吳家奇， 李 雪， 詹志宏， 謝 翔， 王 濤， 劉年國， 王 芬

(國網(wǎng)淮南供電公司， 安徽 淮南 232007)

0 引言

電力工控系統(tǒng)承擔著為國家各行各業(yè)提供電能的重要責任和義務(wù)，它能否穩(wěn)定安全的運行直接影響到國計民生，因此電力工控系統(tǒng)運行的穩(wěn)定性和安全性一直是電力部門不得不關(guān)注和研究的問題。近年來隨著信息通信技術(shù)和智能電網(wǎng)技術(shù)的發(fā)展，電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的概率越來越大，頻率也越來越高。如2010年9月，伊朗核電站設(shè)施遭受了Stuxnet[1]病毒的攻擊，位于伊朗納坦茲的濃縮鈾工廠首先遭到了Stuxnet病毒的攻擊，導(dǎo)致用于濃縮鈾材料的離心機受到了嚴重的破壞，大約百分之二十的離心機因此報廢，進而導(dǎo)致濃縮鈾的產(chǎn)量下降了百分之三十左右；2015年12月23日，烏克蘭至少三個區(qū)域的電力工控系統(tǒng)遭遇網(wǎng)絡(luò)攻擊，伊萬諾-弗蘭科夫斯克地區(qū)部分變電站的控制系統(tǒng)遭到破壞，造成大面積停電，電力中斷3～6小時，影響大約140萬人的正常生活[2]；在CyberTech 2016大會上，以色列能源與水力基礎(chǔ)設(shè)施部部長Yuval Steinitz披露稱在2016年1月25日，以色列電力局遭受了一次嚴重的網(wǎng)絡(luò)攻擊[3]。此外，由于我國電力工控系統(tǒng)復(fù)雜度高，子系統(tǒng)繁多，且相互耦合性高，因此也倍受著各種網(wǎng)絡(luò)攻擊所帶來的網(wǎng)絡(luò)安全威脅。

和傳統(tǒng)的電力一次系統(tǒng)攻擊相比，網(wǎng)絡(luò)攻擊具有成本較低、攻擊范圍廣、攻擊對象多、攻擊行為隱蔽等優(yōu)點[4]。因此對于電力工控系統(tǒng)，網(wǎng)絡(luò)攻擊是一種不可忽視的潛在威脅。通過近年來各國屢屢遭受的網(wǎng)絡(luò)攻擊來看，網(wǎng)絡(luò)攻擊給電力工控系統(tǒng)帶來的后果是非常嚴重的，甚至嚴重影響國家的正常運行，因此有必要研究電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的方式及防護措施。

1 電力工控系統(tǒng)網(wǎng)絡(luò)攻擊方式

當今，雖然電力部門實現(xiàn)了電力通信網(wǎng)絡(luò)的隔離，構(gòu)建了保證電力工控系統(tǒng)網(wǎng)絡(luò)安全的三道防線，但是由于電力工控系統(tǒng)的重要性和網(wǎng)絡(luò)攻擊的復(fù)雜性，在隔離條件下依然對電力工控系統(tǒng)進行網(wǎng)絡(luò)攻擊也是可能的。本文根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊事件的統(tǒng)計和相關(guān)文獻，總結(jié)和分析電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的主要方式。主要從網(wǎng)絡(luò)攻擊原理的不同和網(wǎng)絡(luò)攻擊位置的不同來進行分析。

根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊原理的不同，可以將網(wǎng)絡(luò)攻擊方式分為誤導(dǎo)數(shù)據(jù)注入攻擊、阻斷網(wǎng)絡(luò)通信攻擊、重放網(wǎng)絡(luò)攻擊[5]。下面將對這三種攻擊方式進行詳細說明。

(1) 誤導(dǎo)數(shù)據(jù)注入攻擊是指攻擊者通過網(wǎng)絡(luò)入侵電力工控系統(tǒng)向儀表或傳感器注入錯誤的監(jiān)控數(shù)據(jù)進而導(dǎo)致電力工控系統(tǒng)無法正常運行工作。與阻斷網(wǎng)絡(luò)通信攻擊和重放網(wǎng)絡(luò)攻擊相比，誤導(dǎo)數(shù)據(jù)注入攻擊具有攻擊目標多、范圍廣且防護能力弱等特點。

(2) 阻斷網(wǎng)絡(luò)通信攻擊是指攻擊者在電力通信網(wǎng)絡(luò)上頻繁地發(fā)送大量的偽造數(shù)據(jù)包，導(dǎo)致電力工控系統(tǒng)控制中心與受控的遠程終端無法進行正常通信工作，控制中心無法正常接收遠程終端的請求，遠程終端也無法接收控制中心的指令。這種網(wǎng)絡(luò)攻擊對于電力工控系統(tǒng)正常運行是致命的。由于這種網(wǎng)絡(luò)攻擊需要時間上的持續(xù)性，所以對于具有較高安全防御能力的電力工控系統(tǒng)來說，被攻擊成功的可能性是比較小的。

(3) 重放網(wǎng)絡(luò)攻擊是指攻擊者在網(wǎng)絡(luò)通信過程中對網(wǎng)絡(luò)數(shù)據(jù)流進行監(jiān)聽和分析，然后統(tǒng)計和識別其中重要動作控制指令(如高壓斷路器跳閘或合閘的控制信號)，等待時機，在適當時機重新釋放這一條指令，造成類似誤操作的事故。這種網(wǎng)絡(luò)攻擊需要對網(wǎng)絡(luò)信息進行長時間的監(jiān)聽和分析，才能識別其中需要的重要動作網(wǎng)絡(luò)信號。

根據(jù)電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊位置的不同，可以將網(wǎng)絡(luò)攻擊方式分為遠距離攻擊和本地攻擊。下面將對這兩種方式進行詳細說明。

(1) 遠距離攻擊是指攻擊者在目標網(wǎng)絡(luò)外部對目標網(wǎng)絡(luò)進行攻擊，攻擊目標一般是電力工控系統(tǒng)通信網(wǎng)絡(luò)的遠程終端單元。為了達到對電力工控系統(tǒng)控制中心或其他關(guān)鍵設(shè)備的攻擊，攻擊者不僅需要具備網(wǎng)絡(luò)技術(shù)知識，還需要相關(guān)的電力工控系統(tǒng)知識。

(2) 本地攻擊是指發(fā)生在電力數(shù)據(jù)采集系統(tǒng)(SCADA)或能源管理系統(tǒng)(EMS)內(nèi)部局域網(wǎng)的網(wǎng)絡(luò)攻擊，這類網(wǎng)絡(luò)攻擊需要物理上接近目標網(wǎng)絡(luò)，由于電力工控系統(tǒng)具有完備的物理隔離技術(shù)，如果沒有內(nèi)部人員的協(xié)助配合攻擊，攻擊者很難完成攻擊任務(wù)。

通過上述對電力工控系統(tǒng)網(wǎng)絡(luò)攻擊方式的研究和分析可知，對于電力工控系統(tǒng)，網(wǎng)絡(luò)攻擊種類多、危害大，因此有必要研究有關(guān)電力工控系統(tǒng)網(wǎng)絡(luò)安全防護措施。

2 電力工控系統(tǒng)網(wǎng)絡(luò)安全防護措施

2.1 強化全員網(wǎng)絡(luò)信息安全意識

加強全員網(wǎng)絡(luò)信息安全教育和技術(shù)培訓，思想上增強網(wǎng)絡(luò)信息安全防范意識，結(jié)合公司系統(tǒng)發(fā)生的實際案例，通俗易懂地將信息安全知識傳授給公司每位員工。此外工作中需要掌握必要的防范技能，加強工作現(xiàn)場系統(tǒng)用戶權(quán)限管理，嚴格遵守網(wǎng)絡(luò)信息系統(tǒng)身份認證，有效阻止外來非法訪問、非法入侵，杜絕人為原因引起信息安全事件發(fā)生。

2.2 落實網(wǎng)絡(luò)信息安全管控措施

加強電網(wǎng)工控系統(tǒng)的運行監(jiān)控、日常巡視、安全審計、漏洞掃描等常規(guī)工作，做好漏洞與安全風險預(yù)警工作。嚴格執(zhí)行國家電網(wǎng)相關(guān)安全措施，確保電力工控系統(tǒng)信息安全防線。此外還要加強電力工控系統(tǒng)信息安全防御和檢測系統(tǒng)的部署，提高網(wǎng)絡(luò)安全監(jiān)測能力，能夠及時發(fā)現(xiàn)各種病毒和木馬，并采取對應(yīng)的安全措施。

2.3 開展網(wǎng)絡(luò)信息安全隱患排查

深入開展網(wǎng)絡(luò)信息專項安全檢查和風險評估，全面排查電網(wǎng)系統(tǒng)中的工控系統(tǒng)、廠站端設(shè)備操作系統(tǒng)等影響電網(wǎng)安全穩(wěn)定運行的安全風險和薄弱環(huán)節(jié)，根據(jù)安全漏洞類型、攻擊手段、影響后果等，制定反攻擊措施，明確整改計劃，完善電網(wǎng)工控安全防護體系。

2.4 強化網(wǎng)絡(luò)信息安全應(yīng)急處置

健全電力工控系統(tǒng)網(wǎng)絡(luò)安全應(yīng)急體系，定期組織網(wǎng)絡(luò)重要設(shè)備反事故演練，通過事故預(yù)想和實踐演練，提高公司重要業(yè)務(wù)系統(tǒng)在核心網(wǎng)絡(luò)設(shè)備單點故障的情況下短時間內(nèi)恢復(fù)的應(yīng)急能力，從而提升網(wǎng)絡(luò)信息安全應(yīng)急處置能力。

2.5 加強電網(wǎng)工控系統(tǒng)安全防護研究

實時掌握電網(wǎng)工控領(lǐng)域網(wǎng)絡(luò)信息安全技術(shù)的前沿知識和先進的攻防技術(shù)，加快網(wǎng)絡(luò)安全人才的培養(yǎng)，不斷提升電力工控系統(tǒng)安全防護手段。結(jié)合電力工控系統(tǒng)的現(xiàn)實情況，研究和分析網(wǎng)絡(luò)危險的傳播途徑，模擬電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的情景，研究相關(guān)措施，形成對應(yīng)的網(wǎng)絡(luò)安全典型經(jīng)驗，提升電力工控系統(tǒng)網(wǎng)絡(luò)安全風險抵御能力。

2.6 利用數(shù)據(jù)挖掘技術(shù)進行網(wǎng)絡(luò)攻擊檢測

數(shù)據(jù)挖掘是指從海量數(shù)據(jù)中提取有價值的數(shù)據(jù)，而這些數(shù)據(jù)是潛在有用的信息，并且不容易被發(fā)現(xiàn)。數(shù)據(jù)挖掘技術(shù)正是通過尋找海量數(shù)據(jù)中潛在的聯(lián)系，發(fā)現(xiàn)被忽略的要素，進而挖掘有用的信息[6,7]。由于電力工控系統(tǒng)的龐大，網(wǎng)絡(luò)設(shè)備和工控系統(tǒng)每天都會產(chǎn)生大量審計日志和網(wǎng)絡(luò)流量數(shù)據(jù)，因此可以利用數(shù)據(jù)挖掘技術(shù)對海量的審計日志或網(wǎng)絡(luò)數(shù)據(jù)進行分析和處理，從這些數(shù)據(jù)本身潛在的規(guī)律中發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為的模式，從而提高網(wǎng)絡(luò)自身的防御能力[8,9]。

3 總結(jié)

隨著我國智能電網(wǎng)的快速發(fā)展以及各行各業(yè)對信息安全的日趨重視，越來越有必要對電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊進行研究。本文首先通過闡述烏克蘭等國家遭受網(wǎng)絡(luò)攻擊的事件，來說明電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的普遍性和危害性，從而引出有必要研究電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的方式及防護措施，然后總結(jié)并分析了電力工控系統(tǒng)遭受網(wǎng)絡(luò)攻擊的主要方式，最后結(jié)合電力工控系統(tǒng)的實際現(xiàn)狀，提出了相關(guān)安全防護措施。