專利名稱：電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法。
背景技術(shù)：
當(dāng)前，全國(guó)電力系統(tǒng)正在按照《電力二次系統(tǒng)安全防護(hù)規(guī)定》(電監(jiān)會(huì)5 號(hào)令)確定的"安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證"十六字方針的 要求全面開(kāi)展的安全防護(hù)工作，對(duì)加大網(wǎng)絡(luò)與信息安全保障力度、保證正常 生產(chǎn)運(yùn)行信息暢通、保障電力二次系統(tǒng)安全具備重大的戰(zhàn)略意義。根據(jù)《電力二次安全防護(hù)方案》，其對(duì)公網(wǎng)通信的要求有如下方面 "110kV及以下的變電站安全防護(hù)"中提出的"遠(yuǎn)程通信網(wǎng)絡(luò)優(yōu)先使用電 力調(diào)度數(shù)據(jù)網(wǎng)，其次可以選用專線，再次可以選用公網(wǎng)，但是使用公網(wǎng)時(shí)通 信必須加密(可軟加密)"；"地縣調(diào)二次系統(tǒng)安全防護(hù)"中提出的"縣調(diào)自動(dòng)化、配網(wǎng)自動(dòng)化、負(fù)荷 管理系統(tǒng)與被控對(duì)象之間的數(shù)據(jù)通信可采用縣級(jí)專用數(shù)據(jù)網(wǎng)絡(luò)，不具備專網(wǎng) 條件的也可采用公用通信網(wǎng)絡(luò)，但必須采取數(shù)據(jù)加密等有效安全防護(hù)措施"；配電二次系統(tǒng)在"不具備專網(wǎng)條件的可采用公網(wǎng)數(shù)據(jù)通信網(wǎng)絡(luò)，如GPRS、 CD區(qū)、TD-SCDMA、 ADSL和無(wú)線局域網(wǎng)等，應(yīng)當(dāng)采取安全防護(hù)措施，并禁止與 調(diào)度數(shù)據(jù)網(wǎng)互聯(lián)"。使用公用數(shù)據(jù)網(wǎng)絡(luò)只能通過(guò)專用通信協(xié)議傳輸實(shí)時(shí)遙測(cè)、遙信、負(fù)荷的計(jì) 算數(shù)據(jù)等信息。因此，電力系統(tǒng)在某些特定的情況下即通信條件不具備時(shí)與主站可使用 公網(wǎng)通信，但是具體的防護(hù)技術(shù)措施并未明確。"公網(wǎng)"相對(duì)于"電力專用網(wǎng)"來(lái)講，其設(shè)計(jì)目標(biāo)是針對(duì)公眾用戶的不 同需求、靈活多樣的通信方式及通信成本的經(jīng)濟(jì)性等特點(diǎn)而定，因此，其首要目標(biāo)是盈利、其次才是可靠安全等目標(biāo)。由于"公網(wǎng)"包含衛(wèi)星、GPRS、 CDMA、固定電話等多種模式，現(xiàn)在盡以GPRS APN網(wǎng)絡(luò)為例簡(jiǎn)要分析其通信 方式和安全漏洞。GPRS是基于IP的骨干網(wǎng)，而目前許多黑客都對(duì)TCP/IP協(xié)議非常熟悉， 這就使得它更容易受到攻擊。GPRS可能面臨的攻擊如下 黑客是指試圖從外部IP網(wǎng)絡(luò)(如Internet)侵入到GPRS系統(tǒng)的人， 他們的目的是破壞GPRS網(wǎng)絡(luò)或者竊取信息以顯示他們的能力，也有的是為了出賣(mài)信息來(lái)賺錢(qián)。 管理人員應(yīng)確保GPRS的網(wǎng)絡(luò)管理人員對(duì)系統(tǒng)不造成任何危害，對(duì)他們 訪問(wèn)內(nèi)部網(wǎng)絡(luò)的權(quán)限要加以限制。*服務(wù)提供商大多數(shù)服務(wù)提供商都不是有意的破壞GPRS網(wǎng)絡(luò)，但是由于 疏于軟件更新或其它類(lèi)似的情況都會(huì)對(duì)網(wǎng)絡(luò)造成威脅。 合作者諸如ISP等。因?yàn)镮SP直接與GPRS骨干網(wǎng)相連，無(wú)疑就成為一 個(gè)開(kāi)放的互聯(lián)，他可能在無(wú)意之間泄露了一些信息或者向第三方提供了 物理層的鏈路。這都使得GPRS網(wǎng)存在著安全隱患。 其通信邏輯框圖如圖l所示，現(xiàn)行GPRS/CD區(qū)網(wǎng)絡(luò)的一個(gè)承擔(dān)電力通信網(wǎng) 關(guān)的是DTU(Data Terminal Unit),事實(shí)上，DTU相當(dāng)于串口數(shù)據(jù)流與TCP /IP、 SMS協(xié)議之間互相轉(zhuǎn)換的轉(zhuǎn)換器，其基本通信工作原理如下上行數(shù)據(jù)DTU收到用戶終端設(shè)備串口上的數(shù)據(jù)后封裝成IP包，通過(guò)
GPRS/CDMA/EDGE及Internet網(wǎng)絡(luò)平臺(tái)并發(fā)送到數(shù)據(jù)中心端；數(shù)據(jù)中心軟件收到數(shù)據(jù)包后進(jìn)行IP包的分用，將最原始的用戶終端設(shè)備發(fā)上來(lái)的數(shù)據(jù)呈現(xiàn)給用戶的過(guò)程。
下行數(shù)據(jù)數(shù)據(jù)中心軟件向當(dāng)前在線的DTU發(fā)送一個(gè)數(shù)據(jù)并封裝成IP包，通過(guò)Internet以及GPRS/CDMA/EDGE網(wǎng)絡(luò)平臺(tái)發(fā)送給DTU， DTU收到這個(gè)IP包后，進(jìn)行IP包的分用還原用戶數(shù)據(jù)并以串口數(shù)據(jù)流發(fā)送給用戶設(shè)備。
綜上所述，由于DTU的設(shè)計(jì)目標(biāo)是協(xié)議轉(zhuǎn)換與數(shù)據(jù)通信，從原理上來(lái)說(shuō)沒(méi)有采取網(wǎng)絡(luò)層上的身份認(rèn)證與傳輸加密技術(shù)，因此其安全性很低，尤其是在GPRS網(wǎng)絡(luò)傳輸時(shí)延較大(通常1500ms左右)，采用TCP通信往往會(huì)有重傳數(shù)據(jù)包產(chǎn)生，許多DTU為了減少數(shù)據(jù)流量降低通信成本，將TCP改為UDP，此時(shí)更易受到網(wǎng)絡(luò)上的黑客攻擊，安全性更為脆弱，因此以這種通信模式來(lái)實(shí)現(xiàn)電力調(diào)度的數(shù)據(jù)通信時(shí)存在較大的安全隱患，必須采取必要的安全防護(hù)措施。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問(wèn)題是克服現(xiàn)有技術(shù)的不足，提供一種電力系統(tǒng)在公網(wǎng)通信數(shù)據(jù)時(shí)的安全防護(hù)方法，使在公網(wǎng)進(jìn)行數(shù)據(jù)通信時(shí)達(dá)到安全可靠、不易遭受攻擊的目的，解除使用公網(wǎng)通信對(duì)電力系統(tǒng)造成的威脅。本發(fā)明通過(guò)網(wǎng)絡(luò)隔離、權(quán)限受控、身份認(rèn)證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全可靠的數(shù)據(jù)通信方法，.從而實(shí)現(xiàn)隨時(shí)隨地使用公網(wǎng)通信并保證信息安全的前提進(jìn)行數(shù)據(jù)通信。
本發(fā)明所采用的技術(shù)方案是本發(fā)明用于對(duì)電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)的通信數(shù)據(jù)進(jìn)行防護(hù)，所述電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)包括通信前置機(jī)、遠(yuǎn)程rtu、公共網(wǎng)絡(luò)、主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)、被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)i 、外網(wǎng)主機(jī)i，所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)ii 、外網(wǎng)主機(jī)ii,所述電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法的實(shí)現(xiàn)包括以下步驟
A:網(wǎng)絡(luò)隔離由于公網(wǎng)上存在安全風(fēng)險(xiǎn)，因此首先要以網(wǎng)絡(luò)隔離的措施來(lái)保護(hù)電力系統(tǒng)的內(nèi)部網(wǎng)絡(luò)，所述通信前置機(jī)與所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)的內(nèi)
網(wǎng)主機(jī)i以網(wǎng)絡(luò)或串口的方式連接，所述遠(yuǎn)程rtu與所述被叫遠(yuǎn)動(dòng)通信安全
網(wǎng)關(guān)的內(nèi)網(wǎng)主機(jī)n以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機(jī)i、所述外網(wǎng)主機(jī)n與所述公共網(wǎng)絡(luò)以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機(jī)i與外網(wǎng)主機(jī)i以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機(jī)n與外網(wǎng)主機(jī)n以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，從而達(dá)到既能保證應(yīng)用程序之間進(jìn)行雙向數(shù)據(jù)通信，又
能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離；
B:權(quán)限受控對(duì)網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、 IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報(bào)文過(guò)濾與訪問(wèn)控制；對(duì)應(yīng)用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，如104規(guī)約等，根據(jù)通訊連接建立的狀態(tài)以及應(yīng)用數(shù)據(jù)包的結(jié)構(gòu)，對(duì)帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過(guò)。C:身份認(rèn)證所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)主動(dòng)向所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)發(fā)出連接信號(hào)，采用電力調(diào)度專用數(shù)字證書(shū)進(jìn)行身份認(rèn)證，對(duì)所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)進(jìn)行身份鑒別，同時(shí)向所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)表明自己的身份，電力調(diào)度系統(tǒng)數(shù)字證書(shū)是為電力調(diào)度系統(tǒng)的用戶、關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)提供數(shù)字證書(shū)服務(wù)，通過(guò)數(shù)字證書(shū)實(shí)現(xiàn)高強(qiáng)度的身份認(rèn)證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計(jì)，確保電力實(shí)時(shí)閉環(huán)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，防止由此引起電力系統(tǒng)故障；公網(wǎng)安全防護(hù)采用電力調(diào)度系統(tǒng)數(shù)字證書(shū)系統(tǒng)頒發(fā)的設(shè)備證書(shū)進(jìn)行身份認(rèn)證，以驗(yàn)證身份是否可以信任，從而確定對(duì)方身份的真實(shí)性、數(shù)據(jù)通信保密性、完整性及不可否認(rèn)性，提高安全防護(hù)強(qiáng)度
D:傳輸加密采用IPSEC安全協(xié)議實(shí)現(xiàn)對(duì)通信數(shù)據(jù)進(jìn)行傳輸加密，在通信兩
端使用MD5/SHA1散列算法和數(shù)字簽名來(lái)保證數(shù)據(jù)的完整性，防止數(shù)據(jù)中途
被竊獲或篡改，考慮到經(jīng)濟(jì)成本等因素可以采用軟加密，加密算法可以采用
成熟通用的算法，例如DES、 3DES、 AES、 SHA、 RSA等，對(duì)于成本控制比較寬松的場(chǎng)合也可采用國(guó)密辦認(rèn)證的商業(yè)密碼算法。
目前，IPSec-VPN在VPN技術(shù)當(dāng)中占主導(dǎo)地位，IPSEC是在IETF (因特網(wǎng)
工程任務(wù)組)的組織下開(kāi)發(fā)的一種安全架構(gòu)，能夠符合國(guó)家關(guān)于加密通信的使用的法律，從IPSEC誕生到現(xiàn)在已經(jīng)有十多年，經(jīng)歷了長(zhǎng)時(shí)間的考驗(yàn)，被證明是最有效的網(wǎng)絡(luò)安全解決方案。
IPSec提供三種不同的形式來(lái)保護(hù)通過(guò)公有或私有IP網(wǎng)絡(luò)來(lái)傳送的私有數(shù)據(jù)
認(rèn)證可以確定所接受的數(shù)據(jù)與所發(fā)送的數(shù)據(jù)是一致的，同時(shí)可以確定申請(qǐng)發(fā)送者在實(shí)際上是真實(shí)發(fā)送者，而不是偽裝的。
數(shù)據(jù)完整保證數(shù)據(jù)從原發(fā)地到目的地的傳送過(guò)程中沒(méi)有任何不可檢測(cè)的
數(shù)據(jù)丟失與改變。
機(jī)密性使相應(yīng)的接收者能獲取發(fā)送的真正內(nèi)容，而無(wú)意獲取數(shù)據(jù)的接收者無(wú)法獲知數(shù)據(jù)的真正內(nèi)容。本發(fā)明的有益效果是電力調(diào)度自動(dòng)化系統(tǒng)具備生產(chǎn)實(shí)時(shí)不可間斷性和控制信息安全性及保密性的特點(diǎn)，本發(fā)明是根據(jù)電監(jiān)會(huì)電力二次系統(tǒng)安全防護(hù)總體方案要求，針對(duì)電力系統(tǒng)中在公網(wǎng)通信的數(shù)據(jù)安全及保密性而設(shè)計(jì)。
本發(fā)明中，通過(guò)所述網(wǎng)絡(luò)隔離以保證應(yīng)用程序之間進(jìn)行雙向數(shù)據(jù)通信，又能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離，大大提高通信的安全性；所述權(quán)限受控技術(shù)中，對(duì)通信數(shù)據(jù)包進(jìn)行過(guò)濾，防止網(wǎng)絡(luò)上非法的通信以及訪問(wèn)，對(duì)應(yīng)用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，根據(jù)通訊連接建立的狀態(tài)以及應(yīng)用數(shù)據(jù)包的結(jié)構(gòu)，對(duì)帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過(guò)；所述身份認(rèn)證技術(shù)通過(guò)數(shù)字證書(shū)實(shí)現(xiàn)高強(qiáng)度的身份認(rèn)證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計(jì)，確保通信的身份可靠性；所述傳輸加密技術(shù)通過(guò)對(duì)網(wǎng)絡(luò)上傳輸?shù)男畔⑦M(jìn)行加密和解密，確保傳遞數(shù)據(jù)信息的機(jī)密性以及完整性，防止數(shù)據(jù)在通信過(guò)程中被窺竊或篡改。
本發(fā)明通過(guò)所述網(wǎng)絡(luò)隔離、權(quán)限受控、身份認(rèn)證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全可靠的數(shù)據(jù)通信方法，從而實(shí)現(xiàn)隨時(shí)隨地使用公網(wǎng)通信并保證信息安全的前提進(jìn)行數(shù)據(jù)通信，并且無(wú)需對(duì)應(yīng)用環(huán)境或軟件做任何改動(dòng)，為電力系統(tǒng)提供一種通信方便、使用安全、不易遭受攻擊的公網(wǎng)通信方法，并對(duì)電力系統(tǒng)的傳輸協(xié)議進(jìn)行分析及權(quán)限控制，為電網(wǎng)調(diào)度自動(dòng)化公網(wǎng)通信提供安全可靠的傳輸通道，從而實(shí)現(xiàn)隨時(shí)隨地使用公網(wǎng)通信并保證信息安全的前提進(jìn)行數(shù)據(jù)通信。


圖1是本發(fā)明應(yīng)用前環(huán)境示意圖；圖2是本發(fā)明應(yīng)用后環(huán)境示意圖。
具體實(shí)施例方式
如圖2所示，本發(fā)明的應(yīng)用后環(huán)境為主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7與被叫
遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9通過(guò)撥號(hào)連接到公共網(wǎng)絡(luò)8，為通信前置機(jī)6與遠(yuǎn)程RTU10的通信建立加密的公網(wǎng)通信通道，數(shù)據(jù)從通信前置機(jī)6通過(guò)串口或網(wǎng)絡(luò)連接遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7，再通過(guò)遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7連接到公共網(wǎng)絡(luò)8，再?gòu)墓簿W(wǎng)絡(luò)8連接到遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9，再通過(guò)串口或網(wǎng)絡(luò)連接遠(yuǎn)程RTUIO，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)I 71、外網(wǎng)主機(jī)I 72，所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)I191、外網(wǎng)主機(jī)I192。本發(fā)明的實(shí)現(xiàn)包括以下步驟
A:網(wǎng)絡(luò)隔離所述通信前置機(jī)6與所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主機(jī)I 71以網(wǎng)絡(luò)或串口的方式連接，所述遠(yuǎn)程RTU10與所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機(jī)I191以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機(jī)I72、所述外網(wǎng)主機(jī)I192與所述公共網(wǎng)絡(luò)8以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機(jī)I 71與外網(wǎng)主機(jī)I 72以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機(jī)I191與外網(wǎng)主機(jī)1192以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，從而達(dá)到既能保證應(yīng)用程序之間進(jìn)行雙向數(shù)據(jù)通信，又能保證網(wǎng)絡(luò)層面公網(wǎng)與內(nèi)網(wǎng)之間的安全隔離；實(shí)現(xiàn)內(nèi)網(wǎng)與公網(wǎng)之間的非網(wǎng)絡(luò)方式的安全的數(shù)據(jù)交換，因此所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7及所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9采用雙主機(jī)非網(wǎng)絡(luò)安全互聯(lián)，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7及所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9結(jié)構(gòu)均包含內(nèi)網(wǎng)主機(jī)、安全互聯(lián)部分、外網(wǎng)主機(jī)，內(nèi)網(wǎng)主機(jī)與外網(wǎng)主機(jī)之間沒(méi)有網(wǎng)絡(luò)連接，以確保網(wǎng)絡(luò)層面的隔離。所述網(wǎng)絡(luò)隔離主要體現(xiàn)在以下幾個(gè)方面1. 可以阻斷網(wǎng)絡(luò)直接連接，兩個(gè)網(wǎng)絡(luò)不同時(shí)連接在設(shè)備上；
2. 可以阻斷網(wǎng)絡(luò)邏輯連接，即TCP/IP必須被剝離，將原始數(shù)據(jù)非網(wǎng)方式傳送；
3. 隔離傳輸機(jī)制具有不可編程性；
4. 任何數(shù)據(jù)都是通過(guò)兩級(jí)代理方式完成；
5. 具備對(duì)數(shù)據(jù)的審查功能，數(shù)據(jù)不具有攻擊及有害的特性；
B:權(quán)限受控對(duì)網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、 IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報(bào)文過(guò)濾與訪問(wèn)控制，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7及被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9具有完善的防火墻功能，可設(shè)置防火墻規(guī)則以
達(dá)到控制主機(jī)/網(wǎng)絡(luò)是否能訪問(wèn)服務(wù)器，防火墻規(guī)則可控的訪問(wèn)元素有源MAC地址、源/目的IP地址，源/目的端口，協(xié)議(TCP/UDP),通信方向(UDP)，在身份認(rèn)證未完成前，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7及被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9不接收也不轉(zhuǎn)發(fā)非身份認(rèn)證數(shù)據(jù)包，也不能向外發(fā)起TCP連接或UDP數(shù)據(jù)包；
對(duì)應(yīng)用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，安全網(wǎng)關(guān)對(duì)于特定的多種電力通信規(guī)約，遠(yuǎn)動(dòng)網(wǎng)關(guān)能夠跟蹤其應(yīng)用層的數(shù)據(jù)流，并作出分析，遠(yuǎn)動(dòng)網(wǎng)關(guān)串口隔離監(jiān)聽(tīng)一端先與客戶機(jī)(如RTU)建立普通的TCP連接，接收其應(yīng)用層數(shù)據(jù)，按照指定的電力規(guī)約進(jìn)行分析，確認(rèn)合法后通過(guò)隔離串口使用內(nèi)部通信協(xié)議轉(zhuǎn)發(fā)到另外一端，另一端再通過(guò)普通TCP連接發(fā)送到遠(yuǎn)程的遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)，根據(jù)通訊連接建立的狀態(tài)以及應(yīng)用數(shù)據(jù)包的結(jié)構(gòu)，對(duì)帶控制命令的通信數(shù)據(jù)包可以根據(jù)策略設(shè)置允許或限制其通過(guò)；
C:身份認(rèn)證所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7主動(dòng)向所述被叫遠(yuǎn)動(dòng)通信安
全網(wǎng)關(guān)9發(fā)出連接信號(hào)，采用電力調(diào)度專用數(shù)字證書(shū)進(jìn)行身份認(rèn)證，對(duì)所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9進(jìn)行身份鑒別，同時(shí)向所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān) 9表明自己的身份；電力調(diào)度系統(tǒng)數(shù)字證書(shū)系統(tǒng)是為電力調(diào)度系統(tǒng)的用戶、 關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)提供數(shù)字證書(shū)服務(wù)，通過(guò)數(shù)字證書(shū)實(shí)現(xiàn)高強(qiáng)度的身份認(rèn) 證、安全的數(shù)據(jù)傳輸、以及可靠的行為審計(jì)，確保電力實(shí)時(shí)閉環(huán)監(jiān)控系統(tǒng)及 調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全，防止由此引起電力系統(tǒng)故障。公網(wǎng)安全防護(hù)采用電力 調(diào)度系統(tǒng)數(shù)字證書(shū)系統(tǒng)頒發(fā)的設(shè)備證書(shū)進(jìn)行身份認(rèn)證，以驗(yàn)證身份是否可以 信任，從而確定對(duì)方身份的真實(shí)性、數(shù)據(jù)通信保密性、完整性及不可否認(rèn)性， 提高安全防護(hù)強(qiáng)度。
D:傳輸加密采川IPSEC安全協(xié)議實(shí)現(xiàn)對(duì)通信數(shù)據(jù)進(jìn)行傳輸加密，在通
信兩端使用MD5/SHA1散列算法和數(shù)字簽名來(lái)保證數(shù)據(jù)的完整性，防止數(shù)據(jù) 中途被竊獲或篡改。
其具體實(shí)現(xiàn)如下所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7通過(guò)和所述被叫遠(yuǎn)動(dòng)通
信安全網(wǎng)關(guān)9分別通過(guò)撥號(hào)連接所述公共網(wǎng)絡(luò)8并獲得的通信IP，所述主叫 遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7連接所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的IP，雙方出示自己 的電子證書(shū)，各自驗(yàn)證對(duì)方為自己所信任才能開(kāi)始發(fā)送數(shù)據(jù)。身份認(rèn)證完畢 后，雙方建立VPN隧道，用于雙方數(shù)據(jù)的加密通信。
數(shù)據(jù)從所述通信前置機(jī)6發(fā)送至所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主 機(jī)I 71，所述主叫遠(yuǎn)動(dòng)皿信安全網(wǎng)關(guān)7的內(nèi)網(wǎng)主機(jī)I 71對(duì)接收到的數(shù)據(jù)進(jìn)行 應(yīng)用層電力系統(tǒng)通信協(xié)議分析，然后通過(guò)高速串口發(fā)送至所述主叫遠(yuǎn)動(dòng)通信 安全網(wǎng)關(guān)7的外網(wǎng)主機(jī)工72，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)7的外網(wǎng)主機(jī)I 72 的內(nèi)置防火墻對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾，然后進(jìn)行數(shù)據(jù)加密封裝，轉(zhuǎn)發(fā)至所述被叫 遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的外網(wǎng)主機(jī)I192。所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的外網(wǎng)主機(jī)1192接收到數(shù)據(jù)包后通過(guò)內(nèi)置防火墻對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾，再對(duì)符合規(guī)則
的數(shù)據(jù)進(jìn)行解密；被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的外網(wǎng)主機(jī)I192解密數(shù)據(jù)包后再 通過(guò)高速串口發(fā)送數(shù)據(jù)至所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機(jī)I191。所 述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9的內(nèi)網(wǎng)主機(jī)I191對(duì)數(shù)據(jù)包進(jìn)行應(yīng)用層的電力系統(tǒng) 協(xié)議分析，然后再發(fā)送至所述遠(yuǎn)程RTUIO。若數(shù)據(jù)從所述遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)9 一端開(kāi)始發(fā)送，其數(shù)據(jù)流程與上述流程一致。
以上描述是本發(fā)叨的一種具體實(shí)現(xiàn)方式，本發(fā)明通過(guò)網(wǎng)絡(luò)隔離技術(shù)、權(quán) 限受控、身份認(rèn)證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)通信數(shù)據(jù)提供安全 可靠的數(shù)據(jù)通信方法。
1權(quán)利要求
1、電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法，用于對(duì)電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)的通信數(shù)據(jù)進(jìn)行防護(hù)，所述電力專用公網(wǎng)數(shù)據(jù)通信系統(tǒng)包括通信前置機(jī)(6)、遠(yuǎn)程RTU(10)、公共網(wǎng)絡(luò)(8)、主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)、被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)，所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)I(71)、外網(wǎng)主機(jī)I(72)，所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)內(nèi)部設(shè)有內(nèi)網(wǎng)主機(jī)II(91)、外網(wǎng)主機(jī)II(92)，其特征在于所述電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法的實(shí)現(xiàn)包括以下步驟A網(wǎng)絡(luò)隔離所述通信前置機(jī)(6)與所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)的內(nèi)網(wǎng)主機(jī)I(71)以網(wǎng)絡(luò)或串口的方式連接，所述遠(yuǎn)程RTU(10)與所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)的內(nèi)網(wǎng)主機(jī)II(91)以網(wǎng)絡(luò)或串口的方式連接，所述外網(wǎng)主機(jī)I(72)、所述外網(wǎng)主機(jī)II(92)與所述公共網(wǎng)絡(luò)(8)以網(wǎng)絡(luò)連接，所述內(nèi)網(wǎng)主機(jī)I(71)與外網(wǎng)主機(jī)I(72)以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接，所述內(nèi)網(wǎng)主機(jī)II(91)與外網(wǎng)主機(jī)II(92)以高速串口結(jié)合非網(wǎng)絡(luò)協(xié)議方式連接；B權(quán)限受控對(duì)網(wǎng)絡(luò)層面的數(shù)據(jù)采用基于MAC、IP、傳輸協(xié)議、傳輸端口以及通信方向的綜合報(bào)文過(guò)濾與訪問(wèn)控制；對(duì)應(yīng)用層的通信規(guī)約數(shù)據(jù)增添各種通訊協(xié)議的分析，根據(jù)通訊連接建立的狀態(tài)以及應(yīng)用數(shù)據(jù)包的結(jié)構(gòu)，對(duì)帶控制命令的通信數(shù)據(jù)包根據(jù)策略設(shè)置允許或限制其通過(guò)；C身份認(rèn)證所述主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)主動(dòng)向所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)發(fā)出連接信號(hào)，采用電力調(diào)度專用數(shù)字證書(shū)進(jìn)行身份認(rèn)證，對(duì)所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)進(jìn)行身份鑒別，同時(shí)向所述被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)表明自己的身份；D傳輸加密采用IPSEC安全協(xié)議實(shí)現(xiàn)對(duì)通信數(shù)據(jù)進(jìn)行傳輸加密，在通信兩端使用MD5/SHA1散列算法和數(shù)字簽名來(lái)保證數(shù)據(jù)的完整性。
全文摘要
本發(fā)明公開(kāi)了一種電力專用公網(wǎng)通信數(shù)據(jù)安全防護(hù)方法，該方法通過(guò)網(wǎng)絡(luò)隔離、權(quán)限受控、身份認(rèn)證、傳輸加密的技術(shù)手段為電力專用公網(wǎng)數(shù)據(jù)通信提供安全可靠的數(shù)據(jù)通信，實(shí)現(xiàn)隨時(shí)隨地、安全使用公網(wǎng)通信，無(wú)需對(duì)應(yīng)用環(huán)境或軟件做任何改動(dòng)。應(yīng)用時(shí)，主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)、被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)通過(guò)撥號(hào)連接到公共網(wǎng)絡(luò)(8)，為通信前置機(jī)(6)與遠(yuǎn)程RTU(10)的通信建立加密的公網(wǎng)通信通道，數(shù)據(jù)從通信前置機(jī)(6)通過(guò)串口或網(wǎng)絡(luò)連接遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)，通過(guò)主叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(7)連接公共網(wǎng)絡(luò)(8)，從公共網(wǎng)絡(luò)(8)連接被叫遠(yuǎn)動(dòng)通信安全網(wǎng)關(guān)(9)，再通過(guò)串口或網(wǎng)絡(luò)連接遠(yuǎn)端RTU(10)。本發(fā)明可廣泛應(yīng)用于公網(wǎng)通信數(shù)據(jù)安全防護(hù)領(lǐng)域。
文檔編號(hào)H04L9/00GK101662359SQ20091004189
公開(kāi)日2010年3月3日 申請(qǐng)日期2009年8月17日 優(yōu)先權(quán)日2009年8月17日
發(fā)明者劉智勇, 陳良漢 申請(qǐng)人:珠海市鴻瑞信息技術(shù)有限公司