电厂网络安全实施方案{集合5篇}

本文共计11112个文字，预计阅读时间需要45分钟。

电厂网络安全实施方案范文第1篇

近年来，电力企业不断发展，特别是水电企业，改变了以往一直以来封闭式的网络结构和业务系统，利用信息网络逐渐跟外界接口联系，许多企业都建立了自己的网络系统，如企业门户、办公自动化系统、财务系统、营销系统、生产管理系统等，极大提高了办公效率，实现数据实时传输及共享。信息化的发展、网络的普及，使办公地点不紧紧局限于办公室，远程移动办公成为了可能，办公效率也大大提高，突破了时间及空间的限制，但信息化高速发展的同时也给我们带来了严重的网络安全问题。对此国家也非常关注，特意成立中央网络安全和信息化领导小组，再次体现出过对保障网络安全、维护国家利益、推动信息化发展的决心。由此可见，网络安全已经到了不可小视，必须深入探讨研究的地步。

2广蓄电厂信息网络安全建设

2.1网络安全区域划分

划分安全区域是构建企业信息网络安全的基础，提高抗击风险能力，提高可靠性和可维护性。广蓄电厂内网划分为网络核心区、外联接入区、IDC业务区、终端接入区。网络核心区域是整个电厂信息网络安全的核心，它主要负责全网信息数据的传输及交换、不同区域的边界防护。这个区域一般包括核心交换机、核心路由器、防火墙及安全防护设备等。IDC业务区主要是各业务应用服务器设备所在区域，如企业门户、OA系统、生产管理系统等各信息系统服务器。终端接入区即为终端设备（如：台式机、笔记本电脑、打印机等）连入内网区域。

2.2二次安防体系建设

根据国家电监管委员会令第5号《电力二次系统安全防护规定》、34号《关于印发<电力二次系统安全防护总体方案>》的相关要求，电厂坚持按照二次安全防护体系原则建设：

（1）安全分区：根据安全等级的划分，将广蓄电厂网络划分为生产控制大区和管理信息大区，其中生产控制大区又划分为实时控制Ⅰ区和非实时控制Ⅱ区。

（2）网络专用：电力调度数据网在专用通道上使用独立的网络设备组网，采用SDH/PDH不同通道等方式跟调度、各电厂的生产业务相连接，在物理层面上与其他数据网及外部公共信息网安全隔离。对电厂的IP地址进行调整和统一互联网出口，将生活区网络和办公网络分离，加强对网络的统一管理和监控。

（3）横向隔离：在生产控制大区与管理信息大区之间部署经国家指定部门检测认证的电力专用正反向安全隔离装置。正向安全隔离装置采用非网络方式的单向数据传输，反向安全隔离装置接收管理信息大区发向生产控制大区的数据，采用签名认证、内容过滤等检查处理，提高系统安全防护能力。

（4）纵向认证：广蓄电厂生产控制大区与调度数据网的纵向连接进行了安全防护硬件的部署，包括纵向加密装置、纵向防火墙等，并配置了相应的安全策略，禁用了高风险的网络服务，实现双向身份认证、数据加密和访问控制。

2.3安全防护措施

（1）防火墙

在外联接入区域同内网网络之间设置了防火墙设备，并对防火墙制定了安全策略，对一些不安全的端口和协议进行限制。通过防火墙过滤进出网络的数据，对内网的访问行为进行控制和阻断，禁止外部用户进入内网网络，访问内部机器，使所有的服务器、工作站及网络设备都在防火墙的保护下。

（2）口令加密和访问控制

电厂对所有用户终端采用准入控制技术，每个用户都以实名注册，需通过部门账号申请获得IP地址才能上局域网，并通过PKI系统对用户访问企业门户、OA系统等业务系统进行访问控制管理。在核心交换机中对重要业务部门划分单独的虚拟子网（VLAN），并使其在局域网内隔离，限制其他VLAN成员访问，确保信息的保密安全。对电厂内部的网络设备交换机、防火墙等，采用专机专用配置，并赋予用户一定的访问存取权限、口令等安全保密措施，建立严格的网络安全日志和审查系统，定时对其进行审查分析，及时发现和解决网络中发生的安全事故，有效地保护网络安全。

（3）上网行为管理

上网行为管理设备直接串行部署在内网边界区域，并制定了精细化的活动审计策略、应用软件监控管理策略，监控及记录用户非法操作信息，实时掌握互联网使用情况，防患于未然，通过上网行为管理设备进行互联网网关控制。

（4）防病毒系统

在电厂的局域网内部署了Symantec防病毒系统。Symantec系统具有跨平台的技术及强大功能，系统中心是中央管理控制台。通过该管理控制台集中管理运行SymantecAntiVirus企业版的服务器和客户端；可以启动和调度扫描，以及设置实时防护，从而建立并实施病毒防护策略，管理病毒定义文件的更新，控制活动病毒，管理计算机组的病毒防护、查看扫描、病毒检测和事件历史记录等功能。

（5）建立虚拟专网（VPN）系统

为保证网络的安全，实现移动办公，在核心网络边界区域部署了1台VPN设备，并设置访问条件和身份认证授权策略，如通过PKI系统进行身份认证和访问授权后才能访问电厂企业门户系统、OA系统等。使用虚拟专网（VPN）系统，不仅满足了电厂用户远程办公需求，而且保证了电厂信息网络及信息系统数据安全传输。

3信息网络安全管理策略

俗话说：“三分技术，七分管理”，这在信息网络安全管理方面也是适用的。事实上95%以上的计算机、网络受到的攻击事件和病毒侵害都是由于管理不善造成的。广州蓄能水电厂作为国内一流的水力发电厂，头顶上始终悬着一把信息网络安全的达摩克利斯之剑。在推进信息化道路上，借鉴国内外企业对信息网络安全管理的经验，形成属于自身发展的网络安全管理策略。（1）建立完善的网络信息安全管理制度。在信息网络安全方面电厂成立专门的信息化安全小组，制定完善的信息安全规章制度，规范整个电厂对网络及信息系统的使用。（2）建立完备的网络与信息安全应急预案。电厂建立了一套应急预案体系，目的就是在发生紧急情况时，指导电厂的值班人员对突发事件及时响应并解决问题。（3）定期进行安全风险评估及加固。电厂每年进行安全风险评估分析，及时了解和掌握整个网络的安全现状，通过安全加固使得网络安全系统更加健全。

4结束语

电厂网络安全实施方案范文第2篇

关键词 双网；物理隔离；一线两联

中图分类号TP39 文献标识码A 文章编号 1674-6708（2012）81-0227-02

0 引言

宁夏马莲台发电厂上外网用户安全意识淡薄，随便乱点网站、下载安装，用户漏洞补丁未升级、杀毒软件未及时更新。造成局域网络ARP欺骗、网络木马攻击、网段之间不能访问连通，严重威胁企业的网络安全。按照国家信息网络等级保护相关要求，企业内外网要实现物理隔离的保护措施。所谓物理隔离，是指内部网不得直接或间接地连接公共网即国际互联网。目前可以利用防火墙、服务器、入侵监测等技术手段来抵御来自互联网的非法入侵，但至今这些技术手段都还存在许多漏洞，还不能彻底保证内网信息的绝对安全，只有使内部网和公共网实现物理隔离，才能真正使内部信息网络不受来自互联网的黑客攻击。此外，物理隔离也为企业内部网划定了明确的安全边界，使得网络的可控性增强，便于内部管理和维护。

1 某企业通信网络现状

宁夏马莲台发电厂通信网络均采用主干道冗余光纤、超五类双绞线连接到用户终端。随着内外网物理隔离需求，电厂规模的不断扩大，通信需求迅速增加，以及MIS、SIS两大系统的融合扩充，使得原有单根网线的通信网络不能满足用户需求，无法承担更加丰富强大的网络运行，对宁夏马莲台发电厂现有通讯网络实施改造刻不容缓。

2 物理隔离工作实施

我们积极开拓思路，研究可行办法，利用通信网络自身特点，本着不影响原有网络可靠

性和实用性的前提下，为了有效扩充网络通信容量，更好、更有效、安全的实现内外网络的隔离，保障我厂网络通信可靠运行。同时为节约经济成本、保持办公室内外美观整洁。通过对现有网络充分的调查分析，结合通信网络的自身特点，设计几套方案并从中选择了最优方案，实行内外网物理改造工作。其目的达到与我厂内部局域网和Internet分离。

2.1内外网分离

外网网络：购置新外网核心和二级交换机，利用原有备用光纤通道，组建与互联网相连接的外网网络。外网用户通过外网网线连接，通过统一接口访问互联网。

内部局域网：延用以前局域网服务器和数据库，配置进行其改动，与外网实现物理上的隔离。内网用户通过内网线路访问内网信息服务。

2.2 采用原有网线、电话线

在建厂之初，所有生产办公楼的通信、网络线路，都根据设计要求进行了线路布放，布放的通信、网络线路，均采用超五类网线，但没有冗余。在每个信息面板上，均设计了电话接口和网络接口各一个。

如图所示：

注：每个面板的左边是电话接口，右边是网络接口

如图所示：

超五类网线通信特性

原有的网络通信构成，使得每个面板只能接一部电话和一种网络（通过ip地址限制），这样的结构和布局给电厂内网、外网隔离工作造成影响。按照对内外网物理隔离的标准要求，将要进行重新布线工作，为每个电脑终端重新布放连接内网的网线，这样将给内外网隔离工作带来很大的难度。同时，由于楼宇建设及线路铺设都已经完成，重新布线工程非常浩大，严重影响楼内设施美观，并且也将花费高昂的工程费用。

我们根据超五类网线自身通信特点采用“一线两联，实现内外分离”的改造方法。即减少工作量、降低改造成本又达到了内外网分离的改造目的。

目前超五类网线内部含有8芯铜芯线，在网络通信中，通常采用其中的4芯作为主要信号传输线缆，其余4芯作为信号干扰屏蔽及辅助传导，在正常通信中，并没有真正的信号传输。正是利用网络通信的这个辅助特点，我们设计将现有铺设的两根超五类网线（一根做语音电话通信，一根做网络通信），进行区分隔离，利用其中一根的4芯线缆作为内网网络通信的传输介质，另外4芯作为语音通信使用，形成语音电话、内网、外网的隔离。这样的设计大大降低了因重新铺设网络所花费各种费用及精简了工程作业，同时非常完美的满足了我们在网络隔离上的物理区分要求。

如图：

分离电话侧线路

2.3 用户终端实现双硬盘隔离

所需的软硬件：双硬盘、数据线、隔离卡、 隔离卡软件。（终端设置在睡眠状态下）

数据线通过主板连接到隔离卡，隔离卡再连接到内外网硬盘，每个硬盘独立系统。分别在两个系统安装隔离卡软件，进行内外网实时或重启切换。

3内外网物理隔离改造后经济效益

避免了因为重新布线而导致施工工程扩大、花费增加、劳动成本上升的问题，并且有效的确保了办公楼内的设施完好及美观整洁，为我厂有效节约了经济成本和劳动成本，大幅提高了工作效率，为企业网络双网改造提供了很好的案例。

4 结论

宁夏马莲台发电厂自2011年初实施内外网物理隔离以来，局域网各网段之间均未出现以前不能连接及访问现象，网速也随之相应加快。再加上宁夏马莲台发电厂去年下半年对外网进行提速措施，一致得到领导职工好评，我们信息室工作量随之减少了。我们信息室将继续一如既往为我厂生产和经营服务，加强通讯网络设备维护，保证通讯网络畅通，提高信息网络的安全。

参考文献

[1]万平国.网络隔离与网闸.计算机安全，2004.

电厂网络安全实施方案范文第3篇

关键词：李家峡水电站 计算机监控系统 改造

1、计算机监控系统改造的背景

李家峡水电站计算机监控系统于1996年正式投运，受当时国际上计算机发展水平的限制，现有工作站的配置，无论是主频、内存，还是硬盘容量等各方面指标，都与现代水电厂对计算机监控系统所要求的高速度、大容量、智能化的标准不相符，且无法完全满足电网调度部门及上级集控部门对电站实现“四遥”功能及集控功能的要求；电站于2008年立项，开始对监控系统进行系统升级改造，2010年11月完成改造并通过初步验收。

2、改造后的系统结构

2.1 总体结构

改造后系统应采用全分布开放式结构，共分为两层：厂站主控层以及现地控制单元层。两层之间采用双100MB快速以太网总线，构成高可靠冗余的网络结构。网络通讯采用高可靠的网络交换机进行连接，具有较高的传输速率和良好的抗电磁干扰能力。

2.2 网络结构

网络设备包括交换机、光纤、光纤收发器等。LAN网为100Mbps以太网系统，采用光纤作为通信介质，数据交换设备采用快速以太网交换机，计算机监控系统所有设备都连接到LAN网上。

3、系统及操作功能

3.1 系统层次

3.1.1 系统层次

厂站层系统设备包括：数据服务器、操作员工作站、工程师工作站、通讯服务器、打印服务器、语音报警/ON-CALL系统工作站等设备。

3.1.2系统控制调节方式

李家峡水电站计算机监控系统调控方式包括厂站调控方式/集控中心调控方式/西北网调控方式。

电站控制方式设有“电站AGC控制/一次调频控制/集控中心控制/西北网调控制”功能投退软开关，每台机组设有“单机AGC方式（单机成组）/单机一次调频/单机集控/单机网控”软切换开关。

3.2厂站层功能

（1）数据采集和处理功能：包括各种实时数据采集处理、数据综合处理和测点数值及状态的人工设定等功能；（2）安全监视及事件报警功能：包括全厂运行实时监视、参数越复限报警记录、事故顺序记录、故障及状态显示记录、事故追忆、趋势记录分析等功能；（3）电厂运行指导功能：包括控制操作过程监视、电站一次设备操作指导、厂用电系统操作指导、事故和故障处理指导、报警等功能；（4）监控系统异常监视功能；（5）对电站主辅设备的控制与调节功能；（6）自动发电控制（AGC）；（7）自动电压控制（AVC）；（8）输电线路功率监视与限制功能；（9）统计记录及生产管理功能：包括发电运行记录、主要电气设备动作及运行记录、操作记录、定值变更记录、事故和故障统计记录、参数越复限统计记录、运行日志及统计报表打印等功能；（10）系统通信功能：包括监控系统内部计算机之间的数据通信、电站与上级调度部门的通信、监控系统与其它计算机系统的通信等功能；（11）自诊断及冗余切换功能；（12）软件开发及维护功能；（13）数据库功能：数据库包括：实时数据库、计算数据路、图形数据库、报表数据库、历史数据库、统计数据库、汉字库、图形符号库等，并支持快速存取和实时处理、支持数据库建立及在/离线修改等功能；（14）远程诊断与维护功能；（15）培训功能：包括操作训练；监控系统开发、维护、管理培训、控制调节的离线调试等功能；（16）人机联系：包括人机联系功能、屏幕划分、画面调用方式、画面与信息显示、信息的表达方式、点参数表等；（17）模拟光字牌、事故画面拷贝记录等功能；（18）系统运行方式与系统控制权设计；（19）经济运行；（20）系统时钟管理；（21）系统权限管理；（22）支持监控Web浏览功能，支持远程实时画面浏览。配置Web服务器，通过物理隔离装置，与系统局域网进行网络互连、访问数据。

3.3 现地控制单元层（LCU）

每台LCU均是一套完整的计算机控制系统。与系统联网时，作为监控系统的一部分，实现系统指定的功能。而当LCU与系统脱离时，则能独立运行，实现LCU的现地监控功能，并确保被控设备的安全稳定运行。

（1）机组现地控制单元功能

机组现地/远方控制方式的切换操作；机组开机顺序控制； 机组停机顺序控制；机组事故停机及紧急停机控制；机组辅助设备的控制；发电机出口断路器的分/合操作；机组有功功率调节；机组无功功率/电压调节；各种整定值和限值的设定；机组的自动/手动准同期并网操作；机组进水口闸门控制。

（2）开关站现地控制功能

开关站现地/远方控制方式的切换操作；开关站各断路器的分/合操作；开关站各隔离开关的分/合操作；开关站各接地开关的分/合操作；开关站各断路器的自动准同期合闸操作。

（3）厂用及公用系统现地控制单元具备的具体功能

厂用及公用系统LCU的现地/远方控制方式的切换操作；厂用电各电压等级系统各断路器的分/合操作；厂用电各种运行方式的确定及备用电源自动投入。

4、系统改造工程实施

系统改造工程分为两期工程，第一期工程改造设备包括：全厂上位机系统、公用及厂用电LCU、开关站LCU、线路测量盘、母线及主变测量盘、6KV厂用测量盘、6KV远程I/O盘及坝上6KV备自投盘等。第二期工程改造设备包括：四台机组LCU现地控制盘、330KV PT切换盘等。该工程施工工期为2008年6月10日至2010年11月05日，工程按期完工。

5、成功经验的推广

电厂网络安全实施方案范文第4篇

2010 年 10 月份， “超级工厂” 网络病毒在包括我国在内的多个国家肆虐，超过 45000 个工厂网络被“超级工厂”病毒感染。以伊朗为例，超过 60% 的电脑受到干扰，造成了极大的经济损失和信息危机。与传统的 “蠕虫”和 “木马”网络病毒不同，“超级工厂”病毒攻击的不仅仅是抽象的 IT 系统，它不以搜集个人信息为目的，其目标就是真正的工厂，通过对 PLC 重新编程，隐藏程序员和用户的参数设置和命令，从而达到袭击工厂关键设备和生产环节的目的。“超级工厂”病毒的出现使人们对于工厂的网络安全有了新的认识: 网络病毒不再只是导致计算机操作系统异常那么简单，而是实实在在地威胁到了工厂的控制系统内部实质。造纸厂集散控制系统 ( DCS) 系统［1］的核心架构离不开网络体系: 主控制器和分布式 IO 站点之间通过现场总线进行数据读写和诊断; 服务器通过系统总线与主控制器通信; 各种操作站，包括 web 服务器等，通过终端总线从服务器上获取数据。工厂规模越大、自动化程度越高，DCS 系统的网络规模也就会越大，复杂程度也会越高。如果还存在 MES/ERP 系统，那么整个 DCS 网络还和办公室网络、甚至 Inter-net ( 因特网) 直接链接。此外，如何还需要和成套设备的控制系统通信，DCS 系统还需要开放 OPC 等通信方式，甚至在某些特性情况下，主控制器都可能被第三方子系统访问。由于系统配置的缺陷，操作员日志缺失或者不完善，导致各种匿名访问和操作变得不可追溯。管理上的疏忽，导致未经许可的个人电脑、移动存储设备、Internet 连接接口等轻易接入到生产网络中的交换机设备上，导致各种病毒、木马程序泛滥，严重者将直接导致整个 DCS 系统崩溃。随着系统的自动化程度不断提高［2-3］，由于安全配置和系统的缺失、管理制度上的不重视都将会使整个 DCS 系统置于一个危险的境地。本文以西门子PCS7 的典型配置为例，探求相关的网络安全解决方案。

2造纸厂典型 DCS 网络系统结构

2.1系统结构

在浙江宁波某造纸厂的 PCS7 系统中，采用的是典型网络架构，如图 1 所示。从图 1 可看出，造纸车间子网 ( 图 1 左侧) 和制浆车间子网 ( 图 1 右侧) 是两个相对独立的控制网络，每个网络中有独立的冗余服务器，各自的系统总线 ( 服务器和控制器之间的总线) 也是完全隔离的。两个车间都分别配置了一个工程师站，负责各自的程序管理和故障诊断。在终端总线 ( 服务器和客户端操作站之间的总线) 上，各个车间的操作站都是对应其所在车间的服务器，从服务器上获得画面和数据。但这两个车间的终端总线是连接在一起的。由于存在远程操作的需求，项目中配置了一个 Web 服务器，同时从两个车间的服务器上获取数据并到网络上。通过 Inter-net 的网络用户使用 IE 浏览器和相应的插件即可和本地操作站一样打开控制画面，如果权限分配合适，还可以进行相应的操作。为了使用的方便性，在工厂的办公室网络中还存在几台临时性的操作站。如有需要可以接入到系统总线上查看 CPU 的实时运行数据，也可以直接接在终端总线上和服务器、客户端操作站进行通信。在这个典型的网络配置中，外部 Internet、内部办公室网络都可以和控制系统网络进行数据交换。同样地，各种病毒、木马软件等也完全可以威胁到控制网络。所以，有针对性地分析不同网络的安全特点，就可以更好地采取相应的处理措施。

2.2控制网络的安全分析

在典型的 PCS7 网络体系中，控制网络主要由系统总线和终端总线两部分组成。系统总线中的通信设备包括工程师站、OS 服务器和控制器，它们之间的通信内容主要包括如下几个方面:( 1) OS 服务器和控制器之间这部分的通信主要是周期性数据请求和应答，画面上 WinCC 变量的更新和归档变量的读取属于这种通信方式，此外还存在少量的控制器上传报警信息、资产管理系统读取仪表的诊断信息等非周期性内容。( 2) 控制器和控制器之间一般控制器之间是不会有数据交换的，如果组态了通信，那都是基于链接的，数据量不大，而且都是周期性的。( 3) 工程师站和控制器之间在偶尔硬件诊断、程序更新时工程师站会和控制器进行数据交换，在正常运行时，这部分通信很少，而且和 DCS 系统正常运行无关。上述的 3 种通信中，共同的特点就是数据量相对较少，而且内容基本都是监控、诊断相关的数据。也就是说，控制网络的主要功用是承担监控层面———例如服务器等———和控制器本身的通信桥梁。所以，可靠性是这个网络最主要的安全配置目标。确保控制网络可靠，就可以让 DCS 系统控制层面一直处于安全可控的状态，避免设备损毁、人员伤亡等恶性事件发生。

2.3办公室网络的安全分析

与控制网络不同，办公室网络节点之间的通信呈现出的特点是数据量大、非周期性。各种私有数据、DCS分析数据等是这个网络的主要数据内容。另一方面，办公室网络都会直接和 Internet 相连，面临的外部攻击、病毒感染更为复杂。如何确保办公室网络中的信息安全是安全配置的重点。

2.4外部 Internet 的安全分析

外部 Internet 是一个完全开放的网络，各种通信形式都存在，对于 DCS 系统而言，完全处于不可控的状态。面对这个情况，限制外部访问是最常见的处理措施。例如以 Web 服务器而言，外部的 Web 客户端都是通过 HTTP 协议来访问 Web 站点的，所以在 Web服务器上只需要开放 HTTP 的 80 端口即可。综上所述，DCS 系统中牵涉到的不同网络有各自不同特点和安全配置重点，如何平衡各个网络的安全防御措施，以及如何优化系统安全架构是讨论的核心内容。

3网络安全措施分析

3.1安全管理体系

全厂 DCS 系统的网络安全，各种配置和相应的安全设备是必需的，但其核心内容是一套行之有效的安全管理体系。据国外统计，导致 DCS 系统崩溃的原因之中，硬件故障排在首位，而由于安全原因导致的崩溃也占了近三成。这些因为安全原因导致 DCS 系统不可用的实例在我国也很常见，如使用感染有病毒的 U 盘、安装来历不明的软件、未经许可地将个人电脑接入控制系统网络等是最为常见的威胁来源。为了控制和避免这方面的安全隐患，采取相应的技术手段是必要的。例如禁用计算机的 USB 接口，网络交换机柜上锁，计算机用户权限限制等。但这是远远不够的，所有的技术方案如果没有相应管理上的流程来保障，在面对威胁时同样形同虚设。国内有一石化公司，投入巨资建立了全厂的安全系统，但没有具体的管理体系。在一次技术升级过程中，第三方光纤供应商直接使用自己的笔记本电脑接入到了控制网络来测试光纤是否工作正常，结果导致服务器感染病毒死机，造成了巨大的损失。如果该工厂有相应的管理流程，让光纤供应商的笔记本电脑在接入网络之前要进行相关的检测，或者在升级过程中采用将可能的危险区域从这个控制网络中隔离出来等措施，就会避免网络病毒的感染。所以，在 DCS 网络安全系统建立过程中，首先需要建立的就是自上而下的安全管理规章流程和相应的应急处理预案。只有这样，后续的安全解决方案才能有制度上的保障。

3.2病毒防护和软件管理

对于 PCS 7 系统而言，兼容的反病毒软件有 3 种:Trend Micro OfficeScan、McAfee 和 Symantec。只有兼容的杀毒软件才能在 DCS 系统中使用，其他的杀毒软件，例如瑞星等可能会将正常的软件程序删除。防病毒软件需要及时更新病毒库。更新病毒库有单机方式和病毒服务器方式这两种方式。( 1) 单机方式从反病毒软件网站上获取相应的离线病毒库升级包，然后临时开放各个计算机的 USB 接口，将升级包拷贝到计算机上安装，或者通过网络分发到各个计算机上，然后执行升级。这个方式操作起来较为繁琐，而且安全上的风险较大。但相对成本和技术难度而言都比较有优势。( 2) 病毒服务器在 DCS 系统中配置 1 台病毒服务器，该服务器连接到 Internet，并从指定的病毒库升级网站上下载更新包。根据配置，对网络中各个反病毒软件客户端进行自动升级。这种方式需要配合防火墙使用，技术难度稍大，但病毒库升级都是自动执行，无需人为干预。与反病毒软件一样，计算机操作系统和其他相关软件也需要保持更新。在 PCS 7 中，操作系统的 Se-curity Package 和 Critical Package 是可用的，所以也可以采用单机或者升级服务器的方式来安装这些更新包。通过微软的 WSUS ( Windows Server Update Serv-ices) 软件可以在系统中搭建一个升级服务。

3.3防火墙配置

在宁波某造纸厂的网络配置中，Web 服务器是需要与 Internet 连接的。如果再配置了 WSUS 和病毒服务器，那么整个系统中至少存在 3 个通往外部的接口。再考虑到办公室网络，面向 Internet 的将是一个规模不小的 LAN。将整个工厂网络和 Internet 隔离是一个不错的选择，即将包括 Web 服务器和办公室网络在内的所有DCS 系统相关网络都通过防火墙与 Internet 断开。分析 Web 服务器和病毒服务器，其对 Internet 的访问进程是明确的，开放端口也是确定的，所以采用端口限制的防火墙规则可以起到一定的防御作用，但面对诸如 “端口复用”技术手段来实现的病毒突破则是无能为力的。同样的情况也出现在办公室网络中，不明确的访问需求和端口导致这种限制端口的手段更是无从谈起。更为严重的是，WinCC 的服务器和客户端通信，例如 Web 服务器和 OS 服务器之间的通信，其端口是变化的。所以要确保通信正常 Web 服务器对 OS 服务器要开放所有的端口，这就意味着任何突破了 Web 服务器的威胁都必将直接影响到 OS 服务器。基于此，当前网络安全领域通常的处理措施就是 “纵深防御 ( De-fense-in-Depth) ”， 即采用多种不同的方法，对目标实施层层防护，尽可能多地为攻击者 ( 黑客，恶意软件，破坏者等) 造成多重障碍。任何一种单一的防御手段都不足以保证目标的安全，而 “纵深防御” 体系中，即使外部的攻击者能够突破一种或者几种防御屏障，也很难突破所有的屏障并最终抵达防御的目标。采用防火墙搭建的 “纵深防御”结构如图 2 所示。从图 2 看出，在这个系统结构中，包括 OS 服务器/客户端/工程师站在内的控制网络都在防火墙的保护之下，而 Web 服务器等在一个 DMZ区域中，其他的办公室网络和 Web 客户端等和 Internet 一样在防火墙之外。这种配置方案中，即使 DMZ 区域因为受到病毒攻击而崩溃，控制网络依旧可以正常运行。完成这样的一个配置，在 PCS7 专用的 SecureGuide 防火墙中只需要简单的几个向导即可完成。

电厂网络安全实施方案范文第5篇

工业控制领域网络危机四伏

2010年，伊朗核电站遭受“Stuxnet（震网）”蠕虫病毒攻击，打开了网络攻击瘫痪实体空间的大门，关键性基础设施的安全成为全世界关注的焦点。2015年，乌克兰电网系统遭“Black Energy（黑暗力量）”的攻击。业内人士指出，支撑能源、通信、电力、金融、交通等重要行业运行的关键信息基础设施成为网络战的首选目标。工厂使用的控制电脑的软件一般都是特别定制版，而且不与外部互联网联通。但在黑客面前，物理隔绝并非不可逾越的天堑，通过局域网和USB接口进行传播，定点干扰工业控制软件的病毒早已产生，甚至通过发热量、辐射、风扇噪声等入侵物理隔离网络的案例也已出现。工业控制领域网络安全成为焦点，各国均加大了在该领域的投资。

工业控制领域网络安全隐患尤为突出

我国信息网络关键基础设施网络安全防护能力薄弱。“震网”病毒事件后，据权威部门统计，我国工业系统100%使用西门子工业控制系统，这意味着我国的工业控制系统存在网络安全隐患。尤其是随着工业化与信息化进程的不断交叉融合，以及物联网的快速发展，越来越多的信息技术应用到工业领域。我国已经将数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）等工业控制系统广泛运用于电力、工业、能源、交通、水利、市政等领域，甚至直接用于控制生产设备的运行。“中国制造2025”战略的提出，使得国内工业控制领域正在发生重大的变革。同时，由于我国大规模使用国外的网络信息关键产品，在短期内很难完全替代它们，工业控制领域网络安全成为事关国家安全、社会稳定、经济发展的大问题。

先进工控安全领域创业公司涌现，发展模式引人注目

近两年，一些有识之士充分认识到，工业控制领域网络安全的需求日益凸显，因此必须整合信息安全与自动化方面的人才，专注工控安全领域网络安全产品的研发。这类典型厂商包括北京网藤科技有限公司、北京威努特技术有限公司、北京匡恩网络科技有限公司等。这类公司的特点是100%的业务都是工控安全，全力投入到工控安全行业。

其中，网藤科技是工控安全领域的一匹黑马，成立于2016年3月，团队均来自工控安全领域顶尖的企业。公司的组织结构具有包容、开放、共享的特色，业务以工业控制网络安全为核心，深耕石化、电力、冶金、轨道交通、烟草、测评中心等国家重点行业，提供覆盖设备检测、安全服务、威胁管理、安全数据库、智能保护、检测审计的自主、可控、安全的生命全周期解决方案。公司旗下的主打产品工控安全防护系统为针对工业网络安全的入侵检测系统，通过公安部权威检测，达到NIPS国标一级；工控安全审计系统为针对工业网络安全的信息审计系统，通过公安部权威检测，达到网络通信安全审计行标增强级。

工控领域网络安全厂商任重道远

目前，工业控制信息安全建设还处于初级阶段，各个厂商的安全产品进入市场存在诸多现实困难，亟待国家政策支持。工业控制系统网络安全产品缺乏统一检测认证标准，亟待颁发自主可控的“准生证”。国家坚定“自主可控”导向，为国内网络安全厂商的发展带来重大机遇。但存在的现实问题是，国家权威测评认证机构普遍缺乏针对“自主可控”网络安全产品的测评认证标准。尤其在工业控制领域，由于涉及范围广，跨越领域多，实际操作起来难度更大。因此，在加紧推动网络安全产品自主研发的同时，亟待国家层面的统筹，加速推动自主可控网络安全产品的落地生根。