1    方案背景与目标

1.1、方案背景

近年来，电力系统面临的网络安全威胁日益严峻，如“伊朗核电站震网病毒事件”和“乌克兰电网大面积停电事件”等，都凸显了加强网络安全防护的重要性。同时，随着《中华人民共和国网络安全法》及《电力监控系统安全防护规定》2024年第27号令的颁布实施，电力系统运营单位开展网络安全防护工作的紧迫性和必要性更加凸显。

本项目通过对发电企业网络安全现状和电力监控系统安全防护能力调研，发现对电力监控系统进行合理的安全加固，完善发电企业电力监控系统安全体系框架，提升发电企业电力监控系统网络安全防护能力，确保目标单位电力监控系统网络安全满足国家及行业监管要求势在必得。同时建立成熟的自主可控发电企业工控网络安全态势预警平台，针对工控网络的安全威胁特点，重点实现对电力监控系统的监测、预警、审计和接入防护等功能，及时发现外部攻击及内部非法操作，并进行应急响应，有效地实现防外及安内，防止因网络安全事件造成重大电力安全生产事故，保障信息系统安全。

2    方案详细介绍

2.1建设范围

本方案发电公司工业控制系统网络安全保护建设为主线，借助网络产品、安全产品、安全服务、管理制度等手段，建立全面的网络安全防控体系，以生产控制系统安全为重点，保证业务系统安全运行，从而全面提高生产的工作效率，提升信息化运用水平。

本次项目主要的建设内容包括:

1)  解决不同层级信息系统对生产控制系统及生产控制系统内部跨区域的非法访问及网络攻击，避免在一个系统或区域里爆发的信息安全事件扩散到其他系统或区域中；

2)  解决控制网络边界没有针对外部攻击和威胁的有效检测手段，特别是利用系统本身漏洞发起的攻击行为；

3)  解决控制网络内部没有针对异常流量、违规操作、恶意程序等攻击行为的检测手段；

4)  解决工程师站、操作员站以及服务器等主机的USB口没有做有效的安全防护处理，针对需要通过U盘等移动存储进行数据存取的过程没有有效的恶意代码查杀手段；

5)  解决系统运维过程中缺少对运维人员账号管理、身份认证、访问授权、综合审计等进行有效监控的技术手段。

6)  解决生产网络内相关安全设备的统一管理和运行状态监控。

2.2安全技术体系

2.2.1网络安全防护

在坚持“安全分区、网络专用、横向隔离、纵向认证”原则的基础上，进一步优化电力监控系统对象和业务范畴，技术防护原则与措施，构建与之适应的新型安全防护体系。按照“统一规划、统一标准、重点明确、合理建设”理念，在网络安全、主机安全、应用安全、数据安全等几个方面进行电力监控系统网络安全防护建设，确保“网络建设合规、安全防护到位”，以提高电力监控系统应对外来入侵、防止病毒攻击的能力。

l  在生产控制大区工程师站、监控主机部署工控主机安全加固系统，针对工业控制系统主机进行安全加固的软件产品，通过建立白名单防御隔离屏障为工控主机形成初步进程级加固，又进一步对工业主机的文件、注册表、端口、访问控制、完整性保护、基线配置等多层面进行立体式防护，将工业主机操作系统全面提升为安全操作系统。有效解决工业主机面临的恶意程序（如WannaCry、Havex等）攻击、越权访问、数据泄露、破坏数据完整性等威胁行为。提升工控主机操作系统整体的安全保护能力。

l  部署USB安全隔离装置，实现电力监控系统终端主机等外设接口、交换机外设网络接口现场使用权限的集中管控，杜绝手机等非法外联行为，实现操作过程的可审计、可追溯，做到易违规外联设备违规行为的“可视、可控”，从而进一步加强设备外设接口管控，强化现场检修作业远程管控能力，实现现场非授权操作的远程集中管控，提高违规外联、非法接入的防控能力，进一步夯实变电站电力监控系统安全防护水平。

l  在安全管理中心与各安全域之间部署工业防火墙，集成了工控协议深度解析、工控指令访问控制、日志审计等综合安全功能，建立可信任的数采通信及工控网络区域间通信的模型，采用白名单的安全策略，过滤一切非法访问，保证只有可信任的设备可以接入工控网络，只有可信任的流量可以在网络上传输。

l  在安全管理中心部署态势感知与预警平台，通过集成先进的威胁检测技术（如基于行为分析、机器学习、人工智能等），平台能够对各类已知和未知威胁进行精准识别，并在威胁发生初期或攻击链条的关键阶段发出预警。有助于缩短威胁响应时间，提高防御效率，减少潜在损失。

l  在生产控制大区及管理信息大区分别部署日志审计，实时对网络设备、安全设备、服务器、数据库系统等安全日志统一收集、处理和分析。

l  在安全管理中心部署漏洞扫描、堡垒机、安全管理平台实现资产管理与风险核查定位分析、应用系统账户的统一管理与操作审计等安全集中管控能力。

l  在管理信息大区部署数据库审计与上网行为审计可实现对管理办公网络的进一步细粒度安全行为管控。

l  在生产控制大区及管理信息大区核心组网交换机处旁路部署入侵检测系统，及时发现网络异常情况，实现网络运行状态的实时监控。

l  在电力监控系统核心交换机旁路部署工控安全审计系统，及时发现网络当中的异常流量、违规操作、误操作、指令异常、非法连接等现象。

2.2.2数据安全防护

l  数据资产梳理

数据库资产梳理通过利用资产梳理工具对电力营销数据库资产、数据库权限、数据库归属等进行梳理，形成数据库资产清单，避免数据库资产管理失控。

分类分级是对不同敏感级别数据进行针对性精准防护的基础。先进行数据对象的识别，再识别数据对象中的存在的营销敏感数据，再根据分类分级规则进行敏感数据的分类分级定义，最后对营销敏感数据实现可视化展现。

l  数据库防火墙

管理信息大区和信息外网都要抵御内、外部的网络攻击，防范黑客通过SQL注入漏洞和数据库漏洞进行网络攻击和数据窃取，通过数据库防火墙对访问数据库的数据包进行实时的监控和分析，基于身份鉴别和行为分析的主动防御机制，能够实时监控、识别对数据库的异常访问、SQL攻击、高危操作等安全威胁，及时进行阻断，从而有效地保护核心数据的安全。

l  数据脱敏

对于电力营销系统中的敏感数据：在测试、开发、共享等场景下，可利用静态脱敏把数据脱敏处理后放到测试共享库中供使用；前端查询或展示时，利用动态脱敏，部署在应用系统前端，针对不同的应用账号，配置不同的脱敏策略，实现不同的脱敏效果，以保护敏感数据不被泄露。

l  数据库审计

在管理信息大区部署数据库审计，全程对所有数据库运维操作进行管控，发现违规操作及时阻断，同时记录网络中一切对数据库的访问行为。经过对访问数据的分析、过滤和解析记录用户访问数据库所做的所有操作以及返回的结果，形成审计日志，便于事后查询与追责。

通过内置强大的智能学习算法，可基于业务周期内的审计数据进行学习，生成行为基线，基于此行为基线，对后续的SQL事件进行检测，对于偏离基线的行为产生异常告警。

l  数据备份恢复

《国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国家能源局2015年印发36号文），在针对电力监控系统的安全防护方案中提出应定期对关键业务的数据与系统进行备份并实现历史归档数据的异地存放制度。对电力监控系统建立系统备用和恢复机制，对重要设备冗余配置，对重要数据定期备份，并定期进行恢复性测试，确保电力供应稳定性和业务连续性。

²  策略备份

对关键资产和安全设备的配置策略，做好备份。配置包括用户设置、系统设置、安全策略、匹配规则、日志配置、任务配置、告警配置、路由配置等。备份形式包括快照、截图、文件等。

²  数据恢复测试

测试范围：数据备份恢复测试覆盖组织关键数据的备份和恢复过程，包括但不限于服务器、数据库、应用程序以及其他重要数据的备份和恢复。

测试频率：数据备份恢复测试应该定期进行，以确保备份和恢复过程的持续可靠性。建议每季度进行一次完整的测试，并在关键系统或重要数据变更时进行额外的测试。

测试记录和报告：在进行数据备份恢复测试期间，记录所有测试步骤、测试结果、发现的问题以及解决措施。最后会生成测试报告，并提出改进建议。

l  数据安全管理平台

通过友善的可视化界面、资产梳理、机器学习等核心能力，实现对复杂威胁的联动联防、降低安全防护工作人员的操作难度和工作量，实现快速、高效、可持续性的防控效果。落实数据加密、数据脱敏、数据水印等安全防护措施，并通过平台统一纳管逐步形成上下联动的策略管理机制。在统一的敏感数据识别机制基础上，实现数据安全态势全面展示能力，准确掌握公司数据资产分布、使用和流转合规情况等。

2.3安全运营体系

2.3.1安全运营平台

在管理信息大区部署工业安全态势感知平台作为整个电力监控系统的安全运营平台，以全流量数据为基础，以资产为核心，以网络安全运营工作标准化、流程化和指标化为目的，关联漏洞、威胁、情报、终端等海量数据，提供安全告警分析、研判、处置及联动调度功能，帮助用户实现安全告警日志自动降噪，明确资产安全状况，形成漏洞管理的全生命周期闭环。建立一套持续完善的安全运营体系，持续降低人员投入，提升安全运营效率。

数字资产在线管理：安全运营中心通过识别工控协议、物联网协议、工控设备、物联网设备以及工控系统应用的特征，帮助用户构建详尽的资产档案，实现资产的综合管理和控制。依托安全态势感知平台内置的资产漏洞数据库，该中心能够从资产的漏洞、告警、配置合规性以及风险等级等多个角度，构建全面的资产安全视图。它提供了包括资产清单整理、变更历史记录、运行状态监测、漏洞与风险评估在内的全方位、全周期的资产管理服务。

安全威胁监控预警：对电力监控系统生产控制大区中的DCS资产进行数量和类型的识别，实时监控并展示资产的关键性能指标，如CPU使用率、内存占用和硬盘状态。同时，它还负责对网络、安全、主机和工控等设备的漏洞进行统计和分析，以便识别和评估网络内部潜在的安全威胁。

安全漏洞闭环跟踪：将资产、漏洞、责任人互相关联，通过内置的漏洞扫描功能与强大的指纹库结合，快速排查资产安全问题，在发现漏洞后，通过平台可一键下发通报，自动通知到相关资产责任人并给出修复建议。

2.3.2安全运营服务

l  风险评估

提供电力监控系统网络安全风险评估服务，识别和分析电力监控系统中潜在安全威胁的过程，确定系统可能面临的风险类型及其影响程度。通过综合评估网络结构、数据流、设备脆弱性以及潜在攻击手段，可以制定出针对性的安全防护策略。风险评估通常包括资产识别、威胁识别、脆弱性分析和风险量化等步骤，以确保电力监控系统的安全性和可靠性。具体风险评估流程如下：

全面安全评估：依据国家和电力行业的信息安全等级保护相关标准，以及客户单位制定的主流设备安全基线技术规范，对电力监控系统中需升级及重大配置变更的功能模块进行入网安全评估。

评估手段多样：评估手段包括人员访谈、文件审查、基线检查、漏洞扫描、渗透测试等，从多个维度对安全配置和安全防护措施进行核查及检测。

专业整改建议：在评估过程中，供专业的整改建议，帮助客户提高系统安全性，确保电力监控系统满足客户单位的系统并网要求。

满足合规要求：通过全面落实风险评估工作，帮助客户满足上级单位监管要求及系统并网条件，降低合规风险。

风险呈现：服务还包括风险呈现，帮助客户明确网络安全风险点，为后续的风险管理和安全加固提供依据。

一站式网络安全保险综合解决方案：构建一站式网络安全保险服务体系，为企业提供从事前风险评估、事中监测预防到事后风险处置的全方位服务，确保企业在遭受攻击时能够迅速恢复，并提供必要的经济损失兜底支持。

l  应急响应

提供专业的应急响应服务，帮助电力监控系统运营者在遭受网络攻击或出现异常时迅速启动应急预案，采取紧急防护措施，防止事态扩大，并保护现场以便进行调查和溯源取证。

²  应急响应机制建立

帮助电力企业建立电力监控系统的应急机制，制定整体应急预案和针对各系统可行的应急预案，并定期开展协调演练。

²  应急演练

通过形式多样的方式方法，对应急预案所涉及的单位、人员、装备、设施等组织演练，发现问题、解决问题，进一步修改完善应急预案。

²  应急演练评估

加强演练评估，主要内容包括演练的执行情况，应急预案的实用性和可操作性，指挥协调和应急联动机制运行情况，应急人员的处置情况，演练所用设备装备的适用性，对完善应急预案、应急准备、应急机制、应急措施等方面的意见和建议等。

²      应急响应重点评估

核查电力企业应急相关制度的合理性和完整性、应急处理预案的全面性和可行性、应急演练方案的适应性、定期开展应急演练并详细完整记录演练内容。

5.2.2.3 安全加固

安全加固是根据对企业当前网络安全评估情况及企业对网络安全的需求，协助企业制定并实施网络安全配置加固方案。安全配置加固内容包括网络设备、安全设备、操作系统、WEB应用、数据库等，目的是为了提高企业整体网络安全性，增强用户抵御各类网络攻击的能力

安全服务加固通常指的是在风险评估之后对当前信息系统安全能力的提升和对信息系统脆弱性修复的过程。通过合理安全配置加固，可大大提升信息系统的健壮性和安全性，增加攻击者攻击难度，系统的安全防护能力得到大幅提升。

3    代表性及推广价值

“基于发电生产业务场景的动态防御策略与态势感知的融合应用”的解决方案，针对电力行业生产业务场景的特殊性，提出了一套创新的网络安全防护体系。该方案通过深度融合动态防御策略和态势感知技术，实现了对发电生产业务系统的全面、实时、智能的安全防护。其代表性在于将动态防御和态势感知两大前沿技术相结合，并成功应用于发电这一传统工业领域，为工业网络安全防护提供了新的思路和范例。

实现价值如下：

保障稳定运行：电力系统的稳定运行对于社会和经济具有重要影响。网络安全纵深防御体系建设可以确保电力系统免受网络攻击和破坏，保障其稳定运行。

保障数据安全：数据安全全生命周期建设从数据的产生、传输、存储到销毁等环节都进行全面管理，可以确保电力系统中的数据安全得到有效保障。

提升监测能力：态势感知体系通过实时收集和分析电力系统的网络安全数据，可以及时发现潜在的安全威胁和异常行为，提升电力系统的监测能力。

该方案不仅适用于电力行业，还可推广至其他能源、制造等工业领域，为这些领域的网络安全防护提供可借鉴的模式。随着工业互联网和数字化转型的加速推进，工业网络安全问题日益凸显，该方案的推广和应用将有助于提高工业企业的网络安全防护水平，保障工业生产的稳定运行。