基础建设 - 315 - 火电厂 DCS 系统网络安全加固建设实践 华润电力登封有限公司，刘剑钊、杨曌、杨超超 摘 要：近年来工控网络安全事件频繁发生，并且呈逐年递增趋势，造成的安全事件影响越来越大，甚至逐步威胁 到国家安全。火电厂 DCS 系统作为关键基础设施保护的重点，面临的风险逐步增大。本文阐述了 DCS 网络安全加固实践 案例，分析其基本功能和对工控网络安全的提升作用，具有较强的借鉴意义。 关键词：等保；DCS；网络安全；建设实践；ABB 火电厂作为国计民生的基石，其安全可靠稳定 运行有着极其重要的意义。现有的 DCS 系统大量使 用以太网和 TCP/IP 等网络协议，将互联网的安全 威胁渗透到了工业领域，带来了诸如木马、病毒、 网络攻击等安全风险。根据国能安全〔2015〕36 号 文要求，登封项目 DCS 系统定为 3 级。按照等保 3 级的防护要求，DCS 系统存在 11 条高风险项，70 条 中风险。DCS 系统的整体安全性较差。 1.1 现状 登封项目一期2*330MW机组DCS系统使用的是北京 ABB 贝利工程有限公司提供的 Sympony Rack 系统， 系统 网络架构在 2016 年进行升级改造，服务器、客户机使 用 Windows 7 操作系统，通讯采用 TCP/IP 协议。二期 2*630MW 机组 DCS 系统使用是北京 ABB 贝利工程有限公 司提供的 PGP 系统，系统投运于 2012 年，服务器、客 户机使用 WindowsXP 操作系统， 通讯采用 TCP/IP 协议。 DCS 系统的外联部分：DCS 客户机作为 SIS 接口 机对外连接 SIS 系统， DCS 系统与 SIS 系统之间布置 有单向隔离网闸。中能融合安全态势感知平台接入 各机组 DCS 核心交换机镜像端口，流量采集器与管 理平台间布置有单向隔离网闸。 1.2 主要风险分析 根据等保 2.0 规范对 3 级系统的相关要求，目 前 DCS 系统存在的主要问题如下： 1、在网络安全防护层面缺少入侵检测防御系 统、日志审计与分析系统、安全监测审计设备等安 全设备，无法实现入侵行为的报警防范、安全审计 及日志储存审计等功能。 2、在网络计算环境层面各主机缺少防病毒程 序，未对操作系统的进程、应用进程进行审计，基 本的防护策略未配置，缺少必要的接口、端口管理 功能。 2.1 方案介绍 本次加固实施以一期、二期为整体方案，利用 不同网段内数据不能互通的原理，充分利用安全设 备的双网口，同时划分 VLAN，保证#1、2 机组数据 不会相通。一、二期各新部署 5 台设备，包含交换 机 1 台、入侵检测设备 1 台，工控安全监测与审计 设备 1 台，日志审计分析设备 1 台，统一安全管理 平台 1 台；其中新增交换机划分 2 个 VLAN 分别接入 两台机组核心交换机。详见图 1，方案介绍以#1、2 机为例。 从#1、#2 机组 DCS 交换机镜像端口（对 DCS 核 心交换机配置双镜像口，解决中能融合取留已占用 镜像口的问题）引出数据至入侵检测系统中，并通 过入侵检测系统的镜像流量转发功能将镜像流量转发 给工控安全监测与审计系统， 完成对数据流量的分析；