务
-
12
6011
sshd服务
-
13
6012
sshd服务
-
14
6013
sshd服务
-
15
123
ntpd服务
-
南京网络安全监测
现场调研
网络安全监测装置厂家应提前完成现场调研,填写调研表,根据部署方式等相关规定确定监测装置部署物理位置,网络位置,电源情况,与主站平台通信计划等;调研监控系统型号,版本,计划接入的设备数量、方式等;调研站控层交换机数量,电源,是否支持SNMP,接入监测装置计划等;调研防火墙,隔离装置型号,是否支持接入监测装置。
申请证书
厂站监测装置调试人员将装置生成的证书请求带到调度主站,由主站进行证书签发;
数字证书禁止采用外网的方式进行传输;
设备接入申请
检修公司及电厂按照调度主站的要求完成设备接入申请单填写(可参照《附件2:网络安全监测装置接入申请单》),并提交调度机构审批;省调及各地调公司可根据各自常规流程进行申请及审批;
检修单申请
通过OMS系统进行调度自动化系统及设备检修工作票申请;
™™
南京网络安全监测
主机提供信息
厂站侧主机按照规范需要接入:I区, 监控主机;五防系统;远动机;继电保护模块;时钟系统。II区,电能量采集装置;故障录波;保信子站。需协调用户安排相关厂家到达现场配合。


序号
变电站名称
涉网业务主机名称
IP
厂商名
主机涉网业务类型
所在安全区(1、2区)
1、2区网络是否可达(用防火墙作为隔离)
是否可信计算(操作系统安全加固)
操作系统(Windows、Linux、Unix)
版本号
综自厂商名称
填表人姓名、联系电话(必填)
南京网络安全监测