1項(xiàng)目概況

本項(xiàng)目針對(duì)石油石化行業(yè)，按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度框架，采用“縱深安全防護(hù)”原則，通過分析主機(jī)、設(shè)備、數(shù)據(jù)及網(wǎng)絡(luò)安全等防護(hù)需求，構(gòu)建基于邊界防護(hù)、監(jiān)測(cè)預(yù)警、入侵檢測(cè)、終端安全等多層次防御體系。

1.1項(xiàng)目背景

石化行業(yè)的工控網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全防護(hù)時(shí)，面臨核心的安全問題包括：

（1）工業(yè)控制系統(tǒng)品牌眾多。

（2）工業(yè)控制系統(tǒng)安全設(shè)計(jì)考慮不足。系統(tǒng)漏洞、組件漏洞、協(xié)議薄弱性在封閉專有的環(huán)境下都可以通過隔離來保護(hù)，但是網(wǎng)絡(luò)開放、數(shù)據(jù)傳輸?shù)陌l(fā)展趨勢(shì)使工控系統(tǒng)的弱點(diǎn)暴露無遺，工業(yè)控制系統(tǒng)從縱深安全防護(hù)到內(nèi)生安全建設(shè)還有很長(zhǎng)的路要走。

（3）終端安全和邊界防護(hù)是最基本的安全需求。

（4）網(wǎng)絡(luò)安全管理的需求。

（5）數(shù)據(jù)傳輸場(chǎng)景必須存在。

（6）整體的安全管理體系尚未建立。

本項(xiàng)目重點(diǎn)解決以上石化企業(yè)面臨的網(wǎng)絡(luò)和信息安全問題，以滿足安全合規(guī)性需求與網(wǎng)絡(luò)安全運(yùn)維管理需求。

1.2項(xiàng)目簡(jiǎn)介

根據(jù)石化企業(yè)的工業(yè)控制網(wǎng)絡(luò)安全基礎(chǔ)，本項(xiàng)目結(jié)合網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求，針對(duì)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)，從網(wǎng)絡(luò)層、系統(tǒng)層出發(fā)，通過風(fēng)險(xiǎn)評(píng)估，梳理資產(chǎn)臺(tái)賬，進(jìn)行脆弱性分析和威脅分析，掌握網(wǎng)絡(luò)安全現(xiàn)狀，安全防護(hù)設(shè)計(jì)才可有的放矢。安全防護(hù)設(shè)計(jì)在Defence-In-Depth的防御思想下，根據(jù)“網(wǎng)絡(luò)安全分層”、“業(yè)務(wù)安全分域”的原則，實(shí)現(xiàn)終端安全防護(hù)和網(wǎng)絡(luò)邊界防護(hù)。同時(shí)配置異常監(jiān)測(cè)設(shè)備以提升工控系統(tǒng)及網(wǎng)絡(luò)的監(jiān)測(cè)預(yù)警能力，通過配置統(tǒng)一安全管理平臺(tái)，建設(shè)安全管理專網(wǎng)，提升工業(yè)控制系統(tǒng)網(wǎng)絡(luò)的綜合安全管理，加強(qiáng)動(dòng)態(tài)防御能力。

1.3項(xiàng)目目標(biāo)

本項(xiàng)目按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度框架，采用“縱深安全防護(hù)”原則，旨在保障工業(yè)控制系統(tǒng)核心安全。通過項(xiàng)目實(shí)施覆蓋控制系統(tǒng)終端，細(xì)化強(qiáng)化通訊策略，抵御0day漏洞風(fēng)險(xiǎn)，避免網(wǎng)絡(luò)病毒感染傳播風(fēng)險(xiǎn)，實(shí)現(xiàn)網(wǎng)絡(luò)整體安全態(tài)勢(shì)的把控、溯源分析，以及通過安全的通道進(jìn)行運(yùn)維操作。此外，項(xiàng)目將單點(diǎn)單向的安全防護(hù)納入到一個(gè)集成平臺(tái)，通過網(wǎng)絡(luò)拓?fù)涞男问皆敿?xì)展現(xiàn)企業(yè)全資產(chǎn)的分布維度與安全狀態(tài)，進(jìn)行綜合安全管理控制。最終有效提升企業(yè)的安全管理能力和抵御網(wǎng)絡(luò)安全風(fēng)險(xiǎn)水平，避免各種網(wǎng)絡(luò)安全突發(fā)事件對(duì)企業(yè)生產(chǎn)系統(tǒng)的影響，保障生產(chǎn)連續(xù)性，避免財(cái)產(chǎn)損失、安全損失以及名譽(yù)損失。石油化工行業(yè)防護(hù)部署架構(gòu)如圖1所示。

圖1 石油化工行業(yè)防護(hù)部署架構(gòu)圖

2項(xiàng)目實(shí)施

（1）風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估是項(xiàng)目開展的基礎(chǔ)，也是項(xiàng)目結(jié)束的驗(yàn)證環(huán)節(jié)。本項(xiàng)目的風(fēng)險(xiǎn)評(píng)估貫穿整個(gè)防護(hù)設(shè)計(jì)與實(shí)施過程，通過風(fēng)險(xiǎn)評(píng)估手段來驗(yàn)證防護(hù)的有效性。

（2）測(cè)試與試點(diǎn)應(yīng)用相結(jié)合

本項(xiàng)目實(shí)施過程的一大特色是結(jié)合石化企業(yè)工業(yè)生產(chǎn)系統(tǒng)的特性，在風(fēng)險(xiǎn)評(píng)估過程中獲取了生產(chǎn)環(huán)境的網(wǎng)絡(luò)架構(gòu)、系統(tǒng)環(huán)境、應(yīng)用組件、通信數(shù)據(jù)。依托工控網(wǎng)絡(luò)安全實(shí)驗(yàn)室完善的工業(yè)控制系統(tǒng)環(huán)境，包括Honeywell PKS C300、AB 5000、ABB AC800F、Emerson Delta V、Siemens S7-300、安控RTU HC511、施耐德昆騰CP651等市場(chǎng)主流工控系統(tǒng)，以及Wurldtech WT-ATP3-31、思博倫SPT-C1等專業(yè)測(cè)試設(shè)備，搭建仿真系統(tǒng)，進(jìn)行工藝模擬、安全性驗(yàn)證，進(jìn)而選取現(xiàn)場(chǎng)裝置系統(tǒng)實(shí)施安裝，試運(yùn)行測(cè)試，進(jìn)而由點(diǎn)及面，全面開展網(wǎng)絡(luò)安全建設(shè)。

（3）安全防護(hù)設(shè)計(jì)實(shí)施

本項(xiàng)目從終端安全防護(hù)、安全監(jiān)測(cè)、安全審計(jì)、統(tǒng)一管理等不同功能方向，結(jié)合采用功能安全與信息安全全生命周期安全防護(hù)，應(yīng)用不同層次、不同方面工控網(wǎng)絡(luò)和安全防護(hù)。具體建設(shè)實(shí)施內(nèi)容包括：

· 網(wǎng)絡(luò)安全分層分區(qū)

通過工業(yè)防火墻實(shí)現(xiàn)管理網(wǎng)與生產(chǎn)網(wǎng)的隔離，并保證數(shù)據(jù)傳輸需求；根據(jù)業(yè)務(wù)劃分安全區(qū)域，針對(duì)跨裝置存在的操作站互聯(lián)情況，在操作站之間加裝工業(yè)防火墻，實(shí)現(xiàn)安全域間的安全通信；通過防火墻對(duì)控制系統(tǒng)進(jìn)行防護(hù)，保護(hù)下裝控制器的數(shù)據(jù)在傳輸中不被病毒篡改及刪除，防止控制網(wǎng)中節(jié)點(diǎn)感染病毒。

· 主機(jī)可信安全

工控主機(jī)（服務(wù)器、工程師站、操作站）安裝主機(jī)安全防護(hù)白名單軟件，白名單防護(hù)方案是通過對(duì)工控上位機(jī)與服務(wù)器安裝配置主機(jī)安全防御平臺(tái)實(shí)現(xiàn)全面的安全防護(hù)，包括計(jì)算機(jī)進(jìn)程管理、可信特征庫(kù)生成、主機(jī)USB接口管理、控制策略配置、白名單運(yùn)行控制、自身完整性保護(hù)等功能?？尚庞?jì)算應(yīng)用架構(gòu)如圖2所示。

圖2 可信計(jì)算應(yīng)用架構(gòu)圖

· 網(wǎng)絡(luò)監(jiān)測(cè)、審計(jì)與運(yùn)維

通過異常檢測(cè)系統(tǒng)實(shí)現(xiàn)網(wǎng)絡(luò)非法操作、異常事件、外部攻擊檢測(cè)并實(shí)時(shí)告警；通過審計(jì)系統(tǒng)對(duì)網(wǎng)絡(luò)中存在的所有活動(dòng)提供協(xié)議審計(jì)、行為審計(jì)、內(nèi)容審計(jì)、流量審計(jì)；通過運(yùn)維系統(tǒng)可以切斷運(yùn)維終端對(duì)工業(yè)網(wǎng)絡(luò)設(shè)備或資源的直接訪問，采用協(xié)議代理的方式，建立基于唯一身份標(biāo)識(shí)的全局實(shí)名制賬號(hào)管理，配置集中訪問控制和細(xì)粒度的命令級(jí)授權(quán)策略，實(shí)現(xiàn)集中有序的運(yùn)維安全管理，對(duì)用戶從登錄到退出的全程操作行為進(jìn)行審計(jì)，加強(qiáng)工業(yè)控制系統(tǒng)及設(shè)備遠(yuǎn)程維護(hù)的安全管理。工控網(wǎng)絡(luò)安全審計(jì)與異常檢測(cè)平臺(tái)架構(gòu)如圖3所示。

圖3 工控網(wǎng)絡(luò)安全審計(jì)與異常檢測(cè)平臺(tái)架構(gòu)圖

· 數(shù)據(jù)備份系統(tǒng)

針對(duì)生產(chǎn)數(shù)據(jù)、文件以及系統(tǒng)進(jìn)行保護(hù)，定期備份。在災(zāi)難事件發(fā)生時(shí)，可將數(shù)據(jù)以及操作系統(tǒng)恢復(fù)至最新備份時(shí)間點(diǎn)，以保證生產(chǎn)業(yè)務(wù)的快速恢復(fù)。并可為后期實(shí)施數(shù)據(jù)中心或?yàn)?zāi)備建立基礎(chǔ)。

· 建設(shè)安全管理專網(wǎng)，搭建統(tǒng)一安全管理平臺(tái)

統(tǒng)一管理工業(yè)控制的系統(tǒng)設(shè)備、安全設(shè)備及日志信息，將多個(gè)設(shè)備日志信息關(guān)聯(lián)分析，對(duì)所有工控安全設(shè)備的事件統(tǒng)一展示并分析。通過對(duì)控制網(wǎng)絡(luò)中的邊界隔離、入侵防御監(jiān)測(cè)、主機(jī)防護(hù)、工控安全審計(jì)等安全產(chǎn)品進(jìn)行集中管理，實(shí)現(xiàn)對(duì)全網(wǎng)中各安全設(shè)備、系統(tǒng)及主機(jī)的統(tǒng)一配置、全面監(jiān)控、實(shí)時(shí)告警、流量分析、網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)與預(yù)警等，降低運(yùn)維成本、提高事件響應(yīng)效率。該平臺(tái)一般都部署在工業(yè)辦公網(wǎng)里，方便管理人員對(duì)整個(gè)網(wǎng)絡(luò)態(tài)勢(shì)的總體認(rèn)知。這是等保2.0安全管理中心的具體體現(xiàn)。

· 建立網(wǎng)絡(luò)安全管理體系，完善制度規(guī)范

按網(wǎng)絡(luò)安全等級(jí)保護(hù)要求，本次項(xiàng)目在完成技術(shù)防護(hù)措施基礎(chǔ)上，配合企業(yè)，建立了安全管理體系，應(yīng)用了安全管理制度，包括組織人員、物理及環(huán)境、應(yīng)急預(yù)案、運(yùn)維管理等，以保障安全管理制度對(duì)運(yùn)維工作的可靠性，確保工控系統(tǒng)有完整的保護(hù)措施。

在項(xiàng)目實(shí)施期間，還進(jìn)行了主機(jī)殺毒處理、漏洞離線匹配與驗(yàn)證升級(jí)、安全基線加固服務(wù)。

3案例亮點(diǎn)

（1）通過部署安全防護(hù)設(shè)備，對(duì)企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)進(jìn)行了全面梳理、評(píng)估、加固，輸出資產(chǎn)臺(tái)賬、風(fēng)險(xiǎn)評(píng)估報(bào)告、運(yùn)維管理手冊(cè)，并以項(xiàng)目應(yīng)用為起點(diǎn)，著手建立網(wǎng)絡(luò)信息安全管理體系，實(shí)施可靠、可控、安全的工控安全運(yùn)維管理。

（2）風(fēng)險(xiǎn)評(píng)估基于信息安全與功能安全，結(jié)合工控信息安全的獨(dú)特性，將應(yīng)用功能安全HAZOP分析方法對(duì)工控系統(tǒng)信息安全進(jìn)行評(píng)估。

（3）縱深安全防護(hù)原則，并且點(diǎn)面網(wǎng)結(jié)合，從工業(yè)主機(jī)終端安全、訪問控制、網(wǎng)絡(luò)邊界防護(hù)以及網(wǎng)絡(luò)安全管理方面，大幅度提升網(wǎng)絡(luò)安全防護(hù)水平和防御能力。

（4）加強(qiáng)了安全運(yùn)維管理能力，保障生產(chǎn)系統(tǒng)的穩(wěn)定運(yùn)行，保證了數(shù)據(jù)傳輸?shù)母咝С掷m(xù)。

（5）安全合規(guī)性需求，根據(jù)網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)要求，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度框架內(nèi)，結(jié)合其實(shí)際需求，務(wù)實(shí)地解決安全痛點(diǎn)。

（6）有效地提升了企業(yè)的安全管理能力和抵御網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的水平，避免各種網(wǎng)絡(luò)安全突發(fā)事件對(duì)企業(yè)生產(chǎn)系統(tǒng)的影響，保障了生產(chǎn)連續(xù)性，避免財(cái)產(chǎn)損失、安全損失以及名譽(yù)損失。

來源 | 《自動(dòng)化博覽》2022年1月刊暨《工業(yè)控制系統(tǒng)信息安全專刊（第八輯）》