联系我们:
开锁不到一分钟
塔尔萨大学的研究人员报告说，在无人监督的涡轮门上开锁不到一分钟就能进入不安全的服务器。从那里，研究人员通过单个涡轮的服务器连接笔记本电脑，立即访问代表网络中每个涡轮的IP地址。
这只是风电场易受网络攻击的一个例子。我们防御这些攻击的能力正变得越来越关键。美国国土安全部表示，能源部门是黑客的重要目标。2014年，能源行业领先于所有行业，2015年，能源行业被报告为第二大目标。据欧洲风能公司称，风力发电的增长速度超过了其他任何形式的发电。2017年，陆上安装量同比增长14.3%，海上安装量同比增长101%。
2015年12月和2016年乌克兰的停电被归咎于对电网的网络攻击。据报道，黑客通过远程控制SCADA和变电站基础设施，破坏了首都基辅部分地区的电力系统。这些系统也应用于海上风电场。
欧盟的能源安全
陆上风力发电的成本与其他电力来源相比具有竞争力，海上风力发电的潜力非常大，但该行业需要降低成本。北海非常适合开发海上风能，并将成为提高欧盟能源安全和经济脱碳的关键。
然而，由于其固有的不确定性，风力发电机往往无法像更可预测和可控的传统发电机那样参与电力市场。鉴于此，虚拟发电厂(VPPs)正被提倡作为提高这种间歇性可再生能源可靠性的解决方案。未来越来越多的海上风电场被用作VPP，再加上黑客对风电场的攻击，可能会严重破坏整个欧洲的电网稳定。
最可怕的是那些所谓的国家资助的海上风电场——>图1。
风电场的脆弱性
海上风电场通常容易受到黑客攻击有几个原因。
- 网络安全的方法主要集中在IT上，没有考虑到操作技术(OT)的不同方法。
- 还有一些老式的风电场，包括通信系统，从来没有像IEC/ISO 62443标准那样以“设计确保安全”的心态进行设计
- 与IT安全相比，SCADA等运营技术及其海上风电场的变电站确实需要不同的安全方法
- 物理安全性在设计中往往没有得到充分的保障，导致锁的质量较差，例如用于风电场机柜的锁
- 供应商的远程访问并不总是得到适当的管理(职责隔离)
- 与风电场的通信连接可以由多个供应商实现，而无需通知
- 使用过时的通信协议，没有安全性增强
海上风电场的运行技术/工业控制系统(OT/ICS)大多数时候是分散的。为了优化流程，需要相互作用来实现全部功能。使用信息技术(IT)，不同的元素提供自己的功能，不需要其他系统。
OT和IT:在网络上有所不同
为了网络安全，有必要了解It和OT之间的差异。对于IT来说，机密性是最重要的，对于OT来说，可用性是最重要的。其中一个例子是IT处理事务性流程，OT处理实时流程。虽然可用性是最重要的方面和关注点，但它通常不是设计和实现的一部分。
除此之外，许多相互联系已经存在，并将进一步扩大。我们是否有时间、知识和经验来每天甚至每小时检查整个系统的完整性?我们的首要任务应该是在可用性之前实时地维护系统的完整性。监测系统检测变化将支持工程师实时维护和检查控制系统的完整性。
入侵海上风电场/工业控制系统需要特定系统、物理过程和组织的专家领域知识
- 国家支持的袭击需要很长时间的准备
- 他们只在有把握成功的时候才会进攻
- 他们拥有世界上所有的时间
- 在攻击中，你总是落后。
内部威胁也是一个很大的威胁，因为他/她已经拥有专业领域的知识。
以整体方法捕捉网络安全问题
整体论认为，自然系统(物理的、生物的、化学的、经济的等)及其特性应被视为整体，而不是部分的集合。因此，确保网络安全稳健性和弹性的整体方法是不可避免的。
这可以通过将著名的v模型与网络安全服务相结合来实现。在整个测试社区中，v模型被广泛认为是开发过程的说明性描述，是为测试人员描述的。上述服务包括代码审查、设备健康测试(包括功能测试、阴性测试和健壮性测试)。最后，可以添加已知漏洞测试和利用全球漏洞数据库。结果是对调查结果和建议的全面概述。除此之外，端到端系统测试是不可避免的。
人们可能会认为这些项目成本高昂，因此建议网络安全项目采用基于风险的方法。
这种整体方法将提供有效的、具有成本效益的技术验证，以提供“自底向上”的证明，从端到端角度为完整的系统采取了适当的安全措施。结果包括:
- 安全网络设计原则
- 物理网络防御和入侵防御
- 数据流分析
- 预防、发现、缓解和恢复的政策和程序。
根据我们的经验，现在就开始检查连接到互联网的设备，尤其是远程访问，这是至关重要的。你能控制你的海上风电场吗?很多时候，员工都不知道连接到互联网的设备。
本文首次发表于海洋产业
作者:
沃尔夫·k·弗罗伊登伯格，挪威船级社
