1、背景介紹

在數字經濟浪潮的推動下，各行業正加速推進數字化變革。國家“十五五”規劃建議中，提到“加快高水平科技自立自強，引領發展新質生產力。這一提法被列為“十五五”時期經濟社會發展的主要目標之一，并作為戰略任務進行部署。這是繼習近平總書記在黨的二十大報告后，再次強調科技自立自強在國家發展中的戰略支撐作用。因此，信創不僅是各行各業實現數字化轉型的關鍵抓手，同時也是我國強化網絡安全的重要支撐。

電力行業作為國家關鍵基礎設施，在信息化與數字化轉型過程中不斷加深對網絡的依賴，然而其控制系統、工業操作系統及服務器等關鍵領域長期依賴國外廠商，導致網絡安全風險日益凸顯。一旦系統遭受攻擊，可能引發供電中斷、設備損壞等嚴重后果，威脅區域能源穩定并造成重大損失。為應對嚴峻的網絡安全形勢并滿足等保三級及國家相關法規要求，大唐湖北能源開發公司計劃開展集控中心及下屬15家新能源場站的安全建設改造工作，通過推進信息技術應用創新與國產化進程，全面提升電力系統的安全防護能力，實現網絡安全自主可控。

2、目標與原則

項目核心目標

本項目立足于電力監控系統的實際業務需求和網絡安全現狀，嚴格遵循國家等級保護三級安全要求和電力行業相關安全政策法規，旨在構建一套“可信、可控、可管、可溯”的全方位、多層次、立體化的網絡安全保障體系，重點實現以下核心建設目標：

滿足合規與監管要求

嚴格遵循電力 36 號文、電力 27 號令及網絡安全等級保護三級防護標準要求進行安全建設，滿足合規需求。

建立主動防御與響應能力

提升電力監控系統在“識別、防御、檢測、響應”等方面的主動防御能力，滿足不同業務系統、不同安全級別網絡間能夠進行數據實時交互的同時，做好跨系統、跨區域邊界的訪問控制以及網絡內部非法設備接入、異常行為監測及處置等工作，形成安全閉環，確保電力監控系統平穩運行。

實現安全賦能與業務融合

深化網絡安全能力與電力監控業務場景的深度融合，構建以業務為核心、動態防御與智能協同的安全防護體系，確保關鍵基礎設施穩定可靠，助力電力監控系統在數字化、智能化進程中實現安全與發展的動態平衡。

項目建設原則

適度安全原則

任何信息系統都不能做到絕對的安全，在進行安全防護規劃中，要在安全需求、安全風險和安全成本之間進行平衡和折中，過多的安全要求必將造成安全成本的迅速增加和運行的復雜性。

因此在進行安全建設的過程中，一方面要嚴格遵循政策及標準要求，保障信息系統機密性、完整性和可用性，另外也要綜合成本的角度，針對系統的實際風險，提出對應的保護強度，并按照保護強度進行安全防護系統的設計和建設，從而有效控制成本。

技術管理并重原則

網絡安全問題從來就不是單純的技術問題，把防范黑客入侵和病毒感染理解為工業網絡安全問題的全部是片面的，僅僅通過部署安全產品很難完全覆蓋所有的安全問題，因此必須要把技術措施和管理措施結合起來，更有效的保障信息系統的整體安全性，形成技術和管理兩個部分的建設方案。

縱深防御，分層防護原則

在工業網絡各層次部署差異化安全措施，形成協同互補、層層設防的縱深防御體系，確保單點被突破時，其他防護層仍能有效遏制風險，從而顯著提升網絡整體韌性與對抗能力。

安全保護與業務應用相結合原則

電力監控系統網絡的安全保護工作需要與具體的業務功能相結合，在制定安全保護措施時做到有的放矢，讓安全保護的作用達到最優，更好地平衡安全性和易用性。

3、案例實施與應用情況詳細介紹

案例規劃

設計思路

為全面提升電力監控系統的網絡安全防護水平，方案基于"縱深防御、主動防護"的理念，從電力監控系統面臨的本質安全威脅出發，深入分析業務系統中數據流與控制流的業務特征，構建了覆蓋電力監控網絡的層次化綜合安全防護體系。通過采用涵蓋邊界防護、主機安全、行為審計、漏洞管理等多維度安全措施，形成在通信、控制、應用等多個層面的細粒度安全管控能力，實現從場站到集控中心的全方位安全防護，提升電力監控系統網絡攻擊的實時監測與防御能力，為電力監控系統穩定運行提供堅實可靠的安全保障。

方案架構

針對電力監控系統網絡安全風險與安全需求，在“安全分區，網絡專用，橫向隔離，縱向認證” 總體原則基礎上，構建了集綜合安全防護、安全管理與安全運營管理于一體的安全架構，打造了覆蓋電力監控系統網絡的智能化工業網絡安全運營體系。通過應用深度行為分析、工業數據變化率監測、入侵攻擊檢測、運維行為審計、集中管理能等技術，形成抵抗網絡攻擊、惡意代碼、漏洞利用等安全威脅的綜合防護能力，同時依托人工智能技術，通過告警降噪、威脅檢測分析、安全決策輔助等能力，實現智能化的預警、分析、處置與響應閉環管理，全面提升電力監控系統網絡安全防護能力，保障業務的穩定運行。

圖1 安全框架

安全防護體系覆蓋邊界安全、主機安全、入侵檢測、行為分析、運維安全、脆弱性檢測、集中管理等安全能力建設，通過訪問控制、非法指令監測、漏洞監測、異常攻擊檢測等技術手段，為電力監控系統打造覆蓋網絡、終端、應用、控制等全方位網絡安全防護體系，可有效防范APT攻擊、惡意代碼等外部威脅，同時可有效管控內部誤操作和越權訪問風險，滿足行業合規要求。此外，體系在提供多層級安全防護能力的同時，通過采集全網安全日志、流量數據、資產指紋等信息，為安全運營體系提供基礎數據支撐。

安全管理體系是實現系統化、規范化安全管理的重要保障。通過構建涵蓋安全管理機構、安全管理制度、安全人員管理、安全建設管理及安全運維管理的多維度體系，可以實現對安全工作的全面覆蓋與高效管理。該體系以風險管理為導向，通過明確安全管理機構權責、健全安全管理制度標準、強化人員安全意識培訓、規范項目生命周期安全管控以及建立常態化運維監測機制，實現預防為主、持續改進的安全治理效能，為業務安全運行提供系統化保障。

安全運營體系作為電力監控系統網絡安全體系的核心大腦，以安全防護體系中的安全探針監測到的網絡資產運行狀態、異常訪問行為、異常網絡流量、運維審計記錄等安全信息為支撐，實現漏洞監測、安全工單下發、流量分析、溯源分析、安全事件通報預警等安全功能，同時融入大數據分析、人工智能等先進技術手段，通過告警降噪、威脅精準研判及策略動態調優等，為電力監控系統構建智能化生產運營管控體系。

實施與應用的詳細情況

安全防護體系

1) 構建安全Ⅰ區和安全Ⅱ區邊界安全防護能力，防范不同安全域間未授權訪問

在各場站與集控中心的安全Ⅰ區和安全Ⅱ區之間以及集控中心與場站之間應用工業防火墻，采用技術隔離手段和白名單訪問控制策略，禁止不同安全域之間設備和數據的非授權訪問行為，可防止偽裝成正常通信協議數據包的惡意代碼進入安全域內部，避免內外部非法人員或非法組織對電力系統的攻擊破壞。

2) 構建集控中心針對攻擊行為檢測與審計能力，防范病毒、木馬等網絡威脅

在集控中心安全Ⅱ區交換機處應用工業入侵檢測系統，構建對入侵攻擊的檢測能力，針對僵尸網絡、木馬、蠕蟲、勒索病毒、移動端木馬控制等多種僵尸主機行為進行檢測。通過對數據內容比對、協議分析、模式識別和流量分析等多種技術手段，深入分析L2~L7層網絡判斷入侵行為，防范外來入侵威脅。

3) 構建集控中心與各場站操作行為安全審計能力，深度識別異常操作行為

在集控中心與各場站的安全Ⅰ區應用工業安全監測審計，基于數據流量內容還原完整協議，在對工控協議深度解析及自學習技術基礎之上，建立基于資產、會話、流量、指令等多個維度可信的安全檢測基線規則，將通訊行為與安全基線進行關聯分析行為，并結合白名單審計、數據變化率等技術手段，對電力監控系統的寫操作、寫頻率、參數范圍、變化量范圍、變化率范圍進行安全審計，有效識別針對合法路徑、合法協議、合法內容的行為下的異常行為，并對攻擊行為及時預警。

4) 構建電力監控系統脆弱性檢測能力，及時發現潛在弱點與安全漏洞

在集控中心安全管理區新增工業漏掃，對電力監控系統中的PLC、SCADA、組態軟件等進行脆弱性掃描，及時發現不同應用對象的潛在弱點和安全漏洞，形成整體安全風險報告和漏洞修復建議，以便客戶根據安全風險報告采取對應的防護技術措施進行漏洞修復。

5)  構建電力監控系統運維行為安全審計能力，保障運維過程安全管理

在集控中心與各場站安全管理區新增工業堡壘機，構建集身份認證、賬號管理、權限管控、操作審計的一體化運維管理體系，實現對運維過程的精細化、全面化的安全管控，保障只有合法用戶在合法權限下訪問目標設備，最大限度保護用戶資源的安全。同時，基于運維工單應用，使資產的運維管理具備完善的審計記錄，實現運維過程的安全管理。

6) 構建電力監控系統日志集中收集與分析能力，實現安全日志關聯性分析

在集控中心安全管理區新增工業日志審計，對電力監控系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；可以對收集到的審計信息集中存儲，通過嚴格的權限控制，對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等。

7) 為工業主機建設可靠的運行環境，實現應用、進程等精細化管理

在電力監控系統各場站與集控中心工作站、服務器等應用工業主機衛士，將工業主機中的應用程序、進程等可執行文件加入白名單庫中，僅允許白名單庫中的應用運行，阻止其它一切惡意程序、病毒木馬，以及與業務無關的應用運行，為操作員站、工程師站和服務器等設備提供安全可靠的運行環境。

安全管理體系設計

為全面提升電力監控系統網絡安全管理能力，需構建覆蓋全生命周期的安全管理體系。該體系圍繞制度建設、組織保障、人員管理、建設管控和運維監督五個維度開展：通過建立包含組織架構、安全策略等要素的網絡安全管理制度體系，明確管理規范和標準；其次設立專職安全管理機構，配置專業團隊，通過定期培訓持續提升人員安全素養；同時在系統建設階段實施嚴格的安全管控，并通過制定完善的安全運維管理制度、安全事件處置制度等，規范安全事件處置流程。通過這種多維協同的管理模式，形成從規劃設計到運行維護的閉環管理機制，最終實現安全管理工作的規范化、標準化和制度化，為電力監控系統安全穩定運行提供有力保障。

1) 安全管理制度

安全管理制度作為信息安全保障體系的核心框架，是以規范化文件形式呈現的安全策略集合。通過構建"策略-制度-規程-記錄"等管理體系，為信息安全管理工作提供系統性指導：首先確立覆蓋組織安全目標、范圍及框架的總體策略；其次針對不同崗位制定差異化的管理規范；同時配套具體操作規程和標準化記錄表單。并經正式審批流程發布并實施嚴格的版本管控。為確保制度持續有效性，應建立定期評審機制，根據內外部環境變化及時進行動態調整，從而為企業的安全管理、技術防護和運維工作提供制度依據和標準規范。

2) 安全管理機構

要構建完善的信息安全管理體系，應建立層級分明、權責清晰的安全管理組織架構，并覆蓋決策層、管理層和執行層三個層級，形成自上而下的統一管理機制。決策層由單位主要負責人組成，負責審批重大信息安全事項和資源配置；管理層設立專職信息安全管理部門，統籌協調各部門安全工作；執行層由各業務部門安全責任人組成，負責具體安全措施的實施。通過管理機構的設定，實現對重要信息系統建設、改造等事項進行安全審批；協調解決跨部門信息安全問題；組織開展對外安全合作交流；定期檢查評估安全措施落實情況并督促整改。為信息安全管理工作的有效開展提供堅實的組織保障和制度支撐。

3) 安全管理人員

電力監控系統網絡安全的實現從根本上依賴于對相關人員的有效管理，這涉及用戶、設計者、實施者及管理者等多個角色。若未能妥善解決人員相關的安全問題，將無法實現真正的安全防護。完善的人員安全管理體系應覆蓋內部和外部人員兩個維度：對內部人員需建立從錄用審查、在崗培訓到離職審計的全周期管理機制，包括嚴格的身份定位、完善的考核制度、系統的安全培訓以及規范的離崗流程；對外部人員則需實施有效的訪問控制和行為監管。通過建立健全的人員檔案管理、審批流程和安全教育體系，可顯著降低人為失誤、內部舞弊和操作不當等風險，從而為工控系統的安全穩定運行提供可靠的人力資源保障。

4) 安全建設管理

安全建設管理應貫穿到信息系統整個生命周期，在系統審批、建設、安全定級與備案、安全方案設計、軟件開發與實施、驗收與測試、系統交付與等級測評，以及服務商選擇等過程均需要進行安全管理。應采用國家認可專業機構進行過安全性及電磁兼容性檢測的工業控制系統重要設備及專用信息安全產品。

針對系統安全建設，需要建立針對系統建設的安全管理體系化制度保障，保障在系統建設過程中的科學化管理，來規范化系統建設，杜絕建設過程中留下的各種安全漏洞，為系統上線運行提供安全質量保障。同時制定合理化的安全解決方案，確保安全措施的落實。

5) 安全運維管理

系統運維管理主要是進行信息系統日常運行維護管理，利用管理制度以及安全管理中心進行，包括：環境管理、資產管理、介質管理、設備管理、網絡安全管理、系統安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理等。使系統始終處于安全運行狀態。

安全運維管理是整個系統安全運營的重要環節，系統運維管理的規范化，是系統安全運維的重要保證。建立科學的、體系化的系統運維管理制度、系統運維流程與突發事件處置機制，建立應急響應機制，為系統安全運維提供保障。

安全運營體系設計

安全運營體系從功能層級上可劃分安全運營管理平臺與應急保障支撐，由安全運營管理平臺為電力監控系統網絡提供監測預警、響應處置、事件分析與基于AI大模型的安全輔助等具體的業務應用，同時由應急保障作為安全運營體系的重要支撐，通過建立標準化的應急預案、配備專業應急隊伍、開展常態化演練等措施，確保在安全事件發生時能夠快速啟動應急響應機制，實現安全風險的閉環管理。通過與安全運營管理平臺的協同運作，共同構建起集監測、響應、處置于一體的電力監控系統網絡安全運營體系。  

1) 監測預警安全設計

基于分布式探針采集網絡流量、設備日志、設備運行狀態等多元數據，經過存儲、處理、分析后形成漏洞、資產、威脅等安全態勢，并應用關聯分析、業務安全基線、威脅情報等技術手段構建電力監控系統網絡安全運營管理能力，通過將網絡中的安全設備日志統一匯集，實現電力監控系統網絡安全信息現狀實時監測、收集，以及信息和狀態監測，幫助企業實時了解網絡安全狀態，實現安全事件及時預警、響應、處置以及威脅溯源，并為后續的網絡安全建設提供決策依據。

2) 響應處置安全設計

針對識別到安全事件，通過生成安全事件處置工單，下發至各責任部門，由各部門設備技術實施人員處置，形成運維行為痕跡化管理。與此同時，系統還會對安全事件產生的數據進行全面的收集、整理與分析，從而提煉出有價值的信息，逐步構建并完善安全知識庫，形成高效、閉環的安全事件處置機制。知識庫的構建將作為重要支撐，協助系統更精準地檢測與識別安全事件，為安全防御提供有力保障。

3) 事件分析安全設計

通過深度關聯分析日志、網絡流量數據、資產信息及漏洞情報等多維數據源，構建智能化的安全分析體系，實現網絡安全事件的精準識別與發現，同時通過對威脅預警、威脅情報、網絡安全事件等進行關聯分析研判，實現對網絡攻擊進行追蹤溯源，提升電力監控系統網絡安全主動防御能力，形成覆蓋威脅感知、分析研判及溯源響應的閉環安全防護機制。

4) 應急保障安全設計

通過開展應急響應服務，幫助電力監控系統建立健全應急響應機制，抓好網絡安全風險監測工作，制定網絡安全事件應急預案，落實網絡安全應急保障措施，在網絡安全事件發生時做出快速反應，將事件損失控制到最小范圍。

5) AI安全輔助設計

依托告警降噪、智能助手、安全決策輔助等能力，實現智能化的預警、分析、處置與響應閉環管理，提高安全運營管理效率。通過智能化告警降噪模型，智能過濾與抑制無關或重復告警、動態調整閾值以精準識別并呈現關鍵告警，提升威脅發現效率；采用自然語言對話的方式，協助情報、告警信息解讀，輔助指令生成、任務拆解，生成分析匯報材料，以自動化方式協助人工值守，提升安全相關工作效率。此外，通過對告警、情報等進行深度分析和推理，為安全運營人員提供準確、全面的威脅評估和建議，有效提升網絡安全保障能力。

安全設計

在安全管理區新增工業態勢感知平臺，基于機器學習和大數據分析等技術，對網絡環境中的資產、流量、日志等安全數據進行全面分析，實現對資產、脆弱性、威脅、安全事件的深入分析和關聯，形成安全態勢可視化分析、資產脆弱性監測、攻擊溯源分析、攻擊關聯分析、威脅畫像等安全能力，并結合具有自學習能力的模型和算法進行動態分析，可對異常行為進行精準識別與預警；同時通過全流量分析技術實現完整的網絡攻擊溯源取證，不斷豐富攻擊樣本庫，幫助信息安全人員采取針對性的響應處置措施，提升安全運營效率。

圖2 網絡拓撲

案例創新性

面向漏洞利用攻擊的輕量級靶向性虛擬補丁

通過構建控制系統檢測引擎，并結合規則庫分級分類、漏洞規則庫新增等技術手段實現在網絡層面對于漏洞的加固，同時采用靶向性的技術手段避免了高延時、誤報的問題形成對電力監控系統已知漏洞的安全閉環。

基于數據變化率檢測的控制領域信息安全行為識別方法

通過對電力監控系統網絡中流量的數據報文進行完整性還原,識別報文中的控制指令依據業務的通信行為與指令進行關聯分析，并建立業務的控制行為基線，通過行為基線構建深度分析體系，同時與態勢感知安全信息進行匹配分析，識別異常控制行為。

采用基于數據字典的行為內容識別技術

在對工業協議、工業通信原理的分析基礎之上，在其中加入通信主從站間數據字典能力，將報文監測的信息與物理數據信息進行關聯，進而實現對數據處理權限的控制，解決了僅通過對通信報文監測，無法獲取數據信息的難題。

基于AI的智能安全運營輔助決策技術

基于AI的海量數據分析與自然語言處理技術，快速解析安全問題，自動生成可視化分析結果，并且解讀告警信息，輔助安全技術人員快速研判告警趨勢、智能分析安全事件、快讀定位問題根源等，并提供安全告警研判處置建議，大幅提高安全運營的效率和響應速度。

重點與難點問題及解決思路

重難點1：資產盲區且異構性，安全納管存在難度

在工業網絡環境中，由于大量設備服役年限長、品牌型號繁雜（如西門子、施耐德、ABB等并存），從而導致傳統IT資產管理手段難以適用，使得資產無法被全面發現、準確識別與持續納管，進而形成巨大的安全盲區，并為后續的風險評估、策略制定與威脅檢測等環節帶來根本性障礙。

解決思路：

通過資產探測、脆弱性掃描等主動、被動技術手段，對資產信息進行梳理和識別，準確識別工業資產開放端口、服務、操作系統、廠商、型號、版本號等信息和通信關系，建立動態資產清單，實現資產信息的全面管理。

重難點2：遺留系統與老舊設備，工業主機防護存在難度

在工業場景中，由于大量主機運行服役超過10年，普遍存在計算能力弱、內存小的固有缺陷，傳統安全防護軟件易導致系統資源占用過高，引發主機響應緩慢、操作指令延遲等問題；同時，傳統殺毒軟件依賴聯網更新病毒庫的模式難以適應工業現場環境。此外，移動介質的濫用更使這些主機直接暴露于病毒傳播與惡意代碼植入的風險之下，進一步加劇了工業基礎環境的安全脆弱性。

解決思路：

通過采用基于白名單機制、輕量化的主機防護軟件，全面掃描工業主機的可執行文件，建立安全白名單基線，禁止非法文件加載及執行，防范病毒木馬感染；保護關鍵目錄及注冊表，實現業務應用與操作系統的安全加固；細粒度管理主機外設及移動存儲權限，阻斷病毒傳播途徑，從而對工業上位機及服務器實現全方位的安全防護，保障客戶業務連續穩定運行。

AI 賦能網絡攻擊，傳統安全防御存在難度

當前工業領域面臨的網絡威脅呈現出高度專業化、定向化的趨勢。尤其在當下，越來越多的攻擊者借助 AI 驅動的攻擊技術，使攻擊行為變得更加隱蔽、難以察覺，防御難度呈指數級上升，在這一背景下，依賴特征匹配與規則庫的傳統安全防護手段已顯滯后，難以有效應對復雜多變的智能化攻擊。

解決思路：

在傳統安全運營模式基礎之上，融入AI技術，通過告警降噪、威脅檢測分析、安全決策輔助等能力，構建智能化的預警、分析、處置與響應閉環管理，實現在風險識別、安全防護、攻擊檢測、應急響應各環節的提質增效，推動安全運營工作實現“人防”到“智防”。

4、 應用價值與效益

經濟效益

（1）提升電力監控系統安全防御能力

通過訪問控制、入侵檢測、主機防護等技術措施，有效保障電力監控系統網絡的安全，減少病毒入侵的可能性，降低安全事件發生概率，提升電力監控系統網絡安全防護水平。

（2）提升運維管理效率與響應速度

本項目建成后，將實現對全網態勢、資產態勢、脆弱性態勢、攻擊態勢、告警態勢等各種可視化展示。管理人員能夠全面、精準地掌握電力監控系統中各類工業設備與應用產生的告警問題，從而快速掌控網絡整體安全狀況，顯著提升運維管理效率與響應速度。

社會效益

（1）保障國家安全與社會穩定

通過構建全面感知、動態防御的主動防護體系，能夠有效抵御網絡攻擊、病毒感染等風險，防止因網絡事件引發的大面積停電或電網癱瘓，確保國家能源安全、經濟安全和公共安全。

（2）符合國家重大發展戰略要求

本項目建成后，可有效提升電力監控系統網絡安全防護水平和核心競爭力，有助于營造良好的產業發展生態，高度契合國家關于網絡強國、能源安全與新型工業化的重大戰略導向。

復制推廣

（1）解決方案可復制推廣性

本項目從安全產品部署、安全技術等多個維度實現方案及產品的可行性驗證與落地應用，該項目實施，在提升電力監控系統網絡安全防護水平的同時，可為其他行業網絡安全建設提供可借鑒的經驗和模式，為網絡安全建設的復制推廣奠定堅實的基礎。

（2）推動網絡安全技術在電力行業產業化應用

通過工業網絡安全技術在該電廠的落地應用，有效促進電力行業網絡安全防護水平的提升，同時該項目構建的貼合實際業務場景的多層次、全方位的安全防御體系，可為企業提供深層次、全面的安全防護。同時該項目實踐，將有效推動安全防御體系在電力行業的廣泛普及與應用，帶動電力行業產業化發展。