★ 北京珞安科技有限责任公司

1 项目概况

1.1 项目背景

电力是关系国计民生的重要基础产业，也是关系千家万户的公用事业。电力安全可靠供应事关经济发展、人民生活和社会稳定，保障电力系统安全是国家安全的重要组成部分。现代电力工业具有高度网络化、系统化、自动化的特征，以网络、数据库及计算机自动控制技术为代表的信息处理技术已成为支撑电力生产控制和经营管理不可或缺的基础要素，保障电力网络与信息系统安全已成为电力系统安全稳定运行的重要前提。

各国尤其是大国之间，在网络空间的控制与反控制、渗透与反渗透的斗争更加激烈，维护网络空间安全和保障国家重要基础设施安全已经成为国家战略的制高点。近年来发生的“震网”和“棱镜门”事件表明，某些西方大国为维持其全球霸权，一直在利用信息技术的原发优势，不断加强对其他国家网络空间的渗透、控制和破坏，对这些国家的政治、经济、军事安全构成了严重威胁。我国在网络空间方面，由于核心技术尚未完全掌握，关键设备大多从国外进口，国产水平较低，信息安全基础薄弱。维护网络空间安全，保障电力等国家关键基础设施和信息系统的安全，实现信息安全“能控、在控、可控”的任务还非常艰巨。

2017年6月1日起施行的《中华人民共和国网络安全法》，明确提出了“关键信息基础设施的运行安全”的概念。网络安全法第五十九条规定，网络运营者不履行本法第二十一条和第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款；对直接负责的主管人员处五千元以上五万元以下罚款。关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条和第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款；对直接负责的主管人员处一万元以上十万元以下罚款。

国家能源局为发改委直属机构，负责煤炭、石油、天然气、电力（含核电）、新能源和可再生能源等能源的行业管理，于2015年2月发布了《电力监控系统安全防护总体方案》等安全防护方案和评估规范（国能安全〔2015〕36号）（以下简称“安全防护总体方案”）。安全防护总体方案是为了保障电力监控系统的安全，防范黑客及恶意代码等对电力监控系统的攻击和侵害，抵御集团式攻击，防止电力监控系统的崩溃或瘫痪，以及由此造成的电力设备事故或电力安全事故（事件）而制定。安全防护总体方案明确了电力监控系统“安全分区、网络专用、横向隔离、纵向认证”的总体防护原则，明确了重点强化边界防护，加强了内部物理、网络、主机、应用和数据安全，加强了安全管理制度、机构、人员、系统建设和系统运维的管理，提高了系统整体安全防护能力的要求。

某火电厂依据国家及集团公司电力监控系统相关安全防护要求，结合自身电力监控系统和信息化情况制定了信息安全总体规划，初步建立了信息安全体系，并取得了初步成效。但随着电力监控系统信息安全形势的日益严峻，当前安全防护措施及管理手段已不能满足电力监控系统的信息安全防护需要，国家及行业监管机构对电力监控系统信息安全愈加重视，也要求电力监控系统需要为满足国家政策、法规及行业标准开展电力监控系统信息安全建设。

1.2 项目简介

当前该火电厂电力监控系统主机层面需加强安全木马病毒、恶意代码及移动存储介质管控；生产控制系统内需加强工控协议和行为监测以及入侵行为监测；生产控制系统产生的日志需统一做到存储和监管，对突发异常事件需及时进行告警和事件追溯等，因此火电厂需建立安全防护要求，需重点加强生产控制系统安全运营和全生命周期运维保障。本方案应通过合理的分区分域，构建起火电厂电力监控系统内的网络安全监测、主机安全防护、安全日志审查和安全运维监管的技术能力。

1.3 项目目标

（1）行业面临挑战及主要目标

为保障电力系统安全稳定运行，建立和完善电网、电厂计算机监控系统及调度数据网络的安全防护体系，国家和行业相关部门先后发布了《电网和电厂计算机监控系统及调度数据网络安全防护规定》（中华人民共和国国家经济贸易委员会令第30号）《电力二次系统安全防护规定》（国家电力监管委员会令第5号）《电力监控系统安全防护规定》（中华人民共和国国家发展和改革委员会令第14号）和《电力监控系统安全防护总体方案》（国能安全〔2015〕36号）。

其中《电力监控系统安全防护总体方案》（国能安全〔2015〕36号）作为行业最新的电力系统安全规范文件，以“安全分区、网络专用、横向隔离、纵向认证”为原则，提出了省级以上调度中心、地县级调度中心、发电厂、变电站和配电等的二次系统安全防护方案，综合采用防火墙、入侵检测、主机加固、病毒防护、日志审计、统一管理等多种手段，为二次系统的安全稳定运行提供可靠环境。

该火电厂DCS系统安全整体解决方案涉及：网络流量审计设计、网络防入侵设计、网络日志审计设计、安全运维设计、主机安全防护设计、集中管控设计等。通过以上设计，使该火电厂满足相关要求，并保证该火电厂DCS系统满足等保测评及安全防护要求。

（2）总体概述

2017年6月，《中华人民共和国网络安全法》实施，提出实行等级保护制度，明确网络运营单位应当按照网络安全等级保护制度的要求，履行安全保护义务，采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。《中华人民共和国网络安全法》及GB/T22239-2019《网络安全等级保护基本要求》等一系列法律及行业规定要求的颁布实施，更进一步凸显电力系统运营单位开展网络安全防护工作的重要性、迫切性和必要性。

某电力有限公司作为电力系统的重要组成部分，根据《中华人民共和国网络安全法》及GB/T22239-2019《网络安全等级保护基本要求》等要求，将开展针对二期DCS系统（包含#3机组DCS系统、#4机组DCS系统、二期公用DCS系统）网络安全的防护工作，采取安全防护技术措施，抵御网络攻击、网络入侵等危害网络安全行为，保障生产系统安全稳定运行。

（3）应用案例

本项目依据《电力监控系统安全防护总体方案》（国能安全〔2015〕36号文）及GB/T22239—2019《信息安全技术网络安全等级保护基本要求》等标准和法规，结合该火电厂DCS系统网络安全防护需求，通过技术结合管理的防护手段，进行整体网络安全防护建设，满足电力行业、集团等相关要求，并保证该火电厂DCS系统满足等保测评要求。

依据上述已发布的国家与行业标准规范，设计、建设DCS系统加固信息安全防护体系需从几方面进行：

·深度检查：面向应用层对特有的工业通讯协议进行内容深度检查，告别病毒库升级缺陷；

·主机加固：安装了主机加固的电脑在面对自身与外界的安全威胁时有了更深的防护级别，深度执行白名单数据库的数据运行；

·安全审计：完善的安全审计平台，对网络运行日志、操作系统运行日志、安全设施运行日志等进行集中收集与自动分析，及时发现各种违规行为以及病毒和黑客的攻击行为；

·威胁检查：部署于网络边界的威胁检测系统能够快速准确发现入侵监控系统的病毒和恶意代码，实施清除并报警；

·实时报警：所有部署的工控信息安全产品都能由管理平台统一进行实时监控，任何非法的（没有被组态允许的）访问，都会在管理平台产生实时报警信息，从而故障问题会在原始发生区域被迅速发现和解决。

（4）建设目标

·提高DCS系统信息安全防护能力

基于电力二期DCS系统网络安全现状，在工业控制系统的主机层和网络层进行安全加固、入侵检测、安全审计和边界防护以有效抵御来自工控网络内部和外部的病毒、入侵、渗透以及违规操作行为对DCS系统造成破坏，防范信息安全事故的发生。

·满足合规性要求

项目建设满足能源局36号文中综合防护的要求，提供网络内部入侵检测、主机与网络设备加固、安全审计和恶意代码防护的要求，使电力二期DCS系统安全防护措施达到国家监管部门对发电企业的要求。

·项目成果的应用

此项目进一步加强了电力二期DCS系统信息安全的重视程度和实施力度，切实保证了DCS系统免受病毒、恶意代码等的威胁，保持了系统安全稳定运行的状态。

2 项目实施

（1）工控网络审计

在该火电厂DCS系统中部署工控监测审计系统，实现对网络流量、异常事件、操作行为和数据内容等安全审计，对异常行为进行实时警报，并提供追踪溯源。

（2）工控入侵监测

在该火电厂DCS系统中部署工控入侵检测系统，发现网络中的入侵行为，分析潜在威胁，提供安全报警，协助解决安全威胁。

（3）USB隔离装置

在工控系统工程师站、操作员站交换机上并联各部署1台USB安全隔离装置，防止病毒、木马等恶意文件通过USB接口进入系统，同时解决USB移动设备接入工控系统无管控、无记录等技术需求，从而提高主机的接口安全防护能力。

（4）运维安全审计

选用运维审计系统，分别在各机组DCS系统网络中部署运维审计系统。通过部署运维审计系统，实现对设备的集中管控，限制设备的远程登录地址，对用户的操作权限以及操作行为进行审计记录，并提供会话审计和回放功能，同时能够确保审计记录不被破坏或非授权访问。

（5）日志审计

在DCS系统交换机部署日志审计系统。该系统能够实时将工业控制网络中网络设备、安全设备、服务器和数据库系统的日志信息，进行统一收集、处理和关联分析，帮助一线管理人员从海量日志中迅速、精准地识别安全事件，及时对安全事件进行追溯或干预，满足国家标准规范中关于日志审计的相关要求。

（6）主机防护

在工作站、服务器等工业主机上部署主机安全防护系统软件，实现身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等功能，同时启用操作系统自身的安全策略，实现操作系统自身安全性的提升和审计、记录。

（7）集中管控

通过部署集中安全管理平台，实现对网络安全设备的统一安全管控，实现安全设备的状态监控、审计管理和策略管理等集中管控功能，构筑安全管理中心平台，提升整体网络安全防护和运维管控水平。

（8）安全应用模式

通过在火电厂建立日志审计、运维审计、主机防护系统、USB隔离装置、工控安全审计和入侵检测，可有效加强电力监控系统安全防护要求，并突出应用价值，产品具备白名单防护功能，满足行业安全防护特定需求和兼容性。

2.1 应用场景及效果

通过在火电厂DCS系统部署工控安全审计系统，实现对生产系统内工控流量和行为的全程监视，及时发现生产系统内异常的流量和行为。

通过在火电厂DCS系统部署入侵检测系统，实现对生产系统的网络安全情况的全程监视，及时发现生产系统内的网络攻击和病毒入侵等行为。

通过在火电厂DCS系统部署日志审计，实现生产系统日志统一监控和安全监控，当出现安全威胁时可进行调查取证和威胁追溯。

通过在火电厂DCS系统部署运维安全审计，实现生产系统运维过程的权限分配和过程监控，规范运维操作流程，杜绝人为操作隐患。

DCS系统内的服务器、工程师站和操作员站，需加强恶意代码防护和移动存储介质管控。通过主机安全加固和USB安全隔离，满足主机防护能力，避免主机出现病毒和木马造成生产系统故障。

通过在火电厂DCS系统部署集中安全管理，实现生产系统内安全设备的集中管控与监视，杜绝安全信息孤岛，实现生产系统内网络安全整体的可视控制与分析。

通过以上安全防护产品可加强火电厂DCS系统的安全防护保障，同时符合火电厂DCS系统应用场景安全需求。

2.2 解决行业痛点及创新能力

通过在火电厂DCS系统内部署工控安全防护产品实现工控协议深度解析和防护，弥补了传统安全产品协议解析能力，提高了设备稳定性。工控安全产品具备白名单防护功能，有效加强了生产环境检测防护能力，同时生产环境要求低延迟、低功耗，通过工业级产品可满足行业需求并解决行业痛点问题，提高了行业新技术水平和技术创新能力。

3 案例亮点及创新性

对于某火电厂DCS系统安全防护项目的建设，其输出成果具有重要意义和价值：

（1）满足安全合规要求：本项目满足《电力监控系统安全防护总体方案》（国能安全〔2015〕36号）及《信息安全技术网络安全等级保护基本要求》等国家和行业监管要求，结合DCS系统的特点，在基于安全防护框架的指导下开展火电企业工业控制系统安全防护建设。

（2）化繁为简的安全防护体系：本方案站在火电厂的角度设计安全防护方案，通过一整套基于白名单形式的防护产品组合，基于集中管控平台作为对工控网络内全部安全产品进行集中管理，实现全网安全信息的抓手进行可视化展示、安全设备的统一配置等功能，简化工业控制网络内信息安全的防护工作流程，提升工控安全防护工作效率。整个防护方案覆盖工业网络环境、主机、PLC及DCS工控设备、工控组态软件等全方位安全的纵深防护体系，覆盖检测、防护、响应和审计的全过程，不留安全死角。

（3）高度适配工控系统：方案实施无需改造现有工业网络，无需频繁升级工控系统和安全特征库。安全设备符合工控环境标准，可靠实用。此外，在方案中使用的产品可兼容工控系统广泛使用的Modbus、DNP3、IEC104、Profinet、OPC等数十种应用通信协议，智能学习各类操作行为和参数，更好地识别攻击行为。

（4）树立标杆形成示范：本项目提供的方案设计针对工控系统的技术特点以及企业自身的业务特点，从管理到技术都完整的覆盖到，很好地满足了监管以及未来业务发展的需要，并在能源类企业积累了良好的经验，为其他类似企业起到良好的示范作用。

《自动化博览》2023年1月刊暨《工业控制系统信息安全专刊（第九辑）》