新闻中心

NEWS CENTER

首页

漏洞暗战、高温来袭：解码中电安科光伏电站“安全护盾”炼成术

近年来，我国光伏产业迎来爆发式增长，成为能源转型的核心引擎。截至2024年12月，全国光伏发电装机容量突破8.86亿千瓦，同比增长45%，占全国发电总装机的比例跃升至28%，光伏发电站遍布戈壁、荒漠与城市屋顶。

然而，随着光伏系统从分散式向规模化、智能化跃迁，其与工业控制系统、物联网及电力调度网络的深度融合，也使其成为网络攻击的“高价值靶标”。黑客正利用设备漏洞、通信协议缺陷及运维管理盲区，将攻击触角延伸至光伏电站的发电、并网与调度环节，轻则导致发电效率骤降，重则引发区域性停电甚至电网崩溃。

夏季用电高峰即将来临，光伏发电站作为国家关键基础设施，承担着保障电力供应的重要使命。在高温极端天气加剧设备运行压力的背景下，光伏发电站的网络安全防线正面临前所未有的双重考验。

1.网络攻击事件频发：光伏行业敲响安全警钟

2024年5月，日本媒体披露全球首例针对光伏发电基础设施的网络攻击。黑客利用Contec公司SolarView Compact远程监控设备的未修复漏洞（CVE-2022-29303），劫持800台设备组建僵尸网络，并尝试窃取企业银行账户。尽管此次攻击以经济利益为目的，但若攻击者转向破坏电网，可通过未打补丁的设备直接中断光伏电站运行，甚至引发连锁停电。

2025年6月，约3.5万台存在漏洞的太阳能设备（含逆变器、数据记录仪等）直接暴露于互联网，涉及42个品牌。此次暴露的系统集中使用某品牌光伏监控平台，其6.0及更早版本存在未授权命令执行漏洞。攻击者可绕过身份验证，通过公开的API接口直接操控逆变器参数。

2.光伏发电站网络安全问题与需求分析

在光伏发电站的规模化发展进程中，综合防护体系正暴露出系统性安全短板，目前来看针对安全I区（生产控制大区）的病毒木马入侵、主机脆弱性利用、应用访问失控及漏洞长期搁置等风险，已成为制约光伏电站安全稳定运行的关键难题。

01 入侵检测能力缺失

针对安全I区的工控系统网络中缺少病毒、木马等攻击行为的检测手段。

02 主机安全加固困境

多数工业主机操作系统为WindowsXP系统，系统进行打补丁不现实，部署杀毒软件与工业应用软件兼容性较差，冲突现象屡有发生。

03 应用访问控制与审计不足

在发电站内部通过网络访问业务系统时无法做到安全审计、事后可追溯。

04 安全审计体系碎片化

电力监控系统中的违规操作、误操作以及病毒、木马等攻击行为没有监测手段，远程运维行为无法监控。对日志信息未进行集中收集与分析。

05 漏洞管理机制失效

对于工控系统目前暴露出来的2400多个漏洞，无有效的漏洞整改方案，工控系统处于带“洞”运行状态。

为解决以上难题，因此针对光伏电站工业控制系统的网络安全建设解决方案，需满足以下需求：

1.符合国能安全[2015]36号文附件4《发电厂监控系统安全防护方案》要求。

2.安全措施的引入不能影响工业生产的业务持续性。

3.重点解决生产控制大区内部不同区域之间的隔离问题。

4.重点解决上位机及服务器主机加固和防病毒问题。

5.要有技术手段支撑用户了解工控网络整体安全状态，如审计、日志、告警等。

6.针对已经投产并存在漏洞的PLC等设备要采取有效的防护手段。

3.中电安科光伏发电站工控安全解决方案

依据国家能源局36号文《电力监控系统安全防护总体方案》及等保2.0标准，中电安科将业务系统划分为生产控制与管理信息两大区，并细分安全I/II区重点保护生产系统。

电力调度数据网采用专用通道与独立设备组网，物理隔离外部网络，逻辑划分实时/非实时子网。

横向以国家认证的专用单向隔离装置实现安全区间强隔离，内部通过防火墙逻辑隔离，纵向部署纵向加密认证装置，保障双向身份认证与数据加密。

最终结合等保要求，从主机、网络到应用实施多层次综合防护，整体安全架构设计如下：

边界防护

在安全I区和安全II区之间部署工控防火墙，通过防火墙接口划分不同的安全域，实现不同系统之间的逻辑隔离。

入侵检测

在安全I区和安全II区的交换机旁路部署入侵检测系统。入侵检测系统可以发现各种入侵攻击、异常流量、非法操作或异常行为，可实时检测内部和外部攻击。

监测审计

在安全I区和安全II区的交换机旁路部署工控安全监测审计系统，工控安全监测审计系统对工控流量进行监测分析，识别出工控协议，并对工控协议深度解析，同时将违规操作、非法操作和程序下载、IP变更、组态变更、PLC启停等关键事件以及病毒、木马、黑客等攻击行为数据传送到部署在安全II区的安全管理平台中。

终端安全

在安全I区和安全II区的操作员站、工程师站等工业主机上安装部署工控终端安全管理系统客户端，在安全II区部署终端安全管理服务端。管理系统对工控终端安全管理系统进行统一管理与监控、策略下发、异常报警等。实现对工业主机的进程白名单管理，对流量、USB口管控，有效抵御未知病毒、木马、恶意程序、非法入侵等针对终端的攻击，实现工业主机安全防护与加固。

数据安全

在安全II区旁路部署数据库审计系统，对光伏电站中各系统的数据库进行审计。通过数据库审计系统全面审计在使用数据库过程中的访问过程，对于越权访问、异常数据库操作以及对数据库关键数据或进行关键指令操作过程全面审计，检测识别非授权操作的行为，避免数据库删除、篡改、异常访问等情况发生。

安全运维

在安全II区旁路部署运维堡垒机，进行集中账号管理、集中登录认证、集中用户授权和集中操作审计。实现对运维人员的操作行为审计，违规操作、非法访问等行为的有效监督，为事后追溯提供依据。

安全管理

在安全II区部署安全管理平台，实现对工控防火墙、工控安全监测审计、终端安全管理等安全产品统一管理与监控。安全管理平台中的日志审计功能，实现对安全I区和安全II区的各网络设备、安全设备、工控设备以及操作系统、数据库、应用系统的日志信息进行集中收集与分析。

方案优势

合规无风险：严守电力法规红线

区域强隔离：办公网攻击零渗透

病毒零扩散：阻断工作站间传播

指令严管控：拦截非法控制指令

溯源秒定位：全链路审计追源头