NERC CIP 合规

NERC CIP（Critical Infrastructure Protection，关键基础设施保护）是北美电力可靠性公司（NERC, North American Electric Reliability Corporation）针对大电力系统（BES, Bulk Electric System）网络安全的强制标准。该标准由 NERC 制定并经美国联邦能源监管委员会（FERC）批准，对北美（含美国、加拿大及部分墨西哥地区）的电网运营商、负荷服务实体与发电企业具有法律强制力，违规者可被处以每日最高 100 万美元罚款。

EnerOS 提供 CIP-002、003、004、005、006、007、008、009、010、011、013、014 的开箱即用合规能力，覆盖关键资产识别、安全运维、电子安全边界、系统安全管理、事件响应与配置变更管理等核心要求。

标准族详解

NERC CIP 标准族由多个独立但相互关联的标准组成，按主题分组：

覆盖范围

EnerOS 重点覆盖以下标准的强制要求：

关键资产识别

BES 网络资产分级（CIP-002）

CIP-002 要求将 BES 网络资产按影响分为三档：

EnerOS 通过资产注册表自动完成影响评级：

[asset_registry]
enabled = true
auto_classify = true

[asset_registry.impact_rules]
high_threshold_mw = 3000
medium_threshold_mw = 1000

[asset_registry.bes_zones]
zone_a = "control-center"
zone_b = "substation-500kv"
zone_c = "distribution-10kv"

# 扫描并识别 BES 资产
eneros-cli asset scan --bes --output bes-assets.json

# 自动分级
eneros-cli asset classify --input bes-assets.json --standard nerc-cip

# 输出资产清单
eneros-cli asset list --standard nerc-cip --output cip-002-assets.csv

资产影响评估逻辑

use eneros_asset_registry::{Asset, ImpactLevel};

let asset = Asset::builder()
    .id("scada-master-01")
    .name("调度中心主站")
    .zone("control-center")
    .function("dispatch")
    .connected_load_mw(5000)
    .build();

let impact = asset.evaluate_impact(&rules).await?;
match impact.level {
    ImpactLevel::High => println!("高影响资产，需 CIP-005/007 全套防护"),
    ImpactLevel::Medium => println!("中影响资产，需 CIP-005/007 基础防护"),
    ImpactLevel::Low => println!("低影响资产，需 CIP-007 日志记录"),
}

安全要求

电子安全边界（CIP-005）

CIP-005 要求建立电子安全边界（ESP, Electronic Security Perimeter），保护 BES 网络资产。EnerOS 的实现要点：

系统安全管理（CIP-007）

CIP-007 覆盖系统全生命周期的安全管理要求：

[cip_007]
enabled = true

[cip_007.port_management]
default_ports = [443, 853, 9090]   # HTTPS, mDNS-TLS, gRPC
disable_unused = true              # 自动禁用未使用端口
audit_frequency_days = 30          # 端口审计周期

[cip_007.patch_management]
auto_scan = true                   # 自动扫描可用补丁
test_before_deploy = true          # 灰度测试
rollback_window_hours = 24         # 回滚窗口
max_deploy_time_minutes = 30       # 部署时间窗口

[cip_007.vulnerability]
scan_frequency_days = 30           # 每月扫描
sbom_auto_update = true            # SBOM 自动更新
critical_sla_days = 35             # 高危漏洞修复 SLA
high_sla_days = 60
medium_sla_days = 120

端口与服务管理

# 导出端口清单
eneros-cli audit ports --output port-inventory.csv

# 检测异常端口
eneros-cli audit ports --diff baseline.toml --output port-anomalies.json

# 禁用未授权端口
eneros-cli ports disable --range 23,21,161

EnerOS 合规实施

1. 配置基线与变更管理（CIP-010）

CIP-010 要求建立配置基线并对所有变更进行版本控制。EnerOS 通过 GitOps 流水线实现：

# .eneros/baseline.yaml - 配置基线
apiVersion: eneros.io/v1
kind: ConfigBaseline
metadata:
  name: cip-baseline-v1.2.3
  signed-by: security-officer@eneros.io
spec:
  standard: nerc-cip
  components:
    - name: eneros-gateway
      version: 0.47.0
      config_hash: sha256:abc123...
    - name: eneros-trust
      version: 0.47.0
      config_hash: sha256:def456...
  signed_at: "2026-07-01T00:00:00Z"

# 创建变更请求
eneros-cli change request --baseline cip-baseline-v1.2.3 \
  --reason "升级 eneros-gateway 至 0.48.0" \
  --approver ccb-chair@eneros.io

# 应用变更（自动签名并归档）
eneros-cli change apply --request-id cr-2026-007 \
  --signed-by ccb-chair@eneros.io

# 回滚变更
eneros-cli change rollback --request-id cr-2026-007

2. 软件完整性验证（CIP-010 R2）

# 镜像签名校验
eneros-cli image verify eneros/gateway:0.47.0 \
  --public-key /etc/eneros/signing.pub

# 启动度量
eneros-cli tpm measure --component eneros-gateway \
  --expected-hash sha256:abc123...

use eneros_trust::integrity::{ImageVerifier, TpmAttestor};

let verifier = ImageVerifier::new("/etc/eneros/signing.pub");
let verified = verifier.verify("eneros/gateway:0.47.0").await?;
if !verified {
    return Err("镜像签名校验失败，拒绝启动".into());
}

let attestor = TpmAttestor::new();
let measurement = attestor.measure_component("eneros-gateway").await?;
assert_eq!(measurement.hash, expected_hash);

3. 事件响应（CIP-008）

[cip_008]
incident_classes = ["probe", "dos", "unauthorized-access", "malware"]
notification_sla_hours = 24
escalation_chain = ["soc-l1", "soc-l2", "incident-commander"]

[cip_008.reporting]
authority_email = "nerc-alerts@eneros.io"
format = "nerc-cip-008-r1"
retention_years = 7

配置示例

eneros.toml 完整 NERC CIP 配置

[compliance]
standard = "nerc-cip"
version = "CIP-007-7"
enforce = true

[nerc_cip]
enabled = true
bes_zone = "control-center"
asset_impact_level = "high"

# CIP-005 电子安全边界
[nerc_cip.esp]
trust_domain = "eneros.bes"
allow_plaintext = false
mtls_required = true
ids_enabled = true

# CIP-007 系统安全管理
[nerc_cip.system]
image_signature_required = true
min_password_length = 15
password_rotation_days = 90
session_timeout_minutes = 15

# CIP-007 日志
[nerc_cip.logging]
hmac_chain = true
worm_store = "/var/eneros/audit"
retention_event_days = 90
retention_incident_years = 7

# CIP-010 配置变更
[nerc_cip.change_management]
gitops_required = true
baseline_signed = true
ccb_approval_required = true
rollback_window_hours = 24

# CIP-011 信息保护
[nerc_cip.info_protection]
data_classification = true
field_encryption = "AES-256-GCM"
key_rotation_days = 365

# CIP-013 供应链
[nerc_cip.supply_chain]
sbom_required = true
supplier_risk_score_min = 70
vulnerability_scan_days = 30

审计要求

取证与报告导出

# 导出季度合规报告
eneros-cli audit export --standard nerc-cip --range "2026-Q2" \
  --output nerc-cip-2026Q2.jsonl

# 按标准要求生成专项报告
eneros-cli audit report --standard cip-005 --range "2026-Q2" \
  --output cip-005-2026Q2.pdf

eneros-cli audit report --standard cip-007 --range "2026-Q2" \
  --output cip-007-2026Q2.pdf

# 端口清单
eneros-cli audit ports --output cip-007-r4-ports.csv

# 漏洞扫描报告
eneros-cli audit vulnerabilities --output cip-007-r3-vulns.csv

导出包含身份认证、授权、配置变更、漏洞扫描全量记录，可直接交付审计师。

审计报告内容

每份审计报告包含以下章节：

1. 资产清单：BES 网络资产分级与影响评级
2. 电子安全边界：ESP 配置、访问控制策略
3. 入侵检测：IDS 事件、告警与处置记录
4. 端口与服务：端口清单、变更历史
5. 补丁管理：补丁部署记录、灰度测试结果
6. 漏洞管理：扫描结果、修复 SLA 达成情况
7. 配置变更：变更请求、CCB 审批、签名校验
8. 日志记录：HMAC 链验证、WORM 完整性
9. 事件响应：事件分类、响应时间、上报记录
10. 供应链：SBOM、供应商风险评分

合规检查清单

部署前请逐项确认：

• 所有 BES 网络资产纳入 mTLS 边界，无明文通道
• 部署 IDS 并配置电力 OT 特征库（见 零信任与安全增强）
• 审计日志保留 ≥ 90 天（事件类）/ 7 年（事故类）
• 每季度执行漏洞扫描，高危漏洞 35 天内修复
• 所有配置变更通过 GitOps 流水线，禁止直接登录修改
• 镜像签名校验失败时拒绝启动
• 端口清单可由 eneros-cli audit ports 导出
• 事件响应流程文档化，含 24×7 值班联系方式
• BES 资产影响评级每年复核一次
• 关键人员背景调查与年度安全培训记录归档
• 配置基线由 CCB（变更控制委员会）签字批准
• 备份与恢复演练每半年执行一次
• 供应链风险评估每年开展一次
• 控制中心物理安全评估每三年开展一次
• NERC EIRSS（事件报告系统）接入配置正确

相关文档

• IEC 62443 合规
• 零信任架构与 mTLS
• 零信任与安全增强
• 多区域与灾备