核電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全改進(jìn)分析

邱波

摘要：核電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全設(shè)計(jì)比較簡(jiǎn)單，同時(shí)電廠對(duì)這方面也不是特別重視。在國(guó)外經(jīng)歷幾次比較嚴(yán)重的網(wǎng)絡(luò)入侵事件后，目前國(guó)內(nèi)逐漸重視網(wǎng)絡(luò)安全防護(hù)，特別是核電廠涉及核安全問題。專業(yè)網(wǎng)絡(luò)安全公司對(duì)核電廠電力監(jiān)控系統(tǒng)進(jìn)行安全評(píng)估及網(wǎng)絡(luò)安全防護(hù)技術(shù)發(fā)展的推動(dòng)下，核電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全整體情況有較大提升。

關(guān)鍵詞：網(wǎng)絡(luò)安全;電力監(jiān)控

0.引言

在核電廠中，電力監(jiān)控系統(tǒng)主要負(fù)責(zé)與電網(wǎng)進(jìn)行數(shù)據(jù)傳輸，是核電廠生產(chǎn)控制大區(qū)與外界的唯一接口，其安全性直接關(guān)系電廠生產(chǎn)系統(tǒng)能否安全穩(wěn)定運(yùn)行。隨著國(guó)外及國(guó)內(nèi)多起電廠網(wǎng)絡(luò)安全事件發(fā)生，國(guó)內(nèi)電廠及電網(wǎng)公司已逐漸認(rèn)識(shí)到電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全的重要性，本文從核電廠典型電力監(jiān)控系統(tǒng)配置介紹，分析其存在的問題及改進(jìn)后對(duì)安全性的提升作用。

1.改進(jìn)前網(wǎng)絡(luò)結(jié)構(gòu)

從上圖看，核電廠500kV開關(guān)站系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)主要包括：核心區(qū)和邊界接入?yún)^(qū)兩大安全區(qū)域。邊界接入?yún)^(qū)主要實(shí)現(xiàn)與上級(jí)單位的互聯(lián)，通過部署兩臺(tái)路由器接入廣域網(wǎng)，并且部署四臺(tái)加密認(rèn)證網(wǎng)關(guān)提供縱向加密。核心區(qū)網(wǎng)絡(luò)主要提供服務(wù)器、數(shù)據(jù)庫、存儲(chǔ)設(shè)備等重要設(shè)備的數(shù)據(jù)交換功能。通過部署兩臺(tái)交換機(jī)為操作員站以及各安全區(qū)的設(shè)備提供接入，并且上聯(lián)邊界接入?yún)^(qū)的設(shè)備，部署兩臺(tái)防火墻對(duì)安全I(xiàn) 區(qū)和安全I(xiàn)I 區(qū)進(jìn)行橫向隔離，安全I(xiàn) 區(qū)與安全I(xiàn)I 區(qū)之間通過橫向隔離防火墻進(jìn)行訪問控制。

但該網(wǎng)絡(luò)結(jié)構(gòu)只具備過濾小風(fēng)險(xiǎn)的能力，在以下幾方面仍存在安全隱患：

a）業(yè)務(wù)交換機(jī)及邊界路由器兩條鏈路之間有連接，若出現(xiàn)網(wǎng)絡(luò)攻擊，很有可能兩條業(yè)務(wù)鏈路同時(shí)中斷，存在兩條鏈路相互影響的情況。

b）沒有在網(wǎng)絡(luò)邊界處采取措施，監(jiān)視網(wǎng)絡(luò)攻擊行為（端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊），并對(duì)攻擊行為進(jìn)行記錄。

c）沒有在網(wǎng)絡(luò)邊界部署防惡意代碼設(shè)備對(duì)惡意代碼進(jìn)行檢測(cè)和清除。

2、改進(jìn)后網(wǎng)絡(luò)結(jié)構(gòu)

改進(jìn)后的網(wǎng)絡(luò)結(jié)構(gòu)變化點(diǎn)：將電力監(jiān)控系統(tǒng)兩個(gè)平面完全隔離，不存在數(shù)據(jù)交互可能;增加了IDS、堡壘機(jī)及態(tài)勢(shì)感知等網(wǎng)絡(luò)監(jiān)控設(shè)備，預(yù)警并幫助分析網(wǎng)絡(luò)攻擊等行為。相對(duì)之前網(wǎng)絡(luò)，在網(wǎng)絡(luò)安全性提升方面主要有以下幾方面：

a）配置IDS系統(tǒng)，入侵檢測(cè)系統(tǒng)（IDS）采用協(xié)議分析、模式匹配、異常檢測(cè)等技術(shù)，通過將交換機(jī)上的關(guān)鍵接入端口的數(shù)據(jù)報(bào)文鏡像到IDS檢測(cè)引擎（IDS探頭）的接入端口，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)流量、數(shù)據(jù)包的動(dòng)態(tài)監(jiān)視、記錄和管理、對(duì)異常事件進(jìn)行告警等。

b）增加堡壘機(jī)設(shè)備，能夠自動(dòng)將更換后的密碼下載到專用芯片級(jí)硬件加密設(shè)備，可通過指紋和管理權(quán)限對(duì)相應(yīng)的服務(wù)器托管密碼進(jìn)行查看和打印;內(nèi)部管理功能授權(quán)可以限制到某個(gè)樹形節(jié)點(diǎn)的范圍內(nèi);支持命令操作的黑白名單設(shè)置，命令權(quán)限控制規(guī)則應(yīng)支持正則表達(dá)式，并可對(duì)命令的參數(shù)進(jìn)行限制并記錄日志;為保證日志存儲(chǔ)的安全性，會(huì)話日志必須先備份才可以刪除，不可以覆蓋。

c）配備態(tài)勢(shì)感知設(shè)備，通過探測(cè)采集、鏡像流量、NMAP、SNMP等手段自動(dòng)發(fā)現(xiàn)廠站裝置檢測(cè)范圍內(nèi)的資產(chǎn);資產(chǎn)關(guān)鍵屬性包括：IP、MAC、主機(jī)名、設(shè)備類型、軟件版本等;采集主機(jī)、安全設(shè)備、網(wǎng)絡(luò)設(shè)備的原始日志并已時(shí)間形式記錄于數(shù)據(jù)庫中;實(shí)施發(fā)現(xiàn)并采集敏感報(bào)文和可疑文件，主動(dòng)將特征信息上送主站;支持采集安全設(shè)備、服務(wù)器、工作站的用戶登錄、操作信息、配置變更信息、流量信息、網(wǎng)口狀態(tài)信息的事件信息;主動(dòng)將事件告警信息通過104通信協(xié)議上送主站;自動(dòng)生成物理連接拓?fù)鋱D呈現(xiàn)設(shè)備端口與設(shè)備端口之間物理連接關(guān)系，并實(shí)時(shí)展示當(dāng)前的設(shè)備端口流量情況。

d）系統(tǒng)切割為兩個(gè)獨(dú)立平面，每臺(tái)遠(yuǎn)動(dòng)機(jī)分別配置調(diào)度數(shù)據(jù)網(wǎng)A/B平面接口，改造后業(yè)務(wù)裝置A接口接入到A平面調(diào)度數(shù)據(jù)網(wǎng)，B接口接入到B平面調(diào)度數(shù)據(jù)網(wǎng)。增加下游重要業(yè)務(wù)系統(tǒng)的可靠性及安全性。

綜上分析，改進(jìn)后的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)較為合理，網(wǎng)絡(luò)中主要設(shè)備的業(yè)務(wù)處理能力具備冗余空間，能滿足業(yè)務(wù)高峰期的需要;網(wǎng)絡(luò)中部署有訪問控制設(shè)備和入侵檢測(cè)系統(tǒng)，但訪問控制策略和入侵檢測(cè)策略還需進(jìn)一步完善，通過加強(qiáng)機(jī)房的物理安全管理，目前還算安全;并且電力監(jiān)控系統(tǒng)所處的網(wǎng)絡(luò)區(qū)域范圍較小，且管理上操作員站、工作站和裝置等均禁止接入U(xiǎn) 盤，具有較為嚴(yán)格的訪問管理措施，可以降低未安裝防惡意代碼軟件和及時(shí)升級(jí)系統(tǒng)補(bǔ)丁、系統(tǒng)口令不足等帶來的安全風(fēng)險(xiǎn)。

3、結(jié)論

核電廠網(wǎng)絡(luò)安全在如下幾方面得到加強(qiáng)：

a）網(wǎng)絡(luò)鏈路完全冗余，提升系統(tǒng)的可靠性;

b）增加安全防護(hù)及檢測(cè)設(shè)備，抵抗網(wǎng)絡(luò)攻擊，并及時(shí)提醒維護(hù)人員系統(tǒng)健康狀況;

c）控制安全設(shè)備策略精細(xì)度，僅業(yè)務(wù)地址數(shù)據(jù)可以通過，達(dá)到更精準(zhǔn)管控。

d）物理隔離設(shè)備得到加強(qiáng)，防社工攻擊進(jìn)一步提升。

但是，新增設(shè)備的策略配置不合理、安全補(bǔ)丁更新不及時(shí)等問題，同時(shí)隨著網(wǎng)絡(luò)科技的發(fā)展，一些新的攻擊手段的出現(xiàn)也逐漸威脅核電廠電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)正常運(yùn)行，需要持續(xù)提升。

參考文獻(xiàn)：

1、電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全態(tài)勢(shì)感知廠站裝置技術(shù)規(guī)范（試行） 中國(guó)南方電網(wǎng) 2018年4月;

2、南方電網(wǎng)總調(diào)直采廠站接入網(wǎng)級(jí)自動(dòng)化主站技術(shù)方案 中國(guó)南方電網(wǎng) 2017年5月

3、國(guó)家能源局關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案 國(guó)家能源局 2015年2月