電力企業(yè)互聯(lián)網(wǎng)安全解決方案

概述電力行業(yè)是國民經(jīng)濟(jì)的基礎(chǔ)產(chǎn)業(yè)，保證持續(xù)、高效的電力供應(yīng)是關(guān)系到國計(jì)民生的大事，也是電力部門工作注目的焦點(diǎn)。電力系統(tǒng)的運(yùn)行涉及到發(fā)電廠、變電站、調(diào)度中心;發(fā)、輸、配電系統(tǒng)一體化，系統(tǒng)包括了各種獨(dú)立系統(tǒng)和聯(lián)合電網(wǎng)的控制保護(hù)技術(shù)、通信技術(shù)、運(yùn)行管理技術(shù)等。隨著電力行業(yè)的不斷發(fā)展，基于互聯(lián)網(wǎng)的跨地區(qū)、全行業(yè)系統(tǒng)內(nèi)部信息網(wǎng)開始逐步建立，網(wǎng)上應(yīng)用著各種電力業(yè)務(wù)及辦公系統(tǒng)，電力信息網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)安全問題愈來愈顯得重要，迫切需要做好各類電力系統(tǒng)的安全防護(hù)，避免“烏克蘭電網(wǎng)事件”重演。典型安全風(fēng)險(xiǎn)（1）工業(yè)控制網(wǎng)絡(luò)安全防護(hù)能力不足，系統(tǒng)之間缺乏訪問控制和入侵防御機(jī)制，不能防范非法終端接入網(wǎng)絡(luò);（2）由于流程工業(yè)生產(chǎn)特點(diǎn)，目前未部署任何工業(yè)控制信息安全審計(jì)措施，出現(xiàn)信息安全事件沒有證據(jù)可查、可追溯;（3）由于工業(yè)系統(tǒng)特點(diǎn)，大量主機(jī)未安裝防病毒軟件或長期未更新病;毒庫（4）大量上位機(jī)的操作系統(tǒng)屬于老舊系統(tǒng)，存在高危漏洞;（5）工業(yè)控制信息安全不能做到統(tǒng)一管理，存在信息孤島。解決方案（1）邊界隔離（生產(chǎn)控制區(qū)和非控制區(qū)之間）部署具備隔離保護(hù)功能的安全設(shè)備實(shí)現(xiàn)網(wǎng)絡(luò)分層分區(qū)，邊界訪問控制，避免無授權(quán)設(shè)備對區(qū)域的訪問，實(shí)現(xiàn)基于通信“白環(huán)境”邊界攻擊防御；（2） 區(qū)域隔離（生產(chǎn)控制大區(qū)內(nèi)部）采取接入控制措施實(shí)現(xiàn)基于區(qū)域和功能的網(wǎng)絡(luò)劃分及隔離，對工業(yè)專有協(xié)議進(jìn)行深度解析，建立通訊“白環(huán)境”，阻止區(qū)域間的越權(quán)訪問，病毒、蠕蟲擴(kuò)散和入侵，將危險(xiǎn)源控制在有限范圍內(nèi)；（3）重要系統(tǒng)隔離采取安全隔離措施，對PLC、DCS等工控設(shè)備或系統(tǒng)安全漏洞利用等行為進(jìn)行阻斷，同時(shí)阻止操作員或工程師有意無意的非法操作；（4）工控網(wǎng)絡(luò)監(jiān)測與審計(jì)采用安全審計(jì)功能，對網(wǎng)絡(luò)運(yùn)行日志、操作系統(tǒng)運(yùn)行日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行日志、安全設(shè)施運(yùn)行日志等進(jìn)行集中收集、自動分析，及時(shí)發(fā)現(xiàn)各種違規(guī)行為和病毒、黑客的攻擊行為；（5）主機(jī)安全防護(hù)對主機(jī)進(jìn)行安全防護(hù)，阻止非授權(quán)及惡意軟件運(yùn)行，同時(shí)對操作系統(tǒng)進(jìn)行加固，如注冊表、配置文件等；(6)入侵檢測系統(tǒng)檢測網(wǎng)絡(luò)通訊流量中的入侵行為，分析潛在威脅并進(jìn)行安全審計(jì)；(7)統(tǒng)一安全管理集中管理安全設(shè)備，如工業(yè)防火墻、工控主機(jī)衛(wèi)士、監(jiān)測審計(jì)平臺等，實(shí)現(xiàn)工控網(wǎng)絡(luò)的拓?fù)涔芾怼踩渲眉鞍踩呗怨芾?、設(shè)備狀態(tài)監(jiān)控、告警日志等。典型部署火電業(yè)務(wù)場景丄Uftx13QJXZ1LE~*P±UW MiirA左 丄Uftx13QJXZ1LE~*P±UW MiirA左 *JIAlfti-Al*■*HHHU圭…±IWftPK*WWLC圖31火電場景安全部署圖在安全I(xiàn)區(qū)所屬的一號機(jī)組、二號機(jī)組、輔助車間控制網(wǎng)與安全I(xiàn)I區(qū)的SIS系統(tǒng)網(wǎng)絡(luò)邊界部署工業(yè)防火墻；在安全I(xiàn)區(qū)內(nèi)一號機(jī)組、二號機(jī)組與共同使用中央空調(diào)系統(tǒng)、壓縮空氣系統(tǒng)、凝結(jié)水系統(tǒng)、脫硫公用系統(tǒng)電、氣公用系統(tǒng)的公用系統(tǒng)網(wǎng)絡(luò)邊界部署工業(yè)防火墻保證安全I(xiàn)區(qū)內(nèi)一號機(jī)組、二號機(jī)組控制系統(tǒng)免受來自于公用系統(tǒng)的安全風(fēng)險(xiǎn)；在安全I(xiàn)區(qū)的操作員站、工程師站、歷史服務(wù)器上安裝工控主機(jī)衛(wèi)士，只允許白名單列表中的程序執(zhí)行，避免非授權(quán)訪問，同時(shí)實(shí)施移動存儲介質(zhì)安全管控，保證主機(jī)間數(shù)據(jù)交換安全；在一號、二號機(jī)組控制系統(tǒng)交換機(jī)上旁路部署監(jiān)測審計(jì)平臺，對控制系統(tǒng)進(jìn)行監(jiān)控、告警、審計(jì)，及時(shí)發(fā)現(xiàn)安全問題；

（5）旁路部署統(tǒng)一安全管理平臺，實(shí)現(xiàn)主輔網(wǎng)安全系統(tǒng)的統(tǒng)一管理和日志匯總分析。水電業(yè)務(wù)場景*lb+MVl*iH+MlnJG月塩対建wtB.pSHSSAPFJIW噸怦眼務(wù)IS壘 工哪燉做 卿!審出平臺|?也呻蛙七全催理平占:勻力密號蟲向廉理網(wǎng)關(guān)*lb+MVl*iH+MlnJG月塩対建wtB.pSHSSAPFJIW噸怦眼務(wù)IS壘 工哪燉做 卿!審出平臺|?也呻蛙七全催理平占:勻力密號蟲向廉理網(wǎng)關(guān)電力不堆:PBig畫網(wǎng)關(guān)寶全n區(qū)安全T圖32水電場景安全部署圖（1） 在安全I(xiàn)區(qū)內(nèi)的LCU本地控制單元前部署工業(yè)防火墻通過工控協(xié)議深度解析及應(yīng)用協(xié)議白名單機(jī)制，實(shí)現(xiàn)安全I(xiàn)區(qū)內(nèi)不同LCU本地控制單元的獨(dú)立安全；（2） 安全I(xiàn)區(qū)與安全I(xiàn)I區(qū)之間部署工業(yè)防火墻,通過對OPC數(shù)據(jù)采集協(xié)議進(jìn)行深度解析，實(shí)現(xiàn)兩個(gè)不同安全等級區(qū)域間的信息安全保護(hù)及網(wǎng)絡(luò)隔離；（3） 在安全I(xiàn)區(qū)內(nèi)旁路部署安全監(jiān)測審計(jì)平臺，實(shí)時(shí)監(jiān)測記錄誤操作和各類違規(guī)行為；（4） 在安全I(xiàn)區(qū)內(nèi)所有操作員站、工程師站、應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器上部署工控主機(jī)衛(wèi)士，避免相應(yīng)惡意軟件、誤操作等帶來的安全風(fēng)險(xiǎn)；（5） 在安全I(xiàn)區(qū)、安全I(xiàn)I區(qū)內(nèi)，旁路部署入侵檢測系統(tǒng),實(shí)現(xiàn)監(jiān)測控制大區(qū)內(nèi)病毒、木馬及惡意攻擊行為等，保護(hù)生產(chǎn)控制大區(qū)內(nèi)工控設(shè)備及系統(tǒng)免遭惡

意代碼的攻擊；（6）在生產(chǎn)控制大區(qū)內(nèi)部署統(tǒng)一安全管理平臺，實(shí)現(xiàn)工業(yè)防火墻、監(jiān)測審計(jì)平臺、工控主機(jī)衛(wèi)士等的集中管理和日志歸并分析，降低運(yùn)維難度難度，提升安全防護(hù)效率。風(fēng)電業(yè)務(wù)場景安全三區(qū)呂事面3￡ 口口■務(wù)* ■山砂金 IWYflffH ■H卻W 耀TEHtflA 怔肛刪ggggggg^^^安全二國交:公HK卻LE土ijm燉臨阿審ilT安全三區(qū)呂事面3￡ 口口■務(wù)* ■山砂金 IWYflffH ■H卻W 耀TEHtflA 怔肛刪ggggggg^^^安全二國交:公HK卻LE土ijm燉臨阿審ilT白liilCl 統(tǒng)f細(xì)s平甘鳳機(jī)宦RM圖33風(fēng)電場景安全部署圖?四僂幗同SEtH（1）在集中控制網(wǎng)與調(diào)度數(shù)據(jù)網(wǎng)、風(fēng)控率預(yù)測網(wǎng)、站內(nèi)控制網(wǎng)、風(fēng)機(jī)控制網(wǎng)間加裝工業(yè)防火墻，通過協(xié)議深度解析和嚴(yán)格訪問控制策略，避免各控制網(wǎng)絡(luò)遭受來自于其它系統(tǒng)的網(wǎng)絡(luò)攻擊行為；（2）在各控制網(wǎng)內(nèi)旁路部署安全監(jiān)測與審計(jì)系統(tǒng)，實(shí)現(xiàn)對安全I(xiàn)區(qū)內(nèi)各種惡

意攻擊行為的及時(shí)告警及記錄，為工控網(wǎng)絡(luò)安全問題提供追蹤溯源技術(shù)手段；在安全I(xiàn)區(qū)和各控制網(wǎng)操作員站、工程師站、應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器上部署工控主機(jī)衛(wèi)士軟件，保護(hù)主機(jī)和服務(wù)器免遭惡意攻擊；在集中管理區(qū)部署統(tǒng)一安全管理平臺，實(shí)現(xiàn)工業(yè)防火墻、監(jiān)測審計(jì)平臺、工控主機(jī)衛(wèi)士的集中管理。小結(jié)本解決方案按照