电力信息网络安全防护技术分析(三)

3.2 物理环境安全管理技术

电力信息网络的物理安全是指电力信息系统运营所必需的各种硬件设备的安全。信息机房在场地选择上应避免建设在建筑物的高层或者设置在地下室，避免建设在用水设备、用水管道等的下层或隔壁。如因各种原因确实无法避免，则应该采取有效的防水和隔离措施加以保护。

物理实体安全范围见图3.1。交换机、路由器、防火墙、入侵检测系统、流量控制系统等等的物理实体都需要进行重点防护。

图3.1 物理安全示意图

电力信息机房应安排专人值守或者配置门禁系统，如需进入机房，需经管理人员授权许可。机房应部署视频监控系统，实时监控机房人员的操作情况。信息设备按重要等级及业务需要接入UPS供电，输入电源应采用双路热备供电方式。机房应部署动力环境监控系统，对机房的动力电源、温湿度、水浸、烟感等进行实时监控和记录等。机房应按功能或需求分区管理，该对机房划分区域进行管理，区域间需要实现物理隔断。

3.3 业务终端安全技术

在业务终端中应用的信息安全技术一般用于确保存储在终端内部的数据安全和控制或者限制终端的接入，以达到业务终端合法接入并且接受管控的目的。具体实施时，应根据终端的类型、应用场景和通信方式等选择合适的安全防护技术。

（1）接入信息内网的办公计算机终端都必须安装桌面安全管理系统客户端，进行统一管理；

（2）计算机终端必须统一入域，通过域控统一管理，必须统一安装公司统一部署的防病毒软件，并定期升级更新维护。

（3）办公计算机终端用户必须妥善保管登录密码，严禁将密码泄露给他人，在离开作业环境时要锁定屏幕。

（4）禁止用户私自卸载经公司统一安装的各类安全防护软件或客户端。

（5）计算机终端安全防护策略至少应包含账号安全策略、密码策略、失败登录次数限制、屏幕保护策略、审核策略以及禁止默认共享目录、禁止从软盘和光驱启动等策略。

（6）终端数据安全方面，宜采取最小安装原则部署操作系统；

3.4 电力信息网络安全技术

3.4.1 网络结构安全技术

由于电力信息网络中承载着各类生产、营销、财务、人资、综合等业务，此业务性质决定了电力信息网络建设必须具备实时性高，可靠性强，吞吐量大等各类要求。

（1）满足高可靠性要求，具备抗N-1风险的能力

为了保证信息网络的高可靠性,网络拓扑结构应遵从N-1原则,网络设备应满足N-1设备节点高可靠性原则。也就是在任何一条单一的链路或单一的设备节点中，出现单一的故障都不会直接造成网络中断，也不会直接造成网络的连通性能丧失或者降低，仅会造成到信息网络的可靠性能下降。

（2）需要满足两点接入的原则

在电力信息网络中，应该实现其中任意一个节点原则上都要通过两个骨干节点或汇聚节点接入上层网络，增加网络的安全和可靠性。

（3）需要满足高实时性的要求

为了保障生产实时业务数据的有效传输，电力信息网络的结构设计应该确保网络中任何一个节点到达其他站端的节点都不大于5跳。

（4）需要满足网络流量优化要求

电力信息网络需要依据信息网络的实际业务流量和业务流向来合理地配置链路和分配带宽。电力信息网络的流量分布需要均匀,各链路的带宽应能够得到充分地利用,一般不能存在信息网络带宽的瓶颈，并适度考虑在N-1情况下的网络业务流量。

（5）需要满足互联互通性原则

电力信息网络应满足互联互通的原则，一般各地市级供电公司等的信息网络都通过部署在各地的核心网络设备联接而成，再由各地市的核心网络上联至省公司的核心网络，进而实现地市级与省公司级的网络互联互通。制定相应带宽和速率要求的信息网络，采取统一的互联协议及接口标准，实现各级电力信息网络互联互通。同时，还需要对网络拓扑、路由策略、网络管理等方面进行优化设计。

3.4.2 区域边界访问控制要求

区域边界应设置防火墙策略，访问控制策略设置应将“最小化”作为优先考虑原则，根据系统业务互联的实际需求，建立细化到端口级的访问控制策略。确实因业务需要，调整或变更安全区域边界的访问控制策略时，需经业务部门申请，由信息部门审批后才能够实施。

3.4.3 互联网出口安全防护要求

公司应统一互联网出口，严禁下设的机构或部门私自开通互联网出口。互联网出口应部署防火墙系统、入侵检测与入侵防御系统、流量管理、负载均衡等设备。应部署上网行为管理系统，实名记录互联网访问行为，记录的信息应包括每次访问的时间点、源IP地址、目标IP、服务类型、端口号、策略动作、策略号等内容。互联网出口必须对进出的数据流进行严格的安全访问控制，可根据业务需要建立黑白名单制度。信息运维部门应定期对互联网出口、互联网业务进行安全扫描、安全检查、远程渗透测试等，并形成安全检测报告并定期整改。信息安全从业人员应具备较高的政治觉悟，较强业务能力与较好的信息安全防护意识。

3.5 主机安全防护技术