从委内瑞拉大停电事件看电力系统安全防护

分享至

更多全球网络安全资讯尽在E安全官网www.easyaq.com

2019年1月23日委内瑞拉总统马杜罗因美国支持反对派瓜伊多自封“临时总统”宣布正式与美国断交。委国经济遭到美国新一轮的制裁，IMF预测19年通货膨胀率达到10万倍。3月7日，委国发生迄今为止最大规模停电事件，让这个身处危机之中的国家雪上加霜。

委内瑞拉通讯和信息部部长罗德里格斯表示，水电站遭到网络攻击。委内瑞拉打算向联合国人权事务高级专员米歇尔·巴切莱特投诉。尽管事件目前仍未定性为网络攻击。但毫无疑问的是，网络空间中已经存在开展此类攻击的现实基础，那么此类事件发生只是时间问题。

我们早已经习惯于享受网络的便利，似乎已经成温情脉脉的生活载体，却忽视了“牵一网而动全身”的警示价值。在美军加紧网络战争准备、西方媒体广泛讨论人工智能等新技术应用于网络战的同时，我们应该抛弃幻想，直面威胁，维护安全，以强大的网络国防实力支撑，共同构建安全有序的网络空间命运共同体。研究人员通过分析委内瑞拉大停电事件、委内瑞拉电力控制系统基本现状，结合多年在电力企业网络信息安全防护一线的实战经验，给出了具体的防护思路。

1 事件概况

委内瑞拉首都加拉加斯停电后

委内瑞拉大范围停电事件开始于 2019年3月7日当地时间下午4:56。停电影响了委内瑞拉 23 个州中的21个州的医院和诊所、工业、运输和供水服务（澎湃新闻）。3月12日，该国部分地区电力已经恢复，但加拉加斯仍然只有部分供电，与哥伦比亚接壤的西部地区仍处于黑暗状态。截至3月14日，停电尚未完全解决。

关于3月7日停电事故原因存在两种不同的观点，一是以委内瑞拉官方为代表的观点，认为本次事故是由于委内瑞拉最大的古里水电站受到反对派和美国网络攻击导致机组停机所致。二是以反对派临时总统胡安·瓜伊多为代表的观点，认为本次事故是由于古里水电站送出线路廊道发生火灾引起765千伏主干线路(San Geronimo B ~Malena段)跳闸，导致国家中心变电站失压；而马杜罗政府多年来管理不善，造成委内瑞拉电力供应紧张，没有足够的备用电力来应对古里水电站的停运。

2 古里水电站概况

古里水电站，正式名称为西蒙·玻利瓦尔水力发电站（西班牙语：Central Hidroeléctrica Simón Bolívar），位于委内瑞拉玻利瓦尔州的土石坝，横跨奥里诺科河支流卡罗尼河，坝体长7,426米，高162米，蓄水形成古里水库（Embalse de Guri），水库面积为4,250平方千米（1,641平方英里）。正式名称命名自拉丁美洲革命家西蒙·玻利瓦尔。（参考Wikipedia英文）

这座水电厂是世界已建成装机容量第四大的水电站。坝址年径流量1536亿立方米。总库容1350亿立方米，调节库容854亿立方米。水电站装机1020万kW。年发电量510亿千瓦时，为委内瑞拉总发电量的2/3。

第一期工程于1963年9月开工，1968年开始发电，1977完工。安装10台机组，总装机容量268万kW。

第二期工程于1978年开工，1984年开始发电，1986年10月竣工。安装10台61万kW机组（最大出力73万kW）。一期安装的机组由于水头提高，装机容量增至300.5万kW。

自2009年以来，委内瑞拉面临多年的停电事故，包括2013年的两次大停电，其中一次电力故障影响了加拉加斯和17个州，持续了6个小时；以及2016 年由于恶略天气导致的严重的电力和水力危机；而在2018年的一次大停电，官方声明影响了8个州，持续了10个小时。总的来说，古里水电站运行存在很大的不稳定性。

3 事件回顾

2019年3月7日，委内瑞拉政府指责称，造成本次停电的原因是委国内最重要的古里水电站遭到反对派蓄意破坏，通信和信息部部长霍尔赫·罗德里格斯暗示美国在幕后策动攻击委内瑞拉的电网。反对派“临时总统”胡安·瓜伊多表示，根据委内瑞拉Corpoelec输电公司内部人员透露，当地时间周四16：42分左右，古里水电站送出线路，路径发生火灾，导致联络Guri~Malena~SanGerónimoB变电站三回765千伏线路跳闸。但另一部分的说法则强调，古里大坝的发电涡轮机出现不明原因的停摆，为了重启系统委电才在周四当夜“强迫重启机组4次”，没想到涡轮不仅没能复活，反倒引爆了变电站。

下图是大停电事件发生后7天，委内瑞拉发生的数次断电的电力走势图（来源：Netblocks）

4 委国电厂控制系统概况

委内瑞拉全国发电量约为117,000GWh，其中水电占64％，天然气发电占19％，石油发电占17％（引自：国际能源署数据，2015年）。水力发电集中在瓜亚纳地区的卡罗尼河上，位于该国东部，共有4座水电站，分别是古里水电站、Caruachi水电站、马卡瓜水电站、Caroní水电站。其中，最大的古里水电站，装机容量为10,200兆瓦，位列世界第三大水电站。

由于主力电源分布在东部地区，主网电力流呈现“东电西送”格局。从图4委内瑞拉主网架结构可以看出，委内瑞拉输电网由765kV、400kV、230kV三个电压等级构成，古里水电站电力通过765kV、400kV向该国负荷中心送出。

2005年，委内瑞拉最大的水力发电厂古里水电站现代化改造项目由其所有者在工厂进行，使古里水力发电厂的寿命延长30年。其中包括对发电机组进行全面的机械检修，由不同的风机供应商和机械承包商进行。委国和ABB签订了设计、控制系统供货、安装仪表和保护系统的合同。项目由包括ABB委内瑞拉，ABB加拿大和ABB瑞士在内的三方联盟实施，并在2007年1月份首次交付。（参考《ABB评论》06年3月期）

4.1控制系统

由ABB为电厂设计的分布式控制系统（DCS）集成电厂已有的前三个级别分级控制系统。第一级包含通过Profibus网络与下一个控制级通信的现场设备（智能变送器和远程I/O站）。第二级具有单元控制系统（UCS），该系统基于ABB的IndustrialIT控制器AC800M。该级别支持运行生成单元的所有自动控制序列。系统设计中用冗余来确保其可靠性。每个UCS具有两个基于ABB发电门户（PGP）的冗余人机界面（HMI）。控制器，HMI和附件集成到工厂的现有机柜中。第三级位于每个动力室的现有控制室中，包括每个单元的操作员控制台。该级别与SNC Lavalin在20世纪90年代末安装的现有集中控制系统连接。

分布式控制系统(DCS)包括操作员级别的ABB发电门控制台，过程级别的ABB AC800M控制器以及现场级别的ABB S800 I/O模块以及智能变送器。

4.2控制方式

该站可以通过电站＃2中现有的集中控制系统（主SCADA站），电站＃1和＃2中的控制室，或者在UCS上运行。提供UCS，控制室和主SCADA站之间的本地/远程控制传输。

在DCS内，工厂控制在单元级别。例如，Unit 1 UCS的操作员可以访问Unit 1图形，I/O和控制功能。所有单位都以相同的方式运作。 DCS不执行工厂范围的控制。这是由现有的主SCADA站执行的，该站存在于DCS之上的控制级别。现有的主SCADA站通过接口与DCS进行通信。

I/O模块和智能变送器分布在整个工厂中，I/O设备位于受控制和监控的设备附近。

4.2.1控制路径

操作员控制可以在整个工厂的许多不同区域进行。因此，重要的是管理控制的位置并防止设备同时从两个不同的点进行操作。

操作员控制可在Powerhouse＃1内的以下位置执行：

控制室 - 工作台上的工作台和主控制板（MCS）1 - 10 UCS。 Powerhouse＃1有10个UCS。个别单位可以在每个UCS控制。控制和监视功能包括单元启动/关闭以及单元监视和通知。

4.16KV辅助服务 - 在工厂车间PH1污水泵和排水系统 - 在工厂车间当地440V辅助服务（仅限本地控制）工厂控制服务（仅限本地控制）溢洪道 - 通道1,2,3大坝污水泵和排水系统

操作员控制可在Powerhouse＃2内的以下位置执行：

控制室 - 台板和MIMIC面板（MIMIC）单元11 - 20个工厂车间的UCS。Powerhouse＃2有10个UCS。每个UCS都可以控制各个单元。控制和监视功能包括单元启动/关闭以及单元监视和通讯控制。

4.2.2 AC800M控制器

AC800M控制器构建为带有两个内置以太网端口的轨道安装模块。它们包括中央处理单元，通信模块，电源模块和各种附件。控制器设置为冗余配置。

4.2.3现场I/O - S800 I/O模块和智能变送器

S800 I/O模块和现场总线通信接口（FCI）模块组合在一起形成I/O站或I/O群集。通过Profibus-DP1连接到控制器的I/O被认为是I/O站。通过ModuleBus连接到控制器的I/O被视为I/O群集。整个工厂安装智能通讯工具和仪表。由于这些设备通过Profibus-PA2进行通信，因此使用Profibus-DP / PA转换器来与控制器进行通信。

4.2.4协议和传输

控制器使用了许多通信协议和介质。这些包括以下内容：

控制网络（LAN）通信：Modulebus通信ProfibusDP通信Profibus PA通信，控制器通过以太网LAN和WAN（广域网）与其他控制器和HMI通信。控制网络以100 Mb / s的速度运行。控制网络由平行独立环网构成，如果线A中断，则通信将沿着线B继续；如果线A和B都断开，则环结构将变为总线结构。

I/O网络通信：I/O网络将工厂的所有I/O设备连接到控制器。有三种类型的通信协议用于I/O网络。这些是：ModuleBus：用于通过塑料光缆直接与本地I/O群集通信。 ModuleBus支持SOE功能；Profibus DP：用于直接与远程I/O站通信，间接与智能传输器通信；Profibus PA：用于为智能电子设备（IED）供电以及从IED传输信息。

5 停电事件原因分析及应对措施

5.1原因分析

综合以上信息，导致如此大规模停电的原因仍然不能确定，但设备物理损坏可能性远大于网络攻击。然而千里之堤溃于蚁穴，切莫忽视任何不安全因素的存在。委内瑞拉电力基础设施薄弱，设备维护不到位，技术人员水平低下，工业控制系统防护不足，都是影响电厂稳定工作的巨大隐患，尤其电能关系着人们生活、生产、医疗等方方面面，一旦出现问题将会带来不可估量的损失。

我们分析，古里水电站、变电站以及输配电线路可能存在的安全问题有：

5.1.1水电站方面

5.1.1.1、基础设施、设备老化，维护不足；

5.1.1.2、所采用的Win系统存在漏洞、弱密码，加固不足；

5.1.1.3、ABB系统已发现的高危漏洞，防护不足：

CNVD-2014-02852 ABB AC800M报文缓冲区溢出漏洞

CNVD-2014-02853 ABB AC800M报文异常取值拒绝服务漏洞

ICSA-10-097-01 ABB NETCADOPS帮助系统漏洞

5.1.1.4、厂内工业控制协议安全防护不足，易受攻击；

5.1.1.5、没有对生产网络流量进行监控和审计，无法及时发现攻击行为；

5.1.1.6、没有采取有力的技术和管理措施对移动U盘和光盘使用有效控制；

5.1.1.7、委内瑞拉政府电力部门运维监管不到位；

5.1.1.8、对安全事件的应急处置工作重视不足，应急预案针对性、可操作性不足。

5.1.2变电站方面：

5.2.1、各端变电站人员技术水平低下；

5.2.2、电磁防护不足；

5.1.3 输配电方面：

5.3.1、基础设施安全保障不到位，导致主线路火灾发生时难以控制；

5.3.2、主线路没有容灾配置，损坏后难以重构；

5.3.3、水电站无配电措施，停机后黑启动十分危险。

5.2网络安全应对措施

5.2.1应急措施

若委内瑞拉大停电事件确定是网络攻击造成的，那么其病毒攻击能力绝不亚于Stuxnet。

在已恢复大部分供电的情况下，应急人员需彻底检查控制系统以及AC800M与I/O通讯传输过程的网络安全隐患，操作系统漏洞修补和0day漏洞发现情况。如若发现病毒，应深入分析，根除病毒及变种。以古里电厂现有的系统分级结合Power Systems保护系统，分区域隔离并恢复系统和应用防止再次感染。安装Microsoft更新并配置部署主机安全防护系统以解决安全漏洞、安全基线配置问题。建立密码访问机制，并更换无法修复的设备。

5.2.2预防措施

通过采用一整套的工控系统信息安全解决方案，以建立纵深防御策略为主要思想，确保通讯网络中即使某一点发生网络安全事故，系统也能正常运行，同时，工厂操作人员能够很迅速的找到问题并进行处理，在保证建立立体化防护的同时，使水电厂符合安全要求。

区域隔离：通过工控防火墙能够过滤两个区域网络间的通信。这样意味着网络故障会被控制在最初发生的区域内，而不会影响到其它部分；

深度检查：面向应用层对特有的工业通讯协议进行内容深度检查，告别病毒库升级缺陷；

通信管控：通信规则是可以通过中央管理平台进行在线组态和测试的；

主机安全防护：安装了主机安全防护系统的电脑在面对自身与外界的安全威胁有了更深的防护级别，深度执行白名单数据库的数据运行；

数据及日志审计：完善的安全审计平台，对网络运行日志、操作系统运行日志、安全设施运行日志等进行集中收集、自动分析，及时发现各种违规行为以及病毒和黑客的攻击行为；

实时报警：所有部署的防火墙都能由管理平台统一进行实时监控，任何非法的（没有被组态允许的）访问，都会在管理平台产生实时报警信息，从而故障问题会在原始发生区域被迅速的发现和解决。

综上，针对电力等基础设施和工业系统，在落实能力导向建设模式构建动态综合防御体系的工作中，必须以保障业务运行的连续性和可靠性要求为基本前提，这就对基础结构安全能力、纵深防御层面安全能力的规划、建设和安全运行提出了更高的要求，对于现网系统，针对各种等可能对业务连续性产生潜在影响的安全动作，需要极为慎重，综合采用合理规划、分区分域、收窄暴露面等方式，有效布防，并通过完备的应急响应预案制定、演训式威胁评估等相关措施，最大限度避免或减少对业务系统可能产生的影响，确保系统业务的弹性恢复能力。

对国民经济关键领域的市场开放必须采取非常慎重的态度，特别是像电力系统这样的“生命线”领域更是要慎之又慎，否则，就无异于引狼入室和埋下“定时炸弹”。