网络安全监测装置在电力网络中的应用.pdfVIP

网络安全监测装置在电力网络中的应用

摘要：近年来，随着电力调度通信网络与计算机信息技术的迅速发展，智能

电网新技术的应用与电网设备管理规范化使得电网设备运行水平大幅提升，尤其

是在电力监控系统安全防护体系逐步建立之后，变电站监控系统的网络安全防护

能力有显著的提升。然而，当前全球网络空间安全形势已日趋严峻，我国信息安

全压力日益增大，工控系统网络也面临着越来越多的安全威胁。2015年12月乌

克兰电力系统受到黑客攻击，导致乌克兰三个区域的电力系统被破坏并引发了大

规模停电，这次事件为全球电力系统网络安全敲响了警钟。

关键字：电力调度网络安全入侵

背景介绍

电力调度通信网络是电力行业命脉所在，而当前电力调度通信网络站端系统

设备运行状态监测主要存在如下问题：

（1）系统复杂数据海量

变电站分布着如综自系统、远动系统、PMU、电量采集、保信子系统以及调

度数据交换机、站控层交换机、防火墙、网络隔离装置、纵向加密认证装置等不

同厂家的设备，不同系统既有网络通信数据又有应用业务数据，综合起来数据量

就非常庞大，一旦系统出现缺陷或故障时，难以在海量数据中去发现问题。

（2）不当接入缺乏监视

根据现有变电站工作安全规程，工作票对工作任务和安全措施并没有严格规

定不能接入未经查杀病毒的笔记本或移动存储，同时在站端也缺乏技术手段监视

记录其接入过程，一旦设备感染病毒导致故障也无法追溯当时的操作行为。

（3）运行状态信息简单

现有业务系统具备能采集自身运行状态信息并上送主站，但由于采集信息过

于简单，难以详细地反映站端设备的运行状况，造成主站端难以准确判断设备实

际运行状态。

（4）历史数据无法重现

站端出现网络风暴、病毒传播、二次装置异常等情况，由于站端现场缺乏网

络数据的完整历史记录，相关环节的通信状况无法重现，从而使事故原因难以分

析及查找定位。

网络安全分析

当前电力监控系统安全防护体系中网络边界防护强度非常高，直接从边界入

侵的可能性不大，初步分析网络安全入侵的可能途径如下：

（1）网络纵向边界在安全策略配置不当时可直接远程入侵；

（2）网络纵向边界业务系统传送文件，而该文件中携带了病毒，就可能以

正常途径自纵向网络传入病毒。

（3）在生产控制大区中，系统维护时将便携式计算机接入网络，而便携式

计算机本身携带了病毒，就可能在网络中传播或潜伏。

（4）在生产控制大区中，系统维护时将移动存储（U盘、光盘、移动硬盘等）

接入控制计算机，而移动存储携带了病毒，就可能在网络中传播或潜伏。

上述途径尤其以便携式计算机、移动存储威胁最大，因为一旦潜入到生产控

制大区，就有利用纵向安全策略或应用漏洞进行广域网传播的前提，因此，对便

携式计算机、移动存储等的安全接入防护非常重要，工业控制系统网络安全防护

国际标准IEC-62443中对上述两中接入模式进行了专门的区域划分，如下图：

标准对便携式计算机（PEC:PortableEngineeringComputer）和移动存储

（PSM:PortableStorageMedium）设立了专门的防护区域，但目前我国电力系

统在变电站生产控制大区设立防病毒措施有一定难度，其核心问题主要是如何保

证病毒检测库从互联网下载更新的安全性，因此，结合当前的实际情况，可行的

防护措施如下：

（1）在生产控制大区进行系统维护时，如使用便携式计算机或移动存储必

须在生产单位规定的病毒检测系统查杀通过后才能接入网络（必须列入变电站二

次系统工作票的规范流程中）。

（2）对网络接入变动、移动存储接入等情况进行实时监测并保存历史记录，

以便实时感知网络风险与事后审计追溯。

网络安全监测部署

针对以上网络安全分析，在电力调度通信网络种，部署网络安全监测装置，

部署架构图如下：

网络安全监测装置部署在变电站端I区，主要连接方式如下：

（1）装置与站控层中心交换机相连用于数据通信；

（2）装置与出站端交换机相连用于数据通信，实现二次安防装置的状态采

集以及与调度监管主站的信息交互；

（3）装置支持光B码或电B码对时，需把站内对时系统接入装置中；

（4）装置上送信息通过变电站端II