北京，夜景。2018年5月
2018年4月南方電網(wǎng)發(fā)布了電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知技術規(guī)范文檔，用于指導電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知的規(guī)劃、設計、建設、驗收及應用等工作。技術規(guī)范中詳細的介紹了搭建電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知系統(tǒng)時，在信息采集、安全告警分類、上下級通信、通信協(xié)議等方面的規(guī)范要求和行業(yè)標準，為電力行業(yè)態(tài)勢感知的應用指明了方向。
電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知包含主站系統(tǒng)和廠站裝置兩部分，主站系統(tǒng)和廠站裝置定義如下：
電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知主站系統(tǒng)（下簡稱“主站系統(tǒng)”）是指部署在各個調控中心（監(jiān)控、檢修中心），具備網(wǎng)絡安全數(shù)據(jù)采集、安全監(jiān)視、安全審計、預測分析等功能的系統(tǒng)。
電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知廠站裝置（下簡稱“廠站裝置”）是指部署在廠站電力監(jiān)控系統(tǒng)局域網(wǎng)網(wǎng)絡內部，對廠站電力監(jiān)控系統(tǒng)網(wǎng)絡安全數(shù)據(jù)進行采集、分析處理并與主站系統(tǒng)通信的裝置。
在網(wǎng)、省級主站部署電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知主站系統(tǒng)。網(wǎng)級主站系統(tǒng)實現(xiàn)對網(wǎng)級電力監(jiān)控系統(tǒng)主站系統(tǒng)、各省市電力監(jiān)控系統(tǒng)以及廠站電力監(jiān)控系統(tǒng)網(wǎng)絡安全態(tài)勢感知數(shù)據(jù)的匯總、分析以及展示；省級主站系統(tǒng)實現(xiàn)對省級電力監(jiān)控系統(tǒng)主站系統(tǒng)、各地市電力監(jiān)控系統(tǒng)以及廠站的態(tài)勢感知數(shù)據(jù)的匯總、分析以及展示；在地市級及以下主站端部署態(tài)勢感知采集服務器，實現(xiàn)對本地市局本部電力監(jiān)控系統(tǒng)及廠站態(tài)勢感知數(shù)據(jù)采集，上送至省級主站系統(tǒng)進行統(tǒng)一匯總、分析及展示。在廠站端部署廠站裝置實現(xiàn)電力監(jiān)控系統(tǒng)態(tài)勢感知數(shù)據(jù)的采集。
一、態(tài)勢感知數(shù)據(jù)采集
主站系統(tǒng)采集范圍包括主站內部的主機設備（服務器、工作站等）、網(wǎng)絡設備（交換機、路由器等）、安全設備（縱向加密認證裝置、正反向隔離裝置、硬件防火墻、IDS設備等）以及數(shù)據(jù)庫。
廠站裝置采集范圍包括變電站調度數(shù)據(jù)網(wǎng)邊界、站控層及發(fā)電廠涉網(wǎng)部分的主機設備（服務器、工作站、遠動機、保信、測控裝置、設備在線監(jiān)測、計量自動化等）、網(wǎng)絡設備（交換機、路由器等）和安全設備（縱向加密認證裝置、硬件防火墻設備等）。
主站系統(tǒng)及廠站裝置采集內容包括運行狀態(tài)信息、配置信息、流量傳輸信息及安全告警信息。在附錄中對主機設備、網(wǎng)絡設備、縱向加密裝置、正反向隔離裝置、硬件防火墻、入侵檢測系統(tǒng)、數(shù)據(jù)庫等采集信息內容進行了詳細的定義。
二、態(tài)勢感知系統(tǒng)通信
電力監(jiān)控系統(tǒng)態(tài)勢感知縱向通信包括主站間通信及主廠站通信。針對實時監(jiān)視數(shù)據(jù)，下級主站或廠站裝置采用主動周期（5分鐘）推送方式完成數(shù)據(jù)的交互；周期上報信息包括安全指數(shù)、資產運行信息、接入設備數(shù)、離線設備數(shù)、安全告警數(shù)量、未確認告警數(shù)量及告警信息實時統(tǒng)計數(shù)據(jù)等。針對統(tǒng)計及審計數(shù)據(jù)，上級平臺通過指令主動調取方式實現(xiàn)數(shù)據(jù)的交互；上級平臺主動調取下級平臺信息包括告警信息統(tǒng)計、設備數(shù)量統(tǒng)計、設備運行信息統(tǒng)計、縱向密通情況統(tǒng)計等內容。
電力監(jiān)控系統(tǒng)態(tài)勢感知橫向通信包括跨區(qū)同步、與OMS互聯(lián)。跨區(qū)同步方面，各級主站系統(tǒng)在安全II、III區(qū)分別獨立部署，實現(xiàn)由II區(qū)子系統(tǒng)向III區(qū)子系統(tǒng)單向數(shù)據(jù)同步，安全III區(qū)子系統(tǒng)可全面感知主站系統(tǒng)安全態(tài)勢。當態(tài)勢感知系統(tǒng)發(fā)現(xiàn)異常情況時，首先定位出現(xiàn)違規(guī)行為或者出現(xiàn)網(wǎng)絡安全風險的設備，在對違規(guī)行為或者網(wǎng)絡安全風險分析的基礎上，并根據(jù)系統(tǒng)設備的網(wǎng)絡安全風險或者違規(guī)行為自動生成工單，發(fā)送給OMS系統(tǒng)，觸發(fā)網(wǎng)絡安全風險處置流程。
三、態(tài)勢感知系統(tǒng)應用功能
1、實時監(jiān)視
實時監(jiān)視功能重點關注電力監(jiān)控系統(tǒng)的網(wǎng)絡安全風險，包括自身可被利用造成損害的漏洞，也包括來自外部的威脅。實時監(jiān)視包括以下方面：
安全概況：包括合規(guī)概況、設備概況、告警概況、威脅監(jiān)視、安全指數(shù)等內容。
告警監(jiān)視：包括告警列表、告警詳情（安全事件類、運行異常類、設備故障類）。
上下級調閱監(jiān)視：包括主站系統(tǒng)監(jiān)視、廠站監(jiān)視。
設備狀態(tài)監(jiān)視：包括主機設備監(jiān)視、網(wǎng)絡設備監(jiān)視、安全設備監(jiān)視。
拓撲監(jiān)視：包括資產自發(fā)現(xiàn)、拓撲生成、拓撲展示、資產信息展示等。
威脅監(jiān)視：包括外設接入行為監(jiān)視、登錄行為監(jiān)視、網(wǎng)絡接入監(jiān)視、網(wǎng)絡流量監(jiān)視。
合規(guī)監(jiān)視：包括合規(guī)率、合規(guī)檢查項檢測不合格數(shù)量、合規(guī)態(tài)勢等。
2、綜合審計
綜合審計包含行為審計、關聯(lián)分析、沙箱、統(tǒng)計分析四部分內容，沒部分具體內容如下：
行為審計：包括外設接入行為、主機登錄行為、網(wǎng)絡接入行為、網(wǎng)絡通信行為。
關聯(lián)分析：關聯(lián)分析是對設備相關操作行為的關聯(lián)分析及操作路徑的回溯，主要包括審計資產、溯源分析、通信鏈路、設備告警、登錄行為。
沙箱：沙箱審計功能應能夠對網(wǎng)絡中捕獲的文件進行各種統(tǒng)計分析以及展現(xiàn)，包括文件統(tǒng)計、執(zhí)行分析兩部分。
統(tǒng)計分析：包括端口使用統(tǒng)計分析、登錄行為統(tǒng)計分析、用戶賬戶統(tǒng)計分析。
3、預測分析
網(wǎng)絡安全分析預測主要包括全局風險評估、威脅場景算法、大數(shù)據(jù)分析平臺等功能。
全局風險評估：結合系統(tǒng)臺賬以及威脅情報，對網(wǎng)絡中的技術漏洞及安全風險進行掃描，實現(xiàn)全局風險評估。
威脅場景算法：根據(jù)人工分析經驗，總結歸納出網(wǎng)絡安全風險模型，實現(xiàn)威脅場景的自動匹配。支持在原有的算法模板上調整進化生成新的網(wǎng)絡安全風險分析算法。
大數(shù)據(jù)分析：采用電力監(jiān)控系統(tǒng)網(wǎng)絡安全大數(shù)據(jù)分析技術，基于流量、日志、設備配置、設備運行信息等各類數(shù)據(jù)，為網(wǎng)絡安全高級分析提供技術支持。
聯(lián)系客服
