電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關(guān)技術(shù)細(xì)則

電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關(guān)技術(shù)細(xì)則

1 范圍

本文件規(guī)定了電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關(guān)的功能要求、安全要求以及技術(shù)要求。本文件適用于電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關(guān)的設(shè)計、研制、檢測和驗收。

2 規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

3 術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1 電力監(jiān)控系統(tǒng) Electric power system supervision and control 用于監(jiān)視和控制電力生產(chǎn)及供應(yīng)過程的、基于計算機及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)及智能設(shè)備，以及作為基礎(chǔ)支撐的通信及數(shù)據(jù)網(wǎng)絡(luò)等，包括電力數(shù)據(jù)采集與監(jiān)控系統(tǒng)（ SCADA）、能量管理系統(tǒng)、變電站自動化系統(tǒng)、換流站計算機監(jiān)控系統(tǒng)、發(fā)電廠計算機監(jiān)控系統(tǒng)、配電自動化系統(tǒng)、微機繼電保護(hù)和安全自動裝置、廣域相量測量系統(tǒng)、負(fù)荷控制系統(tǒng)、水調(diào)自動化系統(tǒng)和水電梯級調(diào)度自動化系統(tǒng)、電能量計量系統(tǒng)、實時電力市場的輔助控制系統(tǒng)、電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)等。[GB/T 36572-2018 定義 3.1] 3.2

運維終端 Operation and maintenance terminal 用于系統(tǒng)運維調(diào)試的計算機，通常為一臺筆記本電腦。

3.3

便攜式運維網(wǎng)關(guān) Portable operation and maintenance gateway

一種運維安全邊界設(shè)備，通過串接在運維終端與被運維對象之間，對運維操作進(jìn)行實時監(jiān)視、風(fēng)險管控和工作記錄。

3.4

一體式便攜式運維網(wǎng)關(guān) Integrated portable operation and maintenance gateway

一種將便攜式運維網(wǎng)關(guān)與運維終端硬件結(jié)合，并且運維終端與運維網(wǎng)關(guān)硬件主板完全獨立的一種特殊便攜式運維網(wǎng)關(guān)。

3.5

工作負(fù)責(zé)人 Person in charge of the work

負(fù)責(zé)檢查工作票所列安全措施是否正確完備，嚴(yán)格執(zhí)行工作票所列安全措施，督促、監(jiān)督工作班成員規(guī)范開展運維工作的人員。

3.6

工作班成員 Team members

負(fù)責(zé)現(xiàn)場具體運維操作的人員。

3.7

透明代理 Transparent proxy

運維人員無須知道代理存在，運維時在運維終端直接輸入被運維對象IP進(jìn)行運維，由便攜式運維網(wǎng)關(guān)自動完成代理過程的一種代理方式。

4 縮略語

ARP：地址解析協(xié)議（ Address Resolution Protocol）

DoS：拒絕服務(wù)（ Denial of Service）

FTP：文件傳輸協(xié)議（ File Transfer Protocol） HDMI：高清多媒體接口（ High Definition Multimedia Interface）

ICMP：互聯(lián)網(wǎng)控制報文協(xié)議（ Internet Control Message Protocol）

IP：互聯(lián)網(wǎng)協(xié)議（ Internet Protocol）

KVM：鍵盤、顯示器、鼠標(biāo)（ Keyboard Video Mouse）

RS232：串行數(shù)據(jù)接口標(biāo)準(zhǔn)（ Recommended Standard 232）

SCP：安全復(fù)制協(xié)議（ Secure Copy Protocol）

SFTP：安全文件傳輸協(xié)議（ Secret File Transfer Protocol）

SSH：安全外殼協(xié)議（ Secure Shell）

SYN：同步序列編號（ Synchronize Sequence Numbers）

TCP：傳輸控制協(xié)議（ Transmission Control Protocol）

TELNET：遠(yuǎn)程登錄服務(wù)（ Telecommunications Network）

USB：通用串行總線（ Universal Serial Bus）

5 概述

運維工作開始前， 根據(jù)被運維對象接口類型，采用不同的線纜（網(wǎng)線、 RS232 串口線、 USB 線、 HDMI視頻線）將便攜式運維網(wǎng)關(guān)串接在運維終端與被運維對象之間。通過賬號口令、生物特征等方式在便攜式運維網(wǎng)關(guān)上完成工作負(fù)責(zé)人的身份認(rèn)證， 通過 USB Key 方式完成運維終端的設(shè)備認(rèn)證。運維工作過程中，便攜式運維網(wǎng)關(guān)對通信報文進(jìn)行實時解析，對可能存在的風(fēng)險行為進(jìn)行管控，包括違規(guī)外聯(lián)、高風(fēng)險指令、攻擊行為、惡意代碼等。同時，便攜式運維網(wǎng)關(guān)對運維工作進(jìn)行全過程記錄，包括操作畫面圖像、傳輸文件、通信報文、風(fēng)險管控及接口使用等。運維結(jié)束后，可將運維及審計記錄上傳至第三方審計日志管理平臺。具體使用流程如圖 1 所示。

圖1 便攜式運維網(wǎng)關(guān)運維操作流程

對于一體式便攜式運維網(wǎng)關(guān)，內(nèi)置的運維終端應(yīng)集成USB Key功能實現(xiàn)與運維網(wǎng)關(guān)部分的設(shè)備認(rèn)證。運維人員通過內(nèi)置的運維終端開展運維操作，運維網(wǎng)關(guān)部分實現(xiàn)對風(fēng)險行為的管控和運維工作的記錄。

6 功能要求
6.1 認(rèn)證和權(quán)限

便攜式運維網(wǎng)關(guān)認(rèn)證管理分為人員認(rèn)證和設(shè)備認(rèn)證兩類。其中，人員認(rèn)證是指不同使用者登錄便攜式運維網(wǎng)關(guān)時的身份認(rèn)證，設(shè)備認(rèn)證是指便攜式運維網(wǎng)關(guān)與運維終端之間的認(rèn)證。

6.1.1 認(rèn)證管理

認(rèn)證管理功能要求如下：

a) 應(yīng)支持采用靜態(tài)口令、生物特征信息等方式實現(xiàn)人員認(rèn)證，并支持兩種因子組合認(rèn)證方式；

b) 應(yīng)支持采用 USB Key 方式實現(xiàn)運維終端與便攜式運維網(wǎng)關(guān)之間的認(rèn)證。

6.1.2 權(quán)限管理

便攜式運維網(wǎng)關(guān)賬號基于角色劃分權(quán)限，應(yīng)分為系統(tǒng)管理員、工作負(fù)責(zé)人和審計管理員等不同角色權(quán)限，并遵循三權(quán)分立和最小權(quán)限原則。

6.1.2.1 系統(tǒng)管理員權(quán)限

系統(tǒng)管理員權(quán)限要求如下：

a) 應(yīng)支持工作負(fù)責(zé)人賬號配置；

b) 應(yīng)支持高風(fēng)險指令配置、高危端口黑名單配置等；

c) 應(yīng)支持軟件升級、惡意代碼庫升級等。

6.1.2.2 工作負(fù)責(zé)人權(quán)限

工作負(fù)責(zé)人權(quán)限要求如下：

a) 應(yīng)支持運維操作管控，包含開啟、結(jié)束運維工作等；

b) 應(yīng)支持對現(xiàn)場運維工作二次授權(quán)。

6.1.2.3 審計管理員權(quán)限

審計管理員權(quán)限要求如下：

a) 應(yīng)支持查看運維工作記錄和設(shè)備日志；

b) 應(yīng)支持導(dǎo)出運維工作記錄和設(shè)備日志。

6.2 接入管控

現(xiàn)場運維工作時，便攜式運維網(wǎng)關(guān)串接在運維終端與被運維對象之間，通過 USB Key 對運維終端進(jìn)行安全認(rèn)證。根據(jù)不同場景，分為網(wǎng)絡(luò)接口、串行接口、 USB 接口和 KVM 等接入管控方式。

6.2.1 USB Key 功能

USB Key功能要求如下：

a) 應(yīng)內(nèi)置免安裝的運維終端管控軟件，具備違規(guī)外聯(lián)檢測、屏幕錄制等功能，并支持錄屏文件實時存放在便攜式運維網(wǎng)關(guān)中，當(dāng)使用串行接口運維模式時，錄屏文件應(yīng)通過網(wǎng)絡(luò)接口實時存放在便攜式運維網(wǎng)關(guān)中；

b) 應(yīng)內(nèi)置數(shù)字證書等認(rèn)證信息，實現(xiàn)運維終端與便攜式運維網(wǎng)關(guān)之間的身份認(rèn)證；

c) 應(yīng)支持通過網(wǎng)絡(luò)方式實現(xiàn)與便攜式運維網(wǎng)關(guān)的心跳檢測，心跳間隔為 1 秒，心跳檢測連續(xù)失敗 5次時應(yīng)支持?jǐn)嚅_運維通信，心跳檢測恢復(fù)后，便攜式運維網(wǎng)關(guān)應(yīng)支持自動恢復(fù)運維通信；

d) 拔除 USB Key 時， 應(yīng)支持自動結(jié)束運維終端管控軟件；

e) 應(yīng)適配 Windows 7、 Windows 10、 Linux 等操作系統(tǒng)。

6.2.2 網(wǎng)絡(luò)接口接入管控

網(wǎng)絡(luò)接口接入管控功能要求如下：

a) 應(yīng)支持所有協(xié)議的通信轉(zhuǎn)發(fā)；

b) 在所有轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對 SSH、 Telnet、 SFTP、 FTP、 SCP 協(xié)議進(jìn)行透明代理，識別高風(fēng)險操作指令和傳輸文件；

c) 在所有轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對 Q/GDW 273、 DL/T 634.5104、 DL/T 860、 Modbus 協(xié)議進(jìn)行透明代理，識別控制類指令。透明代理流程如圖 2 所示。

6.2.3 串行接口接入管控串行接口接入管控功能要求如下：

a) 應(yīng)支持 RS232 串行接口通信報文的轉(zhuǎn)發(fā)；

b) 應(yīng)支持字符指令的解析，識別高風(fēng)險操作指令；

c) 在所用轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對 DL/T 634.5101 和 Modbus 協(xié)議轉(zhuǎn)發(fā)，識別控制類指令。

6.2.4 USB 接口接入管控

應(yīng)支持 USB 映射功能，便攜式運維網(wǎng)關(guān)通過 USB 線串接在移動存儲介質(zhì)與被運維對象之間，實現(xiàn)對移動存儲介質(zhì)的安全讀寫操作。USB 文件傳輸流程如圖 3 所示。

6.2.5 KVM 接入管控
應(yīng)支持通過視頻線、 USB 線連接被運維對象，獲取并顯示被運維對象桌面信息，通過便攜式運維網(wǎng)關(guān)觸摸屏或外接顯示器、鍵鼠等外設(shè)實現(xiàn)圖形化、命令行等運維操作。KVM 接入方式如圖 4 所示。

審核編輯：黃飛