《电力工控系统网络安全监测预警解决方案》由会员分享，可在线阅读，更多相关《电力工控系统网络安全监测预警解决方案（4页珍藏版）》请在金锄头文库上搜索。
1、电力工控系统网络安全监测预警解决方案摘要：随着电力自动化生产技术的迅猛发展，工控系统产品越来越多地采用通用协议/ 规约，通用硬/软件和网络设备，工控系统在物理环境上的封闭性以及软/硬件的专用性逐渐 被打破，工控系统的智能化提高了生产效率和管理效率，同时也为恶意攻击者创造了可乘之 机。工控系统作为电力行业生产的最重要控制系统，在高度对抗的安全环境下受到了前所未 有的威胁，成为了众多对象打击和渗透的目标，各种针对电力生产控制系统网络的病毒、木 马等威胁事件层出不穷。面对攻击技术与手段日益先进、复杂、成熟的针对电力工控系统进 行攻击的行为，电力工控系统所面临的安全威胁也日益严峻。因此，如何保障电厂工
2、控系统 安全，保障电厂的安全生产，为电厂设计安全、有效的工控系统安全防护方案，已成为一个 日益突出的问题。关键词：电力工控系统；网络安全；监测预警引言当前，越来越多的信息技术被应用到工业领域，电力工控系统面临着网络攻击威胁。因 此，必须针对电网工控系统的威胁进行有效的监测，才能及时发现可能存在的安全问题。通 过对电力工控系统攻击威胁的分析，提出一种基于攻击树的电力工控安全的威胁模型。威胁 值越大，威胁风险等级越高，并且通过电力工控系统验证了该方法的实用性。在威胁模型的 基础上，设计了电力工控协议威胁识别与监测平台，以用来监测电力工控系统。1电力工控系统网络信息安全漏洞检测电力工控系统网络信息安
3、全漏洞检测主要包含以下几个方面：首先是建立数据包特征集 协议 Fuzzing 漏洞检测方法。由于数据包特征集的建立并不完善，存在误报率较高的问题， 因此，在电力工控系统网络信息安全漏洞检测方法中引入免疫方法建立数据包特征集，降低 漏洞检测的误报率。在数据包特征集的建立中，把数据包的特征与对应的漏洞类型属性值进 行关联结合。通过对已知的攻击方法与网络信息安全漏洞进行分析，寻找各种网络信息安全 漏洞所对应的免疫抗体数据包特征与免疫记忆数据包特征，利用这些数据包特征建立数据包 特征集。在数据包特征集中，每一种漏洞类型属性值对应免疫抗体数据包特征集与免疫记忆 数据包特征集这两种数据包特征集。其次是建立
4、漏洞特征库。首先通过生成的检查码对漏洞 特征成分进行分析。将网络信息安全漏洞分解成若干部分，利用分解后的部分构成，并结合 抗原决定基来表现漏洞相应方面的独立特征，称其为漏洞特征基，一个漏洞特征基可能会出 现在多种漏洞中，当修改注册表项成为一个漏洞特征基后，它会出现在红色代码、硬盘杀 手、木马攻击等漏洞中。一个漏洞特征由多个漏洞特征基组成，因此，通过对漏洞特征基进 行组合，形成了不同网络信息安全漏洞的特征。利用这些网络信息安全漏洞特征创建特征 库，特征库的表现形式包括特征元素、特征因子、特征基，实现了对漏洞特征多层次、多特 征的表述。其中特征元素是特征因子与特征基的基本数据，包括 CPU 使用率
5、、端口号、源 IP 等，利用漏洞特征分别对特征元素、特征因子、特征基进行表述，实现了特征库的创 建。2电力工控系统网络安全监测预警解决方案关键应用技术首先是电力工控系统网络安全监测预警解决方案研制并推广了集网络安全事件实时监 控、异构离散告警深度融合、安全威胁审计溯源、网络拓扑自动分析于一体的实时监测分析 应用技术，满足网络空间可管理、可控制、可追溯的实时监控运行需求。首先是提出并研制 了电力工控系统安全保护策略、软件版本的自动核查及预警技术，解决了传统的安全核查方 法不支持电力工控软件和专用安防设备、软件版本缺乏在线管控手段等问题；其次是提出了 适用于工控终端的异常行为动态感知与威胁处置协同
6、控制方法，研制了适用于工控终端监控 的网络安全监测装置，解决了异构工控终端的实时安全监控难题，实现了工控终端安全监控 的全覆盖；最后是提出了一种动态扩展的工控通信协议解析和行为异常检测方法，研制了适 用于工控网络流量监测的工控网络安全监测装置，解决了现场个性化、差异化工控通信协议 解析难题，实现了工控业务行为状态机的实时跟踪预警。3电力工控系统网络安全监测预警解决的功能分析网络安全监测装置具备本地管理功能，包括资产管理、安全运行状态展示、支持告警内 容进行本地存储，并支持调阅查询，对安全监测装置的运行情况进行监视，包括电源、CPU 利用率、内存利用率、硬盘存储空间、通信链路状态、用户登录、异常
7、操作等；支持对告警 生成策略的管理，策略可由远方进行修改。网络安全监测装置以服务代理的形式提供服务给 网络安全管理平台调用。同时，具备时钟同步功能，安全监测装置的时间应和厂站内站控层 监控系统严格同步，以保证数据采集、安全分析和告警等处理顺利进行；具备网络流量分析 功能，通过捕获交换机镜像口流量进行协议分析，对异常流量和行为进行实时监视与预警； 具备防病毒管理功能，提供防病毒客户端引擎，并能通过网络安全管理平台实现病毒库的远 程管理，进一步提高厂站端安全防护水平。4 电力工控协议威胁识别与监测当前，电力工控系统系统面临的威胁越来越严重。安全威胁监测主要针对用电采集系统 智能终端和配电自动化终端
8、的安全问题进行威胁的监测与分析，系统地分析其所面临的威胁 及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，并且安全威胁监测需要结 合实际的攻击手段来验证安全威胁监测与分析能力。系统主要面向工业控制系统的控制设 备、网络通信流量、I/O状态、DCS工程师站、DCS操作站、网络设备和安全设备等进行数 据采集、解析、分析、安全监测及告警。系统基于模块化分层设计原则包括数据采集层、大 数据存储层、大数据分析层、监测业务层和数据展现层等层面。大数据存储主要针对采集的 数据进行解析并格式化，以便于进一步地存储与分析。大数据分析层通过数据预分析构建分 类数据库，并基于云数据进行存储，利用大数据分析
9、技术对数据进行抽取、预处理和数据整 合提供集散控制系统的控制指令、组态程序等的完整性分析、系统和网络流量的异常分析、 攻击的关联分析及系统状态的时序分析等能力。监测业务层提供针对集散控制系统的安全监 测核心功能，包括异常流量监测、病毒攻击监测、通信行为监测、总线访问监测、系统负载 监测、状态参数监测、控制信号监测、DCS组态监测和DCS数据与操控指令监测等多种安全 功能。数据展现层提供统一的可视化的安全态势展现、实时监控、监测告警、溯源分析和统 计报表等功能。工业网络现场监测装置用于对工业以太网流量的采集与分析，总线现场监测 装置用于对典型现场总线上的流量进行采集与分析，控制信号现场监测装置用
10、于对I/O信号 线上的信号进行直接地采集与分析，所有采集到的实时数据会被存储到 MongoDB 数据库集 群，供异常监测中央平台分析。结语综上，工业控制网络的运维和安全同时需要从管理上加强，比如通过应急演练，应对突 发问题，如程序文件丢失、硬件故障、与总部人员联动、演练临时维修线路的使用等问题； 通过加强物理层面的防护，加强出入管理，防止外部人员带未知设备进人工控室等未来工 业控制网络的安全形式只会更加严峻，需要深度优化工控网的防护标准，提高应对信息安全 风险的能力，从根本上弥补安全生产中的短板，参考文献：1 朱梦影，徐蕾基于攻击图与报警相似性的混合报警关联模型J.计算机应 用,2014,34(1):108-112.2 刘威歆，郑康锋，武斌，等.基于攻击图的多源告警关联分析方法J.通信学报，2015,36(9):135-144.-全文完-
