電力工控系統(tǒng)信息安全探析

吳家奇， 李 雪， 詹志宏， 謝 翔， 王 濤， 劉年國， 王 芬

(國網(wǎng)淮南供電公司， 安徽 淮南 232007)

0 引言

電力工控系統(tǒng)承擔(dān)著為國家各行各業(yè)提供電能的重要責(zé)任和義務(wù)，它能否穩(wěn)定安全的運(yùn)行直接影響到國計(jì)民生，因此電力工控系統(tǒng)運(yùn)行的穩(wěn)定性和安全性一直是電力部門不得不關(guān)注和研究的問題。近年來隨著信息通信技術(shù)和智能電網(wǎng)技術(shù)的發(fā)展，電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的概率越來越大，頻率也越來越高。如2010年9月，伊朗核電站設(shè)施遭受了Stuxnet[1]病毒的攻擊，位于伊朗納坦茲的濃縮鈾工廠首先遭到了Stuxnet病毒的攻擊，導(dǎo)致用于濃縮鈾材料的離心機(jī)受到了嚴(yán)重的破壞，大約百分之二十的離心機(jī)因此報(bào)廢，進(jìn)而導(dǎo)致濃縮鈾的產(chǎn)量下降了百分之三十左右；2015年12月23日，烏克蘭至少三個(gè)區(qū)域的電力工控系統(tǒng)遭遇網(wǎng)絡(luò)攻擊，伊萬諾-弗蘭科夫斯克地區(qū)部分變電站的控制系統(tǒng)遭到破壞，造成大面積停電，電力中斷3～6小時(shí)，影響大約140萬人的正常生活[2]；在CyberTech 2016大會(huì)上，以色列能源與水力基礎(chǔ)設(shè)施部部長Yuval Steinitz披露稱在2016年1月25日，以色列電力局遭受了一次嚴(yán)重的網(wǎng)絡(luò)攻擊[3]。此外，由于我國電力工控系統(tǒng)復(fù)雜度高，子系統(tǒng)繁多，且相互耦合性高，因此也倍受著各種網(wǎng)絡(luò)攻擊所帶來的網(wǎng)絡(luò)安全威脅。

和傳統(tǒng)的電力一次系統(tǒng)攻擊相比，網(wǎng)絡(luò)攻擊具有成本較低、攻擊范圍廣、攻擊對(duì)象多、攻擊行為隱蔽等優(yōu)點(diǎn)[4]。因此對(duì)于電力工控系統(tǒng)，網(wǎng)絡(luò)攻擊是一種不可忽視的潛在威脅。通過近年來各國屢屢遭受的網(wǎng)絡(luò)攻擊來看，網(wǎng)絡(luò)攻擊給電力工控系統(tǒng)帶來的后果是非常嚴(yán)重的，甚至嚴(yán)重影響國家的正常運(yùn)行，因此有必要研究電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的方式及防護(hù)措施。

1 電力工控系統(tǒng)網(wǎng)絡(luò)攻擊方式

當(dāng)今，雖然電力部門實(shí)現(xiàn)了電力通信網(wǎng)絡(luò)的隔離，構(gòu)建了保證電力工控系統(tǒng)網(wǎng)絡(luò)安全的三道防線，但是由于電力工控系統(tǒng)的重要性和網(wǎng)絡(luò)攻擊的復(fù)雜性，在隔離條件下依然對(duì)電力工控系統(tǒng)進(jìn)行網(wǎng)絡(luò)攻擊也是可能的。本文根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊事件的統(tǒng)計(jì)和相關(guān)文獻(xiàn)，總結(jié)和分析電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的主要方式。主要從網(wǎng)絡(luò)攻擊原理的不同和網(wǎng)絡(luò)攻擊位置的不同來進(jìn)行分析。

根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊原理的不同，可以將網(wǎng)絡(luò)攻擊方式分為誤導(dǎo)數(shù)據(jù)注入攻擊、阻斷網(wǎng)絡(luò)通信攻擊、重放網(wǎng)絡(luò)攻擊[5]。下面將對(duì)這三種攻擊方式進(jìn)行詳細(xì)說明。

(1) 誤導(dǎo)數(shù)據(jù)注入攻擊是指攻擊者通過網(wǎng)絡(luò)入侵電力工控系統(tǒng)向儀表或傳感器注入錯(cuò)誤的監(jiān)控?cái)?shù)據(jù)進(jìn)而導(dǎo)致電力工控系統(tǒng)無法正常運(yùn)行工作。與阻斷網(wǎng)絡(luò)通信攻擊和重放網(wǎng)絡(luò)攻擊相比，誤導(dǎo)數(shù)據(jù)注入攻擊具有攻擊目標(biāo)多、范圍廣且防護(hù)能力弱等特點(diǎn)。

(2) 阻斷網(wǎng)絡(luò)通信攻擊是指攻擊者在電力通信網(wǎng)絡(luò)上頻繁地發(fā)送大量的偽造數(shù)據(jù)包，導(dǎo)致電力工控系統(tǒng)控制中心與受控的遠(yuǎn)程終端無法進(jìn)行正常通信工作，控制中心無法正常接收遠(yuǎn)程終端的請(qǐng)求，遠(yuǎn)程終端也無法接收控制中心的指令。這種網(wǎng)絡(luò)攻擊對(duì)于電力工控系統(tǒng)正常運(yùn)行是致命的。由于這種網(wǎng)絡(luò)攻擊需要時(shí)間上的持續(xù)性，所以對(duì)于具有較高安全防御能力的電力工控系統(tǒng)來說，被攻擊成功的可能性是比較小的。

(3) 重放網(wǎng)絡(luò)攻擊是指攻擊者在網(wǎng)絡(luò)通信過程中對(duì)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行監(jiān)聽和分析，然后統(tǒng)計(jì)和識(shí)別其中重要?jiǎng)幼骺刂浦噶?如高壓斷路器跳閘或合閘的控制信號(hào))，等待時(shí)機(jī)，在適當(dāng)時(shí)機(jī)重新釋放這一條指令，造成類似誤操作的事故。這種網(wǎng)絡(luò)攻擊需要對(duì)網(wǎng)絡(luò)信息進(jìn)行長時(shí)間的監(jiān)聽和分析，才能識(shí)別其中需要的重要?jiǎng)幼骶W(wǎng)絡(luò)信號(hào)。

根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊位置的不同，可以將網(wǎng)絡(luò)攻擊方式分為遠(yuǎn)距離攻擊和本地攻擊。下面將對(duì)這兩種方式進(jìn)行詳細(xì)說明。

(1) 遠(yuǎn)距離攻擊是指攻擊者在目標(biāo)網(wǎng)絡(luò)外部對(duì)目標(biāo)網(wǎng)絡(luò)進(jìn)行攻擊，攻擊目標(biāo)一般是電力工控系統(tǒng)通信網(wǎng)絡(luò)的遠(yuǎn)程終端單元。為了達(dá)到對(duì)電力工控系統(tǒng)控制中心或其他關(guān)鍵設(shè)備的攻擊，攻擊者不僅需要具備網(wǎng)絡(luò)技術(shù)知識(shí)，還需要相關(guān)的電力工控系統(tǒng)知識(shí)。

(2) 本地攻擊是指發(fā)生在電力數(shù)據(jù)采集系統(tǒng)(SCADA)或能源管理系統(tǒng)(EMS)內(nèi)部局域網(wǎng)的網(wǎng)絡(luò)攻擊，這類網(wǎng)絡(luò)攻擊需要物理上接近目標(biāo)網(wǎng)絡(luò)，由于電力工控系統(tǒng)具有完備的物理隔離技術(shù)，如果沒有內(nèi)部人員的協(xié)助配合攻擊，攻擊者很難完成攻擊任務(wù)。

通過上述對(duì)電力工控系統(tǒng)網(wǎng)絡(luò)攻擊方式的研究和分析可知，對(duì)于電力工控系統(tǒng)，網(wǎng)絡(luò)攻擊種類多、危害大，因此有必要研究有關(guān)電力工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)措施。

2 電力工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)措施

2.1 強(qiáng)化全員網(wǎng)絡(luò)信息安全意識(shí)

加強(qiáng)全員網(wǎng)絡(luò)信息安全教育和技術(shù)培訓(xùn)，思想上增強(qiáng)網(wǎng)絡(luò)信息安全防范意識(shí)，結(jié)合公司系統(tǒng)發(fā)生的實(shí)際案例，通俗易懂地將信息安全知識(shí)傳授給公司每位員工。此外工作中需要掌握必要的防范技能，加強(qiáng)工作現(xiàn)場(chǎng)系統(tǒng)用戶權(quán)限管理，嚴(yán)格遵守網(wǎng)絡(luò)信息系統(tǒng)身份認(rèn)證，有效阻止外來非法訪問、非法入侵，杜絕人為原因引起信息安全事件發(fā)生。

2.2 落實(shí)網(wǎng)絡(luò)信息安全管控措施

加強(qiáng)電網(wǎng)工控系統(tǒng)的運(yùn)行監(jiān)控、日常巡視、安全審計(jì)、漏洞掃描等常規(guī)工作，做好漏洞與安全風(fēng)險(xiǎn)預(yù)警工作。嚴(yán)格執(zhí)行國家電網(wǎng)相關(guān)安全措施，確保電力工控系統(tǒng)信息安全防線。此外還要加強(qiáng)電力工控系統(tǒng)信息安全防御和檢測(cè)系統(tǒng)的部署，提高網(wǎng)絡(luò)安全監(jiān)測(cè)能力，能夠及時(shí)發(fā)現(xiàn)各種病毒和木馬，并采取對(duì)應(yīng)的安全措施。

2.3 開展網(wǎng)絡(luò)信息安全隱患排查

深入開展網(wǎng)絡(luò)信息專項(xiàng)安全檢查和風(fēng)險(xiǎn)評(píng)估，全面排查電網(wǎng)系統(tǒng)中的工控系統(tǒng)、廠站端設(shè)備操作系統(tǒng)等影響電網(wǎng)安全穩(wěn)定運(yùn)行的安全風(fēng)險(xiǎn)和薄弱環(huán)節(jié)，根據(jù)安全漏洞類型、攻擊手段、影響后果等，制定反攻擊措施，明確整改計(jì)劃，完善電網(wǎng)工控安全防護(hù)體系。

2.4 強(qiáng)化網(wǎng)絡(luò)信息安全應(yīng)急處置

健全電力工控系統(tǒng)網(wǎng)絡(luò)安全應(yīng)急體系，定期組織網(wǎng)絡(luò)重要設(shè)備反事故演練，通過事故預(yù)想和實(shí)踐演練，提高公司重要業(yè)務(wù)系統(tǒng)在核心網(wǎng)絡(luò)設(shè)備單點(diǎn)故障的情況下短時(shí)間內(nèi)恢復(fù)的應(yīng)急能力，從而提升網(wǎng)絡(luò)信息安全應(yīng)急處置能力。

2.5 加強(qiáng)電網(wǎng)工控系統(tǒng)安全防護(hù)研究

實(shí)時(shí)掌握電網(wǎng)工控領(lǐng)域網(wǎng)絡(luò)信息安全技術(shù)的前沿知識(shí)和先進(jìn)的攻防技術(shù)，加快網(wǎng)絡(luò)安全人才的培養(yǎng)，不斷提升電力工控系統(tǒng)安全防護(hù)手段。結(jié)合電力工控系統(tǒng)的現(xiàn)實(shí)情況，研究和分析網(wǎng)絡(luò)危險(xiǎn)的傳播途徑，模擬電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的情景，研究相關(guān)措施，形成對(duì)應(yīng)的網(wǎng)絡(luò)安全典型經(jīng)驗(yàn)，提升電力工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)抵御能力。

2.6 利用數(shù)據(jù)挖掘技術(shù)進(jìn)行網(wǎng)絡(luò)攻擊檢測(cè)

數(shù)據(jù)挖掘是指從海量數(shù)據(jù)中提取有價(jià)值的數(shù)據(jù)，而這些數(shù)據(jù)是潛在有用的信息，并且不容易被發(fā)現(xiàn)。數(shù)據(jù)挖掘技術(shù)正是通過尋找海量數(shù)據(jù)中潛在的聯(lián)系，發(fā)現(xiàn)被忽略的要素，進(jìn)而挖掘有用的信息[6,7]。由于電力工控系統(tǒng)的龐大，網(wǎng)絡(luò)設(shè)備和工控系統(tǒng)每天都會(huì)產(chǎn)生大量審計(jì)日志和網(wǎng)絡(luò)流量數(shù)據(jù)，因此可以利用數(shù)據(jù)挖掘技術(shù)對(duì)海量的審計(jì)日志或網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析和處理，從這些數(shù)據(jù)本身潛在的規(guī)律中發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為的模式，從而提高網(wǎng)絡(luò)自身的防御能力[8,9]。

3 總結(jié)

隨著我國智能電網(wǎng)的快速發(fā)展以及各行各業(yè)對(duì)信息安全的日趨重視，越來越有必要對(duì)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊進(jìn)行研究。本文首先通過闡述烏克蘭等國家遭受網(wǎng)絡(luò)攻擊的事件，來說明電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的普遍性和危害性，從而引出有必要研究電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的方式及防護(hù)措施，然后總結(jié)并分析了電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的主要方式，最后結(jié)合電力工控系統(tǒng)的實(shí)際現(xiàn)狀，提出了相關(guān)安全防護(hù)措施。