安全防护在电厂DCS系统网络中的应用

曹煜

摘要：当前，很多电厂的DCS系统网络安全防护能力普遍薄弱，主要原因是安全防护措施相对滞后，不但不能发挥安全保护的作用，反而其中的漏洞被利用，造成重大的安全损失，也给电厂的电力安全运行蒙上一层阴影。本文对电厂DCS系统网络的不足进行分析和探究，并提出了相应的安全防护措施。

关键词：安全防护;电厂DCS系统网络;应用

DCS系统技术的出现和发展为电厂的电力运行提供极大的便利，但同时也存在信息系统管理体系缺乏完善，职责不明确、边界缺乏安全防护手段、不同系统间的入侵防范与访问控制缺乏完善等等问题，给电厂的信息系统安全运行带来了严重的威胁。只有在DCS系统网络中加强安全防护的应用，才能提升安全防护的等级和作用，有效地保障DCS系统的安全地运行。

一、电厂在DCS系统网络中建设安全防护的目的

通常电厂控制过程采取的是DCS控制系统来实现相关的控制，DCS系统的安全与否与每名现场工作人员的财产安全、生命安全息息相关，甚至与企业的整体安全密不可分。但在实际的工作中控制系统网络运行环境十分滞后，这就让整个控制系统面临着十分严峻的安全问题。从DCS控制系统角度讲，系统的设计、规划、上线、实施、运维、生产到废弃是一个十分漫长的生命周期，在这样的长周期里每个阶段都会出现不同的网络安全问题。要想确保DCS控制系统的网络安全，需要对系统网络安全做一个全生命周期的规划，使之能更加适应工控系统的特性[1]。

二、电厂信息系统的安全现状

大多数企业在网络安全的大背景之下，其控制系统面临重建和改造的问题，DCS控制系统的安全必然会成为重点关注。当前，很多电厂信息系统存在一些问题，其信息与数据安全存在重大隐患：

（一）信息系统安全管理体系缺乏完善，信息安全职责不明确

电厂信息系统的安全系统与管理建设还处在初级建设阶段，信息安全管理、决策与执行的监管机构没有明确，导致了信息系统建设、信息安全保障、运维等方面的工作比较滞后。

（二）边界缺乏安全防护手段

大多数电厂都部署了MIS系统，给系统和SIS系统建立了联系，而有一些电厂在SIS系统和MIS系统之间没有按照专业的工业控制系统安装隔离设备，只是加装了普通的隔离装置，如网闸等，对于来自企业内部针对工业控制系统的一些木马、病毒恶意程序等不能有效地阻止其安全的威胁[2]。

（三）不同系统间的入侵防范与访问控制缺乏完善

电厂生产大区运行的是同一网络，通过以太网通讯将各个子系统连接起来，各个子系统之间设置安全访问的条件，所有连接到网络里的操作站或PC都可以访问给网络，破坏或操作生产控制系统，这样就出现了控制系统内各控制单元的失灵，严重的会让现场设备直接损毁;如果子系统有一个受到病毒的入侵或感染，其他的子系统也无法幸免。这些都会对业务操作造成安全隐患

（四）服务器与操作站缺少安全配置以及防范病毒

控制系統的服务器、操作站在上线后并没有对操作系统进行升级，服务器与操作站也从不安装杀毒软件以及针对网络办公的杀毒软件等，这样服务器与操作站没有任何防御能力。有的即使安装了杀毒软件也不彻底，没有及时更新恶意代码库和新的防止恶意代码软件。

（五）不完备的网络安全审计技术

控制系统当前采取的服务器、网络设备、操作站等系统都是常规产品，操作系统是Windows或Unix等，这些系统、设备都有很多漏洞，容易被别有用心的人利用，尽管无需连接外网，但第三方系统和内部系统的调用与使用U盘等都容易让人有机可乘。所以控制系统需要网络安全审计技术，如果出现信息安全问题后可以溯源追查，有利于迅速解决问题[3]。

（六）缺少信息安全监控技术

电厂管理人员没有该项技术，就无法对网络安全事故开展分析与预警，管理人员不能很快地找到问题症结点，当然也无法在短时间内做好修复和防护措施。

（七）使用移动存储介质不规范

控制系统下使用及运维中，随意使用光盘、U盘、移动硬盘等移动存储，这样不规范的工作方法很容易将木马、病毒带入控制系统，造成极大的安全隐患。

三、安全防护在电厂DCS系统网络中的应用

根据目前的安全现状，提出了水平分区、垂直分层、边界控制、内部监测等整体安全防护思路，并根据信息系统的特点，建立了以下分区分层策略（如图一）：

垂直划分SIS层（安全二区）、MIS层（安全三区）、DCS层（安全一区）

水平划分不同的功能区域（#1机组、2#机组、公用系统等）

按照电厂工业控制系统信息安全防护思路，SIS层（安全二区）和DCS层（安全一区）边界及MIS层（安全三区）和SIS层（安全二区）之间采取的安全防护不做具体的描述。

图一中分别采取的安全防护措施：

（一）智能保护平台

在#1机组、2#机组和公用系统及厂级SIS系统边界处采取专业工控网络边界防护系统来保证各个子系统之间的访问控制和单向隔离。根据数据包的目的地址、源地址应用层协议、传输层协议、时间、端口、用户名等相关信息实施控制访问规则。可以对大多数主流工控协议进行识别，对恶意流量还是正常流量能够有效的区分，做到协议的深层识别。能够禁止恶意流量、非法访问，而正常的业务数据完全可以通过这个系统。

（二）监测审计平台

在DCS层（安全一区）交换机处旁路安装监测审计系统对工业控制层内部的业务流量进行审计与监测。能对网络攻击事件实施有效的检测：采取协议分析技术、细粒度检测技术、协议异常检测、误用检测技术等能检测到各类欺骗与攻击。可以对多种协议内容进行完整的记录，主要包括IP攻击源、攻击类型、攻击时间与目标等信息，并且可以提供重要安全事件的多种报警机制。

（三）威胁评估和安全监管平台

在DCS层（安全一区）总线网络中安装安全管理平台来进行统一的监控、管理、保护控制网络安全的相关产品。威胁评估和安全监管平台能够和防护系统里的其他安全产品共同建成统一检测和保护系统。由该平台统一部署安全规则、统一负责控制管理、安全信息、安全事件，可以分析控制网络里的安全威胁。可以提供事件追踪、行为审计、管理日志、威胁分析、安全性分区等多种功能的服务。

（四）工控系统主机防护

在DCS层（安全一区）各个服务器主机上安装主体防护系统，可以有效地防护控制系统里的HMI与各种服务器等终端的主机安全。可以对网络端口状态、主机状态进程、USB端口状态进行监测。使用白名单技术为主机资源使用提供全方位的保护，彻底切断木马与病毒的破坏途径，并且对USB移动设备的文件操作进行严格的监控，采取严格的设备授权管理杜绝机密文件被非法复制。

（五）USB防护系统

在DCS层（安全一区）各个操作员站上安装USB防护系统，可以对电厂信息系统网络中加强对U盘使用授权，对U盘病毒能实施有效的防护，与企业安全管理规章制度相融合，对工控网络中U盘的使用进行规范。可以记录权限设置、U盘认证与行为等，对系统网络中U盘的行为及使用实施有效的管理。通过在系统内部設置U盘的使用权限，只允许拥有高级权限的用户使用U盘对主机上的数据进行复制，禁止随意在内网里传输数据的行为，杜绝了核心数据被泄露的危险。此外，USB防护系统同时还具备了抵御信息系统网络里高级USB与病毒攻击的能力，例如，USB炸弹、死亡蓝屏攻击、LNK攻击、BadUSB攻击等，对信息网络系统实施了真正有效的保护。

结束语：

综上所述，通过建立智能保护平台、监测审计平台、威胁评估和安全监管平台、工控系统主机防护、USB防护系统，能系统地建立安全防御体系，有效地抵御各种病毒以及黑客的恶意攻击，净化了电厂信息系统网络空间，更好地保护电厂重要的数据安全，为电力安全、高效地运行提供了有力的保障。

参考文献：

[1]孟瑜炜，谢增孝，刘轩驿，俞荣栋，朱继峰，张信情，吴林峰.浅析电厂工控系统网络安全应急处置[J].自动化博览，2020，37（08）：62-65.

[2]寇增杰，安高峰，马霄，袁留记，陈鑫鑫.网络安全国家标准在电厂工控安全中的应用[J].信息技术与标准化，2021（03）：16-20.

[3]张振宇，刘宗奎，高文松，李振宇.火力发电厂厂级监控信息系统的设计与应用[J].能源研究与管理，2020（04）：77-82.