關于電網調度自動化系統中WEB服務器若干問題的探討

蝸牛vps 大硬盤VPS 2020-07-19 244 0

  【摘要】根據目前的統計,WEB信息流量已經占到了整個Internet信息量的80%以上,而且,越來越多的應用開始采用基于Web服務器的B/S計算模式。WEB服務器的數據共享有兩種實現方式,即通過網絡透明通信的虛擬實現和通過實時數據庫影射的真實實現。那么,這兩者之間有何區別,又如何取舍呢?根據電力系統二次防護原則,在Web服務器和SCADA系統之間應設置“物理隔離設備”,這又涉及到WEB服務器與隔離設備的位置關系問題,究竟是WEB在隔離設備外側還是在隔離設備內側,孰優孰劣,本文將一一加以探討。本文依托DS3000調度自動化系統,結合電力系統二次防護的基礎知識,翻閱了大量的資料,對以上問題作出合理的解釋。
  【關鍵詞】WEB服務器;MIS網;物理隔離設備;電力系統二次防護
  1.WEB數據共享方式的探討
  DS3000調度自動化系統的一個基本功能就是數據可在縣供電公司整個企業網絡范圍內實現共享,Web服務器建立有其它信息處理系統所需的數據庫,包括各類歷史數據等,此數據庫稱為“實時數據共享中心”,它是調度自動化系統數據庫子集的映射,供其它信息處理系統查詢、調用。這里“實時數據”指的是由實時系統提供的數據,除了真正的實時數據外,還包括實時系統保存的采樣歷史數據、事件告警信息歷史數據等。
  實時數據共享中心有兩種實現方式,第一種:通過網絡透明通信的虛擬實現;第二種:通過實時數據庫影射的真實實現。
  虛擬實現時,Web服務器上沒有實際的數據庫,當其它信息處理系統(如MIS)請求SCADA實時數據時,由Web服務器上運行的一個網絡服務程序臨時向SCADA服務器請求實時數據,再把結果數據發給請求方。虛擬實現的不足之處很明顯,就是當同時有很多的數據請求時,Web服務器上的網絡服務程序通過排隊響應數據請求,一是一定程度上影響響應速度,二是SCADA服務器和Web服務器之間有可能有網絡通信瓶頸問題。
  真實實現時,Web服務器上有真實的SCADA實時數據庫,當其它信息處理系統(如MIS)請求SCADA實時數據時,由Web服務器上的網絡服務程序從本機的實時數據中取得數據,把結果數據發給請求方。而Web服務器和SCADA服務器之間必須運行一個完成數據庫影射得程序,實際上是一個數據轉發程序,它定期把SCADA實時數據轉發給Web服務器。這種實現方法,MIS系統的數據請求的多少,不影響SCADA服務器和Web服務器之間的網絡通信。即使MIS系統沒有數據請求,數據轉發程序還是要定時向SCADA服務器請求數據。
  因此,我們選擇了WEB數據共享通過實時數據庫影射來真實實現的方法。實現方式如圖1。
  2.物理隔離技術的探討
  網絡安全隔離設備采用軟、硬結合的安全措施,在硬件上使用雙機結構通過安全島裝置進行通信來實現物理上的隔離;在軟件上,采用綜合過濾、訪問控制、應用代理技術實現鏈路層、網絡層與應用層的隔離。在保證網絡透明性的同時,實現了對非法信息的隔離網絡安全隔離設備通過開關切換及數據緩沖設施來進行數據交換。開關的切換使得在任何時刻兩個網絡沒有直接連通,而數據流經網絡安全隔離設備時TCP/IP協議被終止,防止了利用協議進行攻擊,在某一時刻網絡安全隔離設備只能連接到一個網絡。
  網絡安全隔離設備作為代理從外網的網絡訪問包中抽取出數據然后通過數據緩沖設施轉入內網,完成數據中轉。在中轉過程中,網絡安全隔離設備會對抽取的數據報文的IP地址、MAC地址、端口號、連接方向實施過濾控制;由于網絡安全隔離設備采用了獨特的開關切換機制,因此,在進行檢查時網絡實際上處于斷開狀態,只有通過嚴格檢查的數據才有可能進入內網,即使黑客強行攻擊了網絡安全隔離設備,由于攻擊發生時內外網始終處于物理斷開狀態,黑客也無法進入內網。
  網絡安全隔離設備(如圖2所示)在實現物理隔斷的同時允許可信網絡和不可信網絡之間的數據和信息的安全交換。由于網絡安全隔離設備僅抽取合法數據交換進內網,因此,內網不會受到網絡層的攻擊,這就在物理隔離的同時實現了數據的安全交換。
  目前市場上的物理隔離設備眾多,經過反復比較,我們決定國電南自電網事業部DS3000調度自動化系統的MIS網web瀏覽中使用的StoneWall2000(正向型)物理隔離設備。該系列產品可以適用于計算機網絡與網絡之間,主機與主機之間,主機與網絡之間的物理隔離,是應用了安全島技術的具有物理隔離能力的網絡安全產品。在硬件上,使用了嵌入式計算機結構,通過“單向二極管式”安全裝置來實現通信上的物理隔離。在軟件上,采用綜合過慮、訪問控制、應用代理等技術在保證網絡透明的基礎上實現對非法信息的隔離。
  3.WEB與物理隔離設備位置關系的探討
  中華人民共和國國家經濟貿易委員會第30號令《電網和電廠計算機監控系統及調度數據網絡安全防護規定》指出,電力系統安全防護的基本原則是:電力系統中,安全等級較高的系統不受安全等級較低系統的影響。電力監控系統的安全等級高于電力管理信息系統及辦公自動化系統,各電力監控系統必須具備可靠性高的自身安全防護設施,不得與安全等級低的系統直接相聯。
  電力二次系統總體分為兩大邏輯安全區:即生產控制區和生產管理區。生產控制區又分為實時控制區(I區)和非控制生產區(II區),生產管理區又分為調度生產管理區(III區)和管理信息區(IV區)。調度系統主要負責安全區I、II、III的安全防護,重點是I區。SCADA系統屬于I區,而MIS系統屬于IV區。
  SCADA系統(I區)的實時數據雖然可在整個供電局網絡范圍內共享,但是MIS系統(IV區)不能直接訪問調度自動化系統的數據庫。為了能從結構及數據流向上完全隔離安全等級較低的系統與調度自動化SCADA系統之間的聯系,在Web服務器和SCADA系統(實時系統)之間應設置“防病毒物理隔離設備”,以實現調度自動化系統與其他系統的有效隔離,保證系統的網絡安全,防病毒物理隔離設備應內置防火墻功能,防止外部非法侵入。

  DS3000調度自動化系統是一個實時系統,要求具有極高的安全性與可靠性。系統采用WEB服務器實現實時系統與靜態管理系統的隔離,所有向MIS系統、GIS系統等發布的動態數據等服務,均通過WEB服務器提供的第三方開發中間件實現,管理系統不允許直接訪問實時監控系統。在第三方服務器上安裝防病毒軟件與防火墻,以防止黑客與病毒的襲擊。采用權限控制策略,控制系統的維護修改權限。
  StoneWall2000物理隔離設備目前通用的連接方式主要有兩種,第一種:將Web服務器放在隔離設備和外網交換機之間;第二種:將Web服務器放在隔離設備和內網交換機之間。
  第一種:WEB服務器放在隔離設備和外網交換機之間。
  如圖3所示,這種連接方法是將Web服務器從內網中分離出來,實際上Web服務器已經成為外網側的一臺主機。它的IP地址與內網的IP地址處在不同的網段,這樣更加保證了內網側的安全性。網絡安全隔離設備虛擬兩個路由器主機,添加相應的路由規則。這樣內網主機發出ARP請求時,通過路由規則將內網主機要發送的報文發送到網絡安全隔離設備上,檢查允許通過后,就將報文輪渡到外網側,實現了內網到Web服務器的數據交換。然后由Web服務器向外網發布。
  這種連接方法主要有以下幾個優點,一、Web服務器已經被分離出來,外網在訪問Web服務器時與內網已經毫無關系,實現了內網與外網的完全分離,內外網之間完全沒有數據請求和交換,就電力系統的安全性而言,這種連接方式是最安全的。二、要實現數據交換必須添加內網主機與Web服務器之間的通信規則,內網要與Web服務器實現數據交換的主機數量是有限的,所以添加規則是比較容易的。三、由于內網主機數量少,隔離設備也比較容易管理,包括以后的維護。但由于Web服務器已經放到了外網側,它的安全性就受到了威脅。還有就是這種連接方式對內網側的運行程序有較高的要求,它必須適應隔離設備的要求才能實現內網側數據到Web服務器的交換。這是這種連接方式的缺點。
  第二種:WEB服務器放在隔離設備和內網交換機之間。
  這種連接方式時是將網絡安全隔離設備放在內網和外網之間,Web服務器是內網側的一臺主機,這種連接方式也可以用路由規則來實現,但是路由的對象發生了變化,不是Web服務器與內網主機,而是Web服務器與外網想要訪問Web服務器的主機之間的路由。
  如圖4所示,由于這種連接方式是把 Web服務器放在內網側,對內網側的運行程序要求就比較低。相對于上一種連接方式,這種連接方式看起來是內外網完全隔離的,包括Web服務器都受到了應有的保護,起到了內網安全管理的目的,但由于Web服務器放在內網,當外網有主機訪問Web服務器時,實際上已經與內網有了數據請求和交換,留下了安全隱患。并且對于外網側的主機來說,如果要訪問Web服務器,必須通過網絡安全隔離設備,這樣就要添加相應的通信規則,在外網主機數量相對比較大的情況下,規則的添加是比較麻煩的,并且不易于維護和管理。
  經過反復比較,我們認為還是第一種方式比較安全,因此DS3000調度自動化系統采用的是第一種連接方式,接線圖如圖5。
  隔離設備的Public口用直通線接Web服務器,Private口用直連線接內網交換機。Web服務器的一塊網卡接外網(MIS網)交換機,IP地址與外網設在同一網段,另一塊接隔離設備的網卡隨便指定一個IP地址,用作路由之用。
  4.結語
  經過一系列的隔離措施,我們實現了內網系統對外網web服務器的正向數據發布,一旦web服務器被外網病毒感染導致癱瘓,內網系統將不會受到任何影響,保證了電力調度自動化系統的安全穩定運行。
  二次系統安全防護工作是一個長期的“攻與防”的斗爭過程。我們要加強對已投運系統進行定期的安全風險分析,及時發現關鍵系統的安全漏洞并進行安全加固;要不斷完善安全檢測手段、快速響應機制、和防護措施,將電力二次系統安全防護作為電力安全生產的重要內容,逐步提高全調度系統的安全水平,為電力系統的安全穩定可靠運行提供強有力的保障。

關于電網調度自動化系統中WEB服務器若干問題的探討  第1張

評論

日本韩欧美一级A片在线观看