AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎(chǔ)設(shè)施
態(tài)勢感知
云安全
基礎(chǔ)安全
終端安全
商用密碼
軟件供應(yīng)鏈安全
網(wǎng)絡(luò)空間靶場
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務(wù)
運(yùn)營管理服務(wù)
能源電力
ENERGY POWER
大唐陽城電廠項(xiàng)目案例
火電作為我國發(fā)電的主流類型，是國民經(jīng)濟(jì)的支柱產(chǎn)業(yè)之—，火電發(fā)電的控制系統(tǒng)是火電廠的大腦。在兩化融合的大趨勢下，行業(yè)中的工控網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的互聯(lián)互通是一個(gè)必然的趨勢。從行業(yè)普遍性角度來看，工控網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的連接基本上僅有一個(gè)防火墻，但是不支持OPC等主流工控設(shè)備，控制粒度非常粗糙，帶來很大的安全隱患，工控網(wǎng)絡(luò)基本上不具備任何發(fā)現(xiàn)、防御外部攻擊行為的手段，外部威脅源一旦進(jìn)入公司的辦公網(wǎng)絡(luò)，則可以連接到工業(yè)網(wǎng)絡(luò)的現(xiàn)場控制層網(wǎng)絡(luò)，直接影響工業(yè)生產(chǎn)。另一方面工控網(wǎng)絡(luò)內(nèi)部設(shè)備如各類操作站、終端等，大部分采用Windows系統(tǒng)，為保證工業(yè)軟件的穩(wěn)定運(yùn)行無法進(jìn)行系統(tǒng)升級甚至不能安裝殺毒軟件，存在著大量漏洞，在自身安全性不高的情況下運(yùn)行，綜合而言工控系統(tǒng)的安全風(fēng)險(xiǎn)不言而喻。
根據(jù)電力行業(yè)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案（國能安全【2015】 36號）的相關(guān)規(guī)定，參照中國大唐集團(tuán)有限公司企業(yè)標(biāo)準(zhǔn)《工控系統(tǒng)網(wǎng)絡(luò)信息安全技術(shù)監(jiān)督標(biāo)準(zhǔn)》，結(jié)合輔控系統(tǒng)現(xiàn)場網(wǎng)絡(luò)情況，經(jīng)分析診斷目前存在以下幾方面的網(wǎng)絡(luò)安全問題。
·網(wǎng)絡(luò)監(jiān)控不足
·主機(jī)防護(hù)不足
·網(wǎng)絡(luò)隔離防護(hù)缺乏有效措施
項(xiàng)目內(nèi)容
建設(shè)原則及要點(diǎn)
● 穩(wěn)定可靠
對發(fā)電廠熱控系統(tǒng)來說安全穩(wěn)定可靠是最重要的。在本次項(xiàng)目中建議的安全控制措施，包括其部署和應(yīng)用的方式，都是在各集團(tuán)網(wǎng)站中有眾多先例的，已經(jīng)被各電力集團(tuán)所接受的技術(shù)和產(chǎn)品。
● 實(shí)時(shí)性和高效性
在本次信息安全架構(gòu)設(shè)計(jì)中考慮到發(fā)電廠實(shí)際情況，建議采用高處理能力的安全產(chǎn)品，以保證實(shí)時(shí)性和高效性。
● 安全風(fēng)險(xiǎn)可控
根據(jù)發(fā)電廠的實(shí)際情況建議將整體網(wǎng)絡(luò)分割為不同的區(qū)域，并在邊界進(jìn)行嚴(yán)格的訪問控制。
● 靈活性和擴(kuò)展性
在本次項(xiàng)目中設(shè)計(jì)的架構(gòu)在充分保證滿足用戶的可靠性運(yùn)行要求、靈活性和擴(kuò)展性要求。
建設(shè)方案
根據(jù)目前陽城電廠輔控系統(tǒng)存在的工控網(wǎng)絡(luò)安全問題，結(jié)合陽城電廠輔網(wǎng)實(shí)際的網(wǎng)絡(luò)結(jié)構(gòu)，并考慮后續(xù)輔控接入SIS系統(tǒng)的情況，在"安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證、綜合防護(hù)"原則的基礎(chǔ)上針對性的建設(shè)方案。
● 劃分安全隔離域
把電廠輔控網(wǎng)絡(luò)劃分成水系統(tǒng)安全隔離域、灰系統(tǒng)安全隔離域和煤系統(tǒng)安全隔離域，分別在水網(wǎng)、灰網(wǎng)、煤網(wǎng)的子系統(tǒng)網(wǎng)絡(luò)出口處分別安裝工業(yè)防火墻，合理配置安全策略，實(shí)現(xiàn)邏輯隔離、報(bào)文過濾、訪問控制等功能，加強(qiáng)邊界之間的安全防護(hù)和監(jiān)控。
●增加工控網(wǎng)絡(luò)安全審計(jì)
安全I(xiàn)區(qū)的各個(gè)子系統(tǒng)安裝工控網(wǎng)絡(luò)安全審計(jì)平臺，對操作系統(tǒng)、數(shù)據(jù)庫、業(yè)務(wù)應(yīng)用的重要操作進(jìn)行記錄、分析，及時(shí)發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。●提高工控系統(tǒng)入侵檢測能力
安全I(xiàn)I區(qū)統(tǒng)一部署一套工業(yè)APT預(yù)警平臺，合理設(shè)置監(jiān)測規(guī)則，監(jiān)測發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息中的入侵行為，分析潛在威脅并進(jìn)行安全審計(jì)。
●增加日志審計(jì)功能
在安全I(xiàn)區(qū)和安全I(xiàn)I區(qū)部署綜合日志審計(jì)平臺，能夠?qū)W(wǎng)絡(luò)運(yùn)行日志、操作系統(tǒng)日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行日志、安全設(shè)施運(yùn)行日志等進(jìn)行集中收集、自動分析，并保存不少于6個(gè)月。
●增加網(wǎng)絡(luò)安全監(jiān)測裝置詳細(xì)說明
在安全區(qū)II部署工控態(tài)勢感知平臺，實(shí)時(shí)監(jiān)測域內(nèi)電力工控系統(tǒng)的主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等運(yùn)行狀態(tài)及日志的采集、存儲、轉(zhuǎn)發(fā)，數(shù)據(jù)經(jīng)網(wǎng)閘可傳輸至集團(tuán)公司工控網(wǎng)絡(luò)安全監(jiān)測平臺。
● 主機(jī)安全加固詳細(xì)說明
電廠輔控操作員站、工程師站、接口機(jī)等工控機(jī)，一般投用后操作系統(tǒng)及應(yīng)用軟件不會有較大變動，為確保工控系統(tǒng)穩(wěn)定性很少人為定期更新系統(tǒng)等操作，故采用白名單防護(hù)技術(shù)的工控安全主機(jī)衛(wèi)士非常適合用來加固工控機(jī)，提高主機(jī)的防護(hù)能力。
項(xiàng)目價(jià)值
本方案通過體系化的設(shè)計(jì)方式，完成大唐陽城電廠輔控的安全體系設(shè)計(jì)，主要功能點(diǎn)如下∶
?o?區(qū)域隔離防護(hù)
方案通過工業(yè)防火墻，達(dá)到以安全域?yàn)閱挝唬瑖?yán)格限制通訊訪問方式。
?o?控制網(wǎng)絡(luò)內(nèi)部安全監(jiān)測與審計(jì)
通過部署工業(yè)安全監(jiān)測審計(jì)平臺，實(shí)時(shí)檢測出針對工業(yè)協(xié)議的網(wǎng)絡(luò)攻擊、誤操作、違規(guī)操作、非法 IP 或非法設(shè)備接入以及病毒的傳播并實(shí)時(shí)報(bào)警，幫助客戶及時(shí)采取應(yīng)對措施，減少系統(tǒng)異常風(fēng)險(xiǎn)。平臺能夠詳實(shí)記錄一切網(wǎng)絡(luò)通信行為，包括指令級的工業(yè)控制協(xié)議通信記錄，并且提供回溯功能，為工業(yè)控制系統(tǒng)的安全事故調(diào)查提供堅(jiān)實(shí)的基礎(chǔ)。
?o?主機(jī)防病毒
控系統(tǒng)的惡意代碼防范主要通過安裝工業(yè)安全主機(jī)衛(wèi)士方式實(shí)現(xiàn)。工控主機(jī)防護(hù)是指在工控上位機(jī)的操作系統(tǒng)平臺層面，對網(wǎng)絡(luò)端口、外設(shè)端口、重要文件進(jìn)行管控，達(dá)到主機(jī)層面對惡意代碼的有效防范。
?o 全面安全監(jiān)控
