★ 北京珞安科技有限責任公司

1 項目概況

1.1 項目背景

電力是關(guān)系國計民生的重要基礎產(chǎn)業(yè)，也是關(guān)系千家萬(wàn)戶(hù)的公用事業(yè)。電力安全可靠供應事關(guān)經(jīng)濟發(fā)展、人民生活和社會(huì )穩定，保障電力系統安全是國家安全的重要組成部分?，F代電力工業(yè)具有高度網(wǎng)絡(luò )化、系統化、自動(dòng)化的特征，以網(wǎng)絡(luò )、數據庫及計算機自動(dòng)控制技術(shù)為代表的信息處理技術(shù)已成為支撐電力生產(chǎn)控制和經(jīng)營(yíng)管理不可或缺的基礎要素，保障電力網(wǎng)絡(luò )與信息系統安全已成為電力系統安全穩定運行的重要前提。

各國尤其是大國之間，在網(wǎng)絡(luò )空間的控制與反控制、滲透與反滲透的斗爭更加激烈，維護網(wǎng)絡(luò )空間安全和保障國家重要基礎設施安全已經(jīng)成為國家戰略的制高點(diǎn)。近年來(lái)發(fā)生的“震網(wǎng)”和“棱鏡門(mén)”事件表明，某些西方大國為維持其全球霸權，一直在利用信息技術(shù)的原發(fā)優(yōu)勢，不斷加強對其他國家網(wǎng)絡(luò )空間的滲透、控制和破壞，對這些國家的政治、經(jīng)濟、軍事安全構成了嚴重威脅。我國在網(wǎng)絡(luò )空間方面，由于核心技術(shù)尚未完全掌握，關(guān)鍵設備大多從國外進(jìn)口，國產(chǎn)水平較低，信息安全基礎薄弱。維護網(wǎng)絡(luò )空間安全，保障電力等國家關(guān)鍵基礎設施和信息系統的安全，實(shí)現信息安全“能控、在控、可控”的任務(wù)還非常艱巨。

2017年6月1日起施行的《中華人民共和國網(wǎng)絡(luò )安全法》，明確提出了“關(guān)鍵信息基礎設施的運行安全”的概念。網(wǎng)絡(luò )安全法第五十九條規定，網(wǎng)絡(luò )運營(yíng)者不履行本法第二十一條和第二十五條規定的網(wǎng)絡(luò )安全保護義務(wù)的，由有關(guān)主管部門(mén)責令改正，給予警告；拒不改正或者導致危害網(wǎng)絡(luò )安全等后果的，處一萬(wàn)元以上十萬(wàn)元以下罰款；對直接負責的主管人員處五千元以上五萬(wàn)元以下罰款。關(guān)鍵信息基礎設施的運營(yíng)者不履行本法第三十三條、第三十四條、第三十六條和第三十八條規定的網(wǎng)絡(luò )安全保護義務(wù)的，由有關(guān)主管部門(mén)責令改正，給予警告；拒不改正或者導致危害網(wǎng)絡(luò )安全等后果的，處十萬(wàn)元以上一百萬(wàn)元以下罰款；對直接負責的主管人員處一萬(wàn)元以上十萬(wàn)元以下罰款。

國家能源局為發(fā)改委直屬機構，負責煤炭、石油、天然氣、電力（含核電）、新能源和可再生能源等能源的行業(yè)管理，于2015年2月發(fā)布了《電力監控系統安全防護總體方案》等安全防護方案和評估規范（國能安全〔2015〕36號）（以下簡(jiǎn)稱(chēng)“安全防護總體方案”）。安全防護總體方案是為了保障電力監控系統的安全，防范黑客及惡意代碼等對電力監控系統的攻擊和侵害，抵御集團式攻擊，防止電力監控系統的崩潰或癱瘓，以及由此造成的電力設備事故或電力安全事故（事件）而制定。安全防護總體方案明確了電力監控系統“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”的總體防護原則，明確了重點(diǎn)強化邊界防護，加強了內部物理、網(wǎng)絡(luò )、主機、應用和數據安全，加強了安全管理制度、機構、人員、系統建設和系統運維的管理，提高了系統整體安全防護能力的要求。

某火電廠(chǎng)依據國家及集團公司電力監控系統相關(guān)安全防護要求，結合自身電力監控系統和信息化情況制定了信息安全總體規劃，初步建立了信息安全體系，并取得了初步成效。但隨著(zhù)電力監控系統信息安全形勢的日益嚴峻，當前安全防護措施及管理手段已不能滿(mǎn)足電力監控系統的信息安全防護需要，國家及行業(yè)監管機構對電力監控系統信息安全愈加重視，也要求電力監控系統需要為滿(mǎn)足國家政策、法規及行業(yè)標準開(kāi)展電力監控系統信息安全建設。

1.2 項目簡(jiǎn)介

當前該火電廠(chǎng)電力監控系統主機層面需加強安全木馬病毒、惡意代碼及移動(dòng)存儲介質(zhì)管控；生產(chǎn)控制系統內需加強工控協(xié)議和行為監測以及入侵行為監測；生產(chǎn)控制系統產(chǎn)生的日志需統一做到存儲和監管，對突發(fā)異常事件需及時(shí)進(jìn)行告警和事件追溯等，因此火電廠(chǎng)需建立安全防護要求，需重點(diǎn)加強生產(chǎn)控制系統安全運營(yíng)和全生命周期運維保障。本方案應通過(guò)合理的分區分域，構建起火電廠(chǎng)電力監控系統內的網(wǎng)絡(luò )安全監測、主機安全防護、安全日志審查和安全運維監管的技術(shù)能力。

1.3 項目目標

（1）行業(yè)面臨挑戰及主要目標

為保障電力系統安全穩定運行，建立和完善電網(wǎng)、電廠(chǎng)計算機監控系統及調度數據網(wǎng)絡(luò )的安全防護體系，國家和行業(yè)相關(guān)部門(mén)先后發(fā)布了《電網(wǎng)和電廠(chǎng)計算機監控系統及調度數據網(wǎng)絡(luò )安全防護規定》（中華人民共和國國家經(jīng)濟貿易委員會(huì )令第30號）《電力二次系統安全防護規定》（國家電力監管委員會(huì )令第5號）《電力監控系統安全防護規定》（中華人民共和國國家發(fā)展和改革委員會(huì )令第14號）和《電力監控系統安全防護總體方案》（國能安全〔2015〕36號）。

其中《電力監控系統安全防護總體方案》（國能安全〔2015〕36號）作為行業(yè)最新的電力系統安全規范文件，以“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”為原則，提出了省級以上調度中心、地縣級調度中心、發(fā)電廠(chǎng)、變電站和配電等的二次系統安全防護方案，綜合采用防火墻、入侵檢測、主機加固、病毒防護、日志審計、統一管理等多種手段，為二次系統的安全穩定運行提供可靠環(huán)境。

該火電廠(chǎng)DCS系統安全整體解決方案涉及：網(wǎng)絡(luò )流量審計設計、網(wǎng)絡(luò )防入侵設計、網(wǎng)絡(luò )日志審計設計、安全運維設計、主機安全防護設計、集中管控設計等。通過(guò)以上設計，使該火電廠(chǎng)滿(mǎn)足相關(guān)要求，并保證該火電廠(chǎng)DCS系統滿(mǎn)足等保測評及安全防護要求。

（2）總體概述

2017年6月，《中華人民共和國網(wǎng)絡(luò )安全法》實(shí)施，提出實(shí)行等級保護制度，明確網(wǎng)絡(luò )運營(yíng)單位應當按照網(wǎng)絡(luò )安全等級保護制度的要求，履行安全保護義務(wù)，采取防范計算機病毒和網(wǎng)絡(luò )攻擊、網(wǎng)絡(luò )侵入等危害網(wǎng)絡(luò )安全行為的技術(shù)措施，保障網(wǎng)絡(luò )免受干擾、破壞或者未經(jīng)授權的訪(fǎng)問(wèn)，防止網(wǎng)絡(luò )數據泄露或者被竊取、篡改?！吨腥A人民共和國網(wǎng)絡(luò )安全法》及GB/T22239-2019《網(wǎng)絡(luò )安全等級保護基本要求》等一系列法律及行業(yè)規定要求的頒布實(shí)施，更進(jìn)一步凸顯電力系統運營(yíng)單位開(kāi)展網(wǎng)絡(luò )安全防護工作的重要性、迫切性和必要性。

某電力有限公司作為電力系統的重要組成部分，根據《中華人民共和國網(wǎng)絡(luò )安全法》及GB/T22239-2019《網(wǎng)絡(luò )安全等級保護基本要求》等要求，將開(kāi)展針對二期DCS系統（包含#3機組DCS系統、#4機組DCS系統、二期公用DCS系統）網(wǎng)絡(luò )安全的防護工作，采取安全防護技術(shù)措施，抵御網(wǎng)絡(luò )攻擊、網(wǎng)絡(luò )入侵等危害網(wǎng)絡(luò )安全行為，保障生產(chǎn)系統安全穩定運行。

（3）應用案例

本項目依據《電力監控系統安全防護總體方案》（國能安全〔2015〕36號文）及GB/T22239—2019《信息安全技術(shù)網(wǎng)絡(luò )安全等級保護基本要求》等標準和法規，結合該火電廠(chǎng)DCS系統網(wǎng)絡(luò )安全防護需求，通過(guò)技術(shù)結合管理的防護手段，進(jìn)行整體網(wǎng)絡(luò )安全防護建設，滿(mǎn)足電力行業(yè)、集團等相關(guān)要求，并保證該火電廠(chǎng)DCS系統滿(mǎn)足等保測評要求。

依據上述已發(fā)布的國家與行業(yè)標準規范，設計、建設DCS系統加固信息安全防護體系需從幾方面進(jìn)行：

·深度檢查：面向應用層對特有的工業(yè)通訊協(xié)議進(jìn)行內容深度檢查，告別病毒庫升級缺陷；

·主機加固：安裝了主機加固的電腦在面對自身與外界的安全威脅時(shí)有了更深的防護級別，深度執行白名單數據庫的數據運行；

·安全審計：完善的安全審計平臺，對網(wǎng)絡(luò )運行日志、操作系統運行日志、安全設施運行日志等進(jìn)行集中收集與自動(dòng)分析，及時(shí)發(fā)現各種違規行為以及病毒和黑客的攻擊行為；

·威脅檢查：部署于網(wǎng)絡(luò )邊界的威脅檢測系統能夠快速準確發(fā)現入侵監控系統的病毒和惡意代碼，實(shí)施清除并報警；

·實(shí)時(shí)報警：所有部署的工控信息安全產(chǎn)品都能由管理平臺統一進(jìn)行實(shí)時(shí)監控，任何非法的（沒(méi)有被組態(tài)允許的）訪(fǎng)問(wèn)，都會(huì )在管理平臺產(chǎn)生實(shí)時(shí)報警信息，從而故障問(wèn)題會(huì )在原始發(fā)生區域被迅速發(fā)現和解決。

（4）建設目標

·提高DCS系統信息安全防護能力

基于電力二期DCS系統網(wǎng)絡(luò )安全現狀，在工業(yè)控制系統的主機層和網(wǎng)絡(luò )層進(jìn)行安全加固、入侵檢測、安全審計和邊界防護以有效抵御來(lái)自工控網(wǎng)絡(luò )內部和外部的病毒、入侵、滲透以及違規操作行為對DCS系統造成破壞，防范信息安全事故的發(fā)生。

·滿(mǎn)足合規性要求

項目建設滿(mǎn)足能源局36號文中綜合防護的要求，提供網(wǎng)絡(luò )內部入侵檢測、主機與網(wǎng)絡(luò )設備加固、安全審計和惡意代碼防護的要求，使電力二期DCS系統安全防護措施達到國家監管部門(mén)對發(fā)電企業(yè)的要求。

·項目成果的應用

此項目進(jìn)一步加強了電力二期DCS系統信息安全的重視程度和實(shí)施力度，切實(shí)保證了DCS系統免受病毒、惡意代碼等的威脅，保持了系統安全穩定運行的狀態(tài)。

2 項目實(shí)施

（1）工控網(wǎng)絡(luò )審計

在該火電廠(chǎng)DCS系統中部署工控監測審計系統，實(shí)現對網(wǎng)絡(luò )流量、異常事件、操作行為和數據內容等安全審計，對異常行為進(jìn)行實(shí)時(shí)警報，并提供追蹤溯源。

（2）工控入侵監測

在該火電廠(chǎng)DCS系統中部署工控入侵檢測系統，發(fā)現網(wǎng)絡(luò )中的入侵行為，分析潛在威脅，提供安全報警，協(xié)助解決安全威脅。

（3）USB隔離裝置

在工控系統工程師站、操作員站交換機上并聯(lián)各部署1臺USB安全隔離裝置，防止病毒、木馬等惡意文件通過(guò)USB接口進(jìn)入系統，同時(shí)解決USB移動(dòng)設備接入工控系統無(wú)管控、無(wú)記錄等技術(shù)需求，從而提高主機的接口安全防護能力。

（4）運維安全審計

選用運維審計系統，分別在各機組DCS系統網(wǎng)絡(luò )中部署運維審計系統。通過(guò)部署運維審計系統，實(shí)現對設備的集中管控，限制設備的遠程登錄地址，對用戶(hù)的操作權限以及操作行為進(jìn)行審計記錄，并提供會(huì )話(huà)審計和回放功能，同時(shí)能夠確保審計記錄不被破壞或非授權訪(fǎng)問(wèn)。

（5）日志審計

在DCS系統交換機部署日志審計系統。該系統能夠實(shí)時(shí)將工業(yè)控制網(wǎng)絡(luò )中網(wǎng)絡(luò )設備、安全設備、服務(wù)器和數據庫系統的日志信息，進(jìn)行統一收集、處理和關(guān)聯(lián)分析，幫助一線(xiàn)管理人員從海量日志中迅速、精準地識別安全事件，及時(shí)對安全事件進(jìn)行追溯或干預，滿(mǎn)足國家標準規范中關(guān)于日志審計的相關(guān)要求。

（6）主機防護

在工作站、服務(wù)器等工業(yè)主機上部署主機安全防護系統軟件，實(shí)現身份鑒別、訪(fǎng)問(wèn)控制、安全審計、入侵防范、惡意代碼防范等功能，同時(shí)啟用操作系統自身的安全策略，實(shí)現操作系統自身安全性的提升和審計、記錄。

（7）集中管控

通過(guò)部署集中安全管理平臺，實(shí)現對網(wǎng)絡(luò )安全設備的統一安全管控，實(shí)現安全設備的狀態(tài)監控、審計管理和策略管理等集中管控功能，構筑安全管理中心平臺，提升整體網(wǎng)絡(luò )安全防護和運維管控水平。

（8）安全應用模式

通過(guò)在火電廠(chǎng)建立日志審計、運維審計、主機防護系統、USB隔離裝置、工控安全審計和入侵檢測，可有效加強電力監控系統安全防護要求，并突出應用價(jià)值，產(chǎn)品具備白名單防護功能，滿(mǎn)足行業(yè)安全防護特定需求和兼容性。

2.1 應用場(chǎng)景及效果

通過(guò)在火電廠(chǎng)DCS系統部署工控安全審計系統，實(shí)現對生產(chǎn)系統內工控流量和行為的全程監視，及時(shí)發(fā)現生產(chǎn)系統內異常的流量和行為。

通過(guò)在火電廠(chǎng)DCS系統部署入侵檢測系統，實(shí)現對生產(chǎn)系統的網(wǎng)絡(luò )安全情況的全程監視，及時(shí)發(fā)現生產(chǎn)系統內的網(wǎng)絡(luò )攻擊和病毒入侵等行為。

通過(guò)在火電廠(chǎng)DCS系統部署日志審計，實(shí)現生產(chǎn)系統日志統一監控和安全監控，當出現安全威脅時(shí)可進(jìn)行調查取證和威脅追溯。

通過(guò)在火電廠(chǎng)DCS系統部署運維安全審計，實(shí)現生產(chǎn)系統運維過(guò)程的權限分配和過(guò)程監控，規范運維操作流程，杜絕人為操作隱患。

DCS系統內的服務(wù)器、工程師站和操作員站，需加強惡意代碼防護和移動(dòng)存儲介質(zhì)管控。通過(guò)主機安全加固和USB安全隔離，滿(mǎn)足主機防護能力，避免主機出現病毒和木馬造成生產(chǎn)系統故障。

通過(guò)在火電廠(chǎng)DCS系統部署集中安全管理，實(shí)現生產(chǎn)系統內安全設備的集中管控與監視，杜絕安全信息孤島，實(shí)現生產(chǎn)系統內網(wǎng)絡(luò )安全整體的可視控制與分析。

通過(guò)以上安全防護產(chǎn)品可加強火電廠(chǎng)DCS系統的安全防護保障，同時(shí)符合火電廠(chǎng)DCS系統應用場(chǎng)景安全需求。

2.2 解決行業(yè)痛點(diǎn)及創(chuàng )新能力

通過(guò)在火電廠(chǎng)DCS系統內部署工控安全防護產(chǎn)品實(shí)現工控協(xié)議深度解析和防護，彌補了傳統安全產(chǎn)品協(xié)議解析能力，提高了設備穩定性。工控安全產(chǎn)品具備白名單防護功能，有效加強了生產(chǎn)環(huán)境檢測防護能力，同時(shí)生產(chǎn)環(huán)境要求低延遲、低功耗，通過(guò)工業(yè)級產(chǎn)品可滿(mǎn)足行業(yè)需求并解決行業(yè)痛點(diǎn)問(wèn)題，提高了行業(yè)新技術(shù)水平和技術(shù)創(chuàng )新能力。

3 案例亮點(diǎn)及創(chuàng )新性

對于某火電廠(chǎng)DCS系統安全防護項目的建設，其輸出成果具有重要意義和價(jià)值：

（1）滿(mǎn)足安全合規要求：本項目滿(mǎn)足《電力監控系統安全防護總體方案》（國能安全〔2015〕36號）及《信息安全技術(shù)網(wǎng)絡(luò )安全等級保護基本要求》等國家和行業(yè)監管要求，結合DCS系統的特點(diǎn)，在基于安全防護框架的指導下開(kāi)展火電企業(yè)工業(yè)控制系統安全防護建設。

（2）化繁為簡(jiǎn)的安全防護體系：本方案站在火電廠(chǎng)的角度設計安全防護方案，通過(guò)一整套基于白名單形式的防護產(chǎn)品組合，基于集中管控平臺作為對工控網(wǎng)絡(luò )內全部安全產(chǎn)品進(jìn)行集中管理，實(shí)現全網(wǎng)安全信息的抓手進(jìn)行可視化展示、安全設備的統一配置等功能，簡(jiǎn)化工業(yè)控制網(wǎng)絡(luò )內信息安全的防護工作流程，提升工控安全防護工作效率。整個(gè)防護方案覆蓋工業(yè)網(wǎng)絡(luò )環(huán)境、主機、PLC及DCS工控設備、工控組態(tài)軟件等全方位安全的縱深防護體系，覆蓋檢測、防護、響應和審計的全過(guò)程，不留安全死角。

（3）高度適配工控系統：方案實(shí)施無(wú)需改造現有工業(yè)網(wǎng)絡(luò )，無(wú)需頻繁升級工控系統和安全特征庫。安全設備符合工控環(huán)境標準，可靠實(shí)用。此外，在方案中使用的產(chǎn)品可兼容工控系統廣泛使用的Modbus、DNP3、IEC104、Profinet、OPC等數十種應用通信協(xié)議，智能學(xué)習各類(lèi)操作行為和參數，更好地識別攻擊行為。

（4）樹(shù)立標桿形成示范：本項目提供的方案設計針對工控系統的技術(shù)特點(diǎn)以及企業(yè)自身的業(yè)務(wù)特點(diǎn)，從管理到技術(shù)都完整的覆蓋到，很好地滿(mǎn)足了監管以及未來(lái)業(yè)務(wù)發(fā)展的需要，并在能源類(lèi)企業(yè)積累了良好的經(jīng)驗，為其他類(lèi)似企業(yè)起到良好的示范作用。

《自動(dòng)化博覽》2023年1月刊暨《工業(yè)控制系統信息安全專(zhuān)刊（第九輯）》