1 概述
水電站電力監控系統是水電站監視和控制領域中的重要組成部分，在水電站安全生產乃至電力系統安全穩定運行中占有重要地位。它主要由各種自動化元件和實時數據采集、控制流程部件等組成，包括各類生產控制系統、可編程邏輯控制器、遠程測控單元、在線監測系統、輔助決策系統等。隨著計算機技術、通信技術、控制技術的快速進步，水電站電力監控系統實現了信息管理與自動控制一體化，在生產過程中發揮的作用越來越重要。
隨著通用開發標準和互聯網技術的廣泛應用，針對電力監控系統的病毒、木馬等惡意代碼或攻擊行為出現頻率大幅增加。近年來，已出現“震網”病毒事件、烏克蘭停電事件等多次惡性網絡安全事件。這些事件給我們敲響了警鐘，證明了水電站電力監控系統所面臨的網絡安全威脅是時刻真實存在的，必須采取措施預防和減少網絡安全事件造成的損失和危害。
2 水電站電力監控系統面臨的網絡安全威脅
根據水電站電力監控系統自身特點及所處的環境，其面臨的網絡安全威脅主要來自以下幾個方面：系統自身的技術漏洞或故障、來自內部或外部的惡意代碼侵害、內部人員的誤操作或越權操作、管理制度漏洞等。
2.1 系統自身的技術漏洞或故障
電力監控系統的結構已從最初的CCS（計算機集中控制系統）到DCS（分散控制系統），發展到現在的FCS（現場總線控制系統），結構和功能都發生了巨大的變化。由于設計開發人員的水平所限、系統采用的軟硬件設備存在缺陷或漏洞等原因，不可避免會存在技術漏洞，系統運行過程中也可能出現各種故障。
2.2 來自內部或外部的惡意代碼侵害
由于目前我國水電站電力監控系統軟硬件未實現完全國產化，因而不能排除非國產設備或系統是否存在人為因素留下的后門或漏洞。由于電力監控系統越來越依賴“以太網標準”進行設計和構建，基于TCP/IP等協議的漏洞也就可能會使其更易受到內外部網絡的安全威脅。
同時，出于對數據的采集、分析與管理等方面的需要，水電站電力監控系統需要與（企業內部）公共網絡進行數據交互。在數據交互的過程中，盡管采取了必要的技術措施，但仍使得水電站電力監控系統的部分內部結構或信息暴露在（企業內部）公共網絡環境中。由于公共網絡環境的復雜性和不確定性，導致水電站電力監控系統可能受到的網絡安全威脅顯著增加。
此外，新需求的出現和新技術的應用也給水電站電力監控系統帶來了新的挑戰。移動應用、無線連接、機器人等技術在電力系統已多有應用，受應用時間和范圍限制，與其相關的網絡安全問題已逐步顯現。
2.3 內部人員的誤操作或越權操作
盡管水電站電力監控系統的自動化和智能化程度越來越高，但是在重要工序或關鍵步驟仍需要人為操作或干預。通過設置合理的閉鎖和限制條件，可以有效降低但無法完全消除誤操作的概率。某種程度上，人為失誤是無可避免的，且其造成的損失可能是極高的，甚至高于來自外部的安全威脅。同時，包括設置錯誤、配置錯誤及編程錯誤等在內的誤操作也很容易被不法分子利用，成為系統防御的薄弱點。
由于傳統的電力監控系統缺乏限制用戶行為的認證和加密機制，使得某些用戶在特定情況下可以毫無約束地訪問任何設備或資源，這就為越權操作打開了方便之門。
2.4 管理制度漏洞
技術和管理作為網絡安全管理的兩翼，缺一不可。因此，管理制度的漏洞或缺失同樣需要引起高度重視。比如重要操作的監護制度、重要部位的進出管理制度、臺賬記錄要求等，這些制度不僅對于事前風險防范意義重大，對于事后調查也必不可少。合理有效的制度體系是安全生產的重要保證，但新技術的應用和新業務的拓展給企業制度建設帶來了不小的挑戰。管理制度和實際工作一旦脫節，就會使水電站網絡安全風險大大增加。
3 水電站電力監控系統網絡安全防護現狀
針對以上威脅，水電站電力監控系統有針對性地采取了技術和管理上的防護措施，主要包括以下幾方面：
3.1 消除自身的技術漏洞
近年來，通過將水電站電力監控系統全面納入信息安全等級保護，嚴格執行等級保護和安全風險評估的相關要求，有效發現并消除了許多技術漏洞。由于國外設備的封閉性和保密性，使得進一步提升其網絡安全防護能力變得十分困難，因此我國水電站電力監控系統已廣泛應用國產軟硬件設備替代國外產品，以便牢牢掌握網絡安全防護的主動權，實現本體安全和本質安全。
對于新建電力監控系統，水電站相關單位均高度重視系統架構安全規劃設計、網絡安全分區設計、區域訪問控制策略設計及不同區域之間的隔離和認證等方面，在水電站電力監控系統全生命周期推廣使用安全編程方法、安全測試方法、漏洞掃描等安全技術。
此外，水電站各相關單位越來越重視關鍵敏感信息的處理、保存、傳輸等環節，有效降低了技術漏洞等敏感信息被不法分子截獲、盜取的風險。
3.2 防御外部威脅
目前，水電站電力監控系統主要通過白名單安全機制、邊界防護和入侵檢測（防御）等技術實現對外部網絡安全威脅的防御。
其中，白名單安全機制是來自于傳統防火墻設置規則的安全規范，通過提前設定具體的規則或協議來限制數據的交互，從而從根源上消除惡意代碼的傳播和運行。不僅如此，白名單機制在水電站設備管理和實際業務操作中也得到廣泛應用，例如指定可信任的人員使用指定的調試設備、移動介質按照指定的流程進行作業等。
物理隔離技術在我國多個行業部門均有廣泛應用，對于文件數據交換、HTTP訪問、WWW服務、FTP訪問、電子郵件等業務均有較好的防護效果。在水電站電力監控系統領域，物理隔離技術能夠建立安全通道實現安全快速的數據交換，對于關鍵網絡設備的防護必不可少。
作為以上防范策略的補充，水電站電力監控系統普遍禁止遠程維護管理和協助，禁用無線接入功能，并在關鍵網絡中部署入侵檢測（防御）設備。當外部威脅進入水電站電力監控系統內部時，可以及時發現、阻斷、遏制相關威脅。
3.3 人員管理和制度建設
按照信息安全等級保護的自主保護、重點保護、同步建設、動態調整原則，各水電站均制定了全面的網絡安全管理制度，加強了人員培訓和管理。重點加強了權限管理、日志審計、應急演練等方面的管控工作，包括制定合理的權限管理流程、根據業務需要實現權限分離、建設覆蓋所有關鍵設備的日志審計系統、開展全員網絡安全培訓和應急演練，通過多種形式提升員工網絡安全防護意識和水平。
對于云計算、物聯網、大數據等新技術應用，各電力企業積極面對謹慎探索，在滿足現有要求、標準的基礎上，不斷積累實際使用經驗，不斷豐富和完善內部制度體系。
4 提升水電站電力監控系統網絡安全防護水平的措施
傳統的單一技術手段已不能保證水電站電力監控系統的安全能穩定運行，更無法提升其整體網絡安全防護水平。只有依據自身業務特點，綜合運用功能安全、信息安全等技術手段，結合健全有效的管理制度體系，才有可能實現水電站電力監控系統的本質安全。
4.1 邊界管控
無論水電站電力監控系統結構如何變化，邊界管控始終是網絡安全防護中最重要的環節。用于監視和控制電力生產過程的基于計算機及網絡技術的業務系統及智能設備，以及作為支撐的通信網絡等是邊界管控的重點。通過部署國產邊界防護設備，重點強化水電站電力監控系統的邊界防護，同時也可加強對內部設備、主機、應用和數據安全的防護。嚴格禁止水電站電力監控系統面向互聯網開通HTTP、FTP、Telnet、無線通信等容易被入侵、攻擊和利用的高風險通用網絡服務。
“震網”病毒事件為電力監控系統敲響了警鐘，除筑牢邊界管控防線外，還應重視開發測試環境、調試設備、移動介質的管理。在開發測試環境與生產環境之間應部署高強度隔離設備。在開發測試環境和生產環境中應部署終端管控系統，可有效實現對非法外聯、非法內聯、非授權設備接入等行為的識別和阻斷。
4.2 權限管理
根據崗位職責對用戶進行最小化授權，可保證因事故、錯誤等原因造成的損失最小化。對不同的管理人員和用戶分配與職責相適應的權限，尤其應加強對關鍵崗位人員、離崗人員、接觸內部敏感信息的第三方人員的權限管理，還應定期審計分配的賬戶權限是否超過工作需要。
此外，還應根據業務重要性，為水電站電力監控系統的各軟件、硬件等設定不同的登錄賬戶和口令，并定期進行更新，避免使用默認口令或弱口令，必要時可采取USB-key、指紋、虹膜等多重身份認證手段。
4.3 行為審計和態勢預警
對水電站電力監控系統的各種安全信息進行采集和分析，實現對系統的安全狀況評估。審計的對象包括通過安全代理、鏡像流量、抓取等方式獲得的水電站電力監控系統的各類日志、通信會話和安全事件等。還應在不影響水電站安全穩定運行前提下，對操作過程和授權過程進行安全審計。對日志進行定期備份，通過第三方日志審計系統對日志進行定期審計，追蹤非授權訪問行為。
為有效發現異常行為，同時避免對水電站電力監控系統造成破壞，應研究和設計適合現有工業控制協議的行為審計模型和方法。此外，還應大力推廣應用安全可視化技術，為水電站電力監控系統管理者和用戶提供安全全局視圖，便于開展安全狀態追蹤、監視和控制，提供準確有效的參考信息，降低安全決策和應急響應的時間成本，減少人為失誤提升管理效能。
為對水電站電力監控系統的網絡安全態勢進行全面評估，應建立全方位多層次的安全態勢評估模型，在傳統的資產、威脅、脆弱性評估基礎上細化評估粒度，對水電站電力監控系統的不同層次設備采取不同評估方法。
4.4 管理保障
建立健全水電站電力監控系統網絡安全管控機制，明確主體責任，成立由信息化、生產管理、設備管理等相關部門組成的網絡安全協調機構，負責水電站電力監控系統的網絡安全防護體系建設和管理。
在現有設備管理制度體系基礎上建立水電站電力監控系統及網絡安全防護設備資產清單，包括信息資產、軟件資產、硬件資產等。明確水電站電力監控系統及網絡安全防護設備的責任人及職責，建立資產使用制度，定期進行安全巡視，實時監視水電站電力監控系統運行狀態，及時發現風險或隱患。
完善人員管理制度，加強對水電站電力監控系統管理員、用戶的行為約束，通過技術手段保證制度要求嚴格執行。
加強供應鏈管理，優先選擇具備電力監控系統安全防護經驗的國有企事業單位實施水電站電力監控系統的規劃、設計、建設、運維和評估等工作，全面推廣國產設備。明確與水電站電力監控系統相關的供應商、服務商承擔的網絡安全保密責任，嚴控網絡安全敏感信息的傳播范圍，防范相關配置文件、運行數據、控制指令等敏感信息外泄。
5 展望
當前，面向用戶需求的服務模式逐漸成為主流，各類工業系統融合趨勢愈發明顯，水電站電力監控系統已不再完全封閉。同時，工業互聯網和信息化的發展和融合不斷產生了新的安全問題，水電站電力監控系統面臨的安全形勢愈加嚴峻。
但水電站電力監控系統與典型信息系統區別較大，關注點不同，必須區別對待。水電站電力監控系統一般對實時性和可靠性較為敏感，對于數據傳輸質量和實效要求極高。因此，對于水電站電力監控系統的網絡安全防護，必須將保證可用性和可靠性放在首位。不可簡單地套用傳統信息安全技術，僅關注水電站電力監控系統中的網絡和計算機設備，忽視對PLC等現場裝置的安全防護，必須建立覆蓋所有生產環節的基于生產流程的行為審計和分析平臺。此外，行業相關機構應加快制定針對水電站電力監控系統業務場景的安全測試、測評標準，為各水電站主管單位提供更加準確有效的網絡安全防護評價方法。
來源：電力科技通訊
