基于电力监控系统安全防护原则下的网络搭建

基于电力监控系统安全防护原则下的网络搭建

黄亮浩,丁勇,梁社潮

广东电网有限责任公司江门供电局   529000

摘要：近年来，社会进步迅速，我国的基础建设的发展也有了改善。电力系统是国家重要基础设施之一，各个行业对电力资源需求呈现逐年上涨趋势，要求整个电力系统安全且稳定可靠。电力监控系统监视、调整并控制着电力系统中各生产单位设备的运行状态，保证了电力系统的安全运行和可靠的供电。随着智能化、信息化技术的不断发展，越来越多的新兴技术在电力系统中不断应用，使得电力监控系统所涉及的技术、工作量、工作难度在这个过程中大幅增长。

关键词：电力监控系统；安全防护原则；网络搭建

引言

为了有效提高电力监控系统网络安全能力，针对电力监控系统的特点以及系统使用方实际面临的风险，本文设计和分析出有效且实用的防护方案。本安全防护方案主要通过加强网络安全监控体系建设、加强区域边界安全建设、加强计算环境安全建设、构建纵深防御体系、加强安全管理体系建设和物理机房环境建设等防护手段进行。实际应用结果表明，本方案安全防护效果优异，且具有行业安全防护的示范性和推广价值。

1新形势下电力监控系统面临的网络安全风险分析

云计算、大数据和物联网等新兴技术在电力监控系统中得到广泛应用，但在提高效率的同时也面临人员风险，勒索病毒、蠕虫和木马，系统性风险，安全威胁与建设实践的脱节风险等新的网络安全风险。

1.1　人员风险

目前很多电力监控系统运维人员缺乏网络安全意识，组织员工定期接受网络安全培训的工作落实不到位，使得很多重要的电力监控系统在日常工作中缺乏有效的安全防护措施。很多员工对密码管理缺少必要的认识，例如采用默认密码、长期不修改使用密码、密码存放在互联网或云平台等公开环境中，极易导致核心电力控制系统的用户名和密码泄露，被恶意攻击者掌握。

1.2　勒索病毒、蠕虫和木马

随着移动互联网、云计算、物联网等新技术在电力系统中的广泛使用，移动终端和App等平台为电网调度指挥提供了更为方便、高效的管理方式，但同时也面临勒索病毒及其他网络攻击的风险。勒索病毒等网络攻击手段具有隐蔽性、破坏性、传染性等特性，一旦进入调度数据网络，将严重影响电力系统数据资料安全性，甚至导致整个生产网络瘫痪，造成巨大损失。近2年频繁发生的勒索病毒袭击国内外关键基础设施事件充分暴露了这种风险的严重性。

2电力监控系统安全防护主要内容

对于电力监控系统网络安全建设，应当以适度安全为核心，重点保护为原则，从业务的角度出发，重点保护重要的业务系统。整个安全保障体系各部分有机结合，相互支撑，形成整体的等级化的安全保障体系，同时根据安全技术建设和安全管理建设，保障水电控制系统整体的安全。

2.1加强网络安全监控体系建设

通过在电力监控系统网络关键节点部署工控安全审计、工业入侵检测系统和日志审计系统，对网络流量进行安全审计、检测，识别、审计、记录生产控制系统的操作行为和异常网络行为、网络设备日志，便于事后进行取证和定责。提供整个控制网络的总体运行情况，自动识别网络设备，显示网络设备当前状态，进行网络性能综合分析，针对工业控制系统重要的网络节点或区域，监测所有通过的数据包，并对数据包进行深度解析，实现控制行为合规性检查，针对异常或非法操作数据包，分析是否有外界入侵或人员误操作，并对所有异常情况进行审计、发出报警，提醒现场安全运维人员去处置。工控安全审计系统不仅可辅助安全运维人员发现、分析与处置安全事件，可以与串行部署的安全防护类设备配合使用，为实时修正安全保护类设备的安全策略提供数据支撑。还可以提供最全面的安全事件数据，支撑阶段性全网安全风险分析与评估，为安全事件追溯提供证据。

2.2加强区域边界安全建设

采用针对工控系统的专业数据隔离防护产品来进行边界防护，能够深度解析工业通信协议，并且对于利用工控协议漏洞、工控系统漏洞进行渗透攻击的行为进行实时拦截和告警，避免因传统防火墙防护不足导致的工控异常操作和数据被恶意篡改等攻击行为。

2.3　加强计算环境安全建设

计算环境安全主要体现在恶意代码防护、入侵检测、系统漏洞、安全审计、外设管理、剩余信息保护几个层次。基于工业控制系统本身的安全特点，可以采用白名单技术，保证软件和应用程序正常运行，对其进行充分的代码审计、安全监测和分析，结合完整性检查方法，当发现程序被修改后，会阻止该程序的运行，从而阻止病毒的扩散；实时监控USB端口、网络端口状况，提供自定义外设管理，严格控制非授权外设接入，提供完备的操作日志，当泄密事故发生后，可以从操作日志中追溯到泄密文件、设备、日期等关键信息，从而为事后问责提供有力依据。此外，工控安全事件的发生，或多或少都利用了工业控制系统的“漏洞”，进而攻陷了整个工业控制系统。对于这些重要的基础工业设施，如何在黑客攻击之前帮助客户发现漏洞，成为急需解决的问题。因此，需通过部署工控漏洞扫描系统，在工业控制系统受到攻击之前为客户提供专业、有效的漏洞分析和修补建议，防患于未然。

2.4　构建纵深防御体系

在系统建设中事前身份不确定、授权不清晰，事中操作不透明、过程不可控，事后结果无法审计、责任不明确，导致客户业务及运维服务面临安全风险。因此，需在电力监控系统中部署运维审计系统，实现对服务器、网络设备、安全设备的操作监控，实现账号集中管理、高强度认证加固、细粒度访问授权控制、加密和图形操作协议的审计等功能，让内部人员、第三方人员的操作处于可管、可控、可见、可审的状态下，规范运维的操作步骤，避免了误操作和非授权操作带来的隐患。在原有安全防御措施的基础上，部署集中安全管理平台，对现场的工控防护设备和软件进行集中管理，提供统一的策略配置接口，总览各设备和软件的运行状态、事件记录和威胁日志等关键信息。各安全防护设备和软件由集中管理装置统一控制、配置和管理，统一部署安全策略，并监测工控网络的通信流量与安全事件，对工控网络内的安全威胁进行分析，消除安全孤岛，从整体视角进行安全事件分析、安全攻击溯源等，重点解决安全防护设备各自运维而导致的信息不畅和事件处置效率低下等问题。

结语

进行网络安全预警平台的构建并保证其运行有效性，是强化电力监控系统网络安全态势感知、预警与应急能力的重要内容。相对于以往的内网监控平台，本文构建电力监控系统及以该系统为保护对象的网络安全风险预警平台，实现了以安全可控为目标、安全免疫为特征的主动防御，可在电力系统及其监控中发挥有效的安全防护作用。

参考文献

［1］金学成，孙炜，梁野，等．电力二次系统内网安全监视平台的设计和实现［J］．电力系统自动化，2011，35(16):99－104．

［2］张召亮，孙萌．电力监控系统二次安全防护改造方案设计与实现［J］．河南城建学院学报，2019(1):60－64．

［3］孟庆东，李满坡，安天瑜，等．电力监控系统网络安全管理平台设计与实现［J］．实验技术与管理，2020，37(7):53－57，62．

［4］向玲，邓泽奇，赵玥．基于SCADA数据的风电机组异

常识别方法［J］．太阳能学报，2020，41(11):278－284．

［5］朱善国．OPC技术在DCS系统之间互联的应用［J］．化工自动化及仪表，2019，46(3):235－239．