水庫大壩安全監測監控系統網絡安全風險評估及防護技術解決方案

郭 江，張志華，付志遠，雷 亮，李小龍，葉雨龍

（中國水利水電科學研究院天津機電所，天津301900）

0 引言

水庫大壩是水利樞紐工程中必不可少的主體建筑物，其投資及效益巨大，一旦發生事故，其后果和造成的災難也非常巨大，因此需要實時監控水庫大壩的工作狀態，實現水庫大壩動態數據的監測、采集、傳輸、數據匯集及設備控制自動化，確保水庫大壩安全穩定運行并發揮其效益。隨著信息化的推動、工業化進程的加速、智慧水利和“互聯網+現代水利”的建設，大量的網絡、通信和數據庫技術應用于水庫大壩安全監測監控系統，在水庫大壩數字化建設和智慧化改造過程中，必將互聯網的風險引入到水庫大壩安全監測監控系統。

1 背景

水庫大壩安全監測監控系統包括大壩安全監測系統、水情雨情監測遙測系統、水質自動監測系統、閘門自動控制系統、視頻監測等，對水庫大壩的安全穩定運行起著至關重要的作用。隨著“兩化融合”的日益推進和物聯網的迅猛發展以及智能設備的廣泛使用，水庫大壩安全監測監控系統也在經歷深刻的變革，傳統意義上的相對封閉和穩定環境的系統，正在逐步打破“信息孤島”的局面，隨之而來的各種網絡攻擊、安全威脅也不可避免的暴露出來。水庫大壩安全監測監控系統一旦遭到攻擊破壞，將給人民的生命財產造成重大損失，甚至威脅國家戰略安全。2014年2月，習近平總書記在中央網絡安全和信息化領導小組第一次會議發表的重要講話：“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化”，將網絡安全提升到國家戰略高度。水利部《2018年水利網信工作要點》指出：要深入貫徹國家網絡安全戰略，全力加強網絡安全監管，加強水利關鍵信息基礎設施網絡安全保護，抓好網絡安全監督檢查，完善網絡安全信息通報機制，開展水利工控系統網絡安全防護工作。

水庫大壩作為國家關鍵基礎設施的重要組成部分，水庫大壩安全監測監控系統網絡安全需要重點防護。如何貫徹執行習總書記“要全面加強網絡安全檢查，摸清家底，認清風險，找出漏洞，通報結果，督促整改”的要求和水利部《2018年水利網信工作要點》要求，是一個需要重點關注的問題。首先應從水庫大壩安全監測監控系統網絡安全風險評估入手，使用符合水庫大壩安全監測監控系統特點的理論、方法和工具，準確發現安全監測監控系統存在的主要問題和潛在風險，制定水庫大壩安全監測監控系統網絡安全防護技術解決方案，實施相應的安全保障措施，指導水庫大壩安全監測監控系統的安全防護建設，建立水庫大壩安全監測監控系統網絡安全縱深防御體系。

2 水庫大壩安全監測監控系統網絡安全風險評估

風險評估是從風險管理角度，運用科學的方法和手段，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生所造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，其防范和化解信息安全風險的有效性得到了世界各國的高度認可。風險評估已成為目前各類信息安全服務中需求最為普遍的基礎性服務工作之一。

水庫大壩安全監測監控系統網絡安全風險評估的主要內容包含技術評估和管理評估兩個方面，其中技術評估主要包括監測監控系統中的操作員工作站、工程師站、數據服務器、通信服務器、核心交換機、路由設備、現地數據采集終端、閘門現地控制單位等工控設備資產以及軟件資產等，發現各級別的漏洞風險；獲取工控網絡中的網絡流量，發現可能存在異常流量。管理評估主要涉及資產識別、人員訪談、問卷調查等，了解水庫大壩安全監測監控系統管理方面存在的風險。

風險分析包括管理差距分析、漏洞分析和流量安全分析3個方面。

（1）管理差距分析：按照《工業控制系統信息安全防護指南》的要求，從制度建設和執行效果這2個維度開展管理差距分析，識別出管理方面存在的風險。

（2）漏洞分析：將監測監控系統相關工控設備資產和軟件資產與工控漏洞庫進行比較分析，識別出存在的各級別的漏洞風險。

（3）流量安全分析：對工控網絡流量、端口、協議等開展深度分析，判斷出異常流量，識別流量風險。

根據分析結果計算風險值的大小，將風險分為極高風險、高風險、中風險和低風險4級。并編制風險評估報告，報告的內容應包括風險評估的目的、工具、過程、風險評估統計數據、風險處置措施等內容。

針對不同風險，主要采取以下風險處置方法：

（1）制度修訂：通過新增或修訂現有制度或安全管理策略文件的方式，將安全管理要求落實在制度或安全管理策略文件內，并要求遵照執行。

（2）管理優化：針對現有各類安全管理要求，加強安全意識教育和培訓，加強對各類要求的落實情況監督檢查。

（3）技術改造：針對現有技術管控中存在的不足，對現有工控設備、工具進行改造或引入成熟工具、設備，從技術上實現相應的管控要求。

3 水庫大壩安全監測監控系統網絡安全防護技術解決方案

根據風險評估結果找出水庫大壩安全監測監控系統在網絡架構、設備本體和網絡監測審計等方面存在的安全風險，針對系統網絡架構進行結構上的安全防護，從邊界防護到內部系統間的區域防護；針對監控系統中的軟、硬件自身進行本體安全防護，對關鍵LCU、控制器（PLC）和執行單元的設備層以及上位機操作系統、組態軟件、移動介質的使用進行本體安全防護；從入侵行為檢測和網絡安全審計兩個方面進行網絡的行為安全防護。

水庫大壩安全監測監控系統網絡安全防護技術解決方案如下頁圖1所示。

3.1 上位機防護

在主控層的工程師站、操作員站、OPC服務器等部署工控衛士，通過應用程序、網絡、USB移動存儲的白名單策略，防止用戶的違規操作和誤操作，阻止不明程序、移動存儲介質和網絡通信的濫用，有效提高系統網絡的綜合“免疫”能力。

3.2 關鍵節點防護

通過智能保護終端對水庫大壩安全監測監控系統現場控制層的RTU進行安全防護，對利用RTU已公開漏洞的攻擊行為和流量信息進行有效識別和攔截，允許從受信的上位機發送的合規操作流量通過，基于動態學習和自適應的防護策略，達到對RTU的防護效果。

3.3 網絡監測審計

在水庫大壩安全監測監控系統的監控層、通信層、現地層旁路部署監測審計平臺，對網絡通信流量進行有效監視和威脅檢測，對向內網進行的生產數據非法收集、惡意攻擊、數據篡改、違規操作進行告警和審計，為網絡安全管理人員提供線索依據和事件還原功能，對違規操縱和網絡攻擊行為可實時告警。

圖1 水庫大壩安全監測監控系統網絡安全防護技術解決方案

3.4 集中安全監管

部署在水庫大壩安全監測監控系統的網絡安全設備通過安全監管平臺實現統一化安全監管和運維，監管平臺可以實時收集現場安全設備采集分析的威脅情報信息，基于安全分析模型，實現全局的態勢安全預警與策略動態自適應，幫助運管人員實時發現現場的安全告警信息，并有助于及時實現安全防護響應。

4 結語

未來的水庫大壩安全監測監控系統將會融合更多的先進的信息安全技術，如可信計算、云安全等。因此，需要不斷通過風險評估掌握水庫大壩安全監測監控系統網絡安全現狀，服務器、控制器、網絡設備、安全設備等存在的安全漏洞，人員及管理等方面存在的安全風險。根據風險評估結果，提出水庫大壩安全監測監控系統網絡安全對策，不斷加強對水庫大壩安全監測監控系統的整體安全部署，完善和提供整體的水庫大壩安全監測監控系統網絡安全防護技術解決方案。