電力監控系統便攜式運維網關技術細則

1 范圍

本文件規定了電力監控系統便攜式運維網關的功能要求、安全要求以及技術要求。本文件適用于電力監控系統便攜式運維網關的設計、研制、檢測和驗收。

2 規范性引用文件

下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

3 術語和定義

下列術語和定義適用于本文件。

3.1 電力監控系統 Electric power system supervision and control 用于監視和控制電力生產及供應過程的、基于計算機及網絡技術的業務系統及智能設備，以及作為基礎支撐的通信及數據網絡等，包括電力數據采集與監控系統（ SCADA）、能量管理系統、變電站自動化系統、換流站計算機監控系統、發電廠計算機監控系統、配電自動化系統、微機繼電保護和安全自動裝置、廣域相量測量系統、負荷控制系統、水調自動化系統和水電梯級調度自動化系統、電能量計量系統、實時電力市場的輔助控制系統、電力調度數據網絡等。[GB/T 36572-2018 定義 3.1] 3.2

運維終端 Operation and maintenance terminal 用于系統運維調試的計算機，通常為一臺筆記本電腦。

3.3

便攜式運維網關 Portable operation and maintenance gateway

一種運維安全邊界設備，通過串接在運維終端與被運維對象之間，對運維操作進行實時監視、風險管控和工作記錄。

3.4

一體式便攜式運維網關 Integrated portable operation and maintenance gateway

一種將便攜式運維網關與運維終端硬件結合，并且運維終端與運維網關硬件主板完全獨立的一種特殊便攜式運維網關。

3.5

工作負責人 Person in charge of the work

負責檢查工作票所列安全措施是否正確完備，嚴格執行工作票所列安全措施，督促、監督工作班成員規范開展運維工作的人員。

3.6

工作班成員 Team members

負責現場具體運維操作的人員。

3.7

透明代理 Transparent proxy

運維人員無須知道代理存在，運維時在運維終端直接輸入被運維對象IP進行運維，由便攜式運維網關自動完成代理過程的一種代理方式。

4 縮略語

ARP：地址解析協議（ Address Resolution Protocol）

DoS：拒絕服務（ Denial of Service）

FTP：文件傳輸協議（ File Transfer Protocol） HDMI：高清多媒體接口（ High Definition Multimedia Interface）

ICMP：互聯網控制報文協議（ Internet Control Message Protocol）

IP：互聯網協議（ Internet Protocol）

KVM：鍵盤、顯示器、鼠標（ Keyboard Video Mouse）

RS232：串行數據接口標準（ Recommended Standard 232）

SCP：安全復制協議（ Secure Copy Protocol）

SFTP：安全文件傳輸協議（ Secret File Transfer Protocol）

SSH：安全外殼協議（ Secure Shell）

SYN：同步序列編號（ Synchronize Sequence Numbers）

TCP：傳輸控制協議（ Transmission Control Protocol）

TELNET：遠程登錄服務（ Telecommunications Network）

USB：通用串行總線（ Universal Serial Bus）

5 概述

運維工作開始前， 根據被運維對象接口類型，采用不同的線纜（網線、 RS232 串口線、 USB 線、 HDMI視頻線）將便攜式運維網關串接在運維終端與被運維對象之間。通過賬號口令、生物特征等方式在便攜式運維網關上完成工作負責人的身份認證， 通過 USB Key 方式完成運維終端的設備認證。運維工作過程中，便攜式運維網關對通信報文進行實時解析，對可能存在的風險行為進行管控，包括違規外聯、高風險指令、攻擊行為、惡意代碼等。同時，便攜式運維網關對運維工作進行全過程記錄，包括操作畫面圖像、傳輸文件、通信報文、風險管控及接口使用等。運維結束后，可將運維及審計記錄上傳至第三方審計日志管理平臺。具體使用流程如圖 1 所示。

圖1 便攜式運維網關運維操作流程

對于一體式便攜式運維網關，內置的運維終端應集成USB Key功能實現與運維網關部分的設備認證。運維人員通過內置的運維終端開展運維操作，運維網關部分實現對風險行為的管控和運維工作的記錄。

6 功能要求
6.1 認證和權限

便攜式運維網關認證管理分為人員認證和設備認證兩類。其中，人員認證是指不同使用者登錄便攜式運維網關時的身份認證，設備認證是指便攜式運維網關與運維終端之間的認證。

6.1.1 認證管理

認證管理功能要求如下：

a) 應支持采用靜態口令、生物特征信息等方式實現人員認證，并支持兩種因子組合認證方式；

b) 應支持采用 USB Key 方式實現運維終端與便攜式運維網關之間的認證。

6.1.2 權限管理

便攜式運維網關賬號基于角色劃分權限，應分為系統管理員、工作負責人和審計管理員等不同角色權限，并遵循三權分立和最小權限原則。

6.1.2.1 系統管理員權限

系統管理員權限要求如下：

a) 應支持工作負責人賬號配置；

b) 應支持高風險指令配置、高危端口黑名單配置等；

c) 應支持軟件升級、惡意代碼庫升級等。

6.1.2.2 工作負責人權限

工作負責人權限要求如下：

a) 應支持運維操作管控，包含開啟、結束運維工作等；

b) 應支持對現場運維工作二次授權。

6.1.2.3 審計管理員權限

審計管理員權限要求如下：

a) 應支持查看運維工作記錄和設備日志；

b) 應支持導出運維工作記錄和設備日志。

6.2 接入管控

現場運維工作時，便攜式運維網關串接在運維終端與被運維對象之間，通過 USB Key 對運維終端進行安全認證。根據不同場景，分為網絡接口、串行接口、 USB 接口和 KVM 等接入管控方式。

6.2.1 USB Key 功能

USB Key功能要求如下：

a) 應內置免安裝的運維終端管控軟件，具備違規外聯檢測、屏幕錄制等功能，并支持錄屏文件實時存放在便攜式運維網關中，當使用串行接口運維模式時，錄屏文件應通過網絡接口實時存放在便攜式運維網關中；

b) 應內置數字證書等認證信息，實現運維終端與便攜式運維網關之間的身份認證；

c) 應支持通過網絡方式實現與便攜式運維網關的心跳檢測，心跳間隔為 1 秒，心跳檢測連續失敗 5次時應支持斷開運維通信，心跳檢測恢復后，便攜式運維網關應支持自動恢復運維通信；

d) 拔除 USB Key 時， 應支持自動結束運維終端管控軟件；

e) 應適配 Windows 7、 Windows 10、 Linux 等操作系統。

6.2.2 網絡接口接入管控

網絡接口接入管控功能要求如下：

a) 應支持所有協議的通信轉發；

b) 在所有轉發協議中，應支持對 SSH、 Telnet、 SFTP、 FTP、 SCP 協議進行透明代理，識別高風險操作指令和傳輸文件；

c) 在所有轉發協議中，應支持對 Q/GDW 273、 DL/T 634.5104、 DL/T 860、 Modbus 協議進行透明代理，識別控制類指令。透明代理流程如圖 2 所示。

6.2.3 串行接口接入管控串行接口接入管控功能要求如下：

a) 應支持 RS232 串行接口通信報文的轉發；

b) 應支持字符指令的解析，識別高風險操作指令；

c) 在所用轉發協議中，應支持對 DL/T 634.5101 和 Modbus 協議轉發，識別控制類指令。

6.2.4 USB 接口接入管控

應支持 USB 映射功能，便攜式運維網關通過 USB 線串接在移動存儲介質與被運維對象之間，實現對移動存儲介質的安全讀寫操作。USB 文件傳輸流程如圖 3 所示。

6.2.5 KVM 接入管控
應支持通過視頻線、 USB 線連接被運維對象，獲取并顯示被運維對象桌面信息，通過便攜式運維網關觸摸屏或外接顯示器、鍵鼠等外設實現圖形化、命令行等運維操作。KVM 接入方式如圖 4 所示。

審核編輯：黃飛