經過十余年的長足發展，2016年中國風電并網裝機超過１億千瓦，居全球首位，風電累計裝機占全球裝機比例已達25.9%。風電的蓬勃發展不僅擔起了中國綠色清潔能源的大梁，更催生了中國風電產業鏈的繁榮發展。 預計“十三五”期間，風電發展規模將同比2015年增長一倍。

　　隨著我國風電信息化建設和工業控制系統建設進程的提速，風電工業控制系統網絡安全建設正當時。目前，我國風電工業控制系統及設備的安全保護水平偏低，存在著各類網絡安全風險和工業漏洞，一旦遭不法人員和組織的非法操作或非法入侵，極有可能造成機密數據泄露，甚至系統被惡意控制等問題。

　　針對電力工業控制系統面臨的風險和挑戰，以及風電場的潛在需求，匡恩網絡提出了“4+1”的工控安全戰略，以“結構安全性、本體安全性、行為安全性、基因安全性+時間持續性安全”為核心理念，以全生命周期解決方案為實施準則，構建風電行業工控安全產品和服務體系，為電力工控系統網絡安全保駕護航。

　　風險分析

　　電力行業是國家關鍵基礎設施，控制系統網絡安全關系國計民生，關系國家利益、社會穩定及廣大人民群眾的生活生產。縱觀風電行業控制系統，面臨如下網絡安全風險：

　　風電場部分安全區域之間未采取邏輯隔離，這將導致增大了生產大區內出現的潛在風險及容易遭受內外部（主動、被動）攻擊可能。

　　風電場部分系統針對系統漏洞未實施有效的措施，這將導致系統存在大量安全漏洞，使攻擊者在未授權的情況下訪問或破壞系統。

　　操作員站和工程師站的USB口，服務器USB口和交換機閑置網口，僅從制度上要求禁止隨意接入，實際缺乏技術上的防護措施，由管理漏洞導致的存儲介質交叉使用，將導致數據泄露和病毒感染。

　　部分網絡中缺少針對工業控制系統的安全審計功能，無法實現對工業控制網絡異常流量進行監控與審計；未對工控系統帳戶進行定期審計，且缺乏對違規操作、越權訪問行為審計能力。

　　通過設備后門進行的遠程維護服務，一旦攻擊者控制了一臺主機，則可能控制整個生產控制大區。

　　“4+1”全生命周期解決方案

　　由于風電場工業控制系統包含多個不同功能的子系統，每個系統按業務需求、操作流程、實現的功能以及對自動化生產和人員安全的影響程度各不相同，因此需要從結構上劃分不同的區域和層次，并根據區域內系統的業務特點和影響程度，采取有針對性的安全防護措施，如通過隔離、過濾、認證、加密等措施實現有效的邊界防護，風電場網絡結構安全遵照“安全分區、網絡專用、橫向隔離、縱向認證”十六字方針的基本原則等。針對電力工業控制系統面臨的風險和挑戰，以及風電場的潛在需求，匡恩網絡提出了“4+1”全生命周期解決方案。

　　結構安全防護 

　　電力企業工控系統經過安全域劃分之后，按照一定的安全防護策略，根據各個區域的安全需求、防護重點，因地制宜的實施訪問控制、資源管理、監測監控、身份認證等相應的技術和產品，最終實現安全、完整的電力企業工控網絡安全防護體系。

　　通過對電力行業工控網絡涉及內容和范圍的了解，重點解決生產網絡與邊界的安全防護與訪問控制，增強各區域網絡的訪問管理與控制力度，合理分離管理信息系統和生產控制系統的數據交互，增強生產控制系統內部的安全防護，力爭實現以下目標：

　　實現集團管理層到電力企業管理層之間生產和信息數據的安全訪問；

實現生產控制區和管理決策區之間的嚴格隔離，避免管理信息系統和生產控制系統之間的負面影響；

　　實現現場監控層不同系統之間的邏輯隔離，避免某一個系統將安全問題引入其他子系統。

風電工控網絡邊界防護示意圖

　　本體安全防護 

　　本體安全防護主要在風電場及集控中心的風機監控系統的上位機（工程師站、操作員站）和服務器部署工控衛士和優寶UBO進行主機防護，以白名單的技術方式監控工控主機的進程狀態、網絡端口狀態、USB 端口狀態，全方位地保護主機的資源使用。根據白名單的配置，主機防護軟件會禁止非法進程的運行，禁止非法網絡端口的打開與服務，禁止非法USB 設備的接入，從而切斷病毒和木馬的傳播與破壞路徑，保證上位機正常指令的順利下發和生產相關的業務與進程的正常執行。

風電場主機防護部署示意圖

　　行為安全防護 

　　網絡安全審計防護是針對工控網絡行為提供有效的行為審計、內容審計、行為報警、行為控制及相關審計功能。從管理層面提供工控網絡的有效監督，預防、制止數據泄密，滿足用戶對工控網絡行為審計備案及安全保護措施的要求，提供完整的記錄，便于信息追蹤、系統安全管理和風險防范。在電力生產控制大區的控制區和和非控制區內部，通過部署入侵行為檢測裝置對區域內部的網絡流量進行分析，識別流量中的攻擊行為。

風電工控網絡安全審計

　　安全管理與運維 

　　設備管理

　　針對電力企業信息系統相關的各種設備（包括備份和冗余設備）、線路等指定專門的部門或人員定期進行維護管理，建立基于申報、審批和專人負責的設備安全管理制度，對信息系統的各種軟硬件設備的選型、采購、發放和領用等過程進行規范化管理；建立配套設施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員的責任、涉外維修和服務的審批、維修過程的監督控制等；應對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理，按操作規程實現關鍵設備（包括備份和冗余設備）的啟動/停止、加電/斷電等操作；應確保信息處理設備必須經過審批才能帶入或帶出機房或辦公地點。

　　網絡安全管理

　　電力企業應指定人員對網絡進行管理，負責運行日志、網絡監控記錄的日常維護和報警信息分析和處理工作，建立網絡安全管理制度，對網絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面做出規定；應根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文件進行測試和備份；應定期對網絡系統進行漏洞掃描，對發現的網絡系統安全漏洞進行及時的修補，實現設備的最小服務配置，并對配置文件進行定期離線備份；應保證所有與外部系統的連接均得到授權和批準，依據安全策略對允許或者拒絕便攜式和移動式設備的網絡接入并對其在網絡中的操作行為進行管控，并定期檢查違反規定撥號上網或其他違反網絡安全策略的行為。

　　系統安全管理

　　電力企業應根據業務需求和系統安全分析確定系統的訪問控制策略，定期進行漏洞掃描，對發現的系統安全漏洞及時進行修補，安裝系統的最新補丁程序，在安裝系統補丁前，應首先在測試環境中對補丁的兼容性和安全性進行測試通過，并對重要文件進行備份后，方可實施系統補丁程序的安裝；應依據操作手冊對系統進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數的設置和修改等內容，嚴禁進行未經授權的操作，定期對運行日志和審計數據進行分析，以便及時發現異常行為。

　　應急預案管理：

　　電力企業應在統一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條件、應急處理流程、系統恢復流程、事后教育和培訓等內容，從人力、設備、技術和財務等方面確保應急預案的執行有足夠的資源保障；應對安全管理員、系統管理員、網絡管理員等相關的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次，定期對應急預案進行演練，根據不同的應急恢復內容，確定演練的周期，應急預案需要定期審查和根據實際情況更新的內容，并按照執行。