电力监控系统便携式运维网关技术细则

电力监控系统便携式运维网关技术细则

1 范围

本文件规定了电力监控系统便携式运维网关的功能要求、安全要求以及技术要求。本文件适用于电力监控系统便携式运维网关的设计、研制、检测和验收。

2 规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

3 术语和定义

下列术语和定义适用于本文件。

3.1 电力监控系统 Electric power system supervision and control 用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等，包括电力数据采集与监控系统（ SCADA）、能量管理系统、变电站自动化系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装置、广域相量测量系统、负荷控制系统、水调自动化系统和水电梯级调度自动化系统、电能量计量系统、实时电力市场的辅助控制系统、电力调度数据网络等。[GB/T 36572-2018 定义 3.1] 3.2

运维终端 Operation and maintenance terminal 用于系统运维调试的计算机，通常为一台笔记本电脑。

3.3

便携式运维网关 Portable operation and maintenance gateway

一种运维安全边界设备，通过串接在运维终端与被运维对象之间，对运维操作进行实时监视、风险管控和工作记录。

3.4

一体式便携式运维网关 Integrated portable operation and maintenance gateway

一种将便携式运维网关与运维终端硬件结合，并且运维终端与运维网关硬件主板完全独立的一种特殊便携式运维网关。

3.5

工作负责人 Person in charge of the work

负责检查工作票所列安全措施是否正确完备，严格执行工作票所列安全措施，督促、监督工作班成员规范开展运维工作的人员。

3.6

工作班成员 Team members

负责现场具体运维操作的人员。

3.7

透明代理 Transparent proxy

运维人员无须知道代理存在，运维时在运维终端直接输入被运维对象IP进行运维，由便携式运维网关自动完成代理过程的一种代理方式。

4 缩略语

ARP：地址解析协议（ Address Resolution Protocol）

DoS：拒绝服务（ Denial of Service）

FTP：文件传输协议（ File Transfer Protocol） HDMI：高清多媒体接口（ High Definition Multimedia Interface）

ICMP：互联网控制报文协议（ Internet Control Message Protocol）

IP：互联网协议（ Internet Protocol） 

KVM：键盘、显示器、鼠标（ Keyboard Video Mouse）

RS232：串行数据接口标准（ Recommended Standard 232） 

SCP：安全复制协议（ Secure Copy Protocol） 

SFTP：安全文件传输协议（ Secret File Transfer Protocol） 

SSH：安全外壳协议（ Secure Shell） 

SYN：同步序列编号（ Synchronize Sequence Numbers） 

TCP：传输控制协议（ Transmission Control Protocol） 

TELNET：远程登录服务（ Telecommunications Network）

USB：通用串行总线（ Universal Serial Bus）

5 概述

运维工作开始前， 根据被运维对象接口类型，采用不同的线缆（网线、 RS232 串口线、 USB 线、 HDMI视频线）将便携式运维网关串接在运维终端与被运维对象之间。通过账号口令、生物特征等方式在便携式运维网关上完成工作负责人的身份认证， 通过 USB Key 方式完成运维终端的设备认证。运维工作过程中，便携式运维网关对通信报文进行实时解析，对可能存在的风险行为进行管控，包括违规外联、高风险指令、攻击行为、恶意代码等。同时，便携式运维网关对运维工作进行全过程记录，包括操作画面图像、传输文件、通信报文、风险管控及接口使用等。运维结束后，可将运维及审计记录上传至第三方审计日志管理平台。具体使用流程如图 1 所示。

图1 便携式运维网关运维操作流程

对于一体式便携式运维网关，内置的运维终端应集成USB Key功能实现与运维网关部分的设备认证。运维人员通过内置的运维终端开展运维操作，运维网关部分实现对风险行为的管控和运维工作的记录。

6 功能要求
6.1 认证和权限

便携式运维网关认证管理分为人员认证和设备认证两类。其中，人员认证是指不同使用者登录便携式运维网关时的身份认证，设备认证是指便携式运维网关与运维终端之间的认证。

6.1.1 认证管理

认证管理功能要求如下：

a) 应支持采用静态口令、生物特征信息等方式实现人员认证，并支持两种因子组合认证方式；

b) 应支持采用 USB Key 方式实现运维终端与便携式运维网关之间的认证。

6.1.2 权限管理

便携式运维网关账号基于角色划分权限，应分为系统管理员、工作负责人和审计管理员等不同角色权限，并遵循三权分立和最小权限原则。

6.1.2.1 系统管理员权限

系统管理员权限要求如下：

a) 应支持工作负责人账号配置；

b) 应支持高风险指令配置、高危端口黑名单配置等；

c) 应支持软件升级、恶意代码库升级等。

6.1.2.2 工作负责人权限

工作负责人权限要求如下：

a) 应支持运维操作管控，包含开启、结束运维工作等；

b) 应支持对现场运维工作二次授权。

6.1.2.3 审计管理员权限

审计管理员权限要求如下：

a) 应支持查看运维工作记录和设备日志；

b) 应支持导出运维工作记录和设备日志。

6.2 接入管控

现场运维工作时，便携式运维网关串接在运维终端与被运维对象之间，通过 USB Key 对运维终端进行安全认证。根据不同场景，分为网络接口、串行接口、 USB 接口和 KVM 等接入管控方式。

6.2.1 USB Key 功能

USB Key功能要求如下：

a) 应内置免安装的运维终端管控软件，具备违规外联检测、屏幕录制等功能，并支持录屏文件实时存放在便携式运维网关中，当使用串行接口运维模式时，录屏文件应通过网络接口实时存放在便携式运维网关中；

b) 应内置数字证书等认证信息，实现运维终端与便携式运维网关之间的身份认证；

c) 应支持通过网络方式实现与便携式运维网关的心跳检测，心跳间隔为 1 秒，心跳检测连续失败 5次时应支持断开运维通信，心跳检测恢复后，便携式运维网关应支持自动恢复运维通信；

d) 拔除 USB Key 时， 应支持自动结束运维终端管控软件；

e) 应适配 Windows 7、 Windows 10、 Linux 等操作系统。

6.2.2 网络接口接入管控

网络接口接入管控功能要求如下：

a) 应支持所有协议的通信转发；

b) 在所有转发协议中，应支持对 SSH、 Telnet、 SFTP、 FTP、 SCP 协议进行透明代理，识别高风险操作指令和传输文件；

c) 在所有转发协议中，应支持对 Q/GDW 273、 DL/T 634.5104、 DL/T 860、 Modbus 协议进行透明代理，识别控制类指令。透明代理流程如图 2 所示。

6.2.3 串行接口接入管控串行接口接入管控功能要求如下：

a) 应支持 RS232 串行接口通信报文的转发；

b) 应支持字符指令的解析，识别高风险操作指令；

c) 在所用转发协议中，应支持对 DL/T 634.5101 和 Modbus 协议转发，识别控制类指令。

6.2.4 USB 接口接入管控

应支持 USB 映射功能，便携式运维网关通过 USB 线串接在移动存储介质与被运维对象之间，实现对移动存储介质的安全读写操作。USB 文件传输流程如图 3 所示。

6.2.5 KVM 接入管控
应支持通过视频线、 USB 线连接被运维对象，获取并显示被运维对象桌面信息，通过便携式运维网关触摸屏或外接显示器、键鼠等外设实现图形化、命令行等运维操作。KVM 接入方式如图 4 所示。

审核编辑：黄飞