论文部分内容阅读
摘要：为防止电网调度自动化系统后台网遭受非法设备入侵，提出一种基于地县调控一体化自动化系统后台网络的安全管控策略。通过关闭交换机闲置端口、在交换机端口上绑定接入设备的MAC地址并设定最大MAC地址学习数等方法，结合地县调控一体化自动化系统后台网设备接入管理流程的制定，实现对调度自动化系统后台网接入设备工作的安全管控与规范管理。
关键词：地县一体化；后台网络；MAC地址绑定；安全管控
中图分类号：F270.7 ； ； ； ； ；文献标识码：A ； ； ； ； ；文章编号：1007-0079（2014）17-0123-02
调度是智能电网六大环节（发电、输电、变电、配电、用电和调度）之一，是电网运行的中枢，指导电力系统的整体运行，负责系统内重要操作和事故处理。调度自动化系统作为电网运行控制的基础，其性能好坏对电网的安全经济运行起着重要作用。
为满足国家电网公司“大运行”体系建设的要求，实现调控运行的“标准化、一体化建设，精益化、集约化管理”，合理利用调度自动化系统建设资金，优化配置大二次系统运行维护资源和技术资源，近年来许多地区开展了地县调控一体化自动化系统建设。地县调控一体化自动化系统建设的快速推进使计算机网络成为电网调度机构的主要技术支撑平台。随着地区调度自动化系统后台网络覆盖面快速扩大，系统接入信息点数量倍增，系统后台网络的安全隐患也在逐渐增大。系统网络应用和功能不断增加，促使电力生产对调度自动化系统后台网络的安全性、稳定性、可靠性提出了更高的要求。[1]本研究通过分析地县调控一体化自动化系统后台网络安全现状，采取相应的技术措施完善交换机配置，并制定配套的设备接入管理措施，为地县调控一体化自动化系统后台网络管理工作提供了一种行之有效的安全管控策略。
一、当前系统网络安全存在的问题
在地县调控一体化自动化系统中，后台网络作为整个系统的骨架，承担着传输前置实时数据以及后台同步数据的重要责任，是实现自动化数据采集和系统有序工作的基础设施，网络的安全稳定是保证地县一体化系统安全、正确运行的基础。据统计，目前地县调控一体化自动化系统后台网络安全工作存在以下几个问题：第一，调度自动化系统实行地县调控一体化后，任何一台存在错误配置的服务器或工作站接入后台网络都可能引起自动化系统SCADA（数据采集与监控）服务器消息接收异常，严重时甚至会带来网络风暴，影响整个一体化系统的运行。由于缺乏规范的设备接入管理措施，该类故障发生后故障源难以快速定位，对调控运行人员的监控工作带来影响。第二，调度自动化系统后台网络接入信息点的增多，超出了网络管理员的人工监管范围。许多县局存在私自从接入层交换机或现有接入点挂接HUB等网络设备的情况，任意接入或搬移工作站的行为在给系统安全带来威胁的同时也会导致自动化资产管理混乱。第三，外部人员（如厂家）所携带的计算机设备随意接入后台网络，极有可能给电力调度自动化系统带来病毒、木马甚至恶意攻击。[2]第四，地县调控一体化运行模式实施后，每个地区分别配备两台接入交换机。除地调接入交换机与地县一体化汇聚交换机置于地调外，其他接入交换机分别布置于备调及各个县局。当前接入交换机设备未开启远程访问功能，给网络维护人员的故障排查及处理带来困难。同时，接入交换机设备未配置任何登陆身份认证机制，交换机配置可轻易被篡改，存在安全隐患。
综上所述，网络维护人员急需对地县调控一体化自动化系统后台网络采取一定的整改措施，以实现对网络中接入的交换机、工作站及服务器等设备的有效管理，确保一体化系统后台网络的安全稳定运行。
二、制定解决方案及措施
地县调控一体化调度自动化系统改变了过去地区、县局自动化系统分散建设的模式，其网络运行、维护管理模式也必须与之相适应，做出适当调整。本文提出的地县调控一体化自动化系统后台网安全管控策略通过对调度自动化系统后台网交换机实施一系列的安全措施，同时配合后台网设备接入相关管理流程的制定，达到对后台网的安全管控目的，防止电网调度自动化系统后台网遭受非法设备入侵。
1.主要实施步骤
一是开启基于口令的SSH远程访问功能，设置交换机console口登陆密码与IP访问控制表，指定所有接入层交换机只能通过地调指定服务器进行远程登陆访问。该措施可有效提升网络设备的安全性，并缩短网络故障排查及处理时间。二是通过交换机指令查询各端口的状态信息。根据图1所示方法对交换机端口进行归类，制作《地县调控一体化后台网设备接入信息表》。表格主要登记了一体化系统后台网络所有接入层交换机各端口的设备连接信息，内容主要包括接入设备的机器名、IP地址、MAC地址、所连端口号、所连交换机名称等。然后关闭无任何设备连接的闲置端口。三是核查《地县调控一体化自动化系统后台网工作站接入信息登记表》的信息与实际情况是否相符，纠正不正确的设备连接，并及时更新信息登记表。四是根据核查更新后的《地县调控一体化自动化系统后台网工作站接入信息登记表》，对有设备接入的非级联端口进行端口MAC地址绑定，交换机级联端口不做绑定。
2.交换机配置方法
本文提出的后台网络安全管控策略的关键措施是实施了交换机端口MAC地址绑定技术。以下以思科C3560交换机为例阐述该技术的主要实现方法：[3]
（1）当交换机端口只连接一台工作站时，可进行如下配置：
Switch#config terminal
Switch（config）#interface 端口号
//输入配置端口号
Switch（config-if）#switchport port-security mac-address Mac地址//给端口添加安全MAC地址 Switch（config-if）#switchport port-security maximum 1 //限制此端口允许通过的MAC地址为1
Switch（config-if）#switchport port-security violation protect //丢弃违规访问设备的数据包，不发警告
（2）当交换机端口通过挂接HUB或其他交换机设备（非接入交换机）连接多台终端设备时，使用如下配置方法：
Switch#config terminal
Switch（config）#interface 端口号//输入配置端口号
Switch（config-if）#switchport port-security mac-addressMac地址1 //给端口添加安全MAC地址1
Switch（config-if）#switchport port-security mac-addressMac地址2 //给端口添加安全MAC地址2
Switch（config-if）#switchport port-security mac-addressMac地址N //给端口添加安全MAC地址N
Switch（config-if）#switchport port-security maximum N //限制此端口允许通过的MAC地址数量为N
Switch（config-if）#switchport port-security violation protect //丢弃违规访问设备的数据包，不发警告
三、制定相应的安全管理流程
接入交换机安全配置的完善及端口安全技术的实施是一个可行的局域网管理方法，但在使用该策略时，必须建立配套的管理制度并有效执行，这样才能使该安全策略起到良好的持续的效果。[4]本文提出的安全管控策略除了实施相关技术措施外，还制定了配套的管理措施：
第一，根据《地县调控一体化自动化系统后台网工作站接入信息登记表》绘制了《温州地县调控一体化自动化系统后台网交换机连接拓扑图》及各接入层交换机设备连接状况拓扑图，为网络维护与故障排缺工作带来极大便利。第二，制定《地县调控一体化后台网设备接入管理规程》，规定当新设备需接入后台网或老设备需更换接入端口时，必须按要求填写《地县调控一体化后台网设备接入申请表》，地调侧网络管理人员与县调侧维护人员确定设备接入时间后，按照申请表信息对相应交换机进行具体安全配置。当有多台设备需要接入网络时须按顺序逐台连接。每接入一台设备必须检查地县调控一体化自动化系统应用及网络状态是否异常，若一切正常再继续接入第二台设备。若系统有异常现象出现（如其他工作站的网速被明显拖慢），则立即将该设备断网，检查该设备是否存在配置错误，错误消除后方可接入后台网，以此实现对接入设备的风险管控。
自动化网络管理员对交换机实施安全措施的流程如图2所示。
四、 结语
基于地县调控一体化调度自动化系统的后台网安全管控策略目前已实际应用于温州地县调控一体化自动化系统的网络安全管理。该策略的实施有效降低了温州地区自动化系统后台网络的故障发生率，提升了网络运行的稳定性，并推进了地县调控一体化建设管理工作的规范化。
参考文献：
[1]叶芸.浅议电力调度自动化网络安全与实现[J].科技传播，2011，
（4）：161-162.
[2]张才俊.交换机端口安全策略在网络中的应用案例[J].科技资讯，2009，（31）.
[3]汪宇昕.MAC地址与交换机端口的绑定——交换机端口安全配置[J].统计与管理，2009，（10）：28.
[4]黄晓尧.电力调度自动化系统网络安全分析[J].华东电力，
2002，（8）：71-72.
（责任编辑：孙晴）
关键词：地县一体化；后台网络；MAC地址绑定；安全管控
中图分类号：F270.7 ； ； ； ； ；文献标识码：A ； ； ； ； ；文章编号：1007-0079（2014）17-0123-02
调度是智能电网六大环节（发电、输电、变电、配电、用电和调度）之一，是电网运行的中枢，指导电力系统的整体运行，负责系统内重要操作和事故处理。调度自动化系统作为电网运行控制的基础，其性能好坏对电网的安全经济运行起着重要作用。
为满足国家电网公司“大运行”体系建设的要求，实现调控运行的“标准化、一体化建设，精益化、集约化管理”，合理利用调度自动化系统建设资金，优化配置大二次系统运行维护资源和技术资源，近年来许多地区开展了地县调控一体化自动化系统建设。地县调控一体化自动化系统建设的快速推进使计算机网络成为电网调度机构的主要技术支撑平台。随着地区调度自动化系统后台网络覆盖面快速扩大，系统接入信息点数量倍增，系统后台网络的安全隐患也在逐渐增大。系统网络应用和功能不断增加，促使电力生产对调度自动化系统后台网络的安全性、稳定性、可靠性提出了更高的要求。[1]本研究通过分析地县调控一体化自动化系统后台网络安全现状，采取相应的技术措施完善交换机配置，并制定配套的设备接入管理措施，为地县调控一体化自动化系统后台网络管理工作提供了一种行之有效的安全管控策略。
一、当前系统网络安全存在的问题
在地县调控一体化自动化系统中，后台网络作为整个系统的骨架，承担着传输前置实时数据以及后台同步数据的重要责任，是实现自动化数据采集和系统有序工作的基础设施，网络的安全稳定是保证地县一体化系统安全、正确运行的基础。据统计，目前地县调控一体化自动化系统后台网络安全工作存在以下几个问题：第一，调度自动化系统实行地县调控一体化后，任何一台存在错误配置的服务器或工作站接入后台网络都可能引起自动化系统SCADA（数据采集与监控）服务器消息接收异常，严重时甚至会带来网络风暴，影响整个一体化系统的运行。由于缺乏规范的设备接入管理措施，该类故障发生后故障源难以快速定位，对调控运行人员的监控工作带来影响。第二，调度自动化系统后台网络接入信息点的增多，超出了网络管理员的人工监管范围。许多县局存在私自从接入层交换机或现有接入点挂接HUB等网络设备的情况，任意接入或搬移工作站的行为在给系统安全带来威胁的同时也会导致自动化资产管理混乱。第三，外部人员（如厂家）所携带的计算机设备随意接入后台网络，极有可能给电力调度自动化系统带来病毒、木马甚至恶意攻击。[2]第四，地县调控一体化运行模式实施后，每个地区分别配备两台接入交换机。除地调接入交换机与地县一体化汇聚交换机置于地调外，其他接入交换机分别布置于备调及各个县局。当前接入交换机设备未开启远程访问功能，给网络维护人员的故障排查及处理带来困难。同时，接入交换机设备未配置任何登陆身份认证机制，交换机配置可轻易被篡改，存在安全隐患。
综上所述，网络维护人员急需对地县调控一体化自动化系统后台网络采取一定的整改措施，以实现对网络中接入的交换机、工作站及服务器等设备的有效管理，确保一体化系统后台网络的安全稳定运行。
二、制定解决方案及措施
地县调控一体化调度自动化系统改变了过去地区、县局自动化系统分散建设的模式，其网络运行、维护管理模式也必须与之相适应，做出适当调整。本文提出的地县调控一体化自动化系统后台网安全管控策略通过对调度自动化系统后台网交换机实施一系列的安全措施，同时配合后台网设备接入相关管理流程的制定，达到对后台网的安全管控目的，防止电网调度自动化系统后台网遭受非法设备入侵。
1.主要实施步骤
一是开启基于口令的SSH远程访问功能，设置交换机console口登陆密码与IP访问控制表，指定所有接入层交换机只能通过地调指定服务器进行远程登陆访问。该措施可有效提升网络设备的安全性，并缩短网络故障排查及处理时间。二是通过交换机指令查询各端口的状态信息。根据图1所示方法对交换机端口进行归类，制作《地县调控一体化后台网设备接入信息表》。表格主要登记了一体化系统后台网络所有接入层交换机各端口的设备连接信息，内容主要包括接入设备的机器名、IP地址、MAC地址、所连端口号、所连交换机名称等。然后关闭无任何设备连接的闲置端口。三是核查《地县调控一体化自动化系统后台网工作站接入信息登记表》的信息与实际情况是否相符，纠正不正确的设备连接，并及时更新信息登记表。四是根据核查更新后的《地县调控一体化自动化系统后台网工作站接入信息登记表》，对有设备接入的非级联端口进行端口MAC地址绑定，交换机级联端口不做绑定。
2.交换机配置方法
本文提出的后台网络安全管控策略的关键措施是实施了交换机端口MAC地址绑定技术。以下以思科C3560交换机为例阐述该技术的主要实现方法：[3]
（1）当交换机端口只连接一台工作站时，可进行如下配置：
Switch#config terminal
Switch（config）#interface 端口号
//输入配置端口号
Switch（config-if）#switchport port-security mac-address Mac地址//给端口添加安全MAC地址 Switch（config-if）#switchport port-security maximum 1 //限制此端口允许通过的MAC地址为1
Switch（config-if）#switchport port-security violation protect //丢弃违规访问设备的数据包，不发警告
（2）当交换机端口通过挂接HUB或其他交换机设备（非接入交换机）连接多台终端设备时，使用如下配置方法：
Switch#config terminal
Switch（config）#interface 端口号//输入配置端口号
Switch（config-if）#switchport port-security mac-addressMac地址1 //给端口添加安全MAC地址1
Switch（config-if）#switchport port-security mac-addressMac地址2 //给端口添加安全MAC地址2
Switch（config-if）#switchport port-security mac-addressMac地址N //给端口添加安全MAC地址N
Switch（config-if）#switchport port-security maximum N //限制此端口允许通过的MAC地址数量为N
Switch（config-if）#switchport port-security violation protect //丢弃违规访问设备的数据包，不发警告
三、制定相应的安全管理流程
接入交换机安全配置的完善及端口安全技术的实施是一个可行的局域网管理方法，但在使用该策略时，必须建立配套的管理制度并有效执行，这样才能使该安全策略起到良好的持续的效果。[4]本文提出的安全管控策略除了实施相关技术措施外，还制定了配套的管理措施：
第一，根据《地县调控一体化自动化系统后台网工作站接入信息登记表》绘制了《温州地县调控一体化自动化系统后台网交换机连接拓扑图》及各接入层交换机设备连接状况拓扑图，为网络维护与故障排缺工作带来极大便利。第二，制定《地县调控一体化后台网设备接入管理规程》，规定当新设备需接入后台网或老设备需更换接入端口时，必须按要求填写《地县调控一体化后台网设备接入申请表》，地调侧网络管理人员与县调侧维护人员确定设备接入时间后，按照申请表信息对相应交换机进行具体安全配置。当有多台设备需要接入网络时须按顺序逐台连接。每接入一台设备必须检查地县调控一体化自动化系统应用及网络状态是否异常，若一切正常再继续接入第二台设备。若系统有异常现象出现（如其他工作站的网速被明显拖慢），则立即将该设备断网，检查该设备是否存在配置错误，错误消除后方可接入后台网，以此实现对接入设备的风险管控。
自动化网络管理员对交换机实施安全措施的流程如图2所示。
四、 结语
基于地县调控一体化调度自动化系统的后台网安全管控策略目前已实际应用于温州地县调控一体化自动化系统的网络安全管理。该策略的实施有效降低了温州地区自动化系统后台网络的故障发生率，提升了网络运行的稳定性，并推进了地县调控一体化建设管理工作的规范化。
参考文献：
[1]叶芸.浅议电力调度自动化网络安全与实现[J].科技传播，2011，
（4）：161-162.
[2]张才俊.交换机端口安全策略在网络中的应用案例[J].科技资讯，2009，（31）.
[3]汪宇昕.MAC地址与交换机端口的绑定——交换机端口安全配置[J].统计与管理，2009，（10）：28.
[4]黄晓尧.电力调度自动化系统网络安全分析[J].华东电力，
2002，（8）：71-72.
（责任编辑：孙晴）