久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

    1　引言

    隨著熱工自動化技術(shù)的不斷發(fā)展，工業(yè)以太網(wǎng)在控制網(wǎng)絡(luò)的不斷普及和應(yīng)用，火力發(fā)電廠的主控系統(tǒng)與輔助車間的控制已脫離每個系統(tǒng)采用獨立控制的模式，而采用實時數(shù)據(jù)庫對控制系統(tǒng)的生產(chǎn)數(shù)據(jù)進行集中采集并進行存儲。信息化在電廠控制網(wǎng)絡(luò)的應(yīng)用有效地提高了生產(chǎn)效率、降低發(fā)電生產(chǎn)成本、提升控制水平，但也使控制系統(tǒng)的信息安全面臨更大的威脅和挑戰(zhàn)，主控系統(tǒng)及輔控網(wǎng)絡(luò)的縱深防御體系亟待建立和完善。

    2　電廠信息安全現(xiàn)狀分析

    目前電廠的輔控網(wǎng)絡(luò)建設(shè)主要分為兩種拓撲結(jié)構(gòu)，一種是樹形網(wǎng)絡(luò)，設(shè)置兩層控制網(wǎng)。上層網(wǎng)絡(luò)為輔助車間集中監(jiān)控網(wǎng)（輔控網(wǎng)），下層為水網(wǎng)、煤網(wǎng)、灰網(wǎng)、脫硫四個車間級控制主干網(wǎng)，其他子系統(tǒng)直接連接輔控網(wǎng)；水網(wǎng)的鍋爐補給水處理系統(tǒng)、凝結(jié)水精處理系統(tǒng)、工業(yè)廢水程控系統(tǒng)、生活污水程控系統(tǒng)等集中連接至水網(wǎng)上層網(wǎng)絡(luò)，再連接至輔控網(wǎng)絡(luò)；輔控網(wǎng)絡(luò)內(nèi)設(shè)有兩臺熱備的數(shù)據(jù)服務(wù)器，采集PLC的數(shù)據(jù)和現(xiàn)場儀表的數(shù)據(jù)，存儲和管理數(shù)據(jù)庫；多臺操作員站對輔控網(wǎng)絡(luò)下的各底層程控系統(tǒng)進行集中監(jiān)控。另一種是雙星型結(jié)構(gòu)，主要由兩臺輔控網(wǎng)絡(luò)核心交換機和2N個終端子交換機組成（N代表輔助車間的數(shù)量）。這樣的網(wǎng)絡(luò)結(jié)構(gòu)使通訊線路分為A、B兩個鏈路，兩個鏈路互為熱備用，相互獨立互不影響。各外圍的輔助控制系統(tǒng)均直接連至輔控網(wǎng)絡(luò)核心交換機，包括除灰控制系統(tǒng)、除渣控制系統(tǒng)、電除塵控制系統(tǒng)、脫硫控制系統(tǒng)、凝結(jié)水精處理及化學(xué)加藥取樣控制系統(tǒng)、空調(diào)制冷控制系統(tǒng)、空壓機控制系統(tǒng)、鍋爐補給水處理系統(tǒng)、化學(xué)水處理預(yù)脫鹽系統(tǒng)、制氫站、循環(huán)水加藥處理系統(tǒng)、工業(yè)廢水處理系統(tǒng)、輸煤控制系統(tǒng)等，由集中監(jiān)控室進行集中監(jiān)控。

    電廠主控車間、輔控網(wǎng)絡(luò)等的集中監(jiān)控大大提高了控制系統(tǒng)的運維效率，也大大節(jié)約了人力成本，但同時也使得一個車間或節(jié)點的信息安全威脅對整個控制網(wǎng)絡(luò)的安全造成影響。早期電廠的控制系統(tǒng)鮮有信息安全事件出現(xiàn)，目前隨著信息化的大力發(fā)展以及國際形勢的錯綜變化，電廠等國家基礎(chǔ)性能源企業(yè)的控制系統(tǒng)的信息安全事件頻繁發(fā)生。國內(nèi)已經(jīng)有多家火力發(fā)電廠出現(xiàn)輔控網(wǎng)絡(luò)計算機和服務(wù)器感染病毒或者網(wǎng)絡(luò)風(fēng)暴等網(wǎng)絡(luò)問題造成控制系統(tǒng)出現(xiàn)故障的情況發(fā)生。

    3　行業(yè)政策導(dǎo)向

    面對電力行業(yè)工業(yè)信息安全的嚴峻形勢，國家各部委紛紛出臺相關(guān)政策和措施推動電力行業(yè)信息安全防護的發(fā)展，尤以2014年12月發(fā)布的國標(biāo)GB/T 30976.1-2014《工業(yè)控制系統(tǒng)信息安全第1部分：評估規(guī)范》，GB/T 30976.2-2014《工業(yè)控制系統(tǒng)信息安全第2部分：驗收規(guī)范》，國家發(fā)改委2014年第14號令《電力監(jiān)控系統(tǒng)安全防護規(guī)定》，國家能源局2015年第36號令《國家能源局關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護總結(jié)方案等安全防護方案和評估規(guī)范的通知》等對行業(yè)信息安全的發(fā)展提出了指導(dǎo)性意見。國家能源局2015年36號文件附件4《發(fā)電廠監(jiān)控系統(tǒng)安全防護方案》對火力發(fā)電企業(yè)的信息安全防護方案作了指導(dǎo)性意見，主要總結(jié)為以下幾點：

    （1）生產(chǎn)控制大區(qū)與管理信息大區(qū)之間通信應(yīng)當(dāng)部署電力專用橫向單向安全隔離裝置。

    （2）控制區(qū)與非控制區(qū)之間應(yīng)當(dāng)采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者相當(dāng)功能的設(shè)備，實現(xiàn)邏輯隔離、報文過濾、訪問控制等功能。

    （3）控制區(qū)內(nèi)的各機組監(jiān)控系統(tǒng)之間、機組監(jiān)控系統(tǒng)與控制系統(tǒng)之間、同一機組的不同功能的監(jiān)控系統(tǒng)之間，尤其是機組監(jiān)控系統(tǒng)與輸變電部分控制系統(tǒng)之間，根據(jù)需要可以采取一定強度的邏輯訪問控制措施，如防火墻、VLAN等。

    （4）如果發(fā)電廠生產(chǎn)控制大區(qū)中的業(yè)務(wù)系統(tǒng)與環(huán)保、安全等政府部門進行數(shù)據(jù)傳輸，其邊界防護采用防火墻、VPN和租用專線等方式。

    （5）發(fā)電廠廠級監(jiān)控系統(tǒng)等關(guān)鍵應(yīng)用系統(tǒng)的主服務(wù)器，以及網(wǎng)絡(luò)邊界處的通信網(wǎng)關(guān)機、Web服務(wù)器等，應(yīng)當(dāng)采用安全加固的操作系統(tǒng)。加固方式包括：安全配置、安全補丁、采用專業(yè)軟件強化操作系統(tǒng)訪問控制能力以及配置安全的應(yīng)用程序。

    4　基于縱深防御的電廠安全解決方案

    依據(jù)國家能源局2015年36號文件的指示意見，青島海天煒業(yè)自動化控制系統(tǒng)有限公司結(jié)合多年投身工業(yè)控制系統(tǒng)信息安全防護的經(jīng)驗和項目應(yīng)用情況，總結(jié)出一套針對火力發(fā)電廠控制系統(tǒng)安全防護的解決方案。網(wǎng)絡(luò)拓撲防護簡單示意圖如圖1所示。

圖1 網(wǎng)絡(luò)拓撲防護簡單示意圖

    （1）單向隔離。在實時監(jiān)控信息系統(tǒng)與辦公網(wǎng)絡(luò)的接口部署電力專用單向隔離網(wǎng)閘，控制數(shù)據(jù)只能由SIS網(wǎng)絡(luò)流向MIS網(wǎng)絡(luò)，有效防止因特網(wǎng)的病毒侵入至電廠生產(chǎn)網(wǎng)絡(luò)，這一防護手段已在業(yè)內(nèi)得到廣泛認可和應(yīng)用。

    （2）網(wǎng)絡(luò)安全。在各電子設(shè)備交換機之間與輔控網(wǎng)絡(luò)核心交換機之間，歷史數(shù)據(jù)站與實時數(shù)據(jù)庫之間部署Guard工業(yè)防火墻，實現(xiàn)各控制系統(tǒng)之間、SIS網(wǎng)絡(luò)與控制系統(tǒng)之間的安全隔離，利用“白名單”防護機制和實時報警來實現(xiàn)主動防御來自上層信息網(wǎng)絡(luò)的攻擊，有效控制ARP攻擊，網(wǎng)絡(luò)異常流量以及網(wǎng)絡(luò)廣播對控制網(wǎng)絡(luò)造成的影響。

    （3）終端防護。在集中監(jiān)控室的操作員站，數(shù)據(jù)冗余服務(wù)器，各設(shè)備間的操作員站上部署Intrust可信計算安全平臺及客戶端，有效地對Windows XP系統(tǒng)停服后操作員的系統(tǒng)漏洞進行防護，在系統(tǒng)級對USB傳輸介質(zhì)進行識別和管控，在芯片級依賴可信計算技術(shù)對操作員站等PC終端進行主機加固和防護，有效防止計算機后門程序、木馬、病毒、數(shù)據(jù)掃描、秘鑰數(shù)據(jù)塊攻擊以及黑客攻擊等多元化的風(fēng)險和信息安全威脅。

    （4）安全審計。工控安全管理平臺SMP是專門針對工控網(wǎng)絡(luò)行為審計記錄的智能分析管理軟件，具備強大的審計日志存儲查詢功能。可以對海量的審計數(shù)據(jù)進行實時監(jiān)控和網(wǎng)絡(luò)行為態(tài)勢分析，使系統(tǒng)安全運維人員能夠通過實時日志展示畫面隨時監(jiān)控正在發(fā)生的不同級別審計日志和報警信息，也可以通過安全管理平臺的條件查詢、統(tǒng)計、篩選、圖表展示和態(tài)勢分析算法模型等強大的功能迅速判斷，得出網(wǎng)絡(luò)健康狀況，最終自動獲得詳細的統(tǒng)計分析報告和事件處置方式建議，實現(xiàn)系統(tǒng)安全運維管理的實時性、完整性、自動化、智能化。

    5　結(jié)語

    本文以縱深防御的防護理念為核心，結(jié)合國家能源局關(guān)于電廠信息安全的指導(dǎo)文件以及我公司在電廠安全防護的項目經(jīng)驗，推出一套基于單向隔離網(wǎng)閘、可信計算、Guard工業(yè)防火墻、SMP安全管理平臺的縱深防御的解決方案，實現(xiàn)了發(fā)電廠工業(yè)控制系統(tǒng)信息安全的縱深防御，能切實有效地保護工控系統(tǒng)遠離木馬、蠕蟲、黑客等各種威脅和攻擊，保障企業(yè)生產(chǎn)安全穩(wěn)定運行。


作者簡介

向人鵬（1991-），男，工程師，畢業(yè)于青島科技大學(xué)計算機科學(xué)與技術(shù)專業(yè)，現(xiàn)就職于青島海天煒業(yè)自動化控制系統(tǒng)有限公司，主要從事工業(yè)信息安全研究與實施，積累了豐富的工業(yè)信息安全項目施工經(jīng)驗，參與了電力二次防護、石油石化過程控制信息安全、管道遠程調(diào)度安全等多個行業(yè)相關(guān)信息安全項目解決方案的制定與實施。