與傳統(tǒng)電廠相比較，智慧電廠實(shí)現(xiàn)了網(wǎng)絡(luò)化和信息系統(tǒng)化的建設(shè)運(yùn)營(yíng)，這些特征同時(shí)也給電廠的工控安全帶來(lái)了更高的風(fēng)險(xiǎn)，那么如何針對(duì)性的提出合適的解決方案呢?帶著這一問(wèn)題，華北電力大學(xué)科技園信息安全中心解決方案經(jīng)理張浩軍在中國(guó)能源研究會(huì)節(jié)能減排中心與華北電力大學(xué)國(guó)家大學(xué)科技園聯(lián)合舉辦“2018年智慧電廠論壇(第一期)”上發(fā)表重要講話。北極星電力網(wǎng)全程對(duì)會(huì)議進(jìn)行直播，如需了解更多的會(huì)議直播，請(qǐng)聯(lián)系微信號(hào)：13693626116

華北電力大學(xué)科技園信息安全中心解決方案經(jīng)理張浩軍主題演講《智慧電廠工控安全解決方案》

大家下午好!今天非常有幸給大家介紹一下關(guān)于智慧電廠的工控安全解決方案。我從以下四點(diǎn)介紹：

第一，智慧電廠的現(xiàn)狀和面臨的安全問(wèn)題，就是說(shuō)我們?yōu)槭裁匆M(jìn)行安全防護(hù)。

第二，國(guó)家的政策和行業(yè)的監(jiān)管要求，就是說(shuō)我們的安全防護(hù)的方案依據(jù)是什么。

第三，我們安全防護(hù)方案的簡(jiǎn)介。

第四，公共安全產(chǎn)品的簡(jiǎn)介。

第一，智慧電廠的現(xiàn)狀及面臨的一些安全的問(wèn)題。

我們對(duì)智慧電廠的理解基本就是以上四個(gè)部分：智能決策、智能管理、智能生產(chǎn)、智能控制。就是說(shuō)智能覆蓋在電廠生產(chǎn)、管理、運(yùn)營(yíng)的方方面面。

這個(gè)是電廠所采用的一些核心技術(shù)，就是現(xiàn)在比較先進(jìn)的，比如物聯(lián)網(wǎng)技術(shù)、人工智能技術(shù)、空間地理信息和大數(shù)據(jù)融合。電廠與現(xiàn)在這些最先進(jìn)的信息和通信技術(shù)深度結(jié)合，能夠達(dá)到更加環(huán)保、更加高效、更加盈利的目的。

雖然智慧電廠有以上種種的好處，隨著智能化的發(fā)展，電廠面臨的安全風(fēng)險(xiǎn)點(diǎn)會(huì)越來(lái)越高，導(dǎo)致風(fēng)險(xiǎn)越來(lái)越高的原因有以下五個(gè)：

1，漏洞劇增。一提到工控安全，大家都避不過(guò)2010年伊朗的“震網(wǎng)”病毒，2010年以前大家所說(shuō)的信息安全主要是互聯(lián)網(wǎng)安全，當(dāng)“震網(wǎng)”病毒爆發(fā)以后，相關(guān)工控部門都對(duì)系統(tǒng)的安全防護(hù)都重視起來(lái)了起來(lái)。所以相關(guān)的一些法律法規(guī)、政策還有一些防護(hù)措施也陸續(xù)推出，我們同時(shí)也看到了，漏洞從“震網(wǎng)”病毒爆發(fā)以后，工控的漏洞也在不斷的增加，從“震網(wǎng)”病毒爆發(fā)以前，我們已知的漏洞已經(jīng)有幾十個(gè)，我們現(xiàn)在知道的漏洞已經(jīng)有1500多個(gè)，而且這些漏洞覆蓋100多個(gè)工控廠商的產(chǎn)品。這些產(chǎn)品據(jù)我們現(xiàn)在所知，大概有1/3并沒(méi)有完全解決。

2，互聯(lián)互通。由于現(xiàn)在最先進(jìn)的這些信息化的技術(shù)，還有通訊技術(shù)的應(yīng)用，導(dǎo)致了一些系統(tǒng)之間的協(xié)作增加，大量的生產(chǎn)數(shù)據(jù)被采集上來(lái)，這些系統(tǒng)的互聯(lián)互通由以前的封閉走向開(kāi)放而且是越來(lái)越開(kāi)放，這些開(kāi)放導(dǎo)致了安全邊界的擴(kuò)大。舉個(gè)比較簡(jiǎn)單的例子，剛才說(shuō)的這些智慧電廠在無(wú)線網(wǎng)的應(yīng)用，在有線網(wǎng)如果接到內(nèi)部系統(tǒng)里，首先要能夠進(jìn)入這個(gè)辦公區(qū)，然后再進(jìn)入到機(jī)房，有保安、有門禁，可是無(wú)線你只要在無(wú)線的信號(hào)范圍之內(nèi)，你就有可能通過(guò)無(wú)線的方式連到內(nèi)網(wǎng)，然后采取攻擊。隨著安全邊界的擴(kuò)大，攻擊的途徑也在增加。

3，攻擊趨易。隨著現(xiàn)在技術(shù)的發(fā)展，網(wǎng)絡(luò)上有大量的黑客大會(huì)、開(kāi)源社區(qū)、白帽社區(qū)，通過(guò)這些社區(qū)可以非常方便的獲得一些網(wǎng)絡(luò)攻擊的方法，而且有些方法寫的非常詳盡，基本上可以作為操作手冊(cè)。第二，攻擊的工具，從這些比如黑客網(wǎng)站、社區(qū)上可以非常方便的獲得這些網(wǎng)絡(luò)攻擊工具，而且這些工具操作非常便利。第三，現(xiàn)在網(wǎng)絡(luò)上有一些可以形容為網(wǎng)絡(luò)雇傭軍，已經(jīng)有一些黑客的網(wǎng)站，你只要付費(fèi)，那些黑客就會(huì)替你進(jìn)行你所需要的網(wǎng)絡(luò)攻擊。

4，基礎(chǔ)薄弱。兩個(gè)方面，第一，公用系統(tǒng)，現(xiàn)在工控系統(tǒng)的軟硬件絕大部分沒(méi)有實(shí)現(xiàn)國(guó)產(chǎn)化，還是國(guó)外廠商的產(chǎn)品。第二，現(xiàn)在我們的安全防護(hù)，尤其是電廠的防護(hù)，現(xiàn)在雖然做的在整個(gè)工控系統(tǒng)的防控來(lái)說(shuō)是做的比較好的，實(shí)際也只是剛剛起步，一旦面臨著國(guó)家級(jí)的、專業(yè)級(jí)的攻擊，其結(jié)果也就可想而知。

5，目標(biāo)的重要性。工控系統(tǒng)作為國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，已經(jīng)成為了網(wǎng)絡(luò)部隊(duì)、黑客還有一些極端勢(shì)力的重要攻擊目標(biāo)。

以上五個(gè)原因?qū)е码姀S的風(fēng)險(xiǎn)實(shí)際上是非常高的。如何來(lái)解決這些風(fēng)險(xiǎn)呢?就需要對(duì)電廠的工控系統(tǒng)進(jìn)行安全防護(hù)，而電廠的工控安全防護(hù)的依據(jù)是什么呢?要依據(jù)國(guó)家的政策要求和行業(yè)的監(jiān)管要求，就是說(shuō)你的工控安全方案首先要合規(guī)。

這些主要是從“震網(wǎng)”病毒以后國(guó)家陸續(xù)推出的一些行業(yè)的規(guī)范和行政命令，首先有2011年工信部發(fā)布的451號(hào)文，2013年能源局的387號(hào)穩(wěn)，2014年發(fā)改委的14號(hào)令，2015年能源局的36號(hào)文，2016年工信部的338號(hào)文，去年的《網(wǎng)絡(luò)安全法》。

首先介紹一下國(guó)家能源局的36號(hào)文，是在等保的基礎(chǔ)上，參考電力的實(shí)際情況，制定的關(guān)鍵工控系統(tǒng)如何進(jìn)行防護(hù)，分為以下五個(gè)部分，隔離與加密，就是我們以前電廠提到的橫向隔離和縱向加密。剩下4個(gè)，就是安全審計(jì)、惡意代碼防范、入侵檢查和訪問(wèn)控制。

下一個(gè)就是等級(jí)保護(hù)，從技術(shù)防護(hù)方面大概分為以下五個(gè)部分，物理的安全、網(wǎng)絡(luò)的安全、主機(jī)的安全、應(yīng)用安全和數(shù)據(jù)安全。大家可以看到紅的字，可以看到跟36號(hào)文的防控基本上大體相似，因?yàn)?6號(hào)文本身就是基于等保來(lái)制定的。

最后介紹一下《網(wǎng)絡(luò)安全法》，在《網(wǎng)絡(luò)安全法》里將信息安全、網(wǎng)絡(luò)安全提高到了法律的層次，并且明確規(guī)定了國(guó)家要實(shí)行網(wǎng)絡(luò)和等級(jí)保護(hù)制度，并對(duì)信息安全的責(zé)任人、防控工作如何做，并對(duì)不履行本法的人員、運(yùn)營(yíng)者如何進(jìn)行處罰。

第三部分，介紹一下智慧電廠的安全防護(hù)方案。

剛才我說(shuō)到的，安全防護(hù)方案主要是依據(jù)于能源局的36號(hào)文，剛才也提到了智慧電廠是電廠結(jié)合大量先進(jìn)的信息和通訊技術(shù)，所以系統(tǒng)之間的數(shù)據(jù)、應(yīng)用非常多，而且非常復(fù)雜，如何進(jìn)行防護(hù)呢?第一步就是要進(jìn)行安全分區(qū)，把整個(gè)網(wǎng)絡(luò)架構(gòu)清晰化，我們對(duì)電廠的系統(tǒng)防護(hù)首先分為兩大區(qū)，生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)又可以細(xì)分為控制區(qū)的一區(qū)和非控制區(qū)的二區(qū)，控制區(qū)就是說(shuō)參與生產(chǎn)，對(duì)前方的一次系統(tǒng)有控制功能的系統(tǒng)，二區(qū)就是非控制區(qū)，也是參與生產(chǎn)，但是對(duì)前方的應(yīng)用系統(tǒng)沒(méi)有控制，其他的系統(tǒng)就屬于管理信息大區(qū)。

在區(qū)域之間、大區(qū)之間、系統(tǒng)之間、生產(chǎn)區(qū)與地方的系統(tǒng)之間，要進(jìn)行邊界隔離，在生產(chǎn)系統(tǒng)與電網(wǎng)的調(diào)度系統(tǒng)之間要實(shí)行縱向加密。通過(guò)這兩種方式，實(shí)現(xiàn)的是層層的防御，就像一個(gè)城堡一樣，越往外他的防護(hù)等級(jí)越高，從外往里每個(gè)邊界都有安全防護(hù)設(shè)備，需要一步一步的攻進(jìn)來(lái)。第二個(gè)作用，他將每個(gè)區(qū)域都完全區(qū)分開(kāi)，如果這個(gè)區(qū)域里一旦有惡意代碼或者攻擊，這個(gè)惡意代碼的擴(kuò)散只能在這個(gè)系統(tǒng)內(nèi)部，而不能非常便利的擴(kuò)散到其他系統(tǒng)或者擴(kuò)散到每個(gè)電廠的控制系統(tǒng)。

第二，系統(tǒng)里如何進(jìn)行防護(hù)，我們采用的就是點(diǎn)面結(jié)合的綜合防御，點(diǎn)就是說(shuō)系統(tǒng)里邊每臺(tái)電腦服務(wù)器，就相當(dāng)于系統(tǒng)里的點(diǎn)，面就是系統(tǒng)里的網(wǎng)絡(luò)。面的防御就是采用安全審計(jì)和入侵檢測(cè)的設(shè)備，采集網(wǎng)絡(luò)當(dāng)中的數(shù)據(jù)，對(duì)數(shù)據(jù)進(jìn)行分析，一旦發(fā)現(xiàn)有惡意代碼或者攻擊的特征數(shù)據(jù)，我們就會(huì)及時(shí)的，第一告警，第二記錄下來(lái)，以備日后的查詢。這個(gè)點(diǎn)，主機(jī)的防護(hù)，我們通過(guò)在主機(jī)加上軟件，采用白名單的方式防護(hù)主機(jī)上的惡意代碼。

下面我來(lái)介紹一下工控安全安全防護(hù)方案所涉及的四大類產(chǎn)品，1，邊界隔離，就是橫向隔離設(shè)備。橫向隔離設(shè)備一般來(lái)說(shuō)有單向隔離網(wǎng)閘和公共防火墻，還有一些邏輯控制到網(wǎng)絡(luò)設(shè)備。2，縱向加密，也就是說(shuō)現(xiàn)在說(shuō)的縱向加密設(shè)備，基本上電廠已經(jīng)都應(yīng)該有實(shí)施。3，監(jiān)測(cè)的安全審計(jì)設(shè)備，也就是涉及和入侵檢測(cè)設(shè)備。4，主機(jī)的防護(hù)，就是主機(jī)交互軟件。

接下來(lái)我來(lái)詳細(xì)介紹橫向隔離，就是邊界防護(hù)。橫向隔離就是邊界防護(hù)大概分為四個(gè)部分：

1，生產(chǎn)控制大區(qū)與管理信息大區(qū)之間的隔離。這個(gè)隔離他的隔離強(qiáng)度應(yīng)該達(dá)到近似于物理隔離，就是要使用電力專用的單向、橫向隔離網(wǎng)閘，保證數(shù)據(jù)能單向傳輸，防御已知和未知的攻擊。

2，在生產(chǎn)大區(qū)內(nèi)部的安全一區(qū)跟二區(qū)之間的橫向隔離，這個(gè)防護(hù)等級(jí)設(shè)備可以采用單向隔離網(wǎng)閘，也可以采用邏輯隔離的工業(yè)防火墻。這個(gè)應(yīng)用關(guān)鍵選擇就看你實(shí)際的兩個(gè)區(qū)域至今數(shù)據(jù)流的具體應(yīng)用，但是特別說(shuō)明一下，這個(gè)工控防火墻不是我們傳統(tǒng)以前以為的普通的防火墻，他兩個(gè)防火墻之間的區(qū)別，首先第一是說(shuō)，這個(gè)防火墻要能夠深度解析工業(yè)協(xié)議，第二，他得通過(guò)白名單的方式進(jìn)行防護(hù)。

3，區(qū)域當(dāng)中的系統(tǒng)之間的邊界隔離。這個(gè)邊界隔離的強(qiáng)度是說(shuō)，也可以選擇單向隔離設(shè)備，也可以選擇能達(dá)到邏輯隔離的工控防火墻，同樣可以選擇有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備。這三種便利隔離設(shè)備，安全級(jí)別就是近似于物理隔離的單向隔離設(shè)備的安全性高于邏輯隔離的工控防火墻，邏輯防控功能的工控防火墻的安全等級(jí)高于有訪問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備。我們的使用原則，在保證應(yīng)用的前提下，安全就高不就低，

4，第三方的邊界隔離。第三方的邊界隔離，舉個(gè)例子，比如現(xiàn)在的環(huán)保，現(xiàn)在環(huán)保比較重視像火電廠的生產(chǎn)數(shù)據(jù)，他的排放，他需要前端的生產(chǎn)系統(tǒng)直接采生產(chǎn)數(shù)據(jù)，這樣直接接到一區(qū)甚至二區(qū)。這種情況下他的防護(hù)等級(jí)必須采用近似于物理隔離的單向隔離設(shè)備。

上面4個(gè)隔離就像我剛才說(shuō)的，是層層的防御，每個(gè)系統(tǒng)之間都有邊界隔離設(shè)備進(jìn)行防護(hù)，系統(tǒng)與系統(tǒng)之間互相的影響，都有設(shè)備進(jìn)行防護(hù)。

第二，介紹一下系統(tǒng)內(nèi)部的防護(hù)，就是剛才我說(shuō)的點(diǎn)面結(jié)合的綜合防護(hù)。

1，入侵檢測(cè)設(shè)備。入侵檢測(cè)設(shè)備通常部署在系統(tǒng)的邊界，它主要是采集交換機(jī)上的鏡像數(shù)據(jù)，發(fā)現(xiàn)從內(nèi)到外或者從外到內(nèi)的攻擊行為，當(dāng)發(fā)現(xiàn)這種攻擊行為以后，他會(huì)把這種攻擊行為首先是報(bào)警，然后是記錄下來(lái)。

2，安全審計(jì)。主要是部署在系統(tǒng)的核心。同樣是采集鏡像數(shù)據(jù)，對(duì)數(shù)據(jù)進(jìn)行分析，當(dāng)發(fā)現(xiàn)異常情況，也會(huì)及時(shí)告警，并把這種情況記錄下來(lái)。這兩個(gè)設(shè)備它的部署全部都是在交換機(jī)的鏡像部署上龐向部署，不深入到系統(tǒng)，不跟系統(tǒng)發(fā)生直接的聯(lián)系。

3，點(diǎn)的防控。就是主機(jī)加固。通過(guò)在主機(jī)系統(tǒng)上安裝主機(jī)加固軟件，對(duì)系統(tǒng)進(jìn)行安全防護(hù)，防護(hù)系統(tǒng)里的比如惡意代碼，他采用的是白名單的方式，他的應(yīng)用可以類比一下殺毒軟件，但是殺毒軟件采用的是黑名單的方式，殺毒軟件一般如何進(jìn)行防護(hù)呢?首先對(duì)數(shù)據(jù)進(jìn)行分析，然后對(duì)比他的病毒庫(kù)，當(dāng)發(fā)現(xiàn)這個(gè)數(shù)據(jù)是病毒的話進(jìn)行隔離、進(jìn)行刪除、進(jìn)行處理。

但是這種模式在工業(yè)環(huán)境當(dāng)中有幾個(gè)弊端，1，病毒庫(kù)不能實(shí)時(shí)更新。因?yàn)槟惝吘故枪I(yè)環(huán)境，你與互聯(lián)網(wǎng)的連接是沒(méi)有那么通常的，你的病毒庫(kù)沒(méi)法實(shí)時(shí)更新，新的病毒出現(xiàn)的時(shí)候?qū)嶋H上是起不到什么作用的的。2，殺毒軟件是有誤殺功能的。白名單這種模式，首先是把你的正常應(yīng)用列入到白名單當(dāng)中去，不在白名單的應(yīng)用，比如說(shuō)惡意代碼，它一般的攻擊首先是先要運(yùn)營(yíng)起來(lái)掃描，發(fā)現(xiàn)弱點(diǎn)進(jìn)行攻擊，你不在白名單當(dāng)中，你這個(gè)軟件根本就運(yùn)行不起來(lái)，也就是說(shuō)你基本上就沒(méi)有破壞能力。

最后一個(gè)部分，介紹一下公共安全產(chǎn)品。2017年初我們與北京和信網(wǎng)安科技有限公司聯(lián)合成立了“電力工控的安全技術(shù)及設(shè)備研發(fā)中心”。研發(fā)中心的核心就是提供安全工控的解決方案，主要面向電力。

1，介紹一下我們的產(chǎn)品，首先是天御6000的網(wǎng)絡(luò)安全隔離系統(tǒng)，近似于物理隔離，保證數(shù)據(jù)是單向傳輸，只能從一個(gè)方向向另一個(gè)方向發(fā)送數(shù)據(jù)，TCP的回用字節(jié)根據(jù)要求小于1BT。

2，接下來(lái)介紹一下我們天御6000的工控防火墻。工控防火墻的防火等級(jí)能夠達(dá)到邏輯隔離，這種工控防火墻主要的作用就是說(shuō)，通過(guò)白名單的方式進(jìn)行防護(hù)，他主要與普通防火墻的區(qū)別，能夠?qū)I(yè)協(xié)議進(jìn)行解析，因?yàn)槟銘?yīng)用在工業(yè)環(huán)境，大部分?jǐn)?shù)據(jù)都是通過(guò)工業(yè)協(xié)議進(jìn)行傳輸，如果你不能解析工業(yè)協(xié)議，你防火墻的策略設(shè)置要不全關(guān)、要不全開(kāi)，往往不能達(dá)到最佳效果。

3，介紹一下我們的公共安全監(jiān)測(cè)與審計(jì)系統(tǒng)。我們的工控安全審計(jì)系統(tǒng)，首先也是能夠解析工業(yè)協(xié)議，通過(guò)在系統(tǒng)內(nèi)部采集鏡像數(shù)據(jù)，對(duì)數(shù)據(jù)進(jìn)行分析，當(dāng)發(fā)現(xiàn)異常情況，就會(huì)及時(shí)告警，并將這個(gè)告警狀況記錄下來(lái)。

4，最后一個(gè)產(chǎn)品是天御1000的工控主機(jī)加固。就是我剛剛說(shuō)的主機(jī)加固軟件，它是一個(gè)軟件，通過(guò)一個(gè)白名單的方式，防御主機(jī)上的病毒和密碼，實(shí)現(xiàn)全生命周期的安全保障。

我的介紹到此結(jié)束。謝謝大家!