implementing-nerc-cip-compliance-controls

name	implementing-nerc-cip-compliance-controls
description	本技能涵盖为大型电力系统（BES）网络系统实施北美电力可靠性公司关键基础设施保护（NERC CIP）合规控制措施。内容包括资产分类（CIP-002）、电子安全边界（CIP-005）、系统安全管理（CIP-007）、配置管理（CIP-010）、供应链风险管理（CIP-013），以及2025年更新内容，包括远程访问强制MFA和扩展的低影响资产要求。
domain	cybersecurity
subdomain	ot-ics-security
tags	["ot-security","ics","scada","industrial-control","iec62443","nerc-cip","power-grid","compliance"]
version	1.0.0
author	mahipal
license	Apache-2.0

实施NERC CIP合规控制措施

适用场景

• 注册实体必须实现或维护BES网络系统的NERC CIP合规性
• 为地区实体准备NERC CIP合规审计
• 实施2025年CIP标准更新（CIP-003-9、CIP-005-7、CIP-010-4、CIP-013-2）
• 在新发电、输电或控制中心资产投入运行后对BES网络系统进行分类
• 制定合规监控和证据收集计划

不适用于非BES工业系统（参见implementing-iec-62443-security-zones）、通用IT合规框架（参见auditing-cloud-with-cis-benchmarks），或无网络安全组件的变电站物理安全。

前置条件

• 了解NERC CIP标准（CIP-002至CIP-014）
• 带影响等级（高、中、低）的BES网络系统清单
• 访问电子安全边界（ESP）网络图和防火墙配置
• 用于证据收集和审计文档的合规管理系统
• 熟悉NERC术语表（BES网络资产、BES网络系统、电子访问点）

工作流程

步骤 1：对BES网络系统进行分类（CIP-002-5.1a）

根据对大型电力系统可靠运行的影响，识别并分类所有BES网络系统。

#!/usr/bin/env python3
"""NERC CIP BES网络系统分类工具。

实施CIP-002-5.1a分类标准，将
BES网络系统分类为高、中或低影响。
"""

import json
import sys
from dataclasses import dataclass, field, asdict
from datetime import datetime


@dataclass
class BESCyberSystem:
    """表示用于CIP-002分类的BES网络系统。"""
    system_id: str
    name: str
    description: str
    location: str
    asset_type: str  # control_center（控制中心）, generation（发电）, transmission（输电）, distribution（配电）
    connected_mw: float = 0
    transmission_kv: float = 0
    is_control_center: bool = False
    is_backup_control_center: bool = False
    has_cranking_path: bool = False
    has_blackstart: bool = False
    is_sps_ras: bool = False  # 特殊保护系统/补救行动方案
    impact_rating: str = ""  # high, medium, low
    categorization_basis: str = ""
    cyber_assets: list = field(default_factory=list)


class CIP002Categorizer:
    """NERC CIP-002-5.1a BES网络系统分类引擎。"""

    def __init__(self):
        .systems = []
        .categorization_date = datetime.now().isoformat()

     ():
        .systems.append(system)

     ():
        
         system  .systems:
            ._categorize_system(system)

     ():
        

        
         sys.is_control_center  sys.asset_type == :
            
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

         sys.is_backup_control_center  sys.asset_type == :
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

         sys.connected_mw >= :
            sys.impact_rating = 
            sys.categorization_basis = (
                
                
            )
            

        
         sys.connected_mw >=   sys.asset_type == :
            sys.impact_rating = 
            sys.categorization_basis = (
                
                
            )
            

         sys.transmission_kv >= :
            sys.impact_rating = 
            sys.categorization_basis = (
                
                
            )
            

         sys.has_cranking_path:
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

         sys.has_blackstart:
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

         sys.is_sps_ras:
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

         sys.is_control_center  sys.asset_type == :
            sys.impact_rating = 
            sys.categorization_basis = (
                
            )
            

        
        sys.impact_rating = 
        sys.categorization_basis = (
            
        )

     ():
        
        high = [s  s  .systems  s.impact_rating == ]
        medium = [s  s  .systems  s.impact_rating == ]
        low = [s  s  .systems  s.impact_rating == ]

        report = []
        report.append( * )
        report.append()
        report.append()
        report.append( * )
        report.append()
        report.append()
        report.append()
        report.append()

         category, systems  [(, high), (, medium), (, low)]:
             systems:
                report.append()
                 s  systems:
                    report.append()
                    report.append()
                    report.append()
                    report.append()
                    report.append()

         .join(report)

     ():
        
        data = {
            : .categorization_date,
            : ,
            : [asdict(s)  s  .systems],
        }
         (output_file, )  f:
            json.dump(data, f, indent=)


 __name__ == :
    categorizer = CIP002Categorizer()

    
    categorizer.add_system(BESCyberSystem(
        system_id=, name=,
        description=,
        location=, asset_type=,
        is_control_center=))

    categorizer.add_system(BESCyberSystem(
        system_id=, name=,
        description=,
        location=, asset_type=,
        connected_mw=))

    categorizer.add_system(BESCyberSystem(
        system_id=, name=,
        description=,
        location=, asset_type=,
        transmission_kv=))

    categorizer.categorize_all()
    (categorizer.generate_report())

步骤 2：实施电子安全边界（CIP-005-7）

在高影响和中影响BES网络系统周围定义并强制执行电子安全边界（ESP），在所有边界穿越点设置电子访问点（EAP）。

# 电子安全边界 - 防火墙配置
# CIP-005-7 R1: 电子安全边界

# 为控制中心EMS（高影响）定义ESP边界
# ESP边界内的所有BES网络资产

# Palo Alto PA-3260 - ESP边界防火墙

# 入站规则 - 严格限制进入ESP的内容
# CIP-005-7 R1.3: 所有入站/出站访问权限均已记录

# 允许来自邻近BA的ICCP（控制中心间通信协议）
set rulebase security rules ICCP-Inbound from Corporate-Zone to ESP-Zone
set rulebase security rules ICCP-Inbound source 192.168.100.10
set rulebase security rules ICCP-Inbound destination 10.20.1.50
set rulebase security rules ICCP-Inbound application iccp
set rulebase security rules ICCP-Inbound service application-default
set rulebase security rules ICCP-Inbound action allow
set rulebase security rules ICCP-Inbound log-setting CIP-Audit-Log

# 允许NTP进行时间同步（CIP-007 R5.7）
set rulebase security rules NTP-Inbound from Corporate-Zone to ESP-Zone
set rulebase security rules NTP-Inbound source 192.168.100.1
set rulebase security rules NTP-Inbound destination 10.20.1.1
set rulebase security rules NTP-Inbound application ntp
set rulebase security rules NTP-Inbound action allow

# CIP-005-7 R2: 远程访问管理
# 所有远程访问会话需要中间系统
# CIP-005-7 R2.4: 需要多因素认证（2025年更新）

set rulebase security rules RemoteAccess from External to DMZ-Zone
set rulebase security rules RemoteAccess destination 172.16.1.10
set rulebase security rules RemoteAccess application ssl-vpn
set rulebase security rules RemoteAccess action allow
# MFA在中间系统（跳板服务器）上强制执行

# 默认拒绝所有其他流量
set rulebase security rules ESP-Default-Deny from any to ESP-Zone
set rulebase security rules ESP-Default-Deny action deny
set rulebase security rules ESP-Default-Deny log-setting CIP-Audit-Log

步骤 3：实施系统安全管理（CIP-007-6）

为BES网络资产配置安全控制，包括端口管理、安全补丁、恶意代码预防和安全事件监控。

# CIP-007-6实施检查清单

cip_007_controls:
  R1_ports_services:
    description: "端口和服务管理"
    requirements:
      - "禁用或限制所有不必要的物理端口（USB、串口）"
      - "禁用所有不必要的逻辑端口和服务"
      - "记录所有启用的端口/服务及业务理由"
    implementation:
      windows_servers: |
        # 禁用Windows BES网络资产上的不必要服务
        Set-Service -Name "RemoteRegistry" -StartupType Disabled
        Set-Service -Name "WinRM" -StartupType Disabled
        Set-Service -Name "Spooler" -StartupType Disabled
        # 通过组策略禁用USB存储
        # 计算机配置 > 管理模板 > 系统 > 可移动存储访问
      linux_servers: |
        # 禁用不必要的服务
        systemctl disable cups bluetooth avahi-daemon
        systemctl mask cups bluetooth avahi-daemon
        # 禁用USB存储
        echo "blacklist usb-storage" > /etc/modprobe.d/disable-usb.conf

  R2_security_patches:
    description: "安全补丁管理"
    requirements:
      - "跟踪所有BES网络系统的安全补丁"
      - "在可用后35天内评估补丁"
      - "应用补丁或记录缓解计划"
      - "在生产前于非生产环境测试补丁"
    implementation:
      tracking: "Windows使用WSUS/SCCM；Linux使用yum/dnf"
      testing: "维护镜像生产环境的预演环境"
      evidence: "在合规追踪系统中记录补丁评估"

  R3_malicious_code:
    description: "恶意代码预防"
    requirements:
      - "在所有适用的BES网络资产上部署反恶意软件"
      - "更新签名或使用应用程序白名单"
       
    
       
       
       

  
     
    
       
       
       
       
    
       
      
         
         
         
         
         
       

  
     
    
       
       
       
       
       
    
      
         
         
         
         
         
       

核心概念

术语	定义
BES网络系统（BES Cyber System）	为大型电力系统执行可靠性功能的一个或多个BES网络资产的集合
电子安全边界（ESP）	包含BES网络系统的网络逻辑边界，所有流量通过电子访问点流入流出
电子访问点（EAP）	ESP边界上控制进出ESP流量的接口
中间系统（Intermediate System）	用于远程访问的系统，防止直接连接到BES网络资产（跳板服务器）
临时网络资产（Transient Cyber Asset）	连续日历天数少于30天直接连接到BES网络系统的设备（笔记本电脑、USB驱动器）
NERC术语表	CIP标准中使用的官方定义；合规需要精确术语

工具和系统

• Tripwire Enterprise：CIP-010基线管理的配置合规监控和文件完整性监控
• Splunk配合CIP内容包：SIEM，具有预建的CIP-007安全事件监控仪表板和告警
• Carbon Black App Control：HMI工作站和BES网络资产的应用程序白名单（CIP-007 R3）
• Trellix/McAfee ePO：端点保护，为BES网络资产提供OT优化扫描策略

输出格式

NERC CIP合规评估报告
=======================================
实体: [注册实体名称]
日期: YYYY-MM-DD
标准: CIP-002至CIP-014

BES网络系统分类:
  高影响: [N] 个系统
  中影响: [N] 个系统
  低影响: [N] 个系统

各标准合规状态:
  CIP-002: [合规/部分合规/不合规]
  CIP-005: [状态] - 已识别 [N] 个差距
  CIP-007: [状态] - 已识别 [N] 个差距
  CIP-010: [状态] - 已识别 [N] 个差距
  CIP-013: [状态] - 已识别 [N] 个差距