如何保护火电厂 DCS 系统网络安全

　　目前国内的主流发电方式主要包括火电、水电、核电、风电及其他绿色环保电力等，其中火电在电力结构中占比最高。伴随着大容量、高参数火电机组的不断投产和运行，其对自动化控制的要求也不断提高，新型电厂控制系统已向数字化和智能化转型升级。电厂控制系统不断发展，各种通用的网络技术被广泛应用，随之而来的安全问题也日益突出。

　　src=各种通用的网络技术广泛应用于电力行业控制系统，随之而来的安全问题也日益突出。与互联网网络安全的热度相比，电厂控制系统等工业类网络安全一直 备受冷落 ，直到近年国外发生多起因网络攻击导致电力系统被破坏的事件，才逐渐引起人们对电厂控制系统安全的重视。

　　2. 各现场车间与 SIS 通讯多采用 OPC 协议，目前很多火电厂采用的防火墙不支持 OPC 协议的动态端口机制，安全策略无法配置，防护效果不佳。并且为保证网络的隔离性和保证系统的稳定性，病毒查杀机制在工业控制系统中的使用具有一定局限性，对新病毒的处理总是滞后。

　　3. 内部操作系统多采用 Windows 系统，每个型号的 Windows 系统自发布以来都在不停发布更新补丁，打过补丁的操作系统没有经过系统集成测试，存在稳定运行的潜在风险。但是与之相矛盾的是，系统不打补丁就会存在被利用的漏洞，即使是普通常见病毒也会导致感染，可能造成操作站乃至整个生产系统的瘫痪。

　　4. 对于第三方厂家或热控人员的个人笔记本电脑、U 盘的外部接入没有相应的技术管理措施，可能会导致携带病毒进入工控系统。

　　5. 黑客入侵和工控应用软件的自身漏洞通常发生在远程工控系统的应用上，对于分布式的大型的工控网络，人们为了控制监视方便，安装无线网卡方式进行远程诊断与分析，这使黑客有了 可乘之机 ，无线网络技术使网络防护边界变得模糊。

　　6. 系统出现故障时无法溯源判断网络入侵行为、病毒、业务访问异常等问题，不能准确定位到产生事故的原因

　　7. 不管是通过大数据平台存储、还是分布在用户、生产终端、设计服务器等多种设备上，一旦遭受攻击，火电厂控制系统中的海量数据都将面临数据丢失、泄露、篡改等安全威胁。

　　火电控制系统与互联网相通可能会导致工业控制网络中的 DCS 控制设备暴露于公网中，这些设备本身可能存在安全漏洞，针对这些漏洞的攻击手段（如病毒、木马、攻击脚本）很有可能会从互联网、管理网等途径入侵，传统安全设备（如防火墙、IDS 等）无法识别和防范攻击，一旦发生攻击必然会导致 DCS 控制设备异常，进而影响整个生产网络的正常运行。因此，在 DCS 控制网络中部署安全设备，自动检测并防范攻击，是保证 DCS 控制网络稳定运行的一个安全策略。

　　DCS 控制网络内上位机和服务器的操作系统相对比较固定，很少升级补丁，但这会导致系统存在漏洞，易被利用攻击，造成严重后果。因此操作系统补丁升级需要进行综合考虑，进行严格的安全评估和测试验证，在不影响生产运行的情况下再安装补丁，升级补丁并不是一劳永逸的事情，企业需定期检测更新并及时安装升级补丁。

　　保证各个单元控制系统上位机操作只运行指定的工控软件和配套的数据库软件，其他任何未经允许的软件不得在操作系统中运行，并且控制开机自启的软件。不建议频繁进行配置更新，确保上位机运行环境安全。

　　保证各个单元指定的控制系统上位机、控制系统服务器的 USB 口可被监控，并可控制 USB 口的使用权限。DCS 控制网络中通过 U 盘进行信息拷贝是常见的现象，由此也会带来病毒木马传染的安全隐患，需对上位机、服务器的 USB 口进行安全管理，经过认证的 U 盘才能被识别使用，并能够对指定文件进行保护，限制文件随意被拷贝。

　　生产控制大区是电力企业重点保护的区域。在其控制区域内各个关键应用系统的服务器，上位机及操作工作站等，通过部署 DCS 主机防护软件及设备（DCS 主机防护软件、专用安全 U 盘、终端准入管控系统等）安全加固措施，来提升主机的防御能力。

　　火电厂工业生产系统内部部署专网专用，数据加密的安全 U 盘。安全 U 盘分为普通区和安全区，不同使用环境配置不同的分区。普通区可在未安装 DCS 主机防护软件的计算机上读取内容；安全分区仅可在安装有防护软件的主机上，同时需配合开放相应策略以便正常使用，实现 专区专用 。对安全分区进行加密，采用高强度加密算法，有效防止暴力破解导致的数据泄露。