2014绿盟科技工控系统安全态势报告

NSFOCUS 2014 ICS SECURITY REPORT 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告

NSFOCUS ICS SECURITY REPORT 2014 年 8 月 本 报 告 分 析 了 工 控 系 统 自 身 的 脆 弱 性 以 及 所 面 临 的 安 全 威 胁 发 展 态 势, 着 重 对 工 控 安 全 产 业 生 态 环 境 进 行 了 调 研 基 于 这 些 研 究 成 果 可 以 看 到, 在 每 个 垂 直 领 域 里 面, 都 需 要 工 控 系 统 厂 商 信 息 安 全 厂 商 科 研 院 所 以 及 工 控 系 统 的 用 户 群 体 的 深 度 合 作, 通 过 构 建 产 业 联 盟 形 成 利 益 共 同 体, 并 集 成 各 成 员 单 位 的 产 品 与 技 术 优 势, 通 过 合 理 分 工 协 作, 形 成 联 盟 层 面 的 安 全 解 决 方 案 报 告 还 对 典 型 工 控 行 业 进 行 了 安 全 服 务 推 广 策 略 的 讨 论, 包 括 培 训 试 点 评 估 建 设 等 本 报 告 可 以 帮 助 读 者 了 解 工 控 系 统 安 全 领 域 的 总 体 发 展 态 势, 并 可 作 为 工 控 安 全 领 域 的 主 管 部 门 工 控 系 统 用 户 以 及 工 控 安 全 服 务 商 在 决 定 下 一 步 工 控 安 全 投 入 时 的 决 策 参 考 分 析 数 据 分 析 显 示 近 4 年 来 : 工 控 漏 洞 快 速 增 长 工 控 系 统 公 开 漏 洞 数 达 到 549 个,2011 年 之 后 持 续 保 持 快 速 增 长 的 势 头 显 然 这 对 业 务 连 续 性 实 时 性 要 求 高 的 工 业 控 制 系 统 来 说, 造 成 了 极 大 的 安 全 威 胁 能 源 行 业 易 受 攻 击 ICS-CERT 公 布 数 据 中, 工 控 安 全 事 件 达 632 件, 而 且 多 集 中 能 源 行 业 (59%) 和 关 键 制 造 业 (20%) 工 控 安 全 事 件 呈 快 速 增 长 的 趋 势 国 家 支 持 的 黑 客 攻 击 2014 年 6 月, 蜻 蜓 组 织 利 用 恶 意 程 序 Havex( 与 震 网 类 似 ), 对 欧 美 地 区 的 一 千 多 家 能 源 企 业 进 行 了 攻 击 这 次 事 件 表 明, 黑 客 组 织 ( 尤 其 是 有 某 些 国 家 幕 后 支 持 的 黑 客 组 织 ) 已 成 为 当 前 工 控 系 统 所 面 临 的 最 大 安 全 威 胁 研 究 目 标 与 方 法 安 全 事 件 分 析 分 析 工 业 控 制 系 统 自 身 的 脆 弱 性 及 所 面 临 的 安 全 攻 击 威 胁 及 近 期 安 全 事 件 生 态 环 境 模 型 根 据 2014 年 初 2014 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [LHW2014] 中 提 出 的 生 态 环 境 模 型, 进 行 展 开 论 述 工 控 行 业 调 研 本 文 调 查 了 各 方 当 前 在 政 策 发 布 技 术 研 究 安 全 建 设 需 求 产 品 及 服 务 开 发 等 多 方 面 的 进 展 态 势 ; 并 深 入 研 究 了 发 电 电 网 等 几 个 典 型 行 业 工 控 系 统 的 安 全 现 状 存 在 的 问 题 及 市 场 需 求 历 次 报 告 积 累 第 一 次 报 告, 工 控 安 全 是 什 么 第 二 次 报 告, 工 控 安 全 存 在 哪 些 问 题 第 三 次 报 告, 工 控 安 全 行 业 需 求 及 发 展 态 势 第 四 次 报 告, 工 控 安 全 产 品 及 解 决 方 案 第 五 次 报 告,

工 控 安 全 产 业 生 态 环 境 模 型 工 业 控 制 系 统 安 全 与 传 统 的 信 息 安 全 不 同, 它 通 常 关 注 更 多 的 是 物 理 安 全 与 功 能 安 全, 而 且 系 统 的 安 全 运 行 由 相 关 的 生 产 部 门 负 责, 信 息 部 门 仅 处 于 从 属 的 地 位 随 着 信 息 化 与 工 业 化 技 术 的 深 度 融 合 以 及 潜 在 网 络 战 威 胁 的 影 响, 工 业 控 制 系 统 也 将 从 传 统 的 仅 关 注 物 理 安 全 功 能 安 全 转 向 更 为 关 注 信 息 系 统 安 全 ; 这 种 转 变 将 在 国 家 政 策 的 推 动 下 对 传 统 的 工 业 企 业 产 生 较 大 的 影 响 确 保 国 计 民 生 相 关 的 工 业 控 制 系 统 安 全 已 被 提 升 到 了 国 家 安 全 战 略 的 高 度, 再 加 上 工 业 控 制 系 统 跨 学 科 跨 行 业 应 用 的 特 殊 性 ; 使 其 安 全 保 障 体 系 的 建 立 必 须 在 国 家 行 业 监 管 部 门 工 业 控 制 系 统 企 业 ( 用 户 ) 工 业 控 制 系 统 提 供 商 信 息 安 全 厂 商 等 多 方 面 的 协 同 努 力 下 才 能 够 实 现 图 1.1 工 控 安 全 产 业 生 态 环 境 模 型

目 录 工 控 系 统 的 安 全 研 究 及 发 展 态 势 分 析... I 工 控 安 全 产 业 生 态 环 境 模 型... I 工 控 系 统 的 安 全 威 胁 态 势 分 析... 1 工 控 系 统 的 自 身 脆 弱 性... 1 工 控 系 统 面 临 的 安 全 威 胁... 7 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析... 12 国 外 发 展 动 态 概 述... 12 国 内 政 策 法 规 动 态... 13 国 内 产 业 联 盟 动 态... 13 国 内 工 控 安 全 厂 商 动 态... 14 合 作 策 略 及 建 议... 17 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析... 18 发 电 行 业 的 工 控 安 全 发 展 态 势... 18 电 网 行 业 的 工 控 安 全 发 展 态 势... 26 结 束 语... 33 附 录... 34 A.1 图 表 索 引... 34 A.2 联 系 作 者... 34 A.3 缩 略 语 中 英 文 对 照... 35 A.4 参 考 文 献... 36 这 里 结 合 目 录 章 节, 对 报 告 的 主 要 内 容 提 要 如 下 : P2 工 控 系 统 的 安 全 威 胁 态 势 分 析 主 要 从 近 期 公 开 的 工 控 系 统 相 关 漏 洞 的 统 计 分 析 结 果 以 及 对 近 期 典 型 的 工 控 安 全 攻 击 事 件 及 新 型 攻 击 技 术 的 分 析, 讨 论 工 控 系 统 当 前 所 面 临 的 安 全 威 胁 态 势 P13 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析 依 据 工 控 安 全 产 业 生 态 模 型 相 关 的 政 府 主 管 部 门 产 业 联 盟 科 研 院 所 及 国 内 外 友 商 的 研 究 及 产 品 服 务 发 展 动 态 情 况, 讨 论 工 控 安 全 领 域 的 总 体 发 展 态 势 P19 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析 针 对 上 半 年 重 点 调 研 的 发 电 电 网 等 几 个 典 型 工 控 行 业 的 结 果, 从 行 业 政 策 动 态, 行 业 工 控 系 统 的 安 全 现 状 问 题 与 需 求, 当 前 制 约 该 行 业 工 控 安 全 建 设 发 展 的 主 要 因 素 等 多 个 角 度 来 讨 论 各 行 业 的 工 控 安 全 发 展 态 势 ; 并 在 此 基 础 上 提 出 我 们 针 对 该 行 业 的 工 控 安 全 服 务 的 推 广 策 略 Next chapter 工 控 系 统 的 安 全 威 胁 态 势 分 析

工 控 系 统 的 安 全 威 胁 态 势 分 析 本 章 将 从 工 业 控 制 系 统 公 开 安 全 漏 洞 的 统 计 分 析 以 及 对 近 期 典 型 的 工 控 安 全 攻 击 事 件 及 新 型 攻 击 技 术 的 分 析 等 多 个 方 面, 讨 论 工 控 系 统 当 前 所 面 临 的 安 全 威 胁 态 势 工 控 系 统 的 自 身 脆 弱 性 截 至 2014 年 6 月, 我 们 以 绿 盟 科 技 安 全 漏 洞 库 收 录 的 工 业 控 制 系 统 相 关 的 漏 洞 信 息 为 基 础, 综 合 参 考 了 美 国 CVE [CVE] ICS-CERT 以 及 中 国 国 家 信 息 安 全 漏 洞 共 享 平 台 所 发 布 的 漏 洞 信 息 [CNVD] [ICSMM2014], 共 整 理 出 了 549 个 与 工 业 控 制 系 统 相 关 的 漏 洞 本 节 将 重 点 分 析 2014 年 新 增 漏 洞 的 统 计 特 征 和 变 化 趋 势, 主 要 涉 及 公 开 漏 洞 的 总 体 变 化 趋 势 漏 洞 的 严 重 程 度 漏 洞 所 影 响 的 工 控 系 统 类 型 漏 洞 的 危 害 等 几 个 方 面 的 对 比 分 析 公 开 漏 洞 数 总 体 上 保 持 快 速 增 长 的 变 化 趋 势 下 图 给 出 了 截 止 到 2014 年 6 月 之 前 所 公 开 发 布 的 工 业 控 制 系 统 相 关 漏 洞 按 年 度 进 行 统 计 分 析 的 结 果 200 180 177 160 140 120 117 135 100 80 64 60 40 20 0 4 1 1 6 5 15 10 14 图 1.2 公 开 的 ICS 漏 洞 的 年 度 变 化 趋 势 在 2011 年 之 前, 公 开 披 露 的 工 业 控 制 系 统 相 关 漏 洞 数 量 相 当 少, 但 在 2011 年 出 现 快 速 增 长, 这 可 能 是 因 为 2010 年 的 Stuxnet 蠕 虫 事 件 之 后, 人 们 对 工 业 控 制 系 统 安 全 问 题 持 续 关 注 以 及 工 业 控 制 系 统 厂 商 分 析 解 决 历 史 遗 留 安 全 问 题 所 造 成 的 随 着 各 方 面 对 工 业 控 制 系 统 的 安 全 日 益 重 视, 工 业 控 制 系 统 的 相 关 公 开 漏 洞 数 量 仍 将 保 持 一 个 快 速 增 长 的 总 体 趋 势 1 工 控 系 统 的 安 全 威 胁 态 势 分 析

公 开 漏 洞 涉 及 的 工 控 系 统 厂 商 依 然 以 国 际 厂 商 为 主 通 过 对 漏 洞 的 统 计 分 析, 下 图 给 出 了 公 开 漏 洞 所 涉 及 的 主 要 工 业 控 制 系 统 厂 商, 以 及 及 各 厂 商 的 相 关 漏 洞 数 及 其 占 漏 洞 库 中 所 有 漏 洞 的 比 例 情 况 分 析 结 果 表 明, 公 开 漏 洞 所 涉 及 的 工 业 控 制 系 统 厂 商 仍 然 是 以 国 际 著 名 的 工 业 控 制 系 统 厂 商 为 主, 西 门 子 (Siemens) 施 耐 德 电 气 (Schneider) 研 华 科 技 (Advantech) 通 用 电 气 (GE) 与 罗 克 韦 尔 (Rockwell) 占 据 漏 洞 数 排 行 榜 的 前 五 名 用 户 的 工 控 系 统 使 用 情 况 调 研 结 果 表 明, 这 些 国 际 著 名 工 控 系 统 厂 商 的 产 品 在 国 内 市 场 上 占 据 优 势 地 位, 甚 至 某 些 产 品 在 某 些 行 业 处 于 明 显 的 垄 断 地 位 这 种 情 况 必 然 会 造 成 这 些 厂 商 的 产 品 倍 受 系 统 攻 防 双 方 的 重 视 和 关 注, 而 且 也 比 较 容 易 获 得 研 究 分 析 用 户 的 产 品, 这 很 可 能 就 是 公 开 漏 洞 涉 及 到 的 工 控 系 统 厂 商 总 是 以 国 际 厂 商 为 主 的 主 要 原 因 这 里 需 要 说 明 的 是, 虽 然 漏 洞 涉 及 的 是 系 统 自 身 的 脆 弱 性 问 题, 但 依 然 不 能 简 单 地 通 过 这 里 的 漏 洞 数 量 信 息 实 现 厂 商 之 间 产 品 安 全 性 的 横 向 对 比 ( 因 为 各 厂 商 产 品 的 漏 洞 数 量 不 仅 与 产 品 自 身 的 安 全 性 有 关, 而 且 也 和 厂 商 的 产 品 数 量 产 品 的 复 杂 度 受 研 究 者 关 注 程 度 以 及 工 业 控 制 系 统 厂 商 对 自 身 系 统 安 全 性 的 自 检 力 度 等 多 种 因 素 有 关 因 此, 我 们 并 不 能 简 单 地 认 为 公 开 漏 洞 数 量 越 多 的 厂 商 产 品 越 不 安 全 ), 但 是 却 可 以 通 过 该 信 息 评 估 用 户 工 控 系 统 所 存 在 的 安 全 脆 弱 性 状 况, 并 据 此 进 行 系 统 的 安 全 加 固 调 整 安 全 防 护 策 略, 来 增 强 用 户 系 统 的 整 体 安 全 防 护 能 力 图 1.3 公 开 漏 洞 所 涉 及 到 的 主 要 工 业 控 制 系 统 厂 商 (Top10) 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 2

图 1.4 给 出 了 2014 年 上 半 年 新 增 漏 洞 所 涉 及 的 工 控 厂 商 情 况, 与 图 1.3 的 总 体 情 况 相 比 有 所 变 化 其 中 西 门 子 以 新 增 25 个 公 开 漏 洞, 占 比 39% 依 然 位 居 首 位, 研 华 科 技 则 以 新 增 10 个 公 开 漏 洞, 占 比 15.4% 而 升 据 第 二 施 耐 德 电 气 则 以 半 年 新 增 4 个 漏 洞 ( 占 比 6%) 依 然 位 列 三 甲 之 内 但 需 要 注 意 的 是 : 1) 日 本 横 河 电 机 株 式 会 社 (YOKOGAWA) 首 次 进 入 我 们 的 关 注 视 野, 就 以 半 年 新 增 4 个 漏 洞, 与 施 耐 德 电 气 并 列 2014 半 年 度 新 增 漏 洞 的 第 三 名 日 本 横 河 电 机 作 为 工 业 控 制 行 业 全 球 最 为 专 业 的 跨 国 公 司 之 一, 经 营 领 域 涉 及 测 量 控 制 信 息 三 大 领 域, 其 集 散 型 控 制 系 统 (DCS 系 统 ) PLC 等 工 控 产 品 在 国 内 石 油 化 工 等 大 型 工 厂 生 产 过 程 也 有 较 为 广 泛 的 应 用 也 应 是 我 们 需 要 重 点 关 注 研 究 的 工 控 厂 商 之 一 2) 排 名 第 四 第 五 的 Cogent Ecava 则 是 两 家 专 业 的 工 控 软 件 厂 商, 表 明 除 了 著 名 国 际 厂 商 之 外, 在 工 控 软 件 某 个 子 领 域 内 相 对 领 先 的 企 业 也 日 益 受 到 关 注 Triangle Microworks, 2, 3% others, 7, 11% COPA-DATA, 2, 3% Emerson, 2, 3% GE, 2, 3% Ecava, 3, 5% Cogent, 3, 5% 2014 年 64 日 本 横 河 电 机 株 式 会 社 (YOKOGAWA) 首 次 进 入 我 们 的 关 注 视 野, 就 以 半 年 新 增 4 个 漏 洞, 与 施 耐 德 电 气 并 列 2014 半 年 度 新 增 漏 洞 的 第 三 名 Siemens, 25, 39% yokogawa, 4, 6% Schneider, 4, 6% Advantech, 10, 16% 图 1.4 2014 年 新 增 工 业 控 制 系 统 漏 洞 所 涉 及 到 的 主 要 厂 商 3 工 控 系 统 的 安 全 威 胁 态 势 分 析

工 控 系 统 相 关 漏 洞 的 严 重 性 表 明 : 工 控 系 统 存 在 严 重 的 安 全 隐 患 及 被 攻 击 的 威 胁 因 本 文 收 集 处 理 的 公 开 漏 洞 以 CVE 收 录 的 为 主, 所 以 本 文 在 分 析 这 些 漏 洞 的 严 重 性 时, 将 主 要 根 据 CVE 的 CVSS 评 估 值 来 判 断, 并 划 分 为 高 中 低 三 种 情 况 根 据 下 图 的 统 计 分 析,2014 年 的 新 增 漏 洞 中 高 危 漏 洞 (CVSS 值 范 围 7.0~10.0) 超 过 一 半 (51%), 且 基 本 上 都 是 严 重 性 程 度 为 中 以 上 (CVSS 值 大 于 等 于 4.0) 的 漏 洞 这 也 表 明 了 当 前 工 控 系 统 产 品 存 在 严 重 的 安 全 隐 患 图 1.5 2014 年 收 录 的 新 增 漏 洞 按 严 重 程 度 的 分 类 情 况 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 4

下 图 则 是 2014 年 度 新 增 漏 洞 按 照 可 能 引 起 的 攻 击 威 胁 分 类 的 统 计 及 占 比 分 析 结 果 中 位 居 前 五 的 威 胁 情 况 从 图 中 可 知 : 可 引 起 业 务 中 断 的 拒 绝 服 务 类 漏 洞 占 比 最 高 ( 约 33%), 这 对 强 调 业 务 连 续 性 的 工 控 系 统 来 说 不 是 一 个 好 消 息 而 位 居 其 次 的 是 缓 冲 区 溢 出 类 漏 洞, 其 占 比 也 高 达 20%; 对 于 当 前 具 有 规 范 性 软 件 开 发 流 程 的 软 件 企 业 来 说, 缓 冲 区 溢 出 类 这 类 软 件 编 程 不 规 范 所 造 成 的 软 件 缺 陷 应 是 比 较 罕 见 的 了, 这 也 可 以 从 侧 面 说 明 工 控 软 件 企 业 在 软 件 开 发 的 编 码 阶 段 缺 乏 严 格 的 编 程 规 范 要 求, 从 而 造 成 这 类 漏 洞 占 比 较 高 的 原 因 当 然 占 比 较 高 的 可 造 成 信 息 泄 露 远 程 控 制 及 权 限 提 升 类 的 漏 洞 也 必 将 是 攻 击 者 最 为 关 注 的, 利 用 他 们 可 以 窃 取 制 造 企 业 的 设 计 图 纸 生 产 计 划 工 艺 流 程 等 敏 感 信 息, 甚 至 获 得 工 控 系 统 的 控 制 权, 干 扰 破 坏 工 控 系 统 业 务 的 正 常 生 产 或 运 营 活 动 显 然 这 些 漏 洞 所 可 能 造 成 的 主 要 威 胁 的 分 类 情 况 也 可 以 从 侧 面 表 明 当 前 工 控 系 统 安 全 所 应 关 注 的 主 要 安 全 问 题 跨 站 攻 击, 3, 5% 权 限 提 升, 3, 5% 其 他, 6, 9% 业 务 中 断 33% 拒 绝 服 务, 21, 33% 远 程 执 行, 8, 12% 拒 绝 服 务 类 漏 洞 ( 约 33%) 可 引 起 业 务 中 断 的 占 比 最 高 这 对 强 调 业 务 连 续 性 的 工 控 系 统 来 说 不 是 一 个 好 消 息 信 息 泄 露, 10, 16% 缓 冲 区 溢 出, 13, 20% 图 1.6 2014 年 新 增 漏 洞 的 威 胁 分 类 及 占 比 分 析 5 工 控 系 统 的 安 全 威 胁 态 势 分 析

公 开 漏 洞 中 以 SCADA/HMI 系 统 相 关 的 漏 洞 为 主, 其 占 比 超 过 40% 公 开 漏 洞 中 以 SCADA/HMI 系 统 相 关 的 漏 洞 为 主, 其 占 比 超 过 40%,PLC 相 关 的 漏 洞 以 接 近 30% 的 占 比 紧 随 其 后 而 关 于 集 散 控 制 系 统 (DCS) 以 及 用 于 过 程 控 制 的 OPC 相 关 的 漏 洞 也 各 占 将 近 10% 的 份 额 这 说 明 工 控 系 统 中 攻 防 双 方 都 可 能 把 主 要 精 力 放 在 了 工 控 系 统 的 控 制 设 备 或 工 业 控 制 管 理 软 件 系 统 的 安 全 性 分 析 之 上 了 当 然, 在 工 业 控 制 系 统 的 网 络 设 备 ( 网 络 交 换 机 ) 及 工 业 网 络 管 理 软 件 的 脆 弱 性 也 受 到 了 一 定 的 关 注, 其 相 关 的 公 开 漏 洞 也 有 比 较 高 的 占 比 ( 合 计 约 有 8%) 工 业 交 换 机, 2, 3% 其 他, 2, 3% 工 业 网 络 管 理 软 件, 3, 5% OPC, 6, 9% SCADA/HMI >40% SCADA/HMI, 27, 42% DCS, 6, 10% 工 控 系 统 中 攻 防 双 方 可 能 把 主 要 精 力 放 在 了 工 控 系 统 的 控 制 设 备 工 业 控 制 管 理 软 件 系 统 PLC, 18, 28% 图 1.7 2014 年 新 增 漏 洞 所 涉 及 的 工 控 产 品 分 类 分 析 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 6

工 控 系 统 面 临 的 安 全 威 胁 工 控 安 全 事 件 增 长 快 速, 且 主 要 集 中 在 能 源 行 业 (59%) 与 关 键 制 造 业 (20%) 结 合 ICS-CERT 往 年 的 安 全 事 件 的 统 计 数 据 分 析 的 结 果 可 知, 近 年 来, 工 业 控 制 系 统 相 关 的 安 全 事 件 正 在 呈 快 速 增 长 的 趋 势 ( 如 下 图 所 示 ) 4 年 632 件 300 250 256 200 197 150 140 100 50 39 近 4 年 来 ICS-CERT 公 开 报 告 处 理 的 安 全 事 件 就 达 632 件 0 2010 2011 2012 2013 图 1.9 ICS-CERT 历 年 的 公 布 工 控 安 全 事 件 ( 按 财 年 1 统 计 ) 统 计 分 析 其 中,2013 年 度 内 ICS-CERT 公 开 报 告 处 理 的 安 全 事 件 就 达 256 件 [ICSMM2013], 而 这 些 事 件 有 多 分 布 在 能 源 关 键 制 造 业 市 政 交 通 等 涉 及 国 计 民 生 的 关 键 基 础 行 业, 如 图 1.10 所 示 从 图 中 可 知 能 源 行 业 相 关 的 安 全 事 件 则 高 达 151 件, 接 近 所 有 事 件 的 三 分 之 二 这 与 以 电 力 为 主 的 能 源 行 业 对 于 现 实 社 会 的 重 要 性 及 其 工 控 系 统 的 自 动 化 程 度 信 息 化 程 度 较 高 也 有 相 当 的 关 系 图 1.10 关 于 工 控 安 全 事 件 所 涉 及 的 重 要 行 业 的 分 布 图, 也 同 时 为 国 家 主 管 部 门 以 及 工 控 系 统 安 全 厂 商 识 别 行 业 安 全 需 求 及 安 全 建 设 投 入 提 供 相 应 的 决 策 支 持 从 我 们 前 期 针 对 多 个 行 业 关 于 工 控 安 全 需 求 的 调 研 工 作 中, 也 清 晰 的 了 解 到 以 电 力 行 业 为 主 的 能 源 行 业 相 对 于 其 他 行 业 来 说, 具 有 较 高 的 安 全 意 识, 并 已 在 安 全 建 设 的 系 统 安 全 规 划 标 准 制 定 定 期 的 安 全 检 查 及 整 改 方 面 做 了 不 少 的 工 作 而 其 他 行 业 在 工 控 安 全 方 面 则 多 处 于 刚 刚 起 步 阶 段, 市 场 尚 待 培 育 开 发 1 这 里 的 财 年 计 算 方 法 是 从 上 一 年 的 10 月 开 始 至 下 一 年 的 9 月 结 束 7 工 控 系 统 的 安 全 威 胁 态 势 分 析

医 疗 保 健, 3, 1% IT, 4, 2% 通 信, 4, 2% 政 府 设 施, 6, 2% 核 工 业, 8, 3% 交 通, 12, 5% 水 处 理, 13, 5% 能 源 151 以 电 力 行 业 为 主 的 能 源 行 业 相 对 于 其 他 行 业 来 说, 具 有 较 高 的 安 全 意 识, 并 已 在 安 全 建 设 方 面 做 了 不 少 的 工 作 能 源, 151, 59% 关 键 制 造 业, 50, 20% 图 1.10 工 控 安 全 事 件 所 涉 及 的 重 要 行 业 及 分 布 Havex 2014 年 专 门 针 对 工 控 系 统 的 新 型 攻 击 在 2014 年 6 月 25 日 ICS-CERT 发 布 了 题 为 ICS Focused Malware 的 安 全 通 告 ICS-ALERT-14-176-02 [havex ] 中 通 报 了 一 种 类 似 震 网 病 毒 的 专 门 针 对 工 控 系 统 攻 击 的 恶 意 代 码 安 全 厂 商 F-Secure 首 先 发 现 了 这 种 恶 意 代 码 并 将 其 作 为 后 门 命 名 为 W32/Havex.A,F-Secure 称 它 是 一 种 通 用 的 远 程 访 问 木 马 (RAT, 即 Remote Access Trojan) 就 像 著 名 的 专 门 设 计 用 来 破 坏 伊 朗 核 项 目 的 Stuxnet 蠕 虫 病 毒 一 样,Havex 也 是 被 编 写 来 感 染 SCADA 和 工 控 系 统 中 使 用 的 工 业 控 制 软 件, 这 种 木 马 可 能 有 能 力 禁 用 水 电 大 坝 使 核 电 站 过 载, 甚 至 可 以 做 到 按 一 下 键 盘 就 能 关 闭 一 个 国 家 的 电 网 根 据 ICS-CERT F-secure Symentec 的 研 究 表 明 [Havex1~3] : 网 络 攻 击 者 传 播 Havex 恶 意 软 件 方 式 有 多 种, 除 了 利 用 工 具 包 钓 鱼 邮 件 垃 圾 邮 件 重 定 向 到 受 感 染 的 Web 网 站 等 传 统 感 染 方 式 外, 还 采 用 了 水 坑 式 攻 击 方 式, 即 通 过 渗 透 到 目 标 软 件 公 司 的 Web 站 点, 并 等 待 目 标 安 装 那 些 合 法 APP 的 感 染 恶 意 代 码 的 版 本 ICS-CERT 的 安 全 通 告 称 当 前 至 少 已 发 现 3 个 著 名 的 工 业 控 制 系 统 提 供 商 的 Web 网 站 已 受 到 该 恶 意 代 码 的 感 染 显 然, 这 些 恶 意 代 码 的 传 播 技 术 使 得 攻 击 者 能 够 获 得 工 控 系 统 的 访 问 权 限, 并 安 装 相 应 的 恶 意 代 码 ( 后 门 程 序 或 木 马 ) 而 在 安 装 过 程 中, 该 恶 意 软 件 会 释 放 一 个 叫 做 mbcheck.dll 的 文 件, 这 个 文 件 实 际 上 就 是 攻 击 者 用 作 后 门 的 Havex 恶 意 代 码 F-Secure 声 称 他 们 已 收 集 和 分 析 了 Havex RAT 的 88 个 变 种, 并 认 为 Havex 及 其 变 种 多 通 过 利 用 OPC 标 准 被 用 来 从 目 标 网 络 和 机 器 获 取 权 限 并 搜 集 大 量 数 据 [Havex2] 具 体 表 现 为 : 该 类 恶 意 软 件 会 通 过 扫 描 本 地 网 络 中 那 些 会 对 OPC 请 求 做 出 响 应 的 设 备, 来 收 集 工 业 控 制 设 备 的 操 作 系 统 信 息 窃 取 存 储 在 开 发 Web 浏 览 器 的 密 码 使 用 自 定 义 协 议 实 现 不 同 C&C 服 务 器 之 间 的 通 信, 然 后 把 这 些 信 息 反 馈 到 C&C 服 务 器 上 (Havex 的 攻 击 原 理 如 下 图 所 示 ) 同 时 FireEye 公 司 的 研 究 人 员 最 近 也 声 称 发 现 了 一 个 Havex 的 新 变 种 [Havex3], 同 样 认 为 发 现 的 Havex 变 种 具 备 OPC 服 务 器 的 扫 描 功 能, 并 可 以 搜 集 有 关 联 网 工 控 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 8

设 备 的 信 息, 以 发 回 到 C&C 服 务 器 供 攻 击 者 分 析 使 用 这 表 明, 虽 然 Havex 及 其 变 种 最 可 能 是 被 用 作 收 集 工 控 系 统 情 报 的 工 具, 但 攻 击 者 应 该 不 仅 仅 是 对 这 些 目 标 公 司 的 系 统 信 息 感 兴 趣, 而 必 然 会 对 获 取 那 些 目 标 公 司 所 属 的 ICS 或 SCADA 系 统 的 控 制 权 更 感 兴 趣 图 1.11 Havex 的 攻 击 原 理 最 近 多 家 安 全 公 司 的 研 究 发 现 它 多 被 用 于 从 事 工 业 间 谍 活 动, 其 主 要 攻 击 对 象 是 欧 洲 的 许 多 使 用 和 开 发 工 业 应 用 程 序 和 机 械 设 备 的 公 司 黑 客 组 织 是 当 前 工 控 系 统 所 面 临 的 最 大 安 全 威 胁 在 2014 年 1 月, 网 络 安 全 公 司 CrowdStrike 1 曾 披 露 了 一 项 被 称 为 Energetic Bear 的 网 络 间 谍 活 动, 在 这 项 活 动 中 黑 客 们 可 能 试 图 渗 透 欧 洲 美 国 和 亚 洲 能 源 公 司 的 计 算 机 网 络 据 CrowStrke 称, 那 些 网 络 攻 击 中 所 用 的 恶 意 软 件 就 是 Havex RAT 和 SYSMain RAT, 该 公 司 怀 疑 Havex RAT 有 可 能 以 某 种 方 式 被 俄 罗 斯 黑 客 连 接, 或 者 由 俄 罗 斯 政 府 资 助 实 施 赛 门 铁 克 及 F-secure 等 多 家 安 全 公 司 在 近 期 发 布 的 研 究 报 告 [Dragonfly] 或 官 方 博 客 的 博 文 中 [havex2] 也 发 表 了 类 似 的 信 息, 声 称 近 期 一 个 称 1 CrowdStrike 公 司 是 一 家 专 注 于 APT 防 护 的 新 兴 网 络 安 全 公 司, 它 倡 导 Active Defense ( 主 动 防 御 ) 的 安 全 理 念, 强 调 聚 焦 于 提 高 对 手 的 攻 击 成 本, 使 防 御 者 在 战 略 层 面 上 处 于 优 势 地 位 其 实 体 产 品 Falcon 系 统 是 一 个 基 于 大 数 据 的 云 服 务, 可 从 部 署 了 sensors 的 网 络 内 实 时 收 集 情 报 以 及 安 全 事 件, 并 坚 持 他 们 的 防 御 理 念 是 在 合 法 范 围 内 挫 败 攻 击 者 9 工 控 系 统 的 安 全 威 胁 态 势 分 析

为 Energetic Bear 的 俄 罗 斯 黑 客 组 织 使 用 一 种 复 杂 的 网 络 武 器 Havex, 已 经 使 1000 多 家 欧 洲 和 北 美 能 源 公 司 受 损 ; 并 认 为 Havex 与 震 网 病 毒 (Stuxnet) 相 似, 能 使 黑 客 们 访 问 到 能 源 部 门 的 控 制 系 统 根 据 赛 门 铁 克 的 研 究 报 告 [Dragonfly] 称, 黑 客 组 织 Energetic Bear 也 被 称 为 蜻 蜓 Dragonfly, 这 是 一 个 至 少 自 2011 年 起 便 开 始 活 跃 的 东 欧 黑 客 团 体 蜻 蜓 组 织 最 初 的 攻 击 目 标 是 美 国 和 加 拿 大 的 国 防 和 航 空 企 业, 但 从 2013 年 开 始, 蜻 蜓 组 织 的 主 要 目 标 转 向 许 多 国 家 的 石 油 管 道 运 营 商 发 电 企 业 和 其 他 能 源 工 控 设 备 提 供 商, 即 以 那 些 使 用 工 控 系 统 来 管 理 电 水 油 气 和 数 据 系 统 的 机 构 为 新 的 攻 击 目 标 赛 门 铁 克 专 门 针 对 蜻 蜓 组 织 的 近 期 活 动 进 行 了 跟 踪 分 析 与 研 究 [Dragonfly] ( 如 图 1.12 所 示 ), 研 究 认 为 : 自 2013 年 初 开 始, 蜻 蜓 组 织 为 达 到 通 过 远 程 控 制 木 马 (RAT) 访 问 工 控 系 统 的 目 的, 一 直 在 使 用 不 同 的 技 术 手 段 对 美 国 和 其 他 一 些 欧 洲 国 家 的 能 源 供 应 商 实 施 攻 击 并 利 用 特 殊 编 制 的 恶 意 代 码 感 染 其 工 业 软 件, 这 些 手 段 包 括 在 电 子 邮 件 网 站 和 第 三 方 程 序 中 捆 绑 恶 意 软 件 以 及 水 坑 攻 击 技 术 并 在 18 个 月 的 时 间 里 影 响 了 几 乎 84 个 国 家, 但 是 大 多 数 受 害 者 机 构 都 位 于 美 国 西 班 牙 法 国 意 大 利 德 国 土 耳 其 和 波 兰 等 国 家 ( 如 图 1.13 所 示 ) 显 然, 蜻 蜓 组 织 所 使 用 恶 意 代 码 的 破 坏 能 力 可 能 会 造 成 多 个 欧 洲 国 家 的 能 源 供 应 中 断, 具 有 极 大 的 社 会 危 害 性 赛 门 铁 克 F-secure CrowdStrike 等 多 家 安 全 公 司 在 研 究 后, 有 一 个 基 本 的 判 定, 认 为 蜻 蜓 黑 客 组 织 的 主 要 目 标 是 实 施 间 谍 活 动, 而 且 它 似 乎 是 有 资 源 有 规 模 有 组 织 的 ; 甚 至 怀 疑 在 它 最 近 的 攻 击 活 动 背 后 有 政 府 的 参 与 自 从 2010 年 震 网 病 毒 Flame Duqu 之 后,2014 年 蜻 蜓 组 织 相 关 的 可 能 大 规 模 影 响 欧 洲 能 源 企 业 SCADA 系 统 的 安 全 事 件 ( 伴 随 着 最 新 型 的 专 门 针 对 工 控 系 统 的 恶 意 代 码 Havex 及 其 近 百 的 变 种 的 发 现 ) 对 工 业 界 的 影 响 巨 大, 这 表 明 随 着 攻 击 者 对 工 控 系 统 研 究 的 深 入, 针 对 工 控 系 统 攻 击 的 恶 意 代 码 也 将 会 层 出 不 穷, 而 且 还 可 能 在 攻 击 活 动 的 背 后 具 有 国 家 支 持 的 潜 在 因 素 因 而, 面 对 攻 击 技 术 与 手 段 日 益 先 进 复 杂 成 熟 的 针 对 工 控 系 统 进 行 攻 击 的 黑 客 组 织, 工 控 系 统 所 面 临 的 安 全 威 胁 也 将 日 益 严 峻 图 1.12 赛 门 铁 克 公 司 关 于 蜻 蜓 组 织 近 期 活 动 的 时 序 分 析 [Dragonfly] 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 10

图 1.13 受 蜻 蜓 组 织 近 期 攻 击 活 动 影 响 较 大 的 国 家 (Top Ten) [Dragonfly] Next chapter 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析 11 工 控 系 统 的 安 全 威 胁 态 势 分 析

工 控 安 全 领 域 的 总 体 发 展 态 势 分 析 本 章 则 依 据 工 控 安 全 产 业 生 态 模 型 相 关 的 政 府 主 管 部 门 产 业 联 盟 科 研 院 所 及 国 内 外 友 商 的 研 究 及 产 品 服 务 发 展 动 态 情 况, 主 要 讨 论 国 内 工 控 安 全 领 域 的 总 体 发 展 态 势, 并 结 合 绿 盟 科 技 的 优 势 提 出 在 工 控 领 域 的 发 展 建 议, 以 及 在 业 内 的 初 步 合 作 建 议 国 外 发 展 动 态 概 述 自 从 2010 年 震 网 事 件 之 后, 世 界 各 国 对 工 控 系 统 的 安 全 问 题 的 关 注 被 提 升 到 一 个 新 的 高 度 世 界 各 国 都 在 政 策 标 准 技 术 方 案 等 方 面 展 开 了 积 极 应 对 [LYHC2012] 最 近 工 业 控 制 系 统 安 全 更 成 为 备 受 工 业 和 信 息 安 全 领 域 研 究 机 构 关 注 的 研 究 热 点 作 为 信 息 产 业 发 展 的 领 导 者, 美 国 很 早 就 十 分 重 视 工 控 系 统 的 安 全 2003 年 将 其 视 为 国 家 安 全 优 先 事 项 ;2008 年 则 将 其 列 入 国 家 需 重 点 保 护 的 关 键 基 础 设 施 范 畴 2009 年 颁 布 保 护 工 业 控 制 系 统 战 略, 涵 盖 能 源 电 力 交 通 等 14 个 行 业 工 控 系 统 的 安 全 同 年, 在 CERT 组 织 下 面 成 立 工 业 控 制 系 统 网 络 应 急 相 应 小 组 (ICS-CERT), 专 注 于 工 业 控 制 系 统 相 关 的 安 全 事 故 监 控 分 析 执 行 漏 洞 和 恶 意 代 码 为 事 故 响 应 和 取 证 分 析 提 供 现 场 支 持 ; 通 过 信 息 产 品 安 全 通 告 以 及 漏 洞 及 威 胁 信 息 的 共 享 提 供 工 业 控 制 系 统 安 全 事 件 监 控 及 行 业 安 全 态 势 分 析, 并 以 季 度 报 告 的 方 式 公 开 发 布 [ICSCERT1] [ICSCERT2] 而 且 美 国 国 土 安 全 部 (The U.S. Department of Homeland Securty,DHS) 启 动 的 控 制 系 统 安 全 计 划 (Control System Security Program,CSSP) 则 依 托 工 业 控 制 系 统 模 拟 仿 真 平 台, 综 合 采 用 现 场 检 查 测 评 与 实 验 室 测 评 相 结 合 的 测 评 方 法 [DHS2011], 来 实 施 针 对 工 业 控 制 系 统 产 品 的 脆 弱 性 分 析 与 验 证 工 作 而 美 国 国 家 标 准 与 技 术 研 究 院 能 源 局 则 分 别 发 布 了 工 业 控 制 系 统 安 全 指 南 (SP800-82 2013 年 推 出 最 新 修 订 版 本 ) [NIST] 改 进 SCADA 网 络 安 全 的 21 项 措 施 等 相 关 的 工 控 系 统 的 安 全 建 设 标 准 指 南 或 最 佳 实 践 文 档 同 时 其 国 内 的 传 统 信 息 安 全 厂 商 赛 门 铁 克 MCAFEE 思 科 以 及 传 统 工 控 厂 商 罗 克 韦 尔 通 用 电 气 以 及 一 些 新 兴 的 专 业 工 控 安 全 厂 商 在 工 控 系 统 的 安 全 防 护 及 产 品 服 务 提 供 方 面 也 都 展 开 了 深 入 研 究 实 践 及 产 业 化 工 作, 并 总 体 上 处 于 领 先 的 地 位 在 欧 洲 则 以 德 国 西 门 子 法 国 施 耐 德 电 气 为 代 表 的 工 业 控 制 系 统 提 供 商 为 主, 为 用 户 提 供 相 应 的 安 全 产 品 服 务 及 相 应 的 解 决 方 案 例 如, 德 国 西 门 子 研 究 院 设 有 工 控 安 全 实 验 室 (@CT China), 可 提 供 安 全 咨 询 服 务 培 训 漏 洞 及 补 丁 的 发 布 www.siemens.com/industrialsecurity 产 品 方 面 则 有 工 控 防 火 墙 及 相 应 的 工 控 安 全 解 决 方 案 而 在 国 内 西 门 子 的 工 作 则 主 要 侧 重 西 门 子 工 控 系 统 的 漏 洞 修 补, 应 从 属 于 其 工 控 系 统 业 务 同 样 施 耐 德 电 气 公 司 在 国 内 也 多 是 配 合 客 户 的 安 全 整 改 工 作, 修 补 其 产 品 漏 洞 并 结 合 其 工 控 安 全 防 火 墙 为 用 户 提 供 必 要 的 工 控 安 全 解 决 方 案 但 是 在 工 控 系 统 领 域 的 许 多 行 业, 来 自 欧 洲 的 西 门 子 施 耐 德 电 气 多 具 有 绝 对 的 技 术 与 市 场 优 势, 而 工 控 系 统 的 信 息 化 智 能 化 以 及 所 带 来 安 全 问 题 的 解 决 离 不 开 工 控 厂 商 的 支 持, 自 然 西 门 子 等 企 业 的 市 场 和 技 术 优 势 也 将 奠 定 未 来 很 长 一 段 时 间 内 其 在 工 控 安 全 领 域 的 领 先 地 位 在 专 业 的 工 控 安 全 厂 商 方 面, 加 拿 大 Tofino( 多 芬 诺 )http://www.tofinosecurity.com.cn/ 公 司 曾 以 其 业 内 著 名 的 工 控 系 统 防 火 墙 成 为 业 内 领 先 的 工 控 系 统 安 全 的 专 业 厂 商, 其 产 品 在 石 化 等 多 个 行 业 应 用 广 泛 科 诺 康 公 司 (Codenomicon) 则 以 其 用 于 漏 洞 发 现 的 fuzzing 测 试 工 具 而 在 工 控 系 统 安 全 领 域 拥 有 重 要 的 地 位 此 外, 还 有 一 些 开 源 组 织 提 供 相 应 的 工 控 安 全 工 具, 例 如 Nessue, 它 分 为 专 业 版 ( 收 费 ) 和 免 费 评 估 测 试 版, 其 专 业 版 可 利 用 相 应 的 工 控 系 统 安 全 插 件, 对 SCADA 系 统 或 PLC 的 控 制 设 备 的 脆 弱 性 进 行 检 测 评 估 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 12

在 工 控 安 全 的 国 际 标 准 研 究 方 面, 除 了 美 国 NIST 的 NIST800-82 之 外,IEC62443 标 准 也 是 工 控 安 全 研 究 者 最 为 关 注 的 工 控 安 全 标 准, 需 要 与 NIST800-82 的 内 容 相 对 照, 并 结 合 企 业 自 身 的 业 务 特 点 进 行 综 合 考 虑 的 基 础 上, 制 定 工 控 企 业 实 用 的 工 控 安 全 防 护 方 案 国 内 政 策 法 规 动 态 自 从 工 信 部 451 号 文 发 布 之 后, 国 内 各 行 各 业 都 对 工 控 系 统 安 全 的 认 识 达 到 了 一 个 新 的 高 度, 电 力 石 化 制 造 烟 草 等 多 个 行 业, 陆 续 制 定 了 相 应 的 指 导 性 文 件, 来 指 导 相 应 行 业 的 安 全 检 查 与 整 改 活 动 国 家 标 准 相 关 的 组 织 TC260 TC124 等 标 准 组 也 已 经 启 动 了 相 应 标 准 的 研 究 制 定 工 作 具 体 情 况 如 下 : 政 策 法 规 工 信 部 关 于 工 控 安 全 的 451 号 文 电 监 会 的 电 力 二 次 系 统 安 全 防 护 规 定 电 监 会 2013 年 50 号 文, 电 力 工 控 信 息 安 全 专 项 监 管 工 作 方 案 国 家 烟 草 局 烟 草 工 业 企 业 生 产 区 与 管 理 区 网 络 互 联 安 全 规 范 等 标 准 草 案 这 两 年 在 信 安 标 委 的 指 导 下, 正 在 草 拟 的 工 控 安 全 相 关 标 准 主 要 包 括 : 信 息 安 全 技 术 工 业 控 制 系 统 安 全 管 理 基 本 要 求 安 全 可 控 信 息 系 统 ( 电 力 系 统 ) 安 全 指 标 体 系 信 息 安 全 技 术 工 业 控 制 系 统 信 息 安 全 检 查 指 南 信 息 安 全 技 术 工 业 控 制 系 统 安 全 防 护 技 术 要 求 和 测 试 评 价 方 法 信 息 安 全 技 术 工 业 控 制 系 统 信 息 安 全 分 级 规 范 信 息 安 全 技 术 工 业 控 制 系 统 测 控 终 端 安 全 要 求 另 外, 其 他 主 管 部 门 牵 头 制 定 的 标 准 还 有 : 工 业 控 制 系 统 信 息 安 全 等 级 保 护 设 计 技 术 指 南 国 内 产 业 联 盟 动 态 2014 年 4 月 17 日, 工 业 控 制 系 统 信 息 安 全 产 业 联 盟 由 中 国 电 子 技 术 标 准 化 研 究 院 信 息 安 全 研 究 中 心 全 国 工 业 过 程 测 量 控 制 和 自 动 化 标 准 化 技 术 委 员 会 公 安 部 第 三 研 究 所 工 信 部 电 子 科 学 技 术 情 报 研 究 所 中 国 软 件 评 测 中 心 中 国 仪 器 仪 表 行 业 协 会 等 涉 及 国 家 主 管 部 门 工 控 系 统 厂 商 信 息 安 全 厂 商 以 及 行 业 用 户 的 24 家 单 位 共 同 发 起, 以 搭 建 政 府 用 户 企 业 科 研 院 所 大 专 院 校 之 间 的 交 流 平 台, 发 挥 纽 带 与 桥 梁 作 用, 共 同 推 进 我 国 工 业 控 制 系 统 信 息 安 全 产 业 发 展, 保 障 关 键 基 础 设 施 安 全 稳 定 运 行, 支 撑 中 国 工 业 健 康 可 持 续 发 展 为 宗 旨, 致 力 于 为 我 国 工 业 控 制 系 统 信 息 安 全 在 体 系 建 设 等 级 保 护 风 险 评 估 标 准 制 定 产 品 开 发 和 评 测 等 方 面 迅 速 有 效 地 取 得 积 极 成 效 而 搭 建 一 个 交 流 平 台 工 业 控 制 系 统 信 息 安 全 产 业 联 盟 成 立 以 来 的 主 要 工 作 如 下 : 开 通 联 盟 网 站 http://www.icsisia.com/, 拟 建 立 成 员 单 位 通 信 员 制 度, 并 定 期 提 供 电 子 月 讯, 实 现 联 盟 成 员 间 的 信 息 交 互 并 展 示 联 盟 成 员 成 果 动 态 信 息 13 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析

2014 年 5 月 22 日, 在 上 海 举 办 2014 工 业 控 制 系 统 信 息 安 全 年 大 型 主 题 系 列 活 动 首 站 上 海 站 活 动 及 第 三 届 工 业 控 制 系 统 信 息 安 全 峰 会 ( 绿 盟 科 技 李 鸿 培 博 士 作 为 联 盟 专 家 委 员 会 成 员 主 持 下 午 的 技 术 大 会 ) 会 议 资 料 下 载 地 址 : http://huodong.kongzhi.net/2014icsis-1/zhibo.html 2014 年 7 月 1 日, 组 织 联 盟 成 员 参 观 工 控 安 全 企 业 和 利 时 集 团, 并 就 工 控 系 统 的 安 全 问 题 进 行 技 术 交 流 2014 年 7 月, 组 织 联 盟 成 员 和 行 业 用 户 合 作 申 报 2014 年 度 中 关 村 产 业 技 术 联 盟 重 大 应 用 示 范 项 目 2014 年 8 月 1 日, 工 业 控 制 系 统 信 息 安 全 产 业 联 盟 (ICSISIA) 协 办 中 国 自 动 化 学 会 专 家 咨 询 工 作 委 员 会 (ECC)2014 年 会 暨 第 四 届 全 国 自 动 化 企 业 发 展 战 略 论 坛 ( 会 议 主 题 : 环 保 与 安 全 ) 大 会 借 助 联 盟 成 员 工 信 部 四 院, 促 进 行 业 标 准 的 制 订 和 落 实 绿 盟 科 技 作 为 工 业 控 制 系 统 信 息 安 全 产 业 联 盟 的 发 起 单 位 之 一, 积 极 参 与 了 联 盟 成 立 以 来 的 各 种 活 动, 并 依 托 联 盟 与 联 盟 的 主 要 成 员 单 位 工 信 部 电 子 科 学 技 术 情 报 研 究 所 ( 电 子 一 所 ) 工 信 部 电 子 四 院 中 国 电 科 院 力 控 华 康 和 利 时 等 单 位 进 行 了 相 对 深 入 的 合 作 与 技 术 交 流 国 内 工 控 安 全 厂 商 动 态 由 于 工 控 系 统 被 广 泛 应 用 到 电 力 石 化 交 通 市 政 以 及 关 键 制 造 业 等 涉 及 国 计 民 生 的 重 要 行 业 中, 如 遭 受 攻 击, 受 到 影 响 的 将 不 仅 是 相 关 企 业 的 经 济 损 失, 甚 至 会 引 起 相 应 的 社 会 问 题, 其 重 要 性 不 言 而 喻 因 此, 工 控 安 全 问 题 已 成 为 当 前 世 界 各 国 最 为 重 视 的 安 全 问 题, 在 国 内 已 被 上 升 到 国 家 安 全 战 略 的 高 度, 国 家 的 政 策 标 准 也 正 在 逐 步 的 制 定 完 善 的 过 程 中 虽 然 国 内 工 控 安 全 市 场 目 前 也 仅 仅 是 处 在 刚 起 步 培 育 市 场 的 前 期 阶 段, 但 其 未 来 市 场 潜 力 巨 大, 而 且 在 国 家 层 面, 包 括 发 改 委 工 信 部 等 主 管 部 委 也 通 过 设 立 专 项 基 金, 以 资 助 国 内 科 研 院 所 企 业 的 工 控 安 全 技 术 研 究 及 工 控 安 全 产 品 研 发 及 产 业 化 在 此 背 景 下, 国 内 的 科 研 院 所 工 控 系 统 厂 商 信 息 安 全 厂 商 以 及 一 些 专 注 做 工 控 安 全 的 新 兴 企 业 都 将 一 定 的 研 发 力 量 投 入 工 控 安 全 的 研 究 及 产 品 研 发 领 域, 并 力 争 在 工 控 安 全 领 域 获 得 先 发 优 势 不 同 背 景 的 两 大 企 业 阵 营 但 要 为 工 控 行 业 的 用 户 提 供 工 控 系 统 安 全 服 务, 不 仅 需 要 熟 悉 工 控 系 统, 而 且 还 要 具 备 信 息 安 全 服 务 及 网 络 攻 防 的 能 力 从 这 个 角 度 来 看, 工 控 系 统 信 息 安 全 背 景 的 企 业 各 具 有 优 势, 但 都 缺 乏 对 方 所 具 有 的 能 力 和 人 才 储 备 这 可 能 会 在 未 来 的 一 段 时 间 内, 工 控 安 全 领 域 会 保 持 两 个 明 显 背 景 不 同 的 两 大 企 业 阵 营 1 : (1) 工 控 系 统 背 景 的 厂 商 代 表 性 企 业 有 和 利 时 浙 大 中 控 四 方 继 保 南 京 自 动 化 三 维 力 控 北 京 亚 控 等, 虽 然 因 攻 防 人 才 储 备 的 角 度, 他 们 短 期 内 难 以 大 幅 度 提 升 其 工 控 系 统 的 攻 防 实 力 ; 虽 然 可 以 通 过 企 业 并 购 的 方 式, 但 在 国 内 整 个 工 控 安 全 市 场 刚 刚 起 步, 尚 没 有 明 显 具 有 竞 争 优 势 的 企 业 或 产 品 的 时 候, 这 种 可 能 不 是 太 大 但 他 们 将 会 基 于 对 工 控 系 统 及 行 业 业 务 流 程 熟 悉 的 优 势, 利 1 因 工 控 安 全 在 很 多 行 业 涉 及 到 国 计 民 生 的 安 全, 虽 然 国 际 性 著 名 的 工 控 系 统 提 供 商 西 门 子 施 耐 德 电 气 GE 罗 克 韦 尔 日 本 横 河 等 在 国 内 很 多 行 业 都 在 应 用 其 工 控 安 全 产 品, 甚 至 是 拥 有 垄 断 的 市 场 地 位 ; 同 时 他 们 在 工 控 安 全 研 究 方 面 也 拥 有 先 天 的 优 势 但 从 国 家 安 全 的 角 度, 工 控 系 统 的 安 全 产 品 的 自 主 可 控 要 远 比 工 控 系 统 的 自 主 可 控 要 重 要 的 多, 因 此 目 前 这 些 国 际 性 工 控 系 统 厂 商 并 不 是 国 内 工 控 安 全 企 业 的 潜 在 竞 争 对 手, 甚 至 他 们 的 产 品 在 国 内 销 售 因 要 符 合 国 内 的 安 全 监 管 需 求 而 需 要 配 合 国 内 厂 商 的 工 作 所 以 本 节 主 要 讨 论 国 内 厂 商 的 竞 争 态 势 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 14

用 其 已 有 的 行 业 用 户 群 资 源, 采 用 系 统 集 成 的 方 案 整 合 其 工 控 系 统 的 功 能 安 全 类 产 品 自 研 或 友 商 的 信 息 安 全 类 产 品, 通 过 提 供 整 体 安 全 解 决 方 案, 实 现 在 现 有 业 务 上 的 信 息 安 全 增 值 服 务 工 控 系 统 技 术 产 品 方 案 以 及 行 业 用 户 群, 将 可 能 使 这 类 企 业 在 寻 求 信 息 安 全 厂 商 进 行 战 略 合 作 时 占 据 相 对 优 势 的 地 位 (2) 信 息 安 全 背 景 的 厂 商 代 表 性 企 业 有 绿 盟 科 技 启 明 星 辰 天 融 信 中 科 网 威 等 这 些 传 统 的 信 息 安 全 厂 商, 他 们 的 优 势 在 于 多 年 的 信 息 攻 防 安 全 服 务 经 验 的 积 累 以 及 完 善 的 信 息 安 全 产 品 线 当 工 控 系 统 面 对 来 自 系 统 网 络 层 面 的 黑 客 攻 击 时, 相 对 于 工 控 系 统 背 景 的 厂 商 来 说, 其 优 势 自 然 是 不 言 而 喻 的 但 因 工 业 控 制 系 统 行 业 并 非 是 信 息 安 全 背 景 的 厂 商 的 传 统 关 注 对 象, 对 工 控 系 统 相 关 技 术 与 人 才 的 储 备 也 是 从 事 工 控 安 全 研 究 及 产 品 产 业 化 的 最 大 短 板 因 工 控 行 业 是 一 个 大 行 业, 面 对 的 客 户 群 体 又 有 很 多 不 同 的 垂 直 细 分 行 业, 而 且 工 控 系 统 主 要 关 注 系 统 功 能 的 实 现, 从 而 造 成 行 业 间 的 标 准 化 不 足, 系 统 通 用 性 比 较 差, 而 且 各 细 分 行 业 的 业 务 运 营 模 式 都 有 很 大 不 同, 在 讨 论 起 安 全 性 时 也 将 有 很 多 的 个 性 化 因 素 在 里 面 比 如, 在 调 度 相 关 的 工 控 系 统 中 需 要 重 点 关 注 系 统 的 实 时 授 权 控 制 ; 而 在 关 键 的 制 造 业 则 可 能 是 要 保 证 生 产 流 程 的 连 续 性 及 敏 感 生 产 数 据 的 防 泄 密 等 问 题 个 性 化 的 工 控 系 统 及 业 务 层 面 的 设 计 使 得 信 息 安 全 厂 商 将 会 面 临 很 多 个 性 化 的 定 制 服 务 需 求, 这 使 得 信 息 安 全 厂 商 难 以 通 过 像 互 联 网 安 全 行 业 那 样 的 通 用 化 服 务 或 产 品 来 提 高 其 安 全 服 务 的 投 入 产 出 比 虽 然 国 内 在 工 控 信 息 安 全 服 务 及 产 品 方 面 的 标 准 化 工 作 正 在 进 行, 但 这 需 要 工 控 行 业 厂 商 行 业 用 户 以 及 信 息 安 全 厂 商 共 同 参 与, 形 成 分 行 业 的 标 准 化 安 全 解 决 方 案 及 相 应 的 安 全 产 品 相 关 标 准, 共 同 培 育 行 业 性 的 工 控 安 全 市 场 只 有 在 具 备 了 标 准 化 的 行 业 安 全 解 决 方 案 及 相 应 的 安 全 产 品 标 准 后, 信 息 安 全 厂 商 才 可 能 独 立 地 提 供 行 业 通 用 性 的 工 控 安 全 防 护 类 产 品, 实 现 产 品 的 规 模 化 与 产 业 化 当 然, 国 内 还 有 一 些 专 注 于 工 控 安 全 的 新 兴 公 司, 诸 如 力 控 华 康 海 天 伟 业 中 京 天 裕 匡 恩 科 技 等 这 些 公 司 目 前 规 模 较 小, 但 拥 有 一 定 的 工 控 行 业 背 景 且 因 进 入 工 控 安 全 领 域 较 早, 多 声 称 拥 有 自 主 工 控 安 全 产 品 ( 工 控 防 火 墙 工 控 系 统 隔 离 设 备 ) 和 安 全 解 决 方 案 因 此, 我 们 原 则 先 把 这 些 新 型 企 业 视 为 具 有 工 控 系 统 背 景 的 厂 商 随 着 工 控 安 全 市 场 的 成 熟, 当 前 这 种 工 控 安 全 提 供 商 明 显 划 分 为 两 大 阵 营 的 情 况 会 逐 步 淡 化, 那 时 主 导 这 个 工 控 安 全 行 业 的 将 是 专 注 于 工 控 安 全 的 工 控 安 全 厂 商 而 国 内 的 科 研 机 构, 比 如 工 信 部 一 所 四 所 中 国 电 科 院 中 科 院 信 工 所 沈 阳 自 动 化 所 等, 因 他 们 多 侧 重 于 政 策 标 准 验 证 环 境 建 设 及 技 术 方 案 方 面 的 研 究 工 作, 他 们 的 研 究 成 果 的 应 用 及 产 业 化 则 可 能 需 要 通 过 与 上 述 两 类 涉 及 工 控 安 全 领 域 的 厂 商 进 行 合 作 国 内 工 控 安 全 厂 商 动 态 这 里 初 步 介 绍 我 们 所 了 解 的 一 些 国 内 从 事 工 控 安 全 研 究 厂 商 的 进 展 情 况, 为 大 家 进 一 步 讨 论 国 内 工 控 安 全 市 场 的 竞 争 态 势 提 供 参 考 我 们 首 先 来 讨 论 具 有 工 控 系 统 研 发 背 景 的 厂 商 情 况 (1) 中 国 电 子 信 息 产 业 集 团 中 国 电 子 信 息 产 业 集 团 的 华 北 计 算 机 系 统 工 程 研 究 所 ( 原 电 子 部 六 所 ) 近 几 年 比 较 重 视 工 控 安 全 研 究 及 产 品 开 发 方 面 的 工 作, 并 把 工 控 安 全 作 为 其 在 信 息 安 全 领 域 的 重 要 研 究 方 向 之 一 已 建 立 了 工 控 安 全 实 验 室, 并 正 在 进 行 工 控 防 火 墙 等 产 品 的 开 发 (2) 和 利 时 和 利 时 为 国 内 具 有 较 高 技 术 水 平 和 实 力 的 工 控 系 统 厂 商, 在 北 京 亦 庄 拥 有 自 己 的 工 业 园 区, 年 产 值 约 40~50 亿 元, 其 工 控 系 统 产 品 主 要 覆 盖 的 行 业 有 : 轨 道 交 通 市 政 煤 炭 医 药 制 造 等 行 业 今 年 来 在 工 控 系 统 安 全 方 面 因 用 户 需 求 的 驱 动, 15 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析

也 有 较 大 的 投 入 建 立 了 专 门 的 工 控 安 全 团 队, 加 入 工 业 控 制 系 统 信 息 安 全 产 业 联 盟, 并 成 为 副 理 事 长 单 位 除 了 其 传 统 的 功 能 安 全, 积 极 参 与 工 控 安 全 相 关 国 家 标 准 的 制 定 工 作, 并 期 望 与 联 盟 成 员 协 同 合 作, 通 过 整 合 各 家 的 优 势 产 品 形 成 联 盟 级 的 工 控 系 统 信 息 安 全 解 决 方 案 (3) 浙 大 中 控 集 团 浙 大 中 控 集 团 是 中 国 领 先 的 自 动 化 与 信 息 化 技 术 产 品 与 解 决 方 案 提 供 商,2013 年 经 国 家 发 改 委 批 准 成 立 了 浙 江 大 学 工 业 控 制 系 统 安 全 技 术 国 家 工 程 实 验 室 该 实 验 室 的 重 点 工 作 是, 针 对 炼 油 化 工 电 力 水 厂 交 通 等 基 础 设 施 工 业 控 制 系 统 漏 洞 暴 露 的 问 题 及 用 户 的 实 际 安 全 需 求, 建 设 工 业 控 制 系 统 安 全 技 术 研 发 与 工 程 化 平 台, 开 展 工 业 控 制 系 统 安 全 脆 弱 性 分 析 安 全 防 护 安 全 评 估 安 全 渗 透 与 对 抗 等 关 键 技 术 产 品 的 研 发 及 产 业 化 同 时 浙 大 中 控 集 团 也 参 与 或 主 持 了 多 项 工 控 安 全 相 关 国 家 标 准 的 制 定 工 作 (4) 力 控 华 康 北 京 力 控 华 康 科 技 有 限 公 司 ( 简 称 力 控 华 康 ) 成 立 于 2009 年, 是 专 业 从 事 工 业 网 络 及 安 全 产 品 研 发, 提 供 整 体 安 全 解 决 方 案 该 公 司 具 有 一 定 的 工 业 领 域 行 业 经 验, 拥 有 工 控 行 业 监 控 软 件 和 工 业 协 议 分 析 处 理 的 相 关 技 术 其 工 控 安 全 相 关 产 品 主 要 有, 适 用 于 工 业 控 制 系 统 的 工 业 隔 离 网 关 psafetylink 工 业 通 信 网 关 pfieldcomm 和 工 业 防 火 墙 HC-ISG 等 系 列 产 品 目 前 在 冶 金 石 化 等 行 业 有 一 定 的 用 户 群 此 外, 该 公 司 也 是 工 业 控 制 系 统 信 息 安 全 产 业 联 盟 的 成 员 单 位, 也 曾 承 担 过 2012 年 的 国 家 发 改 委 安 全 专 项 课 题 工 控 防 火 墙 项 目 的 研 发 工 作 此 外, 诸 如 中 国 电 科 院 南 瑞 南 自 等 行 业 内 企 业, 他 们 一 般 拥 有 行 业 内 的 优 势 市 场 地 位, 并 在 工 控 系 统 及 工 控 安 全 研 究 及 解 决 方 案 提 供 方 面 拥 有 强 势 的 资 源 和 影 响 力, 应 是 我 们 争 取 合 作 的 战 略 伙 伴, 这 里 不 作 为 竞 争 厂 商 进 行 分 析 其 次 我 们 介 绍 具 有 信 息 安 全 背 景 的 工 控 安 全 厂 商 的 情 况 (1) 绿 盟 科 技 北 京 神 州 绿 盟 科 技 股 份 有 限 公 司, 是 国 内 著 名 的 信 息 安 全 厂 商, 国 内 上 市 企 业, 工 控 系 统 信 息 安 全 产 业 联 盟 的 主 要 成 员 之 一 拥 有 完 善 的 信 息 安 全 产 品 线 和 强 大 的 技 术 服 务 能 力 在 工 控 安 全 研 究 及 产 品 化 方 面, 不 仅 在 2012 年 承 担 国 家 发 改 委 的 安 全 专 项 工 控 审 计 系 统 的 研 发 及 产 业 化 项 目, 而 且 公 开 发 布 针 对 工 控 安 全 的 综 合 性 研 究 报 告 实 施 多 项 电 力 石 化 烟 草 等 行 业 的 安 全 风 险 评 估 项 目, 成 功 开 发 了 工 控 漏 洞 扫 描 系 统 工 控 安 全 审 计 系 统 等 两 款 专 业 化 的 工 控 安 全 产 品, 在 多 家 战 略 合 作 伙 伴 的 工 控 系 统 仿 真 试 验 环 境 中 进 行 测 试 验 证 的 同 时, 也 在 部 分 客 户 的 环 境 中 得 到 了 试 用 同 时, 绿 盟 科 技 这 两 年 也 参 与 多 项 关 于 工 控 系 统 安 全 的 国 家 标 准 的 起 草 与 制 定 工 作 (2) 启 明 星 辰 启 明 星 辰, 也 是 国 内 著 名 的 信 息 安 全 厂 商 之 一, 国 内 上 市 公 司, 工 控 系 统 信 息 安 全 产 业 联 盟 的 主 要 成 员 之 一 近 年 来 在 公 司 内 部 成 立 专 门 的 工 控 安 全 研 究 团 队, 参 与 了 工 控 安 全 相 关 的 多 项 国 家 标 准 的 起 草 与 制 定 工 作 在 烟 草 电 力 化 工 等 方 面 也 有 相 应 的 项 目 实 践 经 验 (3) 中 科 网 威 中 科 网 威, 也 是 国 内 比 较 早 的 信 息 安 全 厂 商 之 一, 未 来 希 望 专 注 于 工 控 安 全 领 域 目 前 成 立 有 网 威 工 业 控 制 系 统 网 络 安 全 实 验 室, 主 要 工 作 是 开 展 面 向 工 业 控 制 系 统 领 域 的 网 络 脆 弱 性 研 究, 同 时 为 研 发 中 心 提 供 技 术 指 引 ; 目 前 实 验 室 主 要 承 担 企 业 内 部 的 技 术 研 究 中 科 网 威 关 于 工 控 安 全 的 主 要 产 品 包 括 工 控 防 火 墙 (NP-ISG6000/4000/2000) 工 控 网 络 安 全 日 志 服 务 器 产 品 工 控 网 络 资 产 安 全 风 险 监 测 产 品 工 控 网 络 异 常 检 测 系 统 等 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 16

此 外,30 所 卫 士 通 天 融 信 网 御 神 州 等 公 司 也 在 重 视 和 关 注 工 控 安 全 领 域 的 新 业 务 拓 展, 其 中, 卫 士 通 在 国 家 标 准 制 订 工 控 系 统 安 全 风 险 评 估 指 标 体 系 设 计 等 方 面 做 了 不 少 的 工 作, 天 融 信 推 出 了 相 关 的 工 控 系 统 安 全 隔 离 设 备, 网 御 神 州 也 曾 承 担 2012 年 国 家 发 改 委 的 工 控 安 全 专 项 基 金 项 目, 与 有 关 单 位 合 作 研 制 工 控 防 火 墙 总 的 来 说, 工 控 安 全 市 场 目 前 仍 是 一 个 大 家 都 意 识 到 其 重 要 性, 但 缺 乏 指 导 性 的 行 业 标 准 和 行 业 实 践 的 新 兴 市 场, 各 厂 商 的 工 作 多 处 在 前 期 技 术 研 究 产 品 原 型 开 发 以 及 用 户 需 求 挖 掘 的 市 场 培 育 阶 段 至 少 在 目 前, 业 内 尚 没 有 占 据 市 场 优 势 的 产 品 或 公 司 合 作 策 略 及 建 议 因 为 工 控 行 业 是 一 个 大 行 业, 面 对 的 客 户 群 体 有 不 同 的 垂 直 细 分 行 业, 每 个 行 业 的 工 控 系 统 的 业 务 不 同 所 关 心 的 安 全 问 题 和 具 体 的 安 全 需 求 也 有 较 大 的 差 异 因 此, 在 每 个 垂 直 领 域 里 面, 都 需 要 工 控 系 统 厂 商 信 息 安 全 厂 商 科 研 院 所 以 及 工 控 系 统 的 用 户 群 体 的 深 度 合 作, 通 过 构 建 产 业 联 盟 形 成 利 益 共 同 体, 并 集 成 各 成 员 单 位 的 产 品 与 技 术 优 势, 通 过 合 理 分 工 协 作, 形 成 联 盟 层 面 的 安 全 解 决 方 案 在 此 基 础 上, 建 设 行 业 应 用 的 示 范 工 程 项 目, 通 过 总 结 成 功 案 例 的 经 验 教 训, 在 国 家 主 管 部 门 的 指 导 下, 制 定 出 针 对 行 业 的 工 控 系 统 信 息 安 全 建 设 的 行 业 标 准 或 国 标 只 有 建 立 起 行 业 或 国 家 标 准, 该 行 业 工 控 系 统 安 全 产 业 链 上 的 相 关 各 方 才 能 够 找 到 自 己 的 定 位 另 外, 还 要 完 善 工 控 安 全 方 案 及 产 品 的 测 评 体 系 规 范 测 评 机 构 完 善 测 评 标 准, 这 样 才 能 保 证 产 品 提 供 商 为 用 户 提 供 安 全 可 靠 的 工 控 安 全 产 品 由 于 目 前 整 个 工 控 安 全 行 业 总 体 上 仍 处 在 一 个 刚 起 步 需 要 培 育 市 场 的 初 级 阶 段, 因 此 在 现 阶 段 我 们 需 要 与 国 家 主 管 部 门 科 研 院 所 工 控 系 统 厂 商 行 业 专 家 加 强 合 作, 甚 至 与 工 控 安 全 厂 商 这 些 潜 在 的 竞 争 对 手 也 要 求 同 存 异, 在 共 同 开 拓 培 育 市 场 方 面 进 行 合 作 也 就 是 说, 即 使 是 以 前 的 竞 争 对 手, 在 现 阶 段 也 将 会 存 在 合 作 大 于 竞 争 的 可 能 Next chapter 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析 17 工 控 安 全 领 域 的 总 体 发 展 态 势 分 析

典 型 行 业 的 工 控 安 全 发 展 态 势 分 析 发 电 行 业 的 工 控 安 全 发 展 态 势 行 业 政 策 动 态 能 源 局 (1) PLC 安 全 整 改 2010 年 爆 发 的 伊 朗 布 什 尔 核 电 站 震 网 病 毒 事 件, 对 于 整 个 工 业 企 业 控 制 系 统 的 安 全 敲 响 了 警 钟 2013 年 国 家 能 源 局 以 国 能 综 安 全 [2013]387 号 文 发 出 通 知, 决 定 对 经 检 验 存 在 信 息 安 全 风 险 的 电 力 工 控 PLC 设 备 开 展 隐 患 排 查 及 漏 洞 整 改 工 作 整 改 的 范 围 主 要 是 : 发 电 厂 计 算 机 监 控 系 统 辅 助 设 备 控 制 系 统 等 电 力 工 控 系 统 中 所 使 用 的 PLC 设 备 整 改 的 主 要 内 容 : 隐 患 排 查 : 要 对 本 企 业 发 电 厂 计 算 机 监 控 系 统 辅 助 设 备 控 制 系 统 等 电 力 工 控 系 统 中 所 使 用 的 PLC 设 备 进 行 细 致 排 査 和 梳 理, 并 填 写 本 单 位 电 力 工 控 PLC 设 备 生 产 厂 商 及 型 号 统 计 表, 报 送 能 源 局 电 力 电 力 安 全 监 管 司 漏 洞 整 改 各 有 关 单 位 要 根 据 企 业 实 际, 结 合 厂 站 设 备 检 修 等 工 作 计 划, 在 确 保 发 电 厂 安 全 稳 定 运 行 的 前 提 下, 积 极 稳 妥 地 做 好 对 存 在 信 息 安 全 漏 洞 的 电 力 工 控 PLC 设 备 的 整 改 工 作 对 于 目 前 经 检 测 存 在 信 息 安 全 漏 洞 的 施 耐 德 电 气 PLC, 各 有 关 单 位 应 按 要 求 开 展 漏 洞 整 改 工 作 其 中 总 装 机 容 量 100 万 千 瓦 以 上 的 水 电 厂 应 于 2013 年 12 月 30 日 前 完 成 整 改 工 作, 由 省 级 以 上 调 度 机 构 统 一 调 度 的 其 他 电 厂 应 于 2014 年 12 月 30 日 前 完 成 整 改 工 作 (2) 电 力 企 业 网 络 与 信 息 安 全 驻 点 为 进 一 步 加 强 电 力 企 业 网 络 与 信 息 安 全 监 督 管 理 工 作, 提 高 电 力 企 业 重 要 信 息 系 统 ( 尤 其 是 生 产 控 制 大 区 信 息 系 统 ) 抵 御 恶 意 信 息 攻 击 的 能 力, 根 据 国 家 能 源 局 关 于 近 期 重 点 专 项 监 管 工 作 的 通 知 ( 国 能 监 管 2013 432 号 ) 要 求, 国 家 能 源 局 2014 年 组 织 对 辽 宁 省 电 力 企 业 网 络 与 信 息 安 全 工 作 开 展 了 专 项 驻 点 监 管 根 据 驻 点 监 管 情 况, 编 制 形 成 电 力 企 业 网 络 与 信 息 安 全 驻 点 辽 宁 监 管 报 告 根 据 实 地 调 查 摸 清 了 辽 宁 电 力 企 业 的 分 布 情 况, 也 发 现 了 电 力 企 业 存 在 的 一 些 突 出 的 问 题, 主 要 集 中 在 : 管 理 不 足 : 部 分 电 力 企 业 网 络 与 信 息 安 全 工 作 多 头 管 理, 职 能 交 叉, 缺 乏 统 一 领 导 和 沟 通 协 调 ; 信 息 安 全 工 作 人 员 配 备 不 足, 甚 至 身 兼 数 职, 不 利 于 信 息 安 全 工 作 的 落 实 部 分 电 力 企 业 对 网 络 与 信 息 安 全 的 应 急 处 置 工 作 重 视 不 足, 应 急 预 案 针 对 性 可 操 作 性 不 足, 应 急 演 练 形 式 大 于 内 容, 起 不 到 发 现 问 题 解 决 问 题 的 作 用 部 分 电 力 企 业 对 信 息 安 全 等 级 保 护 工 作 重 视 不 够, 定 级 备 案 测 评 整 改 等 环 节 的 各 项 要 求 落 实 不 严 技 术 不 足 : 部 分 企 业 生 产 环 境 与 企 业 信 息 网 之 间 缺 乏 有 效 的 安 全 隔 离 ; 部 分 企 业 电 力 二 次 系 统 安 全 防 护 设 备 运 行 维 护 不 及 时 安 全 配 置 不 完 整 针 对 存 在 的 问 题, 能 源 局 提 出 了 如 下 的 监 管 意 见 : 1) 强 化 组 织 保 障 体 系 建 设 各 电 力 企 业 要 梳 理 网 络 与 信 息 安 全 管 理 涉 及 的 部 门 岗 位 和 人 员, 进 一 步 明 确 各 相 关 部 门, 特 别 是 牵 头 管 理 部 门 的 权 利 责 任 和 义 务, 明 确 部 门 间 的 工 作 协 调 机 制, 各 部 门 要 设 立 信 息 安 全 管 理 专 职 岗 位, 责 任 到 人, 强 化 信 息 安 全 组 织 保 障 体 系 2) 建 立 健 全 常 态 化 工 作 机 制 各 电 力 企 业 要 深 刻 认 识 到 电 力 信 息 安 全 与 电 力 生 产 安 全 同 等 重 要 要 根 据 国 家 和 行 业 监 管 部 门 有 关 要 求, 落 实 专 项 资 金 制 定 工 作 计 划, 定 期 对 电 力 二 次 系 统 开 展 安 全 评 估 等 级 保 护 测 评, 形 成 常 态 化 工 作 机 制 对 评 估 测 评 中 发 现 的 问 题, 要 安 排 资 金, 及 时 整 改, 消 除 安 全 隐 患 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 18

3) 统 筹 做 好 电 力 工 控 PLC 设 备 安 全 整 改 工 作 各 电 力 企 业 要 按 照 关 于 开 展 电 力 工 控 PLC 设 备 信 息 安 全 隐 患 排 查 及 漏 洞 整 改 工 作 的 通 知 ( 国 能 综 安 全 2013 387 号 ) 的 有 关 要 求, 根 据 实 际 情 况, 统 筹 安 排, 采 取 召 回 固 件 升 级 老 旧 设 备 更 新 等 方 式 分 批 分 期 开 展 电 力 工 控 PLC 设 备 的 整 改 加 固 工 作 新 建 系 统 中 要 选 用 安 全 可 靠 可 控 的 PLC 等 工 控 设 备 4) 强 化 信 息 安 全 人 才 队 伍 建 设 各 电 力 企 业 要 面 向 公 司 领 导 相 关 部 门 主 要 负 责 人 和 企 业 员 工, 定 期 组 织 开 展 信 息 安 全 政 策 宣 贯 培 训, 提 高 领 导 层 的 认 识, 提 高 员 工 信 息 安 全 防 范 意 识 同 时 要 制 定 培 训 计 划, 派 送 技 术 人 员 参 加 行 业 和 其 它 专 业 机 构 举 办 的 信 息 安 全 培 训, 提 高 信 息 安 全 从 业 人 员 的 专 业 技 术 水 平 5) 加 大 科 技 支 撑 力 度 各 电 力 企 业 要 进 一 步 加 大 科 技 投 入, 针 对 电 力 行 业 重 要 信 息 系 统 ( 尤 其 是 生 产 监 控 系 统 ) 的 实 际 特 点 及 技 术 发 展 情 况, 充 分 发 挥 科 研 院 所 高 等 院 校 的 科 研 创 新 能 力, 深 入 开 展 基 于 可 信 计 算 的 系 统 安 全 免 疫 电 力 工 控 设 备 信 息 安 全 漏 洞 的 监 测 / 检 测 信 息 系 统 安 全 审 计 等 内 容 研 究, 切 实 保 证 电 力 企 业 重 要 信 息 系 统 的 安 全 可 靠 运 行 工 信 部 在 2011 年 工 信 部 发 布 了 关 于 加 强 工 业 控 制 系 统 信 息 安 全 管 理 的 通 知 (451 号 文 ),451 号 文 从 连 接 管 理 要 求 组 网 管 理 要 求 配 置 管 理 要 求 设 备 选 择 和 升 级 管 理 要 求 数 据 管 理 要 求 和 应 急 管 理 要 求 6 个 方 面 要 求 工 业 企 业 加 强 对 于 工 业 控 制 系 统 安 全 的 管 理 基 于 451 号 文 件, 工 信 部 形 成 了 一 套 针 对 工 业 企 业 工 业 控 制 系 统 的 安 全 检 查 规 范, 因 为 工 信 部 不 是 电 力 企 业 的 主 要 监 管 单 位, 从 2012 年 开 始 基 于 检 查 规 范 在 一 些 发 电 集 团 的 个 别 电 厂 进 行 了 试 点 性 的 安 全 检 查 试 用, 并 未 在 发 电 行 业 中 进 行 大 规 模 的 推 广 发 电 集 团 内 部 从 国 家 出 台 的 针 对 工 控 安 全 的 政 策 开 始, 各 个 发 电 集 团 已 经 开 始 考 虑 如 何 来 有 效 的 开 展 工 控 安 全 的 建 设 受 能 源 局 委 托 华 能 在 2012 年 和 2013 年 陆 续 对 一 些 电 厂 的 控 制 设 备 进 行 了 漏 洞 整 改, 从 整 改 的 过 程 中 也 积 累 了 大 量 的 工 控 系 统 安 全 建 设 的 经 验 利 用 已 有 的 工 控 安 全 建 设 的 经 验, 通 过 与 现 有 的 工 控 安 全 技 术 进 行 有 效 结 合, 来 加 强 在 工 控 安 全 方 面 的 建 设, 现 阶 段 是 华 能 和 各 个 发 电 集 团 在 未 来 工 控 安 全 建 设 方 面 的 一 个 重 要 的 方 向 各 个 发 电 集 团 在 日 常 的 安 全 考 核 中, 已 经 把 工 控 安 全 列 入 到 日 常 的 安 全 考 核 项 目 中 一 些 发 电 集 团 已 经 开 始 着 手 针 对 工 控 安 全 从 整 个 集 团 的 角 度 来 考 虑 如 何 构 建 起 一 套 行 之 有 效 的 管 控 措 施 一 些 省 级 电 力 公 司 已 经 开 始 在 一 些 电 厂 尝 试 引 入 一 些 新 的 方 法 和 思 路 来 构 建 工 业 控 制 系 统 安 全, 如 在 SIS 系 统 的 边 界 处, 通 过 监 听 等 方 式 结 合 数 据 分 析 平 台, 制 定 相 关 的 工 控 系 统 安 全 考 核 基 线, 形 成 一 整 套 针 对 工 控 系 统 的 安 全 预 警 机 制 行 业 工 控 系 统 的 安 全 现 状 及 问 题 电 厂 工 控 系 统 简 介 整 个 电 力 系 统 是 由 发 电 输 电 变 电 配 电 用 电 和 调 度 组 成 其 中 发 电 企 业 是 整 个 电 力 系 统 中 起 始 环 节, 是 整 个 能 源 闭 环 系 统 中 最 主 要 的 生 产 环 节 我 国 发 电 企 业 通 常 情 况 下, 主 要 的 发 电 形 式 为 火 力 发 电 水 利 发 电 和 核 能 发 电 其 中 火 力 发 电 占 据 整 个 发 电 企 业 发 电 量 的 比 重 最 高 整 个 发 电 控 制 系 统 多 是 以 DCS 系 统 为 核 心 辅 以 PLC 作 为 辅 机 控 制, 形 成 对 发 电 机 组 的 任 务 下 达 和 停 机 等 控 制, 同 时 通 过 DCS 与 PLC 反 馈 的 数 据 了 解 机 组 整 体 运 行 状 况 通 过 仪 器 仪 表 安 全 系 统, 如 继 电 保 护 故 障 录 波 等 实 现 对 机 制 安 全 运 行 的 监 控 19 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

下 图 是 一 个 火 电 厂 控 制 系 统 的 示 例 图, 发 电 控 制 系 统 主 要 是 由 控 制 中 心 ( 操 作 员 站 和 工 程 师 站 组 成 ) DPU 继 电 保 护 故 障 录 波 AGC 和 AVC 等 组 成, 其 中 DCS 对 主 发 电 机 组 的 运 行 进 行 监 控,PLC 作 为 辅 机 系 统 主 要 控 制 组 件, 辅 机 系 统 主 要 完 成 如 除 尘 脱 硫 等 工 作 电 网 的 调 度 主 站 监 控 发 电 机 组 对 电 网 下 达 的 生 产 任 务 的 执 行 情 况, 为 了 便 于 电 厂 发 电 与 电 网 的 有 效 阶 段, 通 过 部 署 在 电 网 与 电 厂 之 间 的 关 口 电 表 实 现 对 电 量 信 息 的 统 计 和 核 算 图 1.14 火 电 厂 控 制 系 统 的 示 例 图 现 有 的 安 全 措 施 (1) 电 力 二 次 系 统 安 全 防 护 根 据 电 监 会 5 号 令 的 要 求, 发 电 集 团 从 2005 年 就 开 始 了 针 对 电 力 二 次 系 统 安 全 防 护 的 建 设 依 据 电 力 二 次 系 统 安 全 防 护 的 要 求, 主 要 是 要 建 立 发 电 厂 二 次 系 统 的 安 全 区, 实 现 在 不 同 安 全 区 域 之 间 的 横 向 安 全 隔 离 以 及 与 调 度 中 心 通 信 的 纵 向 加 密 认 证 下 图 为 发 电 厂 二 次 系 统 安 全 区 域 示 意 图 ( 以 火 电 厂 为 例 ) 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 20

图 1.15 以 火 电 厂 为 例 的 发 电 厂 二 次 系 统 安 全 区 域 示 意 图 因 为 电 监 会 5 号 令 是 专 门 针 对 电 力 二 次 系 统 安 全 防 护 的 指 导 性 文 件, 并 且 电 监 会 ( 现 电 监 会 职 能 已 经 并 入 能 源 局 ) 是 定 期 对 相 关 发 电 企 业 进 行 安 全 检 查, 对 于 严 重 违 背 电 监 会 5 号 令 精 神 的 企 业 要 求 限 期 整 改, 并 从 调 度 侧 严 格 规 范 发 电 企 业 执 行 电 监 会 5 号 令, 如 果 出 现 限 期 整 改 仍 然 无 法 达 标 的 企 业, 要 限 制 上 网, 所 以, 从 发 电 企 业 自 身 的 业 务 需 求 出 发, 发 电 企 业 对 二 次 系 统 安 全 防 护 很 重 要, 并 且 都 按 照 5 号 令 的 要 求 来 执 行 整 体 上 看, 从 边 界 要 求 方 面 发 电 企 业 已 经 建 立 相 对 完 善 的 防 护 体 系 (2) 电 力 等 保 要 求 电 监 会 于 2007 年 发 布 关 于 开 展 电 力 行 业 管 理 信 息 安 全 等 级 保 护 定 级 工 作 的 通 知, 要 求 在 电 力 企 业 中 开 展 等 级 保 护, 要 求 按 照 电 力 行 业 定 义 的 不 同 等 级 的 系 统 进 行 定 级 工 作 定 级 指 导 如 下 表 所 示 : 表 格 3.1 发 电 行 业 电 力 二 次 系 统 等 保 的 定 级 指 导 类 别 电 力 二 次 系 统 定 级 对 象 火 电 机 组 控 制 系 统 DCS( 含 辅 机 控 制 系 统 ) 水 电 厂 监 控 系 统 系 统 级 别 总 部 区 域 ( 省 ) 地 市 单 机 容 量 300MW 以 上 为 3 级, 以 下 为 2 级 总 装 机 1000MW 以 上 为 3 级, 以 下 为 2 级 电 能 量 计 量 系 统 3 2 21 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

从 发 电 企 业 实 际 的 情 况 看, 大 部 分 的 重 点 电 厂 已 经 完 成 了 等 保 定 级 和 相 关 的 安 全 建 设, 就 整 个 发 电 企 业 现 状 看, 对 于 等 保 的 执 行 在 各 地 区 之 间 在 信 息 化 建 设 水 平 的 不 同, 专 项 资 金 支 持 方 面 存 在 一 定 的 差 异, 导 致 最 终 在 建 设 方 面 各 地 方 参 差 不 齐 安 全 措 施 的 不 足 (1) 技 术 方 面 面 临 的 问 题 发 电 企 业 对 于 电 力 二 次 系 统 的 安 全 防 护 要 求 的 执 行, 普 遍 集 中 在 专 用 装 置 的 部 署 上, 在 边 界 的 入 侵 检 测 等 技 术 手 段 上 普 遍 存 在 不 足 对 于 发 生 的 安 全 事 件, 往 往 缺 乏 相 关 的 审 计 手 段, 无 法 在 事 件 发 生 后 对 事 件 进 行 及 时 定 位 ; 往 往 在 事 件 发 生 后, 无 法 找 到 根 本 原 因, 最 终 无 法 对 事 件 进 行 定 性 分 析 操 作 员 和 工 程 师 站 的 权 限 没 有 相 关 的 管 理, 普 遍 存 在 弱 口 令 等 配 置 脆 弱 性 等 问 题 对 于 外 部 的 介 质 连 接 等 尽 管 已 经 从 管 理 角 度 制 定 的 相 关 要 求, 但 因 缺 乏 相 关 的 安 全 技 术 手 段, 无 法 进 行 有 效 监 控, 造 成 对 介 质 传 递 的 信 息 无 法 管 理, 造 成 很 多 的 恶 意 软 件 直 接 进 入 系 统 中, 对 系 统 产 生 影 响 缺 乏 统 一 的 安 全 管 理 中 心, 所 有 的 安 全 都 是 单 点 的, 无 法 针 对 已 检 测 到 相 关 潜 在 安 全 威 胁 进 行 深 度 分 析 和 定 位 缺 乏 真 正 意 义 上 的 安 全 域 的 划 分, 控 制 系 统 内 不 同 区 域 之 间 的 安 全 防 御 没 有 建 立 起 来, 造 成 某 一 子 系 统 一 旦 遭 受 到 攻 击 很 快 就 会 扩 散 到 整 个 系 统 中 相 关 设 备 通 信 缺 乏 有 效 的 安 全 认 证 机 制 (2) 管 理 方 面 面 临 的 问 题 在 生 产 环 境 中 负 责 安 全 的 人 往 往 是 兼 职 的, 并 且 对 安 全 的 关 注 度 不 高, 在 遇 到 安 全 事 件 时, 无 法 进 行 有 效 的 定 位 和 及 时 有 效 的 处 理 在 控 制 系 统 中 缺 乏 有 效 的 信 息 安 全 应 急 响 应 预 案 生 产 环 境 中 人 员 信 息 安 全 意 识 淡 薄 人 员 身 份 与 相 应 的 权 限 没 有 建 立 相 应 的 映 射 关 系, 只 是 基 于 控 制 系 统 进 行 权 限 划 分, 没 有 定 位 到 具 体 人 和 设 备 安 全 管 理 制 度 中 对 于 信 息 安 全 相 关 的 制 度 和 章 程 基 本 没 有, 人 员 入 岗 没 有 进 行 相 关 的 安 全 培 训 电 厂 一 般 都 24 小 时 不 停 机 状 态 下 运 行, 人 员 的 轮 班 一 般 是 有 相 关 的 管 理 制 度 的, 但 是 在 相 关 人 员 的 权 限 交 接 和 控 制 方 面 普 遍 没 有 基 于 信 息 安 全 考 虑, 人 员 管 理 上 存 在 一 定 的 漏 洞 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 22

行 业 安 全 建 设 需 求 分 析 服 务 从 服 务 的 角 度, 发 电 企 业 在 工 控 安 全 主 要 存 在 着 安 全 体 系 规 划 安 全 评 估 和 应 急 响 应 体 系 建 设 和 标 准 制 定 四 个 方 面 的 安 全 需 求 (1) 安 全 体 系 规 划 部 分 发 电 企 业 在 制 定 安 全 规 划 中, 已 经 把 生 产 系 统 的 安 全 列 入 到 了 整 体 安 全 保 障 的 框 架 范 围 内, 并 且 作 为 一 个 建 设 的 重 点 方 向 在 建 设 的 目 标 上, 希 望 能 够 基 于 电 力 二 次 系 统 防 护 的 要 求, 结 合 发 电 企 业 自 身 安 全 发 展 的 需 求, 建 立 起 一 套 能 够 保 障 发 电 生 产 安 全 的 防 护 系 统 (2) 安 全 评 估 能 源 局 工 信 部 门 公 安 部 门 定 期 会 对 发 电 企 业 进 行 安 全 检 查, 对 于 发 现 的 问 题, 也 希 望 电 力 企 业 能 够 在 限 定 的 时 间 进 行 整 改 为 了 解 发 电 企 业 自 身 安 全 的 状 况 和 加 强 防 护 能 力, 满 足 相 关 部 门 安 全 检 查 的 考 评 指 标 ; 发 电 企 业 希 望 能 够 定 期 对 自 身 的 工 控 系 统 进 行 安 全 检 查, 但 是 前 提 是 希 望 参 与 安 全 检 查 评 估 的 企 业 能 够 拿 出 一 套 行 之 有 效 的 评 估 方 案, 确 实 可 以 落 实 到 系 统 的 生 产 环 境 需 求 中 来 (3) 应 急 响 应 体 系 随 着 工 控 安 全 在 发 电 企 业 中 重 视 的 提 升, 发 电 企 业 也 意 识 到 自 身 在 应 急 响 应 方 面 存 在 较 大 的 不 足, 也 希 望 能 够 建 立 一 套 有 效 的 应 急 响 应 体 系 (4) 标 准 制 定 发 电 企 业 在 推 进 工 控 安 全 方 面 面 临 的 一 个 比 较 大 的 问 题 是, 缺 乏 相 关 可 操 作 的 指 导 性 文 件, 一 些 发 电 企 业 已 经 意 识 到 在 标 准 制 定 方 面 的 缺 失, 开 始 了 研 究 相 关 标 准 的 制 定 工 作 需 求 主 要 集 中 在 从 上 线 前 的 安 全 验 收 标 准 到 上 线 后 的 安 全 运 维 标 准 方 面 产 品 从 产 品 角 度 看, 发 电 企 业 在 工 控 安 全 产 品 需 求 方 面 主 要 存 在 如 下 产 品 的 需 求 : 传 统 安 全 产 品 需 求 IDS: 满 足 电 力 等 保 和 电 力 二 次 防 护 方 案 要 求 加 密 认 证 装 置 : 满 足 电 力 等 保 和 电 力 二 次 防 护 方 案 要 求 隔 离 装 置 : 满 足 电 力 等 保 和 电 力 二 次 防 护 方 案 要 求 防 火 墙 : 满 足 电 力 等 保 和 电 力 二 次 防 护 方 案 要 求 日 志 分 析 平 台 : 满 足 电 力 等 保 和 电 力 二 次 防 护 方 案 要 求 新 型 安 全 需 求 工 控 审 计 : 基 于 业 务 行 为 的 审 计 系 统 含 异 常 行 为 审 计 工 控 终 端 安 全 产 品 : 操 作 员 站 工 程 师 站 防 护 产 品, 尤 其 是 进 程 白 名 单 产 品 工 控 统 一 管 理 平 台 : 基 于 业 务 和 安 全 的 统 一 分 析 展 示 平 台 工 控 防 火 墙 : 可 部 署 在 工 控 现 场 的 访 问 控 制 设 备 要 求 到 操 作 指 令 级 无 线 审 计 : 可 以 基 于 工 业 无 线 的 现 场 环 境 进 行 审 计 23 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

工 控 安 全 发 展 的 制 约 因 素 国 家 政 策 层 面 一 方 面, 工 控 安 全 是 在 国 外 发 生 严 重 工 控 安 全 事 件 如 震 网 事 件 后 而 引 起 关 注 的, 但 是 我 们 整 体 上 在 工 控 安 全 方 面 的 研 究 起 步 较 晚, 相 关 行 业 配 套 设 施 还 不 足 ; 另 一 方 面, 工 控 安 全 是 一 个 交 叉 学 科 的 领 域, 相 关 领 域 内 的 企 业 和 人 才 都 比 较 缺 乏, 无 法 形 成 规 模 化 的 安 全 建 设 队 伍 ; 再 者, 工 业 领 域 中 出 现 的 事 故 是 直 接 带 来 经 济 损 失 和 人 员 伤 亡 的, 在 现 阶 段 由 于 工 业 安 全 事 件 所 导 致 的 生 产 问 题 还 没 有 完 全 显 现 的 情 况 下, 通 过 新 技 术 对 运 行 了 数 年 的 工 业 生 产 环 境 进 行 安 全 改 造, 新 技 术 的 引 入 是 否 会 影 响 到 工 业 生 产 的 正 常 运 行, 都 存 在 较 大 的 不 确 定 性 从 国 家 已 出 台 的 工 控 安 全 方 面 的 相 关 政 策 看, 更 多 的 是 引 导 企 业 在 大 的 框 架 和 指 导 下 进 行 工 作, 对 于 企 业 是 否 按 照 要 求 进 行 工 作, 还 缺 乏 相 关 的 监 管 机 制, 国 家 也 是 在 逐 步 收 集 信 息 过 程 中 逐 步 会 细 化 相 关 政 策, 整 体 进 度 上 需 要 一 个 预 热 到 成 熟 的 过 程 企 业 人 员 的 安 全 意 识 电 厂 中 的 工 控 系 统, 通 常 是 这 样 进 行 人 员 分 布 的, 负 责 信 息 的 人 员, 进 行 相 关 的 信 息 系 统 的 运 维 和 与 调 度 中 心 通 信 的 远 动 系 统 的 运 维 ; 负 责 热 工 的 人 员, 进 行 主 要 的 控 制 系 统 如 DCS 和 PLC 的 运 维 ; 但 在 信 息 安 全 方 面 一 般 是 没 有 固 定 的 人 员 对 于 信 息 安 全 问 题, 相 关 人 员 在 意 识 上 普 遍 不 够 重 视 而 且 在 应 对 突 发 的 信 息 安 全 事 件 时, 没 有 专 人 来 负 责, 造 成 应 急 响 应 能 力 普 遍 缺 乏 缺 乏 安 全 检 测 机 制 在 电 厂 的 工 控 环 境 中 普 遍 缺 乏 相 关 的 安 全 检 测 机 制, 经 常 无 法 定 位 相 关 的 工 控 安 全 事 件 或 者 事 后 分 析 定 位 时, 需 要 耗 费 大 量 的 人 力 和 物 力, 实 际 的 结 果 也 不 一 定 是 最 终 的 原 因 在 事 件 难 以 定 位 以 及 无 法 正 确 辨 别 是 信 息 安 全 事 件 的 前 提 下, 发 电 企 业 在 信 息 安 全 的 投 入 上 就 不 会 有 太 大 的 主 动 性, 他 们 更 加 愿 意 把 发 生 的 相 关 生 产 问 题 定 性 为 功 能 安 全 事 件, 而 实 际 上 信 息 安 全 事 件 往 往 是 通 过 导 致 功 能 安 全 问 题, 最 终 导 致 生 产 问 题 工 控 安 全 的 推 广 策 略 安 全 培 训 在 发 电 企 业 工 控 安 全 意 识 普 遍 存 在 一 定 不 足 的 情 况 下, 安 全 培 训 是 一 个 很 好 的 切 入 点 从 发 电 企 业 角 度 来 说, 因 为 从 国 家 层 面 到 企 业 集 团 层 面 都 对 工 控 安 全 提 出 的 一 些 要 求, 企 业 也 很 希 望 开 展 相 关 工 作, 但 是 往 往 不 知 道 可 入 手 的 着 力 点 在 那 里 通 过 信 息 安 全 的 培 训, 加 强 工 控 企 业 现 场 工 作 人 员 和 相 关 管 理 人 员 对 工 控 安 全 的 认 识, 对 树 立 起 绿 盟 工 控 安 全 领 导 性 企 业 的 形 象 也 是 非 常 重 要 的 我 们 可 以 引 导 企 业 从 相 关 的 管 理 咨 询 入 手, 再 逐 步 拓 展 到 相 关 的 工 控 系 统 的 安 全 建 设 上 来 产 品 试 点 工 控 行 业 与 信 息 安 全 行 业 之 间, 原 来 是 两 个 相 对 独 立 的 行 业 信 息 安 全 产 品 对 工 控 具 体 应 用 场 景 的 适 应 性 存 在 一 定 的 不 足 而 且 从 产 品 实 际 的 发 展 的 角 度 来 看, 信 息 安 全 产 品 需 要 与 具 体 环 境 进 行 有 效 结 合, 通 过 实 践 证 明 对 业 务 没 有 影 响, 并 能 够 有 效 解 决 工 控 安 全 问 题 的 时 候, 才 能 得 到 发 电 企 业 的 认 可 风 险 评 估 在 工 业 控 制 系 统 中 一 直 以 来 都 非 常 关 注 功 能 安 全,IEC 61508 的 功 能 安 全 要 求, 在 工 控 领 域 中 应 用 比 较 多, 基 于 IEC 61508 的 HAZOP 风 险 评 估 方 法 在 新 建 信 息 和 系 统 安 全 改 造 中 应 用 比 较 广 泛, 并 且 相 关 的 认 证 也 作 为 企 业 安 全 的 一 个 重 要 方 面 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 24

IEC 61508 更 加 强 调 工 控 系 统 的 本 质 安 全 和 固 有 安 全, 但 是, 从 最 近 发 展 的 趋 势 看, 信 息 安 全 也 逐 步 在 成 为 此 标 准 的 一 个 关 注 点 从 合 规 性 要 求 看, 基 于 电 力 等 保 和 二 次 系 统 安 全 防 护 要 求 的 安 全 评 估 对 于 发 电 企 业 来 说 还 是 有 比 较 大 的 需 求, 尤 其 是 在 重 大 节 日 保 电 等 时 期 前 建 设 思 路 建 立 工 控 系 统 的 准 入 机 制 如 DCS PLC 设 备 SCADA 软 件 在 上 线 前 的 安 全 检 查 基 于 业 务 进 行 安 全 分 区, 强 化 对 边 界 的 控 制, 如 针 对 不 同 控 制 业 务 之 间 的 有 效 隔 离 通 信 过 程 的 加 密 认 证 基 于 安 全 监 控 业 务 行 为, 发 现 潜 在 的 异 常 行 为, 建 立 起 基 于 业 务 行 为 的 安 全 基 线 主 机 及 主 机 应 用 侧 的 安 全 管 控, 账 户 权 限 的 最 小 化 原 则, 如 系 统 进 程 的 白 名 单 机 制 基 于 安 全 的 系 统 运 行 分 析, 早 期 安 全 预 警 与 态 势 分 析 25 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

电 网 行 业 的 工 控 安 全 发 展 态 势 行 业 政 策 动 态 能 源 局 要 求 (1) 电 监 会 5 号 令 2004 年 12 月 24 日 电 监 会 颁 布 电 监 会 5 号 令 5 号 令 强 调 为 了 防 范 黑 客 及 恶 意 代 码 等 对 电 力 二 次 系 统 的 攻 击 侵 害 及 由 此 引 发 电 力 系 统 事 故, 建 立 电 力 二 次 系 统 安 全 防 护 体 系, 保 障 电 力 系 统 的 安 全 稳 定 运 行, 根 据 中 华 人 民 共 和 国 计 算 机 信 息 系 统 安 全 保 护 条 例 和 国 家 有 关 规 定, 制 定 电 监 会 5 号 令 电 监 会 5 号 令 主 要 强 调, 电 力 二 次 系 统 安 全 防 护 的 安 全 分 区 网 络 专 用 横 向 隔 离 纵 向 认 证 的 原 则, 保 障 电 力 监 控 系 统 和 电 力 调 度 数 据 网 络 的 安 全 所 有 电 力 二 次 系 统 的 规 划 设 计 项 目 审 查 工 程 实 施 系 统 改 造 运 行 管 理 等 应 当 符 合 电 监 会 5 号 令 的 要 求 电 监 会 5 号 在 具 体 执 行 层 面 的 主 要 依 据 是 2003 年 全 国 电 力 二 次 系 统 安 全 防 护 专 家 组 和 工 作 组 编 制 的 电 力 二 次 系 统 安 全 防 护 方 案 电 力 二 次 系 统 安 全 防 护 方 案 中 电 网 防 护 主 要 在 电 力 调 度 系 统 的 主 站 系 统 内 的 安 全 分 区 之 间 有 效 的 安 全 隔 离 区 域 边 界 的 安 全 防 护 以 及 与 厂 站 通 信 的 加 密 处 理 等 电 力 二 次 系 统 安 全 建 设 的 示 意 图 如 下 图 所 示 : 图 1.16 电 力 二 次 系 统 安 全 建 设 的 示 意 图 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 26

(2) 电 力 等 保 要 求 电 监 会 于 2007 年 发 布 关 于 开 展 电 力 行 业 管 理 信 息 安 全 等 级 保 护 定 级 工 作 的 通 知, 要 求 在 电 力 企 业 中 开 展 等 级 保 护, 要 求 按 照 电 力 行 业 定 义 的 不 同 等 级 的 系 统 进 行 定 级 工 作 针 对 电 网 工 控 系 统 的 定 级 指 导 如 下 表 所 示 : 表 格 3.2 电 网 的 电 力 二 次 系 统 等 保 的 定 级 指 导 类 别 定 级 对 象 系 统 级 别 总 部 区 域 ( 省 ) 地 市 能 量 管 理 系 统 ( 具 有 SCADA AGC AVC 等 控 制 功 能 ) 变 电 站 自 动 化 系 统 ( 含 开 关 站 换 流 站 集 控 站 ) 4 3 220kV 及 以 上 变 电 站 为 3 级, 以 下 为 2 级 ; 集 控 站 为 3 级 ; 电 能 量 计 量 系 统 3 2 广 域 相 量 测 量 系 统 (WAMS) 3 无 电 力 二 次 系 统 电 网 动 态 预 警 系 统 3 无 调 度 交 易 计 划 系 统 3 无 水 调 自 动 化 系 统 2 调 度 管 理 系 统 (OMS) 2 2 雷 电 监 测 系 统 2 电 力 调 度 数 据 网 络 (SGDnet) 3 2 通 信 设 备 网 管 系 统 3 2 通 信 资 源 管 理 系 统 3 2 综 合 数 据 通 信 网 络 (SGTnet) 2 从 国 家 电 网 和 南 网 电 网 对 二 次 系 统 定 级 执 行 情 况 看, 国 家 电 网 各 个 网 省 公 司 对 于 二 次 系 统 定 级 的 执 行 情 况 较 好 在 执 行 相 关 的 等 保 定 级 和 测 评 方 面, 由 国 调 发 文 指 导 相 关 的 等 保 定 级 和 测 评, 并 且 对 于 相 关 业 务 系 统 在 等 保 定 级 和 整 改 方 面 制 定 了 相 关 的 时 间 点 因 为 国 家 电 网 的 总 部 要 求 在 各 个 网 省 执 行 力 很 强, 大 部 分 的 网 省 已 经 完 成 了 相 关 业 务 系 统 的 定 级 和 整 改, 并 且 按 照 相 关 的 要 求 进 行 周 期 性 测 评, 如 三 级 系 统 每 年 进 行 一 次 测 评 南 网 电 网 在 等 保 建 设 上 要 相 对 滞 后 于 国 家 电 网, 南 网 总 部 对 各 个 网 省 公 司 在 影 响 力 上 不 及 国 家 电 网 但 是 作 为 整 个 电 力 系 统 一 个 比 较 重 要 的 安 全 建 设 方 向, 且 南 网 电 网 规 模 较 小, 只 涉 及 5 个 省 的 建 设, 所 以, 尽 管 在 整 体 进 度 上 不 如 国 家 电 网, 但 所 涉 及 5 个 网 省 的 各 个 省 调 度 中 心 都 已 经 完 成 了 等 保 测 评 和 建 设, 只 是 部 分 地 市 电 力 公 司 还 存 在 一 定 的 建 设 的 缺 口 (3) 生 产 控 制 信 息 系 统 类 的 总 体 技 术 与 管 理 要 求 依 据 等 级 保 护 的 基 本 要 求 结 合 电 力 行 业 的 特 点, 主 要 是 在 融 合 电 力 二 次 系 统 安 全 防 护 的 要 求 的 基 础 上, 提 出 了 针 对 电 力 行 业 生 产 控 制 信 息 系 统 类 系 统 安 全 的 总 体 技 术 及 管 理 要 求, 详 见 如 下 表 格 27 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

表 格 3.3 生 产 控 制 信 息 系 统 类 总 体 技 术 要 求 生 产 控 制 信 息 系 统 类 总 体 技 术 要 求 电 力 生 产 企 业 电 网 企 业 供 电 企 业 内 部 基 于 计 算 机 和 网 络 技 术 的 业 务 系 统, 原 则 上 划 分 为 生 产 控 制 大 区 和 管 理 信 息 大 区, 生 产 控 制 大 区 可 以 分 为 控 制 区 ( 又 称 安 全 区 I) 和 非 控 制 区 ( 又 称 安 全 区 II); 生 产 控 制 大 区 网 络 与 管 理 信 息 大 区 网 络 应 物 理 隔 离 ; 两 网 之 间 有 信 息 通 信 交 换 时 应 部 署 符 合 电 力 系 统 要 求 的 单 向 隔 离 装 置, 确 保 单 向 隔 离 装 置 策 略 配 置 安 全 有 效, 禁 止 任 何 穿 越 边 界 的 E-Mail Web Telnet Rlogin FTP 等 通 用 网 络 服 务 ; 在 生 产 控 制 大 区 与 广 域 网 的 纵 向 交 接 处 应 当 设 置 经 过 国 家 指 定 部 门 检 测 认 证 的 电 力 专 用 纵 向 加 密 认 证 装 置 或 者 加 密 认 证 网 关 及 相 应 设 施, 确 保 纵 向 加 密 认 证 装 置 策 略 配 置 安 全 有 效, 实 现 双 向 身 份 认 证 数 据 加 密 和 访 问 控 制 ; 电 力 调 度 数 据 网 应 当 在 专 用 通 道 上 使 用 独 立 的 网 络 设 备 组 网, 在 物 理 层 面 上 实 现 与 其 它 数 据 网 及 外 部 公 共 信 息 网 的 安 全 隔 离 ; 控 制 区 的 信 息 系 统 数 据 通 信 应 使 用 电 力 调 度 数 据 网 的 实 时 子 网 或 专 用 通 道 进 行 传 输, 非 控 制 区 的 信 息 系 统 数 据 通 信 应 使 用 电 力 调 度 数 据 网 的 非 实 时 子 网 ; 控 制 区 与 非 控 制 区 之 间 应 采 用 国 产 防 火 墙, 或 采 用 具 有 访 问 控 制 功 能 的 设 备 进 行 隔 离 ; 二 级 系 统 统 一 成 域, 三 级 及 以 上 系 统 单 独 成 域 ; 三 级 及 以 上 系 统 域 由 独 立 子 网 承 载, 每 个 域 有 唯 一 网 络 出 口, 可 在 网 络 出 日 处 部 署 满 足 相 应 等 级 要 求 的 等 级 保 护 专 用 装 置 为 系 统 提 供 整 体 安 全 防 护 ;( 注 1: 等 级 保 护 装 置 ) 省 级 以 上 及 有 实 际 业 务 需 要 的 地 区 调 度 中 心 的 电 力 监 控 系 统 电 力 调 度 数 据 网 上 的 关 键 应 用 关 键 用 户 和 关 键 设 备 应 使 用 电 力 调 度 数 字 证 书 系 统 实 现 身 份 认 证 安 全 数 据 传 输 及 鉴 权 ; 生 产 控 制 大 区 所 部 署 的 安 全 审 计 系 统, 可 对 网 络 运 行 日 志 操 作 系 统 运 行 日 志 数 据 库 访 问 日 志 业 务 应 用 系 统 运 行 日 志 安 全 设 施 运 行 日 志 等 进 行 集 中 收 集 自 动 分 析 表 格 3.4 生 产 控 制 信 息 系 统 类 总 体 管 理 要 求 生 产 控 制 信 息 系 统 类 总 体 管 理 要 求 如 果 本 单 位 生 产 控 制 大 区 仅 有 一 级 信 息 系 统 时, 通 用 管 理 要 求 等 同 采 用 一 级 ; 如 果 本 单 位 生 产 控 制 大 区 含 有 二 级 及 以 下 等 级 信 息 系 统 时, 通 用 管 理 要 求 等 同 采 用 二 级 ; 如 果 本 单 位 生 产 控 制 大 区 含 有 三 级 及 以 下 等 级 信 息 系 统 时, 通 用 管 理 要 求 等 同 采 用 三 级 ; 如 果 本 单 位 生 产 控 制 大 区 含 有 四 级 及 以 下 等 级 信 息 系 统 时, 通 用 管 理 要 求 等 同 采 用 四 级 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 28

(4) 能 源 局 驻 点 安 全 检 查 为 进 一 步 加 强 电 力 企 业 网 络 与 信 息 安 全 监 督 管 理 工 作, 提 高 电 力 企 业 重 要 信 息 系 统 ( 尤 其 是 生 产 控 制 大 区 信 息 系 统 ) 抵 御 恶 意 信 息 攻 击 的 能 力, 根 据 国 家 能 源 局 关 于 近 期 重 点 专 项 监 管 工 作 的 通 知 ( 国 能 监 管 [2013]432 号 ) 要 求, 国 家 能 源 局 2014 年 组 织 对 XX 省 电 力 企 业 网 络 与 信 息 安 全 工 作 开 展 了 专 项 驻 点 监 管 根 据 驻 点 监 管 情 况, 编 制 形 成 电 力 企 业 网 络 与 信 息 安 全 驻 点 XX 监 管 报 告 根 据 实 地 调 查 摸 清 了 XX 电 力 企 业 的 分 布 情 况, 也 发 现 了 电 力 企 业 存 在 的 一 些 突 出 问 题, 主 要 集 中 在 : 管 理 不 足 : 部 分 电 力 企 业 网 络 与 信 息 安 全 工 作 多 头 管 理, 职 能 交 叉, 缺 乏 统 一 领 导 和 沟 通 协 调 ; 信 息 安 全 工 作 人 员 配 备 不 足, 甚 至 身 兼 数 职, 不 利 于 信 息 安 全 工 作 的 落 实 部 分 电 力 企 业 对 网 络 与 信 息 安 全 的 应 急 处 置 工 作 重 视 不 足, 应 急 预 案 针 对 性 可 操 作 性 不 足, 应 急 演 练 形 式 大 于 内 容, 起 不 到 发 现 问 题 解 决 问 题 的 作 用 部 分 电 力 企 业 对 信 息 安 全 等 级 保 护 工 作 重 视 不 够, 定 级 备 案 测 评 整 改 等 环 节 的 各 项 要 求 落 实 不 严 技 术 不 足 : 部 分 企 业 生 产 环 境 与 企 业 信 息 网 之 间 缺 乏 有 效 的 安 全 隔 离 部 分 企 业 电 力 二 次 系 统 安 全 防 护 设 备 运 行 维 护 不 及 时 安 全 配 置 不 完 整 针 对 存 在 的 问 题, 能 源 局 提 出 了 如 下 的 监 管 意 见 : 1) 强 化 组 织 保 障 体 系 建 设 各 电 力 企 业 要 梳 理 网 络 与 信 息 安 全 管 理 涉 及 的 部 门 岗 位 和 人 员, 进 一 步 明 确 各 相 关 部 门, 特 别 是 牵 头 管 理 部 门 的 权 利 责 任 和 义 务, 明 确 部 门 间 工 作 协 调 机 制, 各 部 门 要 设 立 信 息 安 全 管 理 专 职 岗 位, 责 任 到 人, 强 化 信 息 安 全 组 织 保 障 体 系 2) 建 立 健 全 常 态 化 工 作 机 制 各 电 力 企 业 要 深 刻 认 识 到 电 力 信 息 安 全 与 电 力 生 产 安 全 同 等 重 要 要 根 据 国 家 和 行 业 监 管 部 门 有 关 要 求, 落 实 专 项 资 金 制 定 工 作 计 划, 定 期 对 电 力 二 次 系 统 开 展 安 全 评 估 等 级 保 护 测 评, 形 成 常 态 化 工 作 机 制 对 评 估 测 评 中 发 现 的 问 题, 要 安 排 资 金, 及 时 整 改, 消 除 安 全 隐 患 3) 统 筹 做 好 电 力 工 控 PLC 设 备 安 全 整 改 工 作 各 电 力 企 业 要 按 照 关 于 开 展 电 力 工 控 PLC 设 备 信 息 安 全 隐 患 排 查 及 漏 洞 整 改 工 作 的 通 知 ( 国 能 综 安 全 [2013]387 号 ) 的 有 关 要 求, 根 据 实 际 情 况, 统 筹 安 排, 采 取 召 回 固 件 升 级 老 旧 设 备 更 新 等 方 式 分 批 分 期 开 展 电 力 工 控 PLC 设 备 的 整 改 加 固 工 作 新 建 系 统 中 要 选 用 安 全 可 靠 可 控 的 PLC 等 工 控 设 备 4) 强 化 信 息 安 全 人 才 队 伍 建 设 各 电 力 企 业 要 面 向 公 司 领 导 相 关 部 门 主 要 负 责 人 和 企 业 员 工, 定 期 组 织 开 展 信 息 安 全 政 策 宣 贯 培 训, 提 高 领 导 层 的 认 识, 提 高 员 工 信 息 安 全 防 范 意 识 同 时 要 制 定 培 训 计 划, 派 送 技 术 人 员 参 加 行 业 和 其 它 专 业 机 构 举 办 的 信 息 安 全 培 训, 提 高 信 息 安 全 从 业 人 员 的 专 业 技 术 水 平 5) 加 大 科 技 支 撑 力 度 各 电 力 企 业 要 进 一 步 加 大 科 技 投 入, 针 对 电 力 行 业 重 要 信 息 系 统 ( 尤 其 是 生 产 监 控 系 统 ) 的 实 际 特 点 及 技 术 发 展 情 况, 充 分 发 挥 科 研 院 所 高 等 院 校 的 科 研 创 新 能 力, 深 入 开 展 基 于 可 信 计 算 的 系 统 安 全 免 疫 电 力 工 控 设 备 信 息 安 全 漏 洞 的 监 测 / 检 测 信 息 系 统 安 全 审 计 等 内 容 研 究, 切 实 保 证 电 力 企 业 重 要 信 息 系 统 的 安 全 可 靠 运 行 国 调 中 心 要 求 (1) 695 号 文 29 典 型 行 业 的 工 控 安 全 发 展 态 势 分 析

国 家 电 网 调 度 中 心 在 2011 年 发 695 号 文, 要 求 各 个 网 省 公 司 开 展 电 力 二 次 系 统 安 全 等 保 的 定 级 备 案 和 开 展 电 力 等 保 建 设 的 工 作 并 且 把 等 保 的 定 级 和 建 设 作 为 电 网 安 全 建 设 中 一 个 重 点, 并 且 提 出 等 保 建 设 要 与 电 力 二 次 系 统 安 全 防 护 相 结 合. (2) 168 号 文 伴 随 着 智 能 电 网 的 在 国 内 的 建 设 和 发 展, 配 电 网 的 自 动 化 建 设 也 迎 来 了 一 个 建 设 的 高 峰 配 电 是 整 个 电 网 生 产 系 统 中 距 离 用 户 最 新 的 业 务 环 境 对 于 配 电 的 安 全 性 来 说, 任 意 可 接 入 配 电 网 的 主 机 下 发 的 控 制 指 令 只 要 是 和 配 电 指 令 要 求 一 致, 相 关 的 配 电 终 端 就 会 按 照 指 令 的 要 求 执 行, 如 开 关 旁 路 断 路 器 旁 路 等, 就 会 引 起 部 分 区 域 的 断 电, 对 于 实 际 环 境 来 说 危 害 较 大 为 了 有 效 解 决 配 电 终 端 对 主 站 发 送 的 指 令 无 认 证 执 行 的 问 题, 国 家 电 网 调 度 中 心 发 布 了 168 号 文, 在 主 站 与 配 电 终 端 之 间 通 信 时, 需 要 用 基 于 证 书 的 方 式 对 主 站 下 达 的 指 令 经 过 认 证 后 才 可 以 执 行 168 号 文 要 求, 各 个 地 调 中 心 对 新 上 线 的 配 电 终 端 要 采 用 支 持 认 证 的 配 电 终 端, 主 站 前 置 机 要 加 装 相 关 的 模 块 或 者 加 入 相 关 的 加 密 认 证 装 置, 对 于 受 条 件 限 制 的 配 电 终 端, 要 实 现 逐 步 替 换, 在 2015 年 前 完 成 所 有 配 电 终 端 的 整 改 (3) 常 态 化 的 安 全 检 查 电 网 是 整 个 国 家 能 源 供 给 的 核 心, 电 网 的 安 全 关 乎 整 个 国 家 的 安 全 对 于 电 网 的 安 全 重 视 一 直 以 来 都 是 能 源 行 业 中 的 重 点 能 源 局 每 年 都 会 委 托 电 力 信 息 安 全 测 评 实 验 室 对 国 调 和 各 个 省 公 司 的 调 度 中 心 进 行 安 全 检 查, 已 经 形 成 了 常 态 化, 尤 其 是 重 大 节 日 的 保 电 检 查 检 查 中 会 参 照 电 力 二 次 防 护 的 要 求 从 技 术 和 管 理 两 个 方 面 对 调 度 中 心 三 个 区 域 的 不 同 业 务 的 安 全 性 进 行 检 查, 如 发 现 重 大 信 息 安 全 隐 患, 会 要 求 相 关 业 务 单 位 进 行 安 全 整 改, 对 于 问 题 严 重 要 要 在 电 网 范 围 内 进 行 通 报 行 业 工 控 系 统 的 安 全 现 状 及 问 题 安 全 现 状 (1) 二 次 防 护 构 建 电 力 调 度 中 心 主 要 由 EMS( 能 量 管 理 系 统 ) WAMS( 广 域 监 测 系 统 ) 安 全 自 动 控 制 系 统 保 护 设 置 工 作 站 等 组 成 的 一 个 实 时 性 的 生 产 系 统 和 DTS( 调 度 员 培 训 系 统 ) 电 量 管 理 系 统 和 继 保 及 故 障 录 波 等 非 实 时 性 生 产 系 统, 以 及 雷 电 监 测 系 统 气 象 信 息 日 报 / 早 报 等 生 产 管 理 系 统 等 系 统 组 成 其 中 实 时 系 统 主 要 提 供 基 于 毫 秒 级 的 实 时 业 务 处 理 能 力, 主 要 通 过 SCADA 系 统 的 下 位 机 对 采 集 的 各 个 一 次 设 备 的 状 态 值 包 括 厂 站 开 关 刀 闸 的 状 态 值 潮 流 的 实 时 信 息 电 能 量 相 关 状 态 等 实 时 数 据 信 息, 结 合 这 些 实 时 信 息 对 电 力 系 统 进 行 经 济 安 全 评 估, 并 给 出 调 度 决 策 的 建 议, 提 高 调 度 的 水 平, 降 低 调 度 员 的 工 作 状 态 等 功 能 非 实 时 系 统 主 要 完 成 调 度 管 理 员 的 模 拟 操 作 培 训 ; 实 现 电 能 量 信 息 瞬 时 量 信 息 的 采 集 存 储 上 传 发 布 和 维 护 ; 实 现 故 障 的 记 录 和 继 电 保 护 的 功 能 生 产 管 理 系 统 主 要 实 现 调 度 生 产 区 的 信 息 发 布 和 其 他 支 撑 调 度 系 统 的 相 关 数 据 支 撑 的 作 用, 是 调 度 生 产 相 关 的 业 务 的 集 中 区 域 根 据 电 网 二 次 防 护 的 要 求, 根 据 对 业 务 的 实 时 性 和 重 要 性 的 要 求 分 为 三 个 区, 分 别 对 应 着 实 时 业 务 控 制 区 非 实 时 业 务 控 制 区 和 生 产 管 理 区 根 据 电 网 二 次 防 护 的 要 求, 根 据 对 业 务 的 实 时 性 和 重 要 性 的 要 求 分 为 三 个 区, 分 别 对 应 着 实 时 业 务 控 制 区 非 实 时 业 务 控 制 区 和 生 产 管 理 区 一 区 和 二 区 同 属 于 生 产 控 制 大 区, 一 二 区 之 间 通 过 防 火 墙 进 行 逻 辑 隔 离, 在 纵 向 区 域 和 横 向 区 域 之 间 部 署 入 侵 检 测 来 检 测 潜 在 的 入 侵 行 为 在 二 区 和 三 区 之 间 一 区 和 三 区 之 间 使 用 正 向 和 反 向 隔 离 装 置 实 现 数 据 的 定 向 传 输 在 三 区 信 息 大 区 与 信 息 外 网 之 间 也 要 使 用 单 项 隔 离 装 置 实 现 数 据 的 传 输 为 了 有 效 加 强 对 内 部 相 关 日 志 的 管 理, 要 求 日 志 审 计 和 管 理 机 制 在 调 度 中 心 与 变 电 站 和 电 厂 之 间, 通 过 纵 向 加 密 认 证 装 置 现 实 通 信 的 安 全 性 为 了 有 效 2014 绿 盟 科 技 工 控 系 统 安 全 态 势 报 告 30