发电企业移动存储介质管控难点分析及应对方案

我国发电企业具备水、火、风、光、核等不同的发电形态，无论是何种形态的发电企业其生产业务控制均处于高度自动化阶段，对发电各环节的控制、监测等都极大依赖电力监控系统。各发电企业内部对电力监控系统的日常维护、巡检、状态监测等工作，有的采用网络通信的方式在线执行，有的则采用数据摆渡的方式进行离线系统维护和升级，无论采用何种方式都应该在确保安全的前提下对电力监控系统进行操作。本次将重点分析在发电企业电力监控系统网络中通过移动存储介质来进行数据摆渡的行为有何潜在风险，并重点介绍当前我国发电企业面临的移动存储介质管控难点和对应解决方案，给各类型发电企业用户和合作伙伴提供一种解决问题的新思路。

2023年3月9日，国家能源局发布《防止电力生产事故的二十五项重点要求(2023版)》通知，要求各电力企业要加强领导，认真组织，确保通知的有关要求在规划设计、安装调试、运行维护、更新改造等阶段落实到位，有效防范电力生产事故的发生。在通知的19.2.11章节中明确要求：“应加强现场作业人员的作业管控，禁止将未经病毒查杀的移动介质接入生产系统”。

该内容无疑将针对发电企业移动存储介质的管控要求拔高到与电力系统监控、一次设备安全监控等同一高度，发电企业内移动介质的使用风险被越发重视。

谈到工业控制领域的网络安全攻击事件，就不得不提到2010年在伊朗发生的“震网病毒事件”，该事件直接导致伊朗核计划推迟10年，并且震网病毒在之后的时间实现了对全球100多个国家共计超10万台计算机的大规模感染和破坏，举世震惊！

回溯该事件，我们发现这是一次筹划缜密、技术先进、目标明确且针对性强的网络攻击，整个病毒研发、测试、投放、生效的过程巧妙的结合了间谍技术、工业控制技术、社会工程学等不同专业知识：

1）首先美国军方根据德国情报机构提供的西门子工业控制系统的技术规范，秘密研发出针对伊朗当时在用核工业控制器（PLC）的定向攻击病毒，并在以色列搭建试验台验证有效性；

2）荷兰特工伪装成铀浓缩离心机工程师潜入伊朗纳坦兹铀浓缩工厂，将携带震网病毒的U盘插入控制系统主机并使其感染病毒；

3）通过升高压力导致上千台离心机损坏，以及改变转速导致生产出的铀无法满足核武器使用要求。

梳理整个震网病毒攻击过程，能看出其中最关键的一环便是特工将病毒通过U盘传播的形式带进军事防御森严的伊朗纳坦兹铀浓缩工厂，如果当时纳坦兹工厂具备针对U盘等移动介质的有效技术管控措施，将震网病毒扼杀于传播阶段，那么该事件也就不会发生，当今世界的核力量格局将被改写！

伊朗震网病毒事件给全世界涉及工业控制的关键信息基础设施单位敲响警钟，特别是我国各发电企业迅速响应并从中吸取经验教训，加大力度对生产网中移动存储介质进行管控，但仍然存在亟待解决的一系列难题。

根据前文对“震网病毒”事件的分析可知，从技术层面和管理层面来看，当前我国发电企业移动存储介质的管控还存在亟待解决的难点：

难点一：因业务需要使用USB端口，传统封堵主机USB端口或拆除USB配件的方法因降低业务效率而无法在生产网络内落地，导致发电企业各主机均存在USB端口暴露的问题；

难点二：发电企业员工的U盘来源缺乏管控，私人U盘、他人遗失U盘等均能轻易接入生产网主机，各种后门程序、病毒文件传播风险高；

难点三：发电企业制定的移动介质安全管理制度无法有效执行，生产网中仍然存在未经病毒查杀的U盘直接接入主机的高风险行为；

难点四：传统的移动介质管控和病毒查杀过程常采用杀毒软件进行，发电企业搭建病毒查杀主机供员工进行移动存储介质杀毒，但病毒发现后如何处理？杀毒主机如何高效维护？杀毒主机是否有病毒外泄风险？这些问题无疑提高了发电企业员工参与移动介质安全管控的门槛，不利于大规模推广。

我国整个电力行业近20年来网络安全的建设日益完善，期间针对移动存储介质的安全管控也有相关尝试和技术措施的落地，但仍然存在短板需要弥补：

• 短板一：全国各地电网公司对U盘的使用都有内部严格的管控，会指定员工使用内部认证的安全U盘，在每台内网主机上均部署类似U盘管控软件（如国家电网曾使用的SGCC-USB1.0移动存储介质管理系统），限定不同权限U盘在内网的可访问粒度，如只读、可读写、唯一性认证、读写审计等，可以做到较好的U盘使用管控，但对于U盘本身是否携带隐秘性较强的病毒程序，该系统无法给出判断和风险规避措施。
• 短板二：在各类型发电厂中都会要求部署一套网络安全监测装置（根据国家电网调〔2017〕1084号文件），当员工将外部U盘（如私人U盘）接入厂内主机时，该装置会进行异常信息上报，并由电网态势感知平台对异常U盘接入行为进行告警，相关电厂和发电企业会收到通报和整改通知。但告警本质上是一种“事后”行为，在告警通知发出的时候，U盘中携带的病毒可能早已感染主机并悄然扩散，给发电厂电力监控系统带来巨大安全隐患。

综上所述，目前我国电力系统内部对于U盘的使用和风险管控已有多种举措落地，分别尝试从不同技术角度减少因U盘等移动存储介质使用而带来的网络安全风险，确实也取得了部分成效。但不可否认的是，整个电力行业特别是发电企业对于接入生产网络的移动存储介质是否携带病毒、每一次U盘的插拔使用是否安全等问题并没有一个很好的解决方案。为了帮助我国发电企业真正解决移动存储介质安全使用和管控的难题，本文将重点介绍一种从根源上对发电企业移动介质使用风险进行闭环管控的方案。

威努特发电企业移动存储介质管控方案由三大核心组件构成，分别是工控主机卫士、安全U盘、移动介质安检站：

• 工控主机卫士：针对操作员站、工程师站、数据服务器等发电企业现场主机进行可执行程序管理，防止病毒木马等恶意程序感染的安全软件产品，采用与传统防病毒软件不同的轻量级“白名单”机制，系统资源占用小，不影响电力监控系统相关组件的正常使用，集成对U盘存储介质进行注册、授权、读写控制等综合管理功能。
• 安全U盘：基于安全芯片的移动存储设备，内部可划分安全区和公共区，是实现发电企业生产主机对移动存储设备从加载到卸载的全生命周期安全管控的基石。
• 移动介质安检站：各类移动存储介质病毒查杀的专用设备，该设备采用软硬件一体化设计，对勒索病毒等恶意代码程序进行查杀，设备采用高敏电容触摸屏实现病毒查杀的极简操控，搭配4G物联网实现病毒库的自动更新，以多类型的业务接口满足各类介质的接入，安全U盘存储介质经移动介质安检站查毒后自动生成病毒查杀标记。

威努特发电企业移动存储介质管控方案的原理为：

1）安全U盘使用前，移动介质安检站对其进行病毒查杀并生成杀毒标记；

2）工控主机卫士对安全U盘中的病毒查杀标记进行验证；

3）无杀毒标记的介质将被阻止读取；

4）具备杀毒标记的安全U盘则按照在工控主机卫士软件注册后分配的权限进行读写。

最终形成集注册、授权、分组管理、读写控制、病毒查杀、杀毒校验、注销于一体的闭环移动存储介质综合管控方案，保证发电企业生产网络免受病毒及恶意代码程序的侵扰，通过技术手段实现发电企业移动存储介质的闭环管理，降低企业安全管理人员投入成本，支撑企业安全管理制度的有效落地。

1）实现不封堵USB端口的前提下安全使用USB外设：本方案通过对U盘的注册和权限划分来实现U盘的安全使用，兼顾业务效率和安全。

2）发电企业业务U盘专用：本方案限定只有注册过的U盘或指定的安全U盘才能接入到生产网络主机中，进而规避员工私人U盘在业务场景中混用的风险。

3）技术措施实现管理制度的强制落地：本方案将杀毒标记验证技术创新性地引入U盘鉴权环节，未经过病毒查杀且不具备杀毒标记的U盘一律禁用，将员工使用U盘前进行病毒查杀的行为强制常态化，克服管理制度无法执行的弊端。

4）方案技术门槛低，发电企业全员参与移动介质安全管控：U盘注册、权限划分等工作由服务商工程师统一实施和调试，发电企业员仅在每次使用安全U盘之前先接入移动介质安检站进行病毒查杀（病毒检测、处置、标记生成等均由设备自动化进行，无需人工干预），其余U盘使用习惯保持不变，几乎零使用门槛，移动介质安全管控不再是哪一个部门或哪一部分人的事。

1.发电企业“体外杀毒”更安全：方案组件三的“移动介质安检站”为独立病毒查杀设备，不接入发电厂生产控制网络，移动存储介质的病毒查杀全过程独立于生产控制网络之外进行，病毒对抗过程零风险；为确保病毒查杀能力实时更新，移动介质安检站支持运营商移动通信网络（如4G）更新，规则库更新过程更安全。

2.彻底杜绝发电企业U盘中毒事件：方案三大组件共同实现在发电厂U盘使用场景中的强制杀毒管控效果，移动介质安检站会在经过病毒检查的安全U盘内生成杀毒标记，工控主机卫士软件对杀毒标记进行识别并放行该安全U盘（无杀毒标记的U盘默认禁用），当安全U盘中的数据因访问行为发生变动后，所携带的杀毒标记自动被抹除，三大组件通过以上逻辑实现发电企业U盘的强制杀毒管控，弥补管理制度无法被有力执行的短板。

3.满足政策合规要求：本方案采用“杀毒标记验证”的原理，真正意义上将《防止电力生产事故的二十五项重点要求(2023版)》中“应加强现场作业人员的作业管控，禁止将未经病毒查杀的移动介质接入生产系统”的要求在发电企业中落地，帮助各发电企业满足国家能源局的监管合规要求。

4.方案成熟，落地实践经验丰富：威努特发电企业移动存储介质管控方案已在国家能源集团水电集控场景、三峡集团水电站场景、南方电网变电站场景落地并取得较好效果，同时在全国火力发电、风力发电、智能煤矿、市政交通、智能制造、数字政府等超20类场景均已实现方案落地，管控效果饱受广大用户一致好评。

5.发电设施长治久安：本方案核心三大组件产品，从移动介质的鉴权使用、数据的安全存储、恶意代码的安全查杀和主机的安全防护等维度，防止网络攻击通过移动介质这一途径渗透到发电企业生产控制网中，有效杜绝伊朗核设施震网病毒事件等针对国家关键信息基础设施的高级威胁事件的爆发，确保我国发电基础设施长治久安！

渠道合作咨询   田先生 15611262709

稿件合作   微信:shushu12121