江 江

（福建寧德核電有限公司，福鼎 355200）

0 引言

隨著核電機(jī)組的不斷的投運，安全生產(chǎn)、管理創(chuàng)新、降本增效的要求必然促進(jìn)智能化和信息化需求的增長，而無線網(wǎng)絡(luò)是核電站的智能化、信息化的基礎(chǔ)之一，未來無線網(wǎng)絡(luò)與云計算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)、人工智能等技術(shù)大融合，為核電領(lǐng)域智能化的實現(xiàn)提供了堅實支撐。

1 智慧核電對于無線網(wǎng)絡(luò)的需求

按照NB/T20263-2014《核電廠通信設(shè)計規(guī)范》和GB/T 17680.7-2003 《核電廠應(yīng)急計劃和準(zhǔn)備準(zhǔn)則-場內(nèi)應(yīng)急設(shè)施功能和特性》等設(shè)計規(guī)范，無線網(wǎng)絡(luò)滿足核電站在正常運行和應(yīng)急工況下的移動通信需求，同時還有如下需求：無線網(wǎng)可支持基于IOS、ANDROID等操作系統(tǒng)的智能終端接入，用于移動辦公、電子工單等；無線網(wǎng)可以允許啞終端接入（如攝像頭、無線傳感器等）。

2 當(dāng)前無線網(wǎng)絡(luò)面臨的網(wǎng)絡(luò)安全威脅

2.1 未經(jīng)授權(quán)訪問的用戶

只要是在信號覆蓋范圍內(nèi)，一些非法用戶就可以無需任何物理連接就可以接入到核電站的無線網(wǎng)絡(luò)中，如果有獲取了相關(guān)的授權(quán)之后，就可獲取無線網(wǎng)絡(luò)的數(shù)據(jù)，因此，必須從多方面防止非法終端接入以及數(shù)據(jù)的泄漏問題。

2.2 無線加密協(xié)議本身的不安全性

目前核電站的無線網(wǎng)絡(luò)旁邊采用Wi-Fi，Wi-Fi是基于IEEE 802.11標(biāo)準(zhǔn)的無線網(wǎng)絡(luò)技術(shù)，WEP加密的設(shè)計過于簡單，而 WPA依然采用比較薄弱的RC4加密算法，而依據(jù)WPA制定出來的成熟版本W(wǎng)PA2，在2017年時來自比利時的KU Leuven大學(xué)的研究人員Mathy Vanhoef演示其安全漏洞，這表明保護(hù)絕大多數(shù)WiFi連接的WPA2方式已經(jīng)不安全了。

2.3 病毒及黑客的攻擊

除以上兩點之外，病毒及黑客的攻擊也是會對核電站無線網(wǎng)絡(luò)構(gòu)成威脅，在很多的企業(yè)中，隨著無線網(wǎng)絡(luò)的的應(yīng)用，BYOD（攜帶自己的設(shè)備辦公入網(wǎng)）帶來了工作和生活的便利措施，但網(wǎng)絡(luò)安全問題也越來越嚴(yán)重。如果BYOD的設(shè)備使用不當(dāng)，黑客攻擊可以借用BYOD的設(shè)備對核電站的無線網(wǎng)絡(luò)發(fā)起攻擊，實現(xiàn)內(nèi)外網(wǎng)的物理連接，而病毒可以通過該方式，實現(xiàn)“滲透”和長期的“潛伏”，在某個時刻發(fā)起網(wǎng)絡(luò)攻擊，導(dǎo)致的無線網(wǎng)絡(luò)甚至整個網(wǎng)絡(luò)的癱瘓和個人、公司出現(xiàn)重大的損失。

3 核電站無線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全防護(hù)的策略和技術(shù)手段

在考慮核電企業(yè)特殊性，如果因為無線網(wǎng)絡(luò)的網(wǎng)絡(luò)的安全的問題導(dǎo)致核電站的網(wǎng)絡(luò)不可用，使得電站的重要信息系統(tǒng)的癱瘓（如工作過程、隔離管理等信息系統(tǒng)）或者重要基礎(chǔ)設(shè)施（如門禁等）受到攻擊，甚至出現(xiàn)類似伊朗核電站的震網(wǎng)蠕蟲病毒事件，那么后果將是不堪設(shè)想；因此我們認(rèn)為網(wǎng)絡(luò)安全既要考慮網(wǎng)絡(luò)的攻擊等風(fēng)險同時也要考慮核安全的問題，根據(jù)資料，由于核電站其特殊性，核電站在一些重要節(jié)日如兩會期間等，核電企業(yè)受到外部攻擊比平常更加的頻繁。因此對于無線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全威脅，我們要通過技防手段實現(xiàn)如下的目標(biāo)：

⊙用戶接入需進(jìn)行認(rèn)證管理。

⊙用戶接入后，后臺系統(tǒng)可根據(jù)場景定制用戶的訪問策略。

⊙用戶接入應(yīng)符合安全準(zhǔn)入規(guī)定的要求。

⊙用戶上網(wǎng)行為可記錄。

⊙ 核電站敏感數(shù)據(jù)防泄露。

⊙無線信號具備高安全性，防止數(shù)據(jù)在傳輸過程中被竊取。

通過參考ISO20000/ISO27001的標(biāo)準(zhǔn)要求以及國家等級保護(hù)的標(biāo)準(zhǔn)中信息安全技術(shù)要求，并借鑒WANO（世界核電運營者協(xié)會）中的關(guān)于無線網(wǎng)絡(luò)和信息安全的最佳實踐和國內(nèi)外核電行業(yè)的良好實踐，同時吸收核電企業(yè)在核安全文化特征等，可以采用某大型核電集團(tuán)提出的“核電企業(yè)信息安全保障模型” 作為核電站無線網(wǎng)絡(luò)的網(wǎng)絡(luò)安全的解決方案的基礎(chǔ)，更加模型，我們從縱深防御的角度考慮，構(gòu)建事前控制、事中控制、事后控制的三層防護(hù)措施：

（1）事前控制：設(shè)備通過無線網(wǎng)絡(luò)訪問到認(rèn)證中心IMC服務(wù)器，由統(tǒng)一的認(rèn)證系統(tǒng)對用戶進(jìn)行身份認(rèn)證及鑒權(quán)。身份認(rèn)證成功后，進(jìn)行業(yè)務(wù)訪問，然后按照統(tǒng)一下發(fā)的策略對終端設(shè)備進(jìn)行安全檢查。安全檢查合規(guī)后，再根據(jù)用戶的權(quán)限，進(jìn)行網(wǎng)絡(luò)、終端、應(yīng)用和內(nèi)容的授權(quán)，實現(xiàn)不同用戶訪問不同資源的目的，同時要禁止同時連入電站的內(nèi)部無線網(wǎng)絡(luò)和因特網(wǎng)。

（2）事中控制：通過集中加密系統(tǒng)和統(tǒng)一安全策略部署，對移動應(yīng)用所涉數(shù)據(jù)生命周期進(jìn)行全面而有效的保護(hù)，確保數(shù)據(jù)加密存儲、加密傳輸、提供數(shù)據(jù)遠(yuǎn)程擦除功能、嚴(yán)格隔離公私應(yīng)用數(shù)據(jù)、引入“沙箱”技術(shù)實現(xiàn)關(guān)鍵數(shù)據(jù)區(qū)“病毒進(jìn)不來數(shù)據(jù)出不去”。可通過對移動應(yīng)用執(zhí)行安全策略，防止應(yīng)用數(shù)據(jù)的截屏、拷貝、粘貼，防止應(yīng)用破解，并支持對應(yīng)用文檔自動添加水印保護(hù)，機(jī)密數(shù)據(jù)被偷拍仍然可以做到泄露追蹤溯源，有效保障數(shù)據(jù)內(nèi)容的安全。同時無線網(wǎng)的邊界部署防火墻設(shè)備，實現(xiàn)無線網(wǎng)與有線網(wǎng)之間的數(shù)據(jù)安全保護(hù)。

（3）事后控制：通過日志審計跟蹤包括用戶日志（登錄/登出日志、應(yīng)用訪問日志）、應(yīng)用日志（應(yīng)用授權(quán)結(jié)果）、終端日志（終端注冊/注銷、終端合規(guī)檢查、終端動作執(zhí)行記錄）等對系統(tǒng)進(jìn)行安全審計和回朔，挖掘潛在的風(fēng)險。

4 結(jié)束語

綜上所述，目前無線網(wǎng)絡(luò)在核電站的需求是越來越旺盛，我們通過3個層面技術(shù)手段可以實現(xiàn)“外人進(jìn)不來、進(jìn)來看不了、看了拿不走、拿走看不了、操作可追溯”的目標(biāo)，除了技術(shù)手段之外，我們也要結(jié)合管理手段和提升全員的信息安全意識進(jìn)行著手，真正的做到人防和技防兼重。