本文來自微信公眾號(hào)“網(wǎng)絡(luò)安全和信息化”，作者：山東電力工程咨詢?cè)河邢薰旧蹠F、趙亮宇、侯偉珍。
在國家提出加快數(shù)字化發(fā)展、建設(shè)數(shù)字中國的大環(huán)境下，發(fā)電領(lǐng)域也在不斷探索和加速數(shù)字化、智慧化建設(shè)進(jìn)程，各電力集團(tuán)紛紛開展智慧電廠建設(shè)試點(diǎn)與示范。智慧電廠的特點(diǎn)是建設(shè)企業(yè)數(shù)據(jù)中心，整合監(jiān)控信息系統(tǒng)（SIS）、管理信息系統(tǒng)（MIS）、視頻監(jiān)視、門禁管理、周界防范等電廠傳統(tǒng)的信息系統(tǒng)，實(shí)現(xiàn)各系統(tǒng)間信息共享，同時(shí)應(yīng)用“云、大、物、移、智”等先進(jìn)技術(shù)，實(shí)現(xiàn)從感知識(shí)別、建模分析、決策優(yōu)化到控制執(zhí)行的數(shù)據(jù)優(yōu)化閉環(huán)，打通底層數(shù)據(jù)到上層應(yīng)用的實(shí)時(shí)通道，消除數(shù)據(jù)孤島。
智慧電廠系統(tǒng)承載了全廠的數(shù)據(jù)和業(yè)務(wù)，關(guān)系電廠生產(chǎn)、經(jīng)營、設(shè)備、物資、安健環(huán)等各個(gè)環(huán)節(jié)，為保障電廠業(yè)務(wù)生產(chǎn)安全、建設(shè)好智慧電廠系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)提供了基礎(chǔ)支撐。
傳統(tǒng)發(fā)電廠網(wǎng)絡(luò)安全防護(hù)體系
電力監(jiān)控系統(tǒng)安全防護(hù)主要遵循國家能源局發(fā)布的《關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評(píng)估規(guī)范的通知》。發(fā)電廠電力監(jiān)控系統(tǒng)安全防護(hù)依據(jù)《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案》及《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護(hù)技術(shù)規(guī)范》（DL/T 2202—2020），以“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證、綜合防護(hù)”為基本原則，重點(diǎn)強(qiáng)化邊界防護(hù)，同時(shí)加強(qiáng)內(nèi)部的物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)安全。
1.安全分區(qū)
發(fā)電廠安全分區(qū)按業(yè)務(wù)功能劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)又劃分為控制區(qū)（安全區(qū)I）和非控制區(qū)（安全區(qū)II）。對(duì)于火電廠來說，機(jī)組及輔助車間控制系統(tǒng)、廠級(jí)SIS的監(jiān)控功能，以及保護(hù)、測控與調(diào)度發(fā)電廠電氣設(shè)備與發(fā)電機(jī)的電氣二次系統(tǒng)屬于控制區(qū)；廠級(jí)SIS的優(yōu)化功能、電能量采集裝置、電力市場報(bào)價(jià)終端、故障錄波裝置及信息管理終端等屬于非控制區(qū)；廠級(jí)SIS的管理功能、報(bào)價(jià)輔助決策系統(tǒng)、視頻監(jiān)視系統(tǒng)、視頻會(huì)議系統(tǒng)、門禁管理系統(tǒng)、檢修管理系統(tǒng)和MIS等屬于管理信息大區(qū)。
2.網(wǎng)絡(luò)專用
發(fā)電廠端的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)在專用通道上，使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實(shí)現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離，并劃分為邏輯隔離的實(shí)時(shí)子網(wǎng)和非實(shí)時(shí)子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。
3.橫向隔離
生產(chǎn)控制大區(qū)與管理信息大區(qū)之間部署經(jīng)國家指定部門檢測認(rèn)證的電力專用橫向單向安全隔離裝置?？刂茀^(qū)與非控制區(qū)之間采用具有訪問控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者與之相當(dāng)功能的設(shè)備，以實(shí)現(xiàn)邏輯隔離。同一安全分區(qū)內(nèi)的各系統(tǒng)之間，根據(jù)需要可采取一定強(qiáng)度的邏輯訪問控制措施，如防火墻、VLAN等。在安全接入?yún)^(qū)與生產(chǎn)控制大區(qū)其他部分的連接處，設(shè)置經(jīng)國家指定部門檢測認(rèn)證的電力專用橫向安全隔離裝置（包括正向隔離裝置和反向隔離裝置）。管理信息大區(qū)與外部網(wǎng)絡(luò)之間采取防火墻、VPN和租用專線等方式，保障邊界與數(shù)據(jù)傳輸?shù)陌踩?/p>
4.縱向認(rèn)證
火電廠生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處設(shè)置經(jīng)過國家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置，以實(shí)現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制。
5.綜合防護(hù)
結(jié)合網(wǎng)絡(luò)安全等級(jí)保護(hù)制度相關(guān)要求，火電廠應(yīng)建設(shè)一套完整的從上位機(jī)、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計(jì)到備份及容災(zāi)等多個(gè)層面的綜合性網(wǎng)絡(luò)安全防護(hù)體系。該體系主要包括入侵檢測、主機(jī)與網(wǎng)絡(luò)設(shè)備加固、用戶數(shù)字證書身份認(rèn)證、可信驗(yàn)證、安全審計(jì)、防惡意代碼、數(shù)據(jù)完整性校驗(yàn)、數(shù)據(jù)加密、關(guān)鍵業(yè)務(wù)數(shù)據(jù)定期備份、關(guān)鍵設(shè)備或部件冗余配置、專用安全產(chǎn)品的保密管理等安全措施。
智慧電廠網(wǎng)絡(luò)安全防護(hù)體系
智慧電廠是將云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)、人工智能等現(xiàn)代計(jì)算機(jī)、信息技術(shù)與傳統(tǒng)發(fā)電技術(shù)進(jìn)行深度融合應(yīng)用，實(shí)現(xiàn)IT和OT（運(yùn)營技術(shù)）的融合。云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)等先進(jìn)IT技術(shù)的加入，給電廠監(jiān)控系統(tǒng)和信息系統(tǒng)網(wǎng)絡(luò)安全帶來新的風(fēng)險(xiǎn)與挑戰(zhàn)。
1.基本原則
智慧電廠系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)基本原則與傳統(tǒng)發(fā)電廠相同，須遵循“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證、綜合防護(hù)”的總體原則，重點(diǎn)強(qiáng)化邊界防護(hù)，同時(shí)加強(qiáng)內(nèi)部的物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)安全。
2.與傳統(tǒng)發(fā)電廠網(wǎng)絡(luò)安全防護(hù)的主要區(qū)別
智慧電廠系統(tǒng)與傳統(tǒng)發(fā)電廠的網(wǎng)絡(luò)安全防護(hù)的區(qū)別，主要是兩者在網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用的信息技術(shù)、建設(shè)的應(yīng)用功能等內(nèi)容的不同，主要體現(xiàn)在以下六個(gè)方面。
（1）安全分區(qū)
安全分區(qū)變化主要是由電廠網(wǎng)絡(luò)結(jié)構(gòu)變化引起的。常規(guī)電廠全廠自動(dòng)化系統(tǒng)及其計(jì)算機(jī)網(wǎng)絡(luò)為“DCS→SIS→MIS”三層網(wǎng)絡(luò)結(jié)構(gòu)。智慧電廠提出“ICS→IMS”兩層網(wǎng)絡(luò)結(jié)構(gòu)，取消了SIS網(wǎng)絡(luò)層，SIS的功能拆分在ICS和IMS中進(jìn)行建設(shè)。ICS屬于生產(chǎn)控制大區(qū)中的控制區(qū)（安全區(qū)I），IMS屬于管理信息大區(qū)，生產(chǎn)控制大區(qū)中的非控制區(qū)（安全區(qū)II）不再存在。
ICS與IMS兩層網(wǎng)絡(luò)之間設(shè)置經(jīng)國家指定部門檢測認(rèn)證的電力專用橫向單向安全隔離裝置，只允許ICS側(cè)向IMS側(cè)發(fā)起連接并發(fā)送數(shù)據(jù)，不允許IMS側(cè)向ICS側(cè)回傳數(shù)據(jù)。
（2）平臺(tái)安全
一體化管控平臺(tái)是智慧電廠中集采集、分析、存儲(chǔ)、計(jì)算、管理、展示和決策于一體的數(shù)據(jù)和運(yùn)算平臺(tái)，具有融合硬件資源、規(guī)范基礎(chǔ)編碼、集成匯聚數(shù)據(jù)、統(tǒng)籌算力支持、集中部署應(yīng)用、統(tǒng)一展示輸出、集中運(yùn)維保障的作用。因此，確保其安全可靠至關(guān)重要。
①平臺(tái)內(nèi)建性安全。云基礎(chǔ)設(shè)施作為智慧電廠集中承載核心業(yè)務(wù)的底層平臺(tái)，因廣泛采用超融合、云計(jì)算等技術(shù)，其安全防護(hù)體系有別于傳統(tǒng)服務(wù)器使用過多物理硬件進(jìn)行防御，而是充分基于超融合的技術(shù)特點(diǎn)，使用虛擬化安全組件、內(nèi)建安全能力等搭建云化防御體系。云平臺(tái)安全建設(shè)應(yīng)從攻擊可能發(fā)生的路徑出發(fā)，重點(diǎn)考慮：對(duì)訪問云平臺(tái)管理控制臺(tái)的Web端口的防御體系；對(duì)訪問云平臺(tái)所承載業(yè)務(wù)的防御體系；對(duì)超融合底層操作系統(tǒng)的防御機(jī)制；兜底數(shù)據(jù)保護(hù)機(jī)制。
②平臺(tái)接入安全。集成零信任技術(shù)與云桌面技術(shù)建設(shè)安全工作平臺(tái)，為系統(tǒng)訪問提供全流程安全準(zhǔn)入校驗(yàn)機(jī)制與安全訪問操作空間，對(duì)智慧電廠系統(tǒng)的任何訪問與操作，均需經(jīng)零信任鑒權(quán)并代理訪問至基于云桌面技術(shù)的安全訪問操作空間，確保數(shù)據(jù)不落地。零信任訪問控制系統(tǒng)通過服務(wù)隱身、動(dòng)態(tài)自適應(yīng)認(rèn)證、全周期終端環(huán)境檢測、動(dòng)態(tài)業(yè)務(wù)準(zhǔn)入、動(dòng)態(tài)訪問控制、多源信任評(píng)估等核心能力，建立流量身份化、權(quán)限智能化、訪問控制動(dòng)態(tài)化、運(yùn)維管理極簡化的安全訪問機(jī)制。云桌面安全防護(hù)是在接入層部署虛擬化平臺(tái)安全防護(hù)系統(tǒng)，通過個(gè)人盤加密、策略防火墻等，提供平臺(tái)安全防護(hù)和數(shù)據(jù)安全防護(hù)。
（3）無線網(wǎng)絡(luò)安全
智慧電廠需要建設(shè)無線網(wǎng)絡(luò)來支撐巡檢機(jī)器人或無人機(jī)、智能巡檢儀、智能安全帽等智能設(shè)備的無線數(shù)據(jù)通信。智慧電廠網(wǎng)絡(luò)安全防護(hù)體系應(yīng)考慮針對(duì)無線網(wǎng)絡(luò)的安全防護(hù)措施，用以防御針對(duì)無線網(wǎng)絡(luò)的信息截獲與監(jiān)聽，利用無線系統(tǒng)漏洞的非法入侵，針對(duì)無線網(wǎng)絡(luò)發(fā)起的DoS攻擊或針對(duì)不完善的身份校驗(yàn)機(jī)制發(fā)起的爆破攻擊等，應(yīng)從入網(wǎng)設(shè)備識(shí)別、無線網(wǎng)絡(luò)準(zhǔn)入校驗(yàn)、無線接入設(shè)備訪問權(quán)限管控、流量管控等角度入手，搭建完整的無線網(wǎng)絡(luò)安全防護(hù)體系。
另外，隨著5G無線網(wǎng)絡(luò)在智慧電廠中的推廣應(yīng)用，圍繞5G無線網(wǎng)絡(luò)接入的安全也應(yīng)加以考慮。大部分5G網(wǎng)絡(luò)安全能力由5G設(shè)備供應(yīng)商、運(yùn)營商以及5G技術(shù)本身提供。智慧電廠側(cè)需要考慮的主要是5G設(shè)備的準(zhǔn)入機(jī)制、身份校驗(yàn)機(jī)制等，與普通無線接入安全基本一致。
（4）物聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)是智慧電廠實(shí)現(xiàn)智能感知和智能執(zhí)行的重要手段。智慧電廠網(wǎng)絡(luò)安全防護(hù)體系應(yīng)考慮針對(duì)物聯(lián)網(wǎng)的安全防護(hù)措施，主要從物聯(lián)網(wǎng)資產(chǎn)管理、物聯(lián)網(wǎng)設(shè)備脆弱性識(shí)別、物聯(lián)網(wǎng)訪問控制等方面入手搭建，如下所述。
①基于智慧電廠整體安全防御體系，構(gòu)建具備聯(lián)動(dòng)管理、聯(lián)動(dòng)處置的物聯(lián)網(wǎng)安全防御分支。
②在資產(chǎn)管理方面，應(yīng)避免傳統(tǒng)IT資產(chǎn)與物聯(lián)網(wǎng)資產(chǎn)的割裂，構(gòu)建針對(duì)IT、OT、IoT混合資產(chǎn)的一體化指紋信息庫。
③建立IoT設(shè)備的準(zhǔn)入管理機(jī)制，從合規(guī)性維度、業(yè)務(wù)安全維度等進(jìn)行準(zhǔn)入管理，重點(diǎn)考慮“白名單”管理方式，以保障生產(chǎn)。
④監(jiān)控感知層設(shè)備流量狀態(tài)，避免對(duì)設(shè)備及通過設(shè)備發(fā)起的安全攻擊，確保通信鏈路安全。
⑤建立針對(duì)視頻監(jiān)控協(xié)議、工控協(xié)議的管理或?qū)徲?jì)能力。
⑥建立針對(duì)工控、非工控的整體漏洞攻擊特征庫，及時(shí)挖掘和封堵漏洞。
⑦采用數(shù)據(jù)簽名、時(shí)間戳等安全機(jī)制，保證數(shù)據(jù)的完整性和新鮮性，防止針對(duì)設(shè)備的重放攻擊以及對(duì)數(shù)據(jù)的篡改。
⑧針對(duì)物聯(lián)網(wǎng)，可采取輕量級(jí)安全認(rèn)證技術(shù)，將身份認(rèn)證與數(shù)據(jù)保護(hù)融合在一起，提供融身份認(rèn)證、數(shù)據(jù)機(jī)密性、數(shù)據(jù)完整性、數(shù)據(jù)新鮮性于一體的輕量級(jí)數(shù)據(jù)傳輸協(xié)議。
（5）移動(dòng)互聯(lián)安全
智慧電廠包含眾多移動(dòng)互聯(lián)應(yīng)用。智慧電廠網(wǎng)絡(luò)安全防護(hù)體系應(yīng)考慮針對(duì)移動(dòng)互聯(lián)的安全防護(hù)措施，主要包括：防御手段兼容各類環(huán)境下的移動(dòng)終端，重點(diǎn)考慮如Android、iOS、國產(chǎn)化終端等；具備諸如應(yīng)用封裝等能夠?qū)踩芰χ苯蛹芍烈苿?dòng)互聯(lián)應(yīng)用中的能力；具備完善的身份校驗(yàn)機(jī)制，以保障移動(dòng)接入安全；建立動(dòng)態(tài)訪問控制體系，從終端環(huán)境、人員身份等方面進(jìn)行動(dòng)態(tài)管控，以對(duì)抗移動(dòng)端復(fù)雜性帶來的安全風(fēng)險(xiǎn)；建立廠內(nèi)應(yīng)用與個(gè)人空間的隔離機(jī)制，包括但不限于內(nèi)容分享控制、數(shù)據(jù)拷貝控制、截屏防護(hù)、應(yīng)用水印等；增強(qiáng)數(shù)據(jù)傳輸、存儲(chǔ)及其防泄漏安全措施，加強(qiáng)個(gè)人信息保護(hù)，在應(yīng)用傳輸方面，應(yīng)具備加密傳輸能力，避免竊聽攻擊。
（6）數(shù)據(jù)安全
智慧電廠力圖將傳統(tǒng)火電廠中獨(dú)立、分散的系統(tǒng)整合起來，在各系統(tǒng)的對(duì)接過程中，應(yīng)圍繞數(shù)據(jù)處理活動(dòng)保護(hù)數(shù)據(jù)安全，搭建基于數(shù)據(jù)訪問流的統(tǒng)一數(shù)據(jù)安全集成防護(hù)體系，結(jié)合基于屬性的數(shù)據(jù)主客體訪問控制和全鏈路數(shù)據(jù)安全風(fēng)險(xiǎn)檢測，讓智慧電廠系統(tǒng)間的數(shù)據(jù)能夠安全共享。因此，應(yīng)重點(diǎn)考慮以下方面。
建立以數(shù)據(jù)資產(chǎn)為中心的管控體系，依托元數(shù)據(jù)，實(shí)現(xiàn)全域數(shù)據(jù)分級(jí)保護(hù)；建立統(tǒng)一承載訪問控制、脫敏、水印、監(jiān)審等組件式數(shù)據(jù)安全能力的平臺(tái)，解決安全碎片化問題；融合業(yè)務(wù)和風(fēng)險(xiǎn)屬性，在數(shù)據(jù)訪問流動(dòng)中進(jìn)行集中監(jiān)測管控。
結(jié)語
智慧電廠建設(shè)是電力行業(yè)發(fā)展的必然趨勢，其網(wǎng)絡(luò)安全防護(hù)體系建設(shè)，應(yīng)在傳統(tǒng)發(fā)電廠網(wǎng)絡(luò)安全防護(hù)體系基礎(chǔ)上，結(jié)合智慧電廠的網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)、建設(shè)內(nèi)容及新技術(shù)應(yīng)用，采取針對(duì)性的安全防護(hù)措施，構(gòu)建滿足智慧電廠信息安全、功能安全和物理安全需求的網(wǎng)絡(luò)安全防護(hù)體系，確保智慧電廠安全可靠運(yùn)行，減少由于網(wǎng)絡(luò)安全造成的損失。
來源：《網(wǎng)絡(luò)安全和信息化》雜志
作者：山東電力工程咨詢?cè)河邢薰旧蹠F趙亮宇侯偉珍
