欢迎您访问国际能源网!
客服热线:400-8256-198 | 会员服务 | 广告服务 |

国际新能源网

新能源行业专业门户网站
您当前的位置: 新能源网 » 风力发电 » 风电运维 » 正文

被动攻击or主动防御 风电工控安全需要一剂良药

国际新能源网  来源:匡恩网络  作者:冯坤  日期:2016-07-29

经过十余年的长足发展,2016年中国风电并网装机超过1亿千瓦,居全球首位,风电累计装机占全球装机比例已达25.9%。风电的蓬勃发展不仅担起了中国绿色清洁能源的大梁,更催生了中国风电产业链的繁荣发展。 预计“十三五”期间,风电发展规模将同比2015年增长一倍。

随着我国风电信息化建设和工业控制系统建设进程的提速,风电工业控制系统网络安全建设正当时。目前,我国风电工业控制系统及设备的安全保护水平偏低,存在着各类网络安全风险和工业漏洞,一旦遭不法人员和组织的非法操作或非法入侵,极有可能造成机密数据泄露,甚至系统被恶意控制等问题。

针对电力工业控制系统面临的风险和挑战,以及风电场的潜在需求,匡恩网络提出了“4+1”的工控安全战略,以“结构安全性、本体安全性、行为安全性、基因安全性+时间持续性安全”为核心理念,以全生命周期解决方案为实施准则,构建风电行业工控安全产品和服务体系,为电力工控系统网络安全保驾护航。

风险分析

电力行业是国家关键基础设施,控制系统网络安全关系国计民生,关系国家利益、社会稳定及广大人民群众的生活生产。纵观风电行业控制系统,面临如下网络安全风险:

风电场部分安全区域之间未采取逻辑隔离,这将导致增大了生产大区内出现的潜在风险及容易遭受内外部(主动、被动)攻击可能。

风电场部分系统针对系统漏洞未实施有效的措施,这将导致系统存在大量安全漏洞,使攻击者在未授权的情况下访问或破坏系统。

操作员站和工程师站的USB口,服务器USB口和交换机闲置网口,仅从制度上要求禁止随意接入,实际缺乏技术上的防护措施,由管理漏洞导致的存储介质交叉使用,将导致数据泄露和病毒感染。

部分网络中缺少针对工业控制系统的安全审计功能,无法实现对工业控制网络异常流量进行监控与审计;未对工控系统帐户进行定期审计,且缺乏对违规操作、越权访问行为审计能力。

通过设备后门进行的远程维护服务,一旦攻击者控制了一台主机,则可能控制整个生产控制大区。

“4+1”全生命周期解决方案

由于风电场工业控制系统包含多个不同功能的子系统,每个系统按业务需求、操作流程、实现的功能以及对自动化生产和人员安全的影响程度各不相同,因此需要从结构上划分不同的区域和层次,并根据区域内系统的业务特点和影响程度,采取有针对性的安全防护措施,如通过隔离、过滤、认证、加密等措施实现有效的边界防护,风电场网络结构安全遵照“安全分区、网络专用、横向隔离、纵向认证”十六字方针的基本原则等。针对电力工业控制系统面临的风险和挑战,以及风电场的潜在需求,匡恩网络提出了“4+1”全生命周期解决方案。

结构安全防护

电力企业工控系统经过安全域划分之后,按照一定的安全防护策略,根据各个区域的安全需求、防护重点,因地制宜的实施访问控制、资源管理、监测监控、身份认证等相应的技术和产品,最终实现安全、完整的电力企业工控网络安全防护体系。

通过对电力行业工控网络涉及内容和范围的了解,重点解决生产网络与边界的安全防护与访问控制,增强各区域网络的访问管理与控制力度,合理分离管理信息系统和生产控制系统的数据交互,增强生产控制系统内部的安全防护,力争实现以下目标:

实现集团管理层到电力企业管理层之间生产和信息数据的安全访问;

实现生产控制区和管理决策区之间的严格隔离,避免管理信息系统和生产控制系统之间的负面影响;

实现现场监控层不同系统之间的逻辑隔离,避免某一个系统将安全问题引入其他子系统。

1.webp

风电工控网络边界防护示意图

本体安全防护

本体安全防护主要在风电场及集控中心的风机监控系统的上位机(工程师站、操作员站)和服务器部署工控卫士和优宝UBO进行主机防护,以白名单的技术方式监控工控主机的进程状态、网络端口状态、USB 端口状态,全方位地保护主机的资源使用。根据白名单的配置,主机防护软件会禁止非法进程的运行,禁止非法网络端口的打开与服务,禁止非法USB 设备的接入,从而切断病毒和木马的传播与破坏路径,保证上位机正常指令的顺利下发和生产相关的业务与进程的正常执行。

2.webp

风电场主机防护部署示意图

国际能源网微信公众号二维码
 
搜索更多能源资讯