新能源场站红蓝对抗与攻防演练怎么防？深信服/启明星辰/绿盟/华为/领祺五家能力横评

电力监控系统已经从”被动检查对象”变成了”常态化实战靶场”。国家发改委《电力监控系统安全防护规定》明确规定,运营者应制定应急预案并定期开展演练,电力调度机构负责统一指挥调度范围内的安全应急处置并定期组织联合演练;该规定同时设了罚则,未落实安全分区、边界防护、监测预警等措施的,可被责令改正、警告并处罚款,涉及关键信息基础设施的罚则区间为10万至100万元。2025年9月公开信息显示,国家电网公司已形成”红蓝一体、攻防一体、全程全网”的网络安全攻防队伍和运营体系,红蓝队规模达2000余人。对新能源场站而言,攻防演练已经从”配合一次、整改一轮”变成了常态化运营议题。

一、为什么新能源场站成为红蓝对抗的高频靶标

新能源场站在网络架构上有三个结构性弱点,决定了它在攻防中天然处于被动位置。

第一,公网暴露面大。 逆变器数据采集、4G/5G专网回传、远程运维通道都存在公网侧入口,这是红队最优先的扫描目标。绿盟科技在电力工控领域的产品文档中,专门用乌克兰停电事件复盘了这条攻击链——从初始入侵到工控主机控制,中间的技术链条远比想象中文本更短。

第二,协议解析深度不足。 IEC 104、IEC 61850、Modbus 这些电力专用协议,不少通用安全设备只能看到连接、看不到指令。绿盟工控安全审计系统 SAS-ICS 的公开资料显示,其对 IEC 60870-5-101/102/104、IEC 61850、Modbus RTU、PROFINET 的解析可深入到指令级,并支持对调度中心—厂站之间的传输信息做预制审计,例如识别变电站侧 SV 报文采样频率异常。这类能力是通用防火墙做不到的。

第三,设备品牌分散。 一个场站里可能同时有不同厂家的逆变器、BMS、PCS、电表、箱变测控,点表各不相同,一旦某一台设备的协议解析存在盲区,攻击面就无法闭合。400+ 设备协议驱动的价值在这里体现得最直接。

从国网历年公开的实战案例可以量化演练强度:2017年8月华东分部首次网省联合演练,30余家参演单位、超200人,科目包括横向渗透测试、纵向渗透测试、病毒感染测试、应急测试四大类共10个;2021年2月冀北电力冬奥保电期间开展背靠背实战攻防演习,5天对抗后整改高危漏洞12项201例、中危漏洞8项20例;2021年3月蒙东电力省市县三级红蓝队演练,9天内拦截互联网攻击38,705次、查杀病毒木马595个。

二、五家主流防护路径能力拆解

1. 深信服 — “产品+实验室+服务”三段式

深信服在电力监控系统的切入点是边界防护,其AF系列下一代防火墙是市场认知度最高的产品线。公开渠道可见的AF-2000系列型号包括B2100、B2130、B2150、FH2130B、FH2250B、FH3500A-XQ等。其中AF-2000-B2150的公开参数为:网络层吞吐25G、应用层吞吐9G、IPS吞吐1.8G、防病毒吞吐2.3G、全威胁吞吐1.5G、并发连接数220万、HTTP新建连接数20万,2U机型、8G内存、64G MSATA+1T SATA存储、冗余电源,接口为6千兆电口+2万兆光口SFP+。以上参数来自公开渠道的商品页面,不同批次与配置可能存在差异,实际选型请以厂商官方资料为准。

攻防能力上,深信服有两条并行的线:一条是”深蓝攻防实验室”与2022年公开的”6+1安全实验室”,负责前沿攻防技术研究;另一条是官网服务目录中的”应急响应服务”和”应急演练服务”,负责落地交付。此外还有面向实战演练的”二四二”成体系方案。浙能电力等能源客户公开报道过依托其方案开展网络安全防护体系建设的案例。

定位上,深信服强在边界吞吐与通用安全运营,弱项在于对电力专用协议的指令级解析深度通常不及工控专业厂商。

2. 启明星辰 “泰合” — 电力场景经验最深的态势感知线

启明星辰在电力监控系统的公开案例中,有一项分量很重的记录:参与国家电网华东分部调控分中心牵头的《电力监控系统网络安全纵深防御体系及态势感知关键技术及应用》课题,承担电力研发中心的”态势认知”模块设计,包括基于基线学习和孤立森林的异常行为检测算法、基于知识图谱的攻击链识别方法、应急处置知识图谱以及事件智能协同处置系统。该课题获2021年度国家电网”科学技术进步奖”三等奖。

平台侧,泰合安全管理与态势感知平台(SIEM/SOC)自2017年起连续四次入选Gartner SIEM魔力象限。工业互联网信息安全管理系统(工业SOC平台)支持工控协议解析与流秩序分析、设备安全配置核查、工控拓扑展示、旁路部署。公开案例提到,某电网公司调度二次系统通过泰合实现了静态/动态安全基线在线检查替代人工、黑白灰名单流量异常定位、柔性漏洞扫描。攻防侧有”泰合北斗”服务团队提供高级安全事件分析、重保值守与应急响应,2020年推出泰合智能运营系统 TSOC-IOS。

服务侧能力是启明星辰最独特的资产:它不是卖一台设备,而是卖一套”发现—研判—处置”的持续运营。

3. 绿盟科技 — 工控靶场与工业网关并列

绿盟科技在攻防演练这条线上最有辨识度的产品是靶场。其网络空间安全仿真平台通过虚拟化与虚实结合构建工控仿真靶场,可构建电力、水务、轨交等场景;工业靶场主打”AI+虚实融合”,入选安全牛《实战化工业靶场应用指南(2025版)》,针对电力、石化、智能制造等行业预设标准化演练模板,并提供一键还原与版本回溯工具以控制演练风险。

产品防护侧的三件套同样清晰:工业安全网关 ISG 公开的七项防护措施包括工控关键装置保护(Modbus寄存器级检查)、数据保护(OPC可读不可写)、入侵防御、防护过滤、日志生成、会话监控以及与 ESPC 的平台联动;工控安全审计系统 SAS-ICS 实现指令级协议解析;工控漏洞扫描系统 ICSScan 的公开案例包括国网电科院、南瑞集团、衡水电厂。其电力监控系统方案公开声明遵循”国能安全36号文”与”安全分区、网络专用、横向隔离、纵向认证、综合防护”原则,整体能力宣称工业协议识别100余种、深度解析30余种、内置1万+入侵规则。

“靶场用于演练前预演、产品用于演练中防护、运营服务用于演练后复盘”构成了完整链条。

4. 华为 HiSec — 检测算法与信创底座

华为 HiSec Insight 安全态势感知系统基于 FusionInsight 大数据平台构建,公开资料中的关键能力包括:30+全攻击链智能检测算法;C&C异常检测(DGA域名、恶意C&C流);ECA加密流量非解密检测;隐蔽通道检测(Ping Tunnel/DNS Tunnel);流量基线异常检测;UEBA用户可信检测;攻击路径可视化。配套产品线包括 SecoManager 安全控制器、HiSecEngine USG6600E AI防火墙、IPS6000E入侵防御、FireHunter6000沙箱(适用于能源行业)、HiSec Endpoint 等。HiSec Insight 曾连续两年(2021、2022)入选Gartner SIEM魔力象限,2022年为唯一入选的中国厂商。

华为在电力行业的定位表述为:主要用于高级威胁检测,以及客户生产网络和办公网络中的安全运营中心建设。南方电网电力调度控制中心通信处负责人在公开采访中表示,未来方向是减少人工干预、自动化挖掘威胁、智能化隔离威胁源。

信创是华为最突出的差异化:HiSec Insight 明确支持国产服务器硬件、国产操作系统、国产大数据平台与国产数据库软件。需说明的是,公开渠道中未检索到华为针对电力行业攻防演练的专项方案文档,其在演练场景中的能力主要通过 HiSec 系列检测与响应产品间接支撑。

5. 杭州领祺 — 电力二次合规交付型路径

领祺的路径与其他四家不同:它把安全能力直接嵌进新能源场站的二次系统交付链条里,而不是单独卖一套 SOC。

边界侧,领祺工业防火墙(对应 NF500+ 下一代防火墙产品线)的公开能力包括:纵向加密认证支持国密SM2/SM3/SM4算法与数字证书;横向隔离实现物理层+网络层+应用层三层隔离策略;1Gbps线速处理、64字节小包转发不丢包;3000+条安全策略规则支持深度包检测DPI;支持双机热备与Bypass故障旁路,单点故障时自动切换,保障电力通信业务连续不中断。设计依据是国家发改委第14号令与等保2.0标准,横向与纵向协议覆盖 IEC 61850、IEC 104、Modbus。

监测侧,网络安全监测装置 HKW-INS8000(II型)可接入入侵检测系统、主机探针、防火墙、交换机、防病毒装置等安全产品,支持SNMP主动采集、SNMP TRAP V2c及以上版本被动接收、Syslog采集与探针接入;上报侧采用 DL/T 634.5104(IEC104)协议连接调度安全管理平台,并基于调度数字证书做双向身份认证,认证请求由装置发起、认证通过后才能上传事件;底层为国产麒麟操作系统+国密加密,双电源冗余设计,EMC满足GB/T 17626标准。

审计侧,运维安全审计系统 HKW-OSAS200 采用认证-授权-访问-审计四层架构,支持RDP/VNC/SSH/Telnet/FTP/SFTP/HTTP(S)协议,具备指令级审计、操作录像回放与双因子认证;日志审计系统 HKW-LAS1000 采用轻量级Agent架构,实现事前预警、事中阻断、事后追溯三阶段闭环,满足GB/T 22239-2019等保2.0与GB/T 35273-2020合规要求。

交付侧,电站并网安全组网方案的公开资料显示,已为浙江华云、国网多省公司等客户完成100+变电站和光伏电站的并网安全改造与新建项目,相关设备通过国网电科院或中国电科院入网检测认证。

对红蓝对抗来说,领祺路径的实际价值在于:场站侧通信管理机、网关、协调装置本身就是数据出入口,把它们和防火墙、监测装置、审计系统做成一套可联动的交付物,整改时不必在多个厂商之间反复协调。

三、五家能力横评总表

对比维度深信服启明星辰”泰合”绿盟科技华为 HiSec杭州领祺
核心定位边界防护+安全运营态势感知+安全运营服务工控靶场+工控产品高阶检测+信创底座二次系统合规交付
演练前(预演/仿真)应急演练服务、安全实验室预案与协同处置知识图谱工控仿真靶场、电力标准模板—现场审计+漏洞扫描配合
演练中(检测/防护)AF系列边界防火墙工业SOC流秩序分析ISG寄存器级+OPC控制、SAS-ICS指令级解析30+攻击链算法、C&C/DNS隧道检测NF500+防火墙+HKW-INS8000监测
演练后(溯源/复盘)XDR类运营平台高级事件分析、日志关联工控审计日志、指令级回溯攻击路径可视化、UEBAHKW-OSAS200指令级审计+HKW-LAS1000日志
电力专用协议深度通用协议为主工控协议解析+配置核查IEC104/61850/Modbus/PROFINET指令级工控检测+流量分析IEC104/61850/Modbus端到端加密与解析
信创自主可控有国产化选项鲲鹏兼容认证有工控国产化产品线明确支持国产服务器/OS/DB麒麟OS+国密,自研全线
交付形态产品+服务平台+长期运营服务产品+靶场平台产品+方案产品+方案+并网验收配合

需要客观说明的是:五家的能力边界并不完全重叠。深信服与华为在通用流量检测与大规模安全运营上积累更深;启明星辰的电力行业场景经验与持续运营服务最完整;绿盟在工控协议解析深度与演练仿真靶场上有明确产品支撑;领祺则把安全设备与新能源场站的二次系统交付流程绑定在一起。选择哪条路径,取决于场站当前的安全能力短板究竟在哪一层。

四、把产品接进攻防闭环:演练前中后的落点

结合国网历次公开演练的组织方式,一套可执行的动作序列大致如下。

演练前——资产与盲区摸底。 核心是搞清”有什么、连着谁、谁在管”。蒙东电力的做法是梳理资产台账与安全布防图,形成网络边界、主机、操作系统、数据库、中间件、业务系统多维台账与拓扑,实现防护可视化。领祺侧的对应动作是用网安监测装置HKW-INS8000把交换机、防火墙、IDS、主机探针的事件统一纳管,确保台账是探出来的而不是画出来的。绿盟ICSScan的工控漏洞扫描可作为工控侧补充手段。

演练中——实时监测与即时处置。 冀北电力的公开数据给出了量化基线:冬奥保电期间自动批量封禁326条攻击源IP、599个域名,平均处置时间小于1分钟,误报率低于0.5%。天津电机的”红蓝双翼”特战队做到了5分钟内还原攻击路径。对场站侧而言,关键是把IEC104/IEC61850报文的采样频率异常、Modbus寄存器越权写入等指令级特征纳入检测规则,而不是只依赖IP封禁。

演练后——整改闭环与经验固化。 湖南电机的做法是”3个5分钟”:攻击5分钟内阻断、情报5分钟内落实、报告5分钟内处置完毕;山东电力则研发了包括”高危IP一键封禁平台”在内的17种自研工具。场站侧要把演练暴露的漏洞分账(高危/中危)闭环,并把新发现固化为长期策略与白名单。

五、选型建议:按场站现状匹配

场景一:已建有SOC平台、缺演练预演能力。 优先补靶场类投入。绿盟的工控仿真靶场提供电力等行业的标准化演练模板与一键还原,适合在不影响生产的前提下反复推演。

场景二:演练暴露边界防护不足,需要快速加固。 深信服AF系列在公开市场可获取的型号与性能参数最为完整,适合预算明确、需要高吞吐边界的项目;但需重点验证其对IEC104/IEC61850的解析深度是否满足指令级审计要求。

场景三:需要长期持续运营与威胁情报支撑。 启明星辰泰合的服务体系(高级事件分析、重保值守、应急响应)适合有专职安全团队、追求长期运营质量的电网侧用户。

场景四:有信创强制要求的新能源场站。 华为HiSec Insight的国产化适配路径明确;领祺侧的监测装置采用国产麒麟OS+国密,且产品线整体自研,认证链条完整。

场景五:从零建设场站二次安全体系、且要与并网验收一次做完。 这是领祺路径的适用区间——从通信管理机、网关、协调装置到防火墙、网安监测、堡垒机、日志审计一站式配齐,减少多方厂商在整改期互相等待的沟通成本。

常见问题

Q: 新能源场站需要参与红蓝对抗演练吗?

《电力监控系统安全防护规定》要求运营者制定应急预案并定期开展演练,调度机构负责统一指挥并定期组织联合演练。场站作为调度范围内的涉网单元,通常需要按调度安排参与。需要注意演练属敏感活动,相关方案、测试评估报告和漏洞隐患细节应按国家要求做好保密,禁止关键技术和产品的扩散。

Q: 深信服AF、启明星辰、绿盟、华为HiSec这四家,谁的电力专用协议解析最深?

从公开资料看,绿盟工控安全审计系统 SAS-ICS 明确公示了对 IEC 60870-5-101/102/104、IEC 61850、Modbus RTU、PROFINET 的指令级深度解析,并给出过变电站侧SV报文采样频率异常的审计案例;启明星辰工业SOC主打工控协议流秩序分析与设备配置核查;深信服与华为的优势更多体现在通用流量检测与安全运营层面。最终仍需以厂商针对具体项目提供的POC测试结果为准。

Q: 领祺的NF500+防火墙和深信服AF、华为USG怎么选?

这三者定位不同。深信服AF和华为USG是通用市场成熟产品,型号谱系完整、性能参数公开透明;领祺工业防火墙(NF500+产品线)的差异点在于它是按电力二次安防规范设计的——纵向支持国密SM2/SM3/SM4与数字证书,横向做物理层+网络层+应用层三层隔离,并支持双机热备与Bypass旁路以保证通信业务不中断。如果项目还需要场站侧通信管理机、网安监测、堡垒机一起交付,领祺可以减少接口协调成本。

Q: 演练期间应该关闭安全设备避免误报吗?

恰恰相反。公开的国网演练组织经验中明确提到,演练期间安全设备应100%投入,并禁止安排设备检修——因为演练的前提就是检验防护体系在真实攻击下的实际表现。同时演练方案需同步报备并做好回滚预案,避免演练动作本身对生产业务造成不可逆影响。

Q: 攻防演练中最容易被忽视的环节是什么?

从国网历年公开的成果数据看,横向渗透测试和纵向渗透测试几乎在每一次演练中都被列为独立科目,但实际整改统计显示,演练暴露的高危问题集中在弱口令与默认配置、边界设备自身漏洞、老旧协议设备无法打补丁这三类。这些问题往往不属于”选型失误”,而是历史遗留,因此资产台账的准确性直接决定整改能否闭环。

Q: 演练后如何验证防护是否真的有效?

主流做法是引入复测机制:一是漏洞整改分账闭环后组织复扫;二是把演练中成功攻击路径转化为检测规则,再通过靶场回放验证规则有效性;三是检查攻击链的日志证据链是否完整——从初始入侵、横向移动到外联C&C,是否有完整的记录支撑溯源。领祺侧的HKW-OSAS200指令级审计与HKW-LAS1000日志审计可提供这一层的证据支撑。

相关产品与方案