淺談核電站無(wú)線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全技術(shù)防護(hù)與對(duì)策

江 江

（福建寧德核電有限公司，福鼎 355200）

0 引言

隨著核電機(jī)組的不斷的投運(yùn)，安全生產(chǎn)、管理創(chuàng)新、降本增效的要求必然促進(jìn)智能化和信息化需求的增長(zhǎng)，而無(wú)線網(wǎng)絡(luò)是核電站的智能化、信息化的基礎(chǔ)之一，未來(lái)無(wú)線網(wǎng)絡(luò)與云計(jì)算、大數(shù)據(jù)、移動(dòng)互聯(lián)網(wǎng)、人工智能等技術(shù)大融合，為核電領(lǐng)域智能化的實(shí)現(xiàn)提供了堅(jiān)實(shí)支撐。

1 智慧核電對(duì)于無(wú)線網(wǎng)絡(luò)的需求

按照NB/T20263-2014《核電廠通信設(shè)計(jì)規(guī)范》和GB/T 17680.7-2003 《核電廠應(yīng)急計(jì)劃和準(zhǔn)備準(zhǔn)則-場(chǎng)內(nèi)應(yīng)急設(shè)施功能和特性》等設(shè)計(jì)規(guī)范，無(wú)線網(wǎng)絡(luò)滿足核電站在正常運(yùn)行和應(yīng)急工況下的移動(dòng)通信需求，同時(shí)還有如下需求：無(wú)線網(wǎng)可支持基于IOS、ANDROID等操作系統(tǒng)的智能終端接入，用于移動(dòng)辦公、電子工單等；無(wú)線網(wǎng)可以允許啞終端接入（如攝像頭、無(wú)線傳感器等）。

2 當(dāng)前無(wú)線網(wǎng)絡(luò)面臨的網(wǎng)絡(luò)安全威脅

2.1 未經(jīng)授權(quán)訪問(wèn)的用戶

只要是在信號(hào)覆蓋范圍內(nèi)，一些非法用戶就可以無(wú)需任何物理連接就可以接入到核電站的無(wú)線網(wǎng)絡(luò)中，如果有獲取了相關(guān)的授權(quán)之后，就可獲取無(wú)線網(wǎng)絡(luò)的數(shù)據(jù)，因此，必須從多方面防止非法終端接入以及數(shù)據(jù)的泄漏問(wèn)題。

2.2 無(wú)線加密協(xié)議本身的不安全性

目前核電站的無(wú)線網(wǎng)絡(luò)旁邊采用Wi-Fi，Wi-Fi是基于IEEE 802.11標(biāo)準(zhǔn)的無(wú)線網(wǎng)絡(luò)技術(shù)，WEP加密的設(shè)計(jì)過(guò)于簡(jiǎn)單，而 WPA依然采用比較薄弱的RC4加密算法，而依據(jù)WPA制定出來(lái)的成熟版本W(wǎng)PA2，在2017年時(shí)來(lái)自比利時(shí)的KU Leuven大學(xué)的研究人員Mathy Vanhoef演示其安全漏洞，這表明保護(hù)絕大多數(shù)WiFi連接的WPA2方式已經(jīng)不安全了。

2.3 病毒及黑客的攻擊

除以上兩點(diǎn)之外，病毒及黑客的攻擊也是會(huì)對(duì)核電站無(wú)線網(wǎng)絡(luò)構(gòu)成威脅，在很多的企業(yè)中，隨著無(wú)線網(wǎng)絡(luò)的的應(yīng)用，BYOD（攜帶自己的設(shè)備辦公入網(wǎng)）帶來(lái)了工作和生活的便利措施，但網(wǎng)絡(luò)安全問(wèn)題也越來(lái)越嚴(yán)重。如果BYOD的設(shè)備使用不當(dāng)，黑客攻擊可以借用BYOD的設(shè)備對(duì)核電站的無(wú)線網(wǎng)絡(luò)發(fā)起攻擊，實(shí)現(xiàn)內(nèi)外網(wǎng)的物理連接，而病毒可以通過(guò)該方式，實(shí)現(xiàn)“滲透”和長(zhǎng)期的“潛伏”，在某個(gè)時(shí)刻發(fā)起網(wǎng)絡(luò)攻擊，導(dǎo)致的無(wú)線網(wǎng)絡(luò)甚至整個(gè)網(wǎng)絡(luò)的癱瘓和個(gè)人、公司出現(xiàn)重大的損失。

3 核電站無(wú)線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全防護(hù)的策略和技術(shù)手段

在考慮核電企業(yè)特殊性，如果因?yàn)闊o(wú)線網(wǎng)絡(luò)的網(wǎng)絡(luò)的安全的問(wèn)題導(dǎo)致核電站的網(wǎng)絡(luò)不可用，使得電站的重要信息系統(tǒng)的癱瘓（如工作過(guò)程、隔離管理等信息系統(tǒng)）或者重要基礎(chǔ)設(shè)施（如門(mén)禁等）受到攻擊，甚至出現(xiàn)類(lèi)似伊朗核電站的震網(wǎng)蠕蟲(chóng)病毒事件，那么后果將是不堪設(shè)想；因此我們認(rèn)為網(wǎng)絡(luò)安全既要考慮網(wǎng)絡(luò)的攻擊等風(fēng)險(xiǎn)同時(shí)也要考慮核安全的問(wèn)題，根據(jù)資料，由于核電站其特殊性，核電站在一些重要節(jié)日如兩會(huì)期間等，核電企業(yè)受到外部攻擊比平常更加的頻繁。因此對(duì)于無(wú)線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全威脅，我們要通過(guò)技防手段實(shí)現(xiàn)如下的目標(biāo)：

⊙用戶接入需進(jìn)行認(rèn)證管理。

⊙用戶接入后，后臺(tái)系統(tǒng)可根據(jù)場(chǎng)景定制用戶的訪問(wèn)策略。

⊙用戶接入應(yīng)符合安全準(zhǔn)入規(guī)定的要求。

⊙用戶上網(wǎng)行為可記錄。

⊙ 核電站敏感數(shù)據(jù)防泄露。

⊙無(wú)線信號(hào)具備高安全性，防止數(shù)據(jù)在傳輸過(guò)程中被竊取。

通過(guò)參考ISO20000/ISO27001的標(biāo)準(zhǔn)要求以及國(guó)家等級(jí)保護(hù)的標(biāo)準(zhǔn)中信息安全技術(shù)要求，并借鑒WANO（世界核電運(yùn)營(yíng)者協(xié)會(huì)）中的關(guān)于無(wú)線網(wǎng)絡(luò)和信息安全的最佳實(shí)踐和國(guó)內(nèi)外核電行業(yè)的良好實(shí)踐，同時(shí)吸收核電企業(yè)在核安全文化特征等，可以采用某大型核電集團(tuán)提出的“核電企業(yè)信息安全保障模型” 作為核電站無(wú)線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全的解決方案的基礎(chǔ)，更加模型，我們從縱深防御的角度考慮，構(gòu)建事前控制、事中控制、事后控制的三層防護(hù)措施：

（1）事前控制：設(shè)備通過(guò)無(wú)線網(wǎng)絡(luò)訪問(wèn)到認(rèn)證中心IMC服務(wù)器，由統(tǒng)一的認(rèn)證系統(tǒng)對(duì)用戶進(jìn)行身份認(rèn)證及鑒權(quán)。身份認(rèn)證成功后，進(jìn)行業(yè)務(wù)訪問(wèn)，然后按照統(tǒng)一下發(fā)的策略對(duì)終端設(shè)備進(jìn)行安全檢查。安全檢查合規(guī)后，再根據(jù)用戶的權(quán)限，進(jìn)行網(wǎng)絡(luò)、終端、應(yīng)用和內(nèi)容的授權(quán)，實(shí)現(xiàn)不同用戶訪問(wèn)不同資源的目的，同時(shí)要禁止同時(shí)連入電站的內(nèi)部無(wú)線網(wǎng)絡(luò)和因特網(wǎng)。

（2）事中控制：通過(guò)集中加密系統(tǒng)和統(tǒng)一安全策略部署，對(duì)移動(dòng)應(yīng)用所涉數(shù)據(jù)生命周期進(jìn)行全面而有效的保護(hù)，確保數(shù)據(jù)加密存儲(chǔ)、加密傳輸、提供數(shù)據(jù)遠(yuǎn)程擦除功能、嚴(yán)格隔離公私應(yīng)用數(shù)據(jù)、引入“沙箱”技術(shù)實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)區(qū)“病毒進(jìn)不來(lái)數(shù)據(jù)出不去”?？赏ㄟ^(guò)對(duì)移動(dòng)應(yīng)用執(zhí)行安全策略，防止應(yīng)用數(shù)據(jù)的截屏、拷貝、粘貼，防止應(yīng)用破解，并支持對(duì)應(yīng)用文檔自動(dòng)添加水印保護(hù)，機(jī)密數(shù)據(jù)被偷拍仍然可以做到泄露追蹤溯源，有效保障數(shù)據(jù)內(nèi)容的安全。同時(shí)無(wú)線網(wǎng)的邊界部署防火墻設(shè)備，實(shí)現(xiàn)無(wú)線網(wǎng)與有線網(wǎng)之間的數(shù)據(jù)安全保護(hù)。

（3）事后控制：通過(guò)日志審計(jì)跟蹤包括用戶日志（登錄/登出日志、應(yīng)用訪問(wèn)日志）、應(yīng)用日志（應(yīng)用授權(quán)結(jié)果）、終端日志（終端注冊(cè)/注銷(xiāo)、終端合規(guī)檢查、終端動(dòng)作執(zhí)行記錄）等對(duì)系統(tǒng)進(jìn)行安全審計(jì)和回朔，挖掘潛在的風(fēng)險(xiǎn)。

4 結(jié)束語(yǔ)

綜上所述，目前無(wú)線網(wǎng)絡(luò)在核電站的需求是越來(lái)越旺盛，我們通過(guò)3個(gè)層面技術(shù)手段可以實(shí)現(xiàn)“外人進(jìn)不來(lái)、進(jìn)來(lái)看不了、看了拿不走、拿走看不了、操作可追溯”的目標(biāo)，除了技術(shù)手段之外，我們也要結(jié)合管理手段和提升全員的信息安全意識(shí)進(jìn)行著手，真正的做到人防和技防兼重。