No.1安全現狀

隨著石油化工工藝裝置規模不斷擴大，工藝日益復雜，其生產過程控制大多采用DCS等先進的控制系統，且以國外廠商為主。經過多年發展，石油化工行業信息化建設有了較好的基礎，企業在管理層的指揮、協調和監控能力在實時性、完整性和一致性上都有了很大提升，相應的網絡安全防護也有了較大提高。隨著石化企業管控一體化的實現，越來越多的生產控制系統通過信息網絡連接到互聯上，潛在威脅越來越大，一旦遭受攻擊，生產控制系統將意外停產，并導致巨大的經濟損失。

當前石油化工企業生產控制系統普遍存在以下網絡安全隱患：

• 邊界越來越多、越來越模糊，防護難度也越來越大，一旦局部控制網絡被病毒感染，容易迅速蔓延到整個生產控制網絡，造成“一點突破，全網皆失”，嚴重威脅系統運行安全；
• 石油化工企業工程師站/操作站/HMI一般都是Windows操作系統，為確保過程操控體系的相對獨立性，并考慮系統的安全穩定運轉，通常現場工程師站/操作站/HMI在體系運轉后不會對Windows操作系統裝置任何補丁，導致存在很大安全隱患；
• “兩化”融合促進了石油化工生產系統與IT系統的互聯需求，石油化工生產系統逐步采用通用協議或已經廣泛應用的工業協議傳輸數據，使得攻擊者通過數據監聽、協議解析與劫持技術，篡改通信數據、控制命令等操作更加容易，直接威脅著石油化工生產系統的正常運行；
• 缺乏技術手段對人員操作行為進行有效安全監管和審計，誤操作或者惡意操作安全風險較大；
• 網絡安全防護需要技術與管理的雙向保障，大部分石油化工企業沒有統一的安全管理中心對系統運維、管理、風險的感知、分析、可視化、預警及聯動，遇到事件后處理不及時、風險難發現；
• 發生網絡安全事件后通常依靠經驗判斷，甚至通過逐個斷網等方式來確定網絡安全事件發生的設備和影響范圍，對于被攻擊程度、工藝是否受影響等問題無法快速給出反饋和結論。

No.2解決方案

面以上安全風險，天地和興做了深入調查與研究，為石油化工生產監控系統應用與基礎網絡環境提供全生命周期安全解決方案。

01風險評估方案

風險評估是全面了解與驗證在實際應用中存在各種風險的一種必要手段，也是安全防護體系建設的前提。天地和興通過科學的運用網絡安全風險評估方法，參照相關國家、行業標準，對物理環境、通信網絡、區域邊界、計算環境、管理中心以及管理體系等方面進行全面的安全評估。從而最大限度地提升石油化工企業關鍵業務信息系統的安全保障能力，為企業全面掌握風險，為后續網絡安全建設提供數據支撐。

02安全防護方案

遵照國家網絡安全等級保護及石油化工行業相關安全標準要求，結合安全現狀與需求分析，針對石油化工企業生產控制系統特點，對石油化工企業生產網進行全面的安全風險評估。風險轉化為建設需求，按照等保“一個中心、三重防護”核心思想，設計構建石油化工企業生產工控系統網絡安全防護技術體系，幫助用戶完善安全管理體系建設。技防與管理相結合，構筑企業工控安全綜合防御體系，為石油化工企業安全生產保駕護航。部署示意圖如下：

安全通信網絡：對石油化工生產業務的訪問邏輯進行梳理，優化網絡結構，按照網絡資產屬性與訪問邏輯，合理劃分網絡安全域，在數采網邊界處部署工業安全隔離與信息交換系統（工業網閘系統）等產品進行網絡隔離與數據安全交換，實現雙網隔離與數據安全交換，保護石油化工企業工控網絡安全。

安全區域邊界：在工業控制網絡各層級或各安全域之間串行部署工控防火墻系統，保護各層級或各安全域間的運行安全；通過在數采網的匯聚層交換機上選擇旁路部署入侵檢測系統、威脅檢測系統，實時監測工控系統網絡中、核心數據服務安全域的異常行為并進行分析并告警；在各廠生產控制網匯聚交換機上部署工控安全審計系統，對通信數據進行合規性檢查，對異常行為、違規操作行為進行識別、審計告警，輔助安全運維人員進行處置。

安全計算環境：在工程師站/操作站/HMI等系統中部署主機防護系統，確保主機身份鑒別、訪問控制、惡意代碼防范、入侵防范得到有效控制；在各站控系統和調控中心管理主機操作域內部署USB安全隔離系統，實現對外界USB設備進行認證管理、防USB攻擊、防病毒、防篡改與操作行為審計等功能，保護系統USB拷貝數據的安全。

安全管理中心：在石油化工工控網絡中建立安全管理域，部署工控安全監管平臺、運維審計系統、日志審計與分析系統以及工控安全檢查工具等安全管理工具，實現全網安全設備運行監控、安全日志收集與分析、安全事件集中處置、全網系統賬戶統一管理與操作審計，對重要操作行為進行記錄、分析，及時發現各種違規行為及病毒、黑客的攻擊行為，同時實現全網資產無損掃描識別與管理，資產漏洞匹配與統計報告等安全集中管理能力。

03安全檢查方案

建立生產監控系統定期安全檢查和整改工作機制，每年至少自行開展一次安全檢查，依據發現問題制定整改計劃及措施，并將整改情況上報主管單位和集團公司。等級保護定級為三級的系統，除每年自行開展一次安全檢查外，還將按照等級保護要求，做好安全評估及整改工作。配合上級部門每年的抽檢，并協助開展生產監控系統網絡安全專項檢查，最終對檢查結果進行通報。

04應急演練方案

建立健全的網絡安全運行應急工作機制，檢驗網絡安全綜合應急預案和業務技術專項應急預案的有效性，驗證相關組織和人員應對網絡安全突發事件的組織指揮能力和應急處置能力，保證各項應急指揮調度工作迅速、高效、有序地進行，滿足突發情況下網絡與信息系統運行保障和故障恢復的需要，確保信息系統安全暢通。通過演練不斷提高各部門開展應急工作的水平和效率，發現預案不足，進一步完善應急預案。

05安全服務方案

天地和興專業化的安全服務團隊可為用戶提供安全咨詢、安全評估、運維管理、安全檢查、等保差距分析、安全保障等專業級安全服務，幫助用戶解決項目前期調研、評估、規劃以及后期安全培訓、運維、應急保障等一系列安全服務內容，提升工控安全專業技能與運維管理能力。

06安全運營方案

安全運營好壞直接影響工控系統網絡安全防護體系的防護效能。定期針對現有業務及外界形勢不斷挖掘自身存在的問題和風險，修復或采用補償性措施建立綜合網絡安全防控能力并形成長效機制，定期進行安全培訓以提升企業業務操作人員的安全意識與風險管控能力。編制應急預案并定期進行演練與修正，提高企業面對安全風險的應急響應能力。

No.3總結

本方案以石油化工企業生產監控系統應用為場景，構建整體工業網絡安全防護方案，包括網絡安全評估方案、網絡安全建設方案、網絡安全運營方案，落實國家等級保護“一個中心、三重防護”的安全理念與安全架構要求，以解決石油化工企業生產監控系統在聯網運行中所面臨的網絡安全建設與運營過程困擾，系統地為企業提供包括安全服務、安全建設、安全服務、安全運營在內的工業網絡安全全生命周期解決方案，為業務系統安全運行保駕護航。

來源：天地和興