关键信息基础设施的等保2.0之路-新能源发电企业 – 作者:北京天地和兴科技有限公司

　　引言

　　2019年12月1日，《网络安全等级保护基本要求》的正式实施标志着等级保护制度整体进入 2.0 时代，等级保护对象范围从传统的网络和信息系统，向“云移物工大”上进行了扩展。GB/T22239由单独的基本要求演变为通用安全要求+新技术安全扩展要求，且技术要求和管理要求都做了调整。而关键信息基础设施也在定级要求上明确指出“定级原则上不低于三级”的要求。在“关键信息基础设施的等保2.0之路”系列文章中，天地和兴将从关键信息基础设施保护的实践出发，梳理并提供2.0时代等保安全建设的整体解决方案，旨在助力关键信息基础设施运营者网络安全防护能力和信息安全管理能力的提升，应对各类网络风险和挑战。

　　一、安全现状

　　近年来，国家在促进节能减排方面提供了很多支持政策。光伏和风能是近来最具大规模开发利用价值的可再生能源，对环境保护和社会可持续发展有重要意义。目前，我国风电累计装机量已居世界第一，太阳能发电装机达到1.1亿千瓦以上，分布式光伏6000万千瓦以上。新能源电站电力监控系统的设计和安全建设基本依托国家能源局36号文中安全分区、网络专用、横向隔离、纵向认证、综合防护原则。按《电力行业信息系统安全等级保护定级工作指导意见》规定，总装机200兆瓦及以上的风电和光伏场站电力监控系统应按等保三级进行保护。电厂生产控制系统和电力监控系统以计算机、通讯设备、测控单元为基本工具，为发电生产实时数据采集、开关状态检测及远程控制提供了基础平台，参考大多数新能源发电企业的网络安全检查结果，当前新能源发电企业生产控制大区信息普遍存在以下网络安全隐患：

　　· 新能源场站生产区域系统众多，场站与调度数据网、集控中心均存在数据交互，生产控制大区内部系统风机监控、光伏板控制、继电保护等与二区功率预测、电能量采集等业务也需要数据交互，功率预测系统还要从互联网下载气象数据。一旦防护不当，恶意攻击会从信息网甚至互联网直接渗透到工控网，入侵、病毒等风险也很容易在工控网络中蔓延;

　　· 生产控制大区的工程师站、操作员站等大部分上位机为Windows/Linux平台。为保证过程控制系统的相对独立性，同时考虑系统的稳定运行，通常在系统运行后不会安装杀毒软件、更新安全补丁，变更策略配置，以防埋下巨大的安全隐患，一旦感染恶意代码，极易传播扩散，导致系统运行故障;

　　· 网络安全意识淡薄与网络安全管理不健全，权限管控不严格，远程运维不可控，日常操作权限滥用。如：系统集成商通常会通过TeamViewer等远程桌面程序进行运维。工程师站、操作员站、服务器等缺乏有效的安全管控措施，弱口令甚至无口令会导致非授权访问发生。外部接口无管控、非授权的使用U盘致使主机易感染病毒;

　　· 从等保2.0的要求及构建整体网络安全防护体系的需求来看，大部分新能源发电企业并无统一的信息安全管理策略，亦并未配置独立的安全管理中心。

　　二、解决方案

　　面对上述新能源发电企业的安全现状，天地和兴做了深入的调查与研究，面对新能源(风电、光伏)场站和集控中心不同的应用场景，提供全生命周期工业网络安全解决方案，构建安全防御体系。

　　1、风险评估方案

　　结合新能源场站和集控中心不同的场景，风险评估能够全面了解与验证生产控制系统网络中存在的各种风险，天地和兴围绕用户生产控制系统网络运行环境、安全管理制度等因素，由专业的安全服务人员，借助专业的风险检查工具，对系统网络做全面的安全检查与验证，生成权威的安全风险评估报告，为用户全面了解生产控制系统网络安全风险提供依据。

　　图1 风险评估流程

　　2、安全防护方案

　　天地和兴按照总装机量200MW以上三级系统要求，对新能源场站和集控中心生产监控系统的网络进行安全防护建设，遵循可持续发展、分区分级保护重点、网络专用多道防线、全面融入安全生产、管控风险保障安全的原则，参照国家《网络安全等级保护基本要求》“一个中心、三重防护”的安全理念，通过部署工控防火墙、工控安全审计、入侵检测、网络安全监测装置等安全防护产品，提升生产监控系统网络整体防护能力，部署示意图如下：

　　图2 新能源集控中心安全防护

　　图3 新能源场站安全防护

　　安全通信网络：在生产控制大区和信息管理大区之间串行部署电力专用单向隔离网闸，用于生产控制大区到管理信息大区的非网络方式单向数据传输;在电力控制系统内部局域网与电力调度数据网络的路由器之间部署电力专用加密认证网关，用来保障电力调度系统纵向数据传输过程中的数据机密性、完整性。

　　安全区域边界：在场站和集控中心不同级别安全域“安全区I与安全区II”之间串行部署工控防火墙产品，建立“发电-升压-并网业务实时区和非实时区”的访问控制策略，保护系统运行安全。在核心业务数据交汇处“安全I区和安全II区核心交换机”旁路镜像部署入侵检测系统、工控安全审计平台，实时监测网络边界、安全域内重要节点的异常行为并进行审计告警，异常行为包括各类已知、未知的入侵行为、网络病毒、非法访问等。

　　安全计算环境：在场站和集控中心主要的上位机上部署主机安全防护系统客户端，实现主机防病毒、防第三方软件的非授权安装与使用。在上位主机网络部署USB安全隔离系统，实现对外界USB存储设备的认证管控、防USB攻击、防病毒、防篡改与操作行为审计等功能，保证系统USB拷贝数据的安全。针对电力监控系统内所有上位机、网络设备以及服务器等进行安全加固服务，加固方式包括但不限于：安全配置、安全补丁、采用专用软件或硬件强化操作系统访问控制能力以及配置安全的应用程序。加固措施包括：升级到当前系统版本、安装后续补丁合集、加固系统TCP/IP配置、关闭不必要服务和端口、为超级用户或特权用户设定复杂口令、修改弱口令或空口令、禁止任何应用程序以超级用户身份运行、设定系统日志和审计行为等。

　　安全管理中心：在场站和集控中心生产控制大区中新建安全管理域，部署日志审计与分析系统、账号管理及运维审计系统、工控信息安全监管与分析平台，实现全网安全设备运行监控、安全日志收集与分析、安全事件集中处置，全网系统账户的统一管理与操作审计，全网资产无损扫描识别与管理，资产漏洞匹配与统计报告等安全集中管理能力。在安全I区和安全II区各部署一台网络安全监测装置，通过探针软件和网管协议收集涉网设备的运行日志、安全设备运行日志、涉网业务系统的运行日志等，将告警信息经纵向加密统一上传至省调和地调的网络安全管理平台。

　　3、安全检查方案

　　应建立生产监控系统定期安全检查和整改工作机制，每年至少自行开展一次安全检查，依据发现问题需制定整改计划及措施，并将整改情况上报主管单位和集团公司。等级保护定级为三级的系统，除每年自行开展一次安全检查外，还应按照等级保护要求，做好安全评估及整改工作。针对攻防演练等专项活动时，应重点对边界防护设备的配置进行细致核查，并检查边界入侵检测等设备的可用性，避免特征库过旧，授权过期等情况发生。

　　4、应急演练方案

　　协助制订新能源发电企业生产监控系统安全应急处置预案，每年至少进行一次演练，确保发生安全事件时能够有序处置、快速恢复。当生产控制大区内生产监控系统发生变化时，及时组织对应急处置预案进行评估，根据实际情况适时修改并进行演练，形成快速反应、快速处置的能力。确保当生产控制大区出现安全事件，尤其是遭到黑客、恶意代码攻击和其他人为破坏时，立即向上级电力调度机构以及当地国家能源局派出机构、当地政府相应部门及集团公司报告，同时按应急处理预案采取安全应急措施。处理安全事件过程中应注意保护现场，以便进行调查取证和分析。最后将制定安全防护事件通报制度、有关安全问题做好记录。定期向调度中心报送生产监控系统安全防护情况，及时上报生产监控系统安全防护出现的异常现象。

　　5、安全服务方案

　　新能源发电场站通常地理位置较偏远，人员编制有限，通常不配备专业网络安全管理人员，针对主管、运维等部门的“专业壁垒”等问题，天地和兴为相关人员提供专业的培训、咨询、运维等服务，涉及网络安全培训、安全防护标准培训、当前攻防技术培训与应用、安全管理与规范操作日常运维等内容，协助企业全员提高专业知识与安防范意识，还提供7*24小时的专家级安全咨询服务与运维、应急保障。

　　6、安全运营方案

　　安全运营的好坏直接影响工业网络安全防护体系的防护效能。安全运营涵盖的内容较多，包括在集控中心或分公司级别的机构建立安全运营中心、进行安全意识培训、安全运营管理、安全体系管理、安全运维管理等多维度内容。针对企业实际情况进行详细方案设计，并规范新能源发电企业的整体安全运营工作。

　　三、总结

　　天地和兴按照国家等级保护要求，充分考虑新能源发电企业生产监控系统面临主要安全威胁的基础上，结合集团电力企业网络安全建设与管理实际情况、业务系统实际组网应用情况，侧重在网络层、主机层构建纵深安全防护体系，落实国家等级保护“一个中心、三重防护”的安全理念与安全架构要求，系统地为企业提供包括安全服务、安全建设、安全运营在内的工业网络安全全生命周期解决方案，为关键信息基础设施业务系统安全运行保驾护航。

来源：freebuf.com 2020-06-15 14:11:31 by: 北京天地和兴科技有限公司