English日本語
媒介：
火电在保险中国电力安全不变供给中阐扬着兜底保供、矫捷调节的作用 ，是当前中国电力系统的“顶梁柱”和“压舱石” ，其网络安全建设不容幼觑。本文以某火电厂现实安全情况为例 ，凭据“安全分区 ，网络专用 ，横向隔离 ，纵向认证”的电力防护总体准则 ，提出了针对性、系统性的安全防护建设措施 ，进一步加强该电厂网络安全整体防护能力 ，降低工控网络被渗入攻击风险。
火力发电是我国重要的发电方式 ，其发电量超过全国总体发电量的70%。但由于大部门火电厂组网功夫较早 ，系统设备老旧、安全治理不规范等问题较为普遍 ，导致其网络环境存在很大的安全隐患。
安全隐患一 设备管控不规范 露出面大且复杂
节造系统中对移动存储介质治理不到位 ，存在轻易使用和不严格接见节造等情况 ，为内部攻击留下可利用入口点�；鸬绯Чた叵低车墓こ淌φ尽⒉僮髟关尽⒑骨嗾镜榷嗍褂梦词凳备虏苟〉牟僮飨低� ，同时存在账号治理不严、密码更新周期长等问题 ，为病毒传布、入侵渗入、攻击等表部攻击埋下了可被利用的隐患。此表 ，节造系统上大量必须的第三方软件 ，如数据处置插件、数据采集软件 ，起源和安全风险不成控。
安全隐患二 网络结构复杂 安全损失易扩大
火电厂的工艺过程复杂、特殊 ，涵盖电力系统、电气系统、热工系统、信息系统等各类监控系统 ，各系统间的通讯需要导致火电厂工控系统网络结构复杂 ，通讯和谈繁多 ，存在多种和谈共存的情况 ，有利用缝隙伪造报文的风险。此表 ，未对网络进行划分和接见节造 ，一旦网络被突破 ，损失将急剧扩大。
安全隐患三 监控措施缺失 ，难以发现网络异常
由于大量火电厂组网功夫较早 ，网络安全的基础普遍幽微。资产梳理方面 ，节造系统软、硬件资产不清澈 ，网络拓扑结构未实时更新 ，与现实情况不一致。治理措施方面 ，不足安全日志审计 ，短缺异常检测机造 ，应急响应机造不美满。导致传统火电厂无法急剧对安全事务进行觉察、反映和溯源。
深刻业务场景 定造专业规划
以某火电厂为例。该电厂结合自身电力监控系统和信息化情况 ，造订了信息安全总体规划 ，初步成立了信息安整个系 ，切合国能安全〔2015〕36号文（《电力监控系统安全防护总体规划》）的安全防护要求和评估规范 ，以及电监信息〔2012〕62号文（《电力行业信息系统安全等级�；じ蟆罚┑闹卫矸矫�。但依然缺失一些具体的安全防护措施。
GA黄金甲针对该火电厂存在的网络安全风险 ，结合多年在工控安全深耕的经验 ，为智慧火电网络安全的建设给出了专业有效的解决规划。
网络安全测评 分析安全风险与近况
为进一步提高对自身安全风险的意识 ，该火电厂从安全区域天堑、安全推算环境和安全治理方面等维度 ，对电厂工控系统进行网络安全测评。
从测评了局来看 ，电厂自身安全防护措施的不足 ，易产生通过盗取弱口令账号、端口扫描、植入恶意代码等方式入侵系统以横向/纵向渗入 ，进而粉碎系统或泄露沉要数据资源的攻击行为 ，给电厂网络安全治理带来沉大威胁。
GA黄金甲结合该发电厂风险调研评估和测评汇报 ，凭据“安全分区 ，网络专用 ，横向隔离 ，纵向认证”的电力防护总体准则 ，发展了有针对性的系统性安全防护建设 ，蕴含网络天堑隔离、接见节造、恶意代码防备、操作系统缝隙治理、表设接口管控、网络审计、安全治理等能力需要的细化技术措施建设 ，进一步加强该电厂网络安全整体防护能力 ，降低工控网络被渗入攻击风险。
五风雅面 筑牢发电厂网络安全建设
安全防护总体规划示意图
1、通过安全加固服务 ，加强系统抗攻击能力
对出产节造大区的锅炉、汽轮机、发电机的主、辅控系统如汽机监测系统TSI、NCS系统的工控主机、服务器、接口机等设备进行安全加固。通过启用操作系统自身安全防护、审政战术 ，提高账户及用户口令的复杂水平 ，关关不必要的服务、端口等措施 ，解决测评中安全推算环境类别涉及的问题 ，实现终端设备自身的安全性提升。
2、划分安全区域 ，提升安全区域天堑防护能力
在出产节造大区安全Ⅰ区和安全Ⅱ区的天堑处部署工业防火墙 ，通过对工业和谈指令的过滤 ，实现安全Ⅰ区和安全Ⅱ区的接见节造、天堑防护 ，配置针对Modbus、OPC工业和谈的接见节造战术 ，降低利用缝隙伪造报文的风险 ，解决测评中安全区域天堑类此外网络节点未部署防病毒网关等产品 ，且无其他防恶意代码措施的问题。�；す⑵只⒎⒌缁诵械闹骺叵低橙缁榻谠煜低矰CS、汽机调快系统DEH等安全运行。
3、实时监控异常事务 ，提升系统自动防御能力
在出产节造大区安全Ⅰ区和安全Ⅱ区的主机上部署工业主机安全卫士系统 ，通过成立主机“白”环境 ，成立工控主机的自动防护能力、移动存储介质治理能力、加强针对利用“0-day”缝隙进行勒索攻击的防护能力 ，在降低上述的系统风险、软件风险的同时 ，满足测评中安全推算环境类此外必要装置防恶意代码软件或配置拥有相应职能的软件要求。
通过在SIS系统、主控和辅控系统等重要系统网络互换机镜像口部署工控安全监测与审计系统 ，利用基于网络流量的入侵攻击行为鉴别、监测、预警 ，解决了测评中安全区域天堑类此外“未部署入侵监测设备 ，无法实现对网络攻击行为进行监督”的问题 ，为工业网络入侵攻击的应急响应提供预警监测能力。
4、美满安全审计系统 ，提高厂区的安全治理水平
在出产节造大区部署运维治理系统 ，实现对出产节造大区用户运维操作时技术层面的正确纪录、审计、追踪溯源 ，实现违规危险指令的实时阻断 ，解决了安全区域天堑和安全推算环境测评类别中没有对沉要的用户行为和沉要安全事务集中审计项的问题 ，加强出产节造大区整个系统在身份甄别、接见节造和安全审计等方面的治理能力。
5、部署工控安全治理平台 ，实现厂区统一安全治理
在出产节造大区部署工控安全治理平台 ，对出产信息进行安全采集、分析和展示 ，实现安全防护设备、系统以及终端的安全统一出现 ，协助解决资产情况不清澈的问题。在测评的安全治理类别中满足了覆盖物理、网络、主机系统、数据、利用、建设和运维等层面的要求 ，提高治理效能 ，降低运行守护成本 ，构建了一个威胁监控的统一安全治理中心。
电力在中国经济发展中一向表演着国民经济“先行官”的角色 ，是国民经济发展的基础产业。GA黄金甲将结合自身在工业互联网安全领域丰硕的实际经验和产品、技术堆集 ，充分思考电力发电侧用户现实出产系统的复杂性和特殊性 ，援手电厂客户不休提升针对安全威胁的可知、可查、可控能力。
Copyright ? GA黄金甲 版权所有 京ICP备05032414号 
京公网安备11010802024551号
