内蒙某电厂跳机事件分析及整改方案

收录于话题

事件回顾

12 月 4 日，内蒙古某电厂在开展 DCS 系统技术改造工作期间，因山西某科技公司冒用DCS厂商资质许可，其技术人员使用非DCS厂商认证设备加之施工不当导致发生机组跳机事件。经查事发时施工人员正将新增入侵检测设备（IDS）连接至两台机组交换机，拟接收网络镜像流量开展分析。由于入侵检测设备在未加电状态时两个网口处于 bypass 连通状态，造成两台机组 DCS 网络直接互通，最终导致两台机组跳机。

此次事件影响重大，对于业内也是一次深刻的教训，反映出电厂电力监控系统工作中的一系列问题，为防范类似事件发生，应全面提高电力监控系统作业风险防范意识，强化网络安全设备安装调试作业安全管控，细化落实网络安全设备调试安全技术措施，深入做好网络安全设备风险隐患排查整改工作。威努特各层领导与研发团队高度关注本事件，希望通过本文分享在类似场景上的相关经验，为工业客户提供解决之道和专业的安全产品与服务。

硬件bypass原理解析

下图为绝大部分网络安全设备硬件bypass用到的电磁继电器

电磁继电器

电磁继电器工作原理如果用简单的话说，就是电磁铁通电时，把衔铁吸下来使两个触点，工作电路闭合。电磁铁断电时失去磁性，弹簧把衔铁拉起来，切断工作电路。其通常应用于自动控制电路中，事件中的IDS在未通电的情况下一对bypass口相当于直连直通的网线，将两个网络连接。

工业OT网络特点

OT网络多数承载着国家重要基础设施如电力、能源行业等，这类网络与IT网络有着明显的差异性，比如：

1. 对OT网络而言IT技术只是为了实现某个业务的技术手段，而非目的；

2. OT网络中有各类工程控制组件，现场环境远比机房复杂；

3. OT网络非常关注实时性、稳定性与可靠性；

4. OT网络的划分是根据其行业特性而来的，不能套用IT网络通用的结构；

5. ……

这些差异特性使得在为OT网络规划解决方案时，无法再用传统IT网络安全的思维，做标准化产品的同质竞争。而要根据客户实际的使用方式与场景，量身打造与工业OT场景契合的安全产品。生产无儿戏，用百分之百的责任心打磨产品，才是工控安全厂商的安身立命之道。

业内旁路设备现状

上游供应链倾向提供标准款版型

以x华、x研等为代表的上游产业供应链企业更倾向于提供标准款版型，这类版型更考虑产品的通用性，所以基本都配置了接口bypass能力。这导致下游厂商在选用时出于成本考虑也大都采用供应商提供的方案。如下图：

厂商旁路设备与串联设备使用通用硬件平台

旁路类设备和串联类设备的主要差异在软件上，对于硬件平台而言，大多数厂商更倾向于避免硬件设计差异，导致共用硬件平台。以下展示部分友商的旁路类产品：

旁路设备接线实施五要点

按标识接线

明确对应bypass接口标识，在实施时避免使用带有bypass功能的接口，如下图：

全奇全偶接

通常硬件bypass接口组会选择邻接的接口，只使用单数的或者双数的业务接口，可以规避业务口接入同一bypass组，如下图：

从后往前接

大多产品bypass接口都是靠前序列的，常见配置是1路或2路bypass，通常为0/1口、2/3口，在接线时从末尾接口向前接入，可以适当规避，如下图：

闲口要封堵

对于机身bypass接口和其他未规划使用的硬件接口进行封堵，避免误操作，如下图：

选型上规避

在硬件平台的选型上规避使用带bypass接口的型号，从源头解决问题。

欢迎广大客户来电咨询，我司提供免费技术咨询与解决方案。

柳（工程师）：13382697089

任（工程师）：15393528383

冯（工程师）：18561758698

威努特技术支持：4000-680-620

附：威努特产品排查方法

威努特简介

北京威努特技术有限公司（以下简称“威努特”），是国内工控网络安全领军企业、全球六家荣获国际自动化协会安全合规学会ISASecure CRT Tool认证企业之一和亚太地区唯一国际自动化学会（ISA）全球网络安全联盟(GCA)创始成员。

威努特作为国家高新技术企业，以创新的“白环境”整体解决方案为核心，自主研发了5大类30款全系列网络安全专用产品，拥有64项发明专利、64项软件著作权、70项原创漏洞证明等核心知识产权。积极牵头和参与工控网络安全领域国家、行业标准制定，受邀出色完成新中国70周年庆典、中共十九大、全国两会等重大活动的网络安保任务，被授予“国家重大活动网络安保技术支持单位”，得到了中央网信办、公安部、工信部等国家政府部门的高度认可。迄今已成功为电力、轨道交通、石油石化、军工、烟草、市政、智能制造、冶金等国家重要行业1000多家工业企业提供了全面有效的安全保障。

威努特始终以“专注工控，捍卫安全”为使命，致力于为我国关键信息基础设施网络空间安全保驾护航！