仍然不受监管的太阳能电力云：第九届 E.DSO–EE-ISAC–ENCS–ENISA 网络安全论坛纪要

# 仍然无人监管的太阳能发电云：第9届 E.DSO – EE-ISAC – ENCS – ENISA 网络安全论坛见闻 —— Bert Hubert 的文章 来源：https://berthub.eu/articles/posts/solar-nightmare-at-the-conference/ 上周我参加了在布鲁塞尔举行的第9届 E.DSO（https://www.edsoforsmartgrids.eu/）– EE-ISAC（https://www.ee-isac.eu/）– ENCS（https://encs.eu/）– ENISA（https://www.enisa.europa.eu/）网络安全论坛。由于我没有内容要展示，我通过撰写一篇现场直播博客（https://eupolicy.social/@bert_hubert/117403890256929658）（下方为整理后的更好版本！）来让自己发挥作用，看起来阅读量还不错。 在这次论坛上，话题标签为 #CyberGrids26，所有相关人士悉数到场。监管机构、欧盟委员会、电力发电商、电力输配（https://en.wikipedia.org/wiki/Transmission_system_operator）（https://en.wikipedia.org/wiki/Electric_power_distribution）组织、供应商、研究人员、标准化机构——基本上所有人都在。 **然而，我们几乎没有讨论房间里的大象，也没有讨论我来布鲁塞尔的目的**。家用太阳能逆变器、热泵和家庭储能电池的网络安全方面目前处于**无人监管**状态，因为单个设备规模太小。然而，这些为电网贡献超过 100GW 的设备现在正通过**安全防护极其薄弱的非欧洲云端**进行**集中管理**，而这些云端随时可能遭受**持续发生的勒索软件攻击**。这意味着黑客关闭我们社会运行的明显且现实的危险，这可能作为地缘政治"灰色战争"/混合攻击的一部分。 输电运营商表示，即使是 3GW 的中断（https://www.bnr.nl/nieuws/tech-innovatie/10554962/apps-voor-beheer-van-zonnepanelen-zo-lek-als-een-mandje-al-drie-keer-gehackt）也会导致电网瘫痪。而这一切都没有监管机构采取行动，各种理由不一而足。这个问题（https://berthub.eu/articles/posts/the-gigantic-unregulated-power-plants-in-the-cloud/）众所周知，**并且已经被讨论了十多年**。荷兰政府刚刚发布了一份关于此事的优秀报告（https://www.rdi.nl/actueel/nieuws/2026/10/07/verbonden-energieapparaten-kunnen-leiden-tot-verstoring-van-elektriciteitsnet）（目前仅有荷兰语版本）。 这次 #CyberGrids26 会议本应是着手解决这一问题的最佳场所，但除了短暂的几个时刻外，我们并没有这样做。如今，回头之路也并不容易。现有的法规（https://energy.ec.europa.eu/topics/energy-security/critical-infrastructure-and-cybersecurity_en#tackling-cybersecurity-challenges）都**并未完全**涵盖一个控制 1TW 分布式太阳能发电的云端——而这个云端（如本周所示（https://jakkaru.de/articles/sungrow-vulnerability-exposes-gigawatts-worldwide））允许**无需提供密码即可访问**。 NIS2、CRA、网络规范等都只是触及了问题的一部分。这让各国政府犹豫是否采取行动，因为他们缺乏强有力的基础依据。那么他们应该做什么？ - 立即开展市场监管，查明按控制 GW 量计算的最大云端运营商 - 强制对这些主要来自中国的公司进行网络安全审计 - 要求它们立即修复最严重的问题，并安装全天候第三方监控 - 支持基于硬件安全模块（HSM）的固件完整性验证，并进行形式化验证 - 实施架构层面的变革，使云端不能直接控制用户家中的设备：授权给个体用户，只有他们才能重新配置自己的系统（https://berthub.eu/articles/cloud-solar-panel-english.webp） - 禁止不愿放弃此类控制权的实体 而且我们应该加快行动——我们现在正在通过加入数百吉瓦的热泵和家庭储能来成倍放大太阳能板的问题，它们同样能够在一次勒索软件攻击中过载/欠载电网（https://www.eurelectric.org/in-detail/cybersecurity-in-the-power-sector/）。 不用说，上述步骤需要**紧急立法**。《网络安全法案》可能提供一些合适的选项。但仅靠友善的信函和劝诫不会取得任何成效。我当然明白，没有任何单个机构甚至成员国能够独自解决这个问题。 我想表扬周四会议最后几分钟就此事发出警报的那位比利时 DSO 员工。"我们需要政府的帮助，作为电网运营商我们无法独自解决这个问题。" 请继续阅读我们讨论的其他非常有价值的内容，其中许多实际上都是对更好监管需求的隐晦表达。大象确实出现在了房间里，我们也确实讨论了这些挑战，但遗憾的是，大部分都是间接的，直接讨论的时间非常短暂。 *我们也可以这样做，但不知为何我们没有（https://berthub.eu/articles/posts/the-gigantic-unregulated-power-plants-in-the-cloud/）* > 更新：10月1日，智能能源专家组（SEEG）网络安全工作组（https://energy.ec.europa.eu/topics/eus-energy-system/digitalisation-energy-system_en#smart-energy-expert-group）发布了其报告《应对光伏发电网络安全风险的建议》（Recommendations to address cybersecurity risk in photovoltaic generation）1.1版（https://webgate.ec.europa.eu/circabc-ewpp/d/d/workspace/SpacesStore/aea31d36-5812-46a3-9f32-fc528e44b9b9/download），其中似乎包含了大量关于这一问题的有益建议。 ## 会议报告 以下是我的现场报道稍作整理后的版本。请注意：**这并非完全准确**。不适合从此现场报告中引用任何人的话。如果您想引用某人可能说过的内容，请务必先与发言人确认！ 尽管如此，我仍认为这篇报道对于许多无法亲自参加会议的人来说可能有价值。 > 您还可以在此处访问演讲幻灯片（https://www.edsoforsmartgrids.eu/content/uploads/2026/10/251008_9th-e.dso-ee-isac-encs-enisa_cybersecurity_forum_presentations.zip）。这里还有一些活动的精彩照片（https://clients.meltingprod.eu/edsocybersecurityenergyforum2026stanhope/）（均由会议组织方提供）。 ## 现场报道（引用他人之前请务必核实！） 今天我在第9届 E.DSO – EE-ISAC – ENCS – #ENISA 网络安全论坛——"在变化的世界中携手共进：电网网络韧性与准备"上。由于我没有内容要展示，我将进行会议现场直播。 完整议程可以在（https://www.edsoforsmartgrids.eu/content/uploads/2026/07/9th-e.dso-ee-isac-encs-enisa-cybersercurity-forum_draft-programme-structure.pdf）找到。 我确信将会讨论到： 来源，欧洲议会议员 Bart Groothuis（https://mastodon.online/@bartgroothuis/117400389459425824） 关于此次入侵的技术细节（https://jakkaru.de/articles/sungrow-vulnerability-exposes-gigawatts-worldwide）： > "似乎有八种（或更多？）不同的登录方式。我们开始逐一尝试编号，输入五的时候就直接登录成功了。"——这些人控制着 1000GW 的太阳能发电。把登录类型设置为 5，你就进去了！ 好消息，我们有话题标签了！#CyberGrids26 ## 开场致辞 开场致辞指出，日本 EE-ISAC 和北美 EE-ISAC 也专程来到这个欧洲活动，凸显了电网网络安全的重要性。https://www.ee-isac.eu/ E.DSO 董事会成员、意大利电网（Areti）的 Ercola De Luca 是第一位发言人。演讲主题为"变化地缘政治格局中的网络安全准备"。#cybergrids26 这是在能源转型之上的议题。自然的应对是往电网中添加大量设备。但如果发生故障，你不能指望 30 年前的教科书。如果你按照教科书上说的去做，在 2026 年你就不再具有韧性了。 De Luca 指出我们应该勇敢一些，不要墨守成规。我们应该尝试新事物，他赞扬了与会者的出席，因为这意味着我们关心欧洲的电网。这是今天活动的精彩开场。电网运营商历来都是沉稳稳定的组织。但如今世界变得更加狂野了！ ## ENISA 的 Dimitra Liveri 接下来是 #ENISA 的 Dimitra Liveri（https://www.linkedin.com/in/dimitra-liveri-a1421746/）。"变化地缘政治格局中的网络安全准备"。关键行业韧性部门负责人。她提出的问题是：我们如何为即将到来的挑战做好准备？她指出，能源是社会中最关键的系统之一。电力隐藏着每个人各自的威胁模型，通常是未成文的。能源行业正在向效率和可持续性转变。但不一定在抵御网络攻击方面具有韧性。 Liveri 强调了"设计即安全"（security by design）的理念。我们已经谈论这个概念 30 年了。一直在讨论。但我们需要去**实践**。她接着谈到供应链安全，能源领域高度互联。设备是远程维护的。她指出并非所有 27 个欧盟国家都能独立建设自己的网络安全能力。欧盟 ICT 供应链工具箱可以提供帮助，包括针对高风险供应商（🇨🇳）。她提到了《网络安全法案》第二版修订。"我们应该做好准备" Liveri 继续谈到 AI，并指出很多人会讨论这个话题。AI 可以优化运营，但恶意行为者也可以利用 AI 进行黑客攻击，而 AI 本身也可能存在漏洞。问题在于，我们能否在保留足够控制权的同时部署 AI 安全性，我们能否应对外部故障（美国不可用了怎么办？）。她提到了多项支持网络安全的欧盟法规。法规已经存在，我们已经开始实施。她指出有三个可耻的欧盟成员国尚未将 NIS2 法规转化为国内法律。 整个能源生态系统的韧性，实际测试它，加强合作。我们还没有做到。生态系统在增长，合作也在增长，但我们需要将其扩展到其他行业。我们需要将监管要求简化为可操作的具体事项。我们需要在人才、能力、合作方面进行投资。我们需要大量专业人才！我们需要让所有事物都具有韧性，而能源处于核心位置。 ## 2025年波兰电网遭黑客攻击事件 主席指出，我们的关注范围已经超越了发电和输电系统：我们需要保护整个生态系统。接下来是波兰国家电网运营商 PSE 的高级专家 Jeremi Gryka，他将介绍 2025年12月针对波兰能源行业的一次攻击（https://cert.pl/en/posts/2026/08/incident-follow-up-report-energy-sector-2025/）。PSE 是波兰国家电网运营商。电力结构中 51% 为可再生能源。太阳能发电峰值 25GW。 攻击1：2025年12月29日。当天尚未发现任何问题。PSE 的 IT 系统运行正常。少数可再生能源系统出现了网络问题，但并未通知 PSE。与可再生能源发电商之间存在一些通信问题，但并不异常。当天风力发电量很大。 针对波兰可再生能源和热电联产（CHP）运营商基础设施的严重、有针对性的网络攻击。听到 FORTINET 涉及其中我并不惊讶。Fortinet 设备是通过窃取的凭据被控制的。攻击者自 2025年第三季度起就已获得访问权限。在 12月29日，特定设备通过上传恶意固件、重启后无法使用。发电本身*未*受到影响。电网接入点设施受到影响，但系统继续以自动模式运行。 攻击者擦除了许多设备上的数据，消除了活动痕迹。风电场和光伏电站变得无法访问。人们不得不亲自前往现场修复。多个设施依赖于同一个受攻击的 ICT 供应商。这是攻击的第一部分。 热电联产（CHP）系统也遭到攻击。攻击者的入口点未知。他们在第二至第四季度期间获得了对 Active Directory 的访问权限。这次攻击针对的是办公 IT 系统，并且在很大程度上被及时检测到。能源生产未受影响。电厂使用的云服务也被控制。Exchange、Teams、SharePoint，复制了重要且敏感的文件。涉及 OT 和 SCADA 系统。 "私有"GSM APN 设置也被入侵，被用来扫描更多系统。他们成功入侵了一座小型热电厂，那是一个拥有 5万人口的城市，攻击者短暂地中断了供电/供热。入口是通过配置错误的访问设备。员工当时因为自己正在进行的维护工作而保持警觉，得以迅速修复。 后来在 2026年1月19日，PSE 的网站遭到攻击，不太成功。但服务短暂中断。不过攻击者（"QuietSec"）撰文描述了他们的攻击，并声称是俄罗斯人，"要向波兰开火"。接下来是经验教训。 这是波兰遭受的首例此类攻击。长期的预埋伏。"广泛使用 AI 和自动化"。影响有限，这仅仅是一次测试吗？感觉像是"数字纵火"。这次攻击可能会严重得多。他们本可能摧毁涡轮机。或者停止能源生产，但他们没有尝试。根本原因：简单的日常安全卫生疏漏。默认密码、密码重复使用、没有多因素认证（MFA）、设备未更新、网络分段糟糕。（**这几乎总是如此，先把基础做好！**） PSE 表示他们自身并未被入侵，正式来说没有承担角色。他们负责协调电网运营，显然这也包括协调网络安全方面的工作。这种合作开始时有些缓慢，但后来进展顺利。进行了大量后续工作，波兰学到了非常重要的教训。大量媒体报道，他们认为这很重要。我的备注：其他国家应该从中吸取教训，我敢打赌你们和波兰一样脆弱！波兰以英文记录了这次事件，方便我们参考。 （现在是咖啡休息时间——但我要为波兰电网运营商在传播这一信息方面所做的出色工作（https://cert.pl/en/posts/2026/08/incident-follow-up-report-energy-sector-2025/）点赞。他们甚至去黑客大会 DEFCON 上做了演讲。我希望我们都能认真对待这件事！）稍后回来！#CyberGrids26 ## 从规则到准备：让网络安全法规发挥作用 回来啦！小组讨论时间。由 EE-ISAC 的 Marta Grosso 主持开场。"从规则到准备：让网络安全法规发挥作用"。她指出韧性是关键。我们希望能找到解决方案。各位嘉宾现在将分享他们的初步见解。 来自欧盟委员会 DG ENER 的 Ruud Kempener（https://be.linkedin.com/in/ruudkempener）。他表示他来自"规则"这一方，并希望能有所收获。 来自挪威能源监管局的 Øyvind Anders Arntzen Toftegaard（https://www.ntnu.edu/employees/oyvind.a.a.toftegaard）同时也是一位大学研究员（NTNU），他今天以研究员的身份发言。他指出监管和运营就像两个不同的国家，希望我们今天能弥合一些这一差距。 来自 Energy Storage Europe 的 Carolina Cruz（https://energystorageeurope.eu/about-us/our-team/）就未来几个月即将生效的法规发表了看法。储能就像一座房子，人们进出其中，你希望对它有所控制，了解它的状况。她提到 NIS2 告诉了你关于门锁的信息，但你需要更多关于钥匙等方面的规则。 来自 E.ON、E.DSO 的 Zuzana Vobis Magurová（https://de.linkedin.com/in/zuzana-magurova）。她也提到了监管与运营之间的差距。监管应该设定框架，而不是扼杀运营。作为运营商，我们天然有兴趣保障安全，我们喜欢精简而有针对性的监管。 来自 TenneT TSO 荷兰的 Ron Wibbelink（https://www.linkedin.com/in/ron-wibbelink-1ab8973/），同时兼任 ENTSO-E 网络安全网络规范工作组召集人（https://www.entsoe.eu/network_codes/nccs/）。Ron 说他个人就在监管和运营之间架起了桥梁。从 TSO 的角度来看，大量法规即将出台。有大量工作要做