核电厂仪控系统安全防护策略研究及应用

核电厂仪控系统安全防护策略研究及应用

沈正儒,孟凡超

连云港金辰实业有限公司 江苏 连云港 222000

摘要：核工业的网络安全事件表明，核电站仪表和控制系统的网络、主机、应用和数据保护不足，一旦发生网络安全事件，后果严重。基于对核网络安全标准的回顾，分析了白名单和黑名单政策之间的技术差异，并提出了在核电站场景下实施白名单保护政策的建议。详细讨论了软件白名单、外围白名单、工控协议白名单和工控行为白名单的基本概念、技术参数和实际实施方案；介绍了白名单保护策略的具体实施方案，包括规划、设计、验证、实施和维护五个阶段，该产品已在实际核电站投入运行。该产品已在一家核电站投入使用。经过验证，采用白名单技术保护的网络区域可以有效防止恶意软件的破坏，阻止恶意信息的发送，从而保护核电站的仪控系统。

关键词：核电厂；仪控系统；防护策略

引言

核电厂是中国能源工业中具有国家战略意义的部门，有其独特的操作流程，这意味着对核电站仪控系统的安全要求更加严格。一旦发生事故，这不仅会影响生产和运营，而且会影响环境污染和工人的辐射风险，这可能会进一步影响全球核工业。影响核网络安全的重大事件，如伊朗地震和韩国核电站泄漏，都说明了核网络安全的重要性和关键性。在建立、运行和维护中国核电网络安全的过程中，由于大量的进口设备和维护团队，安装和引入潜在漏洞的风险增加。在核电站仪表和控制系统的运行过程中，如果不能保护网络、主机、应用程序和数据，在恶意软件感染的情况下会产生严重后果。因此，必须考虑对AES正常运行的影响和网络安全的有效性。

1保护核电站仪表和控制系统安全的策略

保护技术方法是根据业务活动来划分网络，避免网络之间的直接连接。隔离是通过使用单向隔离网关或工业防火墙来实现的，它限制了访问权限并防止恶意软件和信息的传播。擦除 "的一般技术方法可分为两大类：黑名单和白名单。

1.1黑名单和白名单技术的比较

黑名单通常涉及传统的防病毒软件、入侵检测系统、入侵预防系统等。黑名单产品依靠已知的特征来检测恶意软件和恶意行为，通过创建复杂的 "禁止 "规则来识别相关文件、信息和行为，可以检测和阻止恶意软件和攻击，以达到清理的效果。在NPP网络环境中，列入黑名单的产品有以下缺点。(1) 为了提供良好的保护，内置功能库必须实时更新；工厂的仪控系统与外部网络隔离，系统补丁不能及时更新，不能保证有效保护。(2）特征匹配过程是资源密集型的，会造成系统过载或减速，实时性差，不能满足工厂仪控系统的高实时性要求。（3）字符匹配不能保证完全准确，可能会产生误报；特别是对行为字符的检测，可能会将仪表和控制系统中的I/O卡读/写操作作为恶意行为进行阻止。它无法防止0日漏洞和目标攻击。鉴于黑名单产品的上述缺点，应引入另一种非黑名单技术，即白色技术，以确保核电站仪表和控制系统的安全。

与黑名单产品不同，白名单产品通过排除所有未知产品，注重 "最大的安全"。白名单是一个多维的、全面的安全架构模型，包含了系统的所有方面，包括程序（或应用）、协议、命令、外围设备等的白名单。白名单是一种非常有限的安全策略，它弥补了黑名单的不足。白名单应用程序可以防止所有五种类型的攻击，但只有赛门铁克和McAfee的防病毒产品可以防止其中一些攻击。这并不是白名单技术的全部，因为它还提供了以下好处。(1) 有效防止0天和APT攻击。(2) 降低系统资源的负荷，减少对接收器性能的影响。(3) 不需要更新库，易于维护，对生产没有影响。白色DVR可用于计算环境，如核电站仪表和控制系统的操作员站、工程站、服务器和通信站网关。

1.2白名单

应用程序白名单是一个允许在主机上使用的应用程序的基本列表。只有这个清单上的程序可以运行，而其他程序（包括病毒、特洛伊木马和其他无害程序）都不能运行。这是对应用程序进行白名单的安全机制。白名单技术用于保护工业控制服务器免受 "0日 "漏洞和有针对性的攻击，改善和提高操作员站、工程站、数据服务器和其他工业控制设备的安全性，并确保工业控制设备尽可能安全、稳健地运行。在IPC保护方面，白名单产品比反病毒技术有更多优势，保护能力更强。

1.3外围设备的白名单

控制软件用于记录移动媒体的合法性及其白名单，确保保护国家核电站仪器和控制系统不受外部恶意软件的影响，并识别和合法地读/写移动控制媒体。外围白名单的主要特点是：①外围接口由外围开关控制，确保无非法数据访问，无内部数据泄露②可移动媒体的写入管理，确保内部数据的流动性，减少意外使用USB存储设备的风险③读写权限的控制可以提供数据流动方向，防止恶意软件感染。外围设备的白名单可用于计算环境，如核电站仪表和控制系统中的操作员站、工程站、服务器和通信站网关，以控制外围设备的使用。

1.4工业控制协议 白光信号

网络信息被仔细分析并被安全设备（如工业防火墙）检测出来。按照白名单的要求，不兼容的协议被屏蔽，非法的工业协议数据和非法命令被过滤掉，只有正确的工业控制协议数据或命令被传输，有效地保证了工业控制网络的通信安全。协议检测，非法协议屏蔽。深度协议分析，阻止非法信息。控制协议命令分析，阻止非法命令。识别命令的来源和目标，防止非法通信。协议白名单可以应用在核电站仪表和控制系统安全域的入口处，通常是工业防火墙，以过滤进出该子网的协议流量。

2核电厂仪控系统安全防护实施方案

白皮书中国防政策的实施大致分为以下几个阶段( 1) 规划。在设计和实施解决方案之前，需要进行规划，以确定白名单解决方案所涉及的服务、区域和主机，以及白名单解决方案将采用的技术：基于主机的、基于网络的或两者兼有。(2) 设计和选择。在规划的基础上，设计一个合适的基于网络或基于主机的白链解决方案，结合业务和网络拓扑结构，制定白链实施计划，选择合适的白链产品。( 3) 原型测试。在设计的基础上，将在广利公司的中心实验室的测试环境中对白链原型进行验证，以确保白链产品的性能，并确保它不会影响业务。( 4) 实施。经过验证，白名单将在实施阶段引入。在部署之前，确保接收器没有被恶意软件感染。在白名单产品能够被部署之前，它必须经历一个学习过程，即白名单过程。如果恶意软件被列入白名单，将不能保证接收者的安全。这对于具有工业行为的白名单来说尤其如此，因为这需要一个很长的学习曲线。部署包括2个阶段 ①学习阶段。这时你需要了解现有的网络流量、应用程序和计算环境，并创建一个白名单。在这个阶段，它不使用白名单，而只是生成警报并等待管理员批准。(2) 白名单成为正式名单。在这个阶段，不符合白名单的方案、信息和行业管理活动被阻止。

结语

经过多年的发展，采用光发射技术的工控安防产品取得了重大进展，得到了国内外安防专业人士的认可。许多应用已经证明该技术是非常安全、可靠、低能耗、省时和节能的。白名单技术不仅适用于一般的工业应用，而且在不久的将来可能成为核电站仪表和控制系统的一个标准组成部分。对于核电站来说，操作系统、应用软件和业务操作相对稳定，变化少，可靠性要求高。工业主机保护软件、工业防火墙和白名单审计设备等产品与传统的黑名单产品类似，但更适合特定的核电站场景，因为它们能提供更好的保护，对生产系统的影响更小。使用白名单技术的安全产品应被纳入核电站安全解决方案的整体范围，并越来越多地被使用。

参考文献

[1]刘景宾,乔宁,董晓璐,陈子溪.核电厂仪控系统的网络安全等级防护研究[J].核安全,2020,19(06):121-126.

[2]杨景利,刘元,孟庆军,高超,王童生.核电厂仪控系统安全防护策略研究及应用[J].自动化仪表,2019,40(06):93-97.

[3]姜智锐,陈卫,刘永亮,史英斌.核电厂安全级仪控系统电气设备喷漆防护性能研究[J].核标准计量与质量,2016(03):35-38.