智慧电厂网络安全分析研究

丁朝晖 中国大唐集团科学技术研究院有限公司高级网络安全工程师

大家好，我今天跟大家分享的题目是《智慧电厂的网络安全分析研究》，本次讲解的内容主要分为以下两个部分，第一部分分析一下网络安全的形势。第二部分主要讲解智慧电厂的网络安全方面的研究和应用。

一、网络安全形式分析

(资料图)

首先从网络安全形势分析开始，以下列举了电力系统工控安全的几个重要的事件。

第一，伊朗震网病毒事件，这个事件震惊全球。首先它是从某位工程师将自己家里用的U盘或者是其他移动存储设备带到了电厂，在电厂的终端上应用了这个设备，应用了以后，这个U盘里面携带的病毒从电脑的终端进入了电厂的生产系统，进入生产系统以后，病毒开始攻击控制的系统，DCS控制系统遭受攻击以后，对离心机发送了错误的指令，一会让它快速地旋转，一会让它慢速旋转，造成了离心机的粉碎性的损坏，这直接导致了伊朗的核计划的延期。这是一起震惊全球的网络安全事件。

第二，乌克兰电网停电事件，这个事件主要是由于工程师在电厂终端上面收到了钓鱼的邮件，从钓鱼邮件里面下载了恶意的病毒，这个病毒的名字叫做“黑色能量病毒”，这个病毒下载以后，马上对电网的变电站进行了攻击，导致变电站停电，同时会有大量的电话打进来，由于电话过多造成了电站没有收到停电了的信号，造成了抢修的不及时。同时“黑色能量病毒”还对监控显示的数据进行了伪造，变电站的工作人员看到都是正常的数据，他们还不知道已经停电了，造成了抢修的不及时，导致了8万多用户断电，而且停电时间比较长，造成了严重的影响。从这个事件里面应该吸取到经验教训，终端在无论是在网站上网的时候，还是在收发邮件的时候都要注意，千万不要下载来意不明的软件程序或者是附件。在终端的管控上面一定要加强，特别是电网的内网机和外网机要严格的分离，如果是内部生产系统的终端，一定不能上互联网，不能做任何互联网的业务，要做到物理上的隔离。

第三，委内瑞拉的古里水电站被攻击。它声称是遭受到了黑客的攻击，但是目前在网上没有相关的黑客攻击过程的资料，这一次的攻击事件也说明了古里水电站至少存在几方面的问题，一方面是冗余的线路不足。另一方面是应急响应不足，主要体现在以下的这几点上，第一是它的主线路在发热过载以后，就立即把主线路的电负荷切到了另外的两条线路上，但是另外两条备用线路也马上由于过载造成了断电，这说明它冗余线路过载量不足，也没有经过测试，所以它的备用线路在关键的时候没有起到切换保证供电的作用，冗余线路容量不足是它的第一个问题。第二个问题，当它发生了线路断电，导致了80%以上的供电都中断以后，他们马上发出了抢修指令，但是据说当地的抢修队却在家里没有收到通知，可见应急响应方面的工作做得也不足，平时有关应急演练的练习做得不够。古里水电站的停电，导致整个委内瑞拉85%的电力中断，中断大约持续了7天之久的时间，对人们的生活就造成了巨大的影响。

从这三个网络安全事件中我们可以看出来，网络安全在当今社会越来越重要了。

接下来看一下电厂攻击事件的特点。电厂的攻击事件的第一个特点是目标明确，因为当电厂发生攻击事件的时候，很多时候是一些敌对的利益或者集团为达到某种目的，而发起的网络攻击，它有很强的针对性，会针对某一个目标发起特定的网络攻击。

第二个特点它具有极强的隐蔽性，在网络安全攻击事件没有爆发之前，在我们的内网或者工控系统中可能是静默的状态，很多的安全工作人员会特别容易忽视它的存在，因为可能没有太多的异常的现象表现出来。所以他极具隐蔽性。它会在公共网络和内网中潜伏一段时间，当它掌握到越来越多的机器的权限等其他一些情况以后，在某一个时间点会集中的爆发，所以第二个特征是具有隐蔽性。

第三个特征是具有极强的破坏性。通过刚才的三个实例，我们可以感受到工控系统如果遭受到破坏，轻则会造成经济损失，重则会造成人身的伤亡，甚至于会影响地区和国家的安宁，乃至于国家的战略和重大计划都会受到阻挠。

第三是工控安全攻击事件。这两张图里面分别列出来了从2010年到2018年网络攻击事件的次数，这是从全球来看的，可以看到了2010年到2018年网络攻击的事件逐年地递增，每一年都会增多。同时从2016年可以看到能源行业遭受的攻击事件多达46起，占全部攻击事件的16%。能源行业遭受的攻击是很多的，要引起我们的关注。

接下来是公共安全的漏洞统计，公共安全的漏洞从2010年到2018年，具有逐年递增的趋势。高危漏洞甚至占到了50%以上，因此工控系统的网络安全值得我们倍加地关注。

接下来看一下智慧电厂的主要网络安全的风险。在智慧电厂中主要的网络安全的风险，跟传统的电厂相比，非但没有减少，反而会有所增加。我们来看一下以下这些主要的网络安全风险，因为网络安全风险非常的多，我们只列举了一些主要的网络安全的风险。

第一是黑客的入侵。黑客入侵是指一些有组织或者是有背景的黑客团体，对电力监控系统进行恶意地攻击。比如说窃取数据，破坏监控系统的正常的运行，这是有组织的有背景的黑客的攻击的行为，是外部的一种攻击所带来的安全威胁。

第二是旁路控制。比如说绕开了电厂的访问工作设备和电脑安全设备，非授权地对电厂或变电站发出非控制类或控制类的指令等，导致电力系统的事故，甚至系统的瓦解。

第三是完整性破坏。主要是对于数据和指令的安全威胁。比如非授权的修改电力监控系统的配置程序和控制的指令，或者非授权的修改电力交易市场中的一些敏感的数据，都会对数据的完整性进行破坏，会对数据安全造成影响。

第四是越权操作。相当于一些低权限的用户，通过一些越权的方式或者是漏洞的利用，使自己的权限变为高权限的用户，然后用高权限用户的身份去执行一些非法的操作，这就叫越权操作。越权操作一种可能来自外部黑客的攻击，首先获取到低权限的用户身份，然后通过某种手段使自己变为高权限的用户。还有一种可能来自一些低权限的用户，可能他了解到一些网络安全方面的知识以后，利用一些漏洞或者是恶意的脚本程序，将自己的低权限转化为高权限。

第五是无意或故意行为。主要是指的一些普通的用户或者是内部的用户，有意或无意地泄露了自己的口令或者是敏感信息，没有严格的执行访问控制的规则等等，比如把一些口令或者信息记录到了网络上的笔记本或者网盘里，造成的口令或敏感信息的泄露，这是非常严重的问题，有可能一些攻击者拿到敏感信息以后，就能以一个合法用户的身份能进入到系统里面。

第六是拦截篡改。我们都知道存在一些网络的篡改、拦截。对于网络的请求流量等信息都可以进行拦截，拦截了以后对这些网络中传输的流量数据进行篡改，篡改以后再放到网络上继续发送出去，这有可能是篡改调度数据广域网传输中的控制命令、参数设置、交易报价等敏感信息。

第七是非法用户，比如说一些用户本来没有系统里的权限，但是通过某些操作的手段，使自己具有了一些普通用户或者是高权限的用户的操作权限，所以非授权的会使用计算机或者是网络资源，但是他的用户的身份是非法的身份，不是授权的用户，是非授权的用户，他可以操作计算机或者是网络资源，这个时候风险就非常的大。

第八是信息泄露。在工控网络和管理网络有大量的敏感的信息，比如说口令、证书等等，口令、证书信息的泄露，都会造成恶劣的影响。

第九是网络欺骗。比如web服务欺骗、ARP欺骗攻击。比如说在管理网中，比如说市区可以上一些外网，有时候遭遇一些钓鱼网站。ARP欺骗比如一些攻击者攻入到内网后，会把自己的IP地址设置成网关或服务器的地址，这样收集到一些其他服务器或终端的访问信息，进行ARP欺骗。

第十是身份伪装。身份伪装指入侵者伪装成合法的用户的身份，进入电力监控系统。入侵者会通过某些手段获取到合法的用户信息，比如说用户名、口令，伪装成合法的用户进入电力监控系统做一些破坏的事情。

第十一是拒绝服务攻击。它是通过电力数据网或通讯网关发送大量数据，造成网络监控系统的瘫痪。比如说pin攻击，也在网络中的发送大量的pin请求，使得服务器接收到大量的pin请求以后来不及进行回应，最后造成服务器的死机等等。

最后一个是窃听，窃听是指一些非授权的用户，在数据网或专线上搭建窃听的软件，对经过的数据包进行窃听，特别是当这些数据包是明文的时候，可以窃听到数据包里的信息、数据，为后续的攻击做准备，窃听不是直接发起的攻击，是间接的，窃听一些重要的信息然后再发起攻击。

以上就是智慧电厂面临的主要安全风险，当然还不止这些，我们介绍的只是最主要的网络安全风险。

二、智慧电厂网络安全研究应用

我们在智慧电厂的网络安全研究也做了很长时间，积累了一些经验和一些相应的产品。

首先我们来看一下智慧电厂的物理安全。智慧电厂的安全离不开两方面，分别是物理安全和网络安全。网络安全又包含了数据安全、应用安全、主机安全以及管理安全等等内容。从广义上来讲，网络安全还可以包含物理安全。

智慧电厂的物理安全主要是指它的智慧安防，智慧安防分为4部分，从最底层是感知层，也就是传统的环境中的监测系统，以及unb的互联网终端，包括摄像头、环境监测的传感器、红外感应器、烟雾感应器、中低压监测器、人员定位装置和智能门禁等等，这些是底层收集信息的设备。然后这些设备收集到的信息需要通过网络层进行传输，通过宽带网络和窄带网络，分别传输到对应的数据资源池中。数据资源池主要起到数据存储的作用，另一个起到数据分析的作用，分析以后的数据再放到数据应用层进行展示。展示的主要内容有视频监控的一些信息，比如视频监控的告警信息、出入管理的信息、行为监测的信息，比如在电厂里面有一些违规操作，也可以监测到。还有门禁管理、火灾预警、电子围栏、人员定位、站房监测、线路监测等等。在应用层统一对这些安全事件进行集中的展示，通过这个运维人员进行分析。

接下来是智慧电厂物理安全里面的人员安全，它会在智慧电厂中会对所有的人员配备唯一的定位终端。终端包含人员的详细信息，首先要关注到人的安全和人的行为的安全，首先人要可被识别，所以终端包含人员的详细信息，同时获取工作人员所在的具体的位置，并在数字地图上进行实时的显示，还可以实时地查看人员的分布和在岗的情况，可以用于人员的考勤签到或者人员的行为告警等等。

对于所处位置不符合岗位要求的人员进行告警，比如电厂的工作人员去电子间工作的话，比如他要去5号柜，但是他去操作5号柜的时候，却走到了8号柜操作，这个时候他的位置就不符合要求了，智慧电厂里会对这种情况进行告警，还可以对人员的历史轨迹进行回放、可查。

接下来是智慧电厂物理安全中的环境安全。环境安全主要从温湿度调节、除尘功能、智能新风、室内的空气循环、室内外压差还有鼠类除害等。我们一些环境主控室包括电子间的温湿度、烟感、水浸、氧气、臭氧等都需要监测。智慧电厂会通过设备对环境等监测，根据异常做出响应的反应。

智慧电厂设备安全中有一项是线路安全，比如在线路上安装传感器，对线路过热告警、线路过负荷告警、线路失电告警、事故快速定位。装上传感器后可以对线路的状态进行监测，由原先的被动地抢修变为主动的运维。主要监测的线路的数据，包括线路的温度、线路的电流，以及对于线路的带电的状态。同时也可以把传感器也应用到设备上，比如说设备外壳的带电的情况、外壳的温度都可以通过参数来判断目前这个设备所处的状态是否正常，是否需要检修。

以下是智慧电厂的终端安全，终端安全主要包括业务终端和运维终端，以及比如说操作人员站、工程师站等终端自身的安全。首先的终端的安全需要终端准入系统，确保符合企业的安全策略后，才能够切入智慧电厂的网络。首先要保证终端最小资源的管控，比如说重要的终端都只能安装一些符合智慧电厂要求的软件，不能安装不符合要求的软件。也有可能是云桌面，云桌面要对安装的软件进行管控，一些不必要的软件，是没有必要进行安装的。因为有一些不必要的软件，由于它的漏洞有可能会带来额外的风险，所以一些不必要的软件尽量不装，所以在终端上是最小的资源管控。

第二，终端要实现智能的运维，对终端的性能要进行监测告警，还有终端的操作系统和一些软件的漏洞补丁的分发，及时的发现漏洞及时进行修补。还有安全策略的分发，比如说口令的复杂度策略，登录失败的处理策略，以及密码的定期更换策略，这些策略都要进行统一的制定和分发。还有软件的远程的分发等等，为了保证能建的正版化，还有消除来历不明的软件，负责保证软件的统一的分发。

还有就是终端上的病毒防护，某些角度上说可以用可信计算来实现，确保登录系统的用户是可信的、系统运行的程序是可信的，还要防止非法用户、进程及已知或未知攻击，保证终端的安全。也可以安装防病毒软件，定期对终端进行病毒的查杀，防止终端携带病毒以后，病毒进入管理网络或生产网络。

接下来看一下智慧电厂的物联网组网。智慧电厂要实现物联网，就是一般传感器设备、智能网关、报警器等，通过基站、工业交换机通过网络的链接发送到服务器上，在服务器上分析处理，然后将处理后的结果发到手机app或能源物联网云平台，比如一些告警信息、存在风险或哪些设备需要检修、哪些终端遭受到入侵等等，或者一些线路可能出现过载的现象，都会在手机终端和电脑终端上进行相应的显示。显示出来以后，运维人员可以根据显示的结果，在智慧电厂相应的应急预案的指导下进行相应的处理。

接下来看智慧电厂的网络安全。在这里把网络安全分为以下的这些内容，首先是安全的管理包含安全的管理制度、规程、人员、机构，还有人员的安全意识的培养和人员的技能的培训。第二是网络安全防护的对象，防护对象主要是指智慧电厂中的网络设备、安全设备以及网络线路的安全，还有就是数据的安全，后面控制系统的安全等等，以及应用系统安全，比如管理大区里的应用系统以及生产大区的DCS等等应用系统的安全。第三是防护的目标，主要是保证数据的安全，一个是数据不会丢失，然后数据还要具有正常的可用性。再有是业务的安全。第四是防护的手段，防护手段主要有终端的防护、云安全，比如说智慧电厂中会使用到云平台，云平台自身的安全，以及云上的系统的安全，还有就是加密的验证、加密传输等等，还有单向的隔离的网站，实现区域之间的隔离，还有监测审计也是非常重要的，比如说态势感知、应急处置等等。最后是管理的改进，在智慧电厂中打通IT和OT的安全管理，做到统一的安全管理。

智慧电厂中的监测预警。监测预警主要是对智慧电厂中流量进行分析，流量分析主要为了实现全流量的分析、动态拓扑的呈现，还有就是在流量中会分析攻击的行为，如果发生了攻击的情况，会及时地进行告警，这是流量分析的作用。还有它会分析病毒活动的情况，如果发现病毒活动。也会在显示界面上进行告警。

接下来是智慧电厂的数据安全，数据安全主要分为数据的保密性，也就是数据加密。数据加密是指数据的传输过程中用来加密传输，保障数据不被窃取和篡改。第二个是数据的信息安全——数据的脱敏，保证在工厂侧的边缘计算的设备传到云端的时候，一些敏感数据是经过加工的、脱敏处以后的值。第三是数据备份，重要的是数据备份和数据恢复，恢复就是定期地对备份的数据进行测试，保证在发生故障的时候，比如说发生故障以后，要对这些数据利用备份的数据进行恢复，这时候就需要备份的数据是可用的。所以数据恢复功能实际上是对数据可用性定期进行测试。

最后是我们这边研究的智慧电厂安全风险感知系统。感知系统底层是智慧电厂的工控设备、网络设备及安全设备。除了设备之外会对监控视频的告警信息进行收集，包括人员定位信息、环境情况、线路情况、设备安全等信息，收集后放在数据采集层，通过Agent、流量探针以及日志采集器对数据进行过滤，出现了异常风险的数据和告警数据会进行向上传，输传输到数据存储层，在数据存储层面进行分析，主要是利用Hadoop大数据处理生态、ELK实时分析系统、SQL数据库、Redis缓存进行分析、存储和处理，处理完的数据放到微服务层进行一些规则的匹配、资产的管理、漏洞的管理和告警的管理，以及系统的管理。再往上是它的展示层，会展示出了安全运维中心、资产管理中心、安全风险感知中心和安全事件分析中心以及告警处置中心，对整个智慧电厂的安全状态做到心中有数，可以及时进行应急响应。

谢谢大家。本次演讲的内容到此结束。