被动攻击or主动防御，风电工控安全需要一剂良药

　　经过十余年的长足发展，2016年中国风电并网装机超过１亿千瓦，居全球首位，风电累计装机占全球装机比例已达25.9%。风电的蓬勃发展不仅担起了中国绿色清洁能源的大梁，更催生了中国风电产业链的繁荣发展。 预计“十三五”期间，风电发展规模将同比2015年增长一倍。

　　随着我国风电信息化建设和工业控制系统建设进程的提速，风电工业控制系统网络安全建设正当时。目前，我国风电工业控制系统及设备的安全保护水平偏低，存在着各类网络安全风险和工业漏洞，一旦遭不法人员和组织的非法操作或非法入侵，极有可能造成机密数据泄露，甚至系统被恶意控制等问题。

　　针对电力工业控制系统面临的风险和挑战，以及风电场的潜在需求，匡恩网络提出了“4+1”的工控安全战略，以“结构安全性、本体安全性、行为安全性、基因安全性+时间持续性安全”为核心理念，以全生命周期解决方案为实施准则，构建风电行业工控安全产品和服务体系，为电力工控系统网络安全保驾护航。

　　风险分析

　　电力行业是国家关键基础设施，控制系统网络安全关系国计民生，关系国家利益、社会稳定及广大人民群众的生活生产。纵观风电行业控制系统，面临如下网络安全风险：

　　风电场部分安全区域之间未采取逻辑隔离，这将导致增大了生产大区内出现的潜在风险及容易遭受内外部（主动、被动）攻击可能。

　　风电场部分系统针对系统漏洞未实施有效的措施，这将导致系统存在大量安全漏洞，使攻击者在未授权的情况下访问或破坏系统。

　　操作员站和工程师站的USB口，服务器USB口和交换机闲置网口，仅从制度上要求禁止随意接入，实际缺乏技术上的防护措施，由管理漏洞导致的存储介质交叉使用，将导致数据泄露和病毒感染。

　　部分网络中缺少针对工业控制系统的安全审计功能，无法实现对工业控制网络异常流量进行监控与审计；未对工控系统帐户进行定期审计，且缺乏对违规操作、越权访问行为审计能力。

　　通过设备后门进行的远程维护服务，一旦攻击者控制了一台主机，则可能控制整个生产控制大区。

　　“4+1”全生命周期解决方案

　　由于风电场工业控制系统包含多个不同功能的子系统，每个系统按业务需求、操作流程、实现的功能以及对自动化生产和人员安全的影响程度各不相同，因此需要从结构上划分不同的区域和层次，并根据区域内系统的业务特点和影响程度，采取有针对性的安全防护措施，如通过隔离、过滤、认证、加密等措施实现有效的边界防护，风电场网络结构安全遵照“安全分区、网络专用、横向隔离、纵向认证”十六字方针的基本原则等。针对电力工业控制系统面临的风险和挑战，以及风电场的潜在需求，匡恩网络提出了“4+1”全生命周期解决方案。

　　结构安全防护 

　　电力企业工控系统经过安全域划分之后，按照一定的安全防护策略，根据各个区域的安全需求、防护重点，因地制宜的实施访问控制、资源管理、监测监控、身份认证等相应的技术和产品，最终实现安全、完整的电力企业工控网络安全防护体系。

　　通过对电力行业工控网络涉及内容和范围的了解，重点解决生产网络与边界的安全防护与访问控制，增强各区域网络的访问管理与控制力度，合理分离管理信息系统和生产控制系统的数据交互，增强生产控制系统内部的安全防护，力争实现以下目标：

　　实现集团管理层到电力企业管理层之间生产和信息数据的安全访问；

实现生产控制区和管理决策区之间的严格隔离，避免管理信息系统和生产控制系统之间的负面影响；

　　实现现场监控层不同系统之间的逻辑隔离，避免某一个系统将安全问题引入其他子系统。

风电工控网络边界防护示意图

　　本体安全防护 

　　本体安全防护主要在风电场及集控中心的风机监控系统的上位机（工程师站、操作员站）和服务器部署工控卫士和优宝UBO进行主机防护，以白名单的技术方式监控工控主机的进程状态、网络端口状态、USB 端口状态，全方位地保护主机的资源使用。根据白名单的配置，主机防护软件会禁止非法进程的运行，禁止非法网络端口的打开与服务，禁止非法USB 设备的接入，从而切断病毒和木马的传播与破坏路径，保证上位机正常指令的顺利下发和生产相关的业务与进程的正常执行。

风电场主机防护部署示意图

　　行为安全防护 

　　网络安全审计防护是针对工控网络行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供工控网络的有效监督，预防、制止数据泄密，满足用户对工控网络行为审计备案及安全保护措施的要求，提供完整的记录，便于信息追踪、系统安全管理和风险防范。在电力生产控制大区的控制区和和非控制区内部，通过部署入侵行为检测装置对区域内部的网络流量进行分析，识别流量中的攻击行为。

风电工控网络安全审计

　　安全管理与运维 

　　设备管理

　　针对电力企业信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理，建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；应确保信息处理设备必须经过审批才能带入或带出机房或办公地点。

　　网络安全管理

　　电力企业应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作，建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面做出规定；应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行测试和备份；应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补，实现设备的最小服务配置，并对配置文件进行定期离线备份；应保证所有与外部系统的连接均得到授权和批准，依据安全策略对允许或者拒绝便携式和移动式设备的网络接入并对其在网络中的操作行为进行管控，并定期检查违反规定拨号上网或其他违反网络安全策略的行为。

　　系统安全管理

　　电力企业应根据业务需求和系统安全分析确定系统的访问控制策略，定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补，安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中对补丁的兼容性和安全性进行测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作，定期对运行日志和审计数据进行分析，以便及时发现异常行为。

　　应急预案管理：

　　电力企业应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容，从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障；应对安全管理员、系统管理员、网络管理员等相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次，定期对应急预案进行演练，根据不同的应急恢复内容，确定演练的周期，应急预案需要定期审查和根据实际情况更新的内容，并按照执行。