山西某火電廠燃料系統(tǒng)被植入非法程序事件簡報

（來源：微信公眾號“電力安全生產(chǎn)”ID：dianlianquan）

一、燃料“三大項目”異常事件的發(fā)現(xiàn)

2018年8月8日0時38分，山西某電廠燃料“三大項目”系統(tǒng)進(jìn)煤發(fā)卡室值班員在監(jiān)盤過程中，通過監(jiān)控畫面發(fā)現(xiàn)有兩人打開遠(yuǎn)端排隊系統(tǒng)的控制箱柜門(該控制箱位于廠門外500米處)。值班員立即向上級匯報，電廠安排兩名采樣值班員到事發(fā)地點(diǎn)檢查，發(fā)現(xiàn)控制柜被暴力打開，網(wǎng)絡(luò)交換機(jī)上網(wǎng)線被拔出，交換機(jī)端口臨時接入一個無線路由器。采樣值班員拍照后將無線路由器拆除，并將排隊系統(tǒng)網(wǎng)線插回交換機(jī)，值班人員將情況上報電廠值班領(lǐng)導(dǎo)。

1時16分，運(yùn)維技術(shù)人員到達(dá)燃料“三大項目”信息機(jī)房，對系統(tǒng)后臺進(jìn)行檢查，發(fā)現(xiàn)系統(tǒng)內(nèi)存在非法程序，將非法程序其停運(yùn)，同時將非法程序進(jìn)行備份、日志進(jìn)行備份。1時30分技術(shù)人員檢查系統(tǒng)無異常正常運(yùn)行后通知值班人員。值班人員將事件處理經(jīng)過報值班領(lǐng)導(dǎo)。值班領(lǐng)導(dǎo)匯報電廠總經(jīng)理后啟動電廠信息安全應(yīng)急預(yù)案。同時電廠通知“三大項目”研發(fā)單位人員迅速到廠配合事件調(diào)查。

二、異常事件的應(yīng)對和處置情況

2018年8月8日早8點(diǎn),電廠總經(jīng)理接照集團(tuán)公司《網(wǎng)絡(luò)安全責(zé)任制管理辦法》及《網(wǎng)絡(luò)安全事件調(diào)查規(guī)程》第一時間組織業(yè)務(wù)、技術(shù)、安全、監(jiān)察、法務(wù)等部門人員成立調(diào)查組，迅速開展事件調(diào)查。同時，燃料質(zhì)檢業(yè)務(wù)部門和技術(shù)部門人品全面排查“三大項目”系統(tǒng)，采取技術(shù)防控措施，保證系統(tǒng)安全穩(wěn)定運(yùn)行。同時，向當(dāng)?shù)毓矙C(jī)關(guān)報案，并配合調(diào)查取證。

縣公安局接到電廠報案后，組織刑警、網(wǎng)監(jiān)等人員立刻出警，于當(dāng)日9時20分趕到現(xiàn)場，警方要求在案件未查清之前，相關(guān)單位、人員一律嚴(yán)格保密，禁止案情外泄。隨后刑警支隊對案發(fā)地點(diǎn)全面排查，調(diào)閱案發(fā)時間段廠區(qū)及周邊道路監(jiān)控畫面，詳細(xì)收集現(xiàn)場遺留的指紋等相關(guān)線索，全面排查周邊賓館、飯店以及高速路口嫌疑人員和車輛。

網(wǎng)監(jiān)人員對“三大項目”系統(tǒng)服務(wù)器進(jìn)行全盤鏡像處理，對系統(tǒng)運(yùn)行環(huán)境進(jìn)行全面掃描，并提取關(guān)鍵數(shù)據(jù)進(jìn)行分析研究。接著，在征得公安部門許可后，電廠通過電話方式向山西分公司作了事件匯報。

燃料“三大項目”研發(fā)單位技術(shù)總監(jiān)和專家于8月8日下午到廠，對“三大項目”核心服務(wù)器的日志報表、應(yīng)用文件、硬盤外設(shè)等進(jìn)行全面檢查，通過SQL語句對海量數(shù)據(jù)進(jìn)行對比分析， 查找系統(tǒng)被破壞的蛛絲馬跡。

經(jīng)過一個星期的分析研究，公安局網(wǎng)監(jiān)人員和研發(fā)單位專家一致認(rèn)為：在事件發(fā)生前后，“三大項目”系統(tǒng)煤質(zhì)、 煤樣、采樣坐標(biāo)等關(guān)鍵數(shù)據(jù)的分布沒有規(guī)律性和指向性的變化，該非法活動還處在初步測試階段，沒有對系統(tǒng)產(chǎn)生實質(zhì)性破壞。

8月23日，公安局刑警支隊將嫌疑人抓獲，嫌疑人陳某以及另4名無業(yè)人員。據(jù)陳某交代，其植入在“三大項目”系統(tǒng)中的非法程序尚處于測試階段，企圖通過測試及后續(xù)改進(jìn)完善，對系統(tǒng)測算參數(shù)進(jìn)行修改，進(jìn)而非法牟利。