摘要：电力监控系统作为电力安全生产系统的一个重要组成部分，其除了建立相应的安全防护体系之外，还需要构建一个完善的网络安全管理制度，而只有达到管理与技术两个方面的共同优化效果，才能确保发电企业的电力监控系统能够得到安全稳定、高效可靠的运行效果，从而有效保障电力系统运行的安全性、可靠性、稳定性。
关键词：电力监控系统；网络安全；防护措施
1电力监控系统网络的安全防护原则
“安全分区”指对生产控制大区以及管理信息大区进行划分，并要求生产控制区主要控制那些与电力生产有着紧密联系的决策信息系统，而管理信息区则需要主要负责一些与电力管理、经营以及行政事务相关的系统。进一步细分，生产控制大区可分为控制区和非控制区。
“网络专用”指的是该电力企业其生产大区中的所有数据网络均需要采用独立的网络设备组网，并需要在物理层面上充分实现与其它外部公共信息网的安全隔离，也就是电力的调度数据网。
“横向隔离”多是代表控制大区以及管理信息大区两者之间必须进行国家相关部门检测认证的电力专用单项安全隔离装置的设置。该隔离装置的隔离效果接近甚至达到了物理隔离的效果。使许多黑客病毒无法穿透攻击到电力系统的内部。
“纵向认证”指的是通过认证、加密以及访问控制等技术措施来实现对数据的远方安全传输以及纵向边界的安全防护工作，对于电力调度中心、发电厂等生产控制大区需要设置纵向加密认证装置，实现双向身份认证、数据加密以及访问控制等职能。
2电力监控系统现阶段安全防护中存在的问题简析
2.1技术管理方面
（1）分区错误：电力监控系统具备有复杂性以及多样性的特点，其所有的系统确定为唯一的安全等级也是困难而且代价昂贵的。就系统论的角度进行分析，将具备有不同特性和重要性的系统划分到不同的安全分区，并针对性地确立不同的安全防护策略，使达到不同等级的安全防护要求。但是一些地方在对电力监控系统的安全防护体系进行初期的规划与建设工作中，由于对网络安全重视不够，使建成后的设备、系统分区定义错误。比如将防护等级需求较高的设备直接放置到了低等级区域，实际降低了网络安全水平。
（2）跨区并联：在对生产控制大区以及管理信息大区之间一般都会进行单项安全隔离装置的设置，而在控制区以及非控制区之间一般则还会借助于防火墙来进行相应的访问控制工作，从而实现逻辑隔离的效果。一般情况下允许安全等级比较高的系统朝着等级较低的系统进行相关数据的发送，并进行正向安全隔离部署。但安全等级较低的系统朝着等级高的系统进行数据的传输过程中，则需要运用反向隔离传输，并将所需传输的数据进行加密。如果在同一台设备上用两个网卡对生产控制大区以及管理信息大区的IP地址进行设置，也就会在这两个大区之间建立了一个直连通道，并可以将信息的交互直接绕过了隔离装置，并导致生产控制大区出现了失去防护这一情况。在现阶段的网络安全防护系统构建过程中，因为网络安全防护意识淡薄等原因，很多监控系统有跨区互联现象，甚至还存在有个别系统同时连接着Ⅰ、Ⅲ区。
2.2运行管理方面
在电力监控系统的安全防护体系中，其在具体运行管理过程中也存在有以下几点问题：（1）弱口令、数据明文管理：密码口令的泄露将使整个防护系统丧失了防护能力。（2）台账、拓扑图与实际不符，一旦系统故障或异常时，无法在第一时间内找到故障来源，导致设备风险难以掌控。（3）其他：缺少完善的机房准入制度，对系统的物理入侵无有效防范手段；无完备的系统备份制度，使系统在到袭击后难以及时、有效恢复。
期刊文章分类查询,尽在期刊图书馆
3对电力监控系统安全防护工作的建议
3.1纵向加密认证装置
纵向加密认证装置用于业务系统局域网与广域网的连接处，一般串接于广域网路由器和局域网交换机之间，或者远程连接（通过非可控的通信通道）的两台交换机之间。纵向加密认证装置需成对使用，一端加密一端解密。也偶见非对称用法（即仅在一端部署），但无法实现加密功能。
纵向加密认证装置与防火墙不同，纵向加密认证装置除具备防火墙的访问控制功能外，还为广域网通信提供身份认证与数据加密功能，实现数据传输的机密性、完整性保护，同时具有安全过滤功能。
电力专用纵向加密认证装置，采用调度数字证书系统颁发的设备证书（等同于装置的身份识别码）进行身份认证，确保远程通信的两端设备的合法性和功能授权；采用国家密码局专为电力系统颁发的加密算法和因子对远程通信的报文进行加密处理，确保远程通信信息即使中途被恶意黑客截取也无法获知信息内容。
3.2安全加固
电力监控系统安全加固，是在保证电力监控系统正常稳定运行的前提下，在识别系统面临威胁和存在脆弱性的基础上，对电力监控系统进行物理防护、安全配置修改或漏洞修补，从而提高自身安全性的过程。
安全加固采用自加固和专业加固相结合的方式。自加固是依靠自身的技术力量，对电力监控系统在日常维护过程中发现的脆弱性进行修补的安全加固工作。专业加固是由专业技术支持单位负责完成的电力监控系统安全加固工作。安全加固的对象包括操作系统、数据库、通用服务、应用服务、网络设备、安全设备（含电力专用安全装置）等。安全加固具体分为主机加固、安全设备加固、网络设备加固、病毒及恶意代码防护。
加固方式包括但不限于修改系统配置封闭主机设备空闲USB端口、关闭高危TCP端口、删除通用系统账户或关闭权限、对重要资源设置敏感标记并严格控制不同用户对有敏感标记资源的操作、增加密码强度及有效期、禁止远程登录功能等。安全设备除启用用户名密码登陆，密码复杂度满足要求并定期更换。重要安全设备启用usbkey和登录密码双重认证。硬件防火墙、电力专用纵向加密认证装置、电力专用横向单向隔离装置等安全设备根据具体业务需求必须设置包括指定网络地址、指定业务端口和指定数据方向的“三指定”安全策略。所有安全防护设备启动自身日志审计功能，并向所属电网调控中心内网安全监管平台推送日志信息。
网络设备加固包括禁用不必要的公共网络服务、关闭未使用的物理接口、禁止缺省口令登录、避免使用默认路由、网络边界关闭OSPF路由功能、限制登录地址、记录设备日志(含时间同步)、适当配置访问控制列表等。
3.3防病毒及恶意代码
由于电力监控系统与外网隔绝，网络版防杀病毒系统的病毒库应离线升级，电力监控系统中建议部署网络版防杀病毒系统。网络版防杀病毒系统主服务器部署在中心站，工作站下载部署客户端。网络版病毒库主站端升级后自动推送至客户机，客户机每日自动进行病毒及恶意代码查杀。
结束语
电力监控系统是对电力系统电气设备的生产运行进行实时监测、控制和信息远传的计算机监控系统，是发电企业和电网安全运行安全的一个重要组成部分。贯彻电力监控系统网络安全防护原则，科学配置网络安全防护设备和严格规范的制度管理，如何有效封堵各种系统漏洞及系统后门、解决各种安全隐患，并有效防止因为计算机病毒或者恶意代码而造成的破坏和攻击，是电力企业电力监控系统应对网络安全问题的一个重大课题。
参考文献
[1]王妙龄.浅谈电力监控系统安全防护问题[A].今日财富杂志社.2016年第一届今日财富论坛论文集[C].今日财富杂志社:,2016:2.
[2]王舒.电力企业网络信息安全现状与分析[J].电脑知识与技术,2016,1206:30-32.(2016-05-11)
[3]刘勇.电力监控系统二次安全防护的解决方案初探[J].电子制作,2016,15:71+73.
[4]林丹生.电力监控系统应用级自保护技术研究[J].软件,2016,3711:33-36.
论文作者:刘翠利
论文发表刊物:《基层建设》2017年第27期
论文发表时间:2017/12/20
标签：电力论文; 监控系统论文; 安全防护论文; 大区论文; 系统论文; 装置论文; 纵向论文; 《基层建设》2017年第27期论文;