电力行业工控系统信息安全态势分析

工控系统信息安全与传统的网络信息安全不同，它通常关注更多的是物理安全与功能安全，而且系统的安全运行由相关的生产部门负责，信息部门仅处于从属的地位。在两化融合的深度融合以及潜在网络战威胁的影响之下，工控系统也将从传统的物理安全、功能安全转变为传统的网络信息安全；这种转变将在国家政策的推动下对传统的工控企业产生较大的影响。确保国计民生相关的工控系统信息安全已经被提升到了国家安全战略的高度，再加上工控系统跨行业应用的一个特殊性；使得安全保障体系的建立必须在国家、行业等监管部门、工控系统的企业、工控系统的供应商、信息安全厂商等多方面的协同努力下才能够实现。

从全球范围来看，工控信息安全不容乐观，从最近工控系统网络应急相应小组（ICS-CERT）公布的恶意攻击报告来看，在2014年-2016年期间都呈现出较高的增长趋势。其中，最严重的一起是针对2015年12月乌克兰电力公司设备遭到黑客攻击，并导致大规模停电事件，已引起公众极大的恐慌。

ESET公司发表文章称，乌克兰境内的多家配电公司设备中监测到的KillDisk，由此怀疑使用了BlackEnergy后门，攻击者能够利用它来远程访问并控制电力控制系统。

本次攻击主要采用社会工程学的方式针对乌克兰电力部门工作人员，以钓鱼邮件方式，附带木马XLS文件，诱惑用户打开这个文件，从而运行木马，安装SSH后门。攻击者可以针对目标下发工业控制指令，运行killdisk组件进行系统自毁，导致电网失效并延长系统恢复时间。本次攻击过程的时间周期不长，但明显符合当下APT攻击的行为方式，与几年前的伊朗核电站“震网”病毒事件有着惊人的相似度。

从乌克兰事件不难看出，对于电力系统的攻击导致的断电的情况已经真实发生。从实际攻击的手法来看，无论对于电网的控制系统还是电厂的控制系统都是存在一定风险的。

如今我国正加速成为工业强国的同时，如何解决由于长期进口工控系统和工控设备所隐藏的信息安全隐患问题呢？我们只有将工控信息安全贯穿到“中国版工业4.0规划”的发展之中。

一、电力系统介绍

整个电力系统是由发电、输电、变电、配电和用电组成。其中发电企业是整个电力系统中起始环节，是整个能源闭环系统中最主要的生产环节。我国发电企业通常情况下，主要的发电形式为火力发电、水力发电、风力发电、光伏发电和核能发电。其中火力发电占据整个发电企业发电量的比重最高。整个发电控制系统多是以DCS系统为核心，其他则以PLC作为辅机控制，形成对发电机组的工作任务下达和停机等控制，同时通过DCS与PLC反馈的数据了解发电机组整体运行状况。通过仪器仪表安全系统，如：继电保护、故障录波等实现对机制安全运行的监控。

发电厂控制系统主要是由控制中心（操作员站和工程师站组成）、DPU、继电保护、故障录波、AGC和AVC等组成，其中DCS对主控发电机组的运行进行监控，PLC作为辅机系统主要控制下面组件，辅机系统主要完成如：除尘、脱硫脱硝等工作。电网的调度主站监控发电机组对电网下达的生产任务的执行情况，为了便于电厂发电与电网的有效阶段，通过部署在电网与电厂之间的关口电表实现对电量信息的统计和核算。

二、安全现状与分析

技术方面：

发电企业对于电力二次系统的安全防护要求的执行，普遍集中在专用装置的部署上，在边界的入侵检测等技术手段上普遍存在不足。

对于发生的安全事件，往往缺乏相关的审计手段，无法在事件发生后对事件进行及时追溯；往往在事件发生后，无法找到根本原因，最终无法对事件进行后果的分析。

工程师站和操作员站的权限没有相关的管理，普遍存在弱口令等配置脆弱性等问题。对于外部的介质连接等尽管已经从管理角度制定了相关要求，但因缺乏相关的安全技术手段，无法进行有效监控，造成对介质传递的信息无法管理，造成很多的恶意软件直接进入系统中，对系统产生影响。

缺乏真正意义上的安全域的划分，控制系统内不同区域之间的安全防御没有建立起来，造成某一子系统一旦遭受到攻击很快就会扩散到整个系统中。

相关设备通信缺乏有效的安全认证机制。

管理方面:

在生产控制系统中对信息安全的关注度不高，在遇到安全事件时，无法进行有效的判断和及时有效的处理。

在生产控制系统中缺乏有效的信息安全应急响应预案。

生产控制系统中的技术人员信息安全意识淡薄。

人员身份与相应的权限没有建立明确的映射关系，只是基于控制系统进行权限划分，没有定位到具体人和设备。

安全管理制度中对于信息安全相关的制度和管理章程不完善，人员入岗没有进行相关的信息安全培训。

发电厂一般都是24小时不间断的状态下运行，人员的轮班一般是有相关的管理制度的，但是在相关人员的权限交接和控制方面普遍没有基于信息安全考虑，人员管理上存在一定的漏洞。

综上所述，在当前国内工控安全领域的总体发展态势以及发电、电网等几个典型行业的工控系统的安全现状、存在的问题及安全需求的基础上，提出了工控安全厂商的对外战略合作建议以及针对典型工控行业的安全服务推广策略。工业系统的信息安全，需要的是规章制度、物理接触、网络隔离过滤、主机防护、应用授权和数据保障的全方位考量。

因此，从目前工业控制系统发展趋势来看，工控系统信息安全技术的主要着重点在于将整体工业控制系统进行区域划分，并在连接各个区域的通信管道上，构建起网络隔离过滤和监控体系。当前，国家政策鼓励并着力发展“中国版工业4.0”，在这样的利好环境中，将工控信息安全同步贯穿工业控制系统自主创新的发展，才能形成一张自主可控，坚不可摧的“工业安全网”，未来中国工业不仅要更智能，也应该更安全的去发展。