案例精选丨国内某大型水电站生产控制系统信息安全监管与预警平台试点示范项目

背景简介

国内某大型水电站是云南省实施西部大开发战略的标志性工程和国家西电东送的骨干电源和重点工程，电站装机容量 420 万 KW，多年平均发电量 190 亿KW•h，是中国水电站单机容量TOP10的水电站。

根据《国家发展改革委办公厅关于组织实施2015年国家信息安全专项有关事项通知》要求，围绕电力电网企业信息安全边界复杂、生产控制系统和智能电网管理缺乏整体安全设计和分散实施等问题，联合建立攻关和示范推广机制。北京威努特作为试点建设承担单位对试点水电站进行生产控制系统网络安全进行整体规划设计。

项目需求

• 需要满足 36 号文有关电厂安全防护的相关要求；

• 目前水电站内各系统（各机组 LCU 系统、开关站系统、公用系统、厂用电系统和坝区系统等）之间未进行有效的网络隔离，尤其是底层控制系统，需按照相关要求采取安全隔离措施，防范病毒扩散及恶意攻击行为对其它系统造成影响；
  

  
  

• 随着水电站智能化、信息化等新技术的应用，“无人值班，少人值守”的远程监控管理模式快速发展，需采取相应手段对关键指令下发及误操作等行为进行实时监测和告警；

• 发电厂生产控制系统中的管理终端（如服务器、工程师站、操作员站等）存在移动介质外设使用和主机安全策略配置级别较低的情况，需采取有效措施对移动 U 盘等外设的使用进行管控，并增强主机安全防护能力；

  
  

• 电厂在执行特定工作 ( 如系统调试和维护 ) 时需通过网络运维的方式，需要对接入的人员及终端设备采取有效的安全监管措施，重点管控维护过程中的关键操作行为并对所有操作行为进行记录。

解决方案

根据该水电站现有网络结构、资产情况、安全现状，结合国能安全36 号文有关电厂安全防护的相关要求和国家等级保护制度的相关要求，进行方案的整体规划设计。

• 在各机组 LCU 与控制网络之间部署工业防火墙，通过对 Modbus协议进行深度解析与“白名单”控制功能，能有效保护防止针对PLC 漏洞的恶意攻击行为及违规操作；

  
  

• 在环网核心交换机上旁路部署工控安全监测与审计系统，对控制网络中的网络流量进行实时监测，特别是异常指令下发、违规操作等行为，同时记录原始数据包文件，以便调查取证；

  
  

• 在环网核心交换机上旁路部署入侵检测设备，通过收集和分析网络行为、安全日志、审计数据以及计算机监控系统中若干关键点的信息，检查计算机监控系统中是否存在违反安全策略的行为和被攻击的迹象；

• 在主控层的工程师站、操作员站和服务器上部署工控主机卫士，开启移动介质管控功能，对关键业务进程、程序予以保护，建立白名单库，提升操作系统安全防护等级，提高工业主机的安全性；

  
  

• 在控制环网交换机上部署安全运维管理系统，实现账号统一管理、资源和权限统一分配、操作全程审计，提升运维过程的安全性；

• 通过统一安全管理平台对所部署的安全设备进行统一的安全管理，包括策略下发、日志审计、报警展示等，简化运维管理工作流程、提高运维管理工作效率。

客户价值

• 提升企业自身整理安全管理水平

• 提升企业社会和经济价值

威努特简介

北京威努特技术有限公司（以下简称“威努特”）， 是国内工控网络安全领军企业、全球六家荣获国际自动化协会安全合规学会ISASecure CRT Tool认证企业之一和亚太地区唯一国际自动化学会（ISA）全球网络安全联盟(GCA)创始成员。

威努特作为国家高新技术企业，以创新的“白环境”整体解决方案为核心，自主研发了5大类30款全系列网络安全专用产品，拥有64项发明专利、64项软件著作权、70项原创漏洞证明等核心知识产权。积极牵头和参与工控网络安全领域国家、行业标准制定，受邀出色完成新中国70周年庆典、中共十九大、全国两会等重大活动的网络安保任务，被授予“国家重大活动网络安保技术支持单位”，得到了中央网信办、公安部、工信部等国家政府部门的高度认可。迄今已成功为电力、轨道交通、石油石化、军工、烟草、市政、智能制造、冶金等国家重要行业1000多家工业企业提供了全面有效的安全保障。

威努特始终以“专注工控，捍卫安全”为使命，致力于为我国关键信息基础设施网络空间安全保驾护航！

本文始发于微信公众号（威努特工控安全）：案例精选丨国内某大型水电站生产控制系统信息安全监管与预警平台试点示范项目