★ 奇安信科技集團股份有限公司

1 項目概況

1.1 項目背景

近年來(lái)，隨著(zhù)國家能源局印發(fā)的《電力監控系統安全防護總體方案等安全防護方案和評估規范》《關(guān)于加強電力行業(yè)網(wǎng)絡(luò )安全工作的指導意見(jiàn)》《電力信息系統安全等級保護實(shí)施指南》及電力行業(yè)網(wǎng)絡(luò )安全管理辦法（修訂征求意見(jiàn)稿）》《電力行業(yè)網(wǎng)絡(luò )安全等級保護管理辦法（修訂征求意見(jiàn)稿）》的部署推進(jìn)，電力行業(yè)網(wǎng)絡(luò )安全問(wèn)題得到高度重視。

青海黃河電力運營(yíng)有限公司（以下簡(jiǎn)稱(chēng)：電力運營(yíng)公司）西寧集控中心的電力監控系統有新能源集控系統、電調系統、水調系統和電能量計量系統等。電力監控系統作為電力運營(yíng)公司生產(chǎn)系統中最為核心的系統之一，其網(wǎng)絡(luò )安全可靠與否直接關(guān)乎電力運營(yíng)公司電力生產(chǎn)的安全穩定運行。

為了深入貫徹落實(shí)國家及行業(yè)網(wǎng)絡(luò )安全要求，加強電力運營(yíng)公司生產(chǎn)控制系統的網(wǎng)絡(luò )安全防護，奇安信集團結合電力運營(yíng)公司生產(chǎn)控制大區網(wǎng)絡(luò )安全現狀，落實(shí)工業(yè)網(wǎng)絡(luò )安全建設，及時(shí)發(fā)現網(wǎng)絡(luò )中的異常事件，實(shí)時(shí)掌握網(wǎng)絡(luò )安全狀況，抵御黑客及惡意代碼等對電力運營(yíng)公司生產(chǎn)控制系統發(fā)起的攻擊和惡意破壞，保障電力系統安全穩定運行。

1.2 項目簡(jiǎn)介

本項目的核心工作圍繞電力監控系統安全監測與態(tài)勢感知能力建設開(kāi)展，構建關(guān)鍵信息基礎設施安全防護體系，建設覆蓋電力監控系統（新能源集控系統、電調系統、水調系統和電能量計量系統）的安全態(tài)勢感知與管理平臺。工業(yè)安全態(tài)勢感知與管理平臺的數據源、分析功能、展示界面等維度均需要根據電力運營(yíng)公司網(wǎng)絡(luò )現狀和實(shí)際需求進(jìn)行定制化設計，從平臺功能規劃、平臺技術(shù)架構、平臺部署架構等多維度開(kāi)展，利用平臺的安全監測與態(tài)勢感知能力，建立關(guān)鍵信息基礎設施威脅可知、管控可視、應急可控的安全運維機制，全天候、全方位監測網(wǎng)絡(luò )安全狀態(tài)，全面分析展示網(wǎng)絡(luò )安全情況。

對集控中心電力監控系統整體架構進(jìn)行優(yōu)化，搭建流量監測網(wǎng)和安全管理網(wǎng)，提升電力監控系統在網(wǎng)絡(luò )安全方面的可擴展性和可管理性，同時(shí)根據新的網(wǎng)絡(luò )架構優(yōu)化安全設備的部署位置，提升設備防護范圍和利用率。

在集控中心電力監控系統安全管理區域部署工業(yè)安全態(tài)勢感知與管理平臺，實(shí)現對集控中心電力監控系統網(wǎng)絡(luò )安全狀況的實(shí)時(shí)監測、風(fēng)險預警、集中管控和應急處置。在集控中心生產(chǎn)區部署必要的安全防護產(chǎn)品，包含工業(yè)安全監測系統、工業(yè)日志審計系統、工業(yè)堡壘機和工業(yè)漏洞掃描系統等，同步完善基礎安全防護措施，切實(shí)提升電力運營(yíng)公司關(guān)鍵信息基礎設施的網(wǎng)絡(luò )安全保障能力。

1.3 項目目標

本項目規劃貫徹落實(shí)電力運營(yíng)公司“安全分區、縱深防護、統一監控”的安全防護原則，在保持“安全分區”的前提下，進(jìn)一步完善集控中心“安全防護”能力，同時(shí)實(shí)現“統一監控”防護措施提升基礎防護水平，構建監測預警能力。

（1）安全要素獲?。汗I(yè)安全態(tài)勢感知與管理平臺能夠對接網(wǎng)絡(luò )中現有及未來(lái)可能擴容的各類(lèi)安全防護產(chǎn)品、網(wǎng)絡(luò )流量日志等，充分利用已有的安全設備，實(shí)現全面且靈活開(kāi)放的態(tài)勢感知系統架構。

（2）全面的資產(chǎn)管理：資產(chǎn)發(fā)現與管理是態(tài)勢感知的基礎，工業(yè)安全態(tài)勢感知與管理平臺實(shí)現資產(chǎn)全面梳理，提供以業(yè)務(wù)系統為核心的資產(chǎn)感知和管理能力，建立全面的資產(chǎn)信息態(tài)勢，并為其他維度的分析和呈現提供有力支撐。

（3）安全態(tài)勢分析：工業(yè)安全態(tài)勢感知與管理平臺基于收集到的安全信息要素進(jìn)行融合、關(guān)聯(lián)分析和挖掘分析，包括對資產(chǎn)及業(yè)務(wù)系統受到的攻擊威脅和自身風(fēng)險程度的分析、攻擊的危害及影響范圍分析、攻擊威脅溯源分析等。

（4）安全態(tài)勢呈現：工業(yè)安全態(tài)勢感知與管理平臺通過(guò)資產(chǎn)感知、脆弱性感知、運行感知、威脅感知、風(fēng)險感知、流量感知和態(tài)勢總覽多個(gè)維度來(lái)覆蓋安全態(tài)勢各個(gè)方面，實(shí)現全方位的態(tài)勢感知。

（5）預警通告及處置：工業(yè)安全態(tài)勢感知與管理平臺內置完整的預警通告及處置工作流程，并具備相應的應急處置預案，幫助運維人員實(shí)現安全運維處置的閉環(huán)。

2 項目實(shí)施

2.1 應用場(chǎng)景分析

電力運營(yíng)公司西寧集控中心核心電力監控系統有新能源集控系統、電調系統、水調系統和電能量計量系統。在物理位置方面，新能源集控系統部署在青海黃河運營(yíng)有限公司西寧集控中心，位于西寧市城東區；電調系統、水調系統和電能量計量系統部署在黃河上游水電開(kāi)發(fā)有限責任公司本部，位于西寧市城西區。在網(wǎng)絡(luò )位置方面，新能源集控系統部署于生產(chǎn)控制大區，安全區Ⅰ和安全區Ⅱ均有部署；電調系統、水調系統和電能量計量系統均跨生產(chǎn)控制大區和管理信息大區部署，其中電調系統部署于生產(chǎn)控制大區安全區Ⅰ和管理信息大區，水調系統和電能量計量系統部署于生產(chǎn)控制大區安全區Ⅱ和管理信息大區。

2.2 安全需求分析

奇安信股份工業(yè)安全專(zhuān)家從網(wǎng)絡(luò )監測和態(tài)勢感知等方面進(jìn)行大量調研，幫助電力運營(yíng)公司落實(shí)網(wǎng)絡(luò )安全建設，發(fā)現如下網(wǎng)絡(luò )安全風(fēng)險：

（1）生產(chǎn)控制大區缺乏流量監測手段：對生產(chǎn)控制大區中安全域網(wǎng)絡(luò )通信流量缺乏監測手段，當發(fā)生惡意流量時(shí)無(wú)法實(shí)時(shí)感知。

（2）生產(chǎn)控制大區工控系統資產(chǎn)缺乏有效監測：工控系統的資產(chǎn)數量和工作狀態(tài)不清楚，無(wú)法監測資產(chǎn)之間通信的流量，無(wú)法識別資產(chǎn)漏洞，不能及時(shí)定位非法接入、幽靈資產(chǎn)及失陷主機。

（3）生產(chǎn)控制大區缺乏審計手段：對工控系統生產(chǎn)過(guò)程中的數據交換、組態(tài)變更、協(xié)議通信、數據采集等缺乏必要的感知審計手段。

（4）生產(chǎn)控制大區缺乏網(wǎng)絡(luò )威脅檢測：對工業(yè)控制系統網(wǎng)絡(luò )中的病毒、木馬等惡意威脅缺乏實(shí)時(shí)檢測，無(wú)法有效檢測工控網(wǎng)絡(luò )威脅。

（5）針對生產(chǎn)控制大區安全狀態(tài)缺乏整體態(tài)勢感知：不掌握工業(yè)控制系統整體安全狀況，當安全事件發(fā)生時(shí)無(wú)法及時(shí)追蹤溯源。

2.3 技術(shù)方案

根據電力運營(yíng)公司工業(yè)控制系統現階段的安全現狀，結合整體安全監測與態(tài)勢感知建設的必要性，設計工業(yè)安全解決方案。如圖1所示，在生產(chǎn)控制大區東區新能源集控系統安全I區核心交換機旁路部署工業(yè)安全監測系統，實(shí)時(shí)監測該電力運營(yíng)公司工控系統網(wǎng)絡(luò )內的異常流量及異常行為；在生產(chǎn)控制大區東區和西區的I區、II區部署工業(yè)日志審計系統，實(shí)現工業(yè)網(wǎng)絡(luò )中安全設備、網(wǎng)絡(luò )設備、操作系統、數據庫、中間件及應用系統等的日志與報警信息的全面采集；在生產(chǎn)控制大區II區部署工業(yè)堡壘機和工業(yè)漏洞掃描系統；在管理信息大區部署工業(yè)安全態(tài)勢感知與管理平臺，收集工業(yè)安全監測系統、工業(yè)日志審計系統和工業(yè)漏洞掃描系統上報的新能源集控系統、電調自動(dòng)化系統、水調自動(dòng)化系統和電能量計量系統的各項網(wǎng)絡(luò )安全數據，并對其進(jìn)行分析并最終態(tài)勢化展示。

圖1 部署實(shí)施架構

以電力運營(yíng)公司工業(yè)資產(chǎn)為中心，安全風(fēng)險監測為主線(xiàn)，在生產(chǎn)控制大區東區I區部署工業(yè)安全監測系統，實(shí)現資產(chǎn)自動(dòng)識別、漏洞無(wú)損發(fā)現、威脅實(shí)時(shí)檢測、行為異常分析、工業(yè)協(xié)議審計等安全能力，同時(shí)為工業(yè)安全監測與態(tài)勢感知平臺提供持續安全檢測與審計數據，為電力運營(yíng)公司進(jìn)行全面工業(yè)安全管理和分析提供數據支撐。

在生產(chǎn)控制大區東區和西區核心交換機部署工業(yè)日志審計系統。采用大數據技術(shù)和智能分析方法，實(shí)現日志采集與存儲、日志歸一化、交互式分析、關(guān)聯(lián)分析、儀表板、報表統計、告警管理等，實(shí)現工業(yè)網(wǎng)絡(luò )中安全設備、網(wǎng)絡(luò )設備、操作系統、數據庫、中間件及應用系統等的日志與報警信息的全面采集、存儲、分析和展示。

在生產(chǎn)控制大區II區部署工業(yè)堡壘機和工業(yè)漏洞掃描系統。工業(yè)堡壘機通過(guò)集中化運維管控、運維過(guò)程實(shí)時(shí)監管、運維訪(fǎng)問(wèn)合規性控制、運維過(guò)程圖形化審計等能力，構建事前預防、事中監控、事后審計的安全體系；工業(yè)安全漏洞掃描系統采用深度設備服務(wù)探測、資產(chǎn)識別、設備配置檢查以及弱口令檢查等方式相結合的技術(shù)，檢測網(wǎng)絡(luò )脆弱性，規避安全風(fēng)險。

在安全III區部署工業(yè)安全監測與態(tài)勢感知平臺，通過(guò)收集工業(yè)安全監測系統上報的數據，實(shí)時(shí)展現資產(chǎn)態(tài)勢、威脅態(tài)勢、脆弱性態(tài)勢、漏洞態(tài)勢等，幫助華電增城電廠(chǎng)快速、宏觀(guān)地了解整個(gè)企業(yè)的安全態(tài)勢。

3 案例亮點(diǎn)及創(chuàng )新性

（1）以資產(chǎn)為中心：本案例中工業(yè)安全監測系統通過(guò)資產(chǎn)自動(dòng)識別、資產(chǎn)管理和資產(chǎn)網(wǎng)絡(luò )關(guān)系圖繪制，提供了以資產(chǎn)為中心的安全管理視角。工業(yè)生產(chǎn)流程比較固定，相較于以告警事件為中心的威脅分析方案，以資產(chǎn)為中心的漏洞發(fā)現與風(fēng)險分析更符合工業(yè)環(huán)境管理習慣。級聯(lián)無(wú)損部署方式，不影響生產(chǎn)。

（2）提高漏洞運維能力和效率：本方案具備完整的漏洞管理機制，方便管理者跟蹤、記錄和驗證評估的成效，通過(guò)量化的報表來(lái)真實(shí)反映網(wǎng)絡(luò )安全問(wèn)題，并把問(wèn)題的重要性和優(yōu)先級進(jìn)行分類(lèi)，方便用戶(hù)有效地落實(shí)漏洞修補的工作。

（3）提高工控安全運維人員工作效率：本案例中工業(yè)日志審計系統能夠快速準確識別工業(yè)網(wǎng)絡(luò )中的安全告警信息，并及時(shí)發(fā)現工業(yè)網(wǎng)絡(luò )中的違規行為，助力工控安全運維人員進(jìn)行應急響應。

（4）工業(yè)安全態(tài)勢統一管理：基于工業(yè)安全態(tài)勢感知與管理平臺，本案例可以實(shí)現工業(yè)網(wǎng)絡(luò )設備統一管理、安全統一分析、日志統一采集和態(tài)勢統一展示，實(shí)時(shí)將工業(yè)安全風(fēng)險可視化；支持單個(gè)、分組、全局等資產(chǎn)的風(fēng)險分析，并能基于風(fēng)險等級及告警，進(jìn)行進(jìn)一步的溯源分析。

通過(guò)工業(yè)安全態(tài)勢感知與管理平臺的部署和成功實(shí)施，本案例成功幫助電力運營(yíng)公司實(shí)現工控系統流量的一體化集中監測與態(tài)勢感知，為電力運營(yíng)公司提供安全管理的抓手，同時(shí)可以進(jìn)一步幫助企業(yè)進(jìn)行安全預防性維護、應急響應和事故調查。本項目的落實(shí)，樹(shù)立了電力行業(yè)工業(yè)安全防護案例標桿，提升了電力企業(yè)工業(yè)網(wǎng)絡(luò )安全監測與態(tài)勢感知能力，并形成了良好的示范效應。

《自動(dòng)化博覽》2023年1月刊暨《工業(yè)控制系統信息安全專(zhuān)刊（第九輯）》