Öryggisvörn í orkubílastjórnunarkerfi: Tækni og forrit

Raforkunarkerfi gagna um orka taka á sig kerfisverkefni eins og rauntíma gagnun á rásneti, villudigning og stjórnunaraðgerðir. Öryggis þeirra hefur bein áhrif á stöðugleika og traust sem orkurásar. Með dýpri notkun tækni eins og skýjaútreikning, Internet of Things (IoT) og stór gögn í orkuframleiðslu, eru upplýsingaöryggishættur fyrir raforkunarkerfi að auka.

Þessi kerfi standa fyrir mörgum afleiðingum, meðal annars áhætturnar af hæfilegri vellíðandi truflun (APT), neyd áþvörp (DoS) og smitslysi. Sérstök öryggismál byggð á einhliðu verndarstrategíu, eru erfitt að takast við flóknari angrebshætti. Þarf að taka til aðferðar með djúpvernd og auka verndarmöguleika kerfisins með marghliðu öryggismechanísum.

1. Uppbygging og virkni raforkunarkerfa

Raforkunarkerfi er almennt stjórnunarkerfi fyrir orkurásar, notað til rauntíma gagnunar, stjórnunar og bestunaráðgerða um stöðu orkurásar. Kerfið er venjulega samsett úr gagnunarkerfi, gögnasamsetningartækjum, snertilegum endapunktum, samskiptaneti og forritum. Gagnunarkerfið, sem er miðpunktur kerfisins, er aðskiljanlegt um að vinna stórar magn orkugagna, greina stöðu og framkvæma skipanir.

Gögnasamsetningartækjum eins og fjartengdu endapunktar (RTU) og snertilegar elektróns tæki (IED-Business), er fengist upp á lyktarupplýsingar eins og straum, spenna og tíðni gegnum mælitækjum og samskiptagreini, og senda gögn til stjórnkerfisins. Samskiptanet er venjulega notuð með skyldulaga eins og IEC 61850, DNP3 og Modbus til að tryggja gagnvirði og traust samskipta.

Forritin innihalda virkni eins og skipanastjórnun, hlaupspá, stöðugreiningu og villudigning, sem stuðla til bestun á orkurásarstjórnun og varnareyðublöð um óvenjulegar stöður. Nútíma raforkunarkerfi hefur víðtæklega tekið til skýjaútreikning, brúnaskýjaútreikning og sjálfvirk intelligens (AI) tækni til að bæta gögnavinnslu og ákvörðunargjöf. Kerfið er tengt orkuskilningi, tækijastjórnun og gögnagreiningu, og öryggi hans er beint tengt stöðugleika orkurása og löndrænni orkuöryggi.

2. Upplýsingaöryggisskyldulaga raforkunarkerfa

2.1 Skyldulaga fyrir netaöryggi

Skyldulaga fyrir netaöryggi raforkunarkerfa skal byggja djúpvernds system frá mörgum hæddum, eins og efnisbundið skilgreining, skylda samskiptatækni, ferligreining og virk varn, til að efektívt takast við áhætturnar af illvillu angrebum og gögnageyming. Fyrst, með tilliti til netaháttar raforkunarkerfa, ætti að taka til netahópartiltekinna til að skilgreina eða skilgreina stjórnunarnet, starfsnet og rekstrarstöðu til að minnka angrepsflatarmál, og nota eindrengsla gögnasvæði teknologíu til að tryggja að grunnstjórnunarskipanir geti ekki verið breyttar.

Aðra, með tilliti til skylda samskiptatækni, ætti að nota dulkóðunargang (sem TLS 1.3) til að vernda gögnasvæði skyldulaga eins og IEC 61850 og DNP3, og MACsec (IEEE 802.1AE) ætti að vera sett í gang til að gefa linka-dulkóðun, til að forðast millibrot og gögnageyming. Með tilliti til ferligreiningar, ætti að setja í gang AI-bundið óvenjulegt ferligreiningarkerfi (AI-IDS), með notkun djarft læringar reiknirit til að greina pakkar og finna óvenjuleg aðgerðir, aukar greiningar réttleika yfir 99%.

Samtímis, með tilliti til virk varnar, Zero Trust Architecture (ZTA) getur verið tekið til til að stendurtekið auðkenning og stjórnun aðgangs fyrir allar ferlir, til að forðast dreifingu innskemmtanar áhætturnar, þannig að auka netaöryggi raforkunarkerfa.

2.2 Auðkenning og aðgangsstjórnun

Auðkenning og aðgangsstjórnunarkerfi raforkunarkerfa verður að tryggja réttleika notenda, tækja og forrita, til að forðast óauðkennd aðgang og missnotkun aðgangs. Á hinn veg, með tilliti til auðkenningar, ætti að taka til Public Key Infrastructure (PKI) bundið tölvukröfu auðkenningarkerfi, til að veita uníku auðkenningarauðkenningu til rekstraraðila, SCADA kerfis hluta og snertilegra endapunkta.

Með tvíveldi auðkenning (2FA), ein-mál slóðorð (OTP) og líffræðileg greining (líkt og fingraflestur eða auga horn), getur aukast öryggi auðkenningar. Í fjartengdum aðgangsskilyrðum, FIDO2 skylda getur verið tekið til til að stöðva auðkenning, að lágmarka áhætturnar af aðgangsgeymslu. Á hinn veg, með tilliti til aðgangsstjórnunar, ætti að taka til Role-Based Access Control (RBAC) og Attribute-Based Access Control (ABAC) samstarf, til að tryggja að notenda aðgangs sé strengt samhæft við þeirra skyldur, til að forðast óauðkennd aðgang.

Til dæmis, substation rekstraraðilar má aðeins aðgangi til ákveðin tæki, en skipanaraðilar eru takmörkuð við gögnagreiningu og skipanar útgáfu. Til að bæta aðgangsstrategíu, getur verið tekið til virk aðgangs breytingarkerfi, til að breyta aðgangs réttindi í rauntíma samhæft við notenda aðferðar og umhverfis breytur (líkt og staðsetning, tæki tegund, o.s.frv.). Aðgangsloggrækingarkerfi (SIEM) ætti að vera notað til að skrá allar aðgangsbeiðnir og samstarfa við machine learning tekník til að greina óvenjuleg aðgangs aðferðir, auka greiningar kraft orkuöryggishættu, til að tryggja örugg og stöðug aðgang raforkunarkerfa.

2.3 Gögnavernd og dulkóðunartækni

Gögnavernd raforkunarkerfa er tengd stöðu eins og gögnageymsla, sending, vinnsla og varðveisla. Hæsta styrk dulkóðunartækni og aðgangsstjórnunarkerfi verða tekin til til að tryggja gögnakonfidentsialitet, heildarheit og aðgangs.

Fyrst, í gögnageymslustigi, AES-256 ætti að vera notað til að dulkóða mikilvæg gögn, og Shamir's Secret Sharing (SSS) ætti að vera tekið til til að splitta og geyma lykli, til að forðast einskis geyslan. Aðra, í gögnasendingarferli, TLS 1.3 skylda ætti að vera notað til að framkvæma enda til enda dulkóðun fyrir samskipti milli SCADA kerfis og snertilegra endapunkta, og Elliptic Curve Cryptography (ECC) ætti að vera tekið til til að bæta dulkóðunarefni og minnka reiknungar afbrigði.

Loks, til að tryggja gögnakonfidentsialitet, SHA-512 hash fall ætti að vera notað til að mynda hash gildi, og HMAC ætti að vera tekið til fyrir gögnakonfidentsialitet, til að forðast breytingar áhætturnar. Fyrir gögnageymslu, blockchain byggt óbreytanlegt loggagögn kerfi ætti að vera notað, með smart contracts til að sjálfvirkilega stjórna aðgangs og bæta gögnakonfidentsialitet. Með tilliti til gögnavarðveislu, 3-2-1 skylda ætti að vera tekið til: að geyma að minnsta kosti trí rít af gögnum, á tveimur mismunandi mínum, með einum riti geymt í ólíkan stað, til að auka gögnabókunarkraft og tryggja að orkurásar geti hraða komið aftur í venjulega rekstri eftir angreb.

2.4 Öryggisgagnun og brottagreining

Öryggisgagnun og brottagreining eru mikilvægir hlutar af raforkunarkerfa verndakerfi, til að greina illvillu angrebshætti með rauntíma greiningu á netferli og kerfisloggum, auka orkurásaröryggi.

Fyrst, á netastigi, ætti að setja í gang brottagreiningarkerfi (IDS) með Deep Packet Inspection (DPI), samstarf við ferlisóvæði greiningarmódel (líkt og K-Means clustering eða LSTM recurrent neural networks), til að greina angrebshætti eins og DDoS og gögnageyming, stjórna falsk jákvæðar greiningar undir 5%.

Aðra, á host security monitoring stigi, ætti að taka til Endpoint Detection and Response (EDR) kerfi með aðferðargreining, með User and Entity Behavior Analytics (UEBA) til að greina notenda og tæki aðferðar, greina óvenjulegar innskráningar, aðgangsmissnotkun og smitslys implantation. 

Loks, fyrir SCADA kerfi, ætti að taka til verkstjórnarferli anomaly detection tekník, með Finite State Machines (FSM) til að greina réttleika skipana frá skyldulaga eins og Modbus og IEC 104, til að forðast skyldulaga missnotkun. Með tilliti til logg greining og tengsl greining, ætti að taka til Security Information and Event Management (SIEM) kerfi til að sameina logg gögn og framkvæma rauntíma greining með ELK hátt, auka öryggis sýnishorn.

2.5 Bráðamálsviðgerð og öryggishættuviðgerð

Bráðamálsviðgerð og öryggishættuviðgerð raforkunarkerfa verða að takast við hættuidentifikation, atburðaviðgerð, bakfærslu greining og endurbætisskipan til að minnka áhrif öryggishættuaðgerða á orkurásarrekstri. Fyrst, í hættuidentifikationsstigi, með SOAR plattform, ætti að greina alarm atvik sjálfvirkilega, og meta angrebshætti með samstarf við hættu upplýsingar, auka réttleika atviksflokka.

Aðra, í atburðaviðgerðarstigi, ætti að taka til stigskipta viðgerðarkerfi, flokkun öryggishættuaðgerða í stigin I til IV, og taka viðeigandi aðgerðir eftir atburðastigi, eins og aðskilja smitslysaða endapunkta, blokkera illvillu IP tengingar, eða skipta yfir í varaleit. Fyrir hæfileg vellíðandi truflun (APT), ætti að taka til aktív varnakerfi með hættu leit, með YARA reglur til að greina falin bakdörrar og auka greiningar kraft.

3. Notkun mikilvægustu upplýsingaöryggistækni

3.1 Blockchain byggt orkugögn bakfærslu lausn

Blockchain tekník, með eiginleikum eins og dekentralizering, óbreytanlegt og bakfærslu, gefur höfuðlega traust gögn bakfærslu lausn fyrir raforkunarkerfi. Í orkugögn stjórnun, gögnakonfidentsialitet og traust eru mikilvægir spurningar. Venjuleg samtrafð gagnagrunn hafa hættu einskis villu og breytingar. Blockchain notar dreifð bókhaldstæki til að tryggja gögnageymslu.

Fyrst, í gögnageymslustigi, hash chains er notað til að dulkóða og geyma raforkunarkönnunargögn, hver gögn mynda einkennilegt hash gildi tengt fyrri blokk, tryggja gögn tímasett samhengi og óbreytanlegt. Aðra, í gögnadeilingarstigi, consortium chain hátt er notað, stilla orkurásar skipanakerfi, substations og stjórnborð sem consortium noder, staðfest gögn réttleika með Byzantine Fault Tolerance samþykkt hátt, tryggja að gögn geti ekki verið breytt af óauðkenndum noder, auka gögnakonfidentsialitet.

Loks, með tilliti til aðgangsstjórnun, permission management mechanism með smart contracts er tekið til, skilgreina aðgangsreglur til að tryggja að notenda aðgangs réttindi séu takmörkuð af reglum, undanfara óauðkennd gögnakalli. Til dæmis, með því að setja upp smart contracts með Hyperledger Fabric framework, rekstraraðilar eru takmörkuð til að spyrja um tæki rekstri stöðu, en stjórnborð geta fengið fulla sögu gögn, tryggja gögnakonfidentsialitet og samræmi.

3.2 Upplýsingaöryggisvernd fyrir orkurásar í 5G og brúnaskýjuútreikningsumhverfi

Samþætting 5G og brúnaskýjuútreiknings í raforkunarkerfi bætir gögnavinnslu efni og rauntíma svara, en fær einnig nýjar upplýsingaöryggishættur. Fyrst, með tilliti til samskiptaverndar, vegna 5G net nota network slicing hátt, óháð öryggisskyldulaga verða sett upp fyrir mismunandi þjónustu ferlir til að forðast cross-slice angrebshætti.

Enda til enda dulkóðun (E2EE) tekník ætti að vera tekið til, samstarf við Elliptic Curve Digital Signature Algorithm (ECDSA), til að tryggja að orkurásar skipanargögn séu ekki breytt eða stolín í sendingarferli. Aðra, með tilliti til brúnaskýjuútreiknings öryggi, Trusted Execution Environment (TEE) ætti að vera sett upp, eins og Intel SGX eða ARM TrustZone, til að öruggt skilgreina brúnaskýju endanodi og forðast illvillu kóði að fara inn í mikilvæg stjórnunargreiningu.

Decentralized identity auðkenning (DID) mechanism ætti að vera tekið til, stjórna brúnaskýju endanoda aðgangs réttindi með decentralized identifiers (Decentralized Identifier) til að minnka aðgangsgeymslu hættu. Loks, fyrir þá spurning að brúnaskýju endanodi séu áhættu fyrir efnisbundið angrebshætti, Hardware Root of Trust (RoT) tekník ætti að vera tekið til til að framkvæma fjartengd heillíkind greining af tæki firmware, tryggja að tæki séu ekki verið breytt af illvillu.

4. Ályktun

Upplýsingaöryggistækni í raforkunarkerfi spila mikilvægar hlutverk í að tryggja stöðug orkurásar rekstri og forðast netangrebshætti. Með því að byggja upp marghliðu öryggisverndakerfi og taka til mikilvægustu tækni eins og blockchain, 5G, brúnaskýjuútreikning, og dulkóðunartækni, geta gögnakonfidentsialitet, netvarnarkraft, og aðgangsstjórnun réttleiki verið efektívt aukað.

Samþætting við inteligenta gagnun og bráðamálsviðgerðarkerfi, getur verið náð rauntíma hættugreining og hraða viðgerð, minnka öryggishættu. Með þróun orkurásar digitalisering og intelligents, upplýsingaöryggistækni mun halda áfram að þróast til að takast við flóknari netangrebshætti, tryggja að raforkunarkerfi geti haldið örugg, stöðug og efni langtímabundið.