电力工控系统安全防护整改方案

电力工控系统安全防护整改方案一、编制依据与适用范围1.1编制依据本方案依据下列法律法规、标准及本单位实际情况编制，整改工作的合规性判定以这些文件为准：•《中华人民共和国网络安全法》（2017年6月1日施行）•《中华人民共和国数据安全法》（2021年9月1日施行）•《关键信息基础设施安全保护条例》（国务院令第745号）•《电力监控系统安全防护规定》（国家发展和改革委员会令第14号）•《信息安全技术网络安全等级保护基本要求》GB/T22239-2019（其中关于工业控制系统的扩展要求部分）•《电力监控系统安全防护总体方案》（国家能源局36号文附件）•本单位电力监控系统安全防护评估报告（最近一次评估，文号以正式报告为准）1.2适用范围本方案适用于本单位所属调度自动化系统、变电站监控系统、发电厂监控系统及配套的横向通信系统（含远程运维通道）。整改覆盖以下资产边界：•生产控制大区（安全区I、安全区II）全部主机、网络设备、应用系统•管理信息大区（安全区III）中与生产控制大区存在数据交互的系统•横向隔离装置、纵向加密认证装置、安全接入区等边界防护设备•远程运维接入链路及运维终端不在本方案范围内的资产（如纯办公终端）另行由信息部门按等保要求整改，不与工控整改混做，避免责任交叉。1.3现状与问题定位根据最近一次安全防护评估（评估结论以正式报告为准），本单位工控系统存在以下四类主要问题，本方案的整改内容即逐项对应：1.边界防护类：横向隔离装置存在旁路隐患；部分纵向通信未部署加密认证装置，明文传输遥测遥控报文。2.主机防护类：安全区I内约30%（估算比例，以资产台账核实值为准）的Windows主机未完成加固，存在已停服的操作系统版本，USB接口未做物理或策略封堵。3.运维管理类：远程运维通道使用账号共用、口令长期未更换；运维操作无审计留痕。4.管理制度类：安全防护职责未落实到岗；应急预案两年未演练；备份策略未覆盖实时数据库。二、整改组织与职责2.1整改领导小组成立工控安全整改领导小组，负责方案审批、资源协调与验收决策：•组长：分管生产/安全的副总，负责整改方案审批、跨部门资源协调、重大风险事项决策；每两周主持1次整改例会。•副组长：自动化（信息）部门负责人，负责技术方案把关、进度督办、与上级监管单位的对接汇报。•成员：调度部门、各变电站（电厂）运行部门、安全监察部门、物资采购部门负责人。例会产出：会议纪要在会后24小时内下发，纪要中每条决议标注责任人与完成期限，下次例会首项议程即核销上期决议。逾期未完成的由副组长书面说明原因并报组长。2.2执行工作组设三个工作组，责任到人（人员名单见附件1）：工作组组长岗位核心职责验收产出物技术整改组自动化部门技术主管边界设备、主机加固、网络改造的实施与测试施工记录、测试报告、设备配置备份运维管理组运行部门副主任账号清理、运维流程再造、备份策略落地账号台账、运维SOP、备份验证记录监督验收组安全监察部门主管全程旁站监督、阶段验收、资料归档验收检查表、整改闭环台账2.3工作纪律•整改涉及运行中系统的操作，必须履行检修申请票/操作票流程，严禁在未履行审批手续的情况下直接对运行系统做配置变更——历史上多起调度系统瘫痪事故源于运维人员“顺手改配置”导致主备切换失败。•所有配置变更前必须完成设备配置备份，备份文件命名规则为「设备编号日期变更原因」，保存期限不少于1年。三、技术整改措施3.1边界防护整改边界防护是工控安全的物理屏障，其失效意味着内网直接暴露，因此本节措施全部为「必须」级。3.1.1横向隔离整改为什么：安全区I/II与安全区III之间必须部署电力专用横向单向安全隔离装置，数据只能单向流出的依据是《电力监控系统安全防护规定》第十一条。隔离装置旁路（如双网卡主机同时跨接两个大区）会使隔离形同虚设。怎么做：1.全面排查横向隔离装置部署情况，重点核查是否存在跨大区的双网卡主机。排查方法：以资产台账逐台比对网卡IP配置，发现跨区主机在3个工作日内拆除跨区网卡或将其归入安全接入区管理。2.核查隔离装置的规则配置，仅放行业务必需的固定端口与IP对；对规则表中的「any-any」类宽泛规则在整改期内全部改为白名单条目。3.隔离装置固件版本核对厂商安全通告，存在已知漏洞且厂商已发布补丁的，在最近一次停役检修窗口内完成升级。异常处置：若隔离装置故障导致区III数据无法上传管理大区，按业务影响分级处置——影响生产实时监视的，2小时内启动备用数据通道（如有）并上报调度；不影响生产的，48小时内修复。严禁为恢复数据上传而临时打通跨大区直连通道。3.1.2纵向加密认证整改为什么：调度数据网承载遥信、遥测、遥控报文，明文传输时攻击者可在任意中间节点注入伪造遥控指令，直接威胁电网设备安全。怎么做：1.逐条梳理纵向通道清单（调度自动化通道、保护信息通道、电能量通道），建立通道台账，标注每条通道是否已部署纵向加密认证装置。2.未部署的通道，按「与调度端联调优先、通道重要性排序」原则在整改期内分批完成部署：先完成与上级调度通信的通道，再完成厂站间通道。每条通道上线前必须与对端完成加密联调测试并留存联调记录。3.加密装置的证书管理：证书到期前60天由运维管理组发起换证流程；严禁使用自签发、过期或转借的证书。3.2主机加固整改主机是攻击落地的最终目标，也是历史漏洞最集中的环节。加固按以下顺序执行，每台主机形成一份加固记录：1.操作系统与补丁：安全区I内Windows主机中，已停止安全更新的版本（如WindowsXP、WindowsServer2003）必须完成替换或升级；确因上位软件兼容性无法升级的，将该主机迁入安全接入区并实施网络层隔离，替代方案为部署白名单式工控主机卫士软件。2.最小化服务：关闭与业务无关的服务和端口，卸载办公软件、浏览器等非业务软件。验收判据：加固后主机开放端口清单与业务端口基线表逐项一致，多余端口为0。3.USB封堵：优先采用策略封堵（注册表或主机卫士软件禁用USB存储类设备）；对无策略能力的老旧系统，采用物理封堵（胶封+封条编号管理），封条编号登记在主机台账中，每次检修开启封条需经自动化部门负责人书面批准。4.杀毒与白名单：安全区I主机优先部署工控专用白名单防护软件；不具备条件的，使用经批准的离线更新版杀毒软件，病毒库每周离线更新1次，更新介质经过杀毒检查后方可接入。3.3网络与审计整改1.网络分区分域：核查交换机VLAN划分与安全分区一致性，禁止安全区I与安全区III通过交换机级联方式连通。2.部署工控审计装置：在安全区I核心交换机旁路部署工控安全审计装置，监测异常报文（非授权IP访问、非法遥控指令、异常流量）。审计装置告警推送至自动化值班人员，工作日告警30分钟内初步研判，夜间告警次日9:00前研判完毕；判定为高危告警的按第七章应急流程处置。3.日志集中留存：交换机、隔离装置、加密装置、主机的日志统一转发至日志服务器，留存时间不少于6个月（满足《网络安全法》第二十一条要求），每月由运维管理组抽验日志完整性。四、运维管理整改管理漏洞是技术措施失效的主要根因——账号共用、无审计的运维通道，是外部渗透进入工控网的最常见路径。4.1账号与口令整改1.开通期15个工作日内完成全量账号清查：注销离职、转岗人员账号；消除共用账号，做到一人一账号；管理员账号使用独立命名（禁止使用admin、root等通用名直接对外暴露）。2.口令策略：长度不少于12位，包含大小写字母、数字、特殊字符中的三类；每90天更换；连续5次错误锁定30分钟。设备不支持复杂口令策略的，改用「固定强口令+管理口令纸质密封保管（双人双锁）」替代方案。3.远程运维整改：远程运维通道必须经VPN双因素认证接入；运维会话全程录屏留存，保存期不少于6个月。严禁通过微信、邮箱传输运维账号口令；替代方案为使用口令管理系统或密封纸介质。4.2备份与恢复1.备份范围：组态文件、实时/历史数据库、设备配置、账号配置。备份周期：组态与配置在每次变更后24小时内备份1次，数据库每日1次增量、每月1次全量。2.备份介质：优先使用专用备份服务器；无条件的，使用经登记编号的加密移动硬盘，存放于与主机不同的物理位置。严禁将备份文件存放于跨大区共享目录。3.恢复验证：每季度抽取1份备份做恢复演练，验证「备得全、恢复得回来」，演练记录由运维管理组归档。未通过恢复验证的备份视同无效备份，重新制作。五、整改实施计划整改按四个阶段推进，总工期6个月，关键节点如下：阶段时间主要工作里程碑验收标准摸底与方案细化第1个月资产台账复核、通道清单建立、方案评审通过台账与现场100%一致；方案经领导小组批准边界与主机整改第2~4个月横向/纵向设备整改、主机加固、账号清理边界设备覆盖率100%；加固主机占比达到方案目标；无跨区双网卡主机管理整改与演练第5个月SOP发布、备份演练、应急演练完成SOP发布且全员培训签到率100%；应急演练完成并有评估报告验收与总结第6个月阶段验收、整改闭环台账核销、向上级汇报验收检查表问题项清零或列入带条件验收并明确期限进度滞后处理：单项工作滞后计划2周以上的，工作组组长在例会上说明原因与追赶计划；累计滞后1个月以上的，由领导小组决定是否调整方案或追加资源。六、风险分析与控制风险控制的关键在于阻断演化路径，而不是罗列风险名词。以下按「起因→传播→触发→后果」路径分析三类主要风险：6.1远程运维通道被利用演化路径：运维口令泄露或暴力破解成功→攻击者通过远程通道进入安全区III→若隔离措施不严窜入安全区I→获取主机权限后注入伪造遥控指令→造成开关误动、设备损坏或停电事故。阻断点与本方案对应措施：1.通道入口：VPN双因素认证（第四章4.1条）阻断口令单因素破解。2.传播途径：横向隔离白名单阻断区III至区I的横向窜越（第三章3.1.1条）。3.落地环节：主机白名单软件阻断未知程序执行（第三章3.2条）。4.事后追溯：运维录屏+日志集中留存提供取证能力（第三章3.3条）。6.2移动介质带毒演化路径：运维人员将感染病毒（含工控病毒家族）的U盘接入安全区I主机→病毒利用主机漏洞横向传播至操作员站、工程师站→篡改组态或加密文件勒索→监控系统瘫痪，被迫停机。阻断点：USB策略/物理封堵（第三章3.2条第3项）；确需接入的介质必须先在专用查毒终端杀毒并登记；严禁将来历不明的U盘直接接入任何安全区I主机——历史上工控病毒事件多数通过移动介质进入物理隔离网络。6.3整改过程自身引入风险整改操作本身可能导致运行系统异常，控制措施：1.涉及运行系统的整改作业一律安排在计划检修窗口执行，作业前3天提交作业方案，经自动化部门技术主管审核、运行部门会签。2.每项变更前完成配置备份，变更后做功能验证（如遥控传动试验），验证通过方可销票。3.变更后72小时为重点观察期，值班人员重点监视该设备告警；发现异常按「先恢复备份配置、再排查原因」原则回退。七、应急预案7.1分级标准与启动权限等级判定标准启动权限处置原则Ⅲ级（一般）单台非关键主机异常告警，未影响监控功能，横向无扩散迹象自动化值班人员值班人员隔离异常主机，1小时内完成初步排查，24小时内出具排查报告Ⅱ级（较大）关键主机（操作员站/工程师站/服务器）感染或被控，或横向有扩散迹象，部分监控功能受影响自动化部门负责人启动工作组响应：断网隔离受影响主机，启用备用站/备用通道维持监控，4小时内完成影响范围研判Ⅰ级（重大）遥控指令被伪造或误动风险现实存在，或主备系统同时瘫痪，或攻击已造成一次设备异常领导小组组长全员应急响应：必要时将系统切换至人工值班模式，同时向上级调度和监管部门报告7.2分场景处置要点场景一：疑似病毒感染。立即将主机断网（拔网线，而非仅禁用网卡——恶意程序可能重新启用网卡）；使用只读方式取证关键日志与可疑文件；用验证过的杀毒介质查杀；查杀无效则按最近有效备份重装系统，重装后组态数据从备份恢复并做完整性核对。场景二：怀疑遥控指令异常。值班人员发现无法解释的开关变位或遥控预置告警时，必须在确认操作来源前暂停一切遥控操作（可通过断开遥控出口压板实现），同时电话请示调度；情况紧急且可能危及设备安全的，按现场规程先执行安全隔离，后报告。严禁在怀疑指令异常的情况下继续执行遥控。场景三：主站瘫痪。切换至备用主站或本地监控模式维持基本监视与操作；切换操作按事故处置卡执行（处置卡在现场规程中编列）；恢复期间人工记录关键遥测数据，防止失监视时段数据断档。7.3演练要求•应急演练每年不少于1次，场景在「病毒感染」「主站瘫痪」两类中轮换。•演练结束后5个工作日内完成演练评估报告，列出发现的问题并明确整改责任人与期限，问题纳入整改闭环台账管理。八、验收与长效机制8.1验收方式阶段验收由监督验收组组织，采取「资料核查+现场抽测」双轨：1.资料核查：核对加固记录、联调记录、账号台账、备份验证记录与整改清单的对应关系，覆盖率要求100%。2.现场抽测：每类设备抽取不低于20%进行实测，包括端口扫描比对基线、隔离装置规则核对、USB接入测试、备份恢复实测。抽测不合格的，该类设备全量复测。8.2长效机制1.月度巡检：自动化人员每月按《工控安全