不同DCS控制系統主機加固策略對比

雷建軍

[摘 ? ?要]隨著互聯網的快速發展，網絡安全日益受到重視。根據國家等保測評和電力系統二次安防要求，對DCS系統相關設備通過增加安全防護設備和安全加固軟件，從網絡層面、主機層面、安全管理審計等方面綜合防治，提高機組 DCS 系統的安全防護能力，保證電力監控系統安全可靠運行。電廠控制系統不斷發展，各種通用的網絡技術被廣泛應用于電廠控制系統，其安全問題日益突出。

[關鍵詞]網絡安全;主機加固;DCS控制系統

[中圖分類號]TP273 [文獻標志碼]A [文章編號]2095–6487（2022）05–000–03

Comparison of the Host Reinforcement Strategy of Different DCS Control Systems

Lei Jian-jun

[Abstract]With the rapid development of the Internet， network security is paying more and more attention.According to the national security assessment and the secondary security requirements of the power system， the DCS system related equipment through the safety protection equipment and security reinforcement software from the network level， host level， safety management audit， improve the safety protection ability of the DCS system， ensure the safe and reliable operation of the power monitoring system.Power plant control system is constantly developing， various general network technologies are widely used in power plant control system， and its safety problems are increasingly prominent.

[Keywords]network security; host reinforcement; DCS control system

1 DCS網絡控制系統及存在風險

目前國內發電種類主要包括火電、水電、核電、風電及其他綠色環保電力，其中火電在電力結構中占比最高。伴隨著大容量、高參數火電機組的不斷投產和運行，其對自動化控制的要求也不斷提高，新型電廠控制系統已向數字化和智能化進行轉變。電廠控制系統不斷發展，各種通用的網絡技術被廣泛應用于電廠控制系統，其安全問題日益突出。但是相比互聯網網絡安全的熱度，電廠控制系統的網絡安全一直“備受冷落”。直到近年國外發生多起因黑客網絡攻擊導致電力系統癱瘓的事件，才引起人們對電廠控制系統信息安全的重視。

2010年，伊朗“震網病毒”事件震驚全球。2012年，兩座美國電廠遭USB病毒攻擊，感染了電廠控制系統，相關控制數據被竊取。2015年，烏克蘭電力系統遭到具有高度破壞性的惡意軟件攻擊，造成大規模停電事故。2019年3月委內瑞拉發生大規模停電事件。網絡攻擊水電站計算機系統中樞是造成大規模停電的重要原因。

隨著網絡和計算機技術的發展，特別是信息化與工業化深度融合，工控系統產品越來越多地采用通用協議和硬件，以各種方式與互聯網等公共網絡連接，從而導致工控系統被網絡攻擊的風險增大，保護工控系統信息安全刻不容緩。

Windows操作系統現已成為工控機操作站的主流，每個型號的Windows系統自發布以來都在不停發布更新補丁，打過補丁的操作系統沒有經過制造商測試，存在不安全運行的風險。但是與之相矛盾的是，系統不打補丁就會存在被攻擊的漏洞，即使是普通常見病毒也會遭受感染，可能造成操作站乃至整個控制網絡的癱瘓。

黑客入侵和工控應用軟件的自身漏洞通常發生在遠程工控系統的應用上，另外，對于分布式的大型工控網，人們為了控制監視方便，安裝無線網卡方式實現遠程診斷與分析，同時也不可避免地給黑客入侵帶來了方便之門，無線網絡技術使用帶來的網絡防護邊界模糊。

2 不同DCS控制系統網絡加固策略對比

2.1 一單元艾默生DCS控制系統

2.1.1 改造方案

（1）DCS系統可實施架構范圍：DCS整體網絡在上層利用核心交換機將晉能陽光電廠1期1號機、2號機和公用部分聯接。單元機組采用生成樹結構，由根交換機管理擴展交換機到各個設備。DCS網絡相對獨立，與第三方系統有通訊接口處為DCS系統邊界。1號機、2號機與公用系統與SIS系統均有采用OPC協議的通訊。2號機組DCS系統狀態見圖1。

（2）為了滿足加強DCS系統網絡安全防護同時保證DCS系統原有功能安全穩定運行的目標，對DCS系統相關設備通過增加安全防護設備和安全加固軟件，從網絡層面、主機層面、安全管理審計等方面綜合防治，提高機組DCS系統的安全防護能力，保證電力監控系統安全可靠運行。

（3）邊界安全防護：根據等保標準、能源局36號

文、工信部《工業控制系統信息安全防護指南》，在DCS與SIS的邊界部署工業防火墻加入侵監測，在核心交換機部署入侵監測加網絡流量審計。已部署的安全設備通過統一安全管理平臺和人機接口管理、審計、配置操作。

工業防火墻串聯接入在DCS的OPC服務器和DMZ路由器交換機之間，有效防范從SIS和外部入侵的惡意軟件、病毒程序、木馬程序等，實現縱向隔離。

入侵監測旁路部署在工業防火墻到SIS的鏈路上，以及核心交換機層。監聽DCS和SIS通訊的全部流量和網絡信息，可以實時分析可疑的攻擊行為，并且通過最新的惡意軟件特征庫匹配可能的攻擊行為。一旦事件和行為匹配就會發出報警，實現縱向隔離和橫向防護。

網絡流量審計旁路部署在2號機組根交換機層，監聽DCS系統各套機組之間的網絡行為和網絡流量。按照預先設置的流量基線，在網絡內的設備與節點無流量或者流量超過設備承受極限時發出報警。并且通過學習收集所有設備之間的網絡行為，做成白名單，出現白名單之外的網絡行為時，會發出報警，實現橫向防護。

（4）計算環境防護：在2號機DCS系統操作員站、OPC站、歷史站、工程師站、服務器等工業主機上部署主機安全防護和加固軟件，實現身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范等功能，同時啟用操作系統自身的安全策略，實現操作系統自身安全性的提升和審計、記錄。在2號機DCS系統電腦主機上安裝日志審計客戶端軟件，收集所有2號機DCS的電腦主機上的日志和記錄，包括Windows操作系統本身的日志，DCS系統的事件和錯誤日志。通過部署的主機安全防護軟件，實現外設管理，阻斷2號機DCS電腦主機從物理接口的攻擊入侵。通過部署USB智能鑰匙，實現智能登入，并且與域用戶綁定，有效控制非法登錄和越權操作。

（5）數據安全防護：在2號機DCS系統已經通過主機防護軟件進行安全加固和防護的前提下，采用有固化分區配置的安全U盤，實現DCS系統內部的數據擺渡。從物理上做到了專區專用，全程加密傳輸，且無法通過人機接口修改分區配置，保證了安全U盤的安全專區在任何環境的安全。

（6）綜合運營和集中管理：在PWCS-C系統內的統一安全管理平臺和人機接口，可以在一個界面實現多個安全設備的策略、日志、報警信息管理，并且通過各個設備的信息綜合分析當前系統的安全狀況。收集到的DCS系統內部信息會統一存儲到日志審計設備中，所有事件可在人機接口以日期、時間、主體、客體和詳細內容進行追溯，使得管理更加科學化和合理化。

2.1.2 工程效果總結及投資回報分析

（1）在PWCS-C安全系統布置完成后，在系統和OVATION DCS系統邊界完成擾動測試，驗證極端情況下，安全網絡審計、入侵監測和統一管理平臺連接失去時，對OVATION DCS系統核心業務數據網絡做到無任何擾動。項目實施從開始到結束過程中，確保不會影響目前控制系統正常運行，不會更改DCS控制系統的邏輯及參數，并確保DCS控制系統性能和操作方式不變。

（2）本項目實施后晉能陽光電廠1期DCS需提供2號機組DCS系統安全防護應滿足《電力監控系統安全防護規定》（國家發展和改革委員會令2014年第14號）、《電力監控系統安全防護總體方案》、《發電廠監控系統安全防護方案》（國家能源局國能安全[2015]36號文）等有關標準、規定的要求。在DCS系統完成全面防護和加固的情況下，順利通過對于2號機組的等保測評。

2.2 二單元上海新華DCS控制系統

2.2.1 實施策略

鑒于iGuard為白名單機制的安全防護軟件，在部署過程中有以下需求：

（1）用戶無感知，需要平滑過渡;

（2）部署初期可以發現、調整問題，影響范圍可控;

（3）便于回滾;

（4）盡可能節省主機資源。

經過分析，厘定以灰度發布策略進行iGuard客戶端的部署。第一部分先行部署工程師站主機。在正常操作的情況下觀察36h。36h后，對系統運行情況做出評估，如出現問題，則調整系統配置繼續觀察。如運行無誤，則繼續部署剩下的操作員站，然后重復其觀察過程。

待所有主機正常運行36h以上后，將系統切換至正常運行模式。

2.2.2 實施過程

2.2.2.1 安裝與架構iGuard服務器

在一臺工作站上先行安裝了Linux操作系統，版本為Ubuntu14.04。將安裝包放置在Download文件夾內。制作了軟件下載包放置于/data文件夾中以供各個主機下載。

軟件包包含如下文件：iGuard客戶端安裝程序（中文版）、Chrome for Win7 32Bit瀏覽器、360殺毒增強包（病毒庫更新至2021-4-17）、瑞星殺毒離線包（病毒庫更新至2021-4-16）、Conf.xml文件（用于使iGuard客戶端進行自我進程保護與開機自啟）。

服務器安裝完成之后，參數如下。

（1）操作系統：版本Ubuntu14.04，用戶名xinhua，初始密碼111111（在移交密碼后修改）。

（2）iGuard服務端：版本：V1.1.03，網頁登陸賬號名admin（超級管理員），網頁登陸初始密碼：123456（在移交密碼后修改），授權期限為永久授權。

（3）iGuard客戶端：進程自我保護為“是”，開機自動啟動為“是”，白名單加密為“是”。

（4）網絡：IP地址222.222.223.100，服務器本機登陸地址https：//localhost：8080/login，工作站登陸服務器地址https：//222.222.223.100：8080/login。

2.2.2.2 主機環境凈化

為了保證白名單采集過程安全，對所有需要部署的主機進行了病毒與惡意軟件篩查。經過比對與甄選，選擇了360殺毒與瑞星殺毒進行雙引擎查殺。

基于該選擇的原因：360殺毒采用小紅傘引擎，擁有國內較大的市場份額，故認為該殺毒軟件具有較為全面的病毒庫與查殺能力;瑞星殺毒軟件為VB100認證程序，鑒于該認證為國際最高標準認證，故認為此殺毒軟件擁有強力殺毒能力。

2.2.2.3 將客戶端灰度部署至4#機組

首先對所有工程師站的主機均安裝了iGuard主機安全衛士客戶端。根據晉能陽光電廠要求，對Conf.xml文件進行了替換，使其客戶端具有2.2.1中客戶端的特性。

在執行文件過程中，所有的操作系統為Windows7 32Bit的主機出現了文件打開提示界面。由于出現該界面會影響正常操作，故將通知時間調整為“從不”。調整后重新啟動主機，該現象消失。

在確認部署環境安全無毒后，對所有的工程師站主機文件進行遍歷并采集了白名單，采集文件的后綴名包括.exe， .dll， .src和.mui，并全部提交至服務器合并。

所有白名單采集后，執行客戶端程序，程序正常執行并運行。

所有工程師站運行iGuard客戶端程序后，進行了36h的觀察。期間，所有主機均在正常的工作模式下進行運行操作，36h后，調出系統日志記錄，所有工程師站均未見異常。

隨后，對剩余的操作員站以同樣方法進行了iGuard客戶端的部署。觀察36h后，所有主機均未見異常。iGuard系統部署成功。

3 結束語

（1）從國家有關機構和部門對網絡安全的重視程度出發，目前等保測評第2.0版本標準已經發布?；鹆Πl電廠的DCS 系統已經被強制定級為三級標準，是關系到日常生活的重要保障。目前火力發電廠的DCS系統每年都需要經受國家和集團上級直屬部門的監測和檢查。沒有達到檢查要求和未能通過檢查的系統需要投入大量人力物力進行整改，接受更多的復查，在管理和經濟方面承受多重壓力。部署PWCS-C安全系統有助于提高等保測評的評價，最終達到在上級部門的網絡安全檢查中順利通過的目的。

（2）由上海新華控制技術集團科技有限公司設計并研發的iGuard主機系統，全稱iGuard主機安全衛士V1.1.03，用以幫助操作人員進行工作站計算機的管控與控制，同時對工作站計算機進行USB口的統一管理以及對操作系統的文件進行白名單管理與加載控制;以服務器+客戶端的方式對受控主機進行白名單管理。部署工作完成后，將以該系統作為管理工具，以行政管理與管理工具相結合的模式，進一步加固4#機組的生產管理系統，提升系統安全系數，保障安全生產。

參考文獻

[1] 楊建康. 安全加固技術在各類主機和系統中的應用[J]. 電子技術與軟件工程， 2016（8）：4.

[2] 俞愛榮， 林賢良， 陳金虎. 發電廠分散控制系統安全加固研究與實踐[J]. 網絡安全技術與應用， 2019（5）：3.

[3] 周亞建.網絡安全加固技術[M]. 北京：電子工業出版社， 2007.