厂站电力监控系统网络安全监测装置部署操作指南——聚焦国家安全系统监控服务要求

一、总则

1.1 目的
为规范厂站电力监控系统网络安全监测装置（以下简称“监测装置”）的部署实施，落实《网络安全法》《关键信息基础设施安全保护条例》及国家能源局《电力监控系统安全防护规定》等法律法规要求，提升电力监控系统网络安全监测预警与应急处置能力，支撑国家安全系统监控服务，制定本操作指南。

1.2 适用范围
本指南适用于发电厂、变电站（含开关站、换流站）等厂站电力监控系统内网络安全监测装置的选型、安装、配置、调试、验收及运维管理。

1.3 编制依据
- 《中华人民共和国网络安全法》
- 《关键信息基础设施安全保护条例》（国务院令第745号）
- 《电力监控系统安全防护规定》（国家发展改革委令2014年第14号）
- 《电力监控系统网络安全监测装置技术规范》
- 《国家网络安全事件应急预案》
- 电力行业网络安全等级保护相关标准

二、部署准备

2.1 现状调研
部署前需全面调研厂站电力监控系统结构，包括：

• 系统拓扑与网络分区（安全I区、安全II区、管理信息区等）；
• 关键业务系统清单（SCADA、EMS、AGC/AVC、继电保护、安控系统等）；
• 现有网络安全防护措施（防火墙、入侵检测、纵向加密认证装置等）；
• 通信协议与数据交互关系（IEC 60870-5-104、IEC 61850、DL/T 634.5104等）；
• 厂站供电、机房环境及机柜空间条件。

2.2 方案设计
依据调研结果编制监测装置部署方案，方案应包含：

• 部署位置与接入方式（旁路镜像、串接、代理等），确保不改变原有系统网络架构及业务连续性；
• 监测范围界定（资产发现、流量采集、日志采集、安全事件采集）；
• 与上级调度监控中心（或国家安全系统监控平台）的数据通信方案，采用加密通道上传告警与监测数据；
• IP地址规划、端口配置、时间同步（NTP/北斗）等；
• 冗余与可靠性设计（双机热备、掉电保护等）。

2.3 设备选型
监测装置应满足国家有关部门检测认证要求，优先选用通过电力行业专项检测、符合《电力监控系统网络安全监测装置技术规范》的产品，并具备以下基本功能：

• 网络流量采集与异常行为分析；
• 设备资产自动发现与指纹识别；
• 安全日志采集与关联分析；
• 恶意代码检测与告警；
• 违规外联、非法接入监测；
• 数据加密上传与本地安全存储。

三、部署实施

3.1 安装要求
- 机柜安装：监测装置应安装于电力监控系统专用机柜内，确保接地可靠、散热良好、供电冗余（双路UPS）；
- 网络接入：采用旁路镜像方式时，从核心交换机镜像端口获取流量；采用串接方式时，需具备bypass功能，严禁影响生产控制业务；
- 物理防护：机柜加锁，钥匙专人管理，防止未经授权的物理访问。

3.2 网络配置
- 管理地址配置：监测装置管理口应接入安全管理区，与业务网络逻辑隔离；
- 采集口配置：根据监测范围配置采集口IP及镜像策略，确保全流量或关键流量可见；
- 上传通道：与上级监控平台建立专用加密通道（如IPSec VPN或国密算法），仅允许必要端口和IP通信；
- 访问控制：严格限制可访问监测装置的身份与权限，启用强身份鉴别。

3.3 策略配置
- 资产基线：导入厂站电力监控系统资产清单，建立合法资产基线，开启非法接入告警；
- 行为基线：根据历史流量学习正常通信行为，建立异常行为检测模型；
- 告警规则：配置针对电力专用协议（如IEC 60870-5-104、IEC 61850）的异常指令、非法操作、越权访问等告警规则；
- 日志审计：开启本地日志记录，并上传至上级平台，日志保存期限不少于6个月；
- 时间同步：配置与北斗/GPS或厂站时钟源同步，确保事件时间戳准确。

3.4 系统联调
- 与厂站监控系统联调：验证监测装置接入后不影响SCADA、保护等业务正常运行；
- 与上级平台联调：验证告警、心跳、资产等数据能正确上传，且符合国家安全系统监控服务接口规范；
- 模拟攻击测试：通过模拟报文注入、异常流量、非法外联等，验证监测装置检测与告警有效性；
- 性能测试：在满负荷流量下验证装置处理能力与丢包率，确保满足技术规范要求。

四、验收与上线

4.1 验收条件
- 部署方案、配置清单、测试记录等文档齐全；
- 监测功能、告警功能、上传功能全部正常；
- 连续稳定运行72小时以上，无影响业务的故障；
- 通过网络安全等级保护测评及电力监控系统安全防护评估。

4.2 验收内容
- 功能验收：资产发现、流量监测、日志采集、告警上报、报表统计等；
- 性能验收：吞吐量、并发连接数、告警延迟等；
- 安全验收：设备自身安全加固、访问控制、数据加密、审计日志；
- 合规验收：满足国家及行业主管部门关于网络安全监测装置部署的政策要求。

4.3 上线运行
验收合格后，监测装置正式接入国家安全系统监控服务体系，纳入7×24小时安全监测，并按调度要求定期报送安全态势数据。

五、运维管理

5.1 日常运维
- 每日检查装置运行状态、告警日志、上传通道状态；
- 每周分析告警事件，及时处置真实威胁；
- 每月生成安全监测报告，上报厂站网络安全负责人及上级调度。

5.2 策略优化
- 根据告警误报和漏报情况，定期优化检测规则和基线；
- 在厂站系统改造、设备变更后，及时更新资产基线及监测策略。

5.3 应急响应
- 制定监测装置相关应急预案，明确告警确认、处置、上报流程；
- 发生重大网络安全事件时，按《国家网络安全事件应急预案》要求，第一时间向公安、能源监管及调度机构报告；
- 保留原始日志和取证数据，配合国家安全系统监控服务机构的调查溯源。

六、安全保密

• 监测装置涉及的厂站网络拓扑、IP地址、设备信息等属于敏感信息，须严格保密；
• 运维人员须签订保密协议，操作须通过堡垒机审计；
• 数据上传须采用国家密码管理部门认可的加密算法，严禁明文传输；
• 未经批准，不得将监测数据用于非国家安全监控服务用途。

七、附则
本指南由厂站网络安全主管部门负责解释，自发布之日起执行。各单位应结合实际情况制定实施细则，并定期开展演练与培训，持续提升电力监控系统网络安全监测能力，为国家安全系统监控服务提供坚实支撑。