導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

智能電網(wǎng)ICS系統(tǒng)信息安全研究

文檔作者：傅戈1張林山2文紅3 文檔來源： 1．云南云電同方科技公司信息安全保障部 2．云南電力研究院 3．電子科技大學(xué)通信抗干擾國(guó)家級(jí)重點(diǎn)實(shí)驗(yàn)室四		點(diǎn) 擊數(shù)：	更新時(shí)間： 2024年07月26日
下載地址：點(diǎn)擊這里	文件大?。?174.54 KB 共2頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：174.54 KB 共2頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：新型電抗器線圈絕緣結(jié)構(gòu)及制造工藝研究

上一篇：智能電網(wǎng)環(huán)境下電網(wǎng)企業(yè)信息安全關(guān)鍵技術(shù)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

智能電網(wǎng)ICS系統(tǒng)信息安全研究
傅戈1張林山2文紅3
(1．云南云電同方科技公司信息安全保障部云南650217；2．云南電力研究院云南650011；
3．電子科技大學(xué)通信抗干擾國(guó)家級(jí)重點(diǎn)實(shí)驗(yàn)室四川611731)
【摘要】智能電網(wǎng)的應(yīng)用改變了原有電網(wǎng)的網(wǎng)絡(luò)通信結(jié)構(gòu)和應(yīng)用模式，如何全面的保障新形式下電網(wǎng)ICS系統(tǒng)的信息
安全是一個(gè)必須深入探討和研究并亟待解決的關(guān)鍵問題之一。本文首先剖析了智能電網(wǎng)中ICS系統(tǒng)與傳統(tǒng)IT的區(qū)別，在分
析ICS系統(tǒng)所面臨的信息安全漏洞后提出了針對(duì)以上信息安全威脅的安全防護(hù)建議。
【關(guān)鍵詞】智能網(wǎng)；ICS；信息安全
中圖分類號(hào)：TM76；TP309 文獻(xiàn)標(biāo)識(shí)碼：A 文獻(xiàn)編號(hào)：1009—6833(2014 J 01—156-02
The Study of Security Issues for the Industrial Con901 System
Communication Protocols in Smart Grid System
Fu Gel，Zhang Linshan2，Wen Hon93
Abstract：The smart鰣d applications changed the ofi舀nal communication structure ofthe grid network and application models．
How to protect security ofthe smart咖d Industrial Control System(ICS)under the new applications is one ofkey problems，which
must to carry OUt a depth study and research and need to be solved urgently．Firstly，this paper analyzes the difference between the smart
grid ICS system and traditional IT system．After presented and analyzed the information xaxlnerabilities ofthe smart grid ICS system，the
secure recommendations are proposed to defense against above information vulnerabilities．
Keywords：Smart Grid；ICS；Informadon Security
O引言
智能電網(wǎng)是伴隨人類社會(huì)信息科學(xué)技術(shù)的發(fā)展而發(fā)展，與
傳統(tǒng)電網(wǎng)不同，智能電網(wǎng)通過應(yīng)用新型量測(cè)技術(shù)、集中化和高
度自動(dòng)化的信息管理控制系統(tǒng)、引入新型能源、擴(kuò)展和延伸用
電管理和服務(wù)的邊界、應(yīng)用新型通信技術(shù)等，智能電網(wǎng)系統(tǒng)中
不僅有常見的通用IT信息系統(tǒng)還擁有和存在著大量的智能電
網(wǎng)中工業(yè)控制系統(tǒng)(以下簡(jiǎn)稱ICS系統(tǒng))。
從2000年以來，針對(duì)ICS工業(yè)控制系統(tǒng)的攻擊事件日益增
多，但曝光較少。2010年6月曝光專門針對(duì)ICS系統(tǒng)的
STUXNET病毒震驚了全世界，對(duì)于ICS工業(yè)控制系統(tǒng)以及涉
及國(guó)家重大和關(guān)鍵基礎(chǔ)設(shè)施的安全防護(hù)才逐漸浮出水面并獲得
了公眾的關(guān)注。本文將針對(duì)ICS工控系統(tǒng)存在的信息安全漏洞
進(jìn)行分析，并嘗試提出相應(yīng)的安全應(yīng)對(duì)措施。
1智能電網(wǎng)ICS系統(tǒng)安全漏洞分析
1．1智能電網(wǎng)ICS的特點(diǎn)
智能電網(wǎng)中ICS系統(tǒng)包括人機(jī)接口(HMI，包含SCADA、
Des、EMS、PCS等)，現(xiàn)場(chǎng)控制器(Filed Controller，包含
PLC、lED、RTU等)以及現(xiàn)場(chǎng)設(shè)備(Field Devices，包含表、
傳感器、閥門、開關(guān)等)三大類。智能電網(wǎng)ICS系統(tǒng)與傳統(tǒng)IT
系統(tǒng)有著比較大的差別，這些差別體現(xiàn)在ICS系統(tǒng)在設(shè)計(jì)之初
考慮的是專用網(wǎng)絡(luò)，專用協(xié)議，專用網(wǎng)絡(luò)甚至是專用硬件。與
傳統(tǒng)IT系統(tǒng)相比，ICS系統(tǒng)存在著以下特點(diǎn)。
①更為看重通信的實(shí)時(shí)性和最小的時(shí)延性；
②強(qiáng)調(diào)7天24小時(shí)工作的可用性與可靠性；
③對(duì)信息安全更偏重?cái)?shù)據(jù)的可用性和完整性；
④系統(tǒng)間依存和互動(dòng)作用性很強(qiáng)；
⑤系統(tǒng)軟硬件及通信協(xié)議的特殊性：
⑥部分系統(tǒng)軟硬件的運(yùn)行環(huán)境的特殊性；
⑦系統(tǒng)運(yùn)行維護(hù)人員的差異?。
1．2智能電網(wǎng)ICs的脆弱性
目前，隨著智能電網(wǎng)中信息技術(shù)的發(fā)展以及商業(yè)模式的變
化，ICS系統(tǒng)也逐漸支持和采用了更為開放和便捷的因特網(wǎng)(IP)
協(xié)議和設(shè)備，這使得ICS系統(tǒng)不再孤立，而與外界(辦公網(wǎng)、
互聯(lián)網(wǎng))的聯(lián)系日益增多，從而在原有信息安全威脅的基礎(chǔ)上
增加了更多威脅入侵的可能性。智能電網(wǎng)中ICS系統(tǒng)的脆弱性
分為以下三類：
第一類：人員和制度脆弱性
人員是所有信息系統(tǒng)中最為重要、最為薄弱和最難管理的
環(huán)節(jié)之一，安全界對(duì)此歸之為內(nèi)部威脅(Inside Threat)。這種
威脅所導(dǎo)致的危害與管理制度的缺失制度執(zhí)行的不到位、技術(shù)
措施的不足有關(guān)。而在電網(wǎng)ICS系統(tǒng)中最容易出現(xiàn)的人員安全
威脅包括【2】：?jiǎn)T工安全意識(shí)薄弱、員工的誤操作、心懷不滿的
員工的破壞行為等。
第二類：ICS平臺(tái)的軟／硬件脆弱性
ICS平臺(tái)的脆弱性包括：軟硬件設(shè)計(jì)缺陷或隱患、缺乏安
全認(rèn)證和授權(quán)、缺乏數(shù)據(jù)加密、缺乏密碼管理、缺乏足夠的處
理能力設(shè)備監(jiān)控措施、不足、物理安全考慮不足(智能電網(wǎng)中
增加了AMI這類部署于用戶端的智能終端設(shè)備。這類設(shè)備因置
于終端用戶的環(huán)境而容易受到人為物理損壞、暴力拆解以入侵
等威脅)、應(yīng)用中安全配置不足和存在多余的功能模塊等
第三類網(wǎng)絡(luò)的脆弱性(包括網(wǎng)絡(luò)架構(gòu)和網(wǎng)絡(luò)協(xié)議)
網(wǎng)絡(luò)的脆弱性包括：網(wǎng)絡(luò)設(shè)計(jì)的缺斛”、防火墻弱點(diǎn)、網(wǎng)
絡(luò)通信不加密、不安全的網(wǎng)絡(luò)通信協(xié)議、安全監(jiān)控措施不足14J。
2智能電網(wǎng)ICS系統(tǒng)安全防護(hù)措施
2．1智能電網(wǎng)ICS系統(tǒng)人員及制度安全防護(hù)措施
人員及制度安全防護(hù)措施包括
(1)維護(hù)和更新ICS安全防護(hù)策略和管理制度：智能電網(wǎng)
本身具備的開放性和集中性特點(diǎn)對(duì)ICS系統(tǒng)的安全提出了更高
萬方數(shù)據(jù)
的要求，因此需要及時(shí)更新和調(diào)整信息安全防護(hù)策略。
(2)維護(hù)和更新ICS安全技術(shù)標(biāo)準(zhǔn)和管理制度：目前電力
企業(yè)主要依據(jù)我國(guó)等級(jí)保護(hù)要求、電力行業(yè)等級(jí)保護(hù)要求、
IS027001、ITIL、COBIT等標(biāo)準(zhǔn)和體系制定了較多的安全管理
制度，但由于這些標(biāo)準(zhǔn)均屬于廣義的IT信息安全體系，在具體
遵照?qǐng)?zhí)行過程中對(duì)ICS這樣特殊專有系統(tǒng)的針對(duì)性不足。因此
建議參考國(guó)外較為成熟以及應(yīng)用時(shí)間較長(zhǎng)的標(biāo)準(zhǔn)和規(guī)范，例如
IEC 62443、IEC 62210、IEC 6235l、IEEE 1402、IEEE 1686-2007、
NISTIR 7628，NIST SP800．82，NERC CIP 002．009，ISA99，20
Critical Security Controls等對(duì)既有的信息安全技術(shù)標(biāo)準(zhǔn)和管理
制度進(jìn)行更新和完善。
(3)持續(xù)的人員信息安全培訓(xùn)：需要對(duì)內(nèi)部人員展開持
續(xù)的信息安全教育培訓(xùn)，使他們能應(yīng)對(duì)智能電網(wǎng)發(fā)展與應(yīng)用
中所面臨的新的安全威脅，提升安全意識(shí)、安全視野和安全
技能。
(4)加強(qiáng)ICS工程師與IT安全人員的合作
2．2智能電網(wǎng)ICS系統(tǒng)軟硬件安全防護(hù)措施
ICS系統(tǒng)軟硬件安全防護(hù)措施如下：
(1)ICS系統(tǒng)應(yīng)用軟件的安全開發(fā)：對(duì)于自行開發(fā)的ICS
系統(tǒng)應(yīng)遵守軟件開發(fā)安全的要求，可參考微軟安全開發(fā)生命周
期(MSDL)以及成熟模型內(nèi)建安全(BSIMM)等軟件安全開
發(fā)指南。
(2)系統(tǒng)的安全測(cè)試[5】：應(yīng)對(duì)ICS軟硬件系統(tǒng)進(jìn)行各類測(cè)
試，測(cè)試內(nèi)容包括對(duì)已知漏洞的測(cè)試、對(duì)未知漏洞的測(cè)試、對(duì)
通信信道的漏洞測(cè)試、通信終端漏洞、ICS應(yīng)用認(rèn)證漏洞測(cè)試、
授權(quán)漏洞測(cè)試、網(wǎng)絡(luò)接入控制漏洞測(cè)試等。
(3)ICS系統(tǒng)用戶、權(quán)限和密碼管理：應(yīng)對(duì)ICS系統(tǒng)的系
統(tǒng)管理用戶進(jìn)行安全管理，根據(jù)最小需求原則設(shè)置相應(yīng)的權(quán)限，
避免非授權(quán)訪問和修改。
(4)ICS系統(tǒng)安全配置管理：應(yīng)根據(jù)ICS系統(tǒng)廠商的建議
和自身安全需求對(duì)ICS系統(tǒng)進(jìn)行軟硬件安全配置，提高系統(tǒng)安
全性。
(5)ICS系統(tǒng)補(bǔ)丁管理【6]：對(duì)于使用windows、Unix、Linux
等商用操作系統(tǒng)的系統(tǒng)，不可以直接安裝操作系統(tǒng)廠家提供的
補(bǔ)丁程序，必須根據(jù)所安裝使用ICS系統(tǒng)廠商的建議更新補(bǔ)丁
程序。
(6)ICS系統(tǒng)安全評(píng)估：應(yīng)定期對(duì)ICS系統(tǒng)進(jìn)行安全評(píng)估，
對(duì)軟件系統(tǒng)應(yīng)通過系統(tǒng)漏洞掃描，web漏洞掃描進(jìn)行軟件漏洞、
SQL注入、XSS跨站、掛馬等威脅檢測(cè)。
(7)ICS系統(tǒng)安全滲透測(cè)試：定期對(duì)ICS系統(tǒng)進(jìn)行安全滲
透測(cè)試，測(cè)試范圍可包括從互聯(lián)網(wǎng)向管理區(qū)滲透進(jìn)而向生產(chǎn)區(qū)
之間的滲透測(cè)試；管理區(qū)向生產(chǎn)區(qū)的滲透測(cè)試；生產(chǎn)區(qū)不同系
統(tǒng)間的滲透測(cè)試。
(8)ICS系統(tǒng)安全災(zāi)備管理：由于ICS系統(tǒng)的重要性，需
做好ICS系統(tǒng)的安全災(zāi)備管理，對(duì)于使用年限較長(zhǎng)且已廠家已
停止售后服務(wù)的系統(tǒng)，尤其應(yīng)注意做好數(shù)據(jù)備份。
2_3智能電網(wǎng)ICS系統(tǒng)網(wǎng)絡(luò)安全防護(hù)措施
ICS系統(tǒng)網(wǎng)絡(luò)安全防護(hù)措施包括如下：
(1)網(wǎng)絡(luò)安全隔離：應(yīng)嚴(yán)格按照生產(chǎn)區(qū)域和辦公區(qū)域進(jìn)行
網(wǎng)絡(luò)大區(qū)安全隔離。禁止生產(chǎn)區(qū)域和辦公區(qū)域之問的直接通信，
如有需要，應(yīng)設(shè)立DMZ區(qū)域，生產(chǎn)區(qū)域和辦公區(qū)域的所有的
通信應(yīng)截止于DMz區(qū)域。
(2)合理部署使用防火墻、IDS、ISS、加密設(shè)備等安全系
統(tǒng)：在生產(chǎn)區(qū)域應(yīng)合理部署使用工業(yè)防火墻、IDS、ISS
(Integrated Security System)集成安全系統(tǒng)和加密設(shè)備等安全
系統(tǒng)提供網(wǎng)絡(luò)隔離、通信訪問控制、安全入侵監(jiān)測(cè)、用戶安全
認(rèn)證、通信數(shù)據(jù)加密等安全防護(hù)措施，提高ICS系統(tǒng)整體安全
性。
(3)合理配置防火墻策略：對(duì)于部署使用的防火墻系統(tǒng)，
應(yīng)明確定義流經(jīng)該設(shè)備的通信協(xié)議及端口、應(yīng)用服務(wù)及使用端
口、目標(biāo)與源IP地址、數(shù)據(jù)通信的進(jìn)出流向、訪問控制列表優(yōu)
先級(jí)、數(shù)據(jù)包大小、默認(rèn)阻斷規(guī)則，此外如有可能還需進(jìn)行TCP
狀態(tài)檢測(cè)、DOS防護(hù)以其它高級(jí)安全防護(hù)(例如偽造數(shù)據(jù)包檢
測(cè))設(shè)置。
(4)良好的網(wǎng)絡(luò)監(jiān)控：部署使用IDS、安全審計(jì)設(shè)備等設(shè)
備，對(duì)工業(yè)系統(tǒng)通信控制協(xié)議、通信數(shù)據(jù)自身內(nèi)容、網(wǎng)絡(luò)入侵
檢測(cè)、應(yīng)用訪問和操作進(jìn)行安全監(jiān)控。
(5)改善ICS系統(tǒng)所用工業(yè)系統(tǒng)通信控制協(xié)議的安全性：
ICS系統(tǒng)所使用的工業(yè)系統(tǒng)通信控制協(xié)議如Modbus、DNP3、
ICCP、Profibus協(xié)議存在缺乏認(rèn)證、缺乏加密等安全隱患。
(6)設(shè)備接入控制管理：在ICS系統(tǒng)中應(yīng)加強(qiáng)通過遠(yuǎn)程
MODEM撥入、遠(yuǎn)程VPN撥入、無線接入、本地網(wǎng)絡(luò)接入以及
管理口直接接入等方式接入ICS設(shè)備的監(jiān)控和管理。
(7)使用加密技術(shù)。
(8)使用PKI認(rèn)證體系。
3結(jié)論
本文從智能電網(wǎng)工業(yè)控制系統(tǒng)信息安全防護(hù)的角度出發(fā)，
分析總結(jié)了智能電網(wǎng)下工業(yè)控制系統(tǒng)的特點(diǎn)，并結(jié)合智能電網(wǎng)
工業(yè)控制系統(tǒng)的信息安全漏洞分析對(duì)所需要進(jìn)行信息安全防護(hù)
措施進(jìn)行了研究總結(jié)。
從目前的研究來看，對(duì)于智能電網(wǎng)ICS的信息安全研究將
主要集中在加強(qiáng)數(shù)據(jù)通信的機(jī)密性，加強(qiáng)通信應(yīng)用中的安全接
入認(rèn)證和授權(quán)，加強(qiáng)AM這類新型設(shè)備的安全防護(hù)以及加強(qiáng)信
息安全管理。
參考文獻(xiàn)：
【1]Integrating Electronic Security into the Control Systems
Environment：differences IT vs．Control Systems，Enzo M．
Tieghi
【2]Smart Grid Security Concepts and Issues，Mustafa Saed，Kevin
Daimi，Nizar Al—Holou
[3]Common Cybersecurity Vulnerabilities in Industrial Control
Systems，May 201 1，Homeland Security，U．S．A
【4]SANS SCADA Survey and Process Control Security，
Matthew E．Luallen，F(xiàn)ebruary 2013
【5]Adavanced Metering Int}anstrucmre Attack Methodology，
version 1，Jan．5，2009
[6]Patching for SCADA and ICS Security：The Good，the Bad
and the Ugly，Eric Byres on Mar 26 2013．
作者簡(jiǎn)介：
傅戈(197卜)，男，云南，現(xiàn)任云電同方信息安全保障部
安全咨詢顧問，研究方向：信息安全。
張林山(198阻一)，男，云南，云南電力試驗(yàn)研究院(集團(tuán))
有限公司電力研究院，高級(jí)工程師，研究方向：從事電力通
信及新技術(shù)研究。
文紅(1969～)，女，四川人，電子科技大學(xué)通信抗干擾國(guó)家
級(jí)重點(diǎn)實(shí)驗(yàn)室教授，博導(dǎo)，主要研究方向?yàn)橥ㄐ虐踩?

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

05-01