核電廠儀控系統安全防護策略研究及應用

榮海

中核遼寧核電有限公司 遼寧葫蘆島 125112

1 核電廠儀控系統安全防護策略

相應的“隔離”的一般技術方法是按服務劃分網絡，并避免網絡之間的直接連接。使用單向隔離網守或工業防火墻進行隔離，以限制訪問權限并防止惡意軟件和消息的傳播?！皟艋币话銓募夹g方法可以分為兩大類：黑名單和白名單。

1.1 白名單技術主要優勢

出色的保護能力并非白名單技術產品的全部優點。其優點還體現在以下幾個方面。①抵抗有效抵抗“0-day”和APT攻擊。②系統資源的低開銷幾乎對主機性能沒有影響。③無需更新庫，易于維護，其使用不會影響生產過程。該程序的白名單可以應用于計算環境，例如核電站儀表和控制系統中的操作員站，工程師站，服務器和通信站網關。

在對工業控制流量、操作系統和應用程序進行監控進行具體分析后，建立了安全參考?；€型，核電廠儀表控制系統和網絡組成核電廠儀表控制系統，“安全白色環境”是一種更有效的安全保護程序，這種方法基本上可以達到“凈化”效果。

1.2 程序的白名單

程序白名單是一個主機上的合法應用軟件的基線列表，只有在這個列表內的程序才允許運行，其它任何程序都不能運行。這就是程序白名單的安全機制。程序白名單，是主機上合法的應用程序軟件的重要基線列表。只能運行此列表中的程序，而不能進行運行其他程序，是白名單的安全機制。

使用白名單技術的工業控制主機保護軟件，可以有效抵御“0-day天”漏洞和具有針對性的攻擊，對工業控制計算機（如操作員站，工程師站）進行安全保護和數據服務器，以及增強主機安全保護的能力，可以最大程度地確保工業計算機的安全穩定運行。在IPC保護方面，列入白名單的技術產品比防病毒技術具有更多優勢，并且具有更好的保護功能[1]。

1.3 進行外設白名單

通過監控軟件，白名單媒體對移動媒體進行合法注冊，對移動媒體進行合法身份識別和讀寫控制，并確保工廠儀表核電和控制系統不受外部惡意軟件的攻擊。外圍設備白名單的主要功能如下。①通過外圍設備開關控制外圍設備接口，以確保不會訪問非法數據或內部數據泄漏。②通過移動介質媒體注冊表管理，不僅可以保證內部數據的移動流動性，還可以減少因隨機使用U盤造成的威脅。③通過控制讀寫權限，它可以保證數據流的方向并防止惡意軟件感染。外設設備白名單可用于計算環境中，例如核電廠儀表和控制系統中的操作員站，工程師站，服務器和通信站網關，以控制外圍設備的使用。

1.4 工控協議白名單

通過相關安全保護的設備，例如：工業防火墻等，進行深入分析和識別網絡數據包指令。根據白名單的相關要求，禁止不相關的協議，并有效過濾非法的工業協議數據和非法指令，僅允許正確的協議數據及工業控制指令進行通過，可以有效地保證通信的安全性。工業控制網絡。①確認協議識別，以避免非法協議。②對協議進行深入分析，避免非法消息的傳播。③查看控制協議說明，避免非法使用。④確定指令的來源和目的，以防止非法通信。協議白名單通?？梢栽诠I防火墻中應用于核電站儀器和控制系統的安全域條目，以過濾出子網中的協議流量。

1.5 工控行為白名單

在工業控制網絡中，所有節點之間建立連接，諸如：發出命令和報告數據之類的網絡交互都是工業控制行為?；趯χ噶畹纳钊敕治龊蛯I務的深入了解，可以從正常的工業控制業務中了解工業控制行為的基準，并可以建立白名單。工業控制協議白名單負責過濾非法消息，以確保將所有合法消息和合法連接輸入到網絡中，但不能防止濫用或惡意操作。例如，不適合對公司不滿意的員工。停止設備的說明。工業控制行為白名單的主要作用是補償工業控制協議白名單中的缺陷并防止濫用或惡意操作。創建一個工業控制行為白名單需要一個漫長的學習過程，收集大量數據，并結合多個特征來建立行為模型[2]。

2 核電廠儀控系統安全防護具體實施措施

白名單防護策略的實施一般分為以下步驟。

（1）規劃。計劃。在設計和實施計劃之前，您必須制定計劃，以確定白名單計劃中所涉及的具體業務，區域和主機，并基于主機確定白名單計劃：中使用的主機技術，基于網絡，兩者均都采用。

（2）設計選型。根據具體計劃，設計合理的網絡白名單及主機白名單設計方案，并有效結合業務和網絡拓撲，設計白名單部署方案并進行選擇合理的白名單產品。

（3）驗證原型。根據設計，在核實驗室里，將根據測試環境對白名單原型進行驗證，以確保白名單產品功能齊全，并保證對業務運營沒有影響。

（4）實施。驗證后，列入白名單的程序進入實施階段。實施之前，必須確保主機未感染惡意軟件。白名單產品通常需要經過學習才能生效，即白名單過程。如果將惡意軟件添加到白名單中，則白名單方案不能保證主機的安全性。工業控制行為白名單特別需要長期研究。實施包括以下兩個階段。①學習階段。在這段時間內，了解當前的網絡流量，過程和計算環境以將其列入白名單。在此階段，白名單將不會強制攔截，而只會生成警報并等待管理員確認。②白名單正式生效。在此階段，將攔截不符合白名單要求的工業控制程序，消息和操作。

（5）維護。實施白名單后，需要定期維護。維護內容主要包括：檢查相關日志和產品告警信息，以驗證系統是否正常運行，在安裝或更新軟件時需要進行白名單更新[3]。

3 結語

總之，使用白名單技術的工業控制主機保護軟件，工業防火墻，審計設備和其他產品在保護上與傳統黑名單產品相似，但它們更適合于核電站的特殊情況，最終的保護效果更好，對生產系統的影響較小。使用白名單技術的安全產品應包括在核電站的一般安全解決方案替代清單中，并且正在越來越多地使用。