榮海

中核遼寧核電有限公司 遼寧葫蘆島 125112

1 核電廠儀控系統(tǒng)安全防護策略

相應的“隔離”的一般技術方法是按服務劃分網(wǎng)絡，并避免網(wǎng)絡之間的直接連接。使用單向隔離網(wǎng)守或工業(yè)防火墻進行隔離，以限制訪問權限并防止惡意軟件和消息的傳播?！皟艋币话銓募夹g方法可以分為兩大類：黑名單和白名單。

1.1 白名單技術主要優(yōu)勢

出色的保護能力并非白名單技術產品的全部優(yōu)點。其優(yōu)點還體現(xiàn)在以下幾個方面。①抵抗有效抵抗“0-day”和APT攻擊。②系統(tǒng)資源的低開銷幾乎對主機性能沒有影響。③無需更新庫，易于維護，其使用不會影響生產過程。該程序的白名單可以應用于計算環(huán)境，例如核電站儀表和控制系統(tǒng)中的操作員站，工程師站，服務器和通信站網(wǎng)關。

在對工業(yè)控制流量、操作系統(tǒng)和應用程序進行監(jiān)控進行具體分析后，建立了安全參考?；€型，核電廠儀表控制系統(tǒng)和網(wǎng)絡組成核電廠儀表控制系統(tǒng)，“安全白色環(huán)境”是一種更有效的安全保護程序，這種方法基本上可以達到“凈化”效果。

1.2 程序的白名單

程序白名單是一個主機上的合法應用軟件的基線列表，只有在這個列表內的程序才允許運行，其它任何程序都不能運行。這就是程序白名單的安全機制。程序白名單，是主機上合法的應用程序軟件的重要基線列表。只能運行此列表中的程序，而不能進行運行其他程序，是白名單的安全機制。

使用白名單技術的工業(yè)控制主機保護軟件，可以有效抵御“0-day天”漏洞和具有針對性的攻擊，對工業(yè)控制計算機（如操作員站，工程師站）進行安全保護和數(shù)據(jù)服務器，以及增強主機安全保護的能力，可以最大程度地確保工業(yè)計算機的安全穩(wěn)定運行。在IPC保護方面，列入白名單的技術產品比防病毒技術具有更多優(yōu)勢，并且具有更好的保護功能[1]。

1.3 進行外設白名單

通過監(jiān)控軟件，白名單媒體對移動媒體進行合法注冊，對移動媒體進行合法身份識別和讀寫控制，并確保工廠儀表核電和控制系統(tǒng)不受外部惡意軟件的攻擊。外圍設備白名單的主要功能如下。①通過外圍設備開關控制外圍設備接口，以確保不會訪問非法數(shù)據(jù)或內部數(shù)據(jù)泄漏。②通過移動介質媒體注冊表管理，不僅可以保證內部數(shù)據(jù)的移動流動性，還可以減少因隨機使用U盤造成的威脅。③通過控制讀寫權限，它可以保證數(shù)據(jù)流的方向并防止惡意軟件感染。外設設備白名單可用于計算環(huán)境中，例如核電廠儀表和控制系統(tǒng)中的操作員站，工程師站，服務器和通信站網(wǎng)關，以控制外圍設備的使用。

1.4 工控協(xié)議白名單

通過相關安全保護的設備，例如：工業(yè)防火墻等，進行深入分析和識別網(wǎng)絡數(shù)據(jù)包指令。根據(jù)白名單的相關要求，禁止不相關的協(xié)議，并有效過濾非法的工業(yè)協(xié)議數(shù)據(jù)和非法指令，僅允許正確的協(xié)議數(shù)據(jù)及工業(yè)控制指令進行通過，可以有效地保證通信的安全性。工業(yè)控制網(wǎng)絡。①確認協(xié)議識別，以避免非法協(xié)議。②對協(xié)議進行深入分析，避免非法消息的傳播。③查看控制協(xié)議說明，避免非法使用。④確定指令的來源和目的，以防止非法通信。協(xié)議白名單通?？梢栽诠I(yè)防火墻中應用于核電站儀器和控制系統(tǒng)的安全域條目，以過濾出子網(wǎng)中的協(xié)議流量。

1.5 工控行為白名單

在工業(yè)控制網(wǎng)絡中，所有節(jié)點之間建立連接，諸如：發(fā)出命令和報告數(shù)據(jù)之類的網(wǎng)絡交互都是工業(yè)控制行為?；趯χ噶畹纳钊敕治龊蛯I(yè)務的深入了解，可以從正常的工業(yè)控制業(yè)務中了解工業(yè)控制行為的基準，并可以建立白名單。工業(yè)控制協(xié)議白名單負責過濾非法消息，以確保將所有合法消息和合法連接輸入到網(wǎng)絡中，但不能防止濫用或惡意操作。例如，不適合對公司不滿意的員工。停止設備的說明。工業(yè)控制行為白名單的主要作用是補償工業(yè)控制協(xié)議白名單中的缺陷并防止濫用或惡意操作。創(chuàng)建一個工業(yè)控制行為白名單需要一個漫長的學習過程，收集大量數(shù)據(jù)，并結合多個特征來建立行為模型[2]。

2 核電廠儀控系統(tǒng)安全防護具體實施措施

白名單防護策略的實施一般分為以下步驟。

（1）規(guī)劃。計劃。在設計和實施計劃之前，您必須制定計劃，以確定白名單計劃中所涉及的具體業(yè)務，區(qū)域和主機，并基于主機確定白名單計劃：中使用的主機技術，基于網(wǎng)絡，兩者均都采用。

（2）設計選型。根據(jù)具體計劃，設計合理的網(wǎng)絡白名單及主機白名單設計方案，并有效結合業(yè)務和網(wǎng)絡拓撲，設計白名單部署方案并進行選擇合理的白名單產品。

（3）驗證原型。根據(jù)設計，在核實驗室里，將根據(jù)測試環(huán)境對白名單原型進行驗證，以確保白名單產品功能齊全，并保證對業(yè)務運營沒有影響。

（4）實施。驗證后，列入白名單的程序進入實施階段。實施之前，必須確保主機未感染惡意軟件。白名單產品通常需要經(jīng)過學習才能生效，即白名單過程。如果將惡意軟件添加到白名單中，則白名單方案不能保證主機的安全性。工業(yè)控制行為白名單特別需要長期研究。實施包括以下兩個階段。①學習階段。在這段時間內，了解當前的網(wǎng)絡流量，過程和計算環(huán)境以將其列入白名單。在此階段，白名單將不會強制攔截，而只會生成警報并等待管理員確認。②白名單正式生效。在此階段，將攔截不符合白名單要求的工業(yè)控制程序，消息和操作。

（5）維護。實施白名單后，需要定期維護。維護內容主要包括：檢查相關日志和產品告警信息，以驗證系統(tǒng)是否正常運行，在安裝或更新軟件時需要進行白名單更新[3]。

3 結語

總之，使用白名單技術的工業(yè)控制主機保護軟件，工業(yè)防火墻，審計設備和其他產品在保護上與傳統(tǒng)黑名單產品相似，但它們更適合于核電站的特殊情況，最終的保護效果更好，對生產系統(tǒng)的影響較小。使用白名單技術的安全產品應包括在核電站的一般安全解決方案替代清單中，并且正在越來越多地使用。