導航：安全管理網>> 安全論文>> 電力安全論文>>正文

智能電網ICS系統(tǒng)信息安全研究

文檔作者：傅戈1張林山2文紅3 文檔來源： 1．云南云電同方科技公司信息安全保障部 2．云南電力研究院 3．電子科技大學通信抗干擾國家級重點實驗室四		點擊數(shù)：	更新時間： 2024年07月26日
下載地址：點擊這里	文件大?。?174.54 KB 共2頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內容預覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?74.54 KB 共2頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

上一篇：智能電網環(huán)境下電網企業(yè)信息安全關鍵技術

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

智能電網ICS系統(tǒng)信息安全研究
傅戈1張林山2文紅3
(1．云南云電同方科技公司信息安全保障部云南650217；2．云南電力研究院云南650011；
3．電子科技大學通信抗干擾國家級重點實驗室四川611731)
【摘要】智能電網的應用改變了原有電網的網絡通信結構和應用模式，如何全面的保障新形式下電網ICS系統(tǒng)的信息
安全是一個必須深入探討和研究并亟待解決的關鍵問題之一。本文首先剖析了智能電網中ICS系統(tǒng)與傳統(tǒng)IT的區(qū)別，在分
析ICS系統(tǒng)所面臨的信息安全漏洞后提出了針對以上信息安全威脅的安全防護建議。
【關鍵詞】智能網；ICS；信息安全
中圖分類號：TM76；TP309 文獻標識碼：A 文獻編號：1009—6833(2014 J 01—156-02
The Study of Security Issues for the Industrial Con901 System
Communication Protocols in Smart Grid System
Fu Gel，Zhang Linshan2，Wen Hon93
Abstract：The smart鰣d applications changed the ofi舀nal communication structure ofthe grid network and application models．
How to protect security ofthe smart咖d Industrial Control System(ICS)under the new applications is one ofkey problems，which
must to carry OUt a depth study and research and need to be solved urgently．Firstly，this paper analyzes the difference between the smart
grid ICS system and traditional IT system．After presented and analyzed the information xaxlnerabilities ofthe smart grid ICS system，the
secure recommendations are proposed to defense against above information vulnerabilities．
Keywords：Smart Grid；ICS；Informadon Security
O引言
智能電網是伴隨人類社會信息科學技術的發(fā)展而發(fā)展，與
傳統(tǒng)電網不同，智能電網通過應用新型量測技術、集中化和高
度自動化的信息管理控制系統(tǒng)、引入新型能源、擴展和延伸用
電管理和服務的邊界、應用新型通信技術等，智能電網系統(tǒng)中
不僅有常見的通用IT信息系統(tǒng)還擁有和存在著大量的智能電
網中工業(yè)控制系統(tǒng)(以下簡稱ICS系統(tǒng))。
從2000年以來，針對ICS工業(yè)控制系統(tǒng)的攻擊事件日益增
多，但曝光較少。2010年6月曝光專門針對ICS系統(tǒng)的
STUXNET病毒震驚了全世界，對于ICS工業(yè)控制系統(tǒng)以及涉
及國家重大和關鍵基礎設施的安全防護才逐漸浮出水面并獲得
了公眾的關注。本文將針對ICS工控系統(tǒng)存在的信息安全漏洞
進行分析，并嘗試提出相應的安全應對措施。
1智能電網ICS系統(tǒng)安全漏洞分析
1．1智能電網ICS的特點
智能電網中ICS系統(tǒng)包括人機接口(HMI，包含SCADA、
Des、EMS、PCS等)，現(xiàn)場控制器(Filed Controller，包含
PLC、lED、RTU等)以及現(xiàn)場設備(Field Devices，包含表、
傳感器、閥門、開關等)三大類。智能電網ICS系統(tǒng)與傳統(tǒng)IT
系統(tǒng)有著比較大的差別，這些差別體現(xiàn)在ICS系統(tǒng)在設計之初
考慮的是專用網絡，專用協(xié)議，專用網絡甚至是專用硬件。與
傳統(tǒng)IT系統(tǒng)相比，ICS系統(tǒng)存在著以下特點。
①更為看重通信的實時性和最小的時延性；
②強調7天24小時工作的可用性與可靠性；
③對信息安全更偏重數(shù)據(jù)的可用性和完整性；
④系統(tǒng)間依存和互動作用性很強；
⑤系統(tǒng)軟硬件及通信協(xié)議的特殊性：
⑥部分系統(tǒng)軟硬件的運行環(huán)境的特殊性；
⑦系統(tǒng)運行維護人員的差異?。
1．2智能電網ICs的脆弱性
目前，隨著智能電網中信息技術的發(fā)展以及商業(yè)模式的變
化，ICS系統(tǒng)也逐漸支持和采用了更為開放和便捷的因特網(IP)
協(xié)議和設備，這使得ICS系統(tǒng)不再孤立，而與外界(辦公網、
互聯(lián)網)的聯(lián)系日益增多，從而在原有信息安全威脅的基礎上
增加了更多威脅入侵的可能性。智能電網中ICS系統(tǒng)的脆弱性
分為以下三類：
第一類：人員和制度脆弱性
人員是所有信息系統(tǒng)中最為重要、最為薄弱和最難管理的
環(huán)節(jié)之一，安全界對此歸之為內部威脅(Inside Threat)。這種
威脅所導致的危害與管理制度的缺失制度執(zhí)行的不到位、技術
措施的不足有關。而在電網ICS系統(tǒng)中最容易出現(xiàn)的人員安全
威脅包括【2】：員工安全意識薄弱、員工的誤操作、心懷不滿的
員工的破壞行為等。
第二類：ICS平臺的軟／硬件脆弱性
ICS平臺的脆弱性包括：軟硬件設計缺陷或隱患、缺乏安
全認證和授權、缺乏數(shù)據(jù)加密、缺乏密碼管理、缺乏足夠的處
理能力設備監(jiān)控措施、不足、物理安全考慮不足(智能電網中
增加了AMI這類部署于用戶端的智能終端設備。這類設備因置
于終端用戶的環(huán)境而容易受到人為物理損壞、暴力拆解以入侵
等威脅)、應用中安全配置不足和存在多余的功能模塊等
第三類網絡的脆弱性(包括網絡架構和網絡協(xié)議)
網絡的脆弱性包括：網絡設計的缺斛”、防火墻弱點、網
絡通信不加密、不安全的網絡通信協(xié)議、安全監(jiān)控措施不足14J。
2智能電網ICS系統(tǒng)安全防護措施
2．1智能電網ICS系統(tǒng)人員及制度安全防護措施
人員及制度安全防護措施包括
(1)維護和更新ICS安全防護策略和管理制度：智能電網
本身具備的開放性和集中性特點對ICS系統(tǒng)的安全提出了更高
萬方數(shù)據(jù)
的要求，因此需要及時更新和調整信息安全防護策略。
(2)維護和更新ICS安全技術標準和管理制度：目前電力
企業(yè)主要依據(jù)我國等級保護要求、電力行業(yè)等級保護要求、
IS027001、ITIL、COBIT等標準和體系制定了較多的安全管理
制度，但由于這些標準均屬于廣義的IT信息安全體系，在具體
遵照執(zhí)行過程中對ICS這樣特殊專有系統(tǒng)的針對性不足。因此
建議參考國外較為成熟以及應用時間較長的標準和規(guī)范，例如
IEC 62443、IEC 62210、IEC 6235l、IEEE 1402、IEEE 1686-2007、
NISTIR 7628，NIST SP800．82，NERC CIP 002．009，ISA99，20
Critical Security Controls等對既有的信息安全技術標準和管理
制度進行更新和完善。
(3)持續(xù)的人員信息安全培訓：需要對內部人員展開持
續(xù)的信息安全教育培訓，使他們能應對智能電網發(fā)展與應用
中所面臨的新的安全威脅，提升安全意識、安全視野和安全
技能。
(4)加強ICS工程師與IT安全人員的合作
2．2智能電網ICS系統(tǒng)軟硬件安全防護措施
ICS系統(tǒng)軟硬件安全防護措施如下：
(1)ICS系統(tǒng)應用軟件的安全開發(fā)：對于自行開發(fā)的ICS
系統(tǒng)應遵守軟件開發(fā)安全的要求，可參考微軟安全開發(fā)生命周
期(MSDL)以及成熟模型內建安全(BSIMM)等軟件安全開
發(fā)指南。
(2)系統(tǒng)的安全測試[5】：應對ICS軟硬件系統(tǒng)進行各類測
試，測試內容包括對已知漏洞的測試、對未知漏洞的測試、對
通信信道的漏洞測試、通信終端漏洞、ICS應用認證漏洞測試、
授權漏洞測試、網絡接入控制漏洞測試等。
(3)ICS系統(tǒng)用戶、權限和密碼管理：應對ICS系統(tǒng)的系
統(tǒng)管理用戶進行安全管理，根據(jù)最小需求原則設置相應的權限，
避免非授權訪問和修改。
(4)ICS系統(tǒng)安全配置管理：應根據(jù)ICS系統(tǒng)廠商的建議
和自身安全需求對ICS系統(tǒng)進行軟硬件安全配置，提高系統(tǒng)安
全性。
(5)ICS系統(tǒng)補丁管理【6]：對于使用windows、Unix、Linux
等商用操作系統(tǒng)的系統(tǒng)，不可以直接安裝操作系統(tǒng)廠家提供的
補丁程序，必須根據(jù)所安裝使用ICS系統(tǒng)廠商的建議更新補丁
程序。
(6)ICS系統(tǒng)安全評估：應定期對ICS系統(tǒng)進行安全評估，
對軟件系統(tǒng)應通過系統(tǒng)漏洞掃描，web漏洞掃描進行軟件漏洞、
SQL注入、XSS跨站、掛馬等威脅檢測。
(7)ICS系統(tǒng)安全滲透測試：定期對ICS系統(tǒng)進行安全滲
透測試，測試范圍可包括從互聯(lián)網向管理區(qū)滲透進而向生產區(qū)
之間的滲透測試；管理區(qū)向生產區(qū)的滲透測試；生產區(qū)不同系
統(tǒng)間的滲透測試。
(8)ICS系統(tǒng)安全災備管理：由于ICS系統(tǒng)的重要性，需
做好ICS系統(tǒng)的安全災備管理，對于使用年限較長且已廠家已
停止售后服務的系統(tǒng)，尤其應注意做好數(shù)據(jù)備份。
2_3智能電網ICS系統(tǒng)網絡安全防護措施
ICS系統(tǒng)網絡安全防護措施包括如下：
(1)網絡安全隔離：應嚴格按照生產區(qū)域和辦公區(qū)域進行
網絡大區(qū)安全隔離。禁止生產區(qū)域和辦公區(qū)域之問的直接通信，
如有需要，應設立DMZ區(qū)域，生產區(qū)域和辦公區(qū)域的所有的
通信應截止于DMz區(qū)域。
(2)合理部署使用防火墻、IDS、ISS、加密設備等安全系
統(tǒng)：在生產區(qū)域應合理部署使用工業(yè)防火墻、IDS、ISS
(Integrated Security System)集成安全系統(tǒng)和加密設備等安全
系統(tǒng)提供網絡隔離、通信訪問控制、安全入侵監(jiān)測、用戶安全
認證、通信數(shù)據(jù)加密等安全防護措施，提高ICS系統(tǒng)整體安全
性。
(3)合理配置防火墻策略：對于部署使用的防火墻系統(tǒng)，
應明確定義流經該設備的通信協(xié)議及端口、應用服務及使用端
口、目標與源IP地址、數(shù)據(jù)通信的進出流向、訪問控制列表優(yōu)
先級、數(shù)據(jù)包大小、默認阻斷規(guī)則，此外如有可能還需進行TCP
狀態(tài)檢測、DOS防護以其它高級安全防護(例如偽造數(shù)據(jù)包檢
測)設置。
(4)良好的網絡監(jiān)控：部署使用IDS、安全審計設備等設
備，對工業(yè)系統(tǒng)通信控制協(xié)議、通信數(shù)據(jù)自身內容、網絡入侵
檢測、應用訪問和操作進行安全監(jiān)控。
(5)改善ICS系統(tǒng)所用工業(yè)系統(tǒng)通信控制協(xié)議的安全性：
ICS系統(tǒng)所使用的工業(yè)系統(tǒng)通信控制協(xié)議如Modbus、DNP3、
ICCP、Profibus協(xié)議存在缺乏認證、缺乏加密等安全隱患。
(6)設備接入控制管理：在ICS系統(tǒng)中應加強通過遠程
MODEM撥入、遠程VPN撥入、無線接入、本地網絡接入以及
管理口直接接入等方式接入ICS設備的監(jiān)控和管理。
(7)使用加密技術。
(8)使用PKI認證體系。
3結論
本文從智能電網工業(yè)控制系統(tǒng)信息安全防護的角度出發(fā)，
分析總結了智能電網下工業(yè)控制系統(tǒng)的特點，并結合智能電網
工業(yè)控制系統(tǒng)的信息安全漏洞分析對所需要進行信息安全防護
措施進行了研究總結。
從目前的研究來看，對于智能電網ICS的信息安全研究將
主要集中在加強數(shù)據(jù)通信的機密性，加強通信應用中的安全接
入認證和授權，加強AM這類新型設備的安全防護以及加強信
息安全管理。
參考文獻：
【1]Integrating Electronic Security into the Control Systems
Environment：differences IT vs．Control Systems，Enzo M．
Tieghi
【2]Smart Grid Security Concepts and Issues，Mustafa Saed，Kevin
Daimi，Nizar Al—Holou
[3]Common Cybersecurity Vulnerabilities in Industrial Control
Systems，May 201 1，Homeland Security，U．S．A
【4]SANS SCADA Survey and Process Control Security，
Matthew E．Luallen，F(xiàn)ebruary 2013
【5]Adavanced Metering Int}anstrucmre Attack Methodology，
version 1，Jan．5，2009
[6]Patching for SCADA and ICS Security：The Good，the Bad
and the Ugly，Eric Byres on Mar 26 2013．
作者簡介：
傅戈(197卜)，男，云南，現(xiàn)任云電同方信息安全保障部
安全咨詢顧問，研究方向：信息安全。
張林山(198阻一)，男，云南，云南電力試驗研究院(集團)
有限公司電力研究院，高級工程師，研究方向：從事電力通
信及新技術研究。
文紅(1969～)，女，四川人，電子科技大學通信抗干擾國家
級重點實驗室教授，博導，主要研究方向為通信安全。

網友評論 more

電力安全論文最新內容

07-26