电力行业工控系统信息安全的情况及思考.ppt

1、电力行业工控系统信息安全的情况及思考专注工控信息安全目录CONTENTS1.工控信息安全现状2.3.电力行业工控信息安全政策及相关措施电力行业工控信息安全情况4.电力行业工控信息安全技术分析与思考Part1工控信息安全现状工控信息安全现状事件频发 化工化工化工化工电力电力电力电力水利水利水利水利轨道轨道轨道轨道交通交通交通交通制造业制造业制造业制造业关键基础关键基础设施行业设施行业uu2014年Havex工控安全事件u2013年美国“棱镜”监控项目u2012年5月，Flame病毒事件u2011年9月，Duqu病毒事件u2010年10月，Stuxnet震网病毒事件u信息安全问题频发严重威胁201

2、2年 2014年 工控信息安全现状行为特征l行为类别l危害水平自2012年起，90%的漏洞为中危或者高危漏洞拒绝服务替代缓冲区溢出名列首位l从2000年2012年间复杂度变化趋势：低复杂度攻击的漏洞从占90%下降到48%中复杂度的漏洞从5%上升到47%高复杂度漏洞比例稳定在4%左右。l技术特点：利用工控系统复杂性所带来的漏洞；利用工控系统设计的特点和固有机制；针对性强，针对特定区域和设施、特定厂家、特定系统；有的攻击方式很复杂，融合计算机、特定系统和工艺知识。工控信息安全现状攻击技术工控信息安全现状防范水平（产品）l政策法规国务院关于大力推进信息化发展和切实保障信息安全的若干意见，国发国发20

3、1223号号：意见6-3明确，保障工业控制系统安全。加强核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要领域工业控制系统，以及物联网应用、数字城市建设中的安全防护和管理。工信部下发工信部下发451号号文件关于加强工业控制系统信息安全管理的通知，明确规定加强重点领域工控信息系统安全管理措施。国家发改委办公厅关于组织实施2012、2013年国家信息安全专项有关事项的通知l标准（编制中）工业控制系统安全管理基本要求安全可控信息系统（电力系统）安全指标体系工业控制系统安全防护技术要求和测试评价方法工业控制系统信息安全分级规范工业控制系统测控终端安全要求工控信

4、息安全现状防范水平（政策）工控信息安全现状防范水平（体系）国外 国内发展领先但同样面临严峻的信息安全形势，工控行业信息安全不容忽视工控信息安全整体发展得到重视，国、民企业合作共同促进产业全面发展Part2电力行业工控信息安全情况电力行业工控信息安全情况形式能源领域是事件高发区电力企业网络每天遭受恶意试探式攻击达数万次电力行业工控信息安全情况原因风险来自内部和外部薄弱环节边界防护信息流加固远程访问首当其冲SCADA/HMIPLC/DCS具体技术电力行业工控信息安全情况举措l美国：美国总统奥巴马上任伊始就批准了一项保障电力系统信息安全的研究计划。2009年，美国联邦能源管理局（FERC）正式批准了

5、CIP002至CIP009关键基础设施保护8个强制性标准；美国国家标准2013年美国能源局推出最新版工业控制系统安全指南(SP800-82)；美国能源局推出改进SCADA网络安全的21项措施；技术研究院（NIST）于2010年2月颁布了NISTIR 7628“智能电网网络安全策略和要求”标准。lIECIEC 27001标准规定了信息安全管理体系(ISMS)要求与信息安全控制要求；IEC 17799标准提供了一套综合的、由信息安全最佳惯例组成的实施规则；IEC 组织针对电力系统信息安全需求，还在制定相关的标准和规程。l中国我国相关机构也颁布了成体系的规定，包括“电力二次系统安全防护规定”等；IE

6、C 27001和IEC 17799标准已在我国电网企业广泛应用；我国国家自然科学基金委、科技部等在近几年也资助了多项与电力信息系统安全有关的课题。电力行业工控信息安全情况探索电力生产控制系统信息安全研究集中于变电站自动化系统、微机保护系统、电力调度自动化系统和SCADA 系统等：变电站自动化系统：如IEC61850的远程访问时身份验证和访问控制等；微机保护系统：如抵御拒绝服务和流量控制攻击等；SCADA 系统：如系统建模和潜在入侵分析等；电力调度自动化系统：如脆弱性分析和容入侵能力评价等。电力行业工控信息安全情况趋势电力生产控制类信息系统的发展趋势：l自主可控可信计算和完全免疫l工业计算机实体

7、保护整机主板无恶意芯片，芯片无恶意代码验证和确认(IEEE1012)l工业网络保护工业网络信息安全技术Part3电力行业工控政策及相关措施电力行业工控政策及相关措施国外标准针对电力信息安全，国家经贸委、电监会、国家能源局、国家发改委等均发文规定：2002(国家经贸委30号令)2003第7.2稿2004(电监会5号令)2006关于印发的通知(电监安全200634号)-省级及以上调度中心二次系统安全防护方案-地、县级调度中心二次系统安全防护方案-变电站二次系统安全防护方案-发电厂二次系统安全防护方案-配电二次系统安全防护方案2007(电监信息200750号)2007(电监信息200744号)200

8、7(电监信息200734号)2012(电监信息201262号)2014(国能安全2014317号)2014(国能安全2014318号)2014 (国家发改委令第14号)2015 关于印发电力监控系统安全防护总体方案及其7个附件（能源局36号）电力行业工控政策及相关措施国内政策系统性（木桶原理）动态性适度安全（质量指标冲突）机密性与可用性高性能灵活性、易用性标准化、经济性全面防护、突出重点重点实时控制；分层分区、强化边界提高内部安全防护能力；三分技术，七分管理责任到人，分级管理，联合防护。电力行业工控政策及相关措施总体思路国家发展改革委国家发展改革委2014年第年第14号令号令 电力监控系统安全

9、防护规定电力监控系统安全防护规定l2004年，电监会发布第5号令电力二次系统安全防护规定；2014年国家发改委第14号令 电力监控系统安全防护规定开始实施，电监会5号令同时废止。两项规定要求；2015年能源局36号关于印发电力监控系统安全防护总体方案及其7个附件，规定：对电力监控系统安全防护提出总体原则为安全分区、网络专用、横向隔离、纵向认证、综合防护。电力行业工控政策及相关措施防护规定分区原则：安全区I：实时控制区 集控中心计算机监控系统控制网划分在安全区，例如：SCADA服务器、应用程序服务器、操作员工作站、工程师/编程员工作站、通信服务器等。安全区：非控制生产区 原则上不具备控制功能的生

10、产业务和批发交易业务系统，且使用调度数据网络、在线运行的系统均属于该区，例如：仿真培训系统、ON-CALL系统工作站、报表管理工作站等。安全区：生产管理区 该区的系统为进行生产管理的系统，如：状态监测及分析系统、发电及检修计划决策系统、Web服务器等。安全区：管理信息区 实现电力信息管理和办公自动化功能，使用电力数据通信网络，业务系统的访问界面主要为桌面终端，如：管理信息系统（MIS）、办公自动化系统（OA）等，其外部通信边界为SGTnet-VPN2和因特网。国家发展改革委国家发展改革委2014年第年第14号令号令 电力监控系统安全防护规定电力监控系统安全防护规定l2007年，电监会发布第34

11、号令关于开展电力行业信息系统安全保护定级工作的通知、和第44号令电力行业信息系统安全等级保护定级工作指导意见：据保密性和可用性 给出分级原则：对电力生产控制系统 安全等级保护级别作 出了规定：电力行业工控政策及相关措施防护规定国家发展改革委国家发展改革委2014年第年第14号令号令 电力监控系统安全防护规定电力监控系统安全防护规定l2012年，电监会发布第62号令，提出各级保护的技术要求和管理要求。物理安全 网络安全 主机安全 应用安全 数据安全 电力行业工控政策及相关措施防护规定国家发展改革委国家发展改革委2014年第年第14号令号令 电力监控系统安全防护规定电力监控系统安全防护规定电力行业

12、工控政策及相关措施技术措施国家发改委令第国家发改委令第14号号电力监控系统安全防护规定电力监控系统安全防护规定第九条技术要求：“在生产控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。”第十一条技术要求：“安全区边界应当采取必要的安全防护措施，禁止任何穿越生产控制大区和管理信息大区之间边界的通用网络服务。电监安全电监安全200634号号电力监控系统安全防护总体方案电力监控系统安全防护总体方案3.6 生产控制大区主机操作系统应当进行安全加固。加固方法包括：安全配置、安全补丁、采用专用软件强化操作系统访问控制能力、以及配置安全的应用程序。3.11 生产

13、控制大区应当具备安全审计功能，可以对网络运行日志、操作系统运行日志、数据库重要操作日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析，及时发现各种违规行为以及病毒和黑客的攻击行为。电监会电监会201262号号电力行业信息系统安全等级保护基本要求电力行业信息系统安全等级保护基本要求13.1.4.3 访问控制（S4）本项要求包括：a)应提供自主访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；b)自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；c)应由授权主体配置访问控制策略，并禁止默认帐户的访问；针对工控系统薄弱环节，针对工控系统薄弱环

14、节，ICS-CERT建议建议：Systems and Communications ProtectionAll ICS components,including all software and hardware Networking and communications system components Dependent systems and applications utilized in support of the process automation.These include,for example,domain controllers,backup servers,logg

15、ing and auditing platforms,and alerting mechanisms.Access ControlInformation Flow Enforcement Verifying and monitoring device-to-device communications.Establishing security controls and enhancing visibility into the commands transmitted between devices(e.g.,reads,writes,function codes,acknowledge re

16、sponses,and exception messages).Isolating and enhancing security controls pertaining to devices that can illicit write commands or make modifications to downstream devices.Verifying and monitoring for communication requests sourced from field devices attempting to“back-channel”into the core of the c

17、ontrol network.Access ControlRemote Access Monitor and verify the scope of remote access communications and connectivity Monitor communication flows occurring via the remote access channel Log authentications(both successful and unsuccessful)Enforce protective and detective measures pertaining to fa

18、iled connectivity attempts or nefarious traffic patterns Restrict the scope of remote access sessions to only those personnel assigned a responsibility for supporting the ICS and process operations Disable split-tunneling when connected via a remote session(effectively routing all traffic through th

19、e VPN or remote access gateway)Enforce connectivity from only authorized origination systems Implement application layer firewalls,application whitelisting,and endpoint policy enforcement for origination systems.电力行业工控政策及相关措施技术措施Part4电力行业工控信息安全技术分析与思考l电力工控安全基础基本建立：边界防护基本建立工作重心已转为区内安全、纵深防护为主l进行中的行动l国

20、家和行业监管完善政策、法规、标准、规范维护信息共享l用户、供应商、测评机构协作产品和系统充分加固全面测试、分析和评估安全操作和维护电力行业工控信息安全技术分析与思考l进一步深化的思路，是“推动融合”和“把握适度”：自动化技术和信息安全技术深度融合（产品融合）；创新需求与安全约束相融合（过程融合）；技术创新与既有基础相适应（适度创新）；安全需求与安全环境相适应（适度安全）。l案例：完善工控安全设施工业防护体系加固-工控安全管理平台-工控信息旁路监测 原理：以工控方式实现安全工业计算机加固 -将安全成为工控的属性 -提非屏蔽环境下生存能力 非屏蔽环境示例：可移动设施、无线通信、远程诊断和维护电力行

21、业工控信息安全技术分析与思考中电六所承建的“工业控制系统信息安全技术国家工程实验室”，承担参与由公安部牵头的工业控制系统信息安全等级保护系列标准的编制工作，和承担多项工控信息安全攻关任务。实验室将利用自身优势，积极组织力量推进产业的协同、快速、高效发展。电力行业工控信息安全技术分析与思考工控安全管理平台1.监控二次保护设施的运行状况2.二次保护设施状态实时分析和评估电力行业工控信息安全技术分析与思考工控信息旁路监测旁路检测由监控中心和监控引擎组成依据等级保护要求数据采集和端口扫描1.实时监视和记录工业骨干网异常信息2.工控信息合规性分析和实时报警电力行业工控信息安全技术分析与思考工业计算机加固l软件和信息处理：威胁分析和防护设计防护分析和残留风险 如：正确设计文件保密病毒防护密码保管钥匙保管l计算机硬件：硬件芯片风险来自COTS，如：基于带外通信的架构（OOB）：DASH、AMT、SMASH等智能或可扩展硬件平台管理接口：IPMI、UEFI等特征远程访问高优先权、操作系统无法监视和记录加固措施带外通信实践专用安全措施；智能可扩展接口提供增强认证、加密、预引导保护；专注工控信息安全谢谢！