廠站端電力監控安全防護工作探討

吳小放

（江蘇沙河抽水蓄能發電有限公司，江蘇 溧陽 213333）

1 引言

2010年震網（Stuxnet）病毒首次被檢測出，這是第一個專門定向攻擊真實世界中基礎能源設施的“蠕蟲”病毒，比如核電站、電網、水壩等，并且造成伊朗核電站核心設備損毀、工期延遲。2015年烏克蘭則發生第一起人為故意使用惡意軟件而引起停電的攻擊案例，造成140多萬人停電6 h。這2起案例最終的攻擊目標均為電力系統源點即廠站側，而廠站端在電力監控安全防護體系建設及運維管理方面的薄弱項又極易被攻破。

廠站端監控系統安全防護目標是抵御黑客、病毒、惡意代碼等通過各種形式對廠站端監控系統發起的惡意破壞和攻擊，同時也要禁止和防范其它非法操作造成電力監控系統癱瘓和失控以及由此導致的電力系統事故。本文列舉了廠站端在電力監控安全防護建設中存在的主要網絡威脅以及提升的措施和建議，以求共同做好廠站端電力監控安全防護工作。

2 廠站端電力監控面臨的主要網絡威脅

2.1 應用系統及設備安全漏洞

CNVD（中國國家信息安全漏洞共享平臺）公開發布信息安全漏洞數量自2012年持續攀升，至2020年達到20 255起。從安全漏洞影響的對象類型來看，應用程序、操作系統、WEB應用、數據庫占比為89.7%，網絡設備和安全產品占比為8%。電力系統廠站端受限于SCADA/CSCS主機、DCS/PLC等工控設備獨特應用場景，系統漏洞補丁需要自動化硬軟件提供商在獨立環境測試完畢后方可修補，在安全漏洞修復的時效性以及技術支撐方面都提出了更高的要求。

圖1 CNVD2012年～2020年信息安全漏洞趨勢圖及漏洞影響對象類型分布圖

2.2 惡意代碼侵害

惡意代碼是不需要的文件或程序，它們可能會對計算機造成損害或破壞計算機上存儲的數據。惡意代碼的分類包括病毒、蠕蟲和特洛伊木馬等。目前廠站端電力監控安全防護一般都配置有防范惡意代碼裝置，但在惡意代碼特征碼更新以及更新文件安裝測試環節均存在技術能力上的薄弱環節。另外以某調度2020年度管理信息大區惡意代碼監測情況來看，涉及13座統調電廠共感染13起惡意代碼，發生原因多為使用帶病毒U盤拷貝數據、安裝帶有惡意代碼的軟件等。這些不安全事件的發生也與相關人員網絡安全意識淡薄息息相關。

圖2 某調度2020年度管理信息大區惡意代碼監測類型分布圖

2.3 內外部維護人員非法操作、無意或者故意行為

盡管廠站端依照電力監控系統安全防護總體原則配置網絡安全設備，但SCADA/CSCS主機、DCS/PLC等工控設備、AGC、AVC、保信子站及PMU等調度信息系統在內外部維護人員不謹慎地配置訪問控制規則或者超越已授權限進行非法操作時，甚至于無意或有意地泄漏口令、證書、網絡架構等敏感信息時，更容易被不法分子所利用，成為整個網絡安全防御的薄弱點。

2.4 全面安全管理漏洞

網絡安全技術和全面安全管理從來都是一個整體，兩者不能割裂。甚至于全面安全管理上的某個漏洞有可能造成網絡安全技術防護手段形同虛設。例如外來人員的審查、重要部位的進出管理制度、重要操作的監護制度、保密制度、臺賬記錄、應急管理、人員培訓提升等，這些制度不僅對于事前風險防范意義重大，對于事后調查也必不可少。合理有效的制度體系是網絡安全的重要保證，管理制度和實際工作一旦脫節，就會使網絡安全風險大大增加。

3 落實廠站端電力監控動態防護體系，提升網絡安全防護水平

保證網絡安全不是一勞永逸的，計算機網絡技術更新換代速度超出想象，網絡滲透、攻擊威脅手段也花樣翻新、層出不窮，安全防護一旦停滯不前則無異于坐以待斃。網絡安全問題是動態的，系統漏洞、設備漏洞、管理漏洞等網絡安全風險都在不斷變化，攻擊者技術也在不斷更新。這就需要落實廠站端電力監控動態防護體系即基礎設施安全、體系結構安全、系統本體安全、全面安全管理以及應急備用措施五個方面的柵格狀電力監控安全防護體系，提升網絡安全防護水平。

3.1 基礎設施安全

強化建筑物、機房、電源、環境、通信等物理設施的物理安全防護。重點關注自動化設備間等重要區域的電子門禁系統管理，控制、鑒別和記錄人員的進出情況；為電力監控系統配置冗余電源并同時建立應急供電系統；機房滅火器材、火災自動報警系統完好；梳理整改通信設備、線纜溝道的安全隱患，滿足N-1安全運行要求。另外生產控制大區密碼基礎設施生產控制大區縱向加密裝置密碼算法需更新至SM2加密算法。

3.2 體系結構安全

圖3 電力監控系統安全防護總體框架結構示意圖

電力監控系統安全防護體系結構的總體策略及核心是“安全分區、網絡專用、橫向隔離、縱向認證＂，注重外部網絡邊界隔離阻斷，配置安全防護裝置，形成柵格架構。目前廠站端在執行時主要存在分區錯誤和跨區并聯問題。首先是分區錯誤問題，基于廠站端電力監控系統本身的復雜性和多樣性，確定安全等級時不能針對不同特性及重要性的系統進行相關的安全程度分區處理，確定安全防護策略，達不到不同等級安全防護具體要求。因此需要在“三同時”期間嚴格按照國家能源局（2015）36號文件規定的不同類型廠站安全分區標準執行，避免出現設備和系統分區定義錯誤。其次是跨區并聯問題，跨區并聯問題主要集中在生產控制大區與管理信息大區之間采用防火墻而未采用正、反向安全隔離裝置，不能有效杜絕網絡方式穿越。

3.3 系統本體安全

須確認計算機、存儲設備、路由器、交換機、保護裝置等關鍵設備是否存在經過國家有關部門的安全檢測，是否存在安全隱患或惡意芯片；空閑網絡端口是否已關閉；生產控制大區是否采取禁止USB、光驅等移動介質接入措施；實時監控系統、安全自動裝置、控制保護設備等是否采用國家有關部門檢測認證的安全操作系統；核查非安全操作系統設備是否已采取有效防護手段；生產控制大區是否按要求關閉了通用網絡服務；檢查操作系統是否存在惡意后門，是否采取防止惡意代碼的安全措施；核查是否存在供應商缺省帳戶；.檢查是否存在弱口令。

3.4 全面安全管理

全面設備管理方面重點落實核查接入設備身份是否可信，設備證書是否符合管理要求；安全防護設備臺賬、安全策略配置、運行日志、設備維護、安全審計；外部設備接入時核查外部計算機、移動介質的接入是否具有相應的安全管理制度和記錄。人員管理方面更為重要的是落實現場運維人員和廠家技術支持人員安全管理及防護措施，比如現場指定專門的運維人員負責監督廠家技術支持人員系統運維、建立廠家技術人員聯系方式表、簽署保密協議等。無論設備管理還是人員管理均需要制度支撐，建立健全電力監控系統網絡安全管控機制，明確安全責任主體，成立網絡安全協調機構，負責網絡安全防護體系建設和管理。

3.5 應急備用措施

應急備用措施首先要確認核心服務器應滿足冗余要求，網絡與信息安全的應急預案的編制與演練、安全應急制度是否健全與落實。其次也是現階段最重要的是充分發揮電力監控安全監測管理平臺監視、告警與分析作用，其能有效對運維人員的違規操作、系統運行異常、設備故障等安全事件進行監控，而這些異常事件恰恰是對廠站端內部安全威脅的最大部分。

4 結語

做好廠站端電力監控安全防護工作就是貫徹落實《中華人民共和國網絡安全法》等法律法規，依據國家關鍵信息基礎設施運行安全要求，按照“外防與內控結合、人防與技防并重”的原則，全面落實電力監控系統安全防護措施，強化生產控制網絡空間的安全管理與監督，健全結構合理、縱深防御、實時管控的網絡安全防護體系，實現“外部侵入有效阻斷、外力干擾有效隔離、內部介入有效遏制、安全風險精準管控、系統運行保障有力”的電力監控系統安全防護目標，切實保障廠站端電力監控運行安全。