《關鍵信息基礎設施網絡安全保護基本要求》強調油儲類的CII網絡安全保護需首先符合網絡安全等級保護政策及GB/T 22239-2019等標準相關要求，同時遵循“重點保護、整體防護、動態風控、協同參與”的基本原則，建立網絡安全主動整體防御體系，在此基礎上實現油庫CII關鍵業務的安全防護。

2 構建適合油庫安全運營的安全體系與攻防決勝能力

油庫安全生產保障的網絡安全能力建設目標是在保障網絡對抗中能夠取得決勝，其持續性對抗的安全保障能力是關鍵，尤其是在黑客入侵時能夠及時發現并實施阻斷、內部人員違規操作時能夠甄別并舉證等。油庫CII網絡安全保護在滿足等保2.0要求的基礎上，遵循“重點保護、整體防護、動態風控和協同參與”的原則，建立網絡安全綜合主動防御體系。其中，整體防護就是基于油庫生產運營承載的業務，對業務所涉及的多個網絡和信息系統，尤其是發油生產的SCADA控制系統等進行全面防護；動態風控以油庫網絡安全風險的動態管理對其安全控制措施進行調整，從而有效地防范控制網絡安全風險。

2.1 網絡安全運營體系化

GB/T 22239-2019等級保護標準強調“一個中心、三重防護”的體系化設計思路，可以分為空間維度的縱深與多重防護體系（如圖1所示），和時間維度的多維與協同防御體系（如圖2所示），重點加強“內生安全”，如公司以及庫區用戶登錄系統的身份認證、重要操作行為審計、敏感數據加密、發油生產SCADA控制程序開發中源代碼的安全審計、業務和核心交換機的配置文件安全審計、新業務通信鏈路鏈接審計（控制非法外聯）、遠程運維審計等，以此提升業務系統自身的安全性、增強抵御外部攻擊的能力。更為重要的是系統安全運營時，注重安全措施的落地與效果，安全策略部署到位，安全應急庫與“一庫一檔案”建立、安全事件追蹤溯源等，以此消除一些特殊威脅的安全漏洞和再被利用的機會。

圖1 基于空間維度的防御體系

圖2 基于時間維度的防御體系

2.2 攻防思考的安全運營

西北銷售公司每年不斷新增業務，在網設備時常在增減與更新，安全運營與智能運維可以保護油庫設施免受攻擊、入侵、干擾和破壞，構建面向攻防對抗的網絡安全防護體系，積極使用漏洞掃描、滲透測試、安全防護、安全持續監測等技術，改善發油生產SCADA網絡系統的安全性能，提高網絡安全保障能力，構筑安全、可靠、穩定的可視、可控、可責、可溯的網絡環境。

（1）基于滿足等保合規的基礎安全能力，實時深度梳理與監控油庫網絡資產的存活狀態、聯網狀態、進出流量等，并根據人員的變化構建動態的安全組織，根據需要動態部署適宜的安全措施與策略，制定與之相適應的應急流程。

（2）構建以大數據為核心的分析溯源能力、誘捕能力以提升威脅發現能力，及時發現網絡攻擊與違規操作者，及時完成威脅阻斷、網絡恢復等工作。

（3）構建以威脅情報為中心的持續對抗能力，網絡攻防雙方都是善變的，及時依據網絡狀態變化動態地調整安全策略，以爭取對抗中的主動，提升網絡安全策略動態調整的能力。

（4）采用零信任思維（動態的4A技術），動態評估登錄用戶、設備的可信程度，并根據登錄位置、連接方式、上網習慣、設備業務流量等特性動態授權用戶訪問的權限，特別對一些敏感操作（如SCADA、PLC程序下載、數據庫操作等），額外增加身份鑒別的級別以保障業務的安全。

2.3 以CII保護思維，超越等保合規的動態防御聯動防控策略

基于等保2.0和CII防護的油庫工業互聯網安全運營以治理、風控、合規為驅動，以大數據分析技術為核心，實現了油品的銷售、生產、調度、運營的端到端的價值鏈的覆蓋，實現了從現場控制、生產監控、生產運營到經營管理的全維度監控，以及從物理和環境、網絡和通信、計算和終端、應用和數據的全范圍監控。網絡安全決策工作基于來自各類計算終端、服務器、數據庫、應用系統、存儲設備、網絡設備、安全設備以及運營操作的數據，經過大數據安全平臺采集、歸集、處理、分析后得到大量歷史和實時的數據輔助網絡安全決策，使油庫網絡安全運營決策能夠做到有的放矢。油庫CII網絡安全保護架構圖如圖3所示

3 持續性威脅監測和安全運營以應對不斷變化的外部安全威脅

作者簡介

摘自《工業控制系統信息安全專刊（第七輯）》