行业知识

正向隔离装置物理隔离

 在电力系统运行中,越来越依赖通信技术、网络技术,保障了电力系统的安全性和稳定性。但一些危机也随着信息技术而出现,如病毒、黑客等对电力系统二次网络带来危机,威胁了电力企业的健康发展。安全隔离装置主要是为电力系统二次安全防护设计的一款单向网络安全隔离网闸,保证电力系统可安全稳定运行。
1 电力系统二次网络安全
①实时控制区(I区、或者DCS网)。在电力系统中,实时控制区的业务系统会影响电力系统的发电,并且发电系统的供电也会受到相关影响。由调度员和操作人员进行操作,对网络实时性和网络性有着较高要求。并且实时控制区中信息网络的安全性密切影响着电力系统运行的安全性。在电力二次系统中最重要系统是实时控制级信息系统,对安全要求有着极高要求,是保护信息网络安全的关键措施。另外,实时控制区包括实时监控系统,如调度自动化系统、变电站自动化系统等。
②非控制生产区(II区)。在非控制生产区业务系统中,没有具备相应的控制功能,如生产业务和批发交易业务。没有具备控制功能,数据实时性为分级或小时级。由运行计划工作人员和发电侧电力市场交易员等使用,包括较为典型系统:电能量计量系统、批发电力交易熊、负荷管理系统等系统。
③生产管理区(III、IV区、或MIS网)。生产管理区是为了支持电力企业经营、管理及运营等工作,生产管理区在利用相应的安全防护工作时可以为电力企业生产提供相应的WEB服务,生产管理区外部通信边界为电力数据通信网,较为典型系统包括调度生产管理系统(DMIS)、雷电检测系统及气象信息接入等。
④管理信息区。管理信息区没有在电力企业控制工作中起到作用,电力企业在经营、开发及采购过程中,管理信息区是对其过程进行信息管理。包括系统包括办公自动化系统、管理信息系统和客户服务系统等。
2 电力系统二次网络中各安全区中心业务的安全隔
离保护措施
①防护实时控制区和非控制生产区措施。电力生产系统中包括非控制生产区,同时实时控制区也属于电力生产系统,在进行在线运行时,需利用电力调度数据,要交换大量的数据。从而在进行安全隔离保护措施时可采用硬件防火墙进行逻辑隔离。
②生产管理区与管理信息区的防护措施。生产管理区与管理信息区可采用电力数据通信网络,有着较多的数据交换,在隔离时可采用逻辑隔离设备。
③实时控制区、非控制生产区与生产管理区、管理信息区在运行过程中,作为实时控制区和非控制生产区中的业务系统不能与管理信息区联系,可采用单向方式进行信息的交换工作,但是在安全传输时,只可以采用纯数据。在采用反向安全隔离装置时,需要保证安全隔离装置已经得到过签名认证,经过数据过滤,同时还要进行病毒查杀工作。
3 电力系统二次网络安全隔离装置设计要点
①文件传输。文件传输是一种较为普遍的数据传输方式,在设计中可采用Socket语言开发文件作为传输软件的,其分为客户端和服务端。将客户端可以作为文件发送端,服务端可以作为文件接收端,服务端可以作为文件接收端。文件发送端具备定时发送多批文件,同时可分别放在不同目录,实时发送多批文件,也可以放在不同目录。反向文件传输软件具备正向文件传输软件功能,也可采用数字签名技术进行纯文本的可靠传输,同时也可采取编码转换技术对纯文件进行编码转换。
②对隔离装置提出的技术要求。在交换数据时,两个安全区在进行数据安全交换时,多采用非网络方式,并且在安全隔离装置中有两个处理系统,可以进行不同时连通。表示层与应用层在数据传输时,必须要实现数据单向传输,但在安全区Ⅲ区到安全区Ⅰ/Ⅱ区中不得出现应用数据。需有透明工作方式,如隐藏MAC地址和虚拟主机IP地址等。另外,隔离装置需基于MAC、IP、传输端口等,设置相应的报文过滤和访问控制;可支持NAT。而安全隔离装置需要避免联接穿透性TCP,而且在内外网中,不要在两个应用网关之间构建相关的TCP联接,需要将内外两个应用网关与隔离装置的两个TCP进行分别虚拟联接;隔离两个网卡要和非网络联接,采取数据单向传输。并且隔离装置能够对信息进行识别,并采用特殊标记;在构建安全隔离装置时,保证安全隔离装置的安全性和防护性足够高,其安全性必须要具有安全固化的操作系统,设计和实现方面没有存在安全漏洞,可采用非INTEL指令系统,能够对Dos已知的网络攻击进行抵抗。
③实时数据转发。由实时控制区进行实时数据传输到生产管理区时,由于横向隔离装置属于单向传输,在传输数据时可以从实时控制区到生产管理区进行数据主动发送,可以将实时控制区的应用程序作为发送端,生产管理区作为服务端。在物理上控制反向背景下,专用横向隔离装置正向的应用层应答字数节数最多为4个,而生产管理区应用程序的应答报文需小于4个。但是这4个字节不可以作为传输应用数据,可作为出错应答报文。
④数据库传输。在进行数据库传输时,可以在实时控制区和生产管理区添加一台数据库传输服务器,采取数据库传输软件,通过安全策略复制内外网数据库,选取单向数据传送方式。客户端为数据发送端,服务端为数据接收端。建立的数据发送端可以支持多个自定义数据源,可自动或手动传输,支持不同表结构数据传输;在传输失败后采取告警功能,告警信息小于4个字节。数据接收端可将内网的表结构和数据保存在外网的数据库中。

纵向加密装置
百兆型纵向加密
千兆型纵向加密
微型纵向加密
网络安全隔离装置
正向隔离装置
反向隔离装置
网络安全监测装置
II型网络安全监测装置
I型网络安全监测装置
探针软件
变电站网络安全监测
风电场网络安全监测
新闻资讯
公司新闻
行业资讯
市场动态
关于我们
联系我们
在线反馈
网站地图
百度地图

版权所有 2015 纵向加密装置:www.gdnari.com