纵深防御体系

《纵深防御体系》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、采用纵深防御体系架构，确保核电可靠安全(缪学勤)AdoptingDefenceindepthArchitecture，EnsuringtheReliabilityandSecurityofNuclearPower摘要：核电安全关系国家安全，在建设核电厂时应优先考虑核电厂网络信息安全。由于工业网络安全有更高要求，所以工业网络开始转向基于工业防火墙/VPN技术相结合的硬件解决方案。深入分析了核电厂网络安全的主要威胁，比较全面地论述了工业网络信息安全中涉及的主要技术和解决方案，阐述了核电厂全数字化控制系统信息安全多层分布式纵深防御解决方案。采用基于硬件的信息

2、安全技术，创建核电厂纵深防御体系架构，确保核电厂可靠安全。关键词：核电厂信息安全黑客攻击硬件解决方案纵深防御体系架构0引言近年来，黑客攻击工厂企业网络的事件逐年增加。据信息安全事件国际组织不完全统计，多年来世界各地共发生162起信息安全事件。近几年，美国公开报道的、因黑客攻击造成巨大损失的事件多达30起。据说，由于各种原因，还有很多起事件中的受害公司不准报道，保守秘密。其中，2008年1月，黑客攻击了美国的电力设施，导致多个城市大面积停电，造成了严重的经济损失。由此使得工业网络的信息安全成为工业自动化领域新的关注热点。1核电厂开始面临黑客攻击的威胁2010

3、年6月，德国专家首次监测到专门攻击西门子公司工业控制系统的”Stuxnet(震网)”病毒。该病毒利用Windows操作系统漏洞，透过USB传播，并试图从系统中窃取数据。到目前为止，”Stuxnet”病毒已经感染了全球超过45000个网络，主要集中在伊朗、印度尼西亚、印度和美国，而伊朗遭到的攻击最为严重，其境内60%的个人电脑感染了这种病毒。最近，经过大量数据的分析研究发现，该病毒能够通过伪装RealTek和JMicron两大公司的数字签名，从而绕过安全产品的检测；同时，该病毒只有在指定配置的工业控制系统中才会被激活，对那些不属于自己打击对象的系统，”Stu

4、xnet”会在留下其”电子指纹”后绕过。由此，赛门铁克公司和卡巴斯基公司网络安全专家认为，该病毒是有史以来最高端的”蠕虫”病毒，其目的可能是要攻击伊朗的布什尔核电厂，如图1所示。因为这种”Stuxnet”病毒的目标是攻击核电站，所以被形容为全球首个”计算机超级武器”或”网络炸弹”。”Stuxnet蠕虫”病毒专门寻找目标设施的控制系统，借以控制核电设施的冷却系统或涡轮机的运作，最严重的情况是病毒控制关键过程并开启一连串执行程序，使设施失控，最终导致整个系统自我毁灭。受”Stuxnet”病毒的影响，伊朗布什尔核电厂于2010年8月启用后发生了一连串的故障。但由

5、于发现得早，并及时采取措施，才没有造成严重后果。由此可见，出于各种目的一些黑客开始向工业领域渗透，把关键基础设施(如电力、核电、化工、炼油等)的工业控制系统作为攻击目标。在这种情况下，美国发电厂和大型电力企业对网络安全特别重视。2009年，美国联邦能源管理委员会FERC(FederalEnergyRegulatoryCommission)正式批准了CIP002~CIP009关键基础设施保护8个强制性标准。CIP标准由北美电力可靠性保护协会NERC(NorthAmericanElectricReliabilityCouncil)负责制定。该标准是对大型电

6、力系统有着深远影响的网络安全标准，标准规定了大型电力系统确保进行安全可靠信息交换所需的最低要求。美国联邦能源管理局向电力企业下达命令：每个发电、输电和配电部门，无论是否属于关键资产部门，都必须在2009年年底之前履行这些条例。电力供应和输配电部门必须采取明确的安全防范措施，以确保持续供电。不符合该标准的情况一经发现，企业可能被处以高达每天100万美元的罚款。随着核电厂数字化、智能化程度的提高和新的通信方式的出现，核电厂信息安全防护难度不断增加。为了应对核电厂信息安全新的挑战，美国核能研究院NEI(NuclearEnergyInstitute)于2007年5

7、月发布了”核电厂网络信息安全导则”(CyberSecurityGuidanceforNuclearPowerPlants)白皮书；同年12月，美国核管理委员会NRC(NuclearRegulatoryCommission)颁布了DI&CISG01”核电厂网络信息安全”(CyberSecurity)过渡性审查导则，高度重视核电厂信息安全。2核电厂全数字化控制系统核电站全数字化控制系统是以工业网络为中心实现的实时分布式系统。系统采用分散控制、集中管理的分层分布式控制结构，包括运行和控制中心系统、电厂控制系统、保护和安全检测系统、多样化驱动系统、数据显示和处理系

8、统以及堆芯仪表系统等子系统。控制系统由工程师站、操作站、现场控制站