监控信息系统网络安全策略实践文档

《监控信息系统网络安全策略实践文档》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、监控信息系统网络安全策略实践发表时间:2006-4-30作者：马昂摘要：火电厂厂级监控信息系统(SIS)在火电厂中己经得到了普遍的推广，对于江苏徐州发电有限公司(以下简称公司)这样己经运营多年的老厂而言，SIS的应用有其特殊性，怎样利用现有网络和技术开展SIS项日，SIS与分散控制系统(DCS)、SIS与管理信息系统(MIS)Z间的安全隔离怎样实现，都是在项日实施中必须考虑的问题［1］。一、SIS的安全要求SIS是集计算机、热能动力、电气、自动化等多学科交叉、专业性强的计算机应用系统，它建立企业生产过程实时数据和

2、丿力史数据库平台，实现整个企业范围内的信息共享;以安全、经济运行和提高发电金业整体效益为日标，支持金业生产过程综合优化服务；同时为企业管理层的决策提供真实可靠的运行数据和科学、准确的经济抬标。SIS作为DCS与MISZ间的桥接，为了确保生产的安全，必须隔离DCS和MIS网络间两类不同特性信息的传输。要防止黑客攻击、非法访问、病毒爆发从MIS网络通过SIS传输到DCS,从而影响生产的正常运行，因此，SIS与DCS.SIS与MIS之间的网络安全隔离都十分重要［1］。二、SIS安全隔离方案及存在的问题2.1安全隔离方案

3、1SIS和MIS共用同一网络，系统Z间采用防火墙等安全措施进行隔离，其优点是方便SIS各种应用软件从MIS网上获取数据，并可满足MIS网上用户访问实时数据库的需要。2.2安全隔离方案2SIS和MIS分别采用独立的网络，两者Z间通过SIS和MIS各自的数据服务器Z间互联和交换信息。SIS与MIS网络的中间采用物理隔离设备进行连接，优点是SIS网络上的应用只需与实时/丿力史数据服务器联系，而MIS的应用只需与MIS关系数据服务器通信，从而减少了通信的复杂性，提窩了2个网络的独立性和可靠性。2.3存在的问题方案1中,因

4、为MIS网络的安全性低于电力SIS,共用网络显然降低了SIS网络的安全性,进而可能会影响到DCS的安全;方案2中SIS与MIS的独立组网虽提高了可靠性,但在MIS网络与SIS网络之间采用的物理隔离网闸设备存在网络性能损失，这是由物理隔离网闸设备的工作特性(摆渡)所决定，在数据读取的速度上有一定限制。对于己经在生产运营的电厂而言，建设独立SIS网络，投入资金较大，施工闲难。方案1、2中，DCS、SIS、MIS网络都采用TCP/IP协议的以太网,虽在SIS与MIS之间做了安全隔离，并未强调SIS与DCS的隔离，但许多

5、项日仅在接口机匕采用双网卡的简单隔离措施，给控制系统网络制造了一定的安全隐患。三、SIS网络拓扑结构公司SIS结合实际情况，采取具有自己特色的安全隔离方法，网络拓扑结构见图1。DB2ITK四、SIS安全隔离措施4.1SIS与DCS的安全隔离考虑DCS的安全与数据采集的实时性、完整性的保证，采用了APACS+标准接口方案，DCS接口软件从DCS监控软件AIMAX实时数据库获取全部数据，以高速串行通信的方式将数据发送到数采站。使用串口通信的可靠性要绝对高于以太网传输，串口通信程序决定了串口通信的单向性，SIS网络无法

6、向DCS发送除数据采集请求以外的数据，保证了DCS的安全性。据现场测试结果，从SIS的数据采集站到距离鮫远的现场DCS的传输速率可达到460.8kbit/s,实际应用中采用230.4kbit/s就可满足数据的实时采集，全部数据更新时间小于等于2s,部分重要数据更新时间小于等于1So4.2SIS与MIS的安全隔离公司的SIS采用自主开发的基于XML体系结构,因使用XML和Web传输技术,WebService较易穿透防火墙，并被各种智能设备调用，使防火墙方案具备了设置非常严厉的安全策略的技术条件。当用户对SIS进行一

7、般访问时,用户面面上的数据实时刷新并不是由用户直接从SIS中的实时数据库取得数据,而由WebService服务器从数据库中取得数据，处理后通过防火墙发送给用户，因为XML技术与Web传输技术的应用，数据传输只需婆通过简单的80端口(HTTP端口)來完成。性能计算及经济成本分析采用后台计算方式，后台计算需要MIS网络上DB2数据库屮的财务、煤质等数据，需要使用DB2通信的10000和10001端口。SIS在整个的应用中,网络传输上只简单使用到了HTTP和DB2的3个端口，网络应用的简单化捉高了安全防范可靠性。只婆在

8、防火墙的访问控制列表(ACL)上加以控制，就可拒绝MIS中所冇不需婆使用的服务和访问，关闭端口，不ih其通过防火墙侵入SIS。ACL的规则设置中,允许MIS用户访问主机WebService的80端口;允许SIS的后台性能计算服务器访问MIS网络的DB2数据库的10000和10001端口。其余访问包括ICMP包(ping)在内的访问全部拒绝,然后将ACL加载在防火墙的内外以