火力發(fā)電工業(yè)控制系統(tǒng)安全防護解決方案

火力發(fā)電工業(yè)控制系統(tǒng)安全防護解決方案一、背景情況火電廠工控系統(tǒng)主要由中央控制室和各配電室、電子間等子站組成，系統(tǒng)中布置有數(shù)千個開關(guān)、數(shù)百個模擬測量點以及數(shù)個PID調(diào)節(jié)回路的控制對象。其中，中央控制室設(shè)備通常包括建立在以太網(wǎng)連接上的操作員站、工程師站、數(shù)據(jù)采集服務(wù)器、報表打印設(shè)備等。中央控制網(wǎng)絡(luò)與各子站控制系統(tǒng)采用光纖為通信鏈路，各子站配有光纖收發(fā)器和工業(yè)交換機。二、安全分析（1）中央控制網(wǎng)絡(luò)與各控制子站網(wǎng)絡(luò)互聯(lián)，存在來自上層網(wǎng)絡(luò)的安全威脅，缺少重點邊界、區(qū)域的安全防護手段；（2）工控系統(tǒng)及網(wǎng)絡(luò)缺乏監(jiān)測手段，無法感知未知設(shè)備、非法應(yīng)用和軟件的入侵，無法對網(wǎng)絡(luò)中傳輸?shù)奈粗惓Ａ髁窟M行監(jiān)測；（3）工控系統(tǒng)缺乏對用戶操作行為的監(jiān)控和審計，針對用戶操作行為缺乏有效可靠的審計手段；（4）工業(yè)控制系統(tǒng)缺乏分區(qū)邊界防護，容易受到來自信息網(wǎng)絡(luò)和相鄰系統(tǒng)的安全影響。三、火力發(fā)電行業(yè)工控系統(tǒng)安全防護解決方案安全防護原則（1）安全分區(qū)按照《電力監(jiān)控系統(tǒng)安全防護規(guī)定》，原則上將基于計算機及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)I）及非控制區(qū)（安全區(qū)II）,重點保護生產(chǎn)控制以及直接影響電力生產(chǎn)（機組運行）的系統(tǒng)。（2）網(wǎng)絡(luò)專用電力調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專用網(wǎng)絡(luò),承載電力實時控制、在線交易等業(yè)務(wù)。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當在專用通道上使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng),在物理層面上實現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當劃分為邏輯隔離的實時子網(wǎng)和非實時子網(wǎng),分別連接控制區(qū)和非控制區(qū)。（3）橫向隔離縱向認證橫向隔離是電力監(jiān)控系統(tǒng)安全防護體系的橫向防線。應(yīng)當采用不同強度的安全設(shè)備隔離各安全區(qū),在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國家指定部門檢測認證的電力專用橫向單向安全隔離裝置,隔離強度應(yīng)當接近或達到物理隔離。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者相當功能的設(shè)施,實現(xiàn)邏輯隔離。防火墻的功能性能電磁兼容性必須經(jīng)過國家相關(guān)部門的認證和測試?？v向加密認證是電力監(jiān)控系統(tǒng)安全防護體系的縱向防線。生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當設(shè)置經(jīng)過國家指定部門檢測認證的電力專用縱向加密認證裝置,實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制。（4）綜合防護綜合防護是結(jié)合國家信息安全等級保護工作的相關(guān)要求對電力監(jiān)控系統(tǒng)從主機、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計、備份及容災(zāi)等多個層面進行信息安全防護的過程。生產(chǎn)控制大區(qū)可以統(tǒng)一部署一套網(wǎng)絡(luò)入侵檢測系統(tǒng)，應(yīng)當合理設(shè)置檢測規(guī)則，檢測發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息流中的入侵行為，分析潛在威脅并進行安全審計。非控制區(qū)的網(wǎng)絡(luò)設(shè)備與安全設(shè)備應(yīng)當進行身份鑒別、訪問權(quán)限控制、會話控制等安全配置加固?？梢詰?yīng)用電力調(diào)度輸子證書，在網(wǎng)絡(luò)設(shè)備和安全設(shè)備實現(xiàn)支持HTTPS的縱向安全WEB服務(wù)，能夠?qū)g覽器客戶端訪問進行身份認證及加密傳輸。生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)應(yīng)當具備安全審計功能，能能夠?qū)Σ僮飨到y(tǒng)、數(shù)據(jù)庫、業(yè)務(wù)應(yīng)用的重要操作盡心記錄、分析，及時發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。對于遠程用戶登陸到本地系統(tǒng)中的操作行為，應(yīng)當進行嚴格的安全審計。具體方案部署工控安全綜合監(jiān)管平臺、工業(yè)安全防火墻，深度解析工控協(xié)議，防范非法訪問，迅速檢測異常網(wǎng)絡(luò)節(jié)點，及時預(yù)警，并監(jiān)控工業(yè)防火墻運行狀態(tài)，實時獲取工控網(wǎng)安全事件日志和報警任務(wù)；在操作員站和工程師站部署工控主機安全防護系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為；部署堡壘機及工控安全綜合審計系統(tǒng)，對違規(guī)操作行為進行控制和審計，保障網(wǎng)絡(luò)和數(shù)據(jù)不受