No.1安全现状

随着石油化工工艺装置规模不断扩大，工艺日益复杂，其生产过程控制大多采用DCS等先进的控制系统，且以国外厂商为主。经过多年发展，石油化工行业信息化建设有了较好的基础，企业在管理层的指挥、协调和监控能力在实时性、完整性和一致性上都有了很大提升，相应的网络安全防护也有了较大提高。随着石化企业管控一体化的实现，越来越多的生产控制系统通过信息网络连接到互联上，潜在威胁越来越大，一旦遭受攻击，生产控制系统将意外停产，并导致巨大的经济损失。

当前石油化工企业生产控制系统普遍存在以下网络安全隐患：

• 边界越来越多、越来越模糊，防护难度也越来越大，一旦局部控制网络被病毒感染，容易迅速蔓延到整个生产控制网络，造成“一点突破，全网皆失”，严重威胁系统运行安全；
• 石油化工企业工程师站/操作站/HMI一般都是Windows操作系统，为确保过程操控体系的相对独立性，并考虑系统的安全稳定运转，通常现场工程师站/操作站/HMI在体系运转后不会对Windows操作系统装置任何补丁，导致存在很大安全隐患；
• “两化”融合促进了石油化工生产系统与IT系统的互联需求，石油化工生产系统逐步采用通用协议或已经广泛应用的工业协议传输数据，使得攻击者通过数据监听、协议解析与劫持技术，篡改通信数据、控制命令等操作更加容易，直接威胁着石油化工生产系统的正常运行；
• 缺乏技术手段对人员操作行为进行有效安全监管和审计，误操作或者恶意操作安全风险较大；
• 网络安全防护需要技术与管理的双向保障，大部分石油化工企业没有统一的安全管理中心对系统运维、管理、风险的感知、分析、可视化、预警及联动，遇到事件后处理不及时、风险难发现；
• 发生网络安全事件后通常依靠经验判断，甚至通过逐个断网等方式来确定网络安全事件发生的设备和影响范围，对于被攻击程度、工艺是否受影响等问题无法快速给出反馈和结论。

No.2解决方案

面以上安全风险，天地和兴做了深入调查与研究，为石油化工生产监控系统应用与基础网络环境提供全生命周期安全解决方案。

01风险评估方案

风险评估是全面了解与验证在实际应用中存在各种风险的一种必要手段，也是安全防护体系建设的前提。天地和兴通过科学的运用网络安全风险评估方法，参照相关国家、行业标准，对物理环境、通信网络、区域边界、计算环境、管理中心以及管理体系等方面进行全面的安全评估。从而最大限度地提升石油化工企业关键业务信息系统的安全保障能力，为企业全面掌握风险，为后续网络安全建设提供数据支撑。

02安全防护方案

遵照国家网络安全等级保护及石油化工行业相关安全标准要求，结合安全现状与需求分析，针对石油化工企业生产控制系统特点，对石油化工企业生产网进行全面的安全风险评估。风险转化为建设需求，按照等保“一个中心、三重防护”核心思想，设计构建石油化工企业生产工控系统网络安全防护技术体系，帮助用户完善安全管理体系建设。技防与管理相结合，构筑企业工控安全综合防御体系，为石油化工企业安全生产保驾护航。部署示意图如下：

安全通信网络：对石油化工生产业务的访问逻辑进行梳理，优化网络结构，按照网络资产属性与访问逻辑，合理划分网络安全域，在数采网边界处部署工业安全隔离与信息交换系统（工业网闸系统）等产品进行网络隔离与数据安全交换，实现双网隔离与数据安全交换，保护石油化工企业工控网络安全。

安全区域边界：在工业控制网络各层级或各安全域之间串行部署工控防火墙系统，保护各层级或各安全域间的运行安全；通过在数采网的汇聚层交换机上选择旁路部署入侵检测系统、威胁检测系统，实时监测工控系统网络中、核心数据服务安全域的异常行为并进行分析并告警；在各厂生产控制网汇聚交换机上部署工控安全审计系统，对通信数据进行合规性检查，对异常行为、违规操作行为进行识别、审计告警，辅助安全运维人员进行处置。

安全计算环境：在工程师站/操作站/HMI等系统中部署主机防护系统，确保主机身份鉴别、访问控制、恶意代码防范、入侵防范得到有效控制；在各站控系统和调控中心管理主机操作域内部署USB安全隔离系统，实现对外界USB设备进行认证管理、防USB攻击、防病毒、防篡改与操作行为审计等功能，保护系统USB拷贝数据的安全。

安全管理中心：在石油化工工控网络中建立安全管理域，部署工控安全监管平台、运维审计系统、日志审计与分析系统以及工控安全检查工具等安全管理工具，实现全网安全设备运行监控、安全日志收集与分析、安全事件集中处置、全网系统账户统一管理与操作审计，对重要操作行为进行记录、分析，及时发现各种违规行为及病毒、黑客的攻击行为，同时实现全网资产无损扫描识别与管理，资产漏洞匹配与统计报告等安全集中管理能力。

03安全检查方案

建立生产监控系统定期安全检查和整改工作机制，每年至少自行开展一次安全检查，依据发现问题制定整改计划及措施，并将整改情况上报主管单位和集团公司。等级保护定级为三级的系统，除每年自行开展一次安全检查外，还将按照等级保护要求，做好安全评估及整改工作。配合上级部门每年的抽检，并协助开展生产监控系统网络安全专项检查，最终对检查结果进行通报。

04应急演练方案

建立健全的网络安全运行应急工作机制，检验网络安全综合应急预案和业务技术专项应急预案的有效性，验证相关组织和人员应对网络安全突发事件的组织指挥能力和应急处置能力，保证各项应急指挥调度工作迅速、高效、有序地进行，满足突发情况下网络与信息系统运行保障和故障恢复的需要，确保信息系统安全畅通。通过演练不断提高各部门开展应急工作的水平和效率，发现预案不足，进一步完善应急预案。

05安全服务方案

天地和兴专业化的安全服务团队可为用户提供安全咨询、安全评估、运维管理、安全检查、等保差距分析、安全保障等专业级安全服务，帮助用户解决项目前期调研、评估、规划以及后期安全培训、运维、应急保障等一系列安全服务内容，提升工控安全专业技能与运维管理能力。

06安全运营方案

安全运营好坏直接影响工控系统网络安全防护体系的防护效能。定期针对现有业务及外界形势不断挖掘自身存在的问题和风险，修复或采用补偿性措施建立综合网络安全防控能力并形成长效机制，定期进行安全培训以提升企业业务操作人员的安全意识与风险管控能力。编制应急预案并定期进行演练与修正，提高企业面对安全风险的应急响应能力。

No.3总结

本方案以石油化工企业生产监控系统应用为场景，构建整体工业网络安全防护方案，包括网络安全评估方案、网络安全建设方案、网络安全运营方案，落实国家等级保护“一个中心、三重防护”的安全理念与安全架构要求，以解决石油化工企业生产监控系统在联网运行中所面临的网络安全建设与运营过程困扰，系统地为企业提供包括安全服务、安全建设、安全服务、安全运营在内的工业网络安全全生命周期解决方案，为业务系统安全运行保驾护航。

来源：天地和兴