远动通信安全网关.ppt

,R,Hrinfo,单击此处编辑母版标题样式,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,远动通信安全网关,电力二次系统安全防护相关法规,为了贯彻落实国家电力监管委员会第5号令电力二次系统安全防护规定（简称5号令）和原国家经贸委2002第30号令电网和电厂计算机监控系统及调度数据网络安全防护的规定（简称30号令），构建电力二次系统安全防护体系，保障电力二次系统的安全，从而保障电力系统的安全稳定运行，制定电力二次安全防护方案。,安全防护总体方案之横向与纵向防护结构,上级调度/控制中心,下级调度/控制中心,上级信息中心,下级信息中心,实时VPN,SPDnet,非实时VPN,IP认证加密装置,安全区I,(实时控制区),安全区II,(非控制生产区),安全区III,(生产管理区),安全区IV,(管理信息区),外部公共因特网,生产VPN,SPTnet,管理VPN,防火墙,防火墙,IP认证加密装置,IP认证加密装置,IP认证加密装置,防火墙,防火墙,安全区I,(实时控制区),逻辑隔离,安全区II,(非控制生产区),安全区III,(生产管理区),防火墙,防火墙,安全区IV,(管理信息区),专线,逻辑隔离,防火墙,防火墙,PSTN,移动用户,拨号网关,PSTN,移动用户,拨号网关,正向专用安全隔离装置,反向专用安全隔离装置,正向专用安全隔离装置,反向专用安全隔离装置,远动通信安全网关,1,2,3,4,使用公网的依据1,110kV及以下的变电站安全防护生产控制大区可以不再细分，可将各业务系统和装置均置于控制区,在控制区中的故障录波装置和电能量采集装置可以通过调度数据网或拨号方式将录波数据及计量数据传输到上级调度中心,在与调度中心数据通信的本侧边界上，可采用简单有效的安全防护措施,远程通信网络优先使用电力调度数据网，其次可以选用专用通道，再次可以选用公网，但是使用公网时通信必须加密（可软加密）,使用公网的依据2,配网自动化、负荷管理系统与被控对象之间的数据通信可采用专用数据网络：光纤通信、一点多址微波、无线电通信、电力线载波、屏蔽层载波等,不具备专网条件的也可采用公用通信网络：GPRS、CDMA、TD-SCDMA、ADSL和无线局域网等，但都应当采取具有一定强度的数据加密等有效防护措施,实际应用汇总,序号,主站,“公网”,使用方式,子站系统,1,地调及以上调度自动化系统,卫星网络,应急通信,220KV及以上变电站RTU或综自系统,2,地调及以上调度电能量采集系统,电话拨号,备用通道,220KV及以上变电站电量采集子站,3,地调及以上调度保护及故障信息采集系统,电话拨号,备用通道,220KV及以上变电站保护信息子站,4,部分县调及地调系统,GPRS/CDMA,主通道,35Kv变电站RTU,5,部分县调及地调系统,GPRS/CDMA,主通道,小水电数据采集系统,6,配电及用电网管理系统,GPRS/CDMA,主通道,配电终端,7,调度自动化系统,PSTN,远程维护,自动化厂家,2、远动网关防护原理介绍,现行公网的风险分析,公网是基于IP的骨干网，而目前许多黑客都对TCP/IP协议非常熟悉，这就使得它更容易受到攻击。公网可能面临的攻击如下：,黑客：是指试图从外部IP网络（如Internet）侵入到公网系统的人，他们的目的是破坏公网网络或者窃取信息以显示他们的能力，也有的是为了出卖信息来 。,管理人员：应确保公网的网络管理人员对系统不造成任何危害，对他们访问内部网络的权限要加以限制。,服务提供商：大多数服务提供商都不是有意的破坏公网网络，但是由于疏于软件更新或其它类似的情况都会对网络造成威胁。,合 诸如ISP等。因为ISP直接与公网骨干网相连，无疑就成为一个开放的互联，他可能在无意之间泄露了一些信息或者向第三方提供了物理层的链路。这都使得公网网存在着安全隐患。,安全防护措施,根据以上实际情况的安全分析，结合电力二次系统安全防护规定的要求，现建议采用“网络隔离、身份认证、传输加密、权限受控”的措施来进行公网安全防护，具体说明如下：,1),将电力系统内网与传输远动数据的公网进行网络隔离,2),在远动通信通道建立的过程中进行基于调度数字证书的身份验证,3),所有通信数据采用密文传输，保证数据的机密性、完整性、不可否认性,4),对传输数据的相关权限可以根据策略进行控制,网络隔离,由于公网上存在安全风险，因此首先要以“网络隔离”的措施来保护电力系统的内部网络。建议采用“双机非网”的结构模式来实现以上要求，“内网主机”与内网（安全区,I,、,II,）以网络或串口的方式连接，“外网主机”与公网以网络连接，“内网主机”与“外网主机”以高速串口结合非网络协议方式连接，从而达到既能保证应用程序之间进行双向数据通信，又能保证网络层面公网与内网之间网络隔离。其实现结构图如下：,数据包转发延迟：20ms,USB智能卡电子证书/密钥存储技术,实时VPN SPDnet 非实时VPN,安全防护总体方案之横向与纵向防护结构,4)对传输数据的相关权限可以根据策略进行控制,地调及以上调度电能量采集系统,2、对应用层的通信规约数据增添各种通讯协议的分析（如104规约等），根据通讯连接建立的状态以及应用数据包的结构，对带控制命令的通信数据包可以根据策略设置允许或限制其通过。,远程通信网络优先使用电力调度数据网，其次可以选用专用通道，再次可以选用公网，但是使用公网时通信必须加密（可软加密）,安全防护总体方案之横向与纵向防护结构,2)在远动通信通道建立的过程中进行基于调度数字证书的身份验证,2、对应用层的通信规约数据增添各种通讯协议的分析（如104规约等），根据通讯连接建立的状态以及应用数据包的结构，对带控制命令的通信数据包可以根据策略设置允许或限制其通过。,根据以上实际情况的安全分析，结合电力二次系统安全防护规定的要求，现建议采用“网络隔离、身份认证、传输加密、权限受控”的措施来进行公网安全防护，具体说明如下：,根据以上实际情况的安全分析，结合电力二次系统安全防护规定的要求，现建议采用“网络隔离、身份认证、传输加密、权限受控”的措施来进行公网安全防护，具体说明如下：,因为ISP直接与公网骨干网相连，无疑就成为一个开放的互联，他可能在无意之间泄露了一些信息或者向第三方提供了物理层的链路。,身份认证：使用RSA(1024位)加密算法USB-KEY,通过IKE协议完成身份认证过程,身份认证,电力调度系统数字证书系统是为电力调度系统的用户、关键网络设备、服务器提供数字证书服务。通过数字证书实现高强度的身份认证、安全的数据传输、以及可靠的行为审计，确保电力实时闭环监控系统及调度数据网络的安全，防止由此引起电力系统故障。,传输加密,经过公网传输的数据必须进行加密，考虑到经济成本等因素可以采用软加密，加密算法如下：,身份认证：使用RSA(1024位)加密算法USB-KEY,通过IKE协议完成身份认证过程,数据加密:使用AES(128位)算法进行数据包加密与解密，数据完整性算法使用散列算法SHA1（160位）,权限受控,权限受控包含两个方面：,1,、对网络层面的数据采用基于,MAC,、,IP,、传输协议、传输端口以及通信方向的综合报文过滤与访问控制,2,、对应用层的通信规约数据增添各种通讯协议的分析（如,104,规约等），根据通讯连接建立的状态以及应用数据包的结构，对带控制命令的通信数据包可以根据策略设置允许或限制其通过。,装置应用场合,远动通信安全网关可以在调度主站、厂站及配电与负控系统中使用，具体的应用场合包括：,1)在厂站电力调度数据网远动通信中断情况下，为远动数据传输提供应急通道，确保电网设备可控运行。,2)在无电力专用通信条件时的小水电、35Kv变电站，为远动数据传输提供安全数据通道。,3)为配电与负控系统的主站及终端之间通信提供安全数据通道,4)为采用拨号方式的故障录波系统、电能量采集系统主站及厂站之间通信提供安全数据通道,5)在厂站基建过程中电力数据通信网络不具备条件时，为远动数据传输提供临时通道，安全可靠的加快RTU调试进度,。,产品主要技术,安全隔离技术,电力系统专用通信协议控制技术,基于IPSEC的VPN技术,USB智能卡电子证书/密钥存储技术,防火墙技术,串口通信技术,产品主要参数,设备可安装于19英寸标准机柜，也可用于便携,网络接口：具备2个10/100M网络接口,Modem接口：具备1路GPRS接口，1路Modem接口,可扩展为4、8、16路（另置MODEM池）,外设接口：1个RS232配置接口,电源接口：单电源,证书支持：支持电力调度数字证书专用KEY及文件临时证书,最大并发用户数=2，可扩展达到4、8、16,密文数据包吞吐量=33.6K（拨号）GSM 9600 GPRS40k CDMA100k 23M（网络）,数据包转发延迟：20ms,满负荷数据包丢弃率：0,项目实施工作,1)年2月3月，贵州都匀供电局麻尾变电站雪灾通道恢复；,2)年10月12月，广东电力通信卫星应急通道安全防护；,3)年8月9月，云南电网500kV砚山变远动通道安全调试；,4)年3月，广西贵港供电局农网35kV变电站GPRS公网安全防护,5)年6月，海南电网澄迈35kV变电站CDMA公网安全防护,6)年9月，珠海到广州PSTN公网安全防护通信测试,3、现场运行案例,贵州都匀应急通信安全防护,远动通信安全网关于 年2月研发成功，此时遇到南方雪灾，珠海鸿瑞向贵州电网都匀供电局捐赠两台远动通信安全网关，使广西向贵州送电关口220kv麻尾变的远动数据正常恢复通信,现场图片,捐赠报告及用户报告,贵州应急通信系统配置接入,4、成果与证书,项目专利成果,4)对传输数据的相关权限可以根据策略进行控制,根据以上实际情况的安全分析，结合电力二次系统安全防护规定的要求，现建议采用“网络隔离、身份认证、传输加密、权限受控”的措施来进行公网安全防护，具体说明如下：,通过数字证书实现高强度的身份认证、安全的数据传输、以及可靠的行为审计，确保电力实时闭环监控系统及调度数据网络的安全，防止由此引起电力系统故障。,220KV及以上变电站RTU或综自系统,网络接口：具备2个10/100M网络接口,实时VPN SPDnet 非实时VPN,证书支持：支持电力调度数字证书专用KEY及文件临时证书,数据加密:使用AES(128位)算法进行数据包加密与解密，数据完整性算法使用散列算法SHA1（160位）,5)年6月，海南电网澄迈35kV变电站CDMA公网安全防护,配网自动化、负荷管理系统与被控对象之间的数据通信可采用专用数据网络：光纤通信、一点多址微波、无线电通信、电力线载波、屏蔽层载波等,220KV及以上变电站电量采集子站,3)所有通信数据采用密文传输，保证数据的机密性、完整性、不可否认性,公网可能面临的攻击如下：,安全防护总体方案之横向与纵向防护结构,数据包转发延迟：20ms,数据加密:使用AES(128位)算法进行数据包加密与解密，数据完整性算法使用散列算法SHA1（160位）,安全防护总体方案之横向与纵向防护结构,地调及以上调度电能量采集系统,2)年10月12月，广东电力通信卫星应急通道安全防护；,电磁兼容测试,国网公司检测报告,公安部信息安全中心检测,国家信息技术中心（解放军）检测,谢 谢！,