被动攻击or主动防御 风电工控安全急需一剂猛药

本文由 Safety 于 2016-8-3 13:46 Wednesday 发布在 安全资讯 评论(2)

有1422人对此创意感兴趣加入收藏夹

经过十余年的长足发展,2016年中国风电并网装机超过1亿千瓦,居全球首位,风电累计装机占全球装机比例已达25.9%。风电的蓬勃发展不仅担起了中国绿色清洁能源的大梁,更催生了中国风电产业链的繁荣发展。预计十三五期间,风电发展规模将同比2015年增长一倍。

随 着我国风电信息化建设和工业控制系统建设进程的提速,风电工业控制系统网络安全建设正当时。目前,我国风电工业控制系统及设备的安全保护水平偏低,存在着 各类网络安全风险和工业漏洞,一旦遭不法人员和组织的非法操作或非法入侵,极有可能造成机密数据泄露,甚至系统被恶意控制等问题。

针 对电力工业控制系统面临的风险和挑战,以及风电场的潜在需求,匡恩网络提出了“4+1”的工控安全战略,以结构安全性、本体安全性、行为安全性、基因安 全性+时间持续性安全为核心理念,以全生命周期解决方案为实施准则,构建风电行业工控安全产品和服务体系,为电力工控系统网络安全保驾护航。

电力行业是国家关键基础设施,控制系统网络安全关系国计民生,关系国家利益、社会稳定及广大人民群众的生活生产。纵观风电行业控制系统,面临如下网络安全风险:

风电场部分安全区域之间未采取逻辑隔离,这将导致增大了生产大区内出现的潜在风险及容易遭受内外部(主动、被动)攻击可能。

风电场部分系统针对系统漏洞未实施有效的措施,这将导致系统存在大量安全漏洞,使攻击者在未授权的情况下访问或破坏系统。

操作员站和工程师站的USB口,服务器USB口和交换机闲置网口,仅从制度上要求禁止随意接入,实际缺乏技术上的防护措施,由管理漏洞导致的存储介质交叉使用,将导致数据泄露和病毒感染。

部分网络中缺少针对工业控制系统的安全审计功能,无法实现对工业控制网络异常流量进行监控与审计;未对工控系统帐户进行定期审计,且缺乏对违规操作、越权访问行为审计能力。

通过设备后门进行的远程维护服务,一旦攻击者控制了一台主机,则可能控制整个生产控制大区。

由于风电场工业控制系统包含多个不同功能的子系统,每个系统按业务需求、操作流程、实现的功能以及对自动化生产和人员安全的影响程度各不相同,因此需要从结 构上划分不同的区域和层次,并根据区域内系统的业务特点和影响程度,采取有针对性的安全防护措施,如通过隔离、过滤、认证、加密等措施实现有效的边界防 护,风电场网络结构安全遵照安全分区、网络专用、横向隔离、纵向认证十六字方针的基本原则等。针对电力工业控制系统面临的风险和挑战,以及风电场的潜 在需求,匡恩网络提出了“4+1”全生命周期解决方案。结构安全防护

 

 电力企业工控系统经过安全域划分之后,按照一定的安全防护策略,根据各个区域的安全需求、防护重点,因地制宜的实施访问控制、资源管理、监测监控、身份认证等相应的技术和产品,最终实现安全、完整的电力企业工控网络安全防护体系。

通过对电力行业工控网络涉及内容和范围的了解,重点解决生产网络与边界的安全防护与访问控制,增强各区域网络的访问管理与控制力度,合理分离管理信息系统和生产控制系统的数据交互,增强生产控制系统内部的安全防护,力争实现以下目标:

实现集团管理层到电力企业管理层之间生产和信息数据的安全访问;

实现生产控制区和管理决策区之间的严格隔离,避免管理信息系统和生产控制系统之间的负面影响;

实现现场监控层不同系统之间的逻辑隔离,避免某一个系统将安全问题引入其他子系统。


本体安全防护

本体安全防护主要在风电场及集控中心的风机监控系统的上位机(工程师站、操作员站)和服务器部署工控卫士和优宝UBO进 行主机防护,以白名单的技术方式监控工控主机的进程状态、网络端口状态、USB端口状态,全方位地保护主机的资源使用。根据白名单的配置,主机防护软件会 禁止非法进程的运行,禁止非法网络端口的打开与服务,禁止非法USB设备的接入,从而切断病毒和木马的传播与破坏路径,保证上位机正常指令的顺利下发和生 产相关的业务与进程的正常执行。

3.1.jpg

风电场主机防护部署示意图

行为安全防护

网络安全审计防护是针对工控网络行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供工控网络的有效监督,预防、制止数据 泄密,满足用户对工控网络行为审计备案及安全保护措施的要求,提供完整的记录,便于信息追踪、系统安全管理和风险防范。在电力生产控制大区的控制区和和非 控制区内部,通过部署入侵行为检测装置对区域内部的网络流量进行分析,识别流量中的攻击行为。

3.2.jpg

风电工控网络安全审计

安全管理与运维

设备管理

针对电力企业信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期 进行维护管理,建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;建立配套设 施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等;应对终端计算机、工作 站、便携机、系统和网络等设备的操作和使用进行规范化管理,按操作规程实现关键设备(包括备份和冗余设备)的启动/停止、加电/断电等操作;应确保信息处 理设备必须经过审批才能带入或带出机房或办公地点。

网络安全管理

电力企业应指定人员对网络进行管理,负责运行日志、网络监控 记录的日常维护和报警信息分析和处理工作,建立网络安全管理制度,对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面做出规定; 应根据厂家提供的软件升级版本对网络设备进行更新,并在更新前对现有的重要文件进行测试和备份;应定期对网络系统进行漏洞扫描,对发现的网络系统安全漏洞 进行及时的修补,实现设备的最小服务配置,并对配置文件进行定期离线备份;应保证所有与外部系统的连接均得到授权和批准,依据安全策略对允许或者拒绝便携 式和移动式设备的网络接入并对其在网络中的操作行为进行管控,并定期检查违反规定拨号上网或其他违反网络安全策略的行为。

系统安全管理

 电力企业应根据业务需求和系统安全分析确定系统的访问控制策略,定期进行漏洞扫描,对发现的系统安全漏洞及时进行修补,安装系统的最新补丁程序,在安装系统 补丁前,应首先在测试环境中对补丁的兼容性和安全性进行测试通过,并对重要文件进行备份后,方可实施系统补丁程序的安装;应依据操作手册对系统进行维护, 详细记录操作日志,包括重要的日常操作、运行维护记录、参数的设置和修改等内容,严禁进行未经授权的操作,定期对运行日志和审计数据进行分析,以便及时发 现异常行为。

应急预案管理

 电力企业应在统一的应急预案框架下制定不同事件的应急预案,应急预案框架应包括启动应急预案的条 件、应急处理流程、系统恢复流程、事后教育和培训等内容,从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障;应对安全管理员、系统管理 员、网络管理员等相关的人员进行应急预案培训,应急预案的培训应至少每年举办一次,定期对应急预案进行演练,根据不同的应急恢复内容,确定演练的周期,应 急预案需要定期审查和根据实际情况更新的内容,并按照执行。

via:数据安全技术



大家对以上内容的评论:

草莓网 by 2017-02-06 11:31
分析的很好,支持啦。
中国演员网 by 2016-08-11 15:12
经过十余年的长足发展,2016年中国风电并网装机超过1亿千瓦

发表评论:

   

    验证码

支持Ctrl+Enter提交

关于本站  |  手机版  |  RSS信息    |  QQ交流  |    |  京ICP备12045972号

All Rights Reserved. Powered by Emlog & Themes by ewCEO.com  sitemap
回到顶部