电力监控系统网络安全防护方案的研究与设计

国网湖北省电力有限公司信息通信公司 余明阳 査志勇 詹 伟 梁航函 吴 耿

近年来，随着网络安全问题的不断涌现，国家对网络安全越来越重视。水电厂电力监控系统的网络安全问题也越来越多。本文从多个角度研究了水电厂电力监控系统的网络安全问题，提出相关设计思路和解决方案，并进行系统的描述。

电力行业是我国重要的关键基础设施，关乎国计民生，其中发电厂电力监控系统是最核心和重要的系统之一。在满足“安全分区、网络专用、横向隔离、纵向认证”基本原则的基础上，结合国家信息安全等级保护工作的相关要求，对电力监控系统的综合安全防护建设工作仍需持续加强。

近年来，电力监控系统的外部环境发生了变化，系统网络不再独立封闭，更多的系统互联。外部攻击源从单点个体变化为规模化团体攻击，攻击从个体行为向团队协作过渡，甚至国家级力量开始介入。攻击技术在软件即服务等新技术的加持下，恶意代码获得便捷、多元、快速，攻击行为全天候，产生恶意代码变种的速度空前加快。攻击手段趋于定制化、个性化、复杂化，APT技术运用越来越多。工业自动化进一步发展，智慧电厂、泛在互联如火如荼，广泛的互联互操作使生产网络趋向复杂，风险点增多。

1 设计思路

水电厂电力监控系统网络安全防护方案的主要设计思路：强化安全区域边界访问控制能力；提高网络内、外入侵和恶意代码防御能力；提高违规内联、外联检测能力；提高系统内主机病毒防范能力；提高主机身份认证能力，采用双因子认证机制；一键式安全加固，提高主机安全基线；关闭不必要的服务端口，提高入侵防范能力；利用访问控制策略，保证业务配置文件不被篡改；提高日志审计能力，审计日志至少保存12个月；加强运维人员行为管理；建立统一安全管理中心，强化集中管控能力；技术手段辅助业主完成定期自检。

风险评估分析是对电力监控系统网络内各资产进行安全管理的先决条件，其目的在于识别和评估不同用户所面临的生产安全风险和网络安全风险。工控系统资产梳理，分析价值；识别已有的安全防护措施；资产脆弱性及面临的威胁分析；安全风险综合分析。

2 方案介绍

2.1 强化安全区域边界访问控制能力

ACL+应用级白名单：配置ACL访问控制规则，仅允许业务相关IP通过。工控协议深度解析，形成协议白名单，保证只有可信任的协议、指令才可以通过。针对具体指令的具体值域范围进行保护。验证工控协议的合规性，控制逻辑的合理性，控制协议功能码、点值。

2.2 提高网络内、外入侵和恶意代码防御能力

实时监测基于白名单的工业流量、关键网络节点基于流量的威胁以及对网络威胁感知系统APT攻击。

网络威胁感知系统（APT）内置威胁情报检测，APT情报检测能力，内置IOC数据库覆盖主流的APT家族，覆盖家族数量≥240个。采用基因图谱模糊比对技术对流量中的文件进行静态检测通过结合图像文理分析技术与恶意代码变种检测技术将可疑文件的二进制代码映射为无法压缩的灰阶图片，与已有的恶意代码基因库图片进行相似度匹配，根据相似度判断是否为威胁变种。

2.3 提高违规内联、外联检测能力

交换机关闭不必要端口；进行IP/MAC绑定；工控主机卫士开启非法外联策略。

2.4 提高系统内主机病毒防范能力

传统安全解决方案难以及时更新、打补丁；缓冲区溢出、0day漏洞利用等攻击方式，传统杀毒软件存在短板；杀毒软件或将业务软件误识为病毒而删除。

切断恶意代码/病毒通过U盘摆渡到系统内部的途径；启动文件级白名单策略，防止恶意代码/病毒/非法软件执行。保证只有经过授权的可执行程序才可以执行，保证只有经过授权的U盘才允许使用。

2.5 提高主机身份认证能力，采用双因子认证机制

采用静态密码+UKEY，关键服务器采用双因子认证。

2.6 一键式安全加固，提高主机安全基线

内置42条安全基线规则，一键式配置，降低手动加固成。根据不同加固等级，一键加固。

2.7 关闭不必要的服务端口，提高入侵防范能力

内置防火墙功能，关闭不必要端口；一键式配置，降低手动加固成本。

2.8 利用访问控制策略，保证业务配置文件不被篡改

自主访问控制，基于标记的强制访问控制。

2.9 提高日志审计能力，审计日志至少保存12个月

范式化多种类设备（主机、网络、安全）日志，快速准确的识别安全事件，发现违规行为。

2.10 加强运维人员行为管理

运维人员身份授权、运维人员操作授权、运维人员行为审计。安全运维管理系统进行统一账户管理。

2.11 建立统一安全管理中心，强化集中管控能力

安全产品统一管理，安全管理加密传输，高度可视化，双机热备，高度可靠。

2.12 技术手段辅助业主完成定期自检

先进行漏洞扫描并生成相关报告，给出指导意见。

3 主要特点

3.1 厂级统一安全运营中心

资产可视，自动识别工控网的设备类型、设备厂商、设备型号，自动识别网络拓扑，提供全方位的资产可视化体验。

威胁可视，智能分析海量安全设备日志，通过人工智能的知识图谱技术，将资产配置弱点、漏洞、威胁事件关联分析，自动发现攻击路径。

合规评估，结合等级保护合规自评和自动化的合规评估技术，将合规评估量化分析，提供企业集团量化的健康指数。

3.2 安全管理制度完善

完善生产网安全制度与标准体系，满足等级保护的基本要求、测评要求，规范网络安全管理，保障网络安全工作的顺利开展；建立企业自身的工控网络安全制度与标准，需要企业业务主管部门、安全管理部门与我司共同配合完成，在满足国家等级保护相关要求基础上，能够与企业自身生产特点相融合。

一级文件：电力监控系统的工控网络安全管理方针，能够反映最高管理者对工控网络安全管理下达的工作意图等，能为所有下级文件的编写提供方向。二级文件：各类属于电力监控系统工控网络安全管理的规范性制度、标准、办法、策略文件、配置规范等。三级文件：各种体系运行所需的规范文档模板。

内置丰富的攻击特征库，结合硬件加速信息包捕捉技术来探测包括PLC等控制设备的拒绝服务攻击漏洞、缓冲区溢出攻击漏洞等典型工控漏洞的攻击行为，并及时告警。采用TCP/IP数据重组、目标和应用程序识别、完整的应用层有限状态追踪、应用层协议分析、先进的事件关联分析技术以及多项反IDS逃避技术，提供业界超低的误报率和漏报率。能够为用户提供丰富的动态图形报表，以及数十种分析报表模版和向导式的用户自定义报表功能。采用旁路部署方式，不会对网络造成任何影响。

安全区域边界：在生产控制大区计算机监控系统地上环网与地下环网各就地控制单元（LCU）之间部署工业防火墙，实现区域间的逻辑隔离和网络威胁防护，保证电力监控系统区域边界安全。

安全通信网络：在生产控制大区网络关键节点部署工控安全监控与审计系统和网络威胁感知系统，对网络中的实时流量进行监测，及时发现网络攻击、异常操作等行为，特别是新型网络攻击行为，并告警通知安全管理员。

安全计算环境：在电力监控系统中工程师站、操作员站、服务器和接口机上安装工控主机卫士软件，开启程序白名单、外设管控、安全基线及访问控制等功能，实现阻拦病毒、木马等恶意程序的运行、主机安全加固和移动介质管控等安全需求。

安全管理中心：在在生产控制大区部署统一安全管理平台和安全运维管理系统，实现安全设备进行集中管控，并对日志数据、告警数据等进行集中分析，同时对不同权限账户进行身份鉴别及权限管理，保证电力监控系统管理安全；同时配置工控漏洞扫描系统，定期对电力监控系统进行漏扫扫描，及时发现电力监控系统中的网络安全漏洞。

结论：本文研究了水电厂电力监控系统网络安全防护的相关内容，并制定了对应的方案。该水电厂电力监控系统网络安全防护方案提高了工控主机病毒和恶意代码防范能力，增强工控主机安全性；有效检测工控网络中的异常操作行为并加以阻止，避免造成重大安全生产事故、人员伤亡和社会影响。实时检测工控网络中的恶意攻击、误操作、违规行为、非法设备接入以及蠕虫、病毒等恶意软件的传播，帮助客户及时采取应对措施，避免发生安全事故；详实记录网络通信流量，为安全事故调查取证提供技术支撑。