设备数量庞大、多套系统并存、通信协议与互联网及其他行业存在很大差异、嵌入式系统计算资源有限，信息安全防护的可参考成果少，智能变电站任何环节出现问题，都可能造成电网运行控制决策失误，从而引发电网故障。

拒绝服务：嵌入式系统计算资源有限在泛洪攻击下设备无法正常提供服务，持续泛洪攻击会造成智能变电站部分功能的散失。

假冒：不经认证的假冒指令可直接控制合并单元与智能终端，造成一次设备损坏。

篡改：遥测、遥信数据和控制指令的完整性无法得到保障，错误的状态信息和控制指令可能导致人员误操作以及站内RTU执行错误指令。

抵赖：状态信息和控制指令的来源无法溯源，影响故障原因排查。

恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。最常见的恶意代码有计算机病毒(简称病毒)、特洛伊木马(简称木马)、计算机蠕虫(简称蠕虫)、后门、逻辑炸弹等。

工业互联网的安全事件，源头都是从恶意代码攻击开始，典型事件就包括伊朗核电站震网病毒通过修改离心机控制程序，导致机组损坏，将伊朗核计划延迟了两年；还有乌克兰停电事件是典型的黑客组织破坏工业控制系统，制造的APT攻击事件。部署恶意代码检测平台是提升智能变电站网络防御能力的重要手段。

恶意代码检测平台的防护目标是监测、抵御病毒、木马等恶意代码对智能变电站二次系统的破坏和攻击行为，提升智能变电站网络防御能力。具体建设内容如下：

（1）在变电站网络系统的主机上部署主机安全卫士，防范恶意代码对主机系统的破坏。主机安全卫士的主要功能为，只允许系统操作或运行受信任的对象，如只允许系统运行白名单内的可执行程序，只允许系统加载白名单内的动态链接库、驱动等，只允许使用白名单内的移动存储介质。将非法程序（已知和未知的木马、病毒等）隔离在可信运行环境外。

（2）在变电站环境中部署探针设备，扫描无线设备，阻断无线攻击行为。

（3）在变电站网络系统中部署诱捕系统，诱捕系统具有发现攻击、产生警告、欺骗诱捕、协助调查等能力。

（4）在变电站网络系统中部署审计类系统，实时监测网络的状态，追踪工控网络安全事件，对工控网络的数据进行留存，便于安全事件的溯源取证。

（5）在变电站网络系统的网络边界部署入侵检测系统，实现异常检测、入侵行为的检测。

（6）在变电站网络系统中部署IOT安全证书系统，实现信息通信机密性、完整性、不可否认性和可用性。

（7）在变电站网络系统中部署巡天系统，实现资产探测，资产漏洞扫描。

恶意代码平台架构

（1）恶意代码平台配置了大数据安全分析引擎

大数据安全分析技术能够对当前和历史的各种类型数据进行关联分析与检索，帮助安全管理者实时洞悉安全情报和安全态势，快速做出判断和响应。

大数据安全分析引擎采用大数据安全分析技术为网络安全与情报分析注入新的技术源动力，提高网络信息安全攻击检测、风险感知、情报分析能力，形成“数据驱动安全”的网络安全与情报分析新思维。

（2）恶意代码检测平台拓展了物联网设备的守护能力

通过安全审计、设备端安全防护、风险感知和应急修复等技术手段，可以为IoT设备进行安全监测、漏洞监测，并解决隐私安全、数据安全、设备安全等问题。

（3）恶意代码检测平台具有全面多维的态势感知展示

从攻击次数、攻击类型、地域分布、设备状况、攻击日期等维度，实现网络攻击态势的全景展示。

生产控制大区、管理信息大区分别部署恶意代码检测系统，在计算环境、网络环境、应用环境，部署主机卫士、探针设备、诱捕系统、审计设备及IOT安全证书等，对计算环境、通信网络、安全区域边界构建三重防护体系，实现变电站内恶意代码识别、流量异常监测、资产识别、安全事件溯源、安全态势展示、威胁告警，阻断攻击。上述安全产品根据现场情况按需配置。