華能集團生產控制系統(tǒng)安全監(jiān)管預警平臺 ——工業(yè)互聯(lián)網中的工控信息安全
北京天地和興科技有限公司成立于2007年，總部位于北京，是一家專注于工控行業(yè)信息安全測評、防護與技術服務的高新技術企業(yè)和雙軟認證企業(yè)；公司擁有先進的技術、成熟的市場拓展、優(yōu)質的系統(tǒng)集成和工程服務等核心競爭力，為企業(yè)客戶提供全方位一體化解決方案。通過在工控系統(tǒng)內多年的研發(fā)投入和積累，完全自主研發(fā)并推出包括工業(yè)防火墻、主機安全防護系統(tǒng)、工控安全審計平臺、工控威脅檢測系統(tǒng)、賬號管理及運維審計系統(tǒng)、工控入侵檢測系統(tǒng)以及工控安全監(jiān)管和分析平臺為一體的整體解決方案，在各發(fā)電集團獲得普遍認可，并推動了發(fā)電廠信息安全示范性工程及安全防護試點項目的開展。公司根據華能玉環(huán)電廠工控系統(tǒng)網絡安全的實際情況，結合發(fā)改委2014年第14號令、國家能源局2015年第36號文件、國能安全161號文、國家經貿委30號令等一系列相關政策和華能集團針對電廠工控系統(tǒng)安全防護的具體要求，制定針對性的項目技術路線。
一、項目概況-百萬機組的“難題”
華能玉環(huán)電廠是由華能國際電力股份有限公司開發(fā)、建設的全資電廠。電廠位于浙江省臺州市玉環(huán)縣大麥嶼開發(fā)區(qū)，華能玉環(huán)電廠是國家“863”計劃中引進超臨界機組技術，逐步實現(xiàn)國產化的國家重點依托工程。是全國第一個投產百萬千瓦超超臨界機組、第一座擁有四臺百萬千瓦機組的燃煤電廠。
1. 項目背景-頂層設計、整體布局
充分結合華能集團玉環(huán)電廠工控系統(tǒng)的實際情況，有針對性的制定具體解決方案：
（1）加強頂層設計，制定電力行業(yè)信息安全解決方案，完善電力行業(yè)信息安全管理標準制度，建立電力行業(yè)信息安全監(jiān)測、通報預警、應急處置、協(xié)同聯(lián)動機制，構建電力行業(yè)信息安全縱深聯(lián)動防御標準體系。
（2）建立電力行業(yè)統(tǒng)一信息安全基礎平臺，具體包括電力行業(yè)信息安全通信平臺和電子認證服務平臺。
（3）開展電力行業(yè)生產控制大區(qū)試點示范。
2. 項目簡介-多維度的安全體系
本項目采用三層分布式架構，由安全監(jiān)測層、區(qū)域管控層和全網分析層組成。安全監(jiān)測層包含流量監(jiān)測模塊、行為監(jiān)測模塊、威脅監(jiān)測模塊、主機監(jiān)測模塊和監(jiān)測數(shù)據存儲模塊，負責建立廠級電力工控系統(tǒng)信息安全縱深監(jiān)測體系，并完成各安全分區(qū)內安全數(shù)據的存儲轉發(fā)。
3. 項目目標-行業(yè)信息安全的防護之道
依據電力行業(yè)已發(fā)布的國家與行業(yè)標準規(guī)范，按照安全分區(qū)、網絡專用、橫向隔離、縱向認證、綜合防護對當前計算機監(jiān)控網絡進行安全升級，設計、建設玉環(huán)電廠工業(yè)控制系統(tǒng)網絡安全防護體系，并實現(xiàn)以下建設目標：
1. 提高電廠工業(yè)控制系統(tǒng)信息安全防護能力和管理水平。
在工控系統(tǒng)的主機層和網絡層進行安全加固、搭建監(jiān)測、審計、預警平臺，制定一套信息安全管理措施和標準，以有效抵御來自工控網絡內部、外部的病毒、入侵、滲透以及違規(guī)操作行為對工業(yè)控制系統(tǒng)造成破壞，防范信息安全事故的發(fā)生。
2. 滿足合規(guī)性要求
滿足能源局36號文等一系列政策中的要求，使電廠的工業(yè)控制系統(tǒng)安全防護措施達到各監(jiān)管部門對發(fā)電企業(yè)的要求。
3．集團戰(zhàn)略目標的契合
集團先后對各電廠開展了安全性評價標準查評及聘請專業(yè)機構對系統(tǒng)進行等級保護測評工作。
二、項目實施概況-用科技推動工業(yè)進步
本項目在工業(yè)互聯(lián)網體系架構的基礎上應用了基于工業(yè)控制系統(tǒng)的防護手段，構建了安全可控為目標、監(jiān)控審計為特征的電廠控制系統(tǒng)新一代主動防御體系，提高工業(yè)控制系統(tǒng)在于工業(yè)互聯(lián)網對接過程中的整體安全性。
1. 項目總體架構和主要內容-一體化的功能支撐
圖1 項目總體架構圖
1. 監(jiān)測模塊
監(jiān)測模塊可以實現(xiàn)對生產控制大區(qū)的工控系統(tǒng)和業(yè)務的安全狀態(tài)進行實時監(jiān)測和安全事件分析。
2. 預警模塊
預警模塊采用事件搜集及深度分析技術，從全局角度進行安全事件實時分析處理，為管理者提供網絡安全風險的實時告警；幫助決策者根據生產控制網絡的安全形勢，及時調整安全策略和有效部署安全措施；及時消除網絡系統(tǒng)中的安全隱患；實現(xiàn)可視化的網絡安全管理，幫助用戶實現(xiàn)網絡系統(tǒng)的持續(xù)安全運營。
3. 審計模塊
審計模塊對威脅進行閉環(huán)管理的過程，從全局角度進行安全事件實時分析處理；幫助管理者掌握網絡運行情況。
4. 平臺模塊
接入防護平臺部署與生產控制系統(tǒng)類型無關，不影響生產控制系統(tǒng)的安全性和可靠性。針對電力行業(yè)信息安全防護特點，采用并接、串接、信息擺渡等方式實現(xiàn)對生產控制系統(tǒng)的安全防護和審計，確保本地終端及遠程終端的安全接入。不影響系統(tǒng)控制系統(tǒng)的安全性和可靠性，不增加新的系統(tǒng)風險點。
2. 網絡互聯(lián)架構-基于工控網絡的獨立設計
在本項目中，網絡互聯(lián)技術負責的是能源信息安全數(shù)據的的識別、采集、分析、傳送、管理等方面，是實現(xiàn)多種信息內容合理調配的關鍵。在信息采集和處理方面，在基于電廠自身的信息采集與傳輸上，基于旁路的防暑部署數(shù)據采集節(jié)點，包含海量數(shù)據采集、預處理、存儲、分析等功能的大數(shù)據技術等。在設備與平臺方面，應用具有可產業(yè)化的、工業(yè)環(huán)境下的專業(yè)設備進行對整個信息平臺的建設。在通信安全、傳輸協(xié)議和標準方面，具備專業(yè)協(xié)議深度解析，支持工控協(xié)議包括Modbus/TCP，OPC，IEC104，DNP3， S7等，并可對協(xié)議數(shù)據包深度解析。
3. 數(shù)據架構和應用-特有的工控數(shù)據化管理
整個數(shù)據傳輸?shù)募軜嫹譃閿?shù)據傳輸層、數(shù)據處理層、數(shù)據分析層、應用服務層以及態(tài)勢展示層。
數(shù)據傳輸層負責數(shù)據傳輸。通過消息中間件將數(shù)據傳輸給中心平臺。
數(shù)據處理層通過分析引擎從消息中間件讀取數(shù)據后，進行數(shù)據解壓縮，數(shù)據解密等操作。
數(shù)據分析層內置多種分析引擎，包括：智能檢索引擎，關聯(lián)分析引擎，統(tǒng)計分析引擎，態(tài)勢展示引擎，報表引擎等。
應用服務層提供系統(tǒng)的基本功能，包括資產管理，配置管理，事件管理，風險管理，知識庫管理等。
態(tài)勢展示層通過可視化的頁面展示網絡態(tài)勢情況，通過3D地圖，熱力圖，雷達圖，平行坐標圖等多種可視化圖標展示網絡安全情況和態(tài)勢。
4. 安全及可靠性-三重防御多級互聯(lián)
本項目不僅僅是華能集團2016年工控信息安全防護改造試點（暨國家發(fā)改委工控信息安全改造示范項目），更是為發(fā)電企業(yè)的網絡安全防護做出了技術示范作用，優(yōu)化管理流程，切實保證了發(fā)電企業(yè)工業(yè)控制系統(tǒng)免受病毒、惡意代碼等威脅，保持安全穩(wěn)定運行的狀態(tài)。安全框架通過借鑒《信息安全技術 網絡安全等級保護安全設計要求 第五部分：工業(yè)控制安全要求》 “網絡三重防御多級互聯(lián)”的互聯(lián)技術框架。采用“一個中心、三重發(fā)現(xiàn)”的建設理念，其中包含：
1. 資產安全
確立以資產安全為核心的安全生產原則，保障資產按時按規(guī)定的正常運行和及時檢測出資產的異常行為，從而保護電力生產全過程的安全。
2. 空間域監(jiān)測
在空間域方面，借鑒了縱深防御的思想，形成一套縱深監(jiān)測架構，包括：邊界監(jiān)測、區(qū)域監(jiān)測、節(jié)點監(jiān)測、核心監(jiān)測、整體監(jiān)測五個方面。
3. 時間域監(jiān)測
在時間域方面，設計了評估、防護、偵測、響應、恢復、決策六大過程，通過持續(xù)實施六大過程監(jiān)測來積極響應工控網絡風險變化，促進工控網絡整體安全的螺旋式上升。
三、下一步實施計劃-打造可信工控環(huán)境、助力網絡強國
1. 工控信息安全框架(IFS)
加大更具有針對性的工業(yè)互聯(lián)網體系架構下的工控安全技術研發(fā)力度，貫徹落實習近平總書記419講話精神，搭理開展工業(yè)信息安全仿真測試、漏洞挖掘、攻防對抗等非對稱技術、前沿技術、顛覆性技術的攻關工作，研發(fā)自主可控且滿足工控系統(tǒng)特點的專用工控安全防護工具。持續(xù)推進工控信息安全框架(IFS)建設，提升工業(yè)控制系統(tǒng)在線監(jiān)測和數(shù)據分析能力，實現(xiàn)全天候全方位感知工業(yè)信息安全態(tài)勢。如圖2所示：
圖2 ISF框架
2. 深防護深感知
建立以工控協(xié)議深度（DPI）檢測能力為核心的工控系統(tǒng)網絡環(huán)境感知能力平臺。研發(fā)以可信、加固、抗惡意代碼為中心的工控節(jié)點安全產品方向和以預警、隔離、應急、追溯為中心的工控區(qū)域安全產品方向。
四、項目創(chuàng)新點和實施效果
（一）. 項目先進性及創(chuàng)新點-可復制的全系列生命周期應用案例
1.可以生產全系列的工控安全產品
? 提供全系列工控安全產品，可以滿足不同工控系統(tǒng)信息安全防護項目的需要。
? 工控安全產品覆蓋了整個生產監(jiān)控系統(tǒng)的核心部分。
2.工控安全產品性能達到國內領先水平
? 獨有的專利技術的全機柜一體化解決方案；松耦合的安全框架設計具有極好的設備兼容性；一體化安全產品管理機制。
? 配置簡單方便，無需部署管理集中部署；完全為工控網絡設計開發(fā)，非IT審計的修改。
? 獨有的專利技術雙因子認證；白名單采用高效的hash檢索算法，檢索時間小于4微秒；白名單深入系統(tǒng)內核，包括U盤、動態(tài)鏈接庫、命令行等。
? 采用工業(yè)級無風扇設計，配置簡單方便；支持工業(yè)控制協(xié)議識別。
3. 先進的管理體系
? ISO14001900127001管理體系、信息安全服務資質（信息安全風險評估三級）
4.持續(xù)的先進技術支持
? 武漢建立工控信息安全產品研發(fā)中心。
? 完善的售后服務系統(tǒng)
? 與工業(yè)界、學術界、科學院校、培訓機構的廣泛合作
5.創(chuàng)新關鍵技術
? Windows系統(tǒng)調用攔截技術
? 多源異構現(xiàn)場設備環(huán)境感知技術
（二）實施效果-為用戶考慮的智能安全
通過采用一整套的工控系統(tǒng)信息安全解決方案，以建立縱深防御策略為主要思想，主要達到了如下效果：
1.入侵檢測：
對緩沖區(qū)溢出、SQL 注入、DoS 攻擊、蠕蟲病毒、木馬后門等各類黑客攻擊和惡意流量進行實時檢測及報警，并通過與防火墻聯(lián)動、安全中心顯示、日志數(shù)據庫記錄等方式進行動態(tài)防御。
2.深度檢查：
面向應用層對特有的工業(yè)通訊協(xié)議進行內容深度檢查，告別病毒庫升級缺陷；
3.通信管控：
對數(shù)據流量進行管控，通過端口、地址、協(xié)議等方式對數(shù)據流量進行篩選，保證流量合法性。
4.實時報警：
所有部署的安全設備都能由管理平臺進行實時監(jiān)控，任何非法的訪問，都會在管理平臺產生實時報警信息，從而故障問題會在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決。
5.主機防護：
安裝了主機防護的電腦在面對自身與外界的安全威脅有了更深的防護級別，深度執(zhí)行白名單數(shù)據庫的數(shù)據運行。
6.流量審計：
完善的安全審計平臺，對網絡運行日志、操作系統(tǒng)運行日志、安全設施運行日志等進行集中收集、自動分析，及時發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。
7.操作行為的監(jiān)控與審計：
依靠主機防護軟件的主機審計和工控安全審計系統(tǒng)的網絡審計對整個電力生產監(jiān)控系統(tǒng)進行操作行為的監(jiān)控與審計，記錄操作行為，便于事件追溯。
聲明
本報告所載的材料和信息，包括但不限于文本、圖片、數(shù)據、觀點、建議，不構成法律建議，也不應替代律師意見。本報告所有材料或內容的知識產權歸工業(yè)互聯(lián)網產業(yè)聯(lián)盟所有（注明是引自其他方的內容除外），并受法律保護。如需轉載，需聯(lián)系本聯(lián)盟并獲得授權許可。未經授權許可，任何人不得將報告的全部或部分內容以發(fā)布、轉載、匯編、轉讓、出售等方式使用，不得將報告的全部或部分內容通過網絡方式傳播，不得在任何公開場合使用報告內相關描述及相關數(shù)據圖表。違反上述聲明者，本聯(lián)盟將追究其相關法律責任。
AII微信公眾號
AII頭條號