新能源行业面临安全危机

对可再生新能源企业的网络攻击正变得越来越普遍。由国家资助的黑客组织，例如Hexane或DragonFly，经常将新能源企业作为目标，展开破坏行动并窃取知识产权，而犯罪组织则试图通过勒索软件攻击勒索金钱，例如最近袭击葡萄牙Energias de Portugal（EDP）的勒索软件。

太阳能等可再生能源仅占能源行业的一小部分，但面临和遗留的网络安全问题却非常“庞大”。“过去，我不认为建造太阳能发电厂的开发商确实没有意识到安全问题，”可再生资产管理公司WiseEnergy的CIO/CISO Rafael Narezzi说，该公司管理的太阳能资产总计约为1.2计划在两年内达到4吉瓦。“但他们的重点是开发和建设资产，而不是经营资产需要管理的风险。他们对（将资产连接到互联网）方面的安全网络卫生问题缺乏足够的关注。”

Narezzi说，他看到的新能源企业网络安全渗透测试结果暴露了一系列广泛的问题，其中包括“被加密恶意软件劫持的闭路监控系统，通信室中遗留的密码，路由器的弱密码以及被利用作为代理的路由器，甚至正在分发恶意软件的资产。”

Fortinet东部地区运营技术总监Christopher Blauvelt表示，资产的分布性质以及缺乏垂直整合的制造商，是可再生能源领域面临的网络安全挑战背后的原因。他说：“新能源企业需要整合大量第三方供应商的产品，例如面板供应商、支撑结构供应商、太阳能跟踪系统供应商以及逆变器供应商等。所有这些第三方供应商并不总是对网络安全最佳实践有着相同的知识或了解。”

Blauvelt补充说：“为缓解新能源行业缺乏垂直集成制造商产生的网络安全风险，新能源企业需要重点关注控制协议。”“产品的选型通常是基于实现和集成成本最低的原则，这导致企业往往会采购几乎没有安全性可言的较旧的控制协议。”

Rapid7的物联网研究负责人Deral Heiland指出，不正确的部署也是一个常见问题。他说：“像大多数物联网（IoT）技术一样，太阳能解决方案必须能够与互联网通信，但不能直接连接到互联网，因为这样做可能会使它们遭受潜在的攻击。”“不幸的是，情况并非总是如此。”

Heiland说，使这个问题更加复杂的是，用于远程管理的默认密码，弱密码或重用密码没有改变。补丁管理不佳是另一个问题所在。他建议新能源行业使用NISTIR 8259和8259A中记录的NIST最近发布的安全基准。