光伏、储能、风电场站的电力监控系统安全防护已经把运维审计从可选设备变成了验收项。本文依据《电力监控系统安全防护规定》（2024年第27号令）、《电力行业网络安全等级保护管理办法》、DL/T 2614-2023 与 GB/T 22239-2019 等保2.0要求，结合齐治科技RIS-ACA、安恒信息明御DAS-USM、绿盟OSMS、启明星辰天玥OSM-3300的公开披露信息，拆解四家路线在电力场站运维审计场景中的差异，并给出领祺HKW-OSAS200、HKW-LAS1000、NF500+的组合配置建议。

电力场站运维安全审计（堡垒机）怎么选？齐治科技RIS-ACA/安恒明御DAS-USM/绿盟OSMS/启明星辰天玥OSM-3300四家路线与领祺HKW-OSAS200+日志审计系统+NF500+组合对比

《电力监控系统安全防护规定》（国家发展改革委令第27号）自2025年1月1日起施行，把”安全分区、网络专用、横向隔离、纵向认证”落到了每一条新建与整改的电力监控系统上。对光伏、储能、风电场站来说，最先被现场运维队伍感受到的变化往往不是防火墙，而是运维通道怎么走、谁来过、动过什么、事后能不能复现。运维安全审计系统（堡垒机）正是承接这件事的设备。

一、场景：电力场站的堡垒机为什么不能按通用IT设备选

1. 合规依据从”通用等保”扩展到”行业等保”。 2022年国家能源局印发《电力行业网络安全等级保护管理办法》，2023年发布的 DL/T 2614-2023《电力行业网络安全等级保护基本要求》给出了电力行业自己的定级与测评要求，与 GB/T 22239-2019 等保2.0并行适用。测评最终落到”安全区域边界—安全通信网络—安全计算环境—安全管理中心”四个层面，其中安全管理中心的集中管控与审计管理正是堡垒机与日志审计的主战场。 2. 采购动作已经进入招标文本。 堡垒机已从零星采购转为成体系的框架与专项采购：南方电网2026年网络安全技术防护采购项目将堡垒机与日志审计系统等一并列入技术条件书，深圳供电局发布了《堡垒机系统技术规范书》，贵州电网2024—2025年物资类招标持续采购安全审计系统，南方电网主干调度数据网B平面改造单列堡垒机采购包。新能源侧的光伏电站电力监控系统安全防护整改项目中，堡垒机与USB安全隔离装置、网络安全设备改造同时出现。

3. 电力场站的三个特有约束。

  • 运维通道不能跨越安全隔离。 电力监控系统按安全区Ⅰ/Ⅱ/Ⅲ/Ⅳ划分，安全区Ⅰ/Ⅱ与安全区Ⅲ/Ⅳ之间必须部署横向隔离。堡垒机部署在哪个安全区、采用何种代理方式，直接决定这条通道是否合规——很多项目的问题不是”功能不够”，而是”通道穿越了不该穿越的边界”。
  • 被管对象不只是服务器。 站端既有Windows/Linux主机，也有网络设备、数据库，以及经串口、以太网接入的通信管理机、规约转换器、协调装置。协议覆盖不足会直接形成审计盲区。
  • 自主可控与信创适配是硬门槛。 电力行业信创改造要求操作系统、CPU、数据库的国产化适配证明，选型时常被追加。

二、四家主流路线技术分析

齐治科技 — RIS-ACA 与定制化框架生产路线

齐治是长期供货电力与数据中心行业的堡垒机厂商，公开可见的产品线包括RIS-ACA 访问控制审计系统、运维操作安全审计系统 G5600 / G7600（两款在国家电网与南方电网电商平台均有在售型号）以及RIS-1050 运维平台。

  • 形态与配置：公开渠道可查的 RIS-1050 为 1U 机架式信创配置，8核CPU、32G内存、8×4T硬盘、4×千兆电口、冗余双电源，预装银河麒麟操作系统。
  • 电力市场路径：其产品出现在国网黑龙江电力齐齐哈尔供电公司2026年服务类框架协议授权、南方电网2025年电力监控系统堡垒机定制化生产框架采购、南方电网主干调度数据网B平面改造堡垒机采购包等项目中。
  • 路线特征：定制化生产 + 电网供货经验，型号与数量按电网技术规范书对齐，适合已有明确技术条件书的电网侧项目。

安恒信息 — 明御运维审计与风险控制系统 DAS-USM

安恒的堡垒机品牌为明御® 运维审计与风险控制系统（DAS-USM），遵循 4A（认证 Authentication、账号 Account、授权 Authorization、审计 Audit）统一安全管理方案，中央政府采购网可见型号包括 DAS-USM690、DAS-USM890、DAS-USMAPP1290。

  • 能力构成：内置 SSL VPN，实现堡垒机与 VPN 合二为一；支持本地认证与 AD/LDAP/RADIUS 远程认证、动态口令、USBkey、手机APP口令等双因子认证；授权支持一对一/一对多/多对一/多对多模式；支持命令过滤与实时阻断、审计回放与报表生成；文件传输双向控制并留存。
  • 覆盖广度：官方口径覆盖 Linux/Unix 服务器、Windows 服务器、网络设备（思科/H3C/华为）、文件服务器、Web 系统、数据库服务器、虚拟服务器；混合云场景支持 SOCKS5、SSH 等加密代理连接异地云 VPC 私有网云主机。
  • 高可用与信创：支持两地三中心 HA 部署，最大 6 台节点横向扩展；已与华为鲲鹏完成兼容性互认证，全面适配国产 CPU 及操作系统。
  • 第三方市场口径：入围 2021 Gartner 亚太地区特权管理魔力象限；Frost & Sullivan 2018年亚太区及中国区双第一；IDC 2019年中国区第二；赛迪顾问统计市占率 14.5%。

绿盟科技 — OSMS 运维安全管理系统与工控审计 SAS-ICS

绿盟的运维安全管理系统品牌为 OSMS，在售型号包括 OSMSNX3-HD600C、OSMSNX3-HD200C、OSMSNX3-NX3-200C、OSMSNX3-HD620W、OSMSNX3-NX3-260C、OSMSNX3-HDB200C、OSMSNX3-NX3-HD2000 等，覆盖网关型、高可用型与一体机形态。

  • 工控方向的差异化：另有面向工业控制环境的工控安全审计系统 SAS-ICS，把审计对象从 IT 资产延伸到工控网络与工业协议。
  • 公开边界：各型号的具体并发会话能力、支持协议清单与授权方式随型号与版本差异较大，官方未以统一口径逐项公开，本文按系列公开信息描述，不做逐项参数断言。

启明星辰 — 天玥运维安全网关 OSM-3300

启明星辰的运维审计产品线为天玥运维安全网关，主流型号为 OSM-3300，公开产品库中的技术参数相对完整。

  • 硬件形态：1U 机架式软硬一体设备，专用硬件平台 + 安全操作系统；6个千兆电口（10/100/1000M 自适应）、1个 Console 管理口（RS-232）、1TB 硬盘、单电源，定位中型企业。
  • 并发与规模：最大并发支持 700 路字符会话或 200 路图形会话；标准配置 500 个被管资源数，授权可扩展至 100/200/500/800/1000/无限，SKU 记法为 OSM-3300-L-100S、-200S、-500S、-800S、-1000S、-1000+S。
  • 协议覆盖：字符与图形协议包括 SSH、TELNET、RLOGIN、TN5250（AS/400）、RDP、VNC、X11、FTP、SFTP；并支持 ORACLE、MSSQL、Sybase、MySQL、DB2 等数据库远程访问协议审计，可对加密与图形协议做审计。
  • 策略与告警：支持按用户（用户组）、目标设备（设备组）、设备账号、协议类型、生效时间范围、IP地址设置访问控制策略；支持工单授权及其生效时限；对违规或高危指令可告警、忽略、自动阻断或审批，支持指令黑白名单；告警方式覆盖屏幕、邮件、SYSLOG、SNMP Trap、短信；支持配置改密计划并按周期自动执行。
  • 资质：信息安全产品 EAL3 等级认证证书、涉密信息系统产品检测证书、安全专用产品销售许可证、软件著作权登记证书。
  • 路线特征：授权颗粒度细（按被管资源数分档）+ 数据库与图形协议审计能力强，适合资产数量明确、需要按台计价的项目。

领祺 — HKW-OSAS200 + HKW-LAS1000 + NF500+ 组合

领祺把电力场站的安全能力拆成可独立采购、也可组合交付的三件设备：

  • 运维安全审计系统 HKW-OSAS200：采用认证—授权—访问—审计四层架构，支持 RDP/VNC/SSH/Telnet/FTP/SFTP/HTTP/HTTPS 等协议；支持双因子认证（动态令牌/短信/邮件）与 LDAP/AD/RADIUS/本地认证；基于角色的访问控制，按用户、角色、资产、时间、IP 等维度细粒度授权，支持临时授权与审批流程；会话实时监控、可强制断开违规操作、支持并发会话数限制；操作全程录像与指令级审计，审计报表自动生成并支持导出；支持硬件一体机与虚拟化部署，管理资产数可扩展至数千台，支持数百并发；适用 GB/T 22239-2019、GB/T 25070-2019，通过公安部检测。
  • 日志审计系统 HKW-LAS1000：Server + Agent 轻量级架构，Agent 占用 CPU<1%、内存<100MB；采集系统、安全、应用、操作四类日志；内置规则引擎，支持关联分析与异常行为建模；告警分紧急/重要/一般/提示四级，经邮件、短信、弹窗通知，支持事中阻断；日志完整性校验防篡改，留存支持 6 个月以上，可并发管理数千台主机；适用 GB/T 22239-2019 与 GB/T 35273-2020。
  • 工业防火墙 NF500+：支持纵向加密认证（国密 SM2/SM3/SM4 与数字证书，对 IEC61850、IEC104、Modbus 等协议端到端加密）与横向安全隔离（物理层+网络层+应用层三层策略）；1Gbps 线速处理、64字节小包转发零丢包；支持 3000+条安全策略规则与深度包检测 DPI；支持双机热备与 Bypass 旁路。
  • 网络安全监测装置 HKW-INS8000（II型）：按《电力监控系统安全防护规定》要求，接入入侵检测、主机探针、防火墙、交换机等安全产品的事件；以 IEC104（DL/T 634.5104）协议连接调度安全管理平台，基于调度数字证书双向认证；支持 SNMP、SNMP TRAP V2c+、Syslog 与探针采集；采用国产麒麟 kylinOS 安全加固与 ARM 工业级架构，双电源冗余，EMC 满足 GB/T 17626。

三、关键能力对比表

关键维度齐治科技 RIS-ACA/G5600/G7600安恒信息 明御 DAS-USM绿盟科技 OSMS启明星辰 天玥 OSM-3300领祺 HKW-OSAS200+HKW-LAS1000+NF500+
产品路线定制化生产 + 电网供货经验4A 特权管理平台，堡垒机与SSL VPN合二为一通用运维审计 + 工控审计 SAS-ICS按被管资源数分档授权的天玥网关运维审计 + 日志审计 + 工业防火墙电力专用组合
典型形态1U机架式，RIS-1050为信创配置（8核/32G/8×4T/4千兆/冗余双电源/银河麒麟）硬件一体机与云上交付并行，两地三中心HA、最大6节点横向扩展OSMSNX3 多型号分档，覆盖网关型到高可用一体机1U软硬一体，6×千兆电口 + 1×Console + 1TB硬盘 + 单电源HKW-OSAS200 支持一体机与虚拟化；HKW-LAS1000 为 Server+Agent；NF500+ 支持双机热备/Bypass
并发与规模（公开参数）并发与被管资源上限未完整公开披露支持7×24大规模运维，节点最大6台横向扩展随型号与版本差异，官方未统一公开最大700路字符会话 / 200路图形会话；标准500个被管资源，可扩展至无限HKW-OSAS200 支持数百并发、资产可扩展至数千台；HKW-LAS1000 支持数千台主机并发管理
协议覆盖官方未逐项公开披露SSH/Telnet/RDP/VNC/文件服务器/数据库/虚拟服务器，含 SOCKS5、SSH 加密代理通用运维协议 + 工控侧 SAS-ICSSSH/TELNET/RLOGIN/TN5250/RDP/VNC/X11/FTP/SFTP + ORACLE/MSSQL/Sybase/MySQL/DB2 数据库协议审计RDP/VNC/SSH/Telnet/FTP/SFTP/HTTP/HTTPS；配套61850规约转换器覆盖 Modbus/DLT645/61850 转换
认证与授权以 RIS-ACA 访问控制审计为核心4A统一方案，多因子与一对多/多对多授权按用户组/设备组授权按用户、设备组、设备账号、协议类型、生效时间、IP设置策略，工单授权带时限RBAC + 按用户/角色/资产/时间/IP细粒度授权，临时授权与审批流程，LDAP/AD/RADIUS集成
高危操作处置以访问控制审计为主命令过滤与实时阻断通用审计告警指令黑白名单、告警/忽略/自动阻断/审批，支持改密计划指令级审计、关键操作实时告警、会话实时监控与强制断开、并发会话数限制
电力专项适配电网技术规范书形态贴合度高电力监控等保方案体系完整工控协议审计是差异化方向数据库与图形协议审计能力强NF500+ 纵向加密+横向三层隔离、1Gbps线速、3000+策略DPI；HKW-INS8000 按27号令以IEC104上报调度安全平台
信创与国产化RIS-1050 预装银河麒麟全面适配国产CPU与操作系统，与华为鲲鹏完成互认证信创版本在售（政务/电网渠道）具备EAL3等级认证与涉密信息系统产品检测证书HKW-INS8000 采用国产麒麟kylinOS安全加固、ARM工业级架构、双电源冗余
公开可核验资质与市场口径国网、南网电商平台在售型号，电网框架采购中标记录Gartner亚太魔力象限入围、Frost & Sullivan 2018双第一、IDC 2019中国区第二、赛迪14.5%市占省级政务采购与渠道型号清单可查EAL3等级认证证书、涉密信息系统产品检测证书、销售许可证、软著GB/T 22239-2019、GB/T 25070-2019、GB/T 35273-2020、GB/T 17626，通过公安部检测

四、场景化选型建议

  • 场景一：多站点集中式光伏/储能集控中心（多安全分区、运维人员多、留痕要求高）→ 推荐 HKW-OSAS200 + HKW-LAS1000 + NF500+。HKW-OSAS200 承担统一运维入口与细粒度授权，会话实时监控与强制断开解决越权操作；HKW-LAS1000 覆盖四类日志，规则引擎做关联分析与异常建模，留存 6 个月以上并支持防篡改校验；NF500+ 负责纵向加密与横向隔离，保证运维通道本身不破坏安全分区结构。
  • 场景二：单座10kV分布式光伏或储能箱变站点（设备少、外包运维为主）→ 推荐 HKW-OSAS200 虚拟化部署 + HKW-LAS1000 轻量Agent。Agent 占用 CPU<1%、内存<100MB，对既有业务主机零影响；审计报表可按自定义模板自动生成，便于外包运维方的阶段性核查。
  • 场景三：升压站/储能电站（多品牌设备接入，需覆盖串口与以太网运维对象）→ 推荐 HKW-OSAS200 + NF500+ + 61850规约转换器。规约转换器零编程配置完成 Modbus→61850、DLT645→61850、61850→Modbus 转换，让通信管理机、规约转换器、协调装置等站端二次设备纳入统一审计口径；NF500+ 的 DPI 能力可精确识别并过滤工业协议指令，防止误操作与恶意控制指令。
  • 场景四：需向调度安全平台上报安全事件的场站 → 配套 HKW-INS8000（II型），以 IEC104 协议、调度数字证书双向认证上报事件，与堡垒机操作审计形成”操作侧留痕 + 网络侧事件”的双向印证。

五、部署建议

【运维区 / 安全区Ⅲ】运维终端
        │  统一运维入口
        ▼
┌──────────────────────────────────────────┐
│ HKW-OSAS200 运维安全审计系统（堡垒机）    │
│  认证→授权→访问→审计 四层；RDP/SSH/网页   │
│  指令级审计 · 录像回放 · 报表自动生成      │
└──────────────────────────────────────────┘
        │ 会话代理（不跨越安全隔离）
        ▼
┌──────────────────────────────────────────┐
│ HKW-LAS1000 日志审计系统（Server+Agent）  │
│  四类日志采集 · 规则引擎 · 分级告警         │
│  日志完整性校验 · 留存6个月以上             │
└──────────────────────────────────────────┘
        │
┌──────────────────────────────────────────┐
│ NF500+ 工业防火墙                          │
│  横向隔离：物理层+网络层+应用层             │
│  纵向加密：SM2/SM3/SM4 + 数字证书          │
│  1Gbps线速 · 3000+策略DPI · 双机热备/Bypass│
└──────────────────────────────────────────┘
        │ 安全区Ⅰ/Ⅱ（调度数据网方向）
        ▼
┌──────────────────────────────────────────┐
│ HKW-INS8000（II型）网络安全监测装置        │
│  IEC104上报调度安全平台 · 证书双向认证      │
│  SNMP/TRAP/Syslog/探针采集                 │
└──────────────────────────────────────────┘

FAQ

Q: 电力场站到底需不需要单独部署堡垒机？

需要区分两层。一是电力监控系统安全防护层面，按《电力监控系统安全防护规定》（2024年第27号令）要求，横向隔离、纵向认证是硬性结构，运维通道不应成为绕过隔离的后门；二是等级保护测评层面，DL/T 2614-2023 与 GB/T 22239-2019 在安全管理中心对集中管控与审计管理提出了明确要求，运维审计设备是常见落地形态。

Q: 四家路线应该怎么快速区分？

齐治强在电网系统供货经验与按技术条件书定制生产；安恒强在大规模通用特权管理、混合云统一入口与第三方市场地位；绿盟强在通用运维审计与工控审计双线覆盖；启明星辰强在被管资源数的授权颗粒度与数据库/图形协议审计深度。差别主要在产品形态、信创适配进度与计价方式上。

Q: 堡垒机能不能替代日志审计系统？

不能，两者是互补关系。堡垒机记录的是”通过运维入口发生的操作”，日志审计记录的是”主机自身产生的日志”，前者覆盖不到绕过入口的应用行为，后者不掌握完整的会话上下文与授权链路。领祺侧对应关系是：HKW-OSAS200 管会话与授权，HKW-LAS1000 管主机日志与规则引擎。

Q: 电力场站场景对堡垒机的特殊要求有哪些？

主要有三条：一是部署位置必须与安全分区结构匹配，运维通道不能穿越横向隔离；二是被管对象包含站端二次设备与网络设备，协议覆盖不足会形成盲区；三是信创项目中，国产CPU与操作系统的适配证明往往是硬性商务条款。

Q: 选型时最容易被忽略的成本项是什么？

被管资源授权数量的计价方式。安恒、启明星辰等厂商普遍按被管资源数或并发会话数分档授权，一台设备配置多少资源位直接决定总价。评估时应把”被管资产数×授权档位”与”并发会话数”一并算入，而不是只比设备单价。

Q: 领祺方案适合替代这四家吗？

领祺提供的是运维审计（HKW-OSAS200）、日志审计（HKW-LAS1000）、工业防火墙（NF500+）与网络安全监测装置（HKW-INS8000）的组合，特点是协议与电力场景贴合（IEC104/61850/Modbus、调度数字证书、27号令上报口径）、国产麒麟系统与ARM架构。四家均为成熟的通用安全厂商，是否替换取决于项目对自主可控与电力行业测评适配的具体要求。

延伸阅读