前言：
智慧煉化在提升生產效率的同時，也面臨著嚴峻的網絡安全威脅與挑戰。為了應對日趨嚴峻的網絡安全形勢，及時洞悉工控系統和設備面臨的安全風險，研判分析、精準預測整體安全狀況，保障業務安全，本文從智慧煉化工控系統安全現狀、網絡結構以及業務流程特點進行詳細分析，推出啟明星辰智慧煉化工控系統網絡安全主動防御技術設計方案，為智慧煉化的工控網絡安全建設保駕護航。
隨著智慧煉化進程的發展，極大地提升了煉化企業的生產效率。同時也面臨著嚴峻的網絡安全威脅與挑戰，一旦遭受攻擊，將會影響國民經濟發展和社會安定。
智慧煉化工控系統網絡安全現狀分析
目前，智慧煉化工控系統大量采用國外廠商的設備，極度缺乏對國外設備內生安全性的深度了解，難以發現針對工控系統與設備的漏洞、惡意代碼、內置后門等安全隱患，且重要領域的工控系統已成為國內外敵對勢力重點攻擊的目標，面臨巨大的安全風險。
1) 病毒通過網絡、USB口或服務商運維過程等方式人為侵入工控系統；
2) 敵對勢力、不法分子等通過遠程修改控制策略及測控參數，惡意植入危險秩序，造成工藝裝置發生事故及停產損失；
3) 工控生產網絡非法內外聯及熱點部署等，導致邊界安全無法控制；
4) 企業重要信息被惡意竊取，影響企業經營及國家利益等。
而相對封閉的工控網絡環境與應用場景，又導致企業對網絡隔離過度自信，認為風險很小，并在智慧煉化“高實時、高可用、資源受限”特殊環境下也產生了種種誤區。
1) 過度自信使用區域和邊界的層級防御，而忽視不同防御產品的特性和安全配置的合理性；
2) 重安全防護，輕安全監控，容易忽視繞過邊界防護設備的未知威脅；
3) 過度依賴采用網絡隔離或者物理隔離的方式，而新局勢下的網絡攻擊往往超越了物理連線；
4) 工控網絡安全設計存在重資產、輕運維的問題，導致大量在線設備存在過時配置，錯誤配置或安全脆弱性配置。
啟明星辰智慧煉化工控系統安全解決方案
鑒于目前智慧煉化工控系統安全現狀、網絡結構特點及誤區，啟明星辰根據《工業控制系統信息安全防護指南》、《GB/T22239-2019》等規范，通過風險評估，在不干擾過程控制業務的前提下，針對不同性質的安全威脅，分層次、系統地在智慧煉化過程控制系統中部署高安全性的防護措施，確保智慧煉化過程控制系統的穩定可靠運行、防止來自內外部網絡攻擊。
啟明星辰智慧煉化工控系統安全架構設計
? 優化網絡結構與安全設計
通過優化網絡結構和區域劃分來梳理、控制企業管理系統和工控系統之間及工控系統內部各系統之間的訪問關系，設置生產控制區（監控區和監測區）、生產執行區和辦公區。通過網絡與邊界的防護控制，增強各區域網絡的訪問管理與控制力度和控制系統內部的安全防護。
? 控制設施安全防護設計
智慧煉化的工控系統具有實時閉環控制的特性，采集、傳輸、控制等業務模塊采用地理或空間位置上的分散布置方式，生產過程的實時性越高，其分布性越強，實施安全防護設計必須滿足其可用性、可靠性的要求。
1）主機安全防護：通過部署主機安全防護軟件，加強主機惡意代碼防范能力，優化安全配置，實現操作系統、避免監控軟件漏洞被利用的情況發生。
2）控制設備防護：在監控區內上位機和控制器之間部署安全防護裝置，在控制設備接入網絡的接口處部署邏輯隔離裝置，實現對報文異常的快速處理。在控制區內部署防護平臺，基于工控業務背景、攻擊時機和系統風險構建工控網絡安全態勢，監控工控網絡內部的敏感操作行為。
3）移動介質安全防護：對于生產監控區和監測區主機上因管理和維護需要，通過專用USB防護設備實現對移動介質的純硬件防護，避免在主機上安裝軟件而影響主機專業應用系統程序運行。
? 工控誘捕系統設計
不法分子常常利用協議未認證漏洞實現遠程操作或信息截取，入侵智慧煉化的工控系統，由于工控誘捕系統的漏洞多于正常服務器，更加容易吸引不法分子的交互，從而可以保護真實的工控系統。
核心煉化系統由于工業生產業務相對固定，誘捕系統在正常網絡流量下不會被訪問操作，但當出現病毒、木馬以及人為非法等操作時，通過流量重新定向技術，檢測非法流量中訪問的目標類型，將對應非法流量導入誘捕系統，模擬真實工控系統被入侵的真實反應，記錄入侵的訪問時序和內容等并提供預警，以此保護目標系統和良好溯源作用。在網絡流量、主動探測、安全日志等數據的基礎上，結合工控誘捕數據，更能深入分析工控網絡安全態勢，形成全方位的監測能力。
? 異常監控與安全評估設計
針對由外部攻擊、內部誤操作甚至惡意操作行為引起的安全問題進行監控評估，研究工控系統生產業務運行的信息物理特點，分析生產流程所包含的物料流、數據流和信息流的時空依賴關系，構建顆粒度適中的安全防御模型。
1）異常監測審計：在監測區和監控區內部署異常監測審計設備，通過合理設置檢測規則，檢測網絡數據包的惡意代碼或漏洞攻擊的跡象，分析數據篡改、偽造指令、實施欺騙、獲取超級權限等潛在威脅并進行安全審計。
2）威脅評估：在生產執行區和控制區內部署威脅評估設備，準確地識別工控網絡中的各類工控系統、設備、軟件以及其他運行中的服務器、數據庫和網絡設備，智能生成網絡拓撲，結合專業的工控漏洞庫、設備庫、威脅特征庫和全網威脅評分系統，周期性地開展威脅評估，進行詳細的漏洞分析，清晰定義各類設備和整體網絡的安全風險，輸出評估可量化的報告。
3）漏洞挖掘：基于已知漏洞檢測和未知漏洞挖掘相結合的方式，對工控系統、設備（包括安全、網絡設備）、工控軟件的漏洞情況全面了解，實現為主動安全防御決策提供科學依據。
? 工控業務流量安全基線設計
通過利用工控網絡流量、網絡線路流量與速率、網絡資產設備流量與速率、網絡協議流量與速率等異常檢測技術及機器自學習人工智能技術，對智慧煉化工控系統網絡流量中的合法行為進行學習，形成白名單安全基線模型，實時發現藏匿在工控流量中的威脅，為事后追溯、定位提供有力的證據，幫助維護人員快速定位事故點，縮短系統恢復時間。
? 工控安全運營平臺設計
工控系統網絡安全防護體系為各生產業務的穩定運行提供了技術保障，讓技術防護措施發揮最大效用，更好地支撐企業工業控制系統的統一安全監管，對安全防護設備實現統一管理與集成展示、安全管理的監督檢查與考核、工業控制系統的總體威脅感知與預警，建設集中運營管控的支撐平臺。安全運營支撐平臺包括安全設備統一管控、安全運維考核管理和工控系統威脅感知三大部分，做到技術與管理的有機結合，達到工控系統持續安全運行的目標。
客戶收益
智慧煉化工控網絡安全主動防御體系設計的最終目標是保障煉化企業具備不斷提升工控安全管控的能力，以應對不斷變化的內外部安全威脅。通過借鑒工控網絡安全相關國際、國家標準和專業的網絡安全合作伙伴的最佳實踐理念和經驗，結合智慧煉化工控系統對網絡安全的特定需求，統一規劃、部署、建設和運營，平衡安全性和業務發展的矛盾，真正地實現工控系統網絡安全為業務的開展。
1) 全面提升智慧煉化工控系統網絡安全防護管理的合規性，符合國家主管部門、行業監管部門的管理要求以及工控安全防護要求；
2) 全面提升智慧煉化工控網絡的整體安全性，確保設備、系統、網絡的可靠性、穩定性和安全性，為保障民生保駕護航；
3) 全面改進智慧煉化業務人員的安全水平和安全意識，提升安全管理水平、工作效率和管理效率。
作為信息安全行業的領軍企業，啟明星辰從智慧煉化的工控網絡特點、安全防護需求和合規合法三方面入手，以滿足“可用性”技術理念為核心，以解決等保2.0高危風險為方案脈絡，遵循“一個中心，三重防護”的思想，建立了統一安全管理中心實現集中管理運維、安全態勢感知，形成一套完整、動態、持續的防護體系，為智慧煉化的工控網絡安全建設保駕護航。
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
