核電廠儀控系統(tǒng)安全防護(hù)策略研究及應(yīng)用

榮海

中核遼寧核電有限公司 遼寧葫蘆島 125112

1 核電廠儀控系統(tǒng)安全防護(hù)策略

相應(yīng)的“隔離”的一般技術(shù)方法是按服務(wù)劃分網(wǎng)絡(luò)，并避免網(wǎng)絡(luò)之間的直接連接。使用單向隔離網(wǎng)守或工業(yè)防火墻進(jìn)行隔離，以限制訪問權(quán)限并防止惡意軟件和消息的傳播。“凈化”一般對應(yīng)的技術(shù)方法可以分為兩大類：黑名單和白名單。

1.1 白名單技術(shù)主要優(yōu)勢

出色的保護(hù)能力并非白名單技術(shù)產(chǎn)品的全部優(yōu)點(diǎn)。其優(yōu)點(diǎn)還體現(xiàn)在以下幾個(gè)方面。①抵抗有效抵抗“0-day”和APT攻擊。②系統(tǒng)資源的低開銷幾乎對主機(jī)性能沒有影響。③無需更新庫，易于維護(hù)，其使用不會影響生產(chǎn)過程。該程序的白名單可以應(yīng)用于計(jì)算環(huán)境，例如核電站儀表和控制系統(tǒng)中的操作員站，工程師站，服務(wù)器和通信站網(wǎng)關(guān)。

在對工業(yè)控制流量、操作系統(tǒng)和應(yīng)用程序進(jìn)行監(jiān)控進(jìn)行具體分析后，建立了安全參考?；€型，核電廠儀表控制系統(tǒng)和網(wǎng)絡(luò)組成核電廠儀表控制系統(tǒng)，“安全白色環(huán)境”是一種更有效的安全保護(hù)程序，這種方法基本上可以達(dá)到“凈化”效果。

1.2 程序的白名單

程序白名單是一個(gè)主機(jī)上的合法應(yīng)用軟件的基線列表，只有在這個(gè)列表內(nèi)的程序才允許運(yùn)行，其它任何程序都不能運(yùn)行。這就是程序白名單的安全機(jī)制。程序白名單，是主機(jī)上合法的應(yīng)用程序軟件的重要基線列表。只能運(yùn)行此列表中的程序，而不能進(jìn)行運(yùn)行其他程序，是白名單的安全機(jī)制。

使用白名單技術(shù)的工業(yè)控制主機(jī)保護(hù)軟件，可以有效抵御“0-day天”漏洞和具有針對性的攻擊，對工業(yè)控制計(jì)算機(jī)（如操作員站，工程師站）進(jìn)行安全保護(hù)和數(shù)據(jù)服務(wù)器，以及增強(qiáng)主機(jī)安全保護(hù)的能力，可以最大程度地確保工業(yè)計(jì)算機(jī)的安全穩(wěn)定運(yùn)行。在IPC保護(hù)方面，列入白名單的技術(shù)產(chǎn)品比防病毒技術(shù)具有更多優(yōu)勢，并且具有更好的保護(hù)功能[1]。

1.3 進(jìn)行外設(shè)白名單

通過監(jiān)控軟件，白名單媒體對移動媒體進(jìn)行合法注冊，對移動媒體進(jìn)行合法身份識別和讀寫控制，并確保工廠儀表核電和控制系統(tǒng)不受外部惡意軟件的攻擊。外圍設(shè)備白名單的主要功能如下。①通過外圍設(shè)備開關(guān)控制外圍設(shè)備接口，以確保不會訪問非法數(shù)據(jù)或內(nèi)部數(shù)據(jù)泄漏。②通過移動介質(zhì)媒體注冊表管理，不僅可以保證內(nèi)部數(shù)據(jù)的移動流動性，還可以減少因隨機(jī)使用U盤造成的威脅。③通過控制讀寫權(quán)限，它可以保證數(shù)據(jù)流的方向并防止惡意軟件感染。外設(shè)設(shè)備白名單可用于計(jì)算環(huán)境中，例如核電廠儀表和控制系統(tǒng)中的操作員站，工程師站，服務(wù)器和通信站網(wǎng)關(guān)，以控制外圍設(shè)備的使用。

1.4 工控協(xié)議白名單

通過相關(guān)安全保護(hù)的設(shè)備，例如：工業(yè)防火墻等，進(jìn)行深入分析和識別網(wǎng)絡(luò)數(shù)據(jù)包指令。根據(jù)白名單的相關(guān)要求，禁止不相關(guān)的協(xié)議，并有效過濾非法的工業(yè)協(xié)議數(shù)據(jù)和非法指令，僅允許正確的協(xié)議數(shù)據(jù)及工業(yè)控制指令進(jìn)行通過，可以有效地保證通信的安全性。工業(yè)控制網(wǎng)絡(luò)。①確認(rèn)協(xié)議識別，以避免非法協(xié)議。②對協(xié)議進(jìn)行深入分析，避免非法消息的傳播。③查看控制協(xié)議說明，避免非法使用。④確定指令的來源和目的，以防止非法通信。協(xié)議白名單通?？梢栽诠I(yè)防火墻中應(yīng)用于核電站儀器和控制系統(tǒng)的安全域條目，以過濾出子網(wǎng)中的協(xié)議流量。

1.5 工控行為白名單

在工業(yè)控制網(wǎng)絡(luò)中，所有節(jié)點(diǎn)之間建立連接，諸如：發(fā)出命令和報(bào)告數(shù)據(jù)之類的網(wǎng)絡(luò)交互都是工業(yè)控制行為。基于對指令的深入分析和對業(yè)務(wù)的深入了解，可以從正常的工業(yè)控制業(yè)務(wù)中了解工業(yè)控制行為的基準(zhǔn)，并可以建立白名單。工業(yè)控制協(xié)議白名單負(fù)責(zé)過濾非法消息，以確保將所有合法消息和合法連接輸入到網(wǎng)絡(luò)中，但不能防止濫用或惡意操作。例如，不適合對公司不滿意的員工。停止設(shè)備的說明。工業(yè)控制行為白名單的主要作用是補(bǔ)償工業(yè)控制協(xié)議白名單中的缺陷并防止濫用或惡意操作。創(chuàng)建一個(gè)工業(yè)控制行為白名單需要一個(gè)漫長的學(xué)習(xí)過程，收集大量數(shù)據(jù)，并結(jié)合多個(gè)特征來建立行為模型[2]。

2 核電廠儀控系統(tǒng)安全防護(hù)具體實(shí)施措施

白名單防護(hù)策略的實(shí)施一般分為以下步驟。

（1）規(guī)劃。計(jì)劃。在設(shè)計(jì)和實(shí)施計(jì)劃之前，您必須制定計(jì)劃，以確定白名單計(jì)劃中所涉及的具體業(yè)務(wù)，區(qū)域和主機(jī)，并基于主機(jī)確定白名單計(jì)劃：中使用的主機(jī)技術(shù)，基于網(wǎng)絡(luò)，兩者均都采用。

（2）設(shè)計(jì)選型。根據(jù)具體計(jì)劃，設(shè)計(jì)合理的網(wǎng)絡(luò)白名單及主機(jī)白名單設(shè)計(jì)方案，并有效結(jié)合業(yè)務(wù)和網(wǎng)絡(luò)拓?fù)?，設(shè)計(jì)白名單部署方案并進(jìn)行選擇合理的白名單產(chǎn)品。

（3）驗(yàn)證原型。根據(jù)設(shè)計(jì)，在核實(shí)驗(yàn)室里，將根據(jù)測試環(huán)境對白名單原型進(jìn)行驗(yàn)證，以確保白名單產(chǎn)品功能齊全，并保證對業(yè)務(wù)運(yùn)營沒有影響。

（4）實(shí)施。驗(yàn)證后，列入白名單的程序進(jìn)入實(shí)施階段。實(shí)施之前，必須確保主機(jī)未感染惡意軟件。白名單產(chǎn)品通常需要經(jīng)過學(xué)習(xí)才能生效，即白名單過程。如果將惡意軟件添加到白名單中，則白名單方案不能保證主機(jī)的安全性。工業(yè)控制行為白名單特別需要長期研究。實(shí)施包括以下兩個(gè)階段。①學(xué)習(xí)階段。在這段時(shí)間內(nèi)，了解當(dāng)前的網(wǎng)絡(luò)流量，過程和計(jì)算環(huán)境以將其列入白名單。在此階段，白名單將不會強(qiáng)制攔截，而只會生成警報(bào)并等待管理員確認(rèn)。②白名單正式生效。在此階段，將攔截不符合白名單要求的工業(yè)控制程序，消息和操作。

（5）維護(hù)。實(shí)施白名單后，需要定期維護(hù)。維護(hù)內(nèi)容主要包括：檢查相關(guān)日志和產(chǎn)品告警信息，以驗(yàn)證系統(tǒng)是否正常運(yùn)行，在安裝或更新軟件時(shí)需要進(jìn)行白名單更新[3]。

3 結(jié)語

總之，使用白名單技術(shù)的工業(yè)控制主機(jī)保護(hù)軟件，工業(yè)防火墻，審計(jì)設(shè)備和其他產(chǎn)品在保護(hù)上與傳統(tǒng)黑名單產(chǎn)品相似，但它們更適合于核電站的特殊情況，最終的保護(hù)效果更好，對生產(chǎn)系統(tǒng)的影響較小。使用白名單技術(shù)的安全產(chǎn)品應(yīng)包括在核電站的一般安全解決方案替代清單中，并且正在越來越多地使用。