1    方案背景與目標

1.1、方案背景

近年來(lái)，電力系統面臨的網(wǎng)絡(luò )安全威脅日益嚴峻，如“伊朗核電站震網(wǎng)病毒事件”和“烏克蘭電網(wǎng)大面積停電事件”等，都凸顯了加強網(wǎng)絡(luò )安全防護的重要性。同時(shí)，隨著(zhù)《中華人民共和國網(wǎng)絡(luò )安全法》及《電力監控系統安全防護規定》2024年第27號令的頒布實(shí)施，電力系統運營(yíng)單位開(kāi)展網(wǎng)絡(luò )安全防護工作的緊迫性和必要性更加凸顯。

本項目通過(guò)對發(fā)電企業(yè)網(wǎng)絡(luò )安全現狀和電力監控系統安全防護能力調研，發(fā)現對電力監控系統進(jìn)行合理的安全加固，完善發(fā)電企業(yè)電力監控系統安全體系框架，提升發(fā)電企業(yè)電力監控系統網(wǎng)絡(luò )安全防護能力，確保目標單位電力監控系統網(wǎng)絡(luò )安全滿(mǎn)足國家及行業(yè)監管要求勢在必得。同時(shí)建立成熟的自主可控發(fā)電企業(yè)工控網(wǎng)絡(luò )安全態(tài)勢預警平臺，針對工控網(wǎng)絡(luò )的安全威脅特點(diǎn)，重點(diǎn)實(shí)現對電力監控系統的監測、預警、審計和接入防護等功能，及時(shí)發(fā)現外部攻擊及內部非法操作，并進(jìn)行應急響應，有效地實(shí)現防外及安內，防止因網(wǎng)絡(luò )安全事件造成重大電力安全生產(chǎn)事故，保障信息系統安全。

2    方案詳細介紹

2.1建設范圍

本方案發(fā)電公司工業(yè)控制系統網(wǎng)絡(luò )安全保護建設為主線(xiàn)，借助網(wǎng)絡(luò )產(chǎn)品、安全產(chǎn)品、安全服務(wù)、管理制度等手段，建立全面的網(wǎng)絡(luò )安全防控體系，以生產(chǎn)控制系統安全為重點(diǎn)，保證業(yè)務(wù)系統安全運行，從而全面提高生產(chǎn)的工作效率，提升信息化運用水平。

本次項目主要的建設內容包括:

1)  解決不同層級信息系統對生產(chǎn)控制系統及生產(chǎn)控制系統內部跨區域的非法訪(fǎng)問(wèn)及網(wǎng)絡(luò )攻擊，避免在一個(gè)系統或區域里爆發(fā)的信息安全事件擴散到其他系統或區域中；

2)  解決控制網(wǎng)絡(luò )邊界沒(méi)有針對外部攻擊和威脅的有效檢測手段，特別是利用系統本身漏洞發(fā)起的攻擊行為；

3)  解決控制網(wǎng)絡(luò )內部沒(méi)有針對異常流量、違規操作、惡意程序等攻擊行為的檢測手段；

4)  解決工程師站、操作員站以及服務(wù)器等主機的USB口沒(méi)有做有效的安全防護處理，針對需要通過(guò)U盤(pán)等移動(dòng)存儲進(jìn)行數據存取的過(guò)程沒(méi)有有效的惡意代碼查殺手段；

5)  解決系統運維過(guò)程中缺少對運維人員賬號管理、身份認證、訪(fǎng)問(wèn)授權、綜合審計等進(jìn)行有效監控的技術(shù)手段。

6)  解決生產(chǎn)網(wǎng)絡(luò )內相關(guān)安全設備的統一管理和運行狀態(tài)監控。

2.2安全技術(shù)體系

2.2.1網(wǎng)絡(luò )安全防護

在堅持“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”原則的基礎上，進(jìn)一步優(yōu)化電力監控系統對象和業(yè)務(wù)范疇，技術(shù)防護原則與措施，構建與之適應的新型安全防護體系。按照“統一規劃、統一標準、重點(diǎn)明確、合理建設”理念，在網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全等幾個(gè)方面進(jìn)行電力監控系統網(wǎng)絡(luò )安全防護建設，確?！熬W(wǎng)絡(luò )建設合規、安全防護到位”，以提高電力監控系統應對外來(lái)入侵、防止病毒攻擊的能力。

l  在生產(chǎn)控制大區工程師站、監控主機部署工控主機安全加固系統，針對工業(yè)控制系統主機進(jìn)行安全加固的軟件產(chǎn)品，通過(guò)建立白名單防御隔離屏障為工控主機形成初步進(jìn)程級加固，又進(jìn)一步對工業(yè)主機的文件、注冊表、端口、訪(fǎng)問(wèn)控制、完整性保護、基線(xiàn)配置等多層面進(jìn)行立體式防護，將工業(yè)主機操作系統全面提升為安全操作系統。有效解決工業(yè)主機面臨的惡意程序（如WannaCry、Havex等）攻擊、越權訪(fǎng)問(wèn)、數據泄露、破壞數據完整性等威脅行為。提升工控主機操作系統整體的安全保護能力。

l  部署USB安全隔離裝置，實(shí)現電力監控系統終端主機等外設接口、交換機外設網(wǎng)絡(luò )接口現場(chǎng)使用權限的集中管控，杜絕手機等非法外聯(lián)行為，實(shí)現操作過(guò)程的可審計、可追溯，做到易違規外聯(lián)設備違規行為的“可視、可控”，從而進(jìn)一步加強設備外設接口管控，強化現場(chǎng)檢修作業(yè)遠程管控能力，實(shí)現現場(chǎng)非授權操作的遠程集中管控，提高違規外聯(lián)、非法接入的防控能力，進(jìn)一步夯實(shí)變電站電力監控系統安全防護水平。

l  在安全管理中心與各安全域之間部署工業(yè)防火墻，集成了工控協(xié)議深度解析、工控指令訪(fǎng)問(wèn)控制、日志審計等綜合安全功能，建立可信任的數采通信及工控網(wǎng)絡(luò )區域間通信的模型，采用白名單的安全策略，過(guò)濾一切非法訪(fǎng)問(wèn)，保證只有可信任的設備可以接入工控網(wǎng)絡(luò )，只有可信任的流量可以在網(wǎng)絡(luò )上傳輸。

l  在安全管理中心部署態(tài)勢感知與預警平臺，通過(guò)集成先進(jìn)的威脅檢測技術(shù)（如基于行為分析、機器學(xué)習、人工智能等），平臺能夠對各類(lèi)已知和未知威脅進(jìn)行精準識別，并在威脅發(fā)生初期或攻擊鏈條的關(guān)鍵階段發(fā)出預警。有助于縮短威脅響應時(shí)間，提高防御效率，減少潛在損失。

l  在生產(chǎn)控制大區及管理信息大區分別部署日志審計，實(shí)時(shí)對網(wǎng)絡(luò )設備、安全設備、服務(wù)器、數據庫系統等安全日志統一收集、處理和分析。

l  在安全管理中心部署漏洞掃描、堡壘機、安全管理平臺實(shí)現資產(chǎn)管理與風(fēng)險核查定位分析、應用系統賬戶(hù)的統一管理與操作審計等安全集中管控能力。

l  在管理信息大區部署數據庫審計與上網(wǎng)行為審計可實(shí)現對管理辦公網(wǎng)絡(luò )的進(jìn)一步細粒度安全行為管控。

l  在生產(chǎn)控制大區及管理信息大區核心組網(wǎng)交換機處旁路部署入侵檢測系統，及時(shí)發(fā)現網(wǎng)絡(luò )異常情況，實(shí)現網(wǎng)絡(luò )運行狀態(tài)的實(shí)時(shí)監控。

l  在電力監控系統核心交換機旁路部署工控安全審計系統，及時(shí)發(fā)現網(wǎng)絡(luò )當中的異常流量、違規操作、誤操作、指令異常、非法連接等現象。

2.2.2數據安全防護

l  數據資產(chǎn)梳理

數據庫資產(chǎn)梳理通過(guò)利用資產(chǎn)梳理工具對電力營(yíng)銷(xiāo)數據庫資產(chǎn)、數據庫權限、數據庫歸屬等進(jìn)行梳理，形成數據庫資產(chǎn)清單，避免數據庫資產(chǎn)管理失控。

分類(lèi)分級是對不同敏感級別數據進(jìn)行針對性精準防護的基礎。先進(jìn)行數據對象的識別，再識別數據對象中的存在的營(yíng)銷(xiāo)敏感數據，再根據分類(lèi)分級規則進(jìn)行敏感數據的分類(lèi)分級定義，最后對營(yíng)銷(xiāo)敏感數據實(shí)現可視化展現。

l  數據庫防火墻

管理信息大區和信息外網(wǎng)都要抵御內、外部的網(wǎng)絡(luò )攻擊，防范黑客通過(guò)SQL注入漏洞和數據庫漏洞進(jìn)行網(wǎng)絡(luò )攻擊和數據竊取，通過(guò)數據庫防火墻對訪(fǎng)問(wèn)數據庫的數據包進(jìn)行實(shí)時(shí)的監控和分析，基于身份鑒別和行為分析的主動(dòng)防御機制，能夠實(shí)時(shí)監控、識別對數據庫的異常訪(fǎng)問(wèn)、SQL攻擊、高危操作等安全威脅，及時(shí)進(jìn)行阻斷，從而有效地保護核心數據的安全。

l  數據脫敏

對于電力營(yíng)銷(xiāo)系統中的敏感數據：在測試、開(kāi)發(fā)、共享等場(chǎng)景下，可利用靜態(tài)脫敏把數據脫敏處理后放到測試共享庫中供使用；前端查詢(xún)或展示時(shí)，利用動(dòng)態(tài)脫敏，部署在應用系統前端，針對不同的應用賬號，配置不同的脫敏策略，實(shí)現不同的脫敏效果，以保護敏感數據不被泄露。

l  數據庫審計

在管理信息大區部署數據庫審計，全程對所有數據庫運維操作進(jìn)行管控，發(fā)現違規操作及時(shí)阻斷，同時(shí)記錄網(wǎng)絡(luò )中一切對數據庫的訪(fǎng)問(wèn)行為。經(jīng)過(guò)對訪(fǎng)問(wèn)數據的分析、過(guò)濾和解析記錄用戶(hù)訪(fǎng)問(wèn)數據庫所做的所有操作以及返回的結果，形成審計日志，便于事后查詢(xún)與追責。

通過(guò)內置強大的智能學(xué)習算法，可基于業(yè)務(wù)周期內的審計數據進(jìn)行學(xué)習，生成行為基線(xiàn)，基于此行為基線(xiàn)，對后續的SQL事件進(jìn)行檢測，對于偏離基線(xiàn)的行為產(chǎn)生異常告警。

l  數據備份恢復

《國家能源局關(guān)于印發(fā)電力監控系統安全防護總體方案等安全防護方案和評估規范的通知》（國家能源局2015年印發(fā)36號文），在針對電力監控系統的安全防護方案中提出應定期對關(guān)鍵業(yè)務(wù)的數據與系統進(jìn)行備份并實(shí)現歷史歸檔數據的異地存放制度。對電力監控系統建立系統備用和恢復機制，對重要設備冗余配置，對重要數據定期備份，并定期進(jìn)行恢復性測試，確保電力供應穩定性和業(yè)務(wù)連續性。

2  策略備份

對關(guān)鍵資產(chǎn)和安全設備的配置策略，做好備份。配置包括用戶(hù)設置、系統設置、安全策略、匹配規則、日志配置、任務(wù)配置、告警配置、路由配置等。備份形式包括快照、截圖、文件等。

2  數據恢復測試

測試范圍：數據備份恢復測試覆蓋組織關(guān)鍵數據的備份和恢復過(guò)程，包括但不限于服務(wù)器、數據庫、應用程序以及其他重要數據的備份和恢復。

測試頻率：數據備份恢復測試應該定期進(jìn)行，以確保備份和恢復過(guò)程的持續可靠性。建議每季度進(jìn)行一次完整的測試，并在關(guān)鍵系統或重要數據變更時(shí)進(jìn)行額外的測試。

測試記錄和報告：在進(jìn)行數據備份恢復測試期間，記錄所有測試步驟、測試結果、發(fā)現的問(wèn)題以及解決措施。最后會(huì )生成測試報告，并提出改進(jìn)建議。

l  數據安全管理平臺

通過(guò)友善的可視化界面、資產(chǎn)梳理、機器學(xué)習等核心能力，實(shí)現對復雜威脅的聯(lián)動(dòng)聯(lián)防、降低安全防護工作人員的操作難度和工作量，實(shí)現快速、高效、可持續性的防控效果。落實(shí)數據加密、數據脫敏、數據水印等安全防護措施，并通過(guò)平臺統一納管逐步形成上下聯(lián)動(dòng)的策略管理機制。在統一的敏感數據識別機制基礎上，實(shí)現數據安全態(tài)勢全面展示能力，準確掌握公司數據資產(chǎn)分布、使用和流轉合規情況等。

2.3安全運營(yíng)體系

2.3.1安全運營(yíng)平臺

在管理信息大區部署工業(yè)安全態(tài)勢感知平臺作為整個(gè)電力監控系統的安全運營(yíng)平臺，以全流量數據為基礎，以資產(chǎn)為核心，以網(wǎng)絡(luò )安全運營(yíng)工作標準化、流程化和指標化為目的，關(guān)聯(lián)漏洞、威脅、情報、終端等海量數據，提供安全告警分析、研判、處置及聯(lián)動(dòng)調度功能，幫助用戶(hù)實(shí)現安全告警日志自動(dòng)降噪，明確資產(chǎn)安全狀況，形成漏洞管理的全生命周期閉環(huán)。建立一套持續完善的安全運營(yíng)體系，持續降低人員投入，提升安全運營(yíng)效率。

數字資產(chǎn)在線(xiàn)管理：安全運營(yíng)中心通過(guò)識別工控協(xié)議、物聯(lián)網(wǎng)協(xié)議、工控設備、物聯(lián)網(wǎng)設備以及工控系統應用的特征，幫助用戶(hù)構建詳盡的資產(chǎn)檔案，實(shí)現資產(chǎn)的綜合管理和控制。依托安全態(tài)勢感知平臺內置的資產(chǎn)漏洞數據庫，該中心能夠從資產(chǎn)的漏洞、告警、配置合規性以及風(fēng)險等級等多個(gè)角度，構建全面的資產(chǎn)安全視圖。它提供了包括資產(chǎn)清單整理、變更歷史記錄、運行狀態(tài)監測、漏洞與風(fēng)險評估在內的全方位、全周期的資產(chǎn)管理服務(wù)。

安全威脅監控預警：對電力監控系統生產(chǎn)控制大區中的DCS資產(chǎn)進(jìn)行數量和類(lèi)型的識別，實(shí)時(shí)監控并展示資產(chǎn)的關(guān)鍵性能指標，如CPU使用率、內存占用和硬盤(pán)狀態(tài)。同時(shí)，它還負責對網(wǎng)絡(luò )、安全、主機和工控等設備的漏洞進(jìn)行統計和分析，以便識別和評估網(wǎng)絡(luò )內部潛在的安全威脅。

安全漏洞閉環(huán)跟蹤：將資產(chǎn)、漏洞、責任人互相關(guān)聯(lián)，通過(guò)內置的漏洞掃描功能與強大的指紋庫結合，快速排查資產(chǎn)安全問(wèn)題，在發(fā)現漏洞后，通過(guò)平臺可一鍵下發(fā)通報，自動(dòng)通知到相關(guān)資產(chǎn)責任人并給出修復建議。

2.3.2安全運營(yíng)服務(wù)

l  風(fēng)險評估

提供電力監控系統網(wǎng)絡(luò )安全風(fēng)險評估服務(wù)，識別和分析電力監控系統中潛在安全威脅的過(guò)程，確定系統可能面臨的風(fēng)險類(lèi)型及其影響程度。通過(guò)綜合評估網(wǎng)絡(luò )結構、數據流、設備脆弱性以及潛在攻擊手段，可以制定出針對性的安全防護策略。風(fēng)險評估通常包括資產(chǎn)識別、威脅識別、脆弱性分析和風(fēng)險量化等步驟，以確保電力監控系統的安全性和可靠性。具體風(fēng)險評估流程如下：

全面安全評估：依據國家和電力行業(yè)的信息安全等級保護相關(guān)標準，以及客戶(hù)單位制定的主流設備安全基線(xiàn)技術(shù)規范，對電力監控系統中需升級及重大配置變更的功能模塊進(jìn)行入網(wǎng)安全評估。

評估手段多樣：評估手段包括人員訪(fǎng)談、文件審查、基線(xiàn)檢查、漏洞掃描、滲透測試等，從多個(gè)維度對安全配置和安全防護措施進(jìn)行核查及檢測。

專(zhuān)業(yè)整改建議：在評估過(guò)程中，供專(zhuān)業(yè)的整改建議，幫助客戶(hù)提高系統安全性，確保電力監控系統滿(mǎn)足客戶(hù)單位的系統并網(wǎng)要求。

滿(mǎn)足合規要求：通過(guò)全面落實(shí)風(fēng)險評估工作，幫助客戶(hù)滿(mǎn)足上級單位監管要求及系統并網(wǎng)條件，降低合規風(fēng)險。

風(fēng)險呈現：服務(wù)還包括風(fēng)險呈現，幫助客戶(hù)明確網(wǎng)絡(luò )安全風(fēng)險點(diǎn)，為后續的風(fēng)險管理和安全加固提供依據。

一站式網(wǎng)絡(luò )安全保險綜合解決方案：構建一站式網(wǎng)絡(luò )安全保險服務(wù)體系，為企業(yè)提供從事前風(fēng)險評估、事中監測預防到事后風(fēng)險處置的全方位服務(wù)，確保企業(yè)在遭受攻擊時(shí)能夠迅速恢復，并提供必要的經(jīng)濟損失兜底支持。

l  應急響應

提供專(zhuān)業(yè)的應急響應服務(wù)，幫助電力監控系統運營(yíng)者在遭受網(wǎng)絡(luò )攻擊或出現異常時(shí)迅速啟動(dòng)應急預案，采取緊急防護措施，防止事態(tài)擴大，并保護現場(chǎng)以便進(jìn)行調查和溯源取證。

2  應急響應機制建立

幫助電力企業(yè)建立電力監控系統的應急機制，制定整體應急預案和針對各系統可行的應急預案，并定期開(kāi)展協(xié)調演練。

2  應急演練

通過(guò)形式多樣的方式方法，對應急預案所涉及的單位、人員、裝備、設施等組織演練，發(fā)現問(wèn)題、解決問(wèn)題，進(jìn)一步修改完善應急預案。

2  應急演練評估

加強演練評估，主要內容包括演練的執行情況，應急預案的實(shí)用性和可操作性，指揮協(xié)調和應急聯(lián)動(dòng)機制運行情況，應急人員的處置情況，演練所用設備裝備的適用性，對完善應急預案、應急準備、應急機制、應急措施等方面的意見(jiàn)和建議等。

2      應急響應重點(diǎn)評估

核查電力企業(yè)應急相關(guān)制度的合理性和完整性、應急處理預案的全面性和可行性、應急演練方案的適應性、定期開(kāi)展應急演練并詳細完整記錄演練內容。

5.2.2.3 安全加固

安全加固是根據對企業(yè)當前網(wǎng)絡(luò )安全評估情況及企業(yè)對網(wǎng)絡(luò )安全的需求，協(xié)助企業(yè)制定并實(shí)施網(wǎng)絡(luò )安全配置加固方案。安全配置加固內容包括網(wǎng)絡(luò )設備、安全設備、操作系統、WEB應用、數據庫等，目的是為了提高企業(yè)整體網(wǎng)絡(luò )安全性，增強用戶(hù)抵御各類(lèi)網(wǎng)絡(luò )攻擊的能力

安全服務(wù)加固通常指的是在風(fēng)險評估之后對當前信息系統安全能力的提升和對信息系統脆弱性修復的過(guò)程。通過(guò)合理安全配置加固，可大大提升信息系統的健壯性和安全性，增加攻擊者攻擊難度，系統的安全防護能力得到大幅提升。

3    代表性及推廣價(jià)值

“基于發(fā)電生產(chǎn)業(yè)務(wù)場(chǎng)景的動(dòng)態(tài)防御策略與態(tài)勢感知的融合應用”的解決方案，針對電力行業(yè)生產(chǎn)業(yè)務(wù)場(chǎng)景的特殊性，提出了一套創(chuàng )新的網(wǎng)絡(luò )安全防護體系。該方案通過(guò)深度融合動(dòng)態(tài)防御策略和態(tài)勢感知技術(shù)，實(shí)現了對發(fā)電生產(chǎn)業(yè)務(wù)系統的全面、實(shí)時(shí)、智能的安全防護。其代表性在于將動(dòng)態(tài)防御和態(tài)勢感知兩大前沿技術(shù)相結合，并成功應用于發(fā)電這一傳統工業(yè)領(lǐng)域，為工業(yè)網(wǎng)絡(luò )安全防護提供了新的思路和范例。

實(shí)現價(jià)值如下：

保障穩定運行：電力系統的穩定運行對于社會(huì )和經(jīng)濟具有重要影響。網(wǎng)絡(luò )安全縱深防御體系建設可以確保電力系統免受網(wǎng)絡(luò )攻擊和破壞，保障其穩定運行。

保障數據安全：數據安全全生命周期建設從數據的產(chǎn)生、傳輸、存儲到銷(xiāo)毀等環(huán)節都進(jìn)行全面管理，可以確保電力系統中的數據安全得到有效保障。

提升監測能力：態(tài)勢感知體系通過(guò)實(shí)時(shí)收集和分析電力系統的網(wǎng)絡(luò )安全數據，可以及時(shí)發(fā)現潛在的安全威脅和異常行為，提升電力系統的監測能力。

該方案不僅適用于電力行業(yè)，還可推廣至其他能源、制造等工業(yè)領(lǐng)域，為這些領(lǐng)域的網(wǎng)絡(luò )安全防護提供可借鑒的模式。隨著(zhù)工業(yè)互聯(lián)網(wǎng)和數字化轉型的加速推進(jìn)，工業(yè)網(wǎng)絡(luò )安全問(wèn)題日益凸顯，該方案的推廣和應用將有助于提高工業(yè)企業(yè)的網(wǎng)絡(luò )安全防護水平，保障工業(yè)生產(chǎn)的穩定運行。