渠道技术大比武｜优秀案例展播：电厂网络安全等级保护建设方案

电力业务的安全总体原则为安全分区、网络专用、横向隔离、纵向认证。

安全域是由一组具有相同安全保护需求、并相互信任的系统组成的逻辑区域，由在同一工作环境中、具有相同或相似的安全保护需求和保护策略、相互信任、相互关联或相互作用的IT要素的集合。因此电力系统可分为生产控制大区和管理信息大区：

本方案主要是对生产控制大区网络安全建设进行规划如下图所示：

边界隔离1---在生产控制大区与管理信息大区之间设置经检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离；

边界隔离2---安全区Ⅰ与安全区Ⅱ之间、安全区Ⅰ的各机组监控系统部署工业防火墙实现逻辑隔离、并可以对OPC、Modbus等工控协议报文过滤；

远程传输安全---部署纵向加密认证装置实现发电厂生产控制大区与调度端系统通过电力调度数据网进行远程通信时认证、加密、访问控制等需求；

入侵检测---生产控制大区统一部署一套网络入侵检测系统，检测发现入侵行为，分析潜在威胁并审计；

主机加固---发电厂SIS系统、Web服务器、操作站、工程师站部署EDR实现安全配置、安全补丁、访问控制、勒索病毒防御等功能；

安全运维---部署堡垒机安全运维工具对生产控制大区的设备进行统一安全运维管理。

通过建立工业安全运营中心实现资产可视化管理、网络结构可视化管理、生产业务可视化管理、通信数据流模型可视化管理以及运行资源可视化管理，洞察异常，形成全网的安全大数据中心。

Ø  获得专业的安全评估服务，全面了解安全现状，获得专家级整改建议；

Ø  实现工业控制系统网络统一规划、统一建设、统一维护；

Ø  全面提升企业对网络安全事件应急处理能力；

Ø  建立安全运营中心，实现全天候、全方位网络安全态势感知。