首页> 公司新闻 >杉树岭解决方案入选《第三届中国石油化工智能工厂科技高峰论坛论文集》

杉树岭解决方案入选《第三届中国石油化工智能工厂科技高峰论坛论文集》

新闻8.png


摘  要:工业控制系统现已广泛应用在石油化工流程工业中。随着两化融合、石油化工企业信息化建设进程的加速,石油化工行业工控网络从相对封闭到趋于开放;同时核心工艺装置自动化国产率低、工控系统本身脆弱性等问题严重影响着国家石化行业的安全生产、稳定运营。本文基于石油化工行业工业控制系统网络安全防护的实际需求出发,参照《工业控制系统信息安全防护指南》等政策法规要求,以石化工控风险评估、人员意识技能提升、安全技术加固、管理制度建设为出发点,综合运用边界隔离、区域防护、主机终端安全、核心区域监测审计、统一安全管理等技术加固手段,建立一套面向石油化工行业工业控制系统网络的整体安全解决方案,应对石化行业网络安全威胁,全方位保障石化工控系统和生产安全。

关键词:石油化工;工业控制系统;网络安全;解决方案


Absrtact: Industry control systems have been widely used in petrochemical process industry. Nowadays, with the integration of information technology and industrialization in petrochemical enterprises, The ICS networks have changed from relatively isolate to open with the outside net world; at the same time, such problems as domestic automations have been hardly used in petrochemical core units, the vulnerability of ICS etc., which are seriously affected the safe production and stable operation of the national petrochemical industry. The discussion is based on the actual needs of ICS security in petrochemical industry, referring to the "Guidelines for Information Security Protection of ICS" and other policies and regulations, focusing on the risk assessment of petrochemical ICS, the improvement of personnel awareness and skills, the reinforcement of information security and the construction of management systems, comprehensive using technical reinforcement means, such as network boundary isolation, regional protection, HMI security, core net area monitoring and auditing, unified security management, trying to find a complete set of ICS security solution in order to guarantee the petrochemical industry in an all-round way.

Key words:petrochemical; industry control system; ICS information security; solution


1 引言

1.1工控安全背景

工业控制系统(ICS)已广泛应用于国内重大的基础设施中,在我国油气和石油炼化行业中,主要工业控制系统包括监控和数据采集系统(SCADA)、分布式控制系统(DCS)和其他功能性控制系统,如可编程逻辑控制器(PLC)、安全仪表系统(SIS)等,这些系统在工厂运行中发挥着巨大的作用。

与传统的信息系统相比,我国石化行业工控安全防护水平明显偏低。一方面大多数工控系统在开发时,由于计算资源有限,在设计时只考虑实时、可靠等特性,并未将网络安全作为一个重要指标并迭代考量。而在为石化工控系统设计防护加固方案时,又必须充分考虑系统可用性、实时性,因为任何一个时间延迟或数据包丢失均可能造成生产中断甚至发生事故,这无形中对防护方案和技术手段提出了更高要求。

另一方面,国内石化自动化装置的国产率偏低,以PLC为例,我国大中型PLC市场罗克韦尔、施耐德和西门子等国外厂商占据99%以上份额,在核心自动化装置不能自主可控的背景下,一些石油化工新技术、新工艺的核心数据可能被国外敌对势力窃取,安全连续生产亦不能得到保障。

与此同时,随着两化融合,石化企业内部信息化进程的加速,在为工业生产带来推动的同时,也带来了ICS 的安全问题,如上位机微软操作系统脆弱性被进一步放大、无线接入带来一系列安全问题、隐藏的后门和未知漏洞被网络黑客利用、来自网络的APT攻击等等。

从某种程度上来讲,石化行业既是能源的主要供应者,又是材料工业的支柱之一,其工业控制系统网络安全与否,将关系到人民生活水平,社会稳定发展以及国家经济命脉。


1.2国内外工控安全标准和规范

步入21世纪,随着工控安全事件急剧增加,国内外相继出台了一些工控系统网络安全指南和规范。例如:

• 美国国家标准与技术研究院(NIST)在2006年发布了NIST SP800-82《工业控制系统安全指南》

• 国际自动化学会(ISA)在2009年出台了ANSI/ISA-99.02.01-2009《工业自动控制系统安全:构建工业自动控制系统安全方案》

• 国际电工委员会(IEC)发布了IEC 62443《工业过程测量、控制和自动化网络与系统信息安全》

我国继2017年6月1日正式施行《网络安全法》后,工信部连续发布了《工业控制系统信息安全防护指南》、《工业控制系统信息安全事件应急管理工作指南》、《工业控制系统信息安全防护能力评估方法》、《工业控制系统信息安全行动计划(2018-2020)》等政策法规,明确指出保障工业控制系统安全。

行业方面,中石化发布《中国石化(2017)292号 关于加强工业控制系统安全防护的指导建议》,指导石化企业定期开展工业控制系统网络安全风险评估,制定针对性的安全防护策略,完善整体安全防护措施,不断提升防御水平。


2 石油化工工控网络风险分析


石油化工典型工控系统网络

石油化工行业属流程行业,现场工控系统特点是种类多、数量大、品牌型号杂。典型情形下,石化工控系统的网络拓扑图示例如下:


1.png

图1 典型石化工控网络拓扑图

Figure 1, The Typical topological graph of petrochemical industrial control system


该网络拓扑从下到上共分为5个层级,依次为现场设备层、现场控制层、过程监控层、生产管理层和企业资源层,不同层级的实时性要求不同。各层级描述如下:

• 层级0:现场设备层

现场设备层主要包括各类过程传感设备与执行设备单元,用于对生产过程进行感知与操作。

层级1:现场控制层

现场控制层主要包括各类控制器单元,如PLC、DCS控制单元等,用于对各执行设备进行控制,完成控制生产过程的功能。

• 层级2:过程监控层L2

过程监控层主要包括监控服务器与HMI系统功能单元,用于对生产过程数据进行采集与监控并利用HMI系统实现人机交互;此外系统组态的维护,现场智能仪表的管理等工作也在这里完成。

由L1和L2层就能进行产品的正常生产,但是在大型石化网络中,为了实现生产管理智能化以及信息化,通常都会设置L3及以上的网络层。

• 层级3:生产管理层

生产管理层主要包括MES系统功能单元,用于对生产过程进行管理,如制造数据管理、生产调度管理等;

• 层级4:企业资源层(及以上)

企业资源层主要包括ERP系统功能单元,可将生产过程的数据进行自动采集并建立大型实时数据库和关系数据库,并针对大型石油化工工程的实际情况和特点,客户化研究与开发应用软件,用于为企业决策层员工提供决策运行手段。


2.1工控安全风险分析

目前石油化工行业存在的一些风险主要如下:


2.2.1 政策、管理及运维层面

(1)行业在工控安全方面制度、标准和规范较少,虽然中石化制定了相关关于工控系统管理规定、病毒防范管理办法以及工控系统安全指导意见,但尚未形成具体实施细则和流程,难以贯彻落地。

(2)企业管理制度、组织的不完善带来的不良影响。例如,石化企业缺乏专人负责防病毒代码库的更新,对介质使用没有任何约束,将可能导致系统被病毒所利用。

(3)虽然国家、企业将工控安全提至与生产安全同样重要甚至更重要的地位,但许多企业员工还未形成强烈的安全意识,未真正将安全相关制度规范作为日常的工作行为准则。


2.2.2设备、技术层面

1)工业通信协议的威胁

工控系统为了满足数据的实时性和有效性,工业通信协议往往缺乏有效的用户安全认证,数据传输加解密等基本信息安全手段。

2)操作系统安全漏洞

PC+Windows的技术架构现已成为石化控制系统工程师站、操作站等上位机的主流,是实现人机交互的节点。随着两化融合等发展,操作系统漏洞就成为了整个工控网络信息安全短板。

3)工业病毒的威胁

为了保证工控应用软件的可用性,许多工业控制系统上位机通常不会安装杀毒软件。即使安装了杀毒软件,在使用过程中也有很大的局限性,原因在于使用杀毒软件需要其病毒库经常更新,这一特点尤其不适用于工业控制环境。而且杀毒软件对新病毒的处理总是滞后的,无法第一时间防范工业APT攻击。

4)应用软件的威胁

市面上多种多样的工控应用软件,很难形成统一的防护规范。互联网攻击者很有可能会利用一些大型工程自动化软件的安全漏洞获取诸如石油化工、天然气管道以及其他大型设备的控制权。

5)移动存储介质滥用风险

一方面,可能由于用户个人原因,有意或无意通过移动存储介质拷贝数据并传播出去;另一方面,当移动存储介质感染病毒后,滥用将导致病毒在工业网络中扩散而带来风险。

6)疏漏的网络分割设计

由于自动化项目建设周期、集成商、技改等客观原因存在,许多控制网络都是“敞开的”,没有边界防护,不同的子系统之间也没有有效的隔离,可能造成安全威胁会通过石化工控网络迅速蔓延。


2.2行业安全需求探索

分析和调研石油化工企业的工控网络风险,发掘石化企业工控网络安全防护需求如下:

1、工控安全基础培训

针对石化企业的特点为企业的管理层、信息中心、管理区、作业区等相关部门进行工控网络安全培训,为企业培养工控网络安全专业人员和技术专家,更好地从安全运维与管理上维护企业的工控网络环境。

2、工控安全风险评估

对整个石化企业工控系统网络进行全面的风险评估,找出从系统资产、网络结构、操作行为到管理和运维的风险点,提供安全建议。

3、工业网络安全防护实施

1)对石化企业工控系统,在区域划分、边界防护以及生产网内部的网络安全审计、行为审计等方面做好全面的安全防护;

2)针对石油化工企业工控系统中的软、硬件自身进行安全防护,从现场控制层的DCS、PLC、SCADA到上位机操作系统、组态软件、移动介质的使用等方面进行安全防护;

4、安全运维与管理体系建设

从石化企业工控系统网络安全管理制度和运维管理角度对现有制度进行优化,对现有工控网络安全管理制度的不足进行完善。

针对以上需求,石化企业用户可以从自身工控网络的现状和特点出发,选择不同的实施步骤以及产品和服务的组合。既可以解决新建网络安全设计和实施的问题,又能够适应现有工控网络安全改造的需求。


3 石油化工行业工控网络安全解决方案


3.1工控安全基础培训

通过有针对性的工控安全培训,可以满足石化从业人员增强工控安全意识,提高安全事件应急处理能力的需求。至少达成如下目标:

• 了解工业网络安全发展历程与形势;

• 了解顶层的工控安全法规、行业规范设计;

• 掌握从事前、事中到事后的全生命周期的工控安全技能;

• 深层次的了解石化工控安全事件背后的真相;

• 掌握工控网络安全基本知识及常见针对石化工控网络攻击的防护方法;

• 培养一线工程师工控安全意识,降低误操作给石化工控网络带来的影响;

• 演练相应应急处理预案,协助企业的安全事件应急小组做到事前防御到位,事后处理妥当;

• 



3.2工控网络安全风险评估

风险评估就是从风险管理角度,运用科学的方法和手段,系统地分析系统所面临的威胁及其存在的脆弱性,并提出有针对性的抵御威胁的防护对策和整改措施,将风险控制在可接受的水平。


3.2.1 石化工控风险评估必要性

石化工控网络安全设计除了需要涉及技术因素,企业自身的管理水平也直接决定了工业控制系统的整体安全效果,安全风险存在于管理、配置、架构的各个环节,需要特定的手段和评估方法兼顾工艺场景与控制管理等多方面因素,全面、客观的评价网络风险。

因此,在石化工业控制系统安全项目建设的初期进行风险评估是有意义的,对石化企业工控网络进行风险评估是制定解决方案的前提。


3.2.2 评估达成的目标

石化工控网络风险评估工作的总体流程可分为系统分析、现场核查和综合评估三个阶段。评估后可达成以下工作目标:

• 针对工控系统网络中操作系统、应用软件、网络结构、防病毒方案等技术层面进行探测识别,发掘安全风险、安全隐患;

• 对工控系统网络的操作流程、安全管理制度进行安全性评估;

• 对工控系统网络安全应急机制进行安全评估,并提供可行性建议;

• 综合以上的评估内容,提供工控系统网络安全处置建议。


3.3 工业网络安全技术防护措施

建立在风险评估的基础上,可针对石化工控系统采用如下的技术防护措施:

• 边界隔离

石化工控系统安全防护,一方面需要构建完整的工业控制系统安全防护体系架构,另一个方面需要分区分域,重点建立边界安全访问防护策略,以避免信息泄漏及病毒“串染”,实现石化工控网络的访问控制和恶意攻击防护。比如在石化工控系统的生产层和信息层边界部署工业网络隔离网闸,避免网络恶意行为对生产等关键系统的破坏和非法操作。

• 区域防护

划分安全域,将安全域内部的网络问题直接汇聚在本区域内,并对域内设备进行加固。如可部署工业防火墙,通过白名单策略以及工业控制系统漏洞库,形成针对工业网络病毒、工业网络攻击细颗粒度识别过滤的黑名单功能,规范区域内的网络规则和策略行为,保障安全。

• 主机终端安全

通过部署相应主机安全软件,针对控制中心、生产过程区域内的主机做安全加固,通过主机白名单机制,阻止非法程序在这些主机上的操作运行。可有效防护由操作系统漏洞、应用软件漏洞而引起的攻击、控制非管理人员对这些主机的访问以及阻止人员异常操作带来的危害等。

• 核心区域监测审计

对工控网络中的攻击行为、数据流量、重要操作等进行监测审计,用于事后回溯和网络分析。如通过部署相应工业网络监测审计产品,为石化工控网络提供事前监控、事中记录、事后审计。

• 安全产品统一管理

作为工控网络安全“大脑”,对工控网络中的相关安全产品进行统一的管理及运维,方便信息安全管理人员对整个工控网内信息安全情况进行实时的监控。如通过部署统一安全管理平台类产品,消除安全孤岛,实现安全设备集中配置、统一规划,在第一时间内发现网络安全问题。

 

整体安全防护如下图所示:


2.png

图2 整体网络信息安全防护方案拓扑图

Figure 2, The ICS topological graph of information security protection 

3.4 工业网络安全运维与管理体系建设

为保护石化工业控制系统安全,除了技术层面防护,仍需从管理者的角度,制定安全管理策略和操作流程,确保不会出现因为误操作和管理制度的漏洞而造成安全隐患。包含如下:

• 主管部门制定工业控制系统的安全政策;

• 企业根据安全政策制定正规、可备案的安全流程;

• 企业制定工业控制系统设备安全部署的实施指南;

• 企业制定针对工控业务连续性、灾难性恢复计划以及应急处理机制;

• 对工控系统操作人员进行定期安全培训;

• 


 4 结束语

综上所述,面对石油化工工控系统目前存在的安全问题及信息化进程中出现的安全隐患,需要在发展的过程中,利用工控风险评估、必要的安全加固等技术手段结合石化工控安全培训、管理体系建设等体制机制手段,动态解决石油化工行业工控系统存在的安全问题,给石化企业带来隐形的经济效益,努力保障国家关键信息基础设施领域的网络安全。

 

作者简介:

姚天祥(1986-),男,江苏扬州人,学士,现就职于杉树岭网络科技有限公司,主要从事工业控制领域网络安全研究、解决方案等相关工作。

手机:15295569584

电子信箱:yaotianxiang@frn-tech.com