调度数据网工控设备探测及安全扫描装置的研究及应用

调度数据网工控设备探测及安全扫描装置的研究及

应用

为落实国网公司关于开展2021年电网工控安全专项工作要求，及深入掌握调度数据网中存在的网络设备、工控设备及他们所提供的服务等基本情况以期制定符合实际运行情况的电网工控安全行动计划，国网黄山供电公司积极开展调度数据网工控安全深度检测和防护工作，强化电网工控安全意识，加强调度数据网工控安全防护管理，严防工控设备台帐不明晰、通信服务不明、基准不清等安全风险隐患，确保电网工控安全。

1 电网工控语言专项解读

工业控制系统中都是采用各种工控专用协议来完成的，是工控网络系统的专用“语言”。调度数据网和厂站内部主要使用IEC104和IEC*****协议完成工控写。

工控IEC *****-104协议是国际电工委员会（IEC）制定的用于变电站自动化系统的国际标准之一，是用于变电站系统以太网通信的协议。在国内电力系统有着广泛的应用。本课题针对IEC *****-104协议进行了深度解析，完成该协议全部协议变量的解析。

IEC*****是一个新技术的集成体系，是第一个完整的关于变电站自动化系统的通信体系。与传统的体系相比，有如下突出特点：使用面向对象技术，使用分布、分层体系，ACSI（使用抽象通信服务接口）、SCSM（特殊通信服务映射）技术，使用MMS技术，具有更好的互操作性，面向未来、开放体系结构。工控IEC***** MMS协议用于变电站内站控层自动化控制，本课题针对IEC***** MMS通讯协议进行了深度解析，完成该协议全部协议变量的解析，使得应用IEC***** MMS 的网络业务行为可描述、可检测。

2 电网工控设备探测原理

调度数据网承担着电力调度工作数据传输任务，其工控设备数量大、新老设备共存、设备种类繁多，厂站建设、运行、改造、维护过程经常会发生设备变动、新增设备等情况，这些情况导致调度数据网工控设备台帐准确度较低，会使安全管理人员疲于应付，又不能保证对重要资产的及时修补。

工控设备自动探测，主要是对调度数据网内接入工控设备信息、网络服务端口开放信息、路由配置信息等进行采集。综合运用主机存活探测、智能端口检测、工控协议指纹对比、操作系统指纹识别等多种手段，全面、快速扫描网络中的存活设备，准确识别其端口情况、操作系统以及开放的服务等设备属性。

3 电网工控安全扫描原理

通过工控系统漏洞挖掘和安全防护技术研究，解决工控系统脆弱性分析和安全防护问题，形成面向工控系统的漏洞挖掘检测、分析辅助工具，除了可以支持对常见的通用操作系统、数据库、应用服务、网络设备进行漏洞检测以外，还支持工业控制系统协议识别分析，检测工业控制系统的漏洞与配置隐患，及时发现工业控制系统存在的脆弱性问题，了解工业控制系统自身的安全状况，以便能够及时地提供针对性的安全加固及安全防护措施。

3.1 漏洞扫描及分析

漏洞扫描是基于主机的一种安全漏洞扫描系统，基于系统信息、配置信息、组态软件以及逻辑解算器程序的逻辑判断，融合网络分析、漏洞管理、操作系统指纹识别等关键技术，发现工业控制系统潜在的未知漏洞，可以对SCADA系统、DCS系统、PLC控制器等工业控制系统进行漏洞挖掘，为工业控制系统的安全检测工作提供基础和技术支撑。

同时支持对测试过程中实时抓包分析数据包分析的结果进行针对性的测试，包括触发定位、测试重放、抓包重放、重新攻击等过程；通过对已发现漏洞的细节进行深入分析，在数据包中迅速定位，弄清攻击原理，准确地估计潜在的漏洞利用方式和风险等级，协助电力企

业进行安全风险管理。

3.2 全面深入的协议分析技术

协议分析技术是网络安全产品的核心技术之一，主要是通过分析网络报文中包含的协议特征，发现其所在的协议，然后递交给相应的协议分析引擎进行处理，能够高速的、智能的、准确的检测出对运行在任意端口的应用层协议的攻击行为和标准协议运行在非标准端口行为，准确发现绑定在任意端口的各种木马、后门。

4 专用督查装置研究內容

调度数据网工控设备探测及安全扫描装置的研究及应用，基于层次探测的工控安全扫描方法，工控系统探测分别从网络层面和系统层面对工控系统进行了探测，数据比对是通过探测得到工控系统的具体信息，并与工控系统漏洞库中的数据做比对，匹配出工控系统存在的漏洞。

通过对调控主网、调度数据网、厂站内部分别进行分区分域扫描；探针根据分配的IP地址段对段内的IP地址存活网络设备探测，并进行端口扫描，对交换机、路由器中的转发表和路由表、接口开启状态进行采集获取网络结构，实现采集网络设备和开放网络服务端口信息采集，使用网络抓包实现对站控层网络IEC***** MMS协议和GOOSE 协议分析，实现站控层服务对象分析和连接关系分析。

（1）工控设备自动探测。综合运用主机存活探测、智能端口检测、工控协议指纹对比、操作系统指纹识别等多种手段，全面、快速扫描网络中的存活设备，准确识别其端口情况、操作系统以及开放的服务等设备属性。同时支持导入或自动获取变电站站控层SCL文件获取站控层设备。（2）工控系统漏洞扫描。支持对SCADA、PLC、DCS、远动机、电能量采集终端、厂站工作站等多种类型的系统或设备进行针对性扫描，准确定位其脆弱点和潜在威胁。（3）工控协议规约解析。支持站控层网络连接关系分析、MMS协议调用分析及协议级调用分析，实现调用连接关系可视化展示。（4）扫描结果可视化展示。采用饼状图、柱状图、雷达图等多种可视化方式全面展示扫描过节，被测

设备信息及配置信息，扫描用例配置及扫描结果，测试故障列表及漏洞结果描述等。（5）便携式扫描装置。将研究的软件跟便携式设备结合，形成智能化、移动化电网工控安全督查工具，方便督查人员携带在变电站内部执行督查工作。

5 专用督查装置典型应用

国网黄山供电公司自主研发的调度数据网便携式工控安全扫描装置，在黄山110kV某变电站开展该专项检测装置的核心功能实地试验。试验结果如表1所示。

试验共发现上宅变站控层网络发现8个网段，发现活动设备61台，开放端口2个。

所能发现涉及嵌入式设备解决方案包括：armorlink（芯发威达）、EST （EST株式会社）、Inspur（浪潮）、Jetway（捷波IPC ）。同时，分析结果通过拓扑图1支持可视化展示。

通过拓扑展示可以清晰看出原IP地址和目的IP地址设备的详细，连接所使用的IEC*****协议以及连接次数。

6 结语

调度数据网工控设备探测及安全扫描装置的研究与应用，实现了调度数据网工控设备及服务状态摸底排查，同时实现电网工控安全检测装置智能化、移动化，为工控安全督查工作提供有效的辅助手段，提高了调度数据网工控设备安全督查工作效率，有效地支撑国网公司工控系统安全督查防护工作的深入推进，为保障电力设施安全稳定运行和安全调度提供了重要保障。