解決方案：

安全區間橫向網絡邊界安全防護

控制區與非控制區之(zhī)間采用防火牆進行邏輯隔離，對傳輸的(de)地(dì / de)址、協議、端口和(hé / huò)數據流的(de)方向進行控制。控制區與非控制區之(zhī)間的(de)訪問控制策略原則上(shàng)隻允許控制區系統與非控制區系統主動建立鏈接，禁止從非控制區反向訪問控制區系統，确有必要(yào / yāo)反向訪問時(shí)，必須對訪問的(de)地(dì / de)址、協議和(hé / huò)端口實施嚴格的(de)訪問控制。生産控制大(dà)區與管理信息大(dà)區的(de)網絡邊界處設置電力專用安全隔離裝置進行單向物理隔離，實現數據的(de)單向傳輸和(hé / huò)網絡邊界的(de)高強度隔離。

安全區間縱向網絡邊界安全防護

在(zài)控制區與調度數據網實時(shí)VPN的(de)網絡邊界設置電力專用縱向加密認證網關（裝置）；在(zài)非控制區與調度數據網實時(shí)VPN的(de)網絡邊界設置國(guó)産硬件防火牆，是(shì)電力監控系統安全防護的(de)另一(yī / yì ／yí)關鍵技術措施。

安全區内部綜合防護

1.在(zài)生産控制大(dà)區和(hé / huò)管理信息大(dà)區部署入侵檢測系統，對關鍵業務系統和(hé / huò)網絡邊界的(de)關鍵路徑信息進行實時(shí)檢測，實現安全事件的(de)可發現、可追蹤、可審計。

2.在(zài)控制大(dà)區和(hé / huò)管理大(dà)區分别部署運維安全審計系統（堡壘主機）全面禁止廠家通過互聯網遠程運維，通過運維管控平台集中運維數據網設備和(hé / huò)服務器設備，并對運維人(rén)實名認證，對運維過程能實時(shí)監控、實時(shí)阻斷、全面審計，實現控制大(dà)區IT資源（EMS服務器、網絡設備、安全設備）運維過程符合等保、二次安防的(de)要(yào / yāo)求。

3.在(zài)生産控制大(dà)區建立安全審計，全面收集、集中存儲生産控制大(dà)區各種業務系統、網絡設備、安全産品、機房設施等的(de)運行日志、操作系統日志、數據庫訪問日志，并具備動态監視、故障分析、安全審計、事件預警及告警功能。

防護目标：

• 防範入侵者的(de)惡意攻擊與破壞。

• 保護電力監控系統和(hé / huò)電力調度數據網絡的(de)可用性。

• 保護電力調度數據網絡和(hé / huò)系統服務的(de)連續性。

• 保護電力調度數據網絡重要(yào / yāo)信息在(zài)存儲和(hé / huò)傳輸過程中的(de)機密性、完整性。

• 實現應用系統和(hé / huò)設備接入電力監控系統的(de)身份認證，防止非法接入和(hé / huò)非授權訪問。

• 防止對調度數據網絡和(hé / huò)應用系統上(shàng)重要(yào / yāo)系統操作的(de)抵賴行爲(wéi / wèi)。

• 實現電力監控系統和(hé / huò)調度數據網安全事件可發現、可跟蹤及可審計。

• 實現電力監控系統和(hé / huò)調度數據網絡的(de)安全審計。

相關産品：

東方防火牆

安全隔離裝置

工業入侵檢測系統

日志審計系統

運維安全審計系統