ISC 2020电力安全论坛：电力系统成网络攻击一线，亟待建设新型防御体系 – 作者:360企业安全官方账号

2020年上半年，能源、电网、水利等关键基础设施领域多次成为网络攻击靶心。

2月，美国电力公司、石油公司及天然气公司受到黑客组织Magnalliuma密码喷射攻击；4月，以色列全国的供水命令和控制系统遭网络攻击；5月，委内瑞拉国家电网再遇网络攻击，造成全国大面积停电…

频遭威胁的背后是攻击方式愈加隐蔽、攻击范围高度扩散、攻击手段无所不用，无疑关键基础设施威胁已成为损害国家安全、政治稳定、经济命脉、公民安全的存在，其中尤以电力行业为重。

8月5日，全球首场网络安全万人云峰会——第八届互联网安全大会ISC 2020 拉开帷幕，来自中、美、俄、韩、奥、新、以等多国顶级安全智囊联袂登场，共同就“数字孪生时代下的新安全”主题展开激烈的思想碰撞和技术交流。

当天，“新基建日”下电力安全论坛也正式上线，国家电投集团科技创新总监、中央研究院党委书记、董事长范霁红，工业控制系统产业联盟理事长、国家电网公司国家电力调度控制中心原副主任辛耀中，国网思极网安科技（北京）有限公司董事长殷树刚受邀参会，并围绕“关于能源工业互联网安全的思考”、“重要工业控制系统网络安全防护体系”、“保障能源互联网网络安全”议题发表主题演讲。

 

01

安全成能源互联网建设重点

构建整体安全架构势在必行

 

当前，全球工业互联网发展呈现出关键技术加速突破、基础支撑日益完善、融合应用逐渐丰富、产业生态日趋成熟的良好态势。从概念普及、实践生根、全面部署，我国工业互联网进入产业格局渐定的关键期和规模化扩张的窗口期。

以此为发展驱动力，我国能源行业也加速互联网转型。

国家电投集团科技创新总监、中央研究院党委书记、董事长范霁红谈到，新基建下，能源互联网网络形态在智能电网或者电力互联网的基础上，向区域能源互联网和智慧城市网方向拓展；其功能形态以电力系统为核心，向综合能源管理与自由交易的方向发展，实现能源资源的优化配置；其技术形态是利用多种新技术、新模式来协调处理各个能量单元，实现软硬件资源配置最优化。

/国家电投集团科技创新总监、中央研究院党委书记、董事长范霁红/

 

“能源互联网建设基础是网络，核心是数据，重点是安全”，范霁红说道。

作为关系国家安全和民生的关键信息系统，能源互联网的网络安全风险所带来的不仅仅是信息泄露、信息系统无法使用等“小”问题，而是会对现实世界造成直接的、实质性的影响，如社会生产瘫痪、交通瘫痪、设备损坏、环境污染等。

因此，着力建设能源互联网安全体系成为重中之重，在范霁红看来，这一体系由顶层设计及安全架构组成，顶层设计由战略、规划、体系、技术、标准五大环节形成闭环，之后应用层、平台层、网络层、设备感知层部署不同安全产品及服务，构成一整套能源互联网安全架构。

 

02

安全无“银弹”

建立多维度互补工业控制系统防护

 

近年，随着网络安全威胁从软件向硬件发展，作为国家基础设施的电网成为网络攻击第一线。

工业控制系统产业联盟理事长、国家电网公司国家电力调度控制中心原副主任辛耀中在会上谈到，历时近20年，电力行业建立了电力监控系统网络安全防护体系，形成了国标GB/T 36572-2018 《电力监控系统网络安全防护导则》。

根据国家电网外网边界监测统计，平均每日遭受外网恶意攻击次数逐年上升，近几年依次为3013、4045、6520、9000多次/日，G20峰会期间最高87680次/日，全部被阻断。

在此基础上，也形成了五个标委会联合归口的国标《重要工业控制系统网络安全防护导则》（已报批），用于建立重要工业领域的安全防护体系，与已有国家国际安全类标准和行业标准技术标准形成互补。

/工业控制系统产业联盟理事长、国家电网公司国家电力调度控制中心原副主任辛耀中/

 

据辛耀中介绍，这套体系主要包括三个空间维度：安全防护技术、应急备用措施、全面安全管理，一个时间维度：不断发展完善。

其中，安全防护技术包括基础安全、结构安全、本体安全、安全免疫四个层面：

• 基础安全重点是物理安全，需按照国家信息安全等级保护要求，加强建筑物、机房、电源、环境、通信等物理设施和密码基础设施的安全防护；

• 体系结构安全的重点原则是“安全分区、网络专用、横向隔离、纵向认证”，划分为生产控制大区和管理信息大区，各自采用专用数据网络；

• 系统本体安全包括操作系统和硬件系，重点是监控系统无恶意软件、操作系统无恶意后门、整机主板无恶意芯片、主要芯片无恶意指令；

• 安全免疫重点是可信计算安全免疫。

当然，网络安全没有“银弹”，即使有了上述防御手段也要假定任何系统都会被攻破，提前准备备用措施。辛耀中表示，要构建位于外部因特网、信息外网、信息内网、生产控制大区和核心控制区之间的四道安全防线，实现多部门多专业的协同防御。

最后，更要有全生命周期管理，实现整体系统的终身负责。“通过上述三维层次的安全举措相辅相成，最终建立多维度互补的工业控制系统安全防护。” 辛耀中说道。

 

03

智能充电桩存安全隐患

亟待建设新型防御体系

 

2020年4月9日，国家相关机构宣布将继续加大充电基础设施建设力度，预计2020年全年完成投资约100亿元，新增公共桩约20万个、私人桩超40万个、公共充电站4.8万座。

 

/国网思极网安科技（北京）有限公司董事长殷树刚/

 

“作为新基建的重要领域，智能化充电桩是人类向第三次工业革命迈出的重要一步，但其背后也暗藏众多安全风险。”国网思极网安科技（北京）有限公司董事长殷树刚说道。

据国家互联网应急中心2018年8月的网络安全态势分析报告，电力行业直接暴露在互联网上的充电桩管理系统38个，充电平台7个；在为期1周的抽样监测中，平均每充电桩管理系统被攻击10次以上，部分系统存在严重漏洞。意味着对攻击者来说，一次攻击可以直接获取利益、瘫痪服务，并进行跨网攻击。

面对这一威胁如何搭建新型防御体系？

殷树刚建议建立基于区块链的电动汽车充电桩网络，利用区块链在不可信的网络中建立互信的能力，可实现用户与充电桩间的直接交易，减少中心化平台交互，确保基础设施的服务可用性、避免庞大充电容量被对手通过主站进行恶意控制从而对电网发起能量攻击，提高整个系统的抗APT攻击能力。

除了电力安全论坛外，本届ISC互联网安全大会还特别打造多个重磅主题日，百余个安全峰会论坛，海量精华议题，以及众多特色环节，在安全圈层掀起了一波强劲热潮。相信在如此持续赋能下，360未来将驱动网络安全行业的稳健成长，并助力全产业共同进步。

来源：freebuf.com 2020-08-10 14:38:01 by: 360企业安全官方账号