(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111419781.4 (22)申请日 2021.11.26 (71)申请人 中国大唐集团科 学技术研究院有限 公司火力发电技 术研究院 地址 100043 北京市石景山区玉泉西里二 区18号楼西区 申请人 内蒙古大唐国际托克托发电有限责 任公司 (72)发明人 车业蒙　崔冬　王泽璞　肖寒　 李兴旺　赵志刚　 (74)专利代理 机构 北京中南长风知识产权代理 事务所(普通 合伙) 11674 专利代理师 李青 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种用于火电机组燃料系统的安全防护系 统及方法 (57)摘要 本发明公开了一种用于火电机组燃料系统 安全防护系统和方法， 系统包括： 通讯网络安全 防护子系统， 用于保证燃料系统通信过程和通信 数据的安全； 安全区域边界安全防护子系统， 用 于内部和外部网络行为进行检查或限制， 对网络 攻击行为进行检测、 防止和限制， 对网络行为进 行分析， 对攻击信息进行记录和报警， 进行安全 审计以及对边界设备进行可信验证； 安全计算环 境安全防护子系统， 对用户进行身份鉴别， 定期 备份审计记录， 对重要节点的入侵行为及病毒进 行检测识别和报警， 对应用程序的执行环节进行 动态可信验证， 对数据传输和存储完整性进行校 验及异地的实时备份； 安全管理中心。 该系统和 方法提升燃料系统的安全防护能力， 保障燃料系 统的安全稳定运行。 权利要求书3页 说明书9页 附图2页 CN 114629676 A 2022.06.14 CN 114629676 A 1.一种用于火电机组燃料系统安全防护系统， 其特 征在于包括： 通讯网络安全防护子系统， 用于保证燃料系统通信过程和通信数据的安全； 安全区域边界安全防护子系统， 用于内部和外部网络行为进行检查或限制， 对网络攻 击行为进行检测、 防止和限制， 对网络行为进行分析， 对攻击信息进行记录和报警， 进行安 全审计以及对边界设备进行 可信验证； 安全计算环境安全防护子系统， 用于对用户进行身份鉴别， 定期备份审计记录， 对重要 节点的入侵行为以及病毒进行检测识别和报警， 对应用程序 的执行环节进行动态可信验 证， 对数据传输和存 储完整性进行 校验以及异地的实时备份； 以及 安全管理中心， 用于系统管理员通过命令或操作界面进行系统管理操作并对操作记录 进行审计， 审计管理员通过命令或操作界面进行安全审计操作并对操作记录进行审计； 设 置特定管理区域以及安全信息传输路径， 从而对分布在网络中的安全设备或安全组件进 行 管控； 对网络链路、 安全设备、 网络设备和服务器的运行状况进行集中监测； 对设备的审计 数据进行汇总和分析， 管理安全策略、 恶意代码以及补丁升级， 对网络中的安全事件进行检 测识别和报警； 其中： 所述安全区域边界安全 防护子系统包括： 边界防护和访 问控制模块， 入侵防范和恶意 代码防范模块以及单向流通模块； 所述安全计算环境安全防护子系统包括： 身份鉴别和访 问控制模块、 安全审计和入侵防范模块。 2.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述 边界防护和访问控制模块包括： (1)工业防火墙， 部署在燃料系统与SIS系统的边界， 用于实现逻辑隔离、 报文过滤、 访 问控制的功能， 同时对传输的报文做深度检查， 及时发现异常行为并进 行阻断或告警； 所述 工业防火墙还同时作为当前 单向隔离装置的一个冗余防护措施； (2)主机安全防护子模块， 以软件的形式安装在燃料系 统的工程师站、 历史站、 操作员 站上， 对燃料系统用户非法外联进行检查和限制， 对USB、 光驱、 串口进行限制； (3)MAC‑交换机端口绑定子模块， 将MAC ‑交换机端口进行绑定， 限制非授权设备私自连 到燃料网络的行为。 3.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述 入侵防范和恶意代码防范模块包括： (1)入侵检测设备或工控网络安全监测审计设备， 部署在燃料系统部署入侵检测设备 上， 用于检测燃料系统网络中的各种网络行为及恶意代码， 防止和限制从燃料系统内部发 起的网络攻击行为； (2)入侵防范设备， 部署在燃料系统和SIS的边界， 用于检测、 防止和限制从外部发起的 网络攻击行为。 4.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述 单向流通模块包括： 单向隔离网闸， 设置在输煤内网数据采集边界， 以保证数据的单向流动性， 增加系统高 安全性。 5.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述权　利　要　求　书 1/3 页 2 CN 114629676 A 2身份鉴别和访问控制模块包括： 身份鉴别 子模块， 用于对燃料系统的服务器站点有专人负责且重要性较 高的主机采用 口令、 密码技术、 生物技术中两种或以上组合的鉴别技术进 行身份鉴定， 所述身份鉴别子模 块安装在主机安全防护软件中； 配备安全U盘的主机防护 子模块， 通过软件的形式部署在燃料系统的服务器站点， 所述 安全U盘与主机防护软件配合杜绝恶意U盘引入病毒。 6.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述 安全审计和入侵防范模块包括： (1)漏洞扫描测试修补子模块， 用于定期对燃料系统开展漏洞扫描工作， 及时发现系统 可能存在的漏洞， 在经 过充分测试评估后进行修补； (2)安全防护子模块， 用于以软件的形式安装在燃料系 统的工程师站、 历史站、 操作员 站主机上， 用于及时检测入侵行为并报警； (3)第一Agent探针， 安装在汇聚层交换机上， 对网络行为进行监测分析， 对重要用户的 行为和重要安全 事件进行审计。 7.根据权利要求1所述的一种用于火电机组燃料系统安全防护系统， 其特征在于所述 安全管理中心包括： (1)日志审计设备， 部署在不同位置的主机、 网络设备、 安全设备、 应用系统， 对不同位 置的主机、 网络设备、 安全设备、 应用系统产生的日志信息集中收集汇总和分析展示， 使系 统满足等保合 规要求、 高效统一管理资产日志并为 安全事件的事后取证提供依据； (2)第二Agent探针， 安装在平台、 服务器和汇聚层交换机上， 用于将日志数据传输到 MIS侧态势感知平台， 将日志审 计和入侵检测设备日志传输到MIS侧态势感知平台， 通过MIS 侧态势感知平台对于所有安全产品的报警和数据进行统一处 理。 8.一种根据权利要求1 ‑7任一所述用于火电机组燃料系统安全防护系统 的安全防护方 法， 其特征在于包括： 通讯网络安全防护， 实施燃料系统通信过程和通信数据的安全保证； 安全区域边界安全防护， 对内部和外部网络行为进行检查或限制， 对网络攻击行为进 行检测、 防止和限制， 对网络行为进行分析， 对攻击信息进行记录和报警， 进行安全审计以 及对边界设备进行 可信验证； 安全计算环境安全防护， 对用户进行身份鉴别， 定期备份审计记录， 对重要节点的入侵 行为以及病毒进行检测识别和报警， 对应用程序的执行环节进行动态可信验证， 对数据传 输和存储完整性进行 校验以及异地的实时备份； 以及 增设安全管理中心， 使得系统管理员通过命令或操作界面进行系统管理操作并对操作 记录进行审计， 审计管理员通过命令或操作界面进行安全审计操作并对操作记录进行审 计； 设置特定管理区域以及安全信息传输路径， 从而对分布在 网络中的安全设备或安全组 件进行管控； 对网络链路、 安全设备、 网络设备和服务器的运行状况进行集中监测； 对设备 的审计数据进 行汇总和分析， 管理安全 策略、 恶意代码以及补丁升级， 对网络中的安全事件 进行检测识别和报警。 9.一种电子设备， 其特征在于， 包括处理器和存储器， 所述存储器存储有多条指令， 所 述处理器用于读取 所述指令并执 行如权利要求8所述的方法。权　利　要　求　书 2/3 页 3 CN 114629676 A 3