電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關技術細則

1 范圍

本文件規(guī)定了電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關的功能要求、安全要求以及技術要求。本文件適用于電力監(jiān)控系統(tǒng)便攜式運維網(wǎng)關的設計、研制、檢測和驗收。

2 規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

3 術語和定義

下列術語和定義適用于本文件。

3.1 電力監(jiān)控系統(tǒng) Electric power system supervision and control 用于監(jiān)視和控制電力生產(chǎn)及供應過程的、基于計算機及網(wǎng)絡技術的業(yè)務系統(tǒng)及智能設備，以及作為基礎支撐的通信及數(shù)據(jù)網(wǎng)絡等，包括電力數(shù)據(jù)采集與監(jiān)控系統(tǒng)（ SCADA）、能量管理系統(tǒng)、變電站自動化系統(tǒng)、換流站計算機監(jiān)控系統(tǒng)、發(fā)電廠計算機監(jiān)控系統(tǒng)、配電自動化系統(tǒng)、微機繼電保護和安全自動裝置、廣域相量測量系統(tǒng)、負荷控制系統(tǒng)、水調自動化系統(tǒng)和水電梯級調度自動化系統(tǒng)、電能量計量系統(tǒng)、實時電力市場的輔助控制系統(tǒng)、電力調度數(shù)據(jù)網(wǎng)絡等。[GB/T 36572-2018 定義 3.1] 3.2

運維終端 Operation and maintenance terminal 用于系統(tǒng)運維調試的計算機，通常為一臺筆記本電腦。

3.3

便攜式運維網(wǎng)關 Portable operation and maintenance gateway

一種運維安全邊界設備，通過串接在運維終端與被運維對象之間，對運維操作進行實時監(jiān)視、風險管控和工作記錄。

3.4

一體式便攜式運維網(wǎng)關 Integrated portable operation and maintenance gateway

一種將便攜式運維網(wǎng)關與運維終端硬件結合，并且運維終端與運維網(wǎng)關硬件主板完全獨立的一種特殊便攜式運維網(wǎng)關。

3.5

工作負責人 Person in charge of the work

負責檢查工作票所列安全措施是否正確完備，嚴格執(zhí)行工作票所列安全措施，督促、監(jiān)督工作班成員規(guī)范開展運維工作的人員。

3.6

工作班成員 Team members

負責現(xiàn)場具體運維操作的人員。

3.7

透明代理 Transparent proxy

運維人員無須知道代理存在，運維時在運維終端直接輸入被運維對象IP進行運維，由便攜式運維網(wǎng)關自動完成代理過程的一種代理方式。

4 縮略語

ARP：地址解析協(xié)議（ Address Resolution Protocol）

DoS：拒絕服務（ Denial of Service）

FTP：文件傳輸協(xié)議（ File Transfer Protocol） HDMI：高清多媒體接口（ High Definition Multimedia Interface）

ICMP：互聯(lián)網(wǎng)控制報文協(xié)議（ Internet Control Message Protocol）

IP：互聯(lián)網(wǎng)協(xié)議（ Internet Protocol）

KVM：鍵盤、顯示器、鼠標（ Keyboard Video Mouse）

RS232：串行數(shù)據(jù)接口標準（ Recommended Standard 232）

SCP：安全復制協(xié)議（ Secure Copy Protocol）

SFTP：安全文件傳輸協(xié)議（ Secret File Transfer Protocol）

SSH：安全外殼協(xié)議（ Secure Shell）

SYN：同步序列編號（ Synchronize Sequence Numbers）

TCP：傳輸控制協(xié)議（ Transmission Control Protocol）

TELNET：遠程登錄服務（ Telecommunications Network）

USB：通用串行總線（ Universal Serial Bus）

5 概述

運維工作開始前， 根據(jù)被運維對象接口類型，采用不同的線纜（網(wǎng)線、 RS232 串口線、 USB 線、 HDMI視頻線）將便攜式運維網(wǎng)關串接在運維終端與被運維對象之間。通過賬號口令、生物特征等方式在便攜式運維網(wǎng)關上完成工作負責人的身份認證， 通過 USB Key 方式完成運維終端的設備認證。運維工作過程中，便攜式運維網(wǎng)關對通信報文進行實時解析，對可能存在的風險行為進行管控，包括違規(guī)外聯(lián)、高風險指令、攻擊行為、惡意代碼等。同時，便攜式運維網(wǎng)關對運維工作進行全過程記錄，包括操作畫面圖像、傳輸文件、通信報文、風險管控及接口使用等。運維結束后，可將運維及審計記錄上傳至第三方審計日志管理平臺。具體使用流程如圖 1 所示。

圖1 便攜式運維網(wǎng)關運維操作流程

對于一體式便攜式運維網(wǎng)關，內(nèi)置的運維終端應集成USB Key功能實現(xiàn)與運維網(wǎng)關部分的設備認證。運維人員通過內(nèi)置的運維終端開展運維操作，運維網(wǎng)關部分實現(xiàn)對風險行為的管控和運維工作的記錄。

6 功能要求
6.1 認證和權限

便攜式運維網(wǎng)關認證管理分為人員認證和設備認證兩類。其中，人員認證是指不同使用者登錄便攜式運維網(wǎng)關時的身份認證，設備認證是指便攜式運維網(wǎng)關與運維終端之間的認證。

6.1.1 認證管理

認證管理功能要求如下：

a) 應支持采用靜態(tài)口令、生物特征信息等方式實現(xiàn)人員認證，并支持兩種因子組合認證方式；

b) 應支持采用 USB Key 方式實現(xiàn)運維終端與便攜式運維網(wǎng)關之間的認證。

6.1.2 權限管理

便攜式運維網(wǎng)關賬號基于角色劃分權限，應分為系統(tǒng)管理員、工作負責人和審計管理員等不同角色權限，并遵循三權分立和最小權限原則。

6.1.2.1 系統(tǒng)管理員權限

系統(tǒng)管理員權限要求如下：

a) 應支持工作負責人賬號配置；

b) 應支持高風險指令配置、高危端口黑名單配置等；

c) 應支持軟件升級、惡意代碼庫升級等。

6.1.2.2 工作負責人權限

工作負責人權限要求如下：

a) 應支持運維操作管控，包含開啟、結束運維工作等；

b) 應支持對現(xiàn)場運維工作二次授權。

6.1.2.3 審計管理員權限

審計管理員權限要求如下：

a) 應支持查看運維工作記錄和設備日志；

b) 應支持導出運維工作記錄和設備日志。

6.2 接入管控

現(xiàn)場運維工作時，便攜式運維網(wǎng)關串接在運維終端與被運維對象之間，通過 USB Key 對運維終端進行安全認證。根據(jù)不同場景，分為網(wǎng)絡接口、串行接口、 USB 接口和 KVM 等接入管控方式。

6.2.1 USB Key 功能

USB Key功能要求如下：

a) 應內(nèi)置免安裝的運維終端管控軟件，具備違規(guī)外聯(lián)檢測、屏幕錄制等功能，并支持錄屏文件實時存放在便攜式運維網(wǎng)關中，當使用串行接口運維模式時，錄屏文件應通過網(wǎng)絡接口實時存放在便攜式運維網(wǎng)關中；

b) 應內(nèi)置數(shù)字證書等認證信息，實現(xiàn)運維終端與便攜式運維網(wǎng)關之間的身份認證；

c) 應支持通過網(wǎng)絡方式實現(xiàn)與便攜式運維網(wǎng)關的心跳檢測，心跳間隔為 1 秒，心跳檢測連續(xù)失敗 5次時應支持斷開運維通信，心跳檢測恢復后，便攜式運維網(wǎng)關應支持自動恢復運維通信；

d) 拔除 USB Key 時， 應支持自動結束運維終端管控軟件；

e) 應適配 Windows 7、 Windows 10、 Linux 等操作系統(tǒng)。

6.2.2 網(wǎng)絡接口接入管控

網(wǎng)絡接口接入管控功能要求如下：

a) 應支持所有協(xié)議的通信轉發(fā)；

b) 在所有轉發(fā)協(xié)議中，應支持對 SSH、 Telnet、 SFTP、 FTP、 SCP 協(xié)議進行透明代理，識別高風險操作指令和傳輸文件；

c) 在所有轉發(fā)協(xié)議中，應支持對 Q/GDW 273、 DL/T 634.5104、 DL/T 860、 Modbus 協(xié)議進行透明代理，識別控制類指令。透明代理流程如圖 2 所示。

6.2.3 串行接口接入管控串行接口接入管控功能要求如下：

a) 應支持 RS232 串行接口通信報文的轉發(fā)；

b) 應支持字符指令的解析，識別高風險操作指令；

c) 在所用轉發(fā)協(xié)議中，應支持對 DL/T 634.5101 和 Modbus 協(xié)議轉發(fā)，識別控制類指令。

6.2.4 USB 接口接入管控

應支持 USB 映射功能，便攜式運維網(wǎng)關通過 USB 線串接在移動存儲介質與被運維對象之間，實現(xiàn)對移動存儲介質的安全讀寫操作。USB 文件傳輸流程如圖 3 所示。

6.2.5 KVM 接入管控
應支持通過視頻線、 USB 線連接被運維對象，獲取并顯示被運維對象桌面信息，通過便攜式運維網(wǎng)關觸摸屏或外接顯示器、鍵鼠等外設實現(xiàn)圖形化、命令行等運維操作。KVM 接入方式如圖 4 所示。

審核編輯：黃飛