GB/T34923.5-2017
路灯控制管理系统第5部分：安全防护技术规范
Streetlightscontrolandmanagementsystem—Part5:Technicalspecificationofsafetyprotection
- 中国标准分类号（CCS）K73
- 国际标准分类号（ICS）29.140.99
- 实施日期2018-05-01
- 文件格式PDF
- 文本页数10页
- 文件大小880.44KB
以图片形式预览路灯控制管理系统第5部分：安全防护技术规范
路灯控制管理系统第5部分：安全防护技术规范
国家标准 GB/34923.5一2017 路灯控制管理系统 第5部分:安全防护技术规范 Streetlightseontrolandmanagementsystem Part5:Ieehniealspeceifieationofsafetyproteetion 2017-11-01发布 2018-05-01实施 中华人民共利国国家质量监督检验检疙总局 发布 国家标准化管理委员会国家标准
GB;/T34923.5一2017 前 言 GB/T34923《路灯控制管理系统》共分为以下六个部分 第1部分:总则; 第2部分:主站技术规范 第3部分:路灯控制管理终端技术规范; 第4部分;路灯控制器技术规范; 第5部分:安全防护技术规范; 第6部分;通信协议技术规范
本部分为GB/T34923的第5部分
本部分按照GB/T1.1一2009给出的规则起草
本标准由电力企业联合会提出并归口
本标准起草单位电力科学研究院、上海复旦微电子集团股份有限公司、北京智芯微电子科技 有限公司、成都卫士通信息产业股份有限公司广州市供电局路灯管理所、成都市城市照明管理处
本标准主要起草人;翟峰、付义伦、梁晓兵,赵兵、孟祥旺、赵东艳、杨湘江,王于被、李元正、张海蜂、 温藏文-李一非、,章欣.刘鹰、李保丰.目英杰,曹水峰.岑炜.许赋,徐文静.孔令达.孙志强.张庚
GB;/T34923.5一2017 路灯控制管理系统 第5部分安全防护技术规范 范围 GB/T34923的本部分规定了路灯控制管理系统的信息安全防护技术要求,包括边界、主站,通信 信道、控制设备、应用和密钥管理等方面应符合的安全防护技术和设备性能要求
本部分适用于路灯控制管理系统安全防护、信息传输和身份认证
规范性引用文件 下列文件对于本文件的应用是必不可少的
凡是注日期的引用文件,仅注日期的版本适用于本文 件
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件
GB/T17903.22008 信息技术安全技术抗抵赖第2部分:采用对称技术的机制 GB/T17903.3一2008信息技术安全技术抗抵赖第3部分;采用非对称技术的机制 GB/T239一20s信息安全技术信息系统安全等级保护基本要求 GB/T34923.1-2017路灯控制管理系统第1部分;总则 术语和定义 GB/T17903.22008,GB/T17903.32008和GB/T34923.12017界定的以及下列术语和定义 适用于本文件
3.1 密码机eryptographymachine 独立完成加/解密和密钥管理功能的设备
3.2 密码算法cryptographicalgorithm 描述密码处理过程的一组运算规则或规程
3.3 S1算法s\1cryptographicalgorithm 经国家密码管理部门审批的商用密码分组算法
3.4 SM2算法s2publickeycryptographicalgorithm 由国家密码管理部门批准的基于椭圆曲线的非对称密码算法
3.5 SM3算法SM3publickeycryptographicalgorithm" 由国家密码管理部门批准的一种密码杂凑算法
3.6 认证certifieaton 验证一个称谓的系统实体身份的过程
GB/T34923.5一2017 3.7 密钥key 控制密码变换操作的关键信息或参数
3.8 对称密码算法symmetrieeryptographiealgorithm 加/解密使用相同密钥的密码算法
3.9 非对称密码算法asymmmetriecryptographiealgorithm 加/解密使用不同密钥的算法
注其中一个密钥(公钥)可公开,另一个密钥(私钥)必须保,且由公钥求解私钥是计算不可行的
3.10 spont 无线APNwireessaccess name 无线运营商为企业提供的无线专线网络服务,网络通道有GPRS/CDMA/3G/4G等
注;同一无线APN内的无线节点可互相通信和运营商网络内的其他节点通信将失败
3.11 系统边界systemboundary 内部网络与无线公网连接形成的网络边界,内部网络与其他系统形成的网络边界,主站网络与管理 终端形成的网络边界,管理终端与控制器形成的网络边界的总称
3.12 安全网关longitudinalseuritgatewa 执行身份认证、协议过滤等功能的具有重要保护作用的安全防护设备
3.13 路灯控制器streetlampcontroller 安装在灯具(杆)侧,能够实现数据采集和状态监测,可对灯具进行开关或调光控制,同时能和主站 或管理终端进行数据交换的设备
总体安全技术要求 路灯管理系统安全防护体系总体建设目标是保证路灯控制管理系统的信息安全,应包括防止信息 网络瘫痪、应用系统破坏,业务数据丢失、篡改网络数据、病毒感染、有害信息传播、恶意渗透攻击行为， 保证数据传输的机密性、保证数据存储的安全性等
路灯控制管理系统应综合采用虚拟交换网络,防火墙技术、,加密技术、网络管理等技术保证系统安 全、可靠、稳定运行,并且在操作系统、数据库系统、应用系统、网络系统等层面应采取防范措施,同时,在 系统日常运行管理中,也应加强规范管理、,严格执行安全管理制度
路灯控制管理系统与管理终端、路灯控制器之间应建立远程安全加密信道,采取身份认证、网络边 界防护、,隔离装置等安全措施
路灯控制管理系统应具备数据源认证、抗回放、数据加密、数据完整性验 证等安全功能
5 安全防护架构 5.1防护架构 路灯控制管理系统安全防护策略主要包括系统安全防护,边界安全防护和通信安全防护策略
其
GB;/T34923.5一2017 中,系统安全防护策略包括主站、管理终端、控制器、管理客户端安全防护策略
路灯控制管理系统安全 防护架构如图1所示
核心区域 公网 防火墙 防火墙 主站 其他系统 隔离 加密机 安全网 装置 客户端 IPS PSs IPS 防火墙 前置机 安全网关 安全接入区 无线专网 专网 管理终端 管理终端 控制器 控制器 控制器 控制器 隔离装置 防火墙 入侵检测系统 x安全网关 加密认证措施 数字证书 图1路灯控制管理系统安全防护架构 5.2部署要求 系统内应设置病毒防护中心,计算机、服务器上应设置防病毒客户端
系统内应设置安全审计系 统,监控系统内操作行为
系统边界处应设置两套防火墙系统
服务器上应设置服务器安全增强系统
系统间应采用隔离装 置进行连接
网络人侵检测系统应设置在系统核心交换机上 计算机服务器漏洞应采用漏洞扫描系统定期扫描,并及时打补丁,漏洞扫描系统应设置在省级路
GB/T34923.5一2017 灯控制系统内
系统主站侧应部署密码机,在管理终端、路灯控制器中应内嵌硬件安全模块,实现应用层数据完整 性、机密性、可用性和可靠性保护 系统主站侧应部署安全网关,在管理终端、路灯控制器中应内嵌安全网关客户端,实现链路层数据 完整性、机密性、可用性和可靠性保护 系统部署要求应符合GB/T22239一2008的规定
系统安全防护 6 6.1主站安全 路灯控制管理系统与管理终端/控制器或其他系统通信时,应当采用逻辑隔离防护措施,保障路灯 控制管理系统安全
无论采用何种通信方式,主站纵向安全网关应当采用经国家指定部门认证的安全加固的操作系统 并采取严格的访问控制措施 当纵向通信采用网络/传输层安全防护时,纵向安全网关与管理终端/控制器间应当进行双向身份 鉴别建立起VPN加密通道,确保路灯控制报文的机密性和完整性
当纵向通信采用业务层安全防护时,路灯控制管理服务器应当配置安全模块(或加密服务器),对控 制命令和参数设置指令进行签名操作,实现管理终端/控制器对主站的单向身份鉴别与报文完整性保 护;路灯控制管理服务器与重要管理终端/控制器间可以采用双向认证加密,实现两者间的双向身份鉴 别,确保路灯控制报文端到端的机密性和完整性
横向安全网关与管理客户端设备间,应当进行双向身份鉴别建立起VPN加密通道,确保远程访问 报文的机密性和完整性
路灯控制管理服务器设备应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施,实 施严格的访问控制措施;用户身份鉴别应采用符合国家要求的非对称密码算法身份认证措施
非对称 密码算法应采用国密SM2算法和SM3算法
6.2管理终端安全 纵向通信采用网络/传输层安全防护时,在管理终端设备上配置安全模块,与纵向安全网关间应当 进行双向身份鉴别建立起VPN加密通道,确保路灯控制报文的机密性和完整性
管理终端与控制器 基于对称密码算法进行双向身份鉴别建立起加密通道,确保路灯控制报文的机密性和完整性
对称加 密算法应采用国密SM1算法
纵向通信采用业务层安全防护时,对来源于主站系统控制命令和参数设置指令采取安全鉴别和数 据完整性验证措施,对控制命令和参数设置指令附加消息验证码,实现控制器对管理终端的身份鉴别与 报文完整性保护,防范冒充主站对管理终端进行攻击,恶意操控路灯
为增加安全性对重要管理终端 控制器可以配置具有双向认证加密能力的安全模块,实现主站与管理终端间双向身份鉴别和数据加密 管理终端与重要控制器间可以采用双向认证加密,实现两者间的双向身份鉴别,确保路灯控制报文端到 端的机密性和完整性
对于能被手持设备控制或配置的管理终端,应当采用严格的访问控制措施;终端与手持设备应当采 用安全的通讯措施并采用符合国家要求的非对称密码算法的身份认证措施;对用户登录的口令强度进 行严格要求
管理终端设备应当具有防窃、防火、防破坏等物理安全防护措施
GB;/T34923.5一2017 6.3路灯控制器安全 当纵向通信采用链路/网络/传输层安全防护时,在路灯控制器上配置安全模块(或加密芯片),与管 理终端间应当进行双向身份鉴别建立起安全信道,确保路灯控制报文的机密性和完整性
当纵向通信采用链路/网络/传输层安全防护时,对于直接接受主站管理的重要控制器,与纵向安全 网关间应当进行双向身份鉴别建立起加密通道,确保路灯控制报文的机密性和完整性
当纵向通信采用业务层安全防护时,对于主站直接管理的控制器,与主站间可以采用双向认证加 密,实现两者间的双向身份鉴别,确保路灯控制报文端到端的机密性和完整性
对于能被手持设备控制或配置的控制器设备,应当采用严格的访问控制措施;终端与手持设备应当 采用安全的通讯措施并采用符合国家要求的非对称密码算法的身份认证措施;对用户登录的口令强度 进行严格要求
控制器设备应当具有防窃、防火、防破坏等物理安全防护措施
6.4管理客户端安全 在客户端设备上配置USBkEY或安全模块,与横向安全网关间应当进行双向身份鉴别建立起 VPN加密通道,确保远程访问报文的机密性和完整性
应当采用非对称密码算法实施用户身份鉴别 边界安全防护 7.1边界描述 系统边界主要包括内外网络边界、内部网络与其他系统边界、内部网络纵向边界和管理终端纵向边 界四部分,系统边界描述如表1所示
表1路灯控制管理系统边界描述 序号 边界类型 数据流 边界描述 业务数据、查询数据、控制指令数据等系统内部网络与公网连接形成的网络 内外网络边界 信息 边界 内部网络与其他系 系统内部网络与其他系统连接形成的网 四 业务数据,查询数据等信息 统边界 络边界 系统主站网络与管理终端连接形成的网 业务数据、控制指令数据等信息 内部网络纵向边界 络边界 系统管理终端与控制器连接形成的网络 管理终端纵向边界 业务数据、控制指令数据等信息 边界 7.2边界安全防护措施 边界安全防护措施应包括网络隔离、边界网络访问控制信息人侵检测、防御隐性边界等
系统边 界安全防护措施应符合表2的规定
GB/T34923.5一2017 表2系统边界安全防护措施 安全防护内容 安全防护措施 配置方式 实现效果 采用无线APN专线技术并结合数实现IP包加密、信息完整性认 安全隔离设备或安全网关 网络隔离 字证书进行认证并隔离非法报文 证、信源和信宿鉴别 仅允许开放与其他网络之间确定 保护路灯控制系统网络的应用 边界网络 的地址间通信,在防火墙上限制并 防火墙 不被来自其他网络的病毒或恶 访问控制 发连接及各主要服务类型的传输 意人员攻击 优先级 将路灯控制系统边界的流量映射 检测发现隐藏于流经边界正常" 信息人侵检测 人侵检测系统 至人侵检测探头所在的交换机端 信息流中的人侵行为 口进行人侵监测 防止路灯控制系统网络主机非 专用的防非法外联系统 路灯控制系统网络采用管理手段 防御隐性边界 法外联互联网,并对其行为进行 桌面终端安全管理系统结合专用技术措施 定位、阻断 在内外网络边界,应采用横向安全网关利用VPN技术实施逻辑隔离
在横向安全网关与客户 端设备间应当进行双向身份鉴别建立起VPN加密通道,确保远程访问报文的机密性和完整性;应采用 具有访问控制功能的网络设备、防火墙或者相当功能的设施,实施严格的远程访问控制措施
在内部网络与其他系统边界,应采用横向安全网关利用VPN技术实施逻辑隔离,其他系统对等 部署横向安全网关
两个横向安全网关间应当进行双向身份鉴别建立起VPN加密通道,应采用具有 访问控制功能的网络设备、防火墙或者相当功能的设备,实施严格的控制措施
在内部网络纵向边界,应采用纵向安全网关利用VPN技术实施逻辑隔离
在纵向安全网关与 管理终端间应当进行双向身份鉴别建立起VPN加密通道
应当采用具有访问控制功能的网络设备 防火墙或者相当功能的设施,实施严格的远程访问控制措施
在管理终端纵向边界,管理终端与控制器间进行数据交换时应采用双向身份鉴别和数据加密传 输机制
通信安全防护 8 8.1纵向通信安全 8.1.1概述 从路灯控制器上行至路灯控制管理系统主站,构成系统接人域
主站前部署纵向安全网关,路灯管 理终端和路灯控制器分别配置专用密码模块
路灯控制器专用密码模块需适应控制器的低配置要求
8.1.2主站与路灯管理终端间的通信安全 主站到路灯管理终端之间的通信方式包括电力光纤,电力载波、电力无线专网.GPRs,CDMA等多 种通信方式
当采用GPRs.CDMIA等公共无线网络时,应启用公网自身的安全措施,包括 采用APN+VPN或VPDN技术实现无线虚拟专用通道; a b)在主站和公共网络采用有线专线+G;RE等手段
GB;/T34923.5一2017 无论通信网络为专网还是公网,应采用sSL.VPN等密码技术进行密码安全防护,确保主站到路灯 管理终端双向身份鉴别路灯控制报文/路灯状态信息的完整性和机密性
8.1.3路灯管理终端与路灯控制器间的通信安全 路灯管理终端到路灯控制器之间的通信方式包括电力载波、电力无线专网等多种通信方式
为了适应于控制器的低端特性,应采用对称密钥机制实现管理终端和控制器之间的密码安全防护， 实施链路层或应用层密码措施,确保双向身份认证,以及路灯控制报文/路灯状态采集信息的完整性和 机密性
8.1.4主站与路灯控制器直连时的通信安全 当主站与路灯控制器之间直连控制时,应采用主站与路灯管理终端相同的技术措施,以增强主站的 可实施性,同时确保主站与路灯控制器双向身份鉴别、路灯控制报文/路灯状态信息的完整性和机密性
8.2横向通信安全 管理客户端与横向安全网关间,应建立VP加密通道,确保双向身份鉴别,远程访问报文的机密 性和完整性,防止非法客户端恶意操控路灯,以及假冒主站使管理终端的控制失效
其他系统应对等部署安全网关,与横向安全网关间应当建立VPN加密通道,确保双向身份鉴别、 系统交互数据的机密性和完整性
路灯控制管理系统安全防护技术规范GB/T34923.5-2017
路灯控制管理系统在城市夜间照明中起着至关重要的作用。为了保障路灯系统的正常运行，并确保市民的出行安全，必须采取一系列的安全防护措施。而GB/T34923.5-2017作为路灯控制管理系统的安全防护技术规范，对于规范路灯控制系统的安全性具有重要的意义。
一、规范说明
GB/T34923.5-2017是由国家市场监督管理总局发布的，主要目的是为了保证路灯控制系统的安全性，规范路灯控制系统的设计、制造和使用。该规范适用于路灯控制器、路灯控制器组、路灯集中控制系统等控制设备的设计和制造，以及市政工程建设、维护和管理等方面。
二、规范要求
GB/T34923.5-2017针对路灯控制管理系统的安全防护制定了一系列的规范要求：
1. 线缆布线
线缆布线时必须保证电缆与信号线分开布置，且与其他线缆之间隔离。线缆必须按照相关标准进行选择，符合国家电工法规。
2. 防雷接地
路灯控制管理系统必须采用有效的防雷措施，并进行接地处理，确保系统不会受到雷电干扰。在防雷方面，应根据不同区域的气候特点采取不同的防雷措施。
3. 电源保护
路灯控制管理系统应该进行电源保护，确保系统在短暂电压波动或电源故障时能够正常工作。此外，还需要保证电源选用符合国家标准的产品，并进行正确的接线和绝缘处理。
4. 系统维护
路灯控制管理系统在使用过程中，需要进行定期的检查和维护。对于出现故障的设备，应及时更换或修理。由于路灯控制系统工作时间长，使用寿命也较短，因此需要定期更换老化设备。
三、结语
通过GB/T34923.5-2017的规范要求，可以有效地提高路灯控制管理系统的安全性和稳定性。各个城市的市政管理部门应该严格按照本标准进行设计、制造和维护，确保路灯控制管理系统的可靠运行，为市民夜间出行提供更好的保障。
