調度數據網工控設備探測及安全掃描裝置的研究及應用

唐波　朱兵　韓輝　王陽　朱筆揮

摘 要：針對調度數據網工控安全督查手段不足、缺乏隱患排查工具等問題，通過研制便攜式工控安全掃描裝置，對調度數據網工控設備及服務狀態摸底排查，實現調度數據網聯網設備的隱患排查、漏洞檢測及工控協議規約解析，為工控安全督查工作提供有效的技術手段輔助，切實提升調度數據網工控安全防護管理水平。

關鍵詞：調度數據網；工控安全；設備探測；安全掃描

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1671-2064（2017）22-0087-02

為落實國網公司關于開展2017年電網工控安全專項工作要求，及深入掌握調度數據網中存在的網絡設備、工控設備及他們所提供的服務等基本情況以期制定符合實際運行情況的電網工控安全行動計劃，國網黃山供電公司積極開展調度數據網工控安全深度檢測和防護工作，強化電網工控安全意識，加強調度數據網工控安全防護管理，嚴防工控設備臺帳不明晰、通信服務不明、基準不清等安全風險隱患，確保電網工控安全。

1 電網工控語言專項解讀

工業控制系統中都是采用各種工控專用協議來完成的，是工控網絡系統的專用“語言”。調度數據網和廠站內部主要使用IEC104和IEC61850協議完成工控寫。

工控IEC 60870-104協議是國際電工委員會（IEC）制定的用于變電站自動化系統的國際標準之一，是用于變電站系統以太網通信的協議。在國內電力系統有著廣泛的應用。本課題針對IEC 60870-104協議進行了深度解析，完成該協議全部協議變量的解析。

IEC61850是一個新技術的集成體系，是第一個完整的關于變電站自動化系統的通信體系。與傳統的體系相比，有如下突出特點：使用面向對象技術，使用分布、分層體系，ACSI（使用抽象通信服務接口）、SCSM（特殊通信服務映射）技術，使用MMS技術，具有更好的互操作性，面向未來、開放體系結構。工控IEC61850 MMS協議用于變電站內站控層自動化控制，本課題針對 IEC61850 MMS通訊協議進行了深度解析，完成該協議全部協議變量的解析，使得應用IEC61850 MMS的網絡業務行為可描述、可檢測。

2 電網工控設備探測原理

調度數據網承擔著電力調度工作數據傳輸任務，其工控設備數量大、新老設備共存、設備種類繁多，廠站建設、運行、改造、維護過程經常會發生設備變動、新增設備等情況，這些情況導致調度數據網工控設備臺帳準確度較低，會使安全管理人員疲于應付，又不能保證對重要資產的及時修補。

工控設備自動探測，主要是對調度數據網內接入工控設備信息、網絡服務端口開放信息、路由配置信息等進行采集。綜合運用主機存活探測、智能端口檢測、工控協議指紋對比、操作系統指紋識別等多種手段，全面、快速掃描網絡中的存活設備，準確識別其端口情況、操作系統以及開放的服務等設備屬性。

3 電網工控安全掃描原理

通過工控系統漏洞挖掘和安全防護技術研究，解決工控系統脆弱性分析和安全防護問題，形成面向工控系統的漏洞挖掘檢測、分析輔助工具，除了可以支持對常見的通用操作系統、數據庫、應用服務、網絡設備進行漏洞檢測以外，還支持工業控制系統協議識別分析，檢測工業控制系統的漏洞與配置隱患，及時發現工業控制系統存在的脆弱性問題，了解工業控制系統自身的安全狀況，以便能夠及時地提供針對性的安全加固及安全防護措施。

3.1 漏洞掃描及分析

漏洞掃描是基于主機的一種安全漏洞掃描系統，基于系統信息、配置信息、組態軟件以及邏輯解算器程序的邏輯判斷，融合網絡分析、漏洞管理、操作系統指紋識別等關鍵技術，發現工業控制系統潛在的未知漏洞，可以對SCADA系統、DCS系統、PLC控制器等工業控制系統進行漏洞挖掘，為工業控制系統的安全檢測工作提供基礎和技術支撐。

同時支持對測試過程中實時抓包分析數據包分析的結果進行針對性的測試，包括觸發定位、測試重放、抓包重放、重新攻擊等過程；通過對已發現漏洞的細節進行深入分析，在數據包中迅速定位，弄清攻擊原理，準確地估計潛在的漏洞利用方式和風險等級，協助電力企業進行安全風險管理。

3.2 全面深入的協議分析技術

協議分析技術是網絡安全產品的核心技術之一，主要是通過分析網絡報文中包含的協議特征，發現其所在的協議，然后遞交給相應的協議分析引擎進行處理，能夠高速的、智能的、準確的檢測出對運行在任意端口的應用層協議的攻擊行為和標準協議運行在非標準端口行為，準確發現綁定在任意端口的各種木馬、后門。

4 專用督查裝置研究內容

調度數據網工控設備探測及安全掃描裝置的研究及應用，基于層次探測的工控安全掃描方法，工控系統探測分別從網絡層面和系統層面對工控系統進行了探測，數據比對是通過探測得到工控系統的具體信息，并與工控系統漏洞庫中的數據做比對，匹配出工控系統存在的漏洞。

通過對調控主網、調度數據網、廠站內部分別進行分區分域掃描；探針根據分配的IP地址段對段內的IP地址存活網絡設備探測，并進行端口掃描，對交換機、路由器中的轉發表和路由表、接口開啟狀態進行采集獲取網絡結構，實現采集網絡設備和開放網絡服務端口信息采集，使用網絡抓包實現對站控層網絡IEC61850 MMS協議和GOOSE協議分析，實現站控層服務對象分析和連接關系分析。

（1）工控設備自動探測。綜合運用主機存活探測、智能端口檢測、工控協議指紋對比、操作系統指紋識別等多種手段，全面、快速掃描網絡中的存活設備，準確識別其端口情況、操作系統以及開放的服務等設備屬性。同時支持導入或自動獲取變電站站控層SCL文件獲取站控層設備。（2）工控系統漏洞掃描。支持對SCADA、PLC、DCS、遠動機、電能量采集終端、廠站工作站等多種類型的系統或設備進行針對性掃描，準確定位其脆弱點和潛在威脅。（3）工控協議規約解析。支持站控層網絡連接關系分析、MMS協議調用分析及協議級調用分析，實現調用連接關系可視化展示。（4）掃描結果可視化展示。采用餅狀圖、柱狀圖、雷達圖等多種可視化方式全面展示掃描過節，被測設備信息及配置信息，掃描用例配置及掃描結果，測試故障列表及漏洞結果描述等。（5）便攜式掃描裝置。將研究的軟件跟便攜式設備結合，形成智能化、移動化電網工控安全督查工具，方便督查人員攜帶在變電站內部執行督查工作。

5 專用督查裝置典型應用

國網黃山供電公司自主研發的調度數據網便攜式工控安全掃描裝置，在黃山110kV某變電站開展該專項檢測裝置的核心功能實地試驗。試驗結果如表1所示。

試驗共發現上宅變站控層網絡發現8個網段，發現活動設備61臺，開放端口2個。

所能發現涉及嵌入式設備解決方案包括：armorlink（芯發威達）、EST （EST株式會社）、Inspur（浪潮）、Jetway（捷波IPC ）。同時，分析結果通過拓撲圖1支持可視化展示。

通過拓撲展示可以清晰看出原IP地址和目的IP地址設備的詳細，連接所使用的IEC61850協議以及連接次數。

6 結語

調度數據網工控設備探測及安全掃描裝置的研究與應用，實現了調度數據網工控設備及服務狀態摸底排查，同時實現電網工控安全檢測裝置智能化、移動化，為工控安全督查工作提供有效的輔助手段，提高了調度數據網工控設備安全督查工作效率，有效地支撐國網公司工控系統安全督查防護工作的深入推進，為保障電力設施安全穩定運行和安全調度提供了重要保障。

參考文獻

[1]俞海國，馬先，徐有蕊.電網工業控制系統安全威脅監測系統設計及應用[J].電力信息與通信技術，2016.

[2]彭杰，劉力.工業控制系統信息安全性分析[J].自動化儀表，2012.

[3]磨正坤.電網調度數據網信息安全分析[J].廣西電力，2012.