举办时间：2017年4月26日-29日
长期以来，发电站工业控制系统跟其它工控系统一样，一直沿着相对独立、封闭、专有的方式发展，多注重系统自身的功能开发，与其它系统鲜有信息共享和传输，因此造成对安全的关注不够，缺少相应的防护措施。工业控制系统的重要性不言而喻，但随着工业控制系统的网络化和信息化，其脆弱的安全问题暴露无疑，使得拥有工业控制系统的众多企业甚至整个行业，都面临着极其严重的攻击威胁，一旦被攻击，将给企业带来巨大损失，也会产生严重的社会不良影响。比如，前些年发生在伊朗核电站的震网病毒Stuxnet，震惊了世界。该病毒通过Windows系统中的漏洞感染计算机，并通过网络、移动介质等方式进行传播，专门来攻击伊朗重要工业设施的。它在入侵系统之后会寻找网内的工控系统软件，并通过对软件重新编程，控制工控的关键过程，并执行一系列程序动作，最终导致不可预料的结果。Stuxnet是在工控领域发现的第一个电脑病毒，之后又发现了许多类似攻击原理的病毒，统称为高级可持续性威胁（APT）。这类APT攻击并不是一个独立的、具体的攻击技术，而是一种攻击行为模式的体现。这样的攻击不是能够依靠单一的技术实现防范和检测的，需要多个层面有针对性的安全防护措施综合实现。这类攻击对全球工业界控制系统的安全敲响了警钟。世界各国也认识到这一问题的严重性，并在政策法规、行业规约、技术保障等多方面开始进行积极应对。近年来，工业控制系统安全已经成为工业和信息安全领域重要的研究热点。本文将主要针对我国发电厂工控系统的安全问题和改进措施进行研究和探讨，以期对发电厂的网络安全建设略起借鉴之用。
一、发电厂网络安全现状跟传统IT信息系统相比，工业控制系统缺乏必要的安全开发规范及安全测试流程，导致工业控制系统在安全方面拥有较多的缺陷。根据美国国土安全部CSSP(Control System Security Program,)及其下属的工业控制系统应急响应小组（ICS-CERT）前几年所做的工业控制系统测评和分析得知，工业控制系统产品的脆弱性主要涉及错误输入验证、密码管理、越权访问、不适当的认证、系统配置等方面，如图1所示。
从图1可知，错误输入验证方面的脆弱性在2009-2010年度参与测评的工业控制系统软件中占到47%，这就意味着很容易通过输入错误的参数，而造成系统故障，显然这种脆弱性对工业控制系统的正常运行具有极大的威胁。
2012年10月至2013年3月期间，ICS-CERT监测到200多起工业控制系统安全事件，其中主要集中在能源、关键制造业、交通、通信、水利、核能等领域，如图2所示。
图1 ICS-CERT及CSSP对工业控制软件的脆弱性评估分析
图2 ICS-CERT关于安全事件行业分布分析
从图中的数据可以看出工控系统所面临的形势险峻。特别是能源行业，占到安全事故总数的一半以上，如何改变现状，提高工控系统的安全水平是一项艰巨而紧迫的任务。
想知道后面说了什么吗？点击“阅读原文”观看全部文章内容
版权声明：
本文系“电力信息化在线”独家稿件，版权所有，原创文章谢绝转载。
——电力信息化创新战略联盟
推荐阅读：
干货丨关于组织征订 2017 年度《电力信息化用户参考》杂志的通知
本文来自大风号，仅代表大风号自媒体观点。
