等保2.0下的電力監控系統安全運行環境設計

陶文偉， 梁志宏， 吳金宇， 陳剛

(1.中國南方電網有限責任公司，廣東 廣州 510623；2.中國南方電網數字電網研究院有限公司，廣東 廣州 510555)

0 引 言

隨著智能電網行業的快速發展，電力監控勢在必行。文獻[1]提出一種基于樹狀模型進行電力監控數據鏈式管理的方案，可以提高數據查詢的速度，但是并未提高數據傳輸的安全性。文獻[2]設計了一種新的網絡電力監控系統，通過專線進行智能調度的方案，但是成本較高，依然有數據泄露的風險。文獻[3]提出通過可信網絡連接的方式進行數據傳輸，但是其非常依賴可信度的傳遞，系統沒有健壯性。

針對上述方法的缺點，本文設計了一種新的數據傳輸架構。

1 電力監控系統安全防護總體框架

電力監控系統行業在快速發展，對于電力監控系統安全運行環境的研究同樣不斷發展，本文通過把等級保護2.0引入電力監控系統安全運行環境，并通過設計一種新的電力信息安全傳輸框架來提高安全運行環境的性能。圖1所示為電力安全通信架構[4]。

圖1 電力安全通信架構

圖1中：首先生產控制區是進行電力數據采集和調度控制的區域，通過電力數據采集裝置獲取電力產出和需求的電力數據，由于有多個生產控制區，設計了一個專門進行電力調度的節點，這個節點就是電力調度數據網。由于多個生產控制區和電力調度數據網之間進行數據通信傳輸，因此需要通過相關技術對進行傳輸的通信數據進行加密認證措施，提高安全性。僅通過電力調度數據網并不能完整地對電力進行調度，還需要業務管理信息區對每個生產控制區的業務數據進行管理[5]。

2 虛擬私有網絡

由需要進行數據傳輸服務的企業向提供互聯網服務的供應商支付一定的費用來連接一條專線，但是架設專線需要的費用會隨著專線的長度而增加，而且專線網絡并不能保證數據傳輸的安全性，因此本文通過虛擬化的私有網絡進行信息交流。虛擬私有網絡(virtual private network，VPN)與傳統網絡架構并不相同，虛擬私有網絡架構和傳統網絡架構組合如圖2所示[6]。

圖2 VPN網絡架構與傳統架構

圖2中：左側是虛擬私有網絡，不需要架設專門的線路，通過身份認證、對稱算法、非對稱算法以及密鑰管理等多種數據加密的算法，利用現有的互聯網線路進行數據傳輸；右側是傳統網絡結構，通過架設專門的線路進行數據傳輸。任何需要進行數據傳輸的兩個企業都需要架設一條線路，因此需要大量的成本[7]。

2.1 可信網絡連接

為解決通信安全性問題，本文通過可信網絡連接進行解決，以IEC 60870-5-104規約為例進行說明。IEC 60870-5-104規約的報文格式如圖3所示。

圖3 報文格式

圖3中:APCI為應用協議控制信息;ASDU為應用服務數據單元;APDU為應用規約數據單元。如果數據傳輸僅通過該規約進行保護，由于IEC 60870-5-104協議不能進行認證，黑客可以通過該漏洞進行攻擊，因此引入可信網絡連接技術對其進行改造，使其擁有向用戶進行認證的能力[8]。

本文采用的是一種含有TPM的可信網絡連接技術。TPM為一種利用可信軟件棧和可信平臺服務進行支撐作用的可信網絡連接技術。該技術通過信任鏈進行信任傳遞，首先擁有必定可信的信任根，從信任根開始，通過一級一級的信任進行傳遞認證，最后使整個計算機系統都處在這條信任認證網中，該可信網絡連接架構如圖4所示。

圖4 可信網絡連接架構

圖4中：網絡訪問請求者進行訪問，通過采集完整性信息并進行對比，以此來實現驗證。如果不能通過完整性驗證就不能訪問資源，這將大大降低程序的健壯性，需要更柔性的判別方法，以此采用隔離修補模塊的方式提高數據完整性認證的靈活性[9]。為了更好地對端口進行靈活認證，采用一種隔離修補協議如圖5所示。

圖5 隔離修補協議

圖5為可信網絡連接隔離修補協議，具體流程如下。

第1步：完整性校驗者向完整性收集器下達命令，使完整性收集器收集需要隔離系統的完整性報告。

第2步：完整性收集器將需要采集的部件由平臺可信服務進行可信化處理。

第3步：平臺可信服務由需要度量的部件生成的整體性報告發送給整體性收集器。

第4步：整體性收集器將收集到的完整性報告上傳給完整性校驗者。

第5步：通過策略服務器提供合適的處理方法和比較的基準值，把生成的完整性報告和基準值進行比較，觀察其是否符合要求，對于不符合要求的進行隔離修補。

第6步：完整校驗者返回最終比較的結果。

通過該隔離修補協議可以提高可信網絡認證的健壯性，以此提高程序安全性。

2.2 加解密技術

虛擬私有網絡是在公共的互聯網中進行數據傳輸，因此進行安全的數據傳輸同樣是VPN重要的一部分。在整個數據傳輸過程中，需要非常重視其他人對數據的竊取和篡改，因此需要對每一層包裝的數據進行加密，數據傳輸后再進行解密，數據加密技術就是這一部分的關鍵。常用的加密技術主要分為兩種：一種是對稱式加密算法，其通過密鑰對需要加密的數據進行分組循環加密，而解密過程就是根據密鑰，把加密過程倒過來；第二種是非對稱的加密算法[10]，算法所需構成如表1所示。

如表1所示：首先需要選取兩個素數P和Q，為提高破解難度，一般選取位數較大的素數且位數相同的素數；公共模數N等于P和Q的乘積；歐拉函數F(N)=(P-1)(Q-1)；公鑰E表示為1

表1 非對稱加密算法構成

3 模擬仿真試驗

3.1 安全性因子比較

為了驗證本文設計的電力監控系統安全運行設計的合理性，通過本文設計的評價模型使其與某變電站的通信系統安全性進行比較。在本文中對于組件的基本評價數據通過技術文檔和專家訪問的方式獲得，并采用互反性1～9標度法進行構造。

準則層判斷矩陣如表2所示。

表2 準則層判斷矩陣

對于指標層數據,每項僅有兩個數據,為：通信協議為1/3、節點安全為3/1、算法強度為1/7、網絡安全為5/1、攻擊者知識為3/1。根據AHP—TOPSIS綜合層次分析法，可得行為決策矩陣如表3和表4所示。

表3 本文方案行為決策矩陣

表4 變電站方案行為決策矩陣

利用判斷矩陣和行為決策矩陣的數據并通過本文設計模型，對本文方案和變電站方案的安全性因子進行比較。通過計算得到如圖6所示的比較結果。

圖6 安全性因子比較結果

圖6中：實線表示本文方案的安全性因子的曲線圖；虛線為變電站方案的安全性因子的曲線圖。因此可以很明顯地觀察到本文設計的通信安全性更高。平均安全性因子能夠高出30%左右。

3.2 可信網絡連接模擬仿真

為驗證本文的電力監控系統安全運行環境設計的合理性，本文設計了一套模擬仿真試驗。在本次模擬仿真試驗中所使用硬件如表5所示。仿真網絡結構如圖7所示。

表5 可信網絡連接硬件

如圖7所示，采用S7-300 PLC模擬電力監控系統的控制端口，通過工業防火墻與外部人機交互等端口進行相連。 客戶機A表示用戶進行的正常的數據交流；統一安全管理平臺是企業內的工業防護墻，進行統一化管理的平臺，管理客戶機可以訪問統一安全管理平臺(Web平臺)，建立用戶白名單，工業防火墻通過建立的用戶白名單進行過濾，實現防御功能；攻擊計算機模擬黑客攻擊行為，在攻擊計算機中安裝CVE-2016-3949漏洞，攻擊腳本，模擬進行黑客攻擊。本次模擬試驗采用直接攻擊S7-300 PLC這種方式進行。為了驗證本次設計的安全性，選用未啟用可信網連接和工程控制協議白名單進行防護的系統與本文設計的啟用可信網連接和工程控制協議白名單進行防護的系統，在同種攻擊下的反應進行比較，得出攻擊結果，如表6所示。

圖7 仿真網絡結構

表6 攻擊結果

可見，啟動可信網絡連接能夠提高系統的安全性能。

4 結束語

本文通過對等級保護2.0的發展歷程和特點進行探究和分析，以及對電力監控系統目前面臨的網絡安全問題的分析，推動了電力行業的發展。另外，加強安全防護還應當在安全管理中心設立病毒查殺數據庫，定期優化和檢查電力監控系統防御病毒的性能；這一系列安全防護措施對于電力監控系統的安全運行具有重要作用。雖然本文有一定的技術創新性，但是仍舊存在很多不足，需要進一步的探索和研究。