监控信息系统网络安全策略实践--专业论文

《监控信息系统网络安全策略实践--专业论文》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、监控信息系统网络安全策略实践发表时间:2006-4-30作者：马昂摘耍：火电厂厂级监控佶息系统(SIS)在火电厂中已经得到了普遍的推广，对于江苏徐州发电有限公司(以F简称公司)这样已经运营多年的老厂而言，SIS的应用有其特殊性，怎样利用现有网络和技术开展SIS项忖，SIS与分散控制系统(DCS)、SIS与管理信息系统(M1S)Z间的安全隔离怎样实现，都是在项H实施中必须考虑的问题［1］。一、SIS的安全要求SIS是集计算机、热能动力、电气、自动化等多学科交叉、专业性强的计算机应用系统，它建立企业牛产过程实时数据和历史数据库平台，实现整个企业范围内的信息共享;以安全、经

2、济运行和提高发电企业整体效益为hl标，支持企业生产过程综合优化服务;同时为企业管理层的决策提供真实可靠的运行数据和科学、准确的经济指标。SIS作为DCS与M1SZ间的桥接，为了确保主产的安全，必须隔离DCS和MIS网络间两类不同特性信息的传输。要防止黑客攻击、非法访问、病毒爆发从N1IS网络通过SIS传输到DCS,从而影响生产的正常运行,因此,SIS与DCS、SIS与MIS之间的网络安全隔离都十分重要［1］。二、SIS安全隔离方案及存在的问题2.1安全隔离方案1SIS和MIS共用同一网络，系统乙间采用防火墙等安全措施进行隔离，其优点是方便SIS各种应用软件从MIS网上

3、获取数据，并可满足MIS网上用户访问实时数据库的需要。2.2安全隔离方案2SIS和MIS分别采用独立的网络，两者Z间通过SIS和MIS各自的数据服务器Z间互联和交换倍息。SIS与M1S网络的中间采用物理隔离设备进行连接，优点是SIS网络上的应用只需与实时/历史数据服务器联系，而MIS的应用只需与M1S关系数据服务器通信，从而减少了通信的复杂性，提高了2个网络的独立性和可靠性。2.3存在的问题方案1中，因为MIS网络的安全性低丁•电力S1S,共用网络显然降低了S1S网络的安全性，进而可能会影响到DCS的安全;方案2中SIS与MIS的独立组网虽提高了可靠性，们•在MIS网

4、络与SIS网络2间采用的物理隔离网闸设备存在网络性能损失，这是由物理隔离网闸设备的工作特性(摆渡)所决定，在数据读取的速度上有一定限制。対于已经在生产运营的电厂而言，建设独立SIS网络，投入资金较人，施工困难。方案1、2中，DCS、SIS、MIS网络都采用TCP/IP协议的以太网，虽在SIS与MISZ间做了安全隔离，并未强调SIS与DCS的隔离，但许多项目仅在接口机上采用双网卡的简单隔离措施,给控制系统网络制造了一定的安全隐患。三、SIS网络拓扑结构公hlSIS结合实际悄况，采敢具有自己特色的安全隔离方法，网络拓扑结构见图1。□□'^Sb^VTSft.Mismmer°

5、TSISM»4&SM爪门卡SI"ooowAmwsis■务0訪火绐Ci»oPu525PIWebServicem1SIS网络拓扑结构四、SIS安全隔离措施4.1SIS与DCS的安全隔离考虑DCS的安全与数据采集的实时性、完整性的保证，采用了APACS+标准接口方案，DCS接II软件从DCS监控软件AIMAX实时数据库获取全部数据，以高速串行通信的方式将数据发送到数采站o使用串口通信的可靠性要绝对高于以太网传输，串口通信程序决定了串口通信的单向性，SIS网络无法向DCS发送除数据采集请求以外的数据，保证了DCS的安全性。据现场测试结果，从SIS的数据采集站到距离最远的现场D

6、CS的传输速率可达到460.8kbit/s,实际应用中釆用230.4kbit/s就可满足数据的实时采集,全部数据更新时间小于等于2s,部分重要数据更新时间小于等于lSo4.2SIS与MIS的安全隔离公司的SIS采用自主开发的基于XML体系结构，因使用XML和Web传输技术，WebService较易穿透防火墙，并被各种智能设备调用，使防火墙方案具备了设置非常严历的安全策略的技术条件。当用户对SIS进行一般访问时,用户面面上的数据实时刷新并不是山用户直接从SIS中的实时数据库取得数据，而山WebService服务器从数据库中取得数据，处理后通过防火墙发送给用户，因为XML

7、技术与Web传输技术的应用，数据传输只需要通过简单的8()端口(HTTP端口)來完成。性能计算及经济成木分析采用后台计算方式，后台计算需要MIS网络上DB2数据库屮的财务、煤质等数据，需要使用DB2通信的1000()和10001端口。SIS在整个的应用中，网络传输上只简单使用到了HTTP和DB2的3个端口，网络应用的简单化捉高了安金防范可靠性。只要在防火墙的访问控制列表(ACL)上加以控制，就可拒绝MIS中所有不需要使用的服务和访问，关闭端口，不让其通过防火墙侵入SISoACL的规则设置中,允许MIS用户访问主机WebService的80端口;允许S