AI智能體專區(qū)
立即體驗恒腦安全智能體 
立即解鎖AI安服數(shù)字員工 
行業(yè)解決方案
技術(shù)解決方案
能源電力
ENERGY POWER
大唐陽城電廠項目案例
火電作為我國發(fā)電的主流類型，是國民經(jīng)濟的支柱產(chǎn)業(yè)之—，火電發(fā)電的控制系統(tǒng)是火電廠的大腦。在兩化融合的大趨勢下，行業(yè)中的工控網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的互聯(lián)互通是一個必然的趨勢。從行業(yè)普遍性角度來看，工控網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的連接基本上僅有一個防火墻，但是不支持OPC等主流工控設(shè)備，控制粒度非常粗糙，帶來很大的安全隱患，工控網(wǎng)絡(luò)基本上不具備任何發(fā)現(xiàn)、防御外部攻擊行為的手段，外部威脅源一旦進入公司的辦公網(wǎng)絡(luò)，則可以連接到工業(yè)網(wǎng)絡(luò)的現(xiàn)場控制層網(wǎng)絡(luò)，直接影響工業(yè)生產(chǎn)。另一方面工控網(wǎng)絡(luò)內(nèi)部設(shè)備如各類操作站、終端等，大部分采用Windows系統(tǒng)，為保證工業(yè)軟件的穩(wěn)定運行無法進行系統(tǒng)升級甚至不能安裝殺毒軟件，存在著大量漏洞，在自身安全性不高的情況下運行，綜合而言工控系統(tǒng)的安全風險不言而喻。
根據(jù)電力行業(yè)電力監(jiān)控系統(tǒng)安全防護總體方案（國能安全【2015】 36號）的相關(guān)規(guī)定，參照中國大唐集團有限公司企業(yè)標準《工控系統(tǒng)網(wǎng)絡(luò)信息安全技術(shù)監(jiān)督標準》，結(jié)合輔控系統(tǒng)現(xiàn)場網(wǎng)絡(luò)情況，經(jīng)分析診斷目前存在以下幾方面的網(wǎng)絡(luò)安全問題。
·網(wǎng)絡(luò)監(jiān)控不足
·主機防護不足
·網(wǎng)絡(luò)隔離防護缺乏有效措施
項目內(nèi)容
建設(shè)原則及要點
● 穩(wěn)定可靠
對發(fā)電廠熱控系統(tǒng)來說安全穩(wěn)定可靠是最重要的。在本次項目中建議的安全控制措施，包括其部署和應(yīng)用的方式，都是在各集團網(wǎng)站中有眾多先例的，已經(jīng)被各電力集團所接受的技術(shù)和產(chǎn)品。
● 實時性和高效性
在本次信息安全架構(gòu)設(shè)計中考慮到發(fā)電廠實際情況，建議采用高處理能力的安全產(chǎn)品，以保證實時性和高效性。
● 安全風險可控
根據(jù)發(fā)電廠的實際情況建議將整體網(wǎng)絡(luò)分割為不同的區(qū)域，并在邊界進行嚴格的訪問控制。
● 靈活性和擴展性
在本次項目中設(shè)計的架構(gòu)在充分保證滿足用戶的可靠性運行要求、靈活性和擴展性要求。
建設(shè)方案
根據(jù)目前陽城電廠輔控系統(tǒng)存在的工控網(wǎng)絡(luò)安全問題，結(jié)合陽城電廠輔網(wǎng)實際的網(wǎng)絡(luò)結(jié)構(gòu)，并考慮后續(xù)輔控接入SIS系統(tǒng)的情況，在"安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證、綜合防護"原則的基礎(chǔ)上針對性的建設(shè)方案。
● 劃分安全隔離域
把電廠輔控網(wǎng)絡(luò)劃分成水系統(tǒng)安全隔離域、灰系統(tǒng)安全隔離域和煤系統(tǒng)安全隔離域，分別在水網(wǎng)、灰網(wǎng)、煤網(wǎng)的子系統(tǒng)網(wǎng)絡(luò)出口處分別安裝工業(yè)防火墻，合理配置安全策略，實現(xiàn)邏輯隔離、報文過濾、訪問控制等功能，加強邊界之間的安全防護和監(jiān)控。
●增加工控網(wǎng)絡(luò)安全審計
安全I區(qū)的各個子系統(tǒng)安裝工控網(wǎng)絡(luò)安全審計平臺，對操作系統(tǒng)、數(shù)據(jù)庫、業(yè)務(wù)應(yīng)用的重要操作進行記錄、分析，及時發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。●提高工控系統(tǒng)入侵檢測能力
安全II區(qū)統(tǒng)一部署一套工業(yè)APT預(yù)警平臺，合理設(shè)置監(jiān)測規(guī)則，監(jiān)測發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息中的入侵行為，分析潛在威脅并進行安全審計。
●增加日志審計功能
在安全I區(qū)和安全II區(qū)部署綜合日志審計平臺，能夠?qū)W(wǎng)絡(luò)運行日志、操作系統(tǒng)日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運行日志、安全設(shè)施運行日志等進行集中收集、自動分析，并保存不少于6個月。
●增加網(wǎng)絡(luò)安全監(jiān)測裝置詳細說明
在安全區(qū)II部署工控態(tài)勢感知平臺，實時監(jiān)測域內(nèi)電力工控系統(tǒng)的主機、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等運行狀態(tài)及日志的采集、存儲、轉(zhuǎn)發(fā)，數(shù)據(jù)經(jīng)網(wǎng)閘可傳輸至集團公司工控網(wǎng)絡(luò)安全監(jiān)測平臺。
● 主機安全加固詳細說明
電廠輔控操作員站、工程師站、接口機等工控機，一般投用后操作系統(tǒng)及應(yīng)用軟件不會有較大變動，為確保工控系統(tǒng)穩(wěn)定性很少人為定期更新系統(tǒng)等操作，故采用白名單防護技術(shù)的工控安全主機衛(wèi)士非常適合用來加固工控機，提高主機的防護能力。
項目價值
本方案通過體系化的設(shè)計方式，完成大唐陽城電廠輔控的安全體系設(shè)計，主要功能點如下∶
?o?區(qū)域隔離防護
方案通過工業(yè)防火墻，達到以安全域為單位，嚴格限制通訊訪問方式。
?o?控制網(wǎng)絡(luò)內(nèi)部安全監(jiān)測與審計
通過部署工業(yè)安全監(jiān)測審計平臺，實時檢測出針對工業(yè)協(xié)議的網(wǎng)絡(luò)攻擊、誤操作、違規(guī)操作、非法 IP 或非法設(shè)備接入以及病毒的傳播并實時報警，幫助客戶及時采取應(yīng)對措施，減少系統(tǒng)異常風險。平臺能夠詳實記錄一切網(wǎng)絡(luò)通信行為，包括指令級的工業(yè)控制協(xié)議通信記錄，并且提供回溯功能，為工業(yè)控制系統(tǒng)的安全事故調(diào)查提供堅實的基礎(chǔ)。
?o?主機防病毒
控系統(tǒng)的惡意代碼防范主要通過安裝工業(yè)安全主機衛(wèi)士方式實現(xiàn)。工控主機防護是指在工控上位機的操作系統(tǒng)平臺層面，對網(wǎng)絡(luò)端口、外設(shè)端口、重要文件進行管控，達到主機層面對惡意代碼的有效防范。
?o 全面安全監(jiān)控
