省级及以上调度控制中心监控系统安全防护结构规范要求

天盾安全 2022-09-06

1314

省级及以上调度控制中心监控系统安全防护总体逻辑结构如上图。示意了监控系统安全区域的划分、安全区域之间横向互联的逻辑结构、安全区纵向互联的逻辑结构以及网络安全防护设备的总体部署。

省级及以上调度控制中心监控系统安全区横向互联拓扑结构图

省级及以上调度控制中心监控系统安全区横向互联的配置要点如下：

（1）在横向互联交换机上划分若干 VLAN 分别用于区内业务系统横向数据通信机的接入及安全区间互联。

（2）在各区的互联交换机上使用ACL 功能对各 VLAN 实施访问控制，避免安全区域内各VLAN 间业务系统直接互通。

（3）在控制区和非控制区边界的硬件防火墙上配置访问控制规则，对控制区与非控制区相关业务系统实施访问限制。

（4）配置正向及反向隔离装置内外网的业务系统虚拟访问地址及相应安全控制规则。主站端生产控制大区与公用通信网络之间要求部署安全接入区及相应的防护设备。

省级及以上调度控制中心生产控制区纵向互联拓扑结构

省级及以上调度控制中心监控系统安全区纵向互联的配置要点如下：

（1）在控制区纵向互联交换机上划分若干实时业务 VLAN，各 VLAN 地址为调度数据网实时 VPN 的业务段地址；在非控制区互联交换机上划分若干非实时业务VLAN，各 VLAN 地址为调度数据网非实时 VPN 的业务段地址；业务系统纵向通信机的网关地址为该机所接入VLAN 的网关地址；实时业务 VLAN 和非实时业务VLAN 可通过二层或三层模式接入调度数据网。

（2）在各区纵向互联交换机上使用ACL 功能实施访问控制，避免安全区域内各VLAN间业务系统直接互通。

（3）在控制区纵向加密认证网关和非控制区纵向加密认证网关上配置安全控制规则。

（4）在控制区，若存在某些业务系统同时具有实时类数据（或控制类数据）和非实时类数据的纵向传输（例如：保护信息系统，其下发的设置指令为控制类数据，而录波数据为非实时类数据。又如：WAMS 系统，其周期采集的相量和频率数据为实时类数据，而人工召唤的历史数据和录波数据为非实时类数据），为了使控制区的这些业务系统既可使用实时 VPN 传输实时类数据（或控制类数据），又可使用非实时 VPN 传输非实时类数据且不形成 VPN之间纵向交叉连接，可采取如下方法：

1）对于纵向互联交换机采用三层模式接入调度数据网的调度控制中心，可将控制区具有非实时数据传输的业务系统通信机外网口IP 地址通过防火墙由实时VPN 业务段的地址转换为非实时VPN 业务段的地址。

2）对于纵向互联交换机采用二层模式接入调度数据网的调度控制中心，可为控制区具有非实时数据传输的业务系统通信机网卡配置两条路由，将非实时数据业务的网关指向横向防火墙内网口，通过防火墙的NAT 功能将实时 VPN 业务段的地址转换为非实时段的地址。

3）在防火墙上应使用访问控制功能对转换后的地址实施严格的访问限制，其基本控制策略为：只允许转换后的地址正向访问非实时VPN 网上的相关业务系统；禁止非实时VPN网上所有地址反向访问控制区业务系统。

（5）生产控制大区业务系统采用公用通信网络进行应急通信的情况下，要求部署安全接入区。

（6）加密装置管理系统通过独立部署的硬件防火墙接入调度数据网边界交换机。独立部署的硬件防火墙的基本控制策略为：只允许加密装置管理系统访问纵向加密认证网关；禁止外部网络访问加密装置管理系统。

（7）对于使用专线通道的业务系统，应逐步在专线通道上部署加密认证措施。

省级及以上调度控制中心调度数据网双平面纵向互联典型结构

省级及以上调度控制中心接入调度数据网双平面安全防护的配置要点如下：

（1）省级及以上调度控制中心调度数据网双平面建设将在主站部署新的调度数据网交换机和路由器，且均采用双机配置。与之相应，在控制区和非控制区分别部署纵向加密认证网关与调度数据网第二平面接入设备对接，同样各自采用主备配置。

（2）对于各区纵向互联交换机，部署新的纵向互联交换机与上述纵向加密认证网关相连，作为调度数据网第二平面的纵向互联交换机。

（3）对于需要接入调度数据网第二平面的业务系统设备，则按照调度数据网第二平面地址规划配置新的IP 地址，接入上述纵向互联交换机。

实时系统安全防护 vpn路由器网络结构交换机

文章转载自天盾安全，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

省级及以上调度控制中心监控系统安全防护结构规范要求

评论