引言

　　2019年12月1日，《網絡安全等級保護基本要求》的正式實施標志著等級保護制度整體進入 2.0 時代，等級保護對象范圍從傳統的網絡和信息系統，向“云移物工大”上進行了擴展。GB/T22239由單獨的基本要求演變為通用安全要求+新技術安全擴展要求，且技術要求和管理要求都做了調整。而關鍵信息基礎設施也在定級要求上明確指出“定級原則上不低于三級”的要求。在“關鍵信息基礎設施的等保2.0之路”系列文章中，天地和興將從關鍵信息基礎設施保護的實踐出發，梳理并提供2.0時代等保安全建設的整體解決方案，旨在助力關鍵信息基礎設施運營者網絡安全防護能力和信息安全管理能力的提升，應對各類網絡風險和挑戰。

　　一、安全現狀

　　近年來，國家在促進節能減排方面提供了很多支持政策。光伏和風能是近來最具大規模開發利用價值的可再生能源，對環境保護和社會可持續發展有重要意義。目前，我國風電累計裝機量已居世界第一，太陽能發電裝機達到1.1億千瓦以上，分布式光伏6000萬千瓦以上。新能源電站電力監控系統的設計和安全建設基本依托國家能源局36號文中安全分區、網絡專用、橫向隔離、縱向認證、綜合防護原則。按《電力行業信息系統安全等級保護定級工作指導意見》規定，總裝機200兆瓦及以上的風電和光伏場站電力監控系統應按等保三級進行保護。電廠生產控制系統和電力監控系統以計算機、通訊設備、測控單元為基本工具，為發電生產實時數據采集、開關狀態檢測及遠程控制提供了基礎平臺，參考大多數新能源發電企業的網絡安全檢查結果，當前新能源發電企業生產控制大區信息普遍存在以下網絡安全隱患：

　　· 新能源場站生產區域系統眾多，場站與調度數據網、集控中心均存在數據交互，生產控制大區內部系統風機監控、光伏板控制、繼電保護等與二區功率預測、電能量采集等業務也需要數據交互，功率預測系統還要從互聯網下載氣象數據。一旦防護不當，惡意攻擊會從信息網甚至互聯網直接滲透到工控網，入侵、病毒等風險也很容易在工控網絡中蔓延;

　　· 生產控制大區的工程師站、操作員站等大部分上位機為Windows/Linux平臺。為保證過程控制系統的相對獨立性，同時考慮系統的穩定運行，通常在系統運行后不會安裝殺毒軟件、更新安全補丁，變更策略配置，以防埋下巨大的安全隱患，一旦感染惡意代碼，極易傳播擴散，導致系統運行故障;

　　· 網絡安全意識淡薄與網絡安全管理不健全，權限管控不嚴格，遠程運維不可控，日常操作權限濫用。如：系統集成商通常會通過TeamViewer等遠程桌面程序進行運維。工程師站、操作員站、服務器等缺乏有效的安全管控措施，弱口令甚至無口令會導致非授權訪問發生。外部接口無管控、非授權的使用U盤致使主機易感染病毒;

　　· 從等保2.0的要求及構建整體網絡安全防護體系的需求來看，大部分新能源發電企業并無統一的信息安全管理策略，亦并未配置獨立的安全管理中心。

　　二、解決方案

　　面對上述新能源發電企業的安全現狀，天地和興做了深入的調查與研究，面對新能源(風電、光伏)場站和集控中心不同的應用場景，提供全生命周期工業網絡安全解決方案，構建安全防御體系。

　　1、風險評估方案

　　結合新能源場站和集控中心不同的場景，風險評估能夠全面了解與驗證生產控制系統網絡中存在的各種風險，天地和興圍繞用戶生產控制系統網絡運行環境、安全管理制度等因素，由專業的安全服務人員，借助專業的風險檢查工具，對系統網絡做全面的安全檢查與驗證，生成權威的安全風險評估報告，為用戶全面了解生產控制系統網絡安全風險提供依據。

　　圖1 風險評估流程

　　2、安全防護方案

　　天地和興按照總裝機量200MW以上三級系統要求，對新能源場站和集控中心生產監控系統的網絡進行安全防護建設，遵循可持續發展、分區分級保護重點、網絡專用多道防線、全面融入安全生產、管控風險保障安全的原則，參照國家《網絡安全等級保護基本要求》“一個中心、三重防護”的安全理念，通過部署工控防火墻、工控安全審計、入侵檢測、網絡安全監測裝置等安全防護產品，提升生產監控系統網絡整體防護能力，部署示意圖如下：

　　圖2 新能源集控中心安全防護

　　圖3 新能源場站安全防護

　　安全通信網絡：在生產控制大區和信息管理大區之間串行部署電力專用單向隔離網閘，用于生產控制大區到管理信息大區的非網絡方式單向數據傳輸;在電力控制系統內部局域網與電力調度數據網絡的路由器之間部署電力專用加密認證網關，用來保障電力調度系統縱向數據傳輸過程中的數據機密性、完整性。

　　安全區域邊界：在場站和集控中心不同級別安全域“安全區I與安全區II”之間串行部署工控防火墻產品，建立“發電-升壓-并網業務實時區和非實時區”的訪問控制策略，保護系統運行安全。在核心業務數據交匯處“安全I區和安全II區核心交換機”旁路鏡像部署入侵檢測系統、工控安全審計平臺，實時監測網絡邊界、安全域內重要節點的異常行為并進行審計告警，異常行為包括各類已知、未知的入侵行為、網絡病毒、非法訪問等。

　　安全計算環境：在場站和集控中心主要的上位機上部署主機安全防護系統客戶端，實現主機防病毒、防第三方軟件的非授權安裝與使用。在上位主機網絡部署USB安全隔離系統，實現對外界USB存儲設備的認證管控、防USB攻擊、防病毒、防篡改與操作行為審計等功能，保證系統USB拷貝數據的安全。針對電力監控系統內所有上位機、網絡設備以及服務器等進行安全加固服務，加固方式包括但不限于：安全配置、安全補丁、采用專用軟件或硬件強化操作系統訪問控制能力以及配置安全的應用程序。加固措施包括：升級到當前系統版本、安裝后續補丁合集、加固系統TCP/IP配置、關閉不必要服務和端口、為超級用戶或特權用戶設定復雜口令、修改弱口令或空口令、禁止任何應用程序以超級用戶身份運行、設定系統日志和審計行為等。

　　安全管理中心：在場站和集控中心生產控制大區中新建安全管理域，部署日志審計與分析系統、賬號管理及運維審計系統、工控信息安全監管與分析平臺，實現全網安全設備運行監控、安全日志收集與分析、安全事件集中處置，全網系統賬戶的統一管理與操作審計，全網資產無損掃描識別與管理，資產漏洞匹配與統計報告等安全集中管理能力。在安全I區和安全II區各部署一臺網絡安全監測裝置，通過探針軟件和網管協議收集涉網設備的運行日志、安全設備運行日志、涉網業務系統的運行日志等，將告警信息經縱向加密統一上傳至省調和地調的網絡安全管理平臺。

　　3、安全檢查方案

　　應建立生產監控系統定期安全檢查和整改工作機制，每年至少自行開展一次安全檢查，依據發現問題需制定整改計劃及措施，并將整改情況上報主管單位和集團公司。等級保護定級為三級的系統，除每年自行開展一次安全檢查外，還應按照等級保護要求，做好安全評估及整改工作。針對攻防演練等專項活動時，應重點對邊界防護設備的配置進行細致核查，并檢查邊界入侵檢測等設備的可用性，避免特征庫過舊，授權過期等情況發生。

　　4、應急演練方案

　　協助制訂新能源發電企業生產監控系統安全應急處置預案，每年至少進行一次演練，確保發生安全事件時能夠有序處置、快速恢復。當生產控制大區內生產監控系統發生變化時，及時組織對應急處置預案進行評估，根據實際情況適時修改并進行演練，形成快速反應、快速處置的能力。確保當生產控制大區出現安全事件，尤其是遭到黑客、惡意代碼攻擊和其他人為破壞時，立即向上級電力調度機構以及當地國家能源局派出機構、當地政府相應部門及集團公司報告，同時按應急處理預案采取安全應急措施。處理安全事件過程中應注意保護現場，以便進行調查取證和分析。最后將制定安全防護事件通報制度、有關安全問題做好記錄。定期向調度中心報送生產監控系統安全防護情況，及時上報生產監控系統安全防護出現的異?，F象。

　　5、安全服務方案

　　新能源發電場站通常地理位置較偏遠，人員編制有限，通常不配備專業網絡安全管理人員，針對主管、運維等部門的“專業壁壘”等問題，天地和興為相關人員提供專業的培訓、咨詢、運維等服務，涉及網絡安全培訓、安全防護標準培訓、當前攻防技術培訓與應用、安全管理與規范操作日常運維等內容，協助企業全員提高專業知識與安防范意識，還提供7*24小時的專家級安全咨詢服務與運維、應急保障。

　　6、安全運營方案

　　安全運營的好壞直接影響工業網絡安全防護體系的防護效能。安全運營涵蓋的內容較多，包括在集控中心或分公司級別的機構建立安全運營中心、進行安全意識培訓、安全運營管理、安全體系管理、安全運維管理等多維度內容。針對企業實際情況進行詳細方案設計，并規范新能源發電企業的整體安全運營工作。

　　三、總結

　　天地和興按照國家等級保護要求，充分考慮新能源發電企業生產監控系統面臨主要安全威脅的基礎上，結合集團電力企業網絡安全建設與管理實際情況、業務系統實際組網應用情況，側重在網絡層、主機層構建縱深安全防護體系，落實國家等級保護“一個中心、三重防護”的安全理念與安全架構要求，系統地為企業提供包括安全服務、安全建設、安全運營在內的工業網絡安全全生命周期解決方案，為關鍵信息基礎設施業務系統安全運行保駕護航。