网络安全监测装置在电力网络中的应用

网络安全监测装置在电力网络中的应用

匡代璋 陈华贵

中国电子科技集团公司第三十四研究所 ,广西 桂林 541004

摘要：近年来，随着电力调度通信网络与计算机信息技术的迅速发展，智能电网新技术的应用与电网设备管理规范化使得电网设备运行水平大幅提升，尤其是在电力监控系统安全防护体系逐步建立之后，变电站监控系统的网络安全防护能力有显著的提升。然而，当前全球网络空间安全形势已日趋严峻，我国信息安全压力日益增大，工控系统网络也面临着越来越多的安全威胁。2015年12月乌克兰电力系统受到黑客攻击，导致乌克兰三个区域的电力系统被破坏并引发了大规模停电，这次事件为全球电力系统网络安全敲响了警钟。

关键字：电力调度 网络安全 入侵

背景介绍

电力调度通信网络是电力行业命脉所在，而当前电力调度通信网络站端系统设备运行状态监测主要存在如下问题：

（1）系统复杂数据海量

变电站分布着如综自系统、远动系统、PMU、电量采集、保信子系统以及调度数据交换机、站控层交换机、防火墙、网络隔离装置、纵向加密认证装置等不同厂家的设备，不同系统既有网络通信数据又有应用业务数据，综合起来数据量就非常庞大，一旦系统出现缺陷或故障时，难以在海量数据中去发现问题。

（2）不当接入缺乏监视

根据现有变电站工作安全规程，工作票对工作任务和安全措施并没有严格规定不能接入未经查杀病毒的笔记本或移动存储，同时在站端也缺乏技术手段监视记录其接入过程，一旦设备感染病毒导致故障也无法追溯当时的操作行为。

（3）运行状态信息简单

现有业务系统具备能采集自身运行状态信息并上送主站，但由于采集信息过于简单，难以详细地反映站端设备的运行状况，造成主站端难以准确判断设备实际运行状态。

（4）历史数据无法重现

站端出现网络风暴、病毒传播、二次装置异常等情况，由于站端现场缺乏网络数据的完整历史记录，相关环节的通信状况无法重现，从而使事故原因难以分析及查找定位。

网络安全分析

当前电力监控系统安全防护体系中网络边界防护强度非常高，直接从边界入侵的可能性不大，初步分析网络安全入侵的可能途径如下：

（1）网络纵向边界在安全策略配置不当时可直接远程入侵；

（2）网络纵向边界业务系统传送文件，而该文件中携带了病毒，就可能以正常途径自纵向网络传入病毒。

（3）在生产控制大区中，系统维护时将便携式计算机接入网络，而便携式计算机本身携带了病毒，就可能在网络中传播或潜伏。

（4）在生产控制大区中，系统维护时将移动存储（U盘、光盘、移动硬盘等）接入控制计算机，而移动存储携带了病毒，就可能在网络中传播或潜伏。

上述途径尤其以便携式计算机、移动存储威胁最大，因为一旦潜入到生产控制大区，就有利用纵向安全策略或应用漏洞进行广域网传播的前提，因此，对便携式计算机、移动存储等的安全接入防护非常重要，工业控制系统网络安全防护国际标准IEC-62443中对上述两中接入模式进行了专门的区域划分，如下图：

标准对便携式计算机（PEC: Portable Engineering Computer）和移动存储（PSM: Portable Storage Medium）设立了专门的防护区域，但目前我国电力系统在变电站生产控制大区设立防病毒措施有一定难度，其核心问题主要是如何保证病毒检测库从互联网下载更新的安全性，因此，结合当前的实际情况，可行的防护措施如下：

（1）在生产控制大区进行系统维护时，如使用便携式计算机或移动存储必须在生产单位规定的病毒检测系统查杀通过后才能接入网络（必须列入变电站二次系统工作票的规范流程中）。

（2）对网络接入变动、移动存储接入等情况进行实时监测并保存历史记录，以便实时感知网络风险与事后审计追溯。

网络安全监测部署

针对以上网络安全分析，在电力调度通信网络种，部署网络安全监测装置，部署架构图如下：

网络安全监测装置部署在变电站端I区，主要连接方式如下：

（1）装置与站控层中心交换机相连用于数据通信；

（2）装置与出站端交换机相连用于数据通信，实现二次安防装置的状态采集以及与调度监管主站的信息交互；

（3）装置支持光B码或电B码对时，需把站内对时系统接入装置中；

（4）装置上送信息通过变电站端II区出站。

网络安全监测装置主要功能模块有：

（1）数据模型构建应用

（2）信息采集数据存储

（3）数据分析风险感知

（4）与主站的数据交互

（5）装置维护系统管理

网络安全监测装置支持采用配置工具实现二次运维系统模型的创建和维护。该配置工具具备以下功能：

（1）创建基于IEC61970标准扩展的变电站二次运维CIM模型，包括但不限于测控、保护、后台、远动、保信、交换机、防火墙、二次安防等设备的模型，并支持扩展通信链路模型，可对通信链路的流量进行监视。

（2）支持修改二次运维模型，包括增加、修改和删除功能；

（3）导出CIM模型文件；

（4）导出网络拓扑文件和SVG图形文件。

总结

电力系统对站端网络安全风险与系统设备运行状态进行采集上送的需求已日益迫切，因此应当采用技术手段对站端网络风险进行实时感知、对系统设备运行状态进行数据采集，从而及时发现网络安全的潜在隐患，降低业务系统的运行故障率，抵御因网络安全而导致站端系统可靠性下降的风险，以便更有力地保障电网的安全稳定运行。

参考文献:

克里斯.桑德斯 杰森.史密斯著 李伯松 李燕宏译 网络安全监控 机械工业出版社

杨家全,冯勇,李踔等 密电力监控系统网络安全运维技术与实践 西南交通大学出版社

饶志宏 调度自动化主站系统培训教材 国防工业出版社