安全防護在電廠DCS系統網絡中的應用

曹煜

摘要：當前，很多電廠的DCS系統網絡安全防護能力普遍薄弱，主要原因是安全防護措施相對滯后，不但不能發揮安全保護的作用，反而其中的漏洞被利用，造成重大的安全損失，也給電廠的電力安全運行蒙上一層陰影。本文對電廠DCS系統網絡的不足進行分析和探究，并提出了相應的安全防護措施。

關鍵詞：安全防護;電廠DCS系統網絡;應用

DCS系統技術的出現和發展為電廠的電力運行提供極大的便利，但同時也存在信息系統管理體系缺乏完善，職責不明確、邊界缺乏安全防護手段、不同系統間的入侵防范與訪問控制缺乏完善等等問題，給電廠的信息系統安全運行帶來了嚴重的威脅。只有在DCS系統網絡中加強安全防護的應用，才能提升安全防護的等級和作用，有效地保障DCS系統的安全地運行。

一、電廠在DCS系統網絡中建設安全防護的目的

通常電廠控制過程采取的是DCS控制系統來實現相關的控制，DCS系統的安全與否與每名現場工作人員的財產安全、生命安全息息相關，甚至與企業的整體安全密不可分。但在實際的工作中控制系統網絡運行環境十分滯后，這就讓整個控制系統面臨著十分嚴峻的安全問題。從DCS控制系統角度講，系統的設計、規劃、上線、實施、運維、生產到廢棄是一個十分漫長的生命周期，在這樣的長周期里每個階段都會出現不同的網絡安全問題。要想確保DCS控制系統的網絡安全，需要對系統網絡安全做一個全生命周期的規劃，使之能更加適應工控系統的特性[1]。

二、電廠信息系統的安全現狀

大多數企業在網絡安全的大背景之下，其控制系統面臨重建和改造的問題，DCS控制系統的安全必然會成為重點關注。當前，很多電廠信息系統存在一些問題，其信息與數據安全存在重大隱患：

（一）信息系統安全管理體系缺乏完善，信息安全職責不明確

電廠信息系統的安全系統與管理建設還處在初級建設階段，信息安全管理、決策與執行的監管機構沒有明確，導致了信息系統建設、信息安全保障、運維等方面的工作比較滯后。

（二）邊界缺乏安全防護手段

大多數電廠都部署了MIS系統，給系統和SIS系統建立了聯系，而有一些電廠在SIS系統和MIS系統之間沒有按照專業的工業控制系統安裝隔離設備，只是加裝了普通的隔離裝置，如網閘等，對于來自企業內部針對工業控制系統的一些木馬、病毒惡意程序等不能有效地阻止其安全的威脅[2]。

（三）不同系統間的入侵防范與訪問控制缺乏完善

電廠生產大區運行的是同一網絡，通過以太網通訊將各個子系統連接起來，各個子系統之間設置安全訪問的條件，所有連接到網絡里的操作站或PC都可以訪問給網絡，破壞或操作生產控制系統，這樣就出現了控制系統內各控制單元的失靈，嚴重的會讓現場設備直接損毀;如果子系統有一個受到病毒的入侵或感染，其他的子系統也無法幸免。這些都會對業務操作造成安全隱患

（四）服務器與操作站缺少安全配置以及防范病毒

控制系統的服務器、操作站在上線后并沒有對操作系統進行升級，服務器與操作站也從不安裝殺毒軟件以及針對網絡辦公的殺毒軟件等，這樣服務器與操作站沒有任何防御能力。有的即使安裝了殺毒軟件也不徹底，沒有及時更新惡意代碼庫和新的防止惡意代碼軟件。

（五）不完備的網絡安全審計技術

控制系統當前采取的服務器、網絡設備、操作站等系統都是常規產品，操作系統是Windows或Unix等，這些系統、設備都有很多漏洞，容易被別有用心的人利用，盡管無需連接外網，但第三方系統和內部系統的調用與使用U盤等都容易讓人有機可乘。所以控制系統需要網絡安全審計技術，如果出現信息安全問題后可以溯源追查，有利于迅速解決問題[3]。

（六）缺少信息安全監控技術

電廠管理人員沒有該項技術，就無法對網絡安全事故開展分析與預警，管理人員不能很快地找到問題癥結點，當然也無法在短時間內做好修復和防護措施。

（七）使用移動存儲介質不規范

控制系統下使用及運維中，隨意使用光盤、U盤、移動硬盤等移動存儲，這樣不規范的工作方法很容易將木馬、病毒帶入控制系統，造成極大的安全隱患。

三、安全防護在電廠DCS系統網絡中的應用

根據目前的安全現狀，提出了水平分區、垂直分層、邊界控制、內部監測等整體安全防護思路，并根據信息系統的特點，建立了以下分區分層策略（如圖一）：

垂直劃分SIS層（安全二區）、MIS層（安全三區）、DCS層（安全一區）

水平劃分不同的功能區域（#1機組、2#機組、公用系統等）

按照電廠工業控制系統信息安全防護思路，SIS層（安全二區）和DCS層（安全一區）邊界及MIS層（安全三區）和SIS層（安全二區）之間采取的安全防護不做具體的描述。

圖一中分別采取的安全防護措施：

（一）智能保護平臺

在#1機組、2#機組和公用系統及廠級SIS系統邊界處采取專業工控網絡邊界防護系統來保證各個子系統之間的訪問控制和單向隔離。根據數據包的目的地址、源地址應用層協議、傳輸層協議、時間、端口、用戶名等相關信息實施控制訪問規則?？梢詫Υ蠖鄶抵髁鞴た貐f議進行識別，對惡意流量還是正常流量能夠有效的區分，做到協議的深層識別。能夠禁止惡意流量、非法訪問，而正常的業務數據完全可以通過這個系統。

（二）監測審計平臺

在DCS層（安全一區）交換機處旁路安裝監測審計系統對工業控制層內部的業務流量進行審計與監測。能對網絡攻擊事件實施有效的檢測：采取協議分析技術、細粒度檢測技術、協議異常檢測、誤用檢測技術等能檢測到各類欺騙與攻擊?？梢詫Χ喾N協議內容進行完整的記錄，主要包括IP攻擊源、攻擊類型、攻擊時間與目標等信息，并且可以提供重要安全事件的多種報警機制。

（三）威脅評估和安全監管平臺

在DCS層（安全一區）總線網絡中安裝安全管理平臺來進行統一的監控、管理、保護控制網絡安全的相關產品。威脅評估和安全監管平臺能夠和防護系統里的其他安全產品共同建成統一檢測和保護系統。由該平臺統一部署安全規則、統一負責控制管理、安全信息、安全事件，可以分析控制網絡里的安全威脅?？梢蕴峁┦录粉?、行為審計、管理日志、威脅分析、安全性分區等多種功能的服務。

（四）工控系統主機防護

在DCS層（安全一區）各個服務器主機上安裝主體防護系統，可以有效地防護控制系統里的HMI與各種服務器等終端的主機安全?？梢詫W絡端口狀態、主機狀態進程、USB端口狀態進行監測。使用白名單技術為主機資源使用提供全方位的保護，徹底切斷木馬與病毒的破壞途徑，并且對USB移動設備的文件操作進行嚴格的監控，采取嚴格的設備授權管理杜絕機密文件被非法復制。

（五）USB防護系統

在DCS層（安全一區）各個操作員站上安裝USB防護系統，可以對電廠信息系統網絡中加強對U盤使用授權，對U盤病毒能實施有效的防護，與企業安全管理規章制度相融合，對工控網絡中U盤的使用進行規范?？梢杂涗洐嘞拊O置、U盤認證與行為等，對系統網絡中U盤的行為及使用實施有效的管理。通過在系統內部設置U盤的使用權限，只允許擁有高級權限的用戶使用U盤對主機上的數據進行復制，禁止隨意在內網里傳輸數據的行為，杜絕了核心數據被泄露的危險。此外，USB防護系統同時還具備了抵御信息系統網絡里高級USB與病毒攻擊的能力，例如，USB炸彈、死亡藍屏攻擊、LNK攻擊、BadUSB攻擊等，對信息網絡系統實施了真正有效的保護。

結束語：

綜上所述，通過建立智能保護平臺、監測審計平臺、威脅評估和安全監管平臺、工控系統主機防護、USB防護系統，能系統地建立安全防御體系，有效地抵御各種病毒以及黑客的惡意攻擊，凈化了電廠信息系統網絡空間，更好地保護電廠重要的數據安全，為電力安全、高效地運行提供了有力的保障。

參考文獻：

[1]孟瑜煒，謝增孝，劉軒驛，俞榮棟，朱繼峰，張信情，吳林峰.淺析電廠工控系統網絡安全應急處置[J].自動化博覽，2020，37（08）：62-65.

[2]寇增杰，安高峰，馬霄，袁留記，陳鑫鑫.網絡安全國家標準在電廠工控安全中的應用[J].信息技術與標準化，2021（03）：16-20.

[3]張振宇，劉宗奎，高文松，李振宇.火力發電廠廠級監控信息系統的設計與應用[J].能源研究與管理，2020（04）：77-82.