新闻资讯
全部分类

天地和兴|浅析电力工控安全风险防控管理

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2016-11-17 16:21
  • 访问量:

【概要描述】

天地和兴|浅析电力工控安全风险防控管理

【概要描述】

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2016-11-17 16:21
  • 访问量:
详情

  摘 要 随着信息化和工业化的不断融合,大量的信息技术应用到工业领域,工控安全也越来越得到广泛的关注,面对工控安全问题日趋严峻的今天,工控安全风险防范并不是一个简单问题,它既需要安全产品、安全设施的技术支持,也需要自身习惯安全管理的不断完善。本文将针对当前工控安全存在的几个主要威胁为例,分析如何有效防控工控安全风险。

  一、工控安全研究背景和意义

  2016年10月21日,为美国众多公司提供域名解析网络服务的Dyn公司遭DDoS攻击。Dyn公司在当天早上确认,其位于美国东海岸的DNS基础设施所遭受DDoS攻击来自全球范围,严重影响其DNS服务客户业务,甚至导致客户网站无法访问。直到2016年10月26日,全球感染Mirai的设备已经超过100万台,其中美国感染设备有418,592台,中国大陆有145,778台,澳大利亚94,912台,日本和中国香港分别为47,198和44,386台。

  2015年12月23日,乌克兰电力部门遭受到恶意代码BlackEnergy(黑色能量)攻击。供电企业在15时30分至16时30分同时遭到网络攻击,直接造成7个110千伏变电站和23座35千伏变电站停机,导致80000用户断电。2015年12月27日,攻击者再次使用恶意破坏性程序,感染了乌3个地区的电力基础设施,直接导致发电设备故障。

  当前,工控安全问题日趋严峻,我们应始终将工控安全风险防控作为信息系统管理的首要任务,对内不断自查、检测,对外强化防控,提高信息科技风险管理水平,确保企业信息系统安全、稳健的运行。

  二、电力工控安全面临的主要威胁

  生产控制系统与信息管理系统的连接通讯,使系统受到来自上层系统的安全威胁,网络容易遭受恶意攻击,并使危险事件、恶意攻击行为等泛滥到其他区域。

  无有效的安全管控措施,生产控制大区的非法外联现象时有发生,部分生产控制系统中的终端对U盘和移动硬盘等无限制措施。

  主站系统操作系统无法防范恶意代码和恶意软件攻击,主站系统操作系统未安装安全防护软件。

  系统网络主机、服务器、网络设备等,无账号密码复杂度要求,适用默认账号和密码的情况比较多,容易被入侵攻击。

  由于缺乏对管理和技术人员操作行为的有效安全监管和审计,误操作或者恶意操作安全风险较大。

  针对系统终端设备、网络设备、网络安全设备产生的日志,无完善的安全审计平台,对网络运行日志、操作系统运行日志、安全设备运行日志等进行集中收集、自动分析。

  针对信息系统的管理分散且困难,无法实时、集中地管理工控系统中的网络相关设备,无法整体把握生产和管理各大区的网络状况,实现针对系统统一的安全事态监控和态势感知。

  三、工控安全全面防控管理

  (一) 完善管理体系

  针对易发、频发、多发的风险点进行调研、挖掘和分析,制定了相关规章制度及应急预案,并成立专项信息管理小组,明确分工、落实职责,实施实时监测系统漏洞,全面追踪、分析和解决信息系统潜在问题,并对问题进行记录、分类和索引,有效规避风险。强化业务经办人员操作权限管理,对操作人员按照权限、责任范围实行一人一key,严格的限制操作范围,防止权限过于集中,避免出现管理空档。

  (二) 强化安全设施管理

  1.内外网隔离

  网络系统由内部局域网和外部因特网两个相对独立部分组成,内部网专线与外部网为光纤,之间不存在物理上的连接,使来自Internet的入侵者无法通过计算机从外部网进入内部网,从而有效地保障了内部网重要数据的安全,业务核心系统实现了物理隔离。

  2.防御架构

  信息系统使用链路负载均衡架构,同时铺设不同线路,形成双回路网络保险体系,同时,在每条专线前加入防火墙和防病毒服务器,链路必须先经防火墙过滤,在通过防病毒服务器,这种方式对内部数据有极大的安全性保护作用,稳定防护系统不受多重不定因数影响。

  3.安全审计

  在所需大区旁路镜像部署安全审计平台,通过监测、预警和审计三模块实现对生产控制大区的工控系统和业务的安全状态进行实时监测和安全事件分析,发现网络中的异常,从全局角度进行安全事件实时分析处理, 为管理者提供网络安全风险的实时告警性 提升工控网络的风险防护深度。

  4.主机安全防护系统(主机加固)

  在重要终端主机部署主机安全防护软件,对非安全操作系统进行有效的恶意代码防护,打造系统本身的免疫系统。通过白名单方式对安全程序进行管理,防范非法程序和应用安装运行以及未经授权的任何行为,同时控制U盘、移动硬盘等移动设备的使用,规范终端用户操作行为。

  (三) 安全技术应用

  1.域名技术

  由域名访问代替原有IP拨号访问方式,减少网络抓包等危害工控安全的行为,提高网络安全的整体水平,规避IP被攻击风险,确保网银系统风险可避、可控。

  2.加密技术

  针对系统数据重要性的不同,在数据加密环节,我们采用分区、分级的方式,对于系统中基本信息等非一级数据,采用系统底层MD5算法加密,其最大作用在于,将不同格式的大容量文件信息在用数字签名软件来签署私人密钥前压缩成一种保密的格式,关键之处在于其压缩是不可逆的,MD5加密技术中safety-belts的加密方式,可产生一个独一无二的“指纹”,任何人对相应数据做过改动,对应的"数字指纹"就会发生变化;比如服务器针对一个数据预先提供一个MD5值,用户使用这个算法重新计算下数据的MD5值,通过比较这两个值是否相同,就能判断下载的数据是否出错,或者说数据是否被篡改。

  3. 认证技术

  系统中相对重要的核心数据,采用高强度密码保护密钥,支持USB Key硬件设备认证和软件认证,关键信息散列保存,杜绝遗失;

  (1)身份认证

  身份认证是访问控制的基础,是针对主动攻击的重要防御措施。身份认证必须做到准确无误地将对方辨别出来,同时还应该提供双向认证,即互相证明自己的身份。目前公司业务信息系统采用的是软硬件相结合的高安全性较USBKEY认证方法,USBKEY是一种USB接口的硬件设备,用户的密钥或数字证书无需存于内存,也无需通过网络传播,这种方法,既大大增强了用户使用信息的安全性采用,又很好地解决了安全性与易用性之间的矛盾。

  (2)数字证书

  数字证书采用公钥体制,即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥(私钥),用它进行解密和签名;同时设定一把公共密钥(公钥)并由本人公开,为一组用户所共享,用于加密和验证签名。当发送一份保密文件时,发送方使用接收方的公钥对数据加密,而接收方则使用自己的私钥解密,这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程,即只有用私有密钥才能解密。在公开密钥密码体制中,常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积,加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥(公开密钥),想要推导出解密密钥(私密密钥),在计算上是不可能的。按当下计算机技术水平,要破解1024位RSA密钥,需要很多年的计算时间。

扫二维码用手机看

天地和兴

公司总部:北京市海淀区中关村软件园8号华夏科技大厦三层

服务热线:400-810-8981 / 010-82896289

版权所有:北京天地和兴科技有限公司      京ICP备17065546号-1

扫一扫关注

天地和兴微信公众号