電力監(jiān)控系統(tǒng)便攜式運(yùn)維網(wǎng)關(guān)技術(shù)細(xì)則

1 范圍

本文件規(guī)定了電力監(jiān)控系統(tǒng)便攜式運(yùn)維網(wǎng)關(guān)的功能要求、安全要求以及技術(shù)要求。本文件適用于電力監(jiān)控系統(tǒng)便攜式運(yùn)維網(wǎng)關(guān)的設(shè)計(jì)、研制、檢測(cè)和驗(yàn)收。

2 規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

3 術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1 電力監(jiān)控系統(tǒng) Electric power system supervision and control 用于監(jiān)視和控制電力生產(chǎn)及供應(yīng)過程的、基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)及智能設(shè)備，以及作為基礎(chǔ)支撐的通信及數(shù)據(jù)網(wǎng)絡(luò)等，包括電力數(shù)據(jù)采集與監(jiān)控系統(tǒng)（ SCADA）、能量管理系統(tǒng)、變電站自動(dòng)化系統(tǒng)、換流站計(jì)算機(jī)監(jiān)控系統(tǒng)、發(fā)電廠計(jì)算機(jī)監(jiān)控系統(tǒng)、配電自動(dòng)化系統(tǒng)、微機(jī)繼電保護(hù)和安全自動(dòng)裝置、廣域相量測(cè)量系統(tǒng)、負(fù)荷控制系統(tǒng)、水調(diào)自動(dòng)化系統(tǒng)和水電梯級(jí)調(diào)度自動(dòng)化系統(tǒng)、電能量計(jì)量系統(tǒng)、實(shí)時(shí)電力市場(chǎng)的輔助控制系統(tǒng)、電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)等。[GB/T 36572-2018 定義 3.1] 3.2

運(yùn)維終端 Operation and maintenance terminal 用于系統(tǒng)運(yùn)維調(diào)試的計(jì)算機(jī)，通常為一臺(tái)筆記本電腦。

3.3

便攜式運(yùn)維網(wǎng)關(guān) Portable operation and maintenance gateway

一種運(yùn)維安全邊界設(shè)備，通過串接在運(yùn)維終端與被運(yùn)維對(duì)象之間，對(duì)運(yùn)維操作進(jìn)行實(shí)時(shí)監(jiān)視、風(fēng)險(xiǎn)管控和工作記錄。

3.4

一體式便攜式運(yùn)維網(wǎng)關(guān) Integrated portable operation and maintenance gateway

一種將便攜式運(yùn)維網(wǎng)關(guān)與運(yùn)維終端硬件結(jié)合，并且運(yùn)維終端與運(yùn)維網(wǎng)關(guān)硬件主板完全獨(dú)立的一種特殊便攜式運(yùn)維網(wǎng)關(guān)。

3.5

工作負(fù)責(zé)人 Person in charge of the work

負(fù)責(zé)檢查工作票所列安全措施是否正確完備，嚴(yán)格執(zhí)行工作票所列安全措施，督促、監(jiān)督工作班成員規(guī)范開展運(yùn)維工作的人員。

3.6

工作班成員 Team members

負(fù)責(zé)現(xiàn)場(chǎng)具體運(yùn)維操作的人員。

3.7

透明代理 Transparent proxy

運(yùn)維人員無須知道代理存在，運(yùn)維時(shí)在運(yùn)維終端直接輸入被運(yùn)維對(duì)象IP進(jìn)行運(yùn)維，由便攜式運(yùn)維網(wǎng)關(guān)自動(dòng)完成代理過程的一種代理方式。

4 縮略語

ARP：地址解析協(xié)議（ Address Resolution Protocol）

DoS：拒絕服務(wù)（ Denial of Service）

FTP：文件傳輸協(xié)議（ File Transfer Protocol） HDMI：高清多媒體接口（ High Definition Multimedia Interface）

ICMP：互聯(lián)網(wǎng)控制報(bào)文協(xié)議（ Internet Control Message Protocol）

IP：互聯(lián)網(wǎng)協(xié)議（ Internet Protocol）

KVM：鍵盤、顯示器、鼠標(biāo)（ Keyboard Video Mouse）

RS232：串行數(shù)據(jù)接口標(biāo)準(zhǔn)（ Recommended Standard 232）

SCP：安全復(fù)制協(xié)議（ Secure Copy Protocol）

SFTP：安全文件傳輸協(xié)議（ Secret File Transfer Protocol）

SSH：安全外殼協(xié)議（ Secure Shell）

SYN：同步序列編號(hào)（ Synchronize Sequence Numbers）

TCP：傳輸控制協(xié)議（ Transmission Control Protocol）

TELNET：遠(yuǎn)程登錄服務(wù)（ Telecommunications Network）

USB：通用串行總線（ Universal Serial Bus）

5 概述

運(yùn)維工作開始前， 根據(jù)被運(yùn)維對(duì)象接口類型，采用不同的線纜（網(wǎng)線、 RS232 串口線、 USB 線、 HDMI視頻線）將便攜式運(yùn)維網(wǎng)關(guān)串接在運(yùn)維終端與被運(yùn)維對(duì)象之間。通過賬號(hào)口令、生物特征等方式在便攜式運(yùn)維網(wǎng)關(guān)上完成工作負(fù)責(zé)人的身份認(rèn)證， 通過 USB Key 方式完成運(yùn)維終端的設(shè)備認(rèn)證。運(yùn)維工作過程中，便攜式運(yùn)維網(wǎng)關(guān)對(duì)通信報(bào)文進(jìn)行實(shí)時(shí)解析，對(duì)可能存在的風(fēng)險(xiǎn)行為進(jìn)行管控，包括違規(guī)外聯(lián)、高風(fēng)險(xiǎn)指令、攻擊行為、惡意代碼等。同時(shí)，便攜式運(yùn)維網(wǎng)關(guān)對(duì)運(yùn)維工作進(jìn)行全過程記錄，包括操作畫面圖像、傳輸文件、通信報(bào)文、風(fēng)險(xiǎn)管控及接口使用等。運(yùn)維結(jié)束后，可將運(yùn)維及審計(jì)記錄上傳至第三方審計(jì)日志管理平臺(tái)。具體使用流程如圖 1 所示。

圖1 便攜式運(yùn)維網(wǎng)關(guān)運(yùn)維操作流程

對(duì)于一體式便攜式運(yùn)維網(wǎng)關(guān)，內(nèi)置的運(yùn)維終端應(yīng)集成USB Key功能實(shí)現(xiàn)與運(yùn)維網(wǎng)關(guān)部分的設(shè)備認(rèn)證。運(yùn)維人員通過內(nèi)置的運(yùn)維終端開展運(yùn)維操作，運(yùn)維網(wǎng)關(guān)部分實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)行為的管控和運(yùn)維工作的記錄。

6 功能要求
6.1 認(rèn)證和權(quán)限

便攜式運(yùn)維網(wǎng)關(guān)認(rèn)證管理分為人員認(rèn)證和設(shè)備認(rèn)證兩類。其中，人員認(rèn)證是指不同使用者登錄便攜式運(yùn)維網(wǎng)關(guān)時(shí)的身份認(rèn)證，設(shè)備認(rèn)證是指便攜式運(yùn)維網(wǎng)關(guān)與運(yùn)維終端之間的認(rèn)證。

6.1.1 認(rèn)證管理

認(rèn)證管理功能要求如下：

a) 應(yīng)支持采用靜態(tài)口令、生物特征信息等方式實(shí)現(xiàn)人員認(rèn)證，并支持兩種因子組合認(rèn)證方式；

b) 應(yīng)支持采用 USB Key 方式實(shí)現(xiàn)運(yùn)維終端與便攜式運(yùn)維網(wǎng)關(guān)之間的認(rèn)證。

6.1.2 權(quán)限管理

便攜式運(yùn)維網(wǎng)關(guān)賬號(hào)基于角色劃分權(quán)限，應(yīng)分為系統(tǒng)管理員、工作負(fù)責(zé)人和審計(jì)管理員等不同角色權(quán)限，并遵循三權(quán)分立和最小權(quán)限原則。

6.1.2.1 系統(tǒng)管理員權(quán)限

系統(tǒng)管理員權(quán)限要求如下：

a) 應(yīng)支持工作負(fù)責(zé)人賬號(hào)配置；

b) 應(yīng)支持高風(fēng)險(xiǎn)指令配置、高危端口黑名單配置等；

c) 應(yīng)支持軟件升級(jí)、惡意代碼庫升級(jí)等。

6.1.2.2 工作負(fù)責(zé)人權(quán)限

工作負(fù)責(zé)人權(quán)限要求如下：

a) 應(yīng)支持運(yùn)維操作管控，包含開啟、結(jié)束運(yùn)維工作等；

b) 應(yīng)支持對(duì)現(xiàn)場(chǎng)運(yùn)維工作二次授權(quán)。

6.1.2.3 審計(jì)管理員權(quán)限

審計(jì)管理員權(quán)限要求如下：

a) 應(yīng)支持查看運(yùn)維工作記錄和設(shè)備日志；

b) 應(yīng)支持導(dǎo)出運(yùn)維工作記錄和設(shè)備日志。

6.2 接入管控

現(xiàn)場(chǎng)運(yùn)維工作時(shí)，便攜式運(yùn)維網(wǎng)關(guān)串接在運(yùn)維終端與被運(yùn)維對(duì)象之間，通過 USB Key 對(duì)運(yùn)維終端進(jìn)行安全認(rèn)證。根據(jù)不同場(chǎng)景，分為網(wǎng)絡(luò)接口、串行接口、 USB 接口和 KVM 等接入管控方式。

6.2.1 USB Key 功能

USB Key功能要求如下：

a) 應(yīng)內(nèi)置免安裝的運(yùn)維終端管控軟件，具備違規(guī)外聯(lián)檢測(cè)、屏幕錄制等功能，并支持錄屏文件實(shí)時(shí)存放在便攜式運(yùn)維網(wǎng)關(guān)中，當(dāng)使用串行接口運(yùn)維模式時(shí)，錄屏文件應(yīng)通過網(wǎng)絡(luò)接口實(shí)時(shí)存放在便攜式運(yùn)維網(wǎng)關(guān)中；

b) 應(yīng)內(nèi)置數(shù)字證書等認(rèn)證信息，實(shí)現(xiàn)運(yùn)維終端與便攜式運(yùn)維網(wǎng)關(guān)之間的身份認(rèn)證；

c) 應(yīng)支持通過網(wǎng)絡(luò)方式實(shí)現(xiàn)與便攜式運(yùn)維網(wǎng)關(guān)的心跳檢測(cè)，心跳間隔為 1 秒，心跳檢測(cè)連續(xù)失敗 5次時(shí)應(yīng)支持?jǐn)嚅_運(yùn)維通信，心跳檢測(cè)恢復(fù)后，便攜式運(yùn)維網(wǎng)關(guān)應(yīng)支持自動(dòng)恢復(fù)運(yùn)維通信；

d) 拔除 USB Key 時(shí)， 應(yīng)支持自動(dòng)結(jié)束運(yùn)維終端管控軟件；

e) 應(yīng)適配 Windows 7、 Windows 10、 Linux 等操作系統(tǒng)。

6.2.2 網(wǎng)絡(luò)接口接入管控

網(wǎng)絡(luò)接口接入管控功能要求如下：

a) 應(yīng)支持所有協(xié)議的通信轉(zhuǎn)發(fā)；

b) 在所有轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對(duì) SSH、 Telnet、 SFTP、 FTP、 SCP 協(xié)議進(jìn)行透明代理，識(shí)別高風(fēng)險(xiǎn)操作指令和傳輸文件；

c) 在所有轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對(duì) Q/GDW 273、 DL/T 634.5104、 DL/T 860、 Modbus 協(xié)議進(jìn)行透明代理，識(shí)別控制類指令。透明代理流程如圖 2 所示。

6.2.3 串行接口接入管控串行接口接入管控功能要求如下：

a) 應(yīng)支持 RS232 串行接口通信報(bào)文的轉(zhuǎn)發(fā)；

b) 應(yīng)支持字符指令的解析，識(shí)別高風(fēng)險(xiǎn)操作指令；

c) 在所用轉(zhuǎn)發(fā)協(xié)議中，應(yīng)支持對(duì) DL/T 634.5101 和 Modbus 協(xié)議轉(zhuǎn)發(fā)，識(shí)別控制類指令。

6.2.4 USB 接口接入管控

應(yīng)支持 USB 映射功能，便攜式運(yùn)維網(wǎng)關(guān)通過 USB 線串接在移動(dòng)存儲(chǔ)介質(zhì)與被運(yùn)維對(duì)象之間，實(shí)現(xiàn)對(duì)移動(dòng)存儲(chǔ)介質(zhì)的安全讀寫操作。USB 文件傳輸流程如圖 3 所示。

6.2.5 KVM 接入管控
應(yīng)支持通過視頻線、 USB 線連接被運(yùn)維對(duì)象，獲取并顯示被運(yùn)維對(duì)象桌面信息，通過便攜式運(yùn)維網(wǎng)關(guān)觸摸屏或外接顯示器、鍵鼠等外設(shè)實(shí)現(xiàn)圖形化、命令行等運(yùn)維操作。KVM 接入方式如圖 4 所示。

審核編輯：黃飛