资料介绍
ICS 33.040.20 CCS M 33
中 华 人 民 共 和 国 国 家 标 准
GB/T 44225—2024
电力光传输系统安全防护技术规范
Technical specification for security protection of electric power optical
transmission systems
2024-07-24 发布 2025-02-01 实施
发
国家市场监督管理总局国家标准化管理委员会
布
GB/T 44225—2024
目 次
前言 Ⅲ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 2
5 架构 2
6 安全防护总体要求 3
7 安全防护技术要求 4
7.1 通用要求 4
7.2 光传输设备要求 4
7.3 光传输网管要求 5
7.4 BITS 设备要求 5
7.5 BITS 网管要求 5
7.6 光路子系统设备要求 5
7.7 光路子系统网管要求 6
8 安全防护检测方法 6
8.1 通用检测方法 6
8.2 光传输设备检测方法 7
8.3 光传输网管检测方法 7
8.4 BITS 设备检测方法 7
8.5 BITS 网管检测方法 8
8.6 光路子系统设备检测方法 8
8.7 光路子系统网管检测方法 8
8.8 检测项目验收规则 8
参考文献 9
Ⅰ
GB/T 44225—2024
前 言
本文件按照 GB/T 1.1—2020《标准化工作导则 第 1 部分 ：标准化文件的结构和起草规则》 的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由中国电力企业联合会提出。
本文件由全国电力系统管理及其信息交换标准化技术委员会 (SAC/TC 82)归口。
本文件起草单位： 中国南方电网有限责任公司、广西电网有限责任公司、海南电网有限责任公司、国网电力科学研究院有限公司、华为技术有限公司、烽火通信科技股份有限公司、 中兴通讯股份有限公司、 中国信息通信研究院。
本文件主要起草人： 连伟华 、吴斌 、贺云 、洪丹轲 、赵晗祺 、张思拓 、冯晓芳 、蓝天宝 、林密、李芹 、黄鑫 、赵汝英 、杨乐 、王勋 、齐杰 、万亮 、王堂超 、 曾颜 、李澍 、辜光辉 、李振斌 、欧雪刚、吴荣春、张治兵。
Ⅲ
GB/T 44225—2024
电力光传输系统安全防护技术规范
1 范围
本文件界定了电力光传输系统安全防护的术语和定义，规定了电力光传输系统安全防护的缩略语、架构、总体要求和技术要求，描述了电力光传输系统安全防护的检测方法。
本文件适用于电力光缆承载的电力光传输系统安全防护的规划设计、研究开发、施工建设、安装调试、系统改造和运行管理。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件，仅该日期对应的版本适用于本文件 ;不注日期的引用文件，其最新版本(包括所有的修改单) 适用于本文件。
GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求
GB/T 25069 信息安全技术 术语
GB/T 35273—2020 信息安全技术 个人信息安全规范
GB/T 36572—2018 电力监控系统网络安全防护导则
GB 40050—2021 网络关键设备安全通用要求
ISO/IEC 9899：2018 信息技术 编程语言 C(Information technology—Programming lan﹘ guages—C)
3 术语和定义
GB/T 25069 界定的以及下列术语和定义适用于本文件。
3.1
电力光传输系统 electric power optical transmission system
由电力系统中使用的 SDH、SDH﹘MSTP、SDH﹘ASON、WDM、OTN 光传输设备及光传输网管、光路子系统及光路子系统网管、BITS 设备及 BITS 网管、光缆组成的集合，用于承载电力企业的生产控制和管理运营业务的系统。
3.2
物理隔离 physical isolation
采用载波隔离和时隙隔离等通信技术，使通信数据仅按照用户配置的规则在通信链路中传输，确保不同通信链路之间不能以直接或间接的方式相连接。
[ 来源： GB/T 26863—2022 ，11.2.44、11.2.85，有修改 ] 3.3
传送平面 transport plane
传送网分层结构中负责传送用户信息、控制信息和网络管理信息的分层。
[ 来源： GB/T 21645.1—2008 ，3.1.68，有修改 ]
1
GB/T 44225—2024
3.4
控制平面 control plane
传送网分层结构中负责呼叫控制和连接控制的分层。
[ 来源： GB/T 21645.1—2008 ，3.1.18，有修改 ] 3.5
管理平面 management plane
传送网分层结构中负责整个系统的性能管理、故障管理、配置管理、计费管理、安全管理的分层。 [ 来源： GB/T 21645.1—2008 ，3.1.39，有修改 ]
4 缩略语
下列缩略语适用于本文件。
ACL： 访问控制列表(Access Control List)
ASON： 自动交换光网络(Auto Switch Optical Network)
BITS： 大楼综合定时系统(Building Integrated Timing System)
DCN： 数据通信网络(Data Communication Network)
LTS： 长期支持(Long﹘term Support)
MSTP： 多业务传送平台(Multi﹘Service Transport Platform)
NTP： 网络时间协议(Network Time Protocol)
OTN： 光传送网(Optical Transport Network )
SDH： 同步数字体系(Synchronous Digital Hierarchy)
SNMPv3： 简单网络管理协议 v3(Simple Network Management Protocol v3)
USB： 通用串行总线(Universal Serial Bus)
WDM： 波分复用(Wavelength Division Multiplexing)
5 架构
电力光传输系统的系统架构见图 1。
2
GB/T 44225—2024
图 1 电力光传输系统架构示意图
6 安全防护总体要求
6.1 电力光传输系统安全防护技术应符合 GB/T 36572—2018 中第 6 章的规定。
6.2 电力光传输系统安全防护的应急备用措施应符合 GB/T 36572—2018 中第 7 章的规定。
6.3 电力光传输系统安全防护的全面安全管理应符合 GB/T 36572—2018 中第 8 章的规定。
6.4 电力光传输系统应防护光传输设备、光传输网管、BITS 设备、BITS 网管、光路子系统、光路子系统网管、光缆、运行环境的本体安全。
6.5 电力光传输系统应防护运行环境的基础设施安全。
6.6 电力光传输系统的线路通信复用方式应为电路时分复用或波分复用，实现不同电路之间物理隔离。
6.7 光传输设备中的管理平面和传送平面之间、控制平面和传送平面之间应实现物理隔离。
6.8 光传输设备之间的光链路应使用光缆中的独立纤芯或 WDM、OTN 中的独立波道承载。
6.9 光传输设备交换业务数据的方向应仅由光传输网管对光传输设备的交叉配置决定，不应受到业务数据内容的影响。
6.10 光传输网管故障不应影响光传输设备的正常运行，光路子系统网管故障不应影响光路子系统设备的正常运行， BITS 网管故障不应影响 BITS 设备的正常运行。
6.11 电力光传输系统中的操作系统软件、数据库软件应通过国家有关机构的安全检测认证，具备软件包完整性校验能力，启用安全配置和策略，部署防恶意代码措施，升级安全补丁。
6.12 电力光传输系统中的服务器、终端计算机和网络设备应通过国家有关机构的安全检测认证，启用安全配置和策略。
6.13 光传输网管与运行环境进行通信连接时，应仅限于连接通信运行管控系统。
3
GB/T 44225—2024
7 安全防护技术要求
7.1 通用要求
7.1.1 访问控制
7.1.1.1 光传输设备和光传输网管应支持 ACL 和基于角色、账号的用户分级分权访问控制功能，支持设置独立的系统管理员、审计管理员、业务操作员等角色且不同角色间权限互斥。
7.1.1.2 操作系统不应支持远程登录。
7.1.1.3 光传输设备和光传输网管应支持关闭/开启管理平面的通信端口，且不应存在未声明的通信端口和访问接口(包括远程调试接口)。
7.1.1.4 光传输设备和光传输网管应仅限于具有软件更新操作权限的用户手动启动软件更新。
7.1.2 身份鉴别
7.1.2.1 出厂预置账号应全部向用户公开，支持删除或禁用账号，且不应支持设置弱口令。
7.1.2.2 光传输设备和光传输网管应支持限制口令连续认证失败次数、登录账号空闲超时自动锁定或自动退出、鉴别失败时最小化且无差别的信息回显。
7.1.2.3 光传输设备和光传输网管应保证身份鉴别信息存储和传输过程中的机密性，所用的密码应符合GB 40050—2021 中 5.10 的规定。
7.1.2.4 存储的用户个人信息的隐私保护应符合 GB/T 35273—2020 中第 6 章的规定。
7.1.3 完整性保护
7.1.3.1 光传输设备和光传输网管应支持安装和启动时基于证书签名的完整性校验功能，宜基于硬件可信根对系统引导程序 、操作系统 、应用程序的完整性进行逐级校验 。如果完整性校验通过，则继续启动 ;如果完整性校验未通过，应终止启动。
7.1.3.2 光传输设备和光传输网管应在光传输设备与光传输网管、光传输网管与运行环境之间建立安全的通信通道，并使用国密算法和 SNMPv3 协议保障通信数据的完整性、安全性。
7.1.4 其他
7.1.4.1 软件在编码阶段应采用符合 ISO/IEC 9899：2018 要求的安全函数库函数 。如需使用开源软件，应采用合法发布机构的 LTS 版本，并支持对开源软件进行软件升级。
7.1.4.2 软件在编译、链接阶段应使用安全编译选项。
7.1.4.3 光传输设备和光传输网管应支持 NTP 协议和 NTP 认证功能。
7.1.4.4 光传输设备和光传输网管应不存在明显可被利用的漏洞，具备抵御常见网络攻击的能力。
7.1.4.5 光传输设备和光传输网管应支持对重要数据(包括软件 、配置数据和日志数据等 )的本地备份、异地备份和恢复功能，使用备份文件恢复时应支持对备份文件进行数据完整性检查。
7.1.4.6 电力光传输系统宜具有入侵检测能力，设置检测规则，捕获异常行为，分析潜在威胁，记录审计日志并上报光传输网管。
7.2 光传输设备要求
7.2.1 新的光传输设备接入电力光传输系统时的身份鉴别应符合以下规定。
a) 新的光传输设备接入DCN域时，与其光纤直连的光传输设备进行安全认证。
b) 新的光传输设备出厂时预置设备证书，接入时由光传输网管核验设备证书 。预置设备证书仅用
4
GB/T 44225—2024
于新的光传输设备接入时的身份核验。
注： 在完成接入后，光传输设备的调管单位按照 GB/T 36572—2018 中 6.2.6 将预置设备证书替换为该调管单位核发的数字证书。
7.2.2 当第 2 套及以上光传输网管请求获得光传输设备的管理权限时，光传输设备应向当前光传输网管请求许可。
7.2.3 光传输设备应支持关闭/开启管理平面的以下物理端口：
a) 网管管理接口;
b) USB接口;
c) 串行管理接口;
d) 主从子架连接接口。
7.2.4 光传输设备应支持禁用命令行。
7.2.5 光传输设备管理平面的路由通信协议应支持路由认证和完整性保护功能。
7.3 光传输网管要求
7.3.1 光传输网管应对用户操作进行认证鉴权。如果用户实施的操作会导致业务中断，应经第二人认证授权后光传输网管才能许可操作。光传输网管应支持管理需要第二人认证授权的操作清单。
7.3.2 访问光传输网管应用软件的账户和访问数据库的账户不应相同。
7.3.3 光传输网管应用软件进程访问数据库时，数据库应支持随机口令登录方式。
7.3.4 光传输网管应采用口令、密码、生物特征等两种或两种以上组合的鉴别技术。
7.3.5 新的光传输设备接入电力光传输系统时，光传输网管应对新的光传输设备的预置设备证书进行身份核验。如果身份核验不通过，光传输网管不准许新的光传输设备接入。
7.3.6 光传输网管应支持数字证书管理，包括查询、 申请、更新和注销光传输设备和光传输网管的数字证书信息(例如 ：证书状态、有效期、应用场景等)。
7.3.7 光传输网管应对输入数据进行有效性检测。
7.3.8 光传输网管应支持关闭/开启系统服务和逻辑端口。
7.3.9 光传输网管备份恢复应符合 GB/T 22239—2019 中 9.1.4.9 的要求，宜支持服务器 N﹘2(发生2 次故障情况下系统功能仍正常) 的冗余热备。
7.3.10 光传输网管应支持核查光传输网管和光传输设备的安全相关配置(例如： 账号口令 、 网络通信、文件、进程、软件版本、协议套件、加密策略等) ，如果配置低于预设的安全基线，光传输网管应有相应提示。
7.3.11 光传输网管应支持审计日志功能，对用户操作的日期和时间、操作主体、关键行为、操作结果等要素进行记录 。审计日志应支持访问控制、完整性保护、不短于 6 个月的本地存储，不应支持禁用、修改或删除。
7.3.12 光传输网管应支持向通信运行管控系统输出审计日志，输出审计日志时应使用安全协议。
7.4 BITS 设备要求
BITS 设备的安全防护技术要求按 7.1 和 7.2。
7.5 BITS 网管要求
BITS 网管的安全防护技术要求按 7.1 和 7.3。
7.6 光路子系统设备要求
光路子系统设备的安全防护技术要求按 7.1 和 7.2。
5
GB/T 44225—2024
7.7 光路子系统网管要求
光路子系统网管的安全防护技术要求按 7.1 和 7.3。
8 安全防护检测方法
8.1 通用检测方法
8.1.1 访问控制
8.1.1.1 分别使用符合 ACL 的方式和不符合 ACL 的方式登录光传输设备和光传输网管，登录成功后对光传输设备和光传输网管进行各个角色账户权限内和权限外的操作，检测是否满足 7.1.1.1要求。
8.1.1.2 使用计算机远程登录光传输设备和光传输网管的操作系统，检测是否满足 7.1.1.2要求。
8.1.1.3 在光传输网管上关闭/打开光传输设备和光传输网管的管理平面通信端口，查看光传输设备和光传输网管上通信端口和访问接口并与光传输设备和光传输网管产品文档对比，检测是否满足7.1.1.3要求。
8.1.1.4 分别使用没有软件更新权限的账户和具有软件更新权限的账户登入光传输网管并进行软件更新，检测是否满足 7.1.1.4要求。
8.1.2 身份鉴别
8.1.2.1 查看光传输设备和光传输网管产品文档中关于预置账号的说明并在光传输设备和光传输网管上查询账号，删除、禁用光传输设备和光传输网管的账号，修改光传输设备和光传输网管口令，检测是否满足 7.1.2.1 要求。
8.1.2.2 多次输入错误口令检查光传输设备和光传输网管限制口令连续认证失败次数和鉴别失败时的信息回显，成功登录后不进行操作等待自动锁定或自动退出，检测是否满足 7.1.2.2要求。
8.1.2.3 读取光传输设备和光传输网管数据库中存储的身份鉴别信息，检测是否满足 7.1.2.3要求。
8.1.2.4 读取光传输网管数据库中存储的用户个人信息，检测是否满足 7.1.2.4要求。
8.1.3 完整性保护
8.1.3.1 分别在篡改系统引导程序、操作系统、应用程序之前和之后启动光传输设备和光传输网管，检测是否满足 7.1.3.1要求。
8.1.3.2 查看光传输设备与光传输网管之间通信的协议版本和加密方法，并在数据传输过程中抓包，检测是否满足 7.1.3.2要求。
8.1.4 其他
8.1.4.1 查看光传输设备和光传输网管程序代码中使用的函数 、 开源软件的版本，检测是否满足7.1.4.1 要求。
8.1.4.2 查看光传输设备和光传输网管程序代码的编译选项，检测是否满足 7.1.4.2要求。
8.1.4.3 设置光传输设备和光传输网管 NTP 协议和 NTP 认证功能，检测是否满足 7.1.4.3要求。
8.1.4.4 分别对光传输设备和光传输网管发起大流量攻击、拒绝服务攻击、管理协议攻击等常见网络攻击，检测是否满足 7.1.4.4要求。
8.1.4.5 分别对光传输设备和光传输网管进行本地备份和异地备份并将备份数据转储到外部存储介质，分别使用未经篡改的备份数据和已篡改的备份数据进行恢复，检测是否满足 7.1.4.5要求。
6
GB/T 44225—2024
8.1.4.6 分别对光传输设备和光传输网管发起网络攻击入侵，检测是否满足 7.1.4.6要求。
8.2 光传输设备检测方法
8.2.1 新的光传输设备接入电力光传输系统时，在新的光传输设备有预置设备证书、无预置设备证书和预置设备证书不在有效期内的情况下，分别检测与其光纤直连的光传输设备对新的光传输设备接入DCN 域的控制，检测是否满足 7.2.1 要求。
8.2.2 在光传输设备已被当前光传输网管管理的情况下，使用第 2 套光传输网管尝试获得该光传输设备的管理权限，检查当前光传输网管响应情况，检测是否满足 7.2.2 要求。
8.2.3 在光传输网管上关闭/打开光传输设备的网管管理接口、USB 接口、 串行管理接口和主从子架连接接口，检测是否满足 7.2.3 要求。
8.2.4 在光传输网管上关闭光传输设备的命令行后，尝试使用光传输网管方式和命令行方式管理光传输设备，检测是否满足 7.2.4 要求。
8.2.5 设置光传输设备路由协议认证，分别发送未经篡改的路由协议认证报文和已篡改的路由协议认证报文，检查光传输设备响应情况，检测是否满足 7.2.5 要求。
8.3 光传输网管检测方法
8.3.1 在光传输网管上对需要第二人认证授权的操作清单进行新增、删除、修改和查询，在光传输网管执行需要第二人认证授权的操作，检测是否满足 7.3.1 要求。
8.3.2 尝试以光传输网管应用软件账户登录数据库，尝试以数据库账户登录光传输网管应用软件，检测是否满足 7.3.2 要求。
8.3.3 在光传输网管应用软件上使用正确的数据库密码成功登入数据库后立即登出，然后重复使用该密码再次尝试登录数据库，检测是否满足 7.3.3 要求。
8.3.4 查看光传输网管的身份鉴别因子数量是否为 2 种或 2 种以上，尝试在提供 1 种、2 种或 2 种以上身份鉴别因子的情况下登录光传输网管，检测是否满足 7.3.4 要求。
8.3.5 新的光传输设备接入时，在新的光传输设备有预置设备证书、无预置设备证书和预置设备证书不在有效期内的情况下，分别检测光传输网管对新的光传输设备的接入，检测是否满足 7.3.5 要求。
8.3.6 在光传输网管上查询 、 申请 、更新和吊销光传输网管和光传输设备的证书信息，检测是否满足7.3.6 要求。
8.3.7 分别在光传输网管上输入符合规则的参数和不符合规则的参数，检查光传输网管响应情况，检测是否满足 7.3.7 要求。
8.3.8 在光传输网管上查看已开启的系统服务和逻辑端口，并关闭/开启系统服务和逻辑端口，检测是否满足 7.3.8 要求。
8.3.9 在光传输网管上进行本地和异地备份并使用备份文件恢复光传输网管，关停光传输网管中的2 台服务器并检查光传输网管运行情况，检测是否满足 7.3.9 要求。
8.3.10 查看光传输网管产品文档中安全相关配置的说明并在光传输网管上查询实际配置情况以进行对比，在光传输网管上修改安全相关配置以降低安全水平，检查光传输网管相应提示，检测是否满足7.3.10 要求。
8.3.11 在光传输网管上进行操作后，分别使用具有审计日志访问权限的账户和不具有审计日志访问权限的账户访问并尝试查询、修改、删除、禁用审计日志，检测是否满足 7.3.11 要求。
8.3.12 配置光传输网管输出审计日志信息，查看安全协议版本，抓包检测审计日志输出报文，检测是否满足 7.3.12 要求。
8.4 BITS 设备检测方法
BITS 设备的安全防护检测按8.1 和 8.2。
7
GB/T 44225—2024
8.5 BITS 网管检测方法
BITS 网管的安全防护检测按8.1 和 8.3。
8.6 光路子系统设备检测方法
光路子系统设备的安全防护检测按8.1 和 8.2。
8.7 光路子系统网管检测方法
光路子系统网管的安全防护检测按8.1 和 8.3。
8.8 检测项目验收规则
工厂验收、工程现场验收、 日常运行定检的检测项目的验收规则应符合表 1 的规定。
表 1 检测项目验收规则
检测项目
技术要求章条号
检测方法章条号
工厂验收
工程现场验收
日常运行定检
访问控制检测
7.1.1
8.1.1
√
√
—
身份鉴别检测
7.1.2
8.1.2
√
√
—
完整性保护检测
7.1.3
8.1.3
√
—
—
其他检测
7.1.4
8.1.4
√
—
—
光传输设备检测
BITS设备检测
光路子系统设备检测
7.2.1
8.2.1
√
—
—
7.2.2
8.2.2
√
—
—
7.2.3
8.2.3
√
√
√
7.2.4
8.2.4
√
√
√
7.2.5
8.2.5
√
—
—
光传输网管检测
BITS网管检测
光路子系统网管检测
7.3.1
8.3.1
√
√
√
7.3.2
8.3.2
√
√
—
7.3.3
8.3.3
√
√
—
7.3.4
8.3.4
√
√
√
7.3.5
8.3.5
√
—
—
7.3.6
8.3.6
√
√
—
7.3.7
8.3.7
√
—
—
7.3.8
8.3.8
√
√
√
7.3.9
8.3.9
√
√
√
7.3.10
8.3.10
√
√
√
7.3.11
8.3.11
√
√
—
7.3.12
8.3.12
√
—
—
注： 表中符号 “ √ ” 表示要求检测项目，符号 “ — ” 表示不要求检测项目 。
8
GB/T 44225—2024
参 考 文 献
[1] GB/T 21645.1—2008 自动交换光网络(ASON)技术要求 第 1 部分：体系结构与总体要求
[2] GB/T 26863—2022 火电站监控系统术语
9
相关推荐
- GB 21346-2022 电解铝和氧化铝单位产品能源消耗限额
- GB/T 33591-2017 智能变电站时间同步系统及设备技术规范
- GB/Z 3480.4-2024 直齿轮和斜齿轮承载能力计算 第4部分：齿面断裂承载能力计算
- GB/T 18856.2-2008 水煤浆试验方法 第2部分: 浓度测定
- GB/T 32588.1-2016 轨道交通 自动化的城市轨道交通（AUGT） 安全要求 第1部分：总则
- GB/T 20063.13-2009 简图用图形符号 第13部分：材料加工装置
- GB/T 42291-2022 压水堆核电厂控制区门窗辐射防护设计准则
- GB/T 40800-2021 铸钢件焊接工艺评定规范
- GB/T 27541-2011 货运缆车技术规范
- GB 55006-2021 钢结构通用规范
