[发明专利]一种基于枢纽电厂工控系统的组态式安全防护体系

说明书

本发明公开了一种基于枢纽电厂工控系统的组态式安全防护体系和方法，系统包括：DCS系统安全防护子体系，NCS系统安全防护子体系，辅控系统安全防护子体系，电量计费系统安全防护子体系，化学制水、外输灰及净水厂系统安全防护子体系以及生产控制大区安全态势感知子体系；其中每个所述子体系均包括：通讯网络安全防护子系统，安全区域边界安全防护子系统，安全计算环境安全防护子系统以及安全管理中心。

技术领域

本发明涉及火电厂工控系统的安全防护技术领域，尤其涉及一种基于枢纽电厂工控系统的组态式安全防护体系。

背景技术

在火电厂传统安全防护体系中，缺乏对工业控制网络用户操作、工控网络行为、指令下发的审计措施，导致安全事故分析取证困难。另外，部分工业控制网络不具备审计功能，部分有日志审计功能但系统的性能要求决定了它不能开启审计功能。

此外，现有对于工控系统防御的方案众多，但是都针对常规工控系统，实施常规的防护手段。对于火电厂辅控系统来说具有其独特的特点，在安全防护方面有其独特的需求，但是一直以来对于防护方案没有一个统一的标准，本发明提供一种健全的安全防护技术及方案，为辅控系统提供全面的安全防护。

因此需要根据系统独特的通信需求以及可能产生的安全漏洞，进行针对性安全加固，对于当下攻击手段形成有效的防御，形成一种新的基于枢纽电厂工控系统的组态式安全防护体系，实现防范高强度攻击和APT攻击的火电厂工业网络安全防护系统，完善电厂工控安全防护能力体系建设。

发明内容

为了解决现有技术中存在的问题，本发明提供了如下技术方案，根据国内外网络攻防技术和标准的新动向，结合工控系统特点、工程实践和用户体验，平衡工控系统安全合规性与实用性的关系，针对工业控制网络流量的工控安全监测与审计平台，以加强和提升工业控制网络的安全审计防护能力，实现对工业控制网络的异常行为、协议攻击、关键事件等进行实时检测告警，及时发现内部违规事件，为安全事件事后调查取证提供详实的记录。

本发明一方面提供了一种基于枢纽电厂工控系统的组态式安全防护体系，包括：

DCS系统安全防护子体系，NCS系统安全防护子体系，辅控系统安全防护子体系，电量计费系统安全防护子体系，化学制水、外输灰及净水厂系统安全防护子体系以及生产控制大区安全态势感知子体系；

其中每个所述子体系均包括：

通讯网络安全防护子系统，用于保证工控系统通信过程和通信数据的安全；

安全区域边界安全防护子系统，用于内部和外部网络行为进行检查或限制，对网络攻击行为进行检测、防止和限制，对网络行为进行分析，对攻击信息进行记录和报警，进行安全审计以及对边界设备进行可信验证；

安全计算环境安全防护子系统，用于对用户进行身份鉴别，定期备份审计记录，对重要节点的入侵行为以及病毒进行检测识别和报警，对应用程序的执行环节进行动态可信验证，对数据传输和存储完整性进行校验以及异地的实时备份；以及

安全管理中心，用于系统管理员通过命令或操作界面进行系统管理操作并对操作记录进行审计，审计管理员通过命令或操作界面进行安全审计操作并对操作记录进行审计；设置特定管理区域以及安全信息传输路径，从而对分布在网络中的安全设备或安全组件进行管控；对网络链路、安全设备、网络设备和服务器的运行状况进行集中监测；对设备的审计数据进行汇总和分析，管理安全策略、恶意代码以及补丁升级，对网络中的安全事件进行检测识别和报警。

优选的，所述DCS系统安全防护子体系包括：

DCS系统工控安全监测与审计设备，部署在各个机组DCS系统，用于实现网络流量的审计和异常行为告警；

DCS系统工控主机卫士，部署在各个机组DCS系统的工控主机、服务器、接口机等设备上，实现恶意代码的防护，外设端口的管控；