【知远导读】电力行业，无论是传统电网，还是可再生能源、微电网、智能电网，都正在面临日益严重的网络威胁。本文梳理了2023年美国电力系统遭受攻击的事例，并介绍了政府部门和业界对防范电力行业网络威胁的建议和举措。
一、美国电网运营商遭遇连续的电力系统攻击
2023年1月，正当美国大部分地区遭遇创纪录的严寒天气和大规模交通中断时，不法分子继续对变电站实施物理攻击。正如罗伯特·沃尔顿在《Utility Dive》中报道的那样，“去年11月，西北部靠近太平洋沿岸地区的六个变电站遭到袭击，联邦调查局正在调查北卡罗来纳州的一起持枪袭击事件……导致杜克能源公司约45000名客户断电。”包括本月最近的一次事件在内，当局正在调查短短几周内发生的13起变电站袭击事件，这是前所未有的。
这些袭击让人想起2013年4月发生在加州梅特卡夫的太平洋天然气与电力公司重要变电站袭击事件，加州公用事业委员会认为，这起事件为电力行业敲响了警钟，要求对暴露的基础设施进行更严密的安全审查。不幸的是，即使从那次复杂袭击中吸取了教训，但仍存在很多漏洞。
1.电网安全问题的主要影响因素
以下是一些相互关联的导致露天关键基础设施难以得到有效保护的因素：
一是“最后一英里”电力输送问题。虽然北美电力可靠性委员会关键基础设施保护标准（NERC-CIP）和联邦监管机构已经采取重要措施，来保护大型电力系统的关键节点——战略传输资产，如果这些资产成为攻击目标，可能会造成重大破坏和持续停电——但“中心辐射式”的电力输送方式，意味着输送线路的末端始终会有客户。简单来说，一个或两个变电站可以支持数千个家庭和企业（或关键客户），但根据北美电力可靠性委员会规章，它们不会达到临界水平，因为该法规要求加强物理和网络安全措施。鉴于系统过于庞大，监管机构和运营商在部署有限的安全资源时，必须采用基于风险的方法。但这些分级标准往往过于重视对电网造成的后果或影响，而未必总是考虑到特定场所的脆弱性或面临的威胁。
二是乡村地区的响应能力有限。大多数电力公用事业公司同时使用专有和合同警卫力量——但这些资源往往集中在大型发电厂、公司总部或关键电力控制设施附近。由于美国有55000多个变电站，在每个地点都安排充足的警卫是不切实际的。相反，公司通常是依靠当地执法部门以及一系列摄像头和传感器来指挥响应。
三是多个单点故障。虽然早期的一些报道（特别是北卡罗来纳州的报道）确实表明，那里的攻击者对如何“精确”关闭变电站有内部了解，但现实情况是，即使加固或屏蔽现场的关键区域，也无法阻止有攻击动机的攻击者破坏输电站或高压输电线路。电力传输的本质仍然依赖于遍布全国的连接点——任何一个连接点都可能受到攻击。
北美电力可靠性委员会和电网运营商基于风险的方法，在停电或电力中断期间加固关键站点并分担系统负荷，这意味着如果发生导致大范围、跨多州的停电事件，所需的应对措施必然比最近几周所见到的一次性破坏行为更为复杂且难协调。
2.提高电网安全的措施
虽然风险永远无法消除，只能加以管控，但电网运营商可以采取如下措施来抵御这种前所未有的攻击浪潮：
一是利用随机安全措施迷惑对手。随机安全措施是反恐战略的核心支柱。在全球反恐战争最激烈的时候，我们在美国国内外的军事基地都采取了这些措施，电网也可以借鉴这些经验。随机部署可见的安全措施（例如增加巡逻、部署当地执法人员、增加临时摄像头等）可以持续干扰对手的规划周期。
二是改革与执法部门的信息共享方式。电网运营商正在与联邦当局协调——联邦官员除了起诉肇事者之外，关键作用是从信息和情报共享的角度提供联系。这些攻击是否经过协调?它们是否有相似之处（例如，选择的目标、采取的措施、时间安排）?这些是融合中心和执法部门应该与运营商共享的问题类型，运营商之间也应该共享这些问题。
三是认真学习梅特卡夫（Metcalfl）手册。2013年太平洋煤气和电力公司（PG&E）在加州遭到攻击后，许多公用事业公司立即召集了工作组。现在是时候翻翻安全手册，提高内部应急响应能力，为类似攻击做好准备、做出响应并恢复。内部业务连续性团队通常非常强大，他们应该通过设计实地演习和桌面推演，阐明关键角色和职责以及响应行动/恢复时间目标，以防传输站点成为攻击目标。大多数公司还应制定安全现代化计划，旨在更新老一代安全系统和设备。鉴于最近的攻击形势，管理层应该重新确定这些计划的优先级。
四是争取公众的支持。每个人都记得911事件后为报告可疑活动而发起的“看到什么，就说什么”运动——其中许多运动仍在世界各地的机场和交通枢纽持续进行。无论摄像头技术多么先进，巡逻多么频繁，都不可能防范所有攻击。尽管如此，提高公众意识并争取市民帮助——向当局甚至直接向公共事业安全运营中心报告可疑活动——对于运营商而言，可以起到相当大的“增强战斗力”的作用。
二、可再生能源、微电网面临日益严重的网络威胁
2024年7月，美国联邦调查局（FBI）警告私营企业，美国可再生能源产能的扩大增加了被黑客攻击的风险，黑客可能会试图破坏电力生产、窃取知识产权或勒索重要信息。
联邦调查局表示，对住宅太阳能系统的攻击“很少见”，但想要造成更大影响的黑客可能会将目标锁定在微电网或大型太阳能发电场的逆变器上。联邦执法机构表示：“研究人员正在努力通过一种被动传感器设备来应对这种潜在风险，该设备可以检测到电流中的异常活动。”
然而，在现有基础设施上部署新的防御措施也存在问题，黑客可能会利用可再生能源未得到适当保护的时间差。位于加利福尼亚专注于网络安全的SafeBreach公司首席信息安全官阿维沙伊·阿维维表示：“‘安全设计’方法从一开始就内置了监控和防御功能，可以解决这个问题，但现实情况是，大多数公司还没有做到这一点。”
联邦调查局为保护可再生资源免受黑客攻击而提出的建议大多是通用最佳实践，但阿维沙伊·阿维维表示，这些建议很有必要，因为许多人的安全实践并不完善。但是，很多人没有养成基本的网络安全习惯。如果将恶意软件与新冠疫情进行类比，就像勤洗手一样……这是一个非常简单、原始的解决方案，但可以有效防止感染。不重复使用密码、在功能区域之间进行隔离，这些最基本的概念至少可以帮助人们最大程度地降低恶意攻击带来的潜在影响。
安全培训集团CloudRange的技术服务副总裁汤姆·马斯兰德（TomMarsland）表示，未打补丁的系统可能会导致威胁行为者进入关键系统。但他也表示，联邦调查局的警告中并没有提出什么具体建议。人们只需要做好基础的防护工作，公司也需要在基础工作上投资。
联邦调查局的警告和建议：
·可再生能源行业的利益相关者应定期监控网络活动，关注异常或可疑流量；
·公司网络应更新以修补安全漏洞，同时使用防火墙和防病毒软件；
·应维护数据的离线备份，且所有备份数据均应加密；
·应检查第三方供应商的安全状况；
·所有密码均应符合美国国家标准与技术研究院（NIST）制定的密码政策开发和管理标准；
·网络应进行分段，以防止勒索软件的传播。
联邦调查局鼓励可再生能源行业公司的现任和前任员工举报针对他们自己或组织的网络入侵，以及组织外外国公民的疑似入侵企图。
西雅图市前首席信息安全官、网络安全公司Critical Insight的首席信息安全官兼创始人迈克·汉密尔顿（MikeHamilton）在一封电子邮件中表示：“联邦调查局的建议是一个良好的开端，但确实构成了缓解他们所描述的具体威胁所需的安全控制措施的最低基准：操纵电力逆变器和针对微电网的威胁。”汉密尔顿表示：“开发和部署特定的电力监控技术来检测入侵企图，在现有部署中可能需要时间，但可以毫不拖延地纳入未来的项目中。然而，美国最高法院最近决定废除雪佛龙原则（Chevrondoctrine），并限制联邦机构的权力，这意味着“如果没有强制执行机制，联邦调查局的建议可能无法得到全面采纳”。
DomainTools公司安全顾问马拉齐·沃克（MalachiWalker）表示，从“技术角度”来看，美国可再生能源行业的扩张可能会增加恶意网络攻击风险。但联邦调查局列举的大多数风险“似乎适用于任何规模和范围都在增长或利用物联网连接设备的行业”。标准化被动传感器的开发和部署时间表尚不确定，但与更普遍的防御方法相结合，可能会有助于保护可再生资源。然而，这些解决方案“不应仅限于可再生能源项目”。
Dragos工业网络安全首席专家格雷戈里·波尔曼（GregoryPollmann）在一封电子邮件中表示，可再生能源领域面临的问题与电力行业其他领域面临的问题并无不同。基于逆变器的资源具有发展性，这意味着它们在很大程度上依赖于供应商和第三方机构进行操作和安装。这些连接会增加工业网络受到攻击的可能性，如果没有足够的可见性，就很难对其进行监控。
针对电力等国家关键基础设施面临的严重网络威胁，知远战略与防务研究所拟于2024年11月16日（周六），在北京召开研讨会，采取桌面推演（TTX）形式，探索潜在的网络威胁情景，研究关键基础设施领域存在的薄弱环节和可能的应对策略。五个推演想定包括：
1.针对电信基础设施（电信主干网）的网络攻击；
2.针对国家电网（核电站、风力、太阳能和水电站）的网络攻击；
3.针对交通基础设施（航空、铁路、港口、定位导航和城市智能交通）的网络攻击；
4.针对国家网络安全基础设施（政府高级网络和军队通信系统）的网络攻击；
5.针对国家关键基础设施（水处理、金融、电信、交通等）的全面、升级网络攻击。
声明：本文来自知远战略与防务研究所，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
