【摘要】：电力行业信息化日趋发展，信息安全显得越发重要起来，国家电网对于风电场网络安全防护方面的要求也越来越严格。所以风电场侧增强安全意识、管控手段跟进、指定应急预案，才能为电网的安全稳定运行提供更加可靠的保障。本文以乌克兰电网黑客事件为例，对攻击过程进行推演分析，以此为依据，结合公司各下属风电场二次安防现状，对风电场二次安防提出几点建议。
【关键字】风电场，二次安防，信息安全
一、引言
公司各下属风电场在二次设备安全防护方面，满足基本要求基础上。各省及各区域电网在国家电力监管委员会第5号令要求基础上，近几年针对各自重点关注的环节及事项，近几年陆续出台了相关细化要求，各风电场及时响应，对照文件要求对现有设备部署环境整改。如冀北电网要求将原有安全Ⅰ/Ⅱ区、管理信息区细分为安全Ⅰ/Ⅱ/Ⅲ区、信息外网区，如张北区域风电场即按照冀北电网及时调整二次设备网络拓扑结构并到电网完成备案工作；甘肃区域各风电场部署网络安全监测系统，以应对电网对二次设备不得随意外接设备，且在其物理接口实施监视的要求；新疆电网现阶段重点关注的是收到的风电场侧报送的报文信息，是否存在异常报文的情况，风场侧按照要求也部署了网络安全监测系统；四川某风电场部署漏洞扫描、防病毒软件及安全审计系统，应对了四川省电网对于风电场信息安全防护及完成防病毒措施的要求；其他区域风电场均已完成或者正在进行的等保测评工作等方面，都是各地电网对于风电场网络安全防护方面的细化要求。截止目前，公司各下属公司风电场二次设备安全防护措施满足电网公司相关要求。
但是近些年国内外出现的停电事件，事后分析原因还是给我国风电行业很多警醒，事后分析原因，网络安全不仅仅是二次安防按照要求做好关键点防护就可以高枕无忧了，还需要进一步的保护和监管措施。本文从案例分析入手，分析事件原因，解析说明二次安防关键点防护原理，并对风电场信息安全防范提出建议。
二、案例分析（乌克兰停电事件）
2015年，乌克兰电网突发停电事件，电力系统遭到恶意代码的攻击[1]，导致发电设备故障，造成大面积停电[2]。同时，报修系统遭受恶意攻击，导致系统阻塞，维修服务异常[3]。
权威组织公布，本次事件为感染病毒导致的“网络协同攻击”。分析数据样本结合相关文献资料，也再次确定了结论。其具体攻击推演过程推断如下：
（1）邮件中植入恶意软件。作为传播介质黑客通过向目标用户定向发送携带恶意文件的邮件，用户打开病毒文档[2]，病毒在操作过程中主动连接外网黑客主控服务器，连接后，黑客则以被控服务器为跳板，进行内网二次渗透。
（2）通过病毒放置了一个基于安全协议SSH协议的后门程序，通过远程连接的方式连接到服务器。监控系统丧失可用性。
（3）通过以上两种方式发起组合攻击：获取SCADA系统的控制权限，对系统发送相关操作命令实现跳闸；修改SCADA系统运行参数，直接引发跳闸，从而导致停电。
（4）利用病毒破坏服务器和工作站的文件系统，导致实质性的数据损失，还造成SCADA系统停运且无法重启恢复，提升事件后续分析难度。
（5）攻击者堵塞客服电话通道，间接阻止实施事故反应措施。停电期间，利用技术手段占用服务部门电话通道，为实施事故反应措施制造困难。
图1 恶意攻击过程
分析此次乌克兰变电站网络被黑客攻击本次发现，除了与工控系统本身安全防御能力不足、有组织的黑客活动日益猖獗外，应用单位安全意识淡薄，相关监管不到位也是导致此次事件的主要原因之一。
三、风电场二次安防关键点
风电场内部划分为生产控制大区和管理信息大区。下面我将针对二次安防涉及的安全防护关键点原理及作用进行简述。
（一）纵向加密认证装置
作用：电力专用纵向加密认证装置位于电力控制系统的内部局域网与电力调度数据网络的路由器之间，用于安全区的广域网边界保护[4]。另纵向加密装置也用于风电场到本单位集控中心之间数据通信。
原理：纵向加密认证装置中使用的是非对称密码功能，基于证书的公、私密钥验证体系。
第一阶段是密钥协商，是需要双侧纵向加密认证装置之间完成认证。第二阶段就是数据的通信，如风电场上报信息，风场侧会对数据进行加密后上传到省调，省调侧进行解密获取数据，完成一次通信传输。
图2 纵向加密认证装置工作原理示意图
（二）单向安全隔离装置
作用：电力网络专用安全隔离设备是位于生产控制大区与管理信息大区之间的一个安全防护装置，可以识别恶意破坏和攻击活动[5]。
原理：物理隔离。
安全隔离装置（正向）：安全隔离装置（正向）是高级别区向低级别区的数据传递途径。
（1）无数据传输需求时，安全隔离设备、外网、内网两两不连通；
（2）当由内向外传数据时，内网发起对连接需求，隔离设备将所有的协议剥离，将原始的纯数据写入高速数据传输通道[6]。
（3）一旦数据完全进入通道，连接断开，将数据推出，外网侧收到数据后发起对外网的数据连接，连接建立成功后，进行封装[7]，推给外网侧；
（4）在数据交换完成后，会有信号提醒，外网连接被切断。
图3 安全隔离装置（正向）工作原理示意图
安全隔离装置（反向）：安全隔离装置（反向）是低级别区到高级别区的数据传递途径。
（1）信息管理大区内的数据发送端首先对需要发送的数据进行签名，然后发给安全隔离装置；
（2）装置接收数据后，进行安全性检查；
（3）将处理过的数据转发给生产控制大区内部的接收程序。
图4 安全隔离装置（反向）工作原理示意图
（四）国产操作系统的应用
国产操作系统多为以Linux 为基础二次开发的操作系统，很多省电网出具文件要求风电场生产控制区设备更换为国产操作系统，具体安全在哪儿。体现在以下几个方面：
（1）Windows用户多而广：互联网上近90%的电脑都在运行着Windows系统。显而易见，对于黑客来讲， Windows提供了大的施展平台。用户量大而广，导致Windows易被攻击。
（2） Linux发行版本较多，难集中攻击：Linux系统多样性的应用程序导致攻击者攻击Linux系统的积极性相对不高。
（3）Linux用户权限划分令风险降低：Windows用户一般被默认授予管理员权限，入侵者可以操控电脑所有权限。反而，Linux系统设计为多用户模式，多为非系统管理员模式，入侵带来的危害不会波及其他用户文件的安全及系统程序。
（4）Linux代码开源，漏洞有多人解决：Linux的代码是开源的。通过群策群力，问题通常得以快速解决。而Windows系统靠自有的团队去修复，用户不及时更新漏洞，势必会给黑客攻击的机会。
没有绝对的安全。良好的用户习惯是保证系统安全的关键。
（五）防火墙
防火墙技术作用于计算机网络内、外网之间，以保护用户资料与信息安全性的一种技术[8]。通过设定策略，控制传输的数据通过。风电场防火墙用于区域网与外网之间。可以进行初步的入侵检测功能，有效保证了风电场局域网安全。
图5 防火墙工作原理图
四、二次安防几点建议
结合乌克兰停电事件警示及对本公司二次安防现状摸底调研，总结以下几点建议：
（1）作为电力企业，应当从思想上重视信息安全工作。随着信息化建设的不断推进，保证信息安全就显得极为重要，我们不应该再把信息安全放在提供服务的层级上，应把它提高到与生产等部门同等重要的位置上。
（2）加强风电场内网的管理，加强操作系统安全管理。电脑等设备要安装杀毒软件并及时升级；及时安装系统补丁，淘汰微软不再提供支持的系统；不使用来历不明的U 盘等。尤其对生产控制大区设备操作时，更为严谨，外接移动设备必须查杀保证无病毒，更需要培养一批熟识操作系统运作原理的安全专业人员。
（3）提高全员信息安全防范意识。不可随意点附带的链接和附件；来路不明的U盘要拒绝使用；拒绝来自陌生人的在线电脑技术帮助；对陌生人在公司办公区域附近所提出的要求要提高警惕，不轻易答应等等。
（4）各风电场所使用防护设备要按照国家规定年限要求进行更换，故建议各公司内部制定出的设备更换年限要求。
（5）建议各风电场规范二次设备网络拓扑图，对照设备台账细化到每个功能板块，记录设备所用IP地址，清晰每条物理布线走向，及时更新网络拓扑图，以便快速应对、排查可能出现的问题。
【参考文献】
[1]智能电网信息安全威胁及对策分析[J]. 李周文. 电子测试. 2019(22)
[2]乌克兰停电事件对全球能源互联网安全的启示[J]. 张盛杰,何冰,王立富,龚良涛. 电力信息与通信技术. 2016(03)
[3]能源互联网环境下分布式能源站的信息安全防护[J]. 彭道刚,卫涛,姚峻,张凯,夏飞. 中国电力. 2019(10)
[4]地区电力调度网络安全防护体系分析[D]. 谢超.华北电力大学(北京) 2017
[5]三峡梯调中心网络安全防护体系的设计与实现[D]. 刘宇.重庆大学 2006
[6]基于深度报文检测和安全增强的正向隔离装置设计及实现[J]. 曹翔,张阳,宋林川,胡绍谦,汤震宇,张春合. 电力系统自动化. 2019(02)
[7]网络隔离在企业数据安全中的应用探究[J].张如云.办公自动化,2019,24(04):28-30.
[8]计算机网络信息安全防护[J] 高岳 科技资讯. 2020,18(10)
