火电厂热控系统网络安全建设探讨赵小平--中国期刊网

字体：大中小

首页> 原创作品> 正文

火电厂热控系统网络安全建设探讨赵小平

发表时间：2020/6/29 来源：《电力设备》2020年第5期作者：赵小平

[导读] 摘要：近年来发生的多起工控网络安全事件，既有来自外部的恶意入侵，也有来自内部的权限滥用

        （大唐珲春发电厂吉林珲春 133303）
        摘要：近年来发生的多起工控网络安全事件，既有来自外部的恶意入侵，也有来自内部的权限滥用。虽然电厂根据国家能源局国能安全[2015]36号文件要求实施了一系列安全措施，强化了电厂网络边界的安全防护，满足了合规性要求，但在电厂工控系统内部网络，信息安全现状仍不容乐观。
        关键词：火电厂；热控系统；网络安全；安全建设
        1火电厂热控自动化系统分析
        保障火力发电厂的系统安全运行，这就需要有先进的技术作为支撑，将热控保护技术加以科学化运用，这就能为保障系统的安全可靠运行有着积极作用。热控保护技术应用能降低热量造成电网设备故障的问题发生率，以及能对发电机组薄弱环节有效保护，相关工作人员做好发电系统检查工作，发现供电系统问题及时解决，在完善的热控保护技术制度的保障下，就能解决好系统故障造成的损失问题。
        1.1分散控制系统
        分布式控制系统（也称为DCS）由现场流程控制接口、通信接口、操作接口和开发维护接口组成，使您能够集中显示任务，并分布式控制单个接口。通过发电厂的通信网络连接每个接口，构建了功能相对复杂的过程控制系统。分布式控制系统是一种单独控制每个部分模块的部分的设备，相对灵活、可靠，并提高了系统的灵活性和可靠性。
        1.2辅助控制系统
        辅助控制系统是科技发展下的电力系统人机结合控制系统之一，这一系统实现了无人控制状态。其原理是利用变成控制器来实现对自动控制指令的控制，并利用数据交换机以及其他数据接口等辅助设备来完成控制过程，提高系统运行安全。目前该系统已经可以采用综合数据传输模式。辅助控制吸引采用以中央集成控制为主的无人控制模式，大大提高了电力热控系统的运行效率，并且确保了其安全。
        1.3视频网络监控系统
        视频网络监控系统由摄像头、传输、控制、显示和记录5部分组成，高清摄像机收集发电站设备的运行以及工作人员的工作视频图像和语音信息，通过网线将视频图像传输到计算机主机，计算机将视频信号分配到各个显示器和视频设备。计算机主机和工作人员可以通过ptz控制相机的方向和执行缩放操作，从而实现主机控制多路复用。视频网络监控系统的视频处理模式也可以同时使用，执行输入、播放、保存等功能，发电厂出现异常情况时，通过录像回放可以找出故障原因。视频网络监控系统实现了电站无人值守运行的重要前提，可减少电站热控自动化系统运行障碍
        2火电厂热控系统网络安全防护存在的主要问题
        虽然《电力监控系统安全防护总体方案》中包含了发电、变电、配电、调度等多个环节，也将整个电力监控系统按照生产控制和管理信息两个大区分类，但该防护方案更多的只是通过简单的安全隔离装置、加密认证、防火墙等防护手段或方法加以边界性的防范，属于网络安全和信息安全防护的范畴，并未真正体现工控系统安全的核心(如本质安全、功能安全)。针对复杂的火力发电自动化领域，将功能安全纳入工控安全范畴，并考虑功能安全与网络安全、信息安全的融合至关重要。在信息安全防护方面，目前火电厂热控系统中的各种服务器及操作员站，尤其是安全仪表系统(safetyinstrumentsystem，SIS)接口机之类的热控边缘服务器，缺乏技术手段保证专机专用，更缺乏注册表防护措施。另外，火电厂热控系统里面的各种服务器及操作员站，虽然在制度上限制使用U盘等拷贝工具，但是并不能真正杜绝USB接入的安全隐患。火电厂热控系统中无控制网访问行为和流量日志审计措施，并且其热控系统缺乏对各类数据包(包括工业协议和TCP/IP协议)进行快速、有针对性的捕获与深度解析的措施。一旦出现网络故障及异常现象，将无法进行有针对性的定位和攻击路径分析，无法对已检测到的相关潜在安全威胁进行深度分析和定位。火电厂热控系统中缺乏工控协议实时、精准识别的防护措施(如OPC协议只读，Modbus协议读、写等)。
        3火电厂热控系统网络安全建设
        3.1网络威胁检测和安全审计平台
        为了更进一步提高控制系统信息安全防护水平，需要在电厂主机DCS、水、煤、灰等各个安全隔离域合理部署热控系统内部网络威胁检测和安全审计平台，该平台能采集安全隔离区内的所有网络流量，并对这些流量进行基于应用层的快速分析，发现网络中的各种行为，包括正常的关键行为、异常行为、恶意攻击行为等。工控安全审计平台对热控系统网络流量实时采集及在线分析的关键技术是对网络协议的深度检测和分析。由于电厂DCS大多采用专用通信协议，因此需要安全厂商、工控厂商和电厂密切合作，才能建立起真正有效的工控系统的协议库、行为库和漏洞库。图1为某1000MW机组安装的工控威胁检测和审计平台现场测试记录，由图1可见，该审计平台能够识别DCS通信报文的操作指令和报文内容。

        图1某电厂工控威胁检测和审计平台现场测试记录
        3.2热控系统内部网络安全管控
        与管理信息系统网络相比，电厂热控系统网络无论从规模、结构、流量和使用人员均相对简单，如果没有完备的网络准入控制平台，也可以采用现有网管软件，结合各类基于白名单的工控卫士软件，通过规范管理，也可以管控热控系统网络，建立起安全的热控系统网络体系。利用网管软件，可以实现热控系统网络拓扑可视化及防止网络私接。为此，首先根据最优安全隔离域划分好VLAN，做好MAC地址绑定，关闭交换机上的空闲端口。如果电厂网络管理水平较高，也可以做好交换机的访问控制，关闭无关的应用端口，并将IP-MAC-用户名三者绑定，杜绝IP冲突的情况。在热控系统服务器和操作员站等主机上部署工控白名单软件，只允许经过许可的应用软件和进程运行，阻止一切白名单外的应用和进程执行，阻止恶意代码执行和非法外联。同时，白名单软件也能让管理员能够拒绝存在高风险的特定设备，如禁止移动硬盘或其他USB设备接入系统等。随着工控安全技术的成熟，也可以在电厂部署热控网络安全管控平台，实现全方位的准入控制，甚至和网络设备、安全设备的联动控制，完成对非合规设备自动隔离及告警等，提升热控网络预警及恢复能力。
        3.3强化系统被动防护机制
        对火力发电厂生产控制网络关键节点和边界采取必要的访问控制措施，以达到安全防护的目的。采用“固”、“隔”、“监”的策略，对系统环境进行安全过滤，包括划分不同级别的安全区域、采用物理和环境安全防护措施、部署边界安全防护设备、设置远程访问控制策略及安装主机安全防护软件等。引入纵深防御理念是目前业内广泛接受的工控系统信息安全解决方案之一。工控系统的纵深防御是指在非安全区与安全区之间设置多层次的保护措施。由于火力发电厂工控系统的网络层次分明，纵深防御理念非常适用于该领域的工控系统
        3.4确保安全质量评估的严密性
        在火电厂内，评测热控系统的运行质量与可靠性，意义非凡，毕竟其直接决定今后电厂在市场中的竞争优势，以及能赢得多少的经济与社会效益。虽说我国已然在运行设备的评估、检测、监督等方面加大控制力度，不过最终换取的成效却不是非常可观，具体原因则是既有的评估标准存在漏洞且容易导致实操活动的脱节，到头来不利于系统安全质量评估工作的顺利进展。今后要做的，便是将安全、质量检验的重点放置在评估报告体系健全上，争取时刻考虑到实际，令提高热控系统运行的安全、可靠性，真正成为一项长足有效的发展战略
        4结束语
        为了提高电厂热控系统网络的安全防护能力，满足国家安全规范的要求，做到投运前安全监测，运行中异常监测，运维过程安全管控，基于行为的安全防护，每个电厂应根据人员和设备的实际情况，建设完善的热控系统网络安全体系，保证电厂安全可靠运行。
        参考文献
        [1]刘盈.工业信息安全主动安全防护体系研究与应用[J].自动化博览,2018(4):58-61.
        [2]孟强.大型火力发电厂工控系统安全防护体系研究[J].今日科技,2018(6):56-58.