3、网络安全威胁与风险：针对电力系统通信的典型攻击类型与风险分析方法
电力系统作为关键基础设施，其通信网络正从封闭、专用的工业控制网络，逐步演变为与企业管理网、调度数据网乃至互联网存在逻辑或物理连接的开放网络。IEC 62351 标准体系的核心目标之一，就是为 IEC 61850、IEC 60870-5-104、DNP3 等电力通信协议提供端到端的安全防护。要理解这些安全措施的必要性，首先必须系统性地认识电力系统通信所面临的真实威胁、攻击者的战术意图，以及如何通过规范的风险分析方法来确定安全目标与防护优先级。本章将围绕典型攻击类型、风险分析流程与安全目标展开，为后续章节中具体的安全机制（如证书管理、报文认证、加密传输）奠定威胁建模基础。
3.1 针对电力系统通信的典型攻击类型
电力系统通信网络具有实时性强、协议私有化程度高、设备生命周期长等特点，这使得其面临的攻击类型既有通用 IT 网络的共性，也有工业控制场景的独特性。攻击者可能是外部黑客、内部人员、甚至国家级行为体，其攻击路径通常从 IT 网络渗透开始，逐步向 OT 网络纵深移动。以下四类攻击是 IEC 62351 防护设计中重点针对的典型威胁。
3.1.1 中间人攻击（MITM）
核心原理：攻击者通过 ARP 欺骗、DNS 劫持、路由篡改或物理接入等方式，在通信双方之间插入一个透明的代理节点，使得两端的数据流都经过攻击者。攻击者可以被动窃听（破坏机密性），也可以主动修改报文内容（破坏完整性），甚至将修改后的指令注入到控制回路中。在电力系统中，MITM 攻击的典型目标是 IEC 61850 GOOSE 报文或 IEC 60870-5-104 控制指令。由于 GOOSE 报文在变电站局域网内以组播方式传输，且传统实现中无认证机制，攻击者只需接入站控层交换机即可实施报文伪造与拦截。
判断方法：在工程实践中，可通过以下迹象识别潜在的 MITM 攻击：
- 交换机端口出现异常的 MAC 地址学习记录，或同一 IP 地址对应多个 MAC 地址。
- GOOSE 报文中的
stNum（状态序号）和sqNum（序列号）出现跳变或重复，且与保护装置的实际动作逻辑不符。 - 通信延迟出现周期性抖动，且与网络负载无关。
- 使用 IEC 62351-6 规定的数字签名验证时，签名校验失败。
3.1.2 重放攻击（Replay Attack）
核心原理：攻击者先合法地捕获一段有效的通信报文（如断路器分闸指令、保护装置的跳闸命令），然后在后续某个时间点重新发送这段报文，以欺骗接收方执行非预期的操作。重放攻击不要求攻击者理解报文内容，只需原样转发，因此实施门槛较低。在电力系统中，重放攻击的破坏性极大——一段在测试模式下录制的“合闸”报文，如果在检修结束后被重放，可能导致运行中的断路器误动作。
判断方法：重放攻击的检测依赖于报文的时序唯一性验证。IEC 62351 标准引入了时间戳（Timestamp）和挑战-应答（Challenge-Response）机制。具体判断流程如下：
- 接收方检查报文中的时间戳，若与本地时钟偏差超过允许阈值（通常为 2~5 秒），则判定为可疑报文。
- 对于时间同步不可靠的场景（如失去 GPS 信号），使用单调递增的计数器（如 GOOSE 的
sqNum）进行校验，若新报文的序号不大于最近一次合法报文的序号，则拒绝。 - 对于 MMS 或 104 协议，使用 TLS 记录层的序列号（Sequence Number）来防止重放。
3.1.3 拒绝服务攻击（DoS/DDoS）
核心原理：攻击者通过向目标设备或网络链路发送大量无效请求、畸形报文或高流量数据，耗尽目标的 CPU、内存、带宽或连接表资源，导致合法通信无法正常处理。在电力系统中，DoS 攻击的后果不仅是通信中断，更严重的是可能引发保护装置的误判——例如，当 GOOSE 报文因网络拥塞而延迟超过整定值（通常为 10ms 级）时，保护装置可能判定为“链路中断”而触发后备保护逻辑，导致大面积停电。
典型场景：
- 广播风暴：攻击者向变电站过程层网络发送大量伪造的组播报文，导致交换机 CPU 过载，正常 GOOSE 报文被丢弃。
- TCP SYN Flood：针对调度数据网的 104 主站端口发起大量半连接请求，耗尽主站的并发连接池。
- 协议畸形报文：发送不符合 IEC 61850 或 IEC 60870-5-104 规范的异常报文，导致协议栈解析崩溃。
判断方法：通过监控网络流量基线，当以下指标出现异常时需警惕 DoS 攻击：
| 监控指标 | 正常基线 | 异常阈值 | 可能攻击类型 |
|---|---|---|---|
| GOOSE 报文延迟 | < 3 ms | > 10 ms 持续 1 秒 | 广播风暴/链路拥塞 |
| 104 连接数 | < 50 个 | > 500 个半开连接 | SYN Flood |
| 交换机 CPU 利用率 | < 30% | > 80% 持续 5 分钟 | 畸形报文攻击 |
| SV 报文采样率 | 4000 帧/秒（50Hz） | 波动超过 ±5% | 报文注入/重放 |
3.1.4 报文篡改与注入攻击
此类攻击是 MITM 的延伸，攻击者不仅窃听，还主动修改报文中的关键字段（如遥测值、遥控命令、定值参数）。在 IEC 60870-5-104 协议中，控制方向（C_SC_NA）的遥控报文若被篡改，可能导致断路器误动。IEC 62351-5 针对 104 协议定义了基于 TLS 的传输安全，以及基于应用层 HMAC 的报文认证，确保每个报文的完整性和来源可信。
3.2 风险分析方法
风险分析的目标是回答三个问题：什么资产需要保护？（资产识别）、可能受到何种威胁？（威胁建模）、一旦发生会造成多大损失？（影响评估）。IEC 62351 本身并不强制规定特定的风险分析方法，但推荐参考 ISO/IEC 27005 和 NIST SP 800-82 的框架。以下是在电力系统通信安全评估中常用的四步法。
3.2.1 资产识别与分类
首先需要梳理通信网络中的所有关键资产，包括：物理设备（IED、RTU、交换机、防火墙）、逻辑资产（IP 地址、协议端口、数据集）、数据资产（遥测数据、定值文件、日志）。资产分类建议采用以下维度：
- 关键性等级：直接影响保护、控制功能的资产为最高等级（如线路保护 IED），仅影响监测功能的为较低等级（如故障录波器）。
- 通信依赖度：依赖实时通信的资产（如 GOOSE 跳闸）比非实时通信资产（如历史数据上传）需要更高的可用性保障。
- 暴露程度：直接与调度数据网相连的资产比纯站内通信的资产面临更大的攻击面。
3.2.2 威胁建模（STRIDE 方法）
STRIDE 是微软提出的威胁分类模型，适用于电力通信系统的威胁识别。将 STRIDE 映射到电力场景：
| 威胁类型 | 电力系统实例 | IEC 62351 对应措施 |
|---|---|---|
| Spoofing（仿冒） | 伪造主站身份下发遥控指令 | 双向证书认证（62351-3/4） |
| Tampering（篡改） | 修改 GOOSE 报文中的断路器位置 | HMAC/数字签名（62351-6） |
| Repudiation（抵赖） | 操作员否认下发过某条指令 | 安全审计日志（62351-8） |
| Information Disclosure（泄露） | 窃听 104 报文中的遥测数据 | TLS 加密（62351-5） |
| Denial of Service（拒绝服务） | 广播风暴导致保护装置通信中断 | 网络隔离/限流/冗余（62351-7） |
| Elevation of Privilege（提权） | 通过漏洞获取工程师站管理员权限 | RBAC 角色访问控制（62351-8） |
3.2.3 漏洞评估与风险计算
在完成威胁识别后，需要对每个威胁-资产组合进行漏洞评估。推荐使用 CVSS（通用漏洞评分系统）对已知漏洞打分，并结合资产关键性等级计算风险值。风险计算公式为：
风险值 = 威胁发生可能性 × 资产关键性 × 漏洞可利用性
其中：
- 威胁发生可能性：基于攻击者动机、能力、历史事件统计（1~5 分）
- 资产关键性：基于资产在电力生产中的功能影响（1~5 分）
- 漏洞可利用性：基于 CVSS 基础得分（0~10 分，归一化到 1~5 分）风险等级划分建议：
- 高风险（≥ 60 分）：必须立即采取缓解措施，如部署加密网关、升级固件。
- 中风险（30~59 分）：制定整改计划，在下一个检修窗口实施。
- 低风险（< 30 分）：持续监控，定期复查。
3.2.4 风险处置决策
风险处置的四种基本策略：降低（部署安全控制措施）、转移（购买网络安全保险）、接受（风险在可容忍范围内）、规避（取消该业务功能）。在电力系统中，由于安全责任重大，通常优先选择“降低”策略，且必须确保安全措施本身不影响实时性要求。
3.3 安全目标与 IEC 62351 的映射
基于上述风险分析，电力系统通信的安全目标可以归纳为三个核心维度：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability），即 CIA 三元组。但在电力场景中，三者的优先级与传统 IT 系统有显著差异。
3.3.1 可用性优先原则
在电力系统运行控制中，可用性通常优先于机密性。例如，保护装置的 GOOSE 跳闸报文必须在 4ms 内送达，即使报文内容被窃听（机密性受损），也不能因为加密处理而增加传输延迟。因此，IEC 62351-6 在设计 GOOSE 安全方案时，采用了轻量级的 HMAC 算法（而非重量级的非对称加密），以确保处理延迟在微秒级。
3.3.2 完整性是底线
完整性确保报文在传输过程中未被篡改。对于遥控指令、定值下发等操作类报文，完整性比机密性更重要——攻击者即使看到了报文内容，也无法伪造合法报文。IEC 62351 通过数字签名和消息认证码（MAC）实现完整性保护，并配合防重放机制（时间戳+计数器）。
3.3.3 机密性按需启用
并非所有电力通信数据都需要加密。例如，GOOSE 报文中的断路器位置信息属于公开状态量，加密意义不大；而调度主站与子站之间的定值文件、账户密码等敏感数据则需要强加密。IEC 62351 允许根据数据分类灵活选择加密策略，避免不必要的性能开销。
3.4 案例拆解：针对变电站 GOOSE 网络的中间人攻击与防护
背景与约束：某 220kV 智能变电站，过程层网络采用双星型拓扑，包含 12 台间隔层保护装置、4 台合并单元和 2 台智能终端。GOOSE 报文用于传输跳闸命令和闭锁信号，要求端到端延迟小于 4ms。变电站原未部署 IEC 62351-6 安全机制，仅依赖网络物理隔离。
初始现象：运维人员在例行巡检时发现，某线路保护装置的“断路器位置”信号在监控后台显示为“分位”，但现场断路器实际处于“合位”。进一步检查发现，该保护装置在 10 分钟内收到了 3 条异常的 GOOSE 跳闸命令，但装置未动作（因内部逻辑判断为无效跳闸）。
分析判断过程：
- 初步怀疑为保护装置误发报文，但调取装置日志发现其并未产生跳闸命令。
- 使用网络抓包工具分析 GOOSE 报文，发现存在两个不同的 MAC 地址发送相同的
gocbRef（GOOSE 控制块引用），且其中一个 MAC 地址不属于任何已知装置。 - 对比正常报文与可疑报文的
stNum和sqNum，发现可疑报文的sqNum重复，且时间戳与当前时间偏差 3 秒。 - 确认这是一次中间人攻击：攻击者通过接入过程层交换机，伪造了保护装置的 MAC 地址，并重放了之前录制的跳闸报文。
实际操作步骤：
- 紧急处置：立即将该可疑端口从交换机上物理断开，并启用交换机的端口安全功能（限制 MAC 地址学习数量）。
- 加固措施：按照 IEC 62351-6 标准，在保护装置和智能终端上启用 GOOSE 报文签名功能。配置过程包括：生成装置证书、导入对端证书、启用 HMAC-SHA256 算法、设置时间戳容忍窗口为 2 秒。
- 验证测试：在实验室环境下模拟重放攻击，确认装置能够正确拒绝签名无效或时间戳超限的报文。测试结果：合法报文延迟增加 0.3ms（从 2.1ms 变为 2.4ms），仍在 4ms 要求范围内。
结果对比：部署安全机制后，再次尝试重放攻击，装置在 1ms 内丢弃了可疑报文，并产生告警事件。监控后台未再出现虚假信号。
风险与代价：启用签名功能后，装置 CPU 负载增加约 15%，但未影响保护逻辑的实时性。代价是需要维护证书生命周期（每年更新一次），并确保全站时钟同步精度在 ±1ms 以内。
复盘经验：物理隔离不等于安全，任何可被物理接触的网络端口都是潜在攻击入口。IEC 62351 的报文认证机制是抵御 MITM 和重放攻击的有效手段，但必须配合严格的密钥管理和时间同步策略。
3.5 总结与复盘
本章系统梳理了电力系统通信面临的四类典型攻击（MITM、重放、DoS、篡改注入），并给出了每种攻击的原理、判断方法和防护思路。风险分析方面，介绍了从资产识别、威胁建模（STRIDE）、漏洞评估到风险处置的完整流程，并强调了电力场景下“可用性优先、完整性底线、机密性按需”的安全目标排序原则。通过变电站 GOOSE 网络的案例拆解，展示了从异常发现、攻击确认到安全加固的闭环过程。
在实际工程中，建议安全团队定期（至少每年一次）开展威胁建模和风险复评，因为电力系统的网络拓扑、设备型号和攻击者战术都在不断变化。IEC 62351 提供的安全机制是“工具箱”，而风险分析则是决定“何时使用哪个工具”的决策依据。只有将威胁认知、风险量化与标准落地三者结合，才能构建真正适应电力系统特点的纵深防御体系。