核电工控系统网络安全态势感知解决方案研究.pdf
《核电工控系统网络安全态势感知解决方案研究.pdf》由会员分享,可在线阅读,更多相关《核电工控系统网络安全态势感知解决方案研究.pdf(7页珍藏版)》请在咨信网上搜索。
1、第 44 卷 第 8 期2023 年 8 月自 动 化 仪 表PROCESS AUTOMATION INSTRUMENTATIONVol.44 No.8Aug.2023收稿日期:2022-05-26作者简介:江国进(1964),男,博士,教授级高级工程师,主要从事核电站 DCS 总体设计方向的研究,E-mail:jiangguojin ;李红霞(通信作者),女,学士,高级工程师,主要从事核电站网络安全总体设计方向的研究,E-mail:lihongxia 核电工控系统网络安全态势感知解决方案研究江国进1,刘 元1,李红霞1,权小康2,褚 瑞1,李启凌1,颜元超1(1.上海中广核工程科技有限公司,
2、上海 200241;2.北京威努特技术有限公司,北京 100085)摘 要:核电厂工控系统复杂多样,且各工控系统独立防护,使核电厂缺乏整体的网络安全监控和防御能力。为解决这一问题,针对核电工控系统特点、现状及国家政策法规要求,研究了核电工控系统网络安全态势感知解决方案。该方案应用了全流量回溯分析、无损漏洞检测、单向通信、日志及工控协议快速范化解析等关键技术。该方案以核电厂为单位,对核电工控系统业务零影响、全兼容,能够监控全厂工控系统资产安全状态与告警威胁趋势、感知网络安全态势、洞悉安全风险、提供综合决策与行动。通过搭建样机系统进行全系统功能测试及第三方安全评估,验证了方案的可行性、可靠性和安全
3、性。该方案可有效提升核电工控系统网络安全整体防护能力,为未来在核电领域中的应用提供了良好实践。关键词:核电厂;工业控制系统;网络安全;态势感知;安全等级保护;攻击溯源;协同防御;应急处置 中图分类号:TH7 文献标志码:A DOI:10.16086/ki.issn1000-0380.2022050128Research of Cyber Security Situational Awareness Solutions for Industrial Control System of Nuclear PowerJIANG Guojin1,LIU Yuan1,LI Hongxia1,QUAN Xi
4、aokang2,CHU Rui1,LI Qiling1,YAN Yuanchao1(1.Shanghai CGN Engineering Science&Technology Co.,Ltd.,Shanghai 200241,China;2.Beijing WINICSSEC Technologies Co.,Ltd.,Beijing 100085,China)Abstract:The industrial control system of nuclear power plant is complex and diverse,and each industrial control syste
5、m is independently protected,so that nuclear power plant lacks overall network security monitoring and defense capability.In order to solve this problem,for the characteristics of nuclear power industrial control system,the current situation and the requirements of national policies and regulations,
6、the cyber security situation awareness solution for industrial control system of neclear power is studied.The solution applies the key technologies such as full-flow back analysis,non-destructive loophole detection,unidirectional communication,logs and rapid paradigm analysis of industrial control p
7、rotocols,etc.The solution is based on the unit of nuclear power plant,has zero impact and fully compatible on the business of the nuclear power industrial control system,and is able to monitor the security status of the assets of the industrial control system of the whole plant and warn of the trend
8、 of the threat,sense the network security situation,gain insight into security risks,and provide comprehensive decision-making and actions.The feasibility,reliability and security of the program have been verified by building a prototype system for full-system functional testing and third-party secu
9、rity assessment.The solution can effectively improve the overall cyber security protection capability of nuclear power industrial control system and provide good practice for the future application in the nuclear power field.Keywords:Nuclear power plant;Industrial control system;Cyber security;Situa
10、tional awareness;Security level protection;Attack traceability;Coordinated defense;Emergency response0 引言当前,国内外网络安全形势严峻复杂,网络攻击处于日益高发态势。总体来看,现阶段的安全攻防形式呈现出专业化、商业化、国际化和移动化等特点。核电厂工业控制系统,尤其是数字化仪控系统(digital control system,DCS),是国家的关键信息基础设施。这些工控系统的安全运行关乎国家安全、社会稳定,近年来已成为网络攻击的重点目标之一。随着网络安全法等相关法规的出台,核电厂工控自 动
11、化 仪 表第 44 卷系统的网络安全防护逐步从以“边界防护”为基础、以“封堵查杀”为方法的防护模式向以网络安全等级保护基本要求1合规为主的“一个中心,三重防护”体系转化,网络安全防护能力有了逐步提升。从核电厂的整体网络安全防护角度来看,当前的网络安全建设仍然以单点的深度防御、业务系统单个系统的区域综合防御为主。由于核电厂工控系统复杂多样、不同系统的网络安全规划建设不同步、对网络安全防护重视程度不同,在面对针对核电厂的多维度、多系统、跨区域的新型定向威胁攻击、社工攻击时,很难形成综合、有效的防御能力。所以,核电厂需要建设以核电厂为单位,能够监控所有核电厂内工控系统资产安全状态与告警威胁趋势、感知
12、网络安全态势、洞悉安全风险并提供综合决策与行动的核电厂厂级工控系统网络安全态势感知系统(以下简称“核电厂级工控态感系统”),以实现核电厂的综合网络安全防御能力提升。本文通过研究态势感知相关政策及法规要求,针对当前核电工控系统特点、网络安全现状及核电工控系统特殊要求,构建了以数据采集、数据预处理、数据存储、数据分析展示和应用为内容的核电厂级态势感知系统体系架构;研究并应用了全流量回溯分析、无损漏洞检测、单向通信、日志及工控协议快速范化解析等关键技术,形成满足核电工控系统及网络安全要求的态势感知整体解决方案。该方案可有效解决核电厂面临的工控系统各自防护、整体安全防护监控能力薄弱等问题,在面对高级别
13、攻击威胁时,可实现协同防御、联防联控。1 态势感知相关标准法规2018 年国家能源局发布的“国家能源局关于加强电力行业网络安全工作的指导意见”2强调:电力企业需要提高网络安全态势感知、预警能力,建立行业、企业网络安全态势感知预警平台。随着 2021 年国务院第 745 号令“关键信息基础设施安全保护条例”3的施行,国家相关单位陆续出台实施指导意见,要求关键信息基础设施完善监测预警和协调指挥体系。近期出台的国家标准信息安全技术 关键信息基础设施安全保护要求4(GB/T 39204-2022)明确要求关键信息基础设施建立并落实常态化监测预警、快速响应机制,即制定自身的监测预警和信息通报制度,确定网
14、络安全预警分级准则,明确监测策略、监测内容和预警流程,对关键信息基础设施的安全风险进行监测预警。核电厂级工控态感系统建设主要依据的标准为信息安全技术 网络安全态势感知通用技术要求(送审稿)5(20210989-T-469)等。该标准对态势感知数据汇聚、数据分析、态势展示、监测预警、服务接口及资源管理提出了安全技术要求。能源局态势感知技术规范6(ICEII/001)提出了厂站侧、集团侧、中心侧态势感知平台的平台架构、组网方式、主要功能及接口规范。以上标准均属于国家及行业通用标准及规范。考虑到核电厂工控系统的重要性及特殊性,核电厂级工控态感系统在研究及建设时,需要充分考虑核电工控系统自身的特殊需求
15、。2 核电工控系统网络安全现状核电工控系统网络安全面临以下现状。核电工控系统资产缺乏全局可视的能力,不能全面监控。该系统看不清或看不全需要保护的资产,无法全面、动态监控资产的变化,也无法及时发现未知资产的接入。各系统独立而分散,无法形成协同防御。核电厂各工控系统的安全防护程度不同,防护手段及防护产品来源不同。因此,在某系统发现网络安全事件后无法快速同步确认其他工控系统是否存在同样问题、是否需要同步开展安全防护或策略调整。高级别及跨系统攻击难定位。针对高级别攻击,特别是跨系统区域的攻击渗透行为,业务系统的单个系统的防护方法无法形成全厂视角的攻击溯源,不能在造成损失前发现潜入的威胁,不能有效阻止损
16、失的发生。网络威胁情报无法及时通报预警。业务系统的单个系统防护方法无法针对最新的高危漏洞、网络威胁情报信息进行集中、及时的通报预警,无法指导核电厂开展后续工作。缺少网络安全监控指挥中心。核电厂工控系统没有明确的网络安全应急响应指挥中心,无法快速、有效地开展应急响应工作;对于应急响应处置前、处置中、处置后缺少全过程的可视化监控。3 核电厂级工控态感系统解决方案核电厂级工控态感系统通过采集网络流量、资产信息、日志记录、漏洞信息、用户行为、安全告警信息、威胁信息等数据,分析和处理网络行为及用户行为等因素构成的安全状态,预测网络安全状态的趋势,并进行展示、告警和预警。核电厂级工控态感系统可以认为是核电
17、厂工控网络的本地安全大脑。其集数据采001第 8 期核电工控系统网络安全态势感知解决方案研究 江国进,等集、安全检测、应急响应、建议处置等多功能于一体。核电厂级工控态感系统由机器与专家联合组成,面向核电工控系统网络安全关键问题建立分析展示中心、通报预警中心、指挥调度中心以及安全运维中心。3.1 系统设计原则核电工控网络安全态势感知系统解决方案需要充分考虑核电工控系统自身的特殊需求。方案设计时,该系统应考虑以下设计原则。保持工控系统的独立性。核电厂工控系统不同业务系统之间相互独立,仅通过网关、通信站等接口设备按照约定的通信规则进行系统间单向或双向通信。核电厂级工控态感系统的数据采集探针设备的部署
18、不能影响各工控系统的业务独立性要求,不能破坏原有的边界通信规则。对工控系统业务“零影响”。核电厂工控系统需要采取相关技术措施,在采集和接收各工控系统的流量和日志信息时保证单向通信,即只接收来自工控系统的数据而不能有反向数据流入工控系统,以免影响业务正常运行。核电厂级工控态感系统要避免因为数据采集探针设备部署而引入新的安全风险,对工控系统尤其是 DCS 造成不可预知的安全性影响。全面兼容性。核电厂工控系统的部署和建设,需要兼容并适用于不同堆型、不同业务系统、不同网络结构、不同网络安全建设阶段,同时应避免重复建设,以满足未来的可扩展性要求。3.2 系统架构核电厂工控系统的建设核心是数据采集探针以安
19、全的方式获取业务系统全流量和全日志。分析引擎按照系统分层分域进行数据处理。操作员站与大屏幕提供人机界面进行资产管理、安全分析、威胁感知、告警处置和应急保障。系统架构如图 1 所示。图 1 系统架构图Fig.1 System architecture diagram 3.3 网络拓扑基于系统架构设计理念,结合核电厂各接入系统的网络特点和接入要求,本文设计日志采集网及流量采集网两个独立的网络。日志采集网负责收集各接入系统探针发送的日志信息。流量采集网负责收集各接入系统探针发送的全流量信息,并分别将其汇集到态势感知平台及流量分析平台进行数据分析处理。3.4 数据采集核电厂级工控态感系统数据来源包括业
20、务系统全流量信息采集与日志信息采集两部分,通过部署网络安全防护设备探针实现对数据的收集与汇总。全流量信息采集主要选取业务系统核心服务器所在交换机的全流量数据,并将其转发至核电厂级工控态感系统中的流量分析平台进行流量的集中分析。101自 动 化 仪 表第 44 卷日志信息采集主要包括业务系统主机操作系统、数据库及应用系统、网络交换机、网络安全防护设备的日志及告警信息等,结合收集信息进行安全审计7。网络安全防护设备主要包括安全计算环境防护、安全通信网络监视、安全区域边界隔离及安全管理中心建设中使用的各类软硬件防护产品。系统网络拓扑如图 2 所示。图 2 系统网络拓扑图Fig.2 System ne
21、twork topology diagram 3.4.1 安全计算环境防护和日志采集系统在工控系统服务器、操作员站、工程师站等主机上部署主机防护系统8,通过程序白名单9、安全基线、非法外联、网络白名单、双因子认证、强制访问控制等功能对主机环境进行网络安全防护,收集记录安全告警信息、操作系统相关日志信息。系统亦可部署日志采集 Agent 软件,通过主动采集方式收集主机的账户 登 录、开 放 端 口、网 卡 事 件、通 用 串 行 总 线(universal serial bus,USB)插入拔出、非法外联、用户权限变更、进程审计、系统日志等相关日志信息。3.4.2 安全通信网络实时监测和流量采集
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 核电 系统 网络安全 态势 感知 解决方案 研究
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【自信****多点】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【自信****多点】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。