天地和兴：关键信息基础设施的等保2.0之路 | 火力发电篇

2019年12月1日，《网络安全等级保护基本要求》的正式实施标志着等级保护制度整体进入 2.0 时代，等级保护对象范围从传统的网络和信息系统，向“云移物工大”上进行了扩展。GB/T22239由单独的基本要求演变为通用安全要求+新技术安全扩展要求，且技术要求和管理要求都做了调整。而关键信息基础设施也在定级要求上明确指出“定级原则上不低于三级”的要求。在“关键信息基础设施的等保2.0之路”系列文章中，天地和兴将从关键信息基础设施保护的实践出发，梳理并提供2.0时代等保安全建设的整体解决方案，旨在助力关键信息基础设施运营者网络安全防护能力和信息安全管理能力的提升，应对各类网络风险和挑战。

一、安全现状

自2007年国务院《关于加快关停小火电机组若干意见的通知》，火电行业开始“上大压小”。新建、扩建、改建的火电厂发电机组规模越来越大，按照行业定级要求火电机组控制系统单机容量300兆瓦及以上的定级为三级来看，火电生产控制系统需要按等保三级要求重点防护的占比越来越高。电厂生产控制系统和电力监控系统是以计算机、通讯设备、测控单元为基本工具，为火电厂生产的实时数据采集、开关状态检测及远程控制提供了基础平台，它可以和检测、控制设备构成任意复杂的监控系统，在火电厂生产中发挥了核心作用，可以帮助企业消除信息孤岛，降低运作成本，提高生产效率，加快产电、变配电过程中的异常反应速度。当前火力发电企业生产控制大区信息普遍存在以下网络安全隐患：

火电企业系统众多、数据交互频繁，一旦防护不当会导致恶意攻击从信息网甚至互联网直接渗透到生产网络；

生产控制大区的工程师站、操作员站等大部分上位机为Windows/Linux平台。为保证过程控制系统的相对独立性，同时考虑到系统的稳定运行，通常在系统运行后不会安装杀毒软件，更新安全补丁或变更策略配置，防止埋下巨大的安全隐患。一旦感染恶意代码，极易传播扩散，导致非计划停机；

目前在火电DCS控制系统中，各类品牌设备普遍存在安全问题。近年来国内外漏洞平台陆续发布了针对工控系统HMI软件、PLC固件的多个漏洞。一旦漏洞没有及时修复被黑客利用，会造成严重影响；

缺乏对管理和技术人员操作行为的有效安全监管和审计，误操作或恶意操作安全风险较大；

从等保2.0的要求以及构建整体网络安全防护体系的需求来看，大部分火电企业并无统一的信息安全管理策略，亦并未配置独立的安全管理中心。

 
天地和兴：关键信息基础设施的等保2.0之路 | 火力发电篇

二、解决方案

面对上述火力发电企业的安全现状，天地和兴做了深入的调查与研究，面对不同的应用场景，提供了全生命周期安全解决方案，为火力发电安全生产构建安全防御体系。

1、风险评估方案

风险评估是全面了解与验证火力发电企业生产控制网络和管理过程中存在各种风险和问题的一种必要手段，亦是安全防护体系建设的前提，天地和兴将针对火力发电企业生产控制网运行环境与安全管理制度，对生产控制系统网络做全面的安全检查与验证，并对当前网络环境进行深度工控漏洞挖掘，最终生成权威的安全风险评估报告，为用户全面了解生产控制系统网络安全风险提供依据。

 
天地和兴：关键信息基础设施的等保2.0之路 | 火力发电篇

2、安全防护方案

对火电厂生产监控系统的网络安全防护建设，遵循电力建立体系不断发展、分区分级保护重点、网络专用多道防线、全面融入安全生产、管控风险保障安全的原则，参照国家《网络安全等级保护基本要求》“一个中心、三重防护”的安全理念，通过部署工控防火墙、工控安全审计、入侵检测、网络安全监测装置等安全防护产品，提升生产监控系统网络整体防护能力，部署示意图如下：

 
天地和兴：关键信息基础设施的等保2.0之路 | 火力发电篇

安全通信网络：在生产控制大区和信息管理大区之间串行部署电力专用单向隔离网闸，用于生产控制大区到管理信息大区的非网络方式单向数据传输；电力专用加密认证网关部署在电力控制系统的内部局域网与电力调度数据网络的路由器之间，用来保障电力调度系统纵向数据传输过程中的数据机密性、完整性。

安全区域边界：在电力监控系统不同级别安全域之间部署工控防火墙/电力专用隔离装置，建立不同安全域之间的访问控制策略，实现网络隔离与细粒度控制。严格禁止E-mail、WEB、Telnet、Rlogin、FTP 等安全风险高的网络服务，以及通过 B/S或 C/S 方式的数据库访问穿越专用横向单向安全隔离装置。避免在一个系统或区域里爆发工控安全事件扩散到其他系统或区域当中，保障区域间通信网络安全。通过在核心交换机上旁路部署入侵检测系统、工控威胁检测系统、工控安全审计平台，实时监测网络边界、安全域内重要节点的异常行为并进行审计告警，异常行为包括各类已知、未知的入侵行为，网络病毒，非法访问等。

%3