核電廠電力監控系統網絡安全改進分析

邱波

摘要：核電廠電力監控系統網絡安全設計比較簡單，同時電廠對這方面也不是特別重視。在國外經歷幾次比較嚴重的網絡入侵事件后，目前國內逐漸重視網絡安全防護，特別是核電廠涉及核安全問題。專業網絡安全公司對核電廠電力監控系統進行安全評估及網絡安全防護技術發展的推動下，核電廠電力監控系統網絡安全整體情況有較大提升。

關鍵詞：網絡安全;電力監控

0.引言

在核電廠中，電力監控系統主要負責與電網進行數據傳輸，是核電廠生產控制大區與外界的唯一接口，其安全性直接關系電廠生產系統能否安全穩定運行。隨著國外及國內多起電廠網絡安全事件發生，國內電廠及電網公司已逐漸認識到電力監控系統網絡安全的重要性，本文從核電廠典型電力監控系統配置介紹，分析其存在的問題及改進后對安全性的提升作用。

1.改進前網絡結構

從上圖看，核電廠500kV開關站系統網絡結構主要包括：核心區和邊界接入區兩大安全區域。邊界接入區主要實現與上級單位的互聯，通過部署兩臺路由器接入廣域網，并且部署四臺加密認證網關提供縱向加密。核心區網絡主要提供服務器、數據庫、存儲設備等重要設備的數據交換功能。通過部署兩臺交換機為操作員站以及各安全區的設備提供接入，并且上聯邊界接入區的設備，部署兩臺防火墻對安全I 區和安全II 區進行橫向隔離，安全I 區與安全II 區之間通過橫向隔離防火墻進行訪問控制。

但該網絡結構只具備過濾小風險的能力，在以下幾方面仍存在安全隱患：

a）業務交換機及邊界路由器兩條鏈路之間有連接，若出現網絡攻擊，很有可能兩條業務鏈路同時中斷，存在兩條鏈路相互影響的情況。

b）沒有在網絡邊界處采取措施，監視網絡攻擊行為（端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊），并對攻擊行為進行記錄。

c）沒有在網絡邊界部署防惡意代碼設備對惡意代碼進行檢測和清除。

2、改進后網絡結構

改進后的網絡結構變化點：將電力監控系統兩個平面完全隔離，不存在數據交互可能;增加了IDS、堡壘機及態勢感知等網絡監控設備，預警并幫助分析網絡攻擊等行為。相對之前網絡，在網絡安全性提升方面主要有以下幾方面：

a）配置IDS系統，入侵檢測系統（IDS）采用協議分析、模式匹配、異常檢測等技術，通過將交換機上的關鍵接入端口的數據報文鏡像到IDS檢測引擎（IDS探頭）的接入端口，實現對網絡流量、數據包的動態監視、記錄和管理、對異常事件進行告警等。

b）增加堡壘機設備，能夠自動將更換后的密碼下載到專用芯片級硬件加密設備，可通過指紋和管理權限對相應的服務器托管密碼進行查看和打印;內部管理功能授權可以限制到某個樹形節點的范圍內;支持命令操作的黑白名單設置，命令權限控制規則應支持正則表達式，并可對命令的參數進行限制并記錄日志;為保證日志存儲的安全性，會話日志必須先備份才可以刪除，不可以覆蓋。

c）配備態勢感知設備，通過探測采集、鏡像流量、NMAP、SNMP等手段自動發現廠站裝置檢測范圍內的資產;資產關鍵屬性包括：IP、MAC、主機名、設備類型、軟件版本等;采集主機、安全設備、網絡設備的原始日志并已時間形式記錄于數據庫中;實施發現并采集敏感報文和可疑文件，主動將特征信息上送主站;支持采集安全設備、服務器、工作站的用戶登錄、操作信息、配置變更信息、流量信息、網口狀態信息的事件信息;主動將事件告警信息通過104通信協議上送主站;自動生成物理連接拓撲圖呈現設備端口與設備端口之間物理連接關系，并實時展示當前的設備端口流量情況。

d）系統切割為兩個獨立平面，每臺遠動機分別配置調度數據網A/B平面接口，改造后業務裝置A接口接入到A平面調度數據網，B接口接入到B平面調度數據網。增加下游重要業務系統的可靠性及安全性。

綜上分析，改進后的電力監控系統網絡結構較為合理，網絡中主要設備的業務處理能力具備冗余空間，能滿足業務高峰期的需要;網絡中部署有訪問控制設備和入侵檢測系統，但訪問控制策略和入侵檢測策略還需進一步完善，通過加強機房的物理安全管理，目前還算安全;并且電力監控系統所處的網絡區域范圍較小，且管理上操作員站、工作站和裝置等均禁止接入U 盤，具有較為嚴格的訪問管理措施，可以降低未安裝防惡意代碼軟件和及時升級系統補丁、系統口令不足等帶來的安全風險。

3、結論

核電廠網絡安全在如下幾方面得到加強：

a）網絡鏈路完全冗余，提升系統的可靠性;

b）增加安全防護及檢測設備，抵抗網絡攻擊，并及時提醒維護人員系統健康狀況;

c）控制安全設備策略精細度，僅業務地址數據可以通過，達到更精準管控。

d）物理隔離設備得到加強，防社工攻擊進一步提升。

但是，新增設備的策略配置不合理、安全補丁更新不及時等問題，同時隨著網絡科技的發展，一些新的攻擊手段的出現也逐漸威脅核電廠電力監控系統網絡正常運行，需要持續提升。

參考文獻：

1、電力監控系統網絡安全態勢感知廠站裝置技術規范（試行） 中國南方電網 2018年4月;

2、南方電網總調直采廠站接入網級自動化主站技術方案 中國南方電網 2017年5月

3、國家能源局關于印發電力監控系統安全防護總體方案等安全防護方案 國家能源局 2015年2月