南瑞(NARI)ISG-3000 电力监控系统网络安全监测装置(II 型)

 ISG-3000 网络安全监测装置用以采集变电站站控层和发电厂涉网区域的服务器、工作站、网络设备和安全防护设备的安全事件,转发至调度端网络安全管理平台的数据网关机,并提供来自网络安全管理平台相关服务调

1584521693501917.png

1.2接口说明

  监测装置按照国网公司“四统一、四规范”原则设计,各项接口指标满足国网公司产品技术要求。

  1)电源接口

  装置配件中包含2个电源凤凰端子和2根电源线,请按照如下要求连接:棕色正极接4,蓝色负极接5,绿黄色接地接7;失电告警请按照需求配置。装置电源支持交直流输入,电压宽幅为110V~220V。

  安装电源人员应具备强电操作资格,请勿违规操作。

  2)对时接口

  请按照客户需求和现场环境选择相应对时方式:选择B码对时,需连接B码对时接口和现场B码对时服务器;选择NTP对时,需选择一闲置网口连接对时服务器,并配置好网口IP地址和NTP参数;

  3)以太网接口

  监测装置后面板共有8个以太网口,在配置客户端软件上LAN1-LAN8分别对应eth1-eth8。其中LAN8(eth8)口为配置管理口(地址11.22.33.44/24),默认不做业务网口使用、其它7个网口可用于接入站控层A/B网、调度数据网双平面和NTP对时等。

  4)接地接口

  装置附件中包含1根1.5米长的接地线缆,请按照现场施工规范将装置外壳接地。

  5)串行接口

  该接口在正常配置时不需要使用。装置附件中包含1根RS232串行接口。

  6)USB接口

  该接口用于USBkey设备的身份认证。

  7)故障公用测控口

  该接口用于输出告警信号。需要加装告警指示灯或蜂鸣器,上述设备请另行购买。

  1.3硬件规格

  长宽高:340mm*440mm*44.5mm;

  1U整层机箱;

  4核CPU,8GB内存;

  256GB硬盘容量;

  8个自适应网口,1个B码对时接口;

  双路交/直流电源独立供电。

1583978740364566.jpg

  1.4性能指标

  内置等保三级操作系统安全增强组件;

  支持RedHat5、RedHat6、Centos6、Centos5、Solaris10、HP-UNIXB11、Windows7、WindowsXP、Windows2003、Windows2008和WindowsVista等操作系统采集agent;

  采集信息吞吐量≥10000条/s;

  支持监测对象数量≥200;

  对上传事件信息的处理时间≤0.6s,对远程调阅的处理时间≤2.5s;

  支持采集信息的本地存储,保存至少半年的采集信息;

  支持上传事件信息的本地存储,保存至少一年的上传事件信息数据;

  本地日志审计记录条数≥10000条;

  通过IRIG-B同步,对时精度≤1ms,通过SNTP同步,对时精度≤100ms;

  在没有外部时钟源校正时,24小时守时误差应不超过1s;

1583978691510510.jpg

依据SSH协议架构,将网络安全监测装置作为SSH服务端,远程运维配置工具为SSH客户端,在使用SSH进行交互的时候,需要先经过认证才能正常通信,具体过程如下。
(1)协商双方SSH版本号:首先,由远程运维配置工具先发起TCP连接请求,与装置建立TCP连接之后进入等待状态。其次,装置发送一个格式为“SSH-<主协议版本号> <次协议版本号>-<软件版本号>”的报文,表明自己的版本号。远程运维配置工具接收到装置的协议版本号之后对其进行匹配。如果装置的协议版本号低于工具自己的版本号但又能支持,则以装置的低版本号作为自己的标志版本号报文回应给装置。如果装置的协议版本号高于或等于自己的版本号,则以运维配置工具实际的版本号回应给装置。最后,装置匹配远程运维配置工具回应的版本号,如果支持该版本,则协商完成,进入下一阶段。如果不支持该版本,则断开与远程运维配置工具的TCP连接。
(2)协商密钥和算法:装置和远程运维配置工具分别向对方发送算法协商报文,内容包含本端支持的公钥算法列表、加密算法列表和压缩算法列表等。装置与远程运维配置工具收到对方发来的报文进行算法匹配,最终确定双方使用的算法。只要有任何一种算法协商失败,装置都将立即终止与远程运维配置工具的TCP连接。最后,装置与远程运维配置工具双方根据密钥交换算法(Diffie Hellman,DH)和主机密钥对等参数生成相同的会话ID和会话密钥,同时,运维配置工具对装置的身份完成确认。为保证数据的安全,在之后的数据传输过程中,通信双方都将使用这一会话密钥进行数据的加密和解密处理,而且会话密钥只对本次通信有效,若下次通信,则必须重新生成新的会话密钥。
(3)安全认证:SSH提供3种认证方法,即公钥认证、密码认证和可信主机认证。其中,公钥认证的优先级最高,可信主机认证的优先级最低。在默认配置情况下,SSH的可信主机认证一般是禁用的。
远程运维配置工具与网络安全监测装置建立连接之后的认证步骤如下。
(1)远程运维配置工具通过发送一个包含自己用户名的SSH_CMSG_USER包,向装置提出认证请求。
(2)装置接收到远程运维配置工具的SSH_CMSG_USER信息包之后,检索本地用户名列表来判定该用户是否存在。如果用户存在且不需要进一步认证,装置返回一个认证成功的SSH_SMSG_SUCCESS信息包给远程运维配置工具。如果用户不存在或者需要进一步认证,则返回一个认证错误的SSH_SMSG_FAILURE信息包给远程运维配置工具,同时,仍继续保持接收状态。
(3)远程运维配置工具接收到装置发来的SSH_SMSG_FAILURE信息包之后,再次向服务器提出申请,尝试新的认证方式。
(4)装置根据远程运维配置工具的认证申请信息进行认证尝试。在3种情况下装置会停止尝试:某一种认证方式通过了,服务器会返回SSH_SMSG_SUCCESS包;认证次数达到上限和认证超时的情况,服务器会返回SSH_SMSG_FAILURE包,直至关闭连接。
(5)如果认证成功,远程运维配置工具则向装置提交会话请求,并等待装置的响应。装置对会话请求进行分类处理,请求被接受则返回SSH_SMSG_SUCCESS包,进行后续正常通信。若请求被拒绝或无法识别则返回SSH_SMSG_FAILURE包,断开连接。具体认证过程如图3所示。

  平均故障间隔时间(MTBF)≥30000h;

  流量分析功能对小包解析速率≥18000pps。