NB_T11204-2023变电站二次设备调试信息安全防护装置技术规范.docx
《NB_T11204-2023变电站二次设备调试信息安全防护装置技术规范.docx》由会员分享,可在线阅读,更多相关《NB_T11204-2023变电站二次设备调试信息安全防护装置技术规范.docx(20页珍藏版)》请在课桌文档上搜索。
1、ICS 29.240.01CCS K 45NB中华人民共和国能源行业标准NB/T112042023变电站二次设备调试信息安全防护装置技术规范Technicalspecificationsforcommissioninginformationsecurityprotectiondeviceofsecondaryequipmentinsubstation2023-05-26发布202371-26实施国家能源局发布前言II引言III1范围12规范性引用文件13 术语和定义14 缩略语25总体架构26功能要求31.1 权限管理功能31.2 身份鉴别功能41.3 行为管控功能41.4 资产管理功能51.
2、5 行为记录功能51.6 审计管理功能67 性能要求77.1 基本要求77.2 环境要求77.3 电源要求87.4 绝缘性能要求87.5 电磁兼容要求97.6 机械性能要求118 安全要求128.1 基本要求128.2 检验方法139 检验规则149.1 检验分类149.2 出厂试验149.3 型式试验14附录A(资料性)变电站二次设备调试信息安全防护流程图16中图电力出服mkcRE扫码免费兑换电子书本文件按照GB/T1.1-2020标准化工作导则第1部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国电器工业协会提
3、出。本文件由全国量度继电器和保护设备标准化技术委员会(SAC/TC154)归口。本文件起草单位:国网河南省电力公司电力科学研究院、许昌开普电气研究院有限公司、珠海开普检测技术有限公司、国网江苏省电力有限公司、国网辽宁省电力有限公司电力科学研究院、国网甘肃省电力公司电力科学研究院、国网黑龙江省电力有限公司电力科学研究院、国网安徽省电力有限公司、国网湖南省电力有限公司、中国电力科学研究院有限公司、北京四方继保工程技术有限公司、许继电气股份有限公司、国电南京自动化股份有限公司、南京南瑞继保电气有限公司、长园深瑞继保自动化有限公司、积成电子股份有限公司、中国南方电网有限责任公司超高压输电公司梧州局、中
4、国南方电网有限责任公司超高压输电公司贵阳局、国网安徽省电力有限公司电力科学研究院、深圳中广核工程设计有限公司、国网河北省电力有限公司电力科学研究院、国网湖北省电力有限公司电力科学研究院、国网雄安新区供电公司、国网新疆电力有限公司电力科学研究院、国网宁夏电力有限公司电力科学研究院、许昌开普检测研究院股份有限公司、国网电力科学研究院有限公司、河南能睿科技有限公司、ABB(中国)有限公司、西门子电力自动化有限公司、武汉凯默电气有限公司、珠海优特电力科技股份有限公司、国网浙江省电力有限公司金华供电公司调控中心、许昌豫盛昌电气股份有限公司、章和技术(广州)有限公司、河南九域恩湃电力技术有限公司。本文件主
5、要起草人:韩伟、耿要强、陈昊、于同伟、杨勇、董尔佳、叶远波、李勃、孟江雯、许艾、窦中山、葛雅川、唐大圆、徐浩、张凯、韦鑫、周培、何开元、顾云青、姚睿、栗会峰、刘畅、刘SS、舒斐、赫嘉楠、郭志民、黄岩、郑珞琳、王书州、侯攀科、王继堂、孙弘毅、杨冬茜、杜浩良、胡明强、梁嘉威、蔡得雨。本文件为首次发布。为保障电力系统变电站二次设备调试过程中的信息安全,规范二次设备调试信息安全防护装置(防护装置)的应用,统一防护装置的总体架构、功能要求、性能要求、安全要求和检验规则等要求,实现不同制造商防护装置产品的标准化,提高二次设备调试的安全性,特制定本文件。本文件涵盖了移动终端和机架网关两种防护装置产品模式。变
6、电站二次设备调试信息安全防护装置技术规范1范围本文件规定了变电站二次设备调试信息安全防护装置(以下简称防护装置)的总体架构、功能要求、性能要求、安全要求以及检验规则。本文件适用于变电站二次设备调试信息安全防护装置的设计、安装、调试和验收。发电厂等其他厂站防护装置可参照执行。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,GB/T22239信息安全技术GB/T 25069信息安全技术网络安全等级保护基本要求 术语仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T2900.1电工术语J恚本
7、术语GB/T2900.49电工术语电力系统保护GB/T17626.2电磁兼容试验和测量技术静电放电抗扰度试验GB/T17626.3电磁兼容试验和测量技术射频电磁场辐射抗扰度试验GB/T17626.4电磁兼容试验和测量技术电快速瞬变脉冲群抗扰度试验GB/T17626.5电磁兼容试验和测量技术浪涌(冲击)抗扰度试验GB/T17626.6电磁兼容试验和测量技术射频场感应的传导骚扰抗扰度GB/T17626.8电磁兼容试验和测量技术工频磁场抗扰度试验GB/T17626.9电磁兼容试验和测量技术脉冲磁场抗扰度试验GB/T17626.10电磁兼容试验和测量技术阻尼振荡磁场抗扰度试验GB/T17626.29抗
8、扰度试验电磁兼容试验和测量技术直流电源输入端口电压暂降、短时中断和电压变化的GB/T18220信息技术手持式信息处理设备通用规范GB/T37941信息安全技术工业控制系统网络审计产品安全技术要求GB/T40435变电站数据通信网关机技术规范NB/T10680继电保护和安全自动装置信息安全技术导则3术语和定义GBT2900.KGB/T2900.49GBT22239.GBT25069.GB/T37941、NB/T10680界定的以及下列术语和定义适用于本文件。3.1二次设备调试工具commissioningtoolofsecondaryequipment在变电站二次设备检修、配置升级等工作中,与二
9、次设备通信,进行数据查阅、数据修改等信息交互的工具,通常包括专用调试电脑、调试软件等。简称调试工具。3.2调试信息安全防护装置commissioninginformationsecurityprotectiondevice用于调试工具与变电站内二次设备发生信息交互时,对调试工具和工作人员进行信息安全防护的装置,其作用是确保调试工具安全接入二次设备,防止调试工具向二次设备传输可疑数据、非授权用户访问二次设备、调试工具攻击二次设备、二次设备非法外联等事件发生,保障变电站信息安全。简称防护装置。3.3权限管理authorizationmanagement根据系统设置的安全规则或者安全策略,用户可以访
10、问而且只能访问自己被授权的资源。3.4身份鉴别authentication专用于鉴别传输、消息或发信方有效性的安全措施,或者对接收特定信息类别的个人授权进行验证的手段。3.5访问控制accesscontrol保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段。3.6审计audit对信息系统的各种事件及行为实行监测、信息采集、分析,并针对特定事件及行为采取相应的动作。4缩略语下列缩略语适用于本文件。FTP:文件传输协议(filetransferprotocol)IP:网际互连协议(internetprotocol)MAC:介质访问控制层(mediaaccesscontrol)SQL:
11、结构化查询语言(StnJCtUredquerylanguage)TCP:传输控制协议(transmissioncontrolprotocol)UDP:用户数据报协议(USerdatagramprotocol)URL:统一资源定位符(uniformresourcelocator)5总体架构5.1 防护装置的防护对象包括变电站的继电保护装置、合并单元、智能终端、测控装置、合并单元智能终端一体装置、保护测控一体装置、交换机、故障录波装置、网络分析仪、电能表及电能量采集装置等二次设备。5.2 防护装置用于变电站二次设备调试运维,通过代理的方式实现调试工具与二次设备之间的通信,对调试工具、调试人员、传输
12、数据等实施权限管理、身份鉴别、行为管控、行为记录等安全防护措施。5.3 调试人员通过调试工具登录至防护装置,调试工具与防护装置之间建立安全认证通道,实现调试人员的身份鉴别和访问控制。5.4 调试人员通过防护装置实现对二次设备的访问,防护装置与二次设备之间建立协议代理通道,实现传输文件授权、行为管控和操作记录,基于白名单机制实现对授权文件的传输功能,并对可疑文件进行阻断和告警。5.5防护装置的部署模式分为移动终端模式和机架网关模式。a)移动终端模式:防护装置采用移动终端模式,具备权限管理、身份鉴别、行为管控、资产管理、审计管理、行为记录等功能,示意图见图1。图1移动终端模式示意图b)机架网关模式
13、:防护装置采用机架网关模式,安装在屏柜中,接入专用网络,具备权限管理、身份鉴别、行为管控、资产管理、审计管理、行为记录等功能,示意图见图2。专用网络图2机架网关模式示意图5.6变电站二次设备调试信息安全防护流程图见附录A。6功能要求6.1 权限管理功能6.1.1 账户和权限管理6. 1.1.1应支持对防护装置管理账户进行角色划分,至少包含管理员、审计员、操作员等角色。6.1. 1.2管理员应具备配置管理权限,至少包含配置用户、资产管理、账户权限、系统全局参数等内容。6.1.1.3审计员应具备审计权限,至少包含查看操作记录、事件记录结果等内容。6.1.1.4操作员应具备操作权限,至少包含访问授权
14、、调试授权等功能。6.1.2访问授权6.1.2.1应支持操作员对接入二次设备的调试人员权限、传输的数据开展管理,仅允许授权人员使用,仅允许授权的数据传输。6.1.2.2应支持遵循最小权限原则授予访问二次设备的用户权限。6.1.3调试授权6.1.3.1应支持操作员新建、查看或关闭调试任务,内容包括工作起止时间、调试人员、调试工具、调试对象、操作权限。6.1.3.2调试任务创建后不允许变更任务内容,仅可以调整任务结束时间。6.1.3.3应支持操作员分配调试人员账号和密码。6.1.3.4应支持批量授权二次设备信息。6.2身份鉴别功能6.2.1 管理账户认证6.2.1.1 应具备管理账户自主修改自身账
15、户密码功能,且首次登录强制修改缺省密码.6. 2.1.2应支持配置密码复杂度策略,密码长度可配置,但不应少于8位,字符类型应至少包含数字、大写字母、小写字母和特殊字符。6.2. 1.3宜支持配置密码过期策略,密码有效期不宜超过3个月,在管理账户密码过期前进行提示,过期后登录时强制要求修改,且新密码不能与原密码相同。6.2.1.4应支持对管理账户密码进行初始化和重置,密码应为随机生成且符合复杂度策略的强口令。6.2.1.5宜采用口令、密码、生物特征识别技术等两种或以上组合的鉴别技术对用户进行身份鉴别,且至少其中一种鉴别技术应使用密码技术来实现。6.2.2调试人员身份认证6.2.2.1应能对访问二
16、次设备的调试人员进行身份鉴别,且保证执行调试任务的调试人员身份的唯一性。6.2.2.2应支持配置密码复杂度策略,密码长度可配置,但不应少于8位,字符类型应至少包含数字、字母和特殊字符。6.2.2.3宜采用口令、密码、生物特征识别技术等两种或以上组合的鉴别技术对用户进行身份鉴别,且至少其中一种鉴别技术应使用密码技术来实现。6.2.2.4应支持对调试人员身份的有效时间段进行验证,超出设定时间应自动断开连接。6.2.2.5应具备连续登录失败处理机制,对24h内连续登录失败次数达到设定值(宜在10次以内)的用户账号进行锁定,锁定时间不宜低于20min或由授权的管理员解锁。6.3行为管控功能6.3.1访
17、问控制6. 3.1.1应能对通信协议进行管控,仅允许使用授权协议与二次设备建立通信。6.3. 1.2应对通信的源地址、目的地址、源端口、目的端口和协议等内容进行检查,以允许/拒绝数据通过。6.3.1.3应能对非授权用户连接到二次设备的行为进行检查和限制。6.3.1.4应能在发现可疑数据传输时告警并中断与二次设备之间的连接。6.3.1.5应能防止二次设备通过防护装置与其他数据网或外部信息网非法连接。6.3.1.6应保证与二次设备正常通信过程中数据的完整性。6.3.2协议代理6.3.2.1基于网络传输模式,应支持代理基于TCP、UDP的上层应用协议访问二次设备。6.3.2.2基于串口传输模式,应支
18、持串口协议访问二次设备。6.3.3入侵防范6.3.3.1应满足NB/T10680的要求,对访问二次设备的调试工具开展入侵防范。6.3.3.2应安装有防恶意代码软件或配置具有相应功能的软件,同时应支持通过在线方式定期进行升级和更新恶意代码库。6.3.3.3宜遵循最小安装的原则,仅安装与二次设备调试安全管控工作相关的应用程序。6.3.3.4在发现传输数据中包含恶意代码时,应中断与二次设备之间的连接并告警。6.3.3.5应能检测网络攻击行为,在检测到攻击行为时,应中断与二次设备之间的连接并告警,同时记录攻击来源、攻击行为、攻击时间等信息。6.3.4文件传输6.3.4.1应支持调试工具仅能上传授权的文
19、件至二次设备。6.3.4.2应支持二次设备的文件下载至调试工具。6.3.4.3应支持对拷入防护装置的文件自动进行恶意代码查杀,文件经查杀确认无告警后,方可下载至二次设备。6.3.4.4应支持对通过防护装置传入二次设备的疑似恶意代码文件进行拦截操作,支持自动阻断、告警,并允许手动添加信任。6.3.5异常告警应配有硬、软件监视功能,自动监视硬、软件工作状态。对发现的异常、故障等事件,自动告警并记录发现的异常故障信息。6.4资产管理功能6.4.1二次设备资产管理6.4.1.1应支持资产添加、变更、删除、查询、导入、备份等功能。6.4.1.2资产添加应至少包括生产厂家、设备名称、设备型号、IP、子网掩
20、码、MAC、服务端口、传输协议等关键信息。6.4.1.3资产查询应支持厂家名称、设备名称、设备型号、IP、服务端口等关键字符筛选,且能重置查询。6. 4.2调试人员资产管理6.4. 2.1应支持资产添加、变更、删除、查询、导入、备份等功能。6.4.2.2资产添加应至少包括人员姓名、身份1D、联系方式、单位名称等关键信息。6.4.2.3资产查询应支持人员姓名、联系方式、单位名称等关键字符筛选,且能重置查询。6.4.3调试工具资产管理6.4.3.1应支持资产添加、变更、删除、查询、导入、备份等功能。6.4.3.2资产添加应至少包括电脑品牌、型号、主机名、以太网MAC、保管人员等关键信息。6.4.3
21、.3资产查询应支持电脑品牌、使用人员等关键字符筛选,且能重置查询。6.4 .3.4应支持调试工具中调试软件的资产管理,如软件厂家、版本等关键信息。6.5 行为记录功能6.5.1 认证登录记录应支持对所有人员登录防护装置的行为进行记录,记录应包括登录账号、登录地址、登录时间、登出时间(包括主动登出和强制登出),以及登录状态等信息。6.5.2 文件传输记录6.5.2.2文件传输记录应至少包括访问账号、文件名称、文件大小、传输时间、源地址、目标地址、上传/下载标识、调试工具、被访问二次设备、传输结果等相关信息。6.5.3授权行为记录6.5.3.1应支持管理账户创建变更、权限分配等授权行为记录。6.5
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- NB_T11204 2023 变电站 二次 设备 调试 信息 安全 防护 装置 技术规范
链接地址:https://www.desk33.com/p-1213958.html