第六届工业控制系统信息安全峰会.ppt

北京威努特技术有限公司电厂平安事件及常见平安问题

平安事件平安问题平安误区

近年来的电厂工控平安事件2014年，美国俄亥俄州核电站受到SQLSlammer蠕虫病毒攻击，网络数据传输量剧增，导致系统变慢，控制计算机连续数小时无法工作。国外事件Ⅲ2010年，伊朗核燃料工厂遭遇“震网病毒”袭击，导致控制系统失效，1000台离心机损坏国外事件Ⅱ2015年乌克兰电网遭遇黑客攻击一事震惊世界，直接造成约70万个家庭在圣诞前夜陷入一片黑暗国外事件Ⅰ2000年10月13日,四川二滩水电厂控制系统收到异常信号停机.7秒甩出力89万,川渝电网几乎瓦解国内事件Ⅰ2001年10月1日，某公司生产的故障录波装置被发现“时间逻辑炸弹”，全国共146套装置存在问题国内事件Ⅱ国内事件Ⅲ30%中国是全球网络攻击最大受害国自2021年以来网络攻击增长15倍其中30%是针对国家根底设施攻击的重点是那么集中在电力行业

0102050403

工信部发改委国家能源局

国务院工信部网信办2021年工信部下发451号文件?关于加强工业控制系统信息平安管理的通知?，通知指出“……加强工业控制系统平安，重点领域包括钢铁、化工、电力……等与国计民生紧密相关领域，……结合实际加强重点领域和重点环节〞

行业要求及命令

国家能源局印发国能安全〔2015〕36号《电力监控系统安全防护规定》制定了《电力监控系统安全防护总体方案》等7份文件提出总体原则“安全分区、网络专用、横向隔离、纵向认证”?发电厂监控系统平安防护方案?摘录……对电力监控系统从主机、网络设备、恶意代码防范、应用平安控制、审计、备份及容灾等多个层面进行信息平安防护……综合平安防护应包含如下手段入侵检测、主机与网络设备加固、应用平安控制、平安审计、专用平安产品的管理、备用与容灾、恶意代码防范、设备选型及漏洞整改

区域防护平安加固监控审计漏洞扫描

对于工控平安的误区一：网络隔离就平安工控网络的入侵途径：…………

01误区二：传统的IT平安产品能解决工控平安问在信息平安中，People,Process和Technology三个要素互相作用，缺一不可：

“平安分区、网络专用、横向隔离、纵向认证〞纵向认证设备或措施正向安全隔离装置反向安全隔离装置电力监控系统平安防护总体原那么

电力二次系统平安防护总体原那么——平安分区纵向认证设备或措施正向安全隔离装置反向安全隔离装置

电力调度数据网实时控制SDH（N*2M）SDH/SPH传输网在线生产调度生产管理电力综合信息IP/语音视频实时VPN非实时VPN电力企业数据网调度生产管理电力综合信息IP/语音视频SDH（155M）电力二次系统平安防护总体原那么——网络专用

电力二次系统平安防护总体原那么——横向隔离

电力二次系统平安防护总体原那么——纵向认证

管理信息大区生产控制大区

生产控制区与管理信息区的横向隔离正向隔离装置反向隔离装置36号文要求〔章节〕发电厂生产控制大区与管理信息大区之间通信应当部署电力专用横向单向隔离装置解决方案通过在生产控制大区和管理信息大区之间部署专用单向隔离装置，隔离装置分为正向隔离和反向隔离平安收益保护控制系统平安运行。实现横向逻辑隔离，保护更高平安级别的生产控制区平安。

生产控制区——平安Ⅰ区Ⅱ区间的横向隔离解决方案保护控制系统平安运行。实现横向逻辑隔离，将危险源控制在有限范围内

生产控制区——系统间隔离平安收益阻止来自区域之间的越权访问，病毒、蠕虫恶意软件扩散和入侵攻击，实现横向逻辑隔离，将危险源控制在区域内。

生产控制区——纵向认证解决方案位于电力控制系统的内部局域网与电力调度数据网络路由之间，提供上下级系统之间提供认证与加密效劳。纵向加密认证装置纵向加密认证装置图要改

36号文要求〔章节4.3〕如控制区系统与环保、平安等政府部门交互······其边界应采用生产控制大区和管理信息大区之间的平安防护措施。解决方案在控制区的网络边界放置单向隔离装置，利用单向隔离装置实现生产控制网数据单向流入。生产控制区——第三方边界防护平安收益平安环保等政府机构，而这些第三方机构不能通过单向隔离装置向生产控制网发送数据

综合平安防护——入侵检测安全监测与审计36号文要求〔章节5.1〕生产控制大区可以统一部署一套网络入侵检测系统，检测发现······入侵行为，分析潜在威胁并审计。解决方案在生产控制区边界处旁路部署工控入侵检测设备，实时监控各种数据报文及来自网络外部或内部的多种攻击行为。平安收益帮助用户在第一时间发现相关的威胁，并及时采取行动遏制恶意行为的破坏

综合平安防护——主机与网络设备加固36号文要求〔章节5.2〕发电厂SIS系统······Web效劳器等应当使用平安加固的操作系统。加固方式包括：平