IEC 61850变电站通信安全：MMS、GOOSE与站控层风险

IEC 61850不是单一协议，而是一套面向变电站自动化的数据模型、通信服务和工程配置体系。它覆盖站控层、间隔层和过程层，涉及监控主机、工程师站、远动机、保护测控IED、智能终端、合并单元和站内交换网络。

在安全分析中，这意味着：IEC 61850流量的风险不取决于协议名称本身，而取决于它承载的业务后果。一次MMS数据读取可能只是正常监控，也可能是非授权主机在枚举IED模型；一次MMS控制服务可能只是计划内遥控，也可能是非维护窗口中的异常操作；一帧GOOSE报文可能只是保护状态快速传递，也可能干扰订阅设备对联锁、闭锁或跳闸逻辑的判断。

图1 IEC 61850变电站三层通信架构示意图

因此，讨论IEC 61850风险时，应避免两种偏差：既不夸大所有通信的风险，也不低估其业务敏感性，应结合访问路径、设备角色与现场逻辑综合判断。

这些风险经常组合出现。比如，远程维护账号进入工程师站后，工程师站开始访问多个IED；随后出现MMS模型浏览、报告订阅变化或控制服务调用。风险是否造成实际后果，取决于现场配置、IED逻辑、闭锁条件、人工复核和安全监测能力。

（一）MMS模型浏览暴露站内结构

MMS在IEC61850体系中承担站控层与间隔层之间的大量交互。监控主机通过MMS获取数据和报告，工程师站通过MMS进行模型查看、文件访问、调试和配置相关操作，远动机或网关通过MMS汇集站内信息。

IEC 61850的建模能力很强，逻辑节点、数据对象、数据属性、数据集、报告控制块等信息能够反映设备角色和业务关系。非授权主机通过模型浏览可掌握全站攻击面，为后续精准操作铺路。

图2 MMS模型浏览攻击链路示意图

检测与治理：重点监测非白名单主机的TCP 102端口访问、非维护窗口的批量读取行为；收敛MMS可达范围，对模型浏览与文件访问进行全量审计。

（二）MMS控制服务异常影响现场状态

MMS控制服务是IEC 61850风险中最需要重点审计的一类。它可能关联断路器、隔离开关、压板、远方控制点、复归或其他站内控制对象。并不是所有MMS控制操作都会直接作用到一次设备，也不是所有IED都允许远方控制，但只要控制链路存在，就应按高风险操作处理。

风险成立通常需要多个条件叠加：发起主机能够访问IED，控制服务开放，账号或主机权限满足操作条件，IED接受该控制请求，现场联锁和业务流程允许执行。如果条件成立，可能造成状态变化、误控风险、运行扰动或事故处置复杂化。

图3 MMS控制服务执行流程与风险点

检测与治理：严格审计所有控制操作，关联人员身份、操作票与维护窗口；对非主站来源、连续失败的控制尝试触发高优先级告警。

（三）GOOSE异常发布干扰保护逻辑

GOOSE的风险敏感性高于普通状态查询，因为它通常承载低时延事件。变电站中，GOOSE可能用于保护动作、联锁闭锁、跳闸信号、开关状态变化和快速告警传递。它采用发布/订阅方式，常在二层网络中传播，对时延和可靠性要求高。

异常GOOSE报文不一定必然导致现场动作。订阅IED还会依据配置、状态、逻辑条件和闭锁关系进行判断。但如果异常报文能够进入订阅链路，并且报文内容被关键设备接受，就可能干扰站内保护逻辑、联锁判断、状态显示或告警关联。

GOOSE异常发布的典型风险包括：未知MAC地址发布GOOSE，非预期设备发布与关键IED相似的APPID，发布者身份变化，目的组播地址异常，GOOSE数据集内容与工程配置不一致，发布频率突变，状态变化与现场事件不匹配。

图4 GOOSE异常发布攻击场景示意图

检测与治理：控制广播域、固定发布订阅关系、监测发布者变化、核查APPID和数据集一致性，并对关键GOOSE链路建立状态号和序号基线。

（四）GOOSE重放与序号异常

GOOSE报文中存在状态号、序号和重发机制，用于表达事件状态变化和可靠传输过程。在正常场景下，状态变化、序号增长、重发频率应当与现场逻辑和设备状态相匹配。

当出现异常重放、状态号跳变、序号回退、重复帧异常、重发频率异常或状态变化与现场事件不一致时，安全团队需要判断是设备故障、网络环路、配置错误，还是异常主机干扰。对变电站而言，这类风险虽然不一定直接造成一次设备动作，但可能影响订阅设备判断、告警关联和事故复盘。

检测与治理：建立报文序号与重发频率基线，重点排查无对应现场事件的状态变化，以及跨VLAN的GOOSE报文。

（五）SCL工程配置文件泄露

IEC 61850的工程配置文件不只是普通配置文档。ICD、SCD等SCL文件包含全站IED能力、通信关系与GOOSE订阅逻辑，是攻击者的高价值目标。

如果SCL文件管理松散，可能带来三类风险。第一，站内设备模型、关键IED、通信关系和GOOSE订阅关系被暴露。第二，异常人员可以借助配置文件更快理解哪些对象涉及控制、保护和联锁。第三，配置文件被非授权修改或替换后，如果缺少版本校验和变更审计，可能在后续工程调试或下装过程中引入错误配置。

检测与治理：这类风险常见于工程师站共享目录、配置服务器、备份介质、厂商交付包、临时调试文件夹和未受控的个人终端。治理上应将SCL文件纳入配置基线、权限控制、版本管理、变更审批和完整性校验。

（六）站控层横向可达放大风险

站控层是IEC 61850风险的汇聚点。监控主机、工程师站、远动机、通信网关、保护测控IED和站控层交换机都可能在这里形成通信关系。如果站控层分区不清、ACL粗放、VLAN隔离不足、交换机端口策略缺失，MMS和GOOSE的风险范围都会扩大。

站控层横向可达的典型问题包括：办公网主机间接触达站控层，远程维护主机访问范围过大，工程师站可访问过多IED，远动机或网关既连接外部系统又缺少严格审计，临时维护策略长期保留，站控层内陌生主机可以接触GOOSE广播域。

图5 站控层横向风险扩散路径示意图

检测与治理：这类风险的重点不是某个单独协议，而是访问路径被放大。治理上应细化ACL与VLAN策略，限制工程师站、远动机的访问范围；严禁临时维护策略长期保留。

（七）远程运维扩大边界风险

变电站现场经常存在厂家维护、远程诊断、缺陷处理、版本升级、工程调试等需求。远程运维的风险在于远程接入后权限是否过宽、访问路径是否可控、操作是否可审计、维护结束后是否回收。

真实风险链路往往是：远程账号登录堡垒机或VPN，进入工程师站或维护主机，随后访问站控层IED，进行MMS模型浏览、文件读取、报告订阅或控制尝试。如果站控层二层网络没有隔离，维护主机还可能接触GOOSE广播域。此时风险已经不只是账号安全，而是远程入口、主机权限、站控层访问和协议操作的组合风险。

检测与治理：按工单精细化授权远程访问的时间、范围与操作类型；将远程登录日志与站内MMS、GOOSE行为关联分析，及时发现权限滥用。

IEC 61850检测不能停留在端口识别。TCP102、GOOSE以太类型、组播地址只是起点。更重要的是识别资产角色、通信关系、操作语义、发布订阅关系和维护上下文。

图6 IEC 61850全链路风险检测框架图

MMS检测应关注：非白名单主机访问IED，异常模型浏览，异常文件访问，报告订阅变化，控制服务调用，连续失败控制，非维护窗口工程操作。

GOOSE检测应关注：发布者MAC变化，APPID异常，数据集不匹配，stNum和sqNum异常，重发频率异常，未知设备发布GOOSE，GOOSE报文跨越不应跨越的VLAN或端口。

站控层检测应关注：远程登录后出现IEC 61850通信，工程师站访问范围扩大，远动机或网关异常连接，临时维护主机触达IED，办公网或第三方接入区触达站控层，交换机端口出现异常二层组播。

第一，收敛MMS可达范围。只允许监控主机、远动机、授权工程师站访问指定IED或网关，限制模型浏览、文件访问和控制服务等敏感行为。

第二，重点审计MMS控制服务。控制类操作应与操作票、人员身份、维护窗口和设备状态关联。非主站来源、非维护窗口、连续失败、多设备连续控制都应进入高优先级处置。

第三，治理GOOSE广播域。通过VLAN、组播控制、交换机端口策略和订阅关系核查，控制GOOSE报文传播范围。关键发布者、APPID、数据集、stNum和sqNum应形成基线。

第四，保护SCL工程配置文件。ICD、CID、SCD等文件应纳入权限控制、版本管理、完整性校验和变更审计，避免被当作普通共享文档管理。

第五，管控远程运维入口。VPN、堡垒机、临时账号和第三方维护权限应按工单、时间、目标主机和操作范围授权。远程接入不应自动获得站控层横向访问能力。

第六，优先采用旁路监测。变电站对稳定性和实时性要求高，安全监测应优先通过镜像流量、TAP、日志采集和被动资产识别开展。阻断策略应在测试环境或低风险链路验证后再上线。

IEC61850的风险重点不在协议名称，而在变电站通信链路的业务敏感性。MMS风险集中在模型暴露、数据读取、报告订阅和控制服务；GOOSE风险集中在异常发布、重放、序号状态异常和广播域扩大；站控层风险集中在横向可达、工程师站权限、远动网关边界和远程运维入口。

对安全团队来说，优先级最高的是持续回答五个问题：谁能访问IED，谁能发起MMS控制，谁在发布GOOSE，工程配置文件是否受控，远程运维是否扩大了站控层暴露面。只有这些问题有台账、有基线、有告警、有核查流程，IEC61850风险才会从抽象协议风险变成可治理的现场风险。

长扬科技安全研究院长期专注工控协议解析、安全漏洞库建设、工业设备指纹识别、漏洞挖掘、病毒处置和灾后数据恢复等方向，具备持续性的工业协议深度分析、漏洞研究和风险研判能力，并长期参与国家级漏洞上报、预警信息报送和工业安全支撑工作。围绕PLC、DCS、工业网关、实时操作系统和工业软件组件等核心工控对象，研究院持续开展前沿安全研究，尤其在电力行业IEC 61850协议体系的安全研究领域积累了深厚的技术沉淀与实战经验。

依托自主构建的工控漏洞库、威胁情报库、安全事件知识库和工业设备指纹库，长扬科技形成了“协议识别—资产测绘—漏洞研判—异常检测—应急响应”的全链条安全能力闭环，并融入AI智能体技术实现告警精准降噪与未知威胁智能识别，有效解决了IEC 61850场景下正常业务流量与异常攻击行为难以区分的行业痛点。

围绕IEC 61850变电站通信安全的核心风险场景，长扬科技具备多维度的系统性安全支撑能力：

• 协议语义级安全审计能力：不仅支持MMS、GOOSE协议的基础流量识别，更能实现协议语义深度解析与指令级管控，可建立GOOSE发布订阅关系、APPID、状态号与序号的基线模型，精准识别异常发布、报文重放、序号跳变等风险行为；同时对MMS模型浏览、文件访问、控制服务等敏感操作进行细粒度审计，区分正常运维与非授权行为。

  
  

• 工程配置与资产全生命周期管控能力：具备站控层资产自动发现与精准指纹识别能力，可对SCL体系下各类工程配置文件实施全生命周期管理，覆盖权限控制、版本追溯、完整性校验与变更审计全流程，防范配置文件泄露与非法篡改带来的站内拓扑、逻辑关系暴露风险。

  
  

• 全链路访问与运维管控能力：能够实现站控层横向访问与远程运维的全链路关联分析，将远程登录、堡垒机操作与后续的MMS通信、控制服务调用、GOOSE报文发布行为进行联动溯源，精准识别权限滥用与非授权操作，有效收敛远程运维带来的站控层暴露面。

  
  

• 集团级一体化安全运营能力：可支撑电力企业构建从单变电站到区域集控、再到集团总部的多级安全管控体系，实现统一资产台账、统一风险监测、统一应急响应与统一合规管理，形成上下联动的安全运营闭环。

  
  

此外，长扬科技深度参与工业安全及电力行业相关国家、行业标准的制修订工作，将大量IEC 61850场景下的实战防护经验转化为行业规范；同时持续开展工控漏洞挖掘与攻防对抗研究，累计向国家漏洞库提交数百个中高危漏洞，具备应对未知威胁与零日攻击的主动防御能力。通过将技术能力、标准经验与行业实践深度融合，长扬科技能够帮助用户真正实现智能变电站IEC 61850通信安全的可见、可管、可控，在不影响生产稳定运行的前提下构建全维度的安全防护体系。

智能变电站通信安全的本质，从来不是单一协议的防护，而是基于业务逻辑的全链路风险管控。真正有效的防护，必须穿透协议表层，精准区分正常业务与异常行为，在不影响生产稳定的前提下构建安全闭环。

在能源数字化转型加速推进的今天，智能变电站作为电力系统的核心节点，其通信安全直接关系到电网稳定运行与国家能源安全。未来，长扬科技将持续深耕工业安全核心技术，立足电力行业本质需求，不断完善体系化安全防护能力，助力守护电力生产的“神经中枢”，为国家能源安全与能源行业数字化转型筑牢坚实的安全屏障。