能源石化行業(yè)-工業(yè)互聯(lián)網(wǎng)安全解決方案

1、能源石化行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案目 錄 TOC o 1-3 h z u HYPERLINK l _Toc31139939 1.工業(yè)互聯(lián)網(wǎng)安全概述 PAGEREF _Toc31139939 h 4 HYPERLINK l _Toc31139940 1.1工業(yè)互聯(lián)網(wǎng)概述 PAGEREF _Toc31139940 h 4 HYPERLINK l _Toc31139941 1.2工業(yè)互聯(lián)網(wǎng)安全架構(gòu) PAGEREF _Toc31139941 h 4 HYPERLINK l _Toc31139942 1.3工業(yè)互聯(lián)網(wǎng)典型安全問(wèn)題 PAGEREF _Toc31139942 h 5 HYPERLINK l

2、_Toc31139943 2.能源石化行業(yè)典型安全解決方案 PAGEREF _Toc31139943 h 8 HYPERLINK l _Toc31139944 2.1案例一：某環(huán)保局典型安全解決方案 PAGEREF _Toc31139944 h 8 HYPERLINK l _Toc31139945 4.1.1案例概述 PAGEREF _Toc31139945 h 8 HYPERLINK l _Toc31139946 4.1.2典型安全需求 PAGEREF _Toc31139946 h 8 HYPERLINK l _Toc31139947 4.1.3安全解決方案 PAGEREF _Toc3113

3、9947 h 9 HYPERLINK l _Toc31139948 4.1.4小結(jié) PAGEREF _Toc31139948 h 12 HYPERLINK l _Toc31139949 2.2案例二：某燃?xì)馄髽I(yè)安全解決方案 PAGEREF _Toc31139949 h 13 HYPERLINK l _Toc31139950 4.2.1概述 PAGEREF _Toc31139950 h 13 HYPERLINK l _Toc31139951 4.2.2典型安全問(wèn)題 PAGEREF _Toc31139951 h 13 HYPERLINK l _Toc31139952 4.2.3解決方案 PAGER

4、EF _Toc31139952 h 13 HYPERLINK l _Toc31139953 4.2.4部署方案 PAGEREF _Toc31139953 h 14 HYPERLINK l _Toc31139954 4.2.5小結(jié) PAGEREF _Toc31139954 h 15 HYPERLINK l _Toc31139955 2.3案例三：某石油石化企業(yè)安全解決方案 PAGEREF _Toc31139955 h 15 HYPERLINK l _Toc31139956 4.3.1概述 PAGEREF _Toc31139956 h 15 HYPERLINK l _Toc31139957 4.3

5、.2典型安全風(fēng)險(xiǎn) PAGEREF _Toc31139957 h 15 HYPERLINK l _Toc31139958 4.4.3解決方案 PAGEREF _Toc31139958 h 16 HYPERLINK l _Toc31139959 4.3.4典型部署 PAGEREF _Toc31139959 h 17 HYPERLINK l _Toc31139960 4.3.5小結(jié) PAGEREF _Toc31139960 h 18 HYPERLINK l _Toc31139961 4.4案例四：某煤化工企業(yè)安全解決方案 PAGEREF _Toc31139961 h 19 HYPERLINK l _

6、Toc31139962 4.4.1概述 PAGEREF _Toc31139962 h 19 HYPERLINK l _Toc31139963 4.4.2典型安全問(wèn)題 PAGEREF _Toc31139963 h 19 HYPERLINK l _Toc31139964 4.4.3解決方案 PAGEREF _Toc31139964 h 19 HYPERLINK l _Toc31139965 4.4.4典型部署 PAGEREF _Toc31139965 h 20 HYPERLINK l _Toc31139966 4.4.5小結(jié) PAGEREF _Toc31139966 h 21 HYPERLINK

7、l _Toc31139967 3.結(jié)束語(yǔ) PAGEREF _Toc31139967 h 22前 言 為落實(shí)中國(guó)制造 2025規(guī)劃，工信部明確了工業(yè)轉(zhuǎn)型升級(jí)的重點(diǎn)領(lǐng)域和工作要求。工業(yè)互聯(lián)網(wǎng)作為新一代信息技術(shù)與工業(yè)系統(tǒng)深度融合形成的產(chǎn)業(yè)和應(yīng)用生態(tài)，是全球工業(yè)系統(tǒng)與高級(jí)計(jì)算、分析、感應(yīng)技術(shù)以及互聯(lián)網(wǎng)連接融合的結(jié)果。它通過(guò)智能機(jī)器 間的連接并最終將人機(jī)連接，結(jié)合軟件和大數(shù)據(jù)分析，重構(gòu)全球工業(yè)、激發(fā)生產(chǎn)力， 讓世界更美好、更快速、更安全、更清潔且更經(jīng)濟(jì)。工業(yè)互聯(lián)網(wǎng)的發(fā)展得到全球主要國(guó)家以及我國(guó)政府的高度重視和積極推進(jìn)，產(chǎn)業(yè)界也正在加速開(kāi)展相關(guān)探索和實(shí)踐。 工業(yè)互聯(lián)網(wǎng)廣泛應(yīng)用于能源、交通以及市政等關(guān)系國(guó)計(jì)

8、民生的重 要行業(yè)和領(lǐng)域，已成為國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施的重要組成部分。工業(yè) 互聯(lián)網(wǎng)打破了傳統(tǒng)工業(yè)相對(duì)封閉可信的制造環(huán)境，病毒、木馬、高級(jí) 持續(xù)性攻擊等安全風(fēng)險(xiǎn)對(duì)工業(yè)生產(chǎn)的威脅日益加劇，一旦受到網(wǎng)絡(luò)攻 擊，將會(huì)造成巨大經(jīng)濟(jì)損失，并可能帶來(lái)環(huán)境災(zāi)難和人員傷亡，危及 公眾安全和國(guó)家安全。工業(yè)互聯(lián)網(wǎng)自身安全可控是確保其在各生產(chǎn)領(lǐng) 域能夠落地實(shí)施的前提，也是產(chǎn)業(yè)安全和國(guó)家安全的重要基礎(chǔ)和保障。 工業(yè)互聯(lián)網(wǎng)安全概述工業(yè)互聯(lián)網(wǎng)概述工業(yè)互聯(lián)網(wǎng)的內(nèi)涵用于界定工業(yè)互聯(lián)網(wǎng)的范疇和特征，明確工業(yè)互聯(lián)網(wǎng)總體目標(biāo)，是研究工業(yè)互聯(lián)網(wǎng)的基礎(chǔ)和出發(fā)點(diǎn)；工業(yè)互聯(lián)網(wǎng)是互聯(lián)網(wǎng)和新一代信息技術(shù)與工業(yè)系統(tǒng)全方位深度融合所形成的產(chǎn)業(yè)和應(yīng)用生態(tài)

9、，是工業(yè)智能化發(fā)展的關(guān)鍵綜合信息基礎(chǔ)設(shè)施。其本質(zhì)是以機(jī)器、原材料、控制系統(tǒng)、信息系統(tǒng)、產(chǎn)品以及人之間的網(wǎng)絡(luò)互聯(lián)為基礎(chǔ)，通過(guò)對(duì)工業(yè)數(shù)據(jù)的全面深度感知、實(shí)時(shí)傳輸交換、快速計(jì)算處理和高級(jí)建模分析，實(shí)現(xiàn)智能控制、運(yùn)營(yíng)優(yōu)化和生產(chǎn)組織方式變革。工業(yè)互聯(lián)網(wǎng)安全架構(gòu)工業(yè)互聯(lián)網(wǎng)的安全需求可從工業(yè)和互聯(lián)網(wǎng)兩個(gè)視角分析。從工業(yè)視角看，安全的重點(diǎn)是保障智能化生產(chǎn)的連續(xù)性、可靠性，關(guān)注智能裝備、工業(yè)控制設(shè)備及系統(tǒng)的安全；從互聯(lián)網(wǎng)視角看，安全主要保障個(gè)性化定制、網(wǎng)絡(luò)化協(xié)同以及服務(wù)化延伸等工業(yè)互聯(lián)網(wǎng)應(yīng)用的安全運(yùn)行以提供持續(xù)的服務(wù)能力，防止重要數(shù)據(jù)的泄露，重點(diǎn)關(guān)注工業(yè)應(yīng)用安全、網(wǎng)絡(luò)安全、工業(yè)數(shù)據(jù)安全以及智能產(chǎn)品的服務(wù)安全。因

10、此，從構(gòu)建工業(yè)互聯(lián)網(wǎng)安全保障體系考慮，工業(yè)互聯(lián)網(wǎng)安全體系框架，如 HYPERLINK l _bookmark3 圖 所示，主要包括五大重點(diǎn)，設(shè)備安全、網(wǎng)絡(luò)安全、控制安全、應(yīng)用安全和數(shù)據(jù)安全。圖 1 工業(yè)互聯(lián)網(wǎng)安全體系1設(shè)備安全是指工業(yè)智能裝備和智能產(chǎn)品的安全，包括芯片安全、嵌入式操作系統(tǒng)安全、相關(guān)應(yīng)用軟件安全以及功能安全等。網(wǎng)絡(luò)安全是指工廠內(nèi)有線網(wǎng)絡(luò)、無(wú)線網(wǎng)絡(luò)的安全，以及工廠外與用戶、協(xié)作企業(yè)等實(shí)現(xiàn)互聯(lián)的公共網(wǎng)絡(luò)安全?？刂瓢踩侵干a(chǎn)控制系統(tǒng)安全，主要針對(duì) PLC、DCS、SCADA 等工業(yè)控制系統(tǒng)的安全，包括控制協(xié)議安全、控制平臺(tái)安全、控制軟件安全等。應(yīng)用安全是指支撐工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)運(yùn)行的應(yīng)用

11、軟件及平臺(tái)的安全，包括各類(lèi)移動(dòng)應(yīng)用；數(shù)據(jù)安全是指工廠內(nèi)部重要的生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)以及工廠外部數(shù)據(jù)（如用戶數(shù)據(jù)）等各類(lèi)數(shù)據(jù)的安全。工業(yè)互聯(lián)網(wǎng)典型安全問(wèn)題新一輪的工業(yè)革命是工業(yè)互聯(lián)網(wǎng)蓬勃發(fā)展的原動(dòng)力。反之，工業(yè)互聯(lián)網(wǎng)的快速發(fā)展又改變或催生了工業(yè)生產(chǎn)的設(shè)計(jì)、生產(chǎn)、物流、銷(xiāo)售和服務(wù)模式。大規(guī)模個(gè)性化定制、遠(yuǎn)程運(yùn)維和工業(yè)云等新興業(yè)態(tài)嶄露頭角，并引起廣泛關(guān)注。同時(shí)， “數(shù)字化、智能化、網(wǎng)絡(luò)化”為特征的工業(yè)互聯(lián)網(wǎng)既面臨傳統(tǒng) IT 的安全威脅， 也面臨以物理攻擊為主的信息通信技術(shù)（簡(jiǎn)稱(chēng) ICT）的安全威脅。安全保障能力已成為影響工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展的關(guān)鍵因素。隨著互聯(lián)網(wǎng)與工業(yè)融合創(chuàng)新的不斷推動(dòng)，電力、交

12、通、市政等大量關(guān)系國(guó)計(jì)民生的關(guān)鍵信息基礎(chǔ)設(shè)施日益依賴于網(wǎng)絡(luò)，并逐步與公共互聯(lián)網(wǎng)連接，一旦受到網(wǎng)絡(luò)攻擊，不僅會(huì)造成巨大的經(jīng)濟(jì)損失，更可能造成環(huán)境災(zāi)難和人員傷亡，危及公眾生活和國(guó)家安全。工業(yè)領(lǐng)域安全防護(hù)急需加強(qiáng)和提升。目前，工業(yè)領(lǐng)域安全防護(hù)采用分層分域 的隔離和邊界防護(hù)思路。工廠內(nèi)網(wǎng)與工廠外網(wǎng)之間通常部署隔離和邊界防護(hù)措施， 采用防火墻、虛擬專(zhuān)用網(wǎng)絡(luò)、訪問(wèn)控制等邊界防護(hù)措施保障工廠內(nèi)網(wǎng)安全。企業(yè) 管理層網(wǎng)絡(luò)主要采用權(quán)限管理、訪問(wèn)控制等傳統(tǒng)信息系統(tǒng)安全防護(hù)措施，與生產(chǎn) 控制層之間較多的采用工業(yè)防火墻、網(wǎng)閘、入侵防護(hù)等隔離設(shè)備和技術(shù)實(shí)現(xiàn)保護(hù) “數(shù)據(jù)安全”。生產(chǎn)控制層以物理隔離為主，工業(yè)私有協(xié)議應(yīng)用較多

13、，工業(yè)防火 墻等隔離設(shè)備需針對(duì)專(zhuān)門(mén)協(xié)議設(shè)計(jì)。企業(yè)更關(guān)注生產(chǎn)過(guò)程的正常進(jìn)行，一般較少在工作站和控制設(shè)備之間部署隔離設(shè)備、進(jìn)行軟件升級(jí)，一般也不安裝病毒防護(hù)軟件以避免帶來(lái)功能安全問(wèn)題?？刂茀f(xié)議、控制軟件在設(shè)計(jì)之初也缺少諸如認(rèn)證、授權(quán)、加密等安全功能，生產(chǎn)控制層安全保障措施的缺失成為工業(yè)互聯(lián)網(wǎng)演進(jìn)過(guò)程中的重要安全問(wèn)題。未來(lái)工業(yè)互聯(lián)網(wǎng)安全主要面臨以下幾方面的問(wèn)題：生產(chǎn)設(shè)備安全問(wèn)題開(kāi)始凸現(xiàn)。傳統(tǒng)生產(chǎn)設(shè)備以機(jī)械裝備為主，重點(diǎn)關(guān)注物理和功能安全。但未來(lái)的生產(chǎn)模式更強(qiáng)調(diào)終端的生產(chǎn)角色的扁平、協(xié)同， 導(dǎo)致生產(chǎn)設(shè)備數(shù)字化、信息化、網(wǎng)絡(luò)化、智能化水平不斷提升；生產(chǎn)環(huán)節(jié)中人機(jī)交互過(guò)程逐漸減少甚至消失（如無(wú)人工廠、自動(dòng)

14、駕駛）。上述因素導(dǎo)致一些安全隱患難以發(fā)覺(jué)，更重要的是導(dǎo)致海量設(shè)備直接暴露在網(wǎng)絡(luò)攻擊之下。木馬病毒能夠在這些暴露的設(shè)備之間的以指數(shù)級(jí)的感染速度進(jìn)行擴(kuò)散。這種情況下，工業(yè)設(shè)備就成為安全攻擊的“肉雞”武器。近期美國(guó)域名服務(wù)商被大量終端設(shè)備攻擊事件說(shuō)明了這種攻擊方式的巨大危害。端到端生產(chǎn)模式下的網(wǎng)絡(luò)安全問(wèn)題。為追求更高的生產(chǎn)效率，工業(yè)互聯(lián)網(wǎng)開(kāi)始承擔(dān)從生產(chǎn)需求起至產(chǎn)品交付乃至運(yùn)維的“端到端”的服務(wù)。比如大規(guī)模個(gè)人定制的服裝行業(yè)，個(gè)性化定制的家電行業(yè)已經(jīng)開(kāi)始實(shí)現(xiàn)從由生產(chǎn)需求起至產(chǎn)品交付“端到端”的生產(chǎn)服務(wù)模式。無(wú)人化生產(chǎn)模式下，工廠網(wǎng)絡(luò)迅速向“三化（IP 化、扁平化、無(wú)線化）+靈活組網(wǎng)”方向發(fā)展，工廠網(wǎng)絡(luò)

15、開(kāi)始直接面臨眾多傳統(tǒng) IT 安全挑戰(zhàn)。工業(yè)網(wǎng)絡(luò)靈活組網(wǎng)的需求使網(wǎng)絡(luò)拓?fù)涞淖兓訌?fù)雜，導(dǎo)致傳統(tǒng)基于靜態(tài)防護(hù)策略和安全域的防護(hù)效果下降。工業(yè)生產(chǎn)網(wǎng)絡(luò)對(duì)信息交互實(shí)時(shí)性、可靠性的要求，難以接受復(fù)雜的安全機(jī)制，極易受到非法入侵、信息泄露、拒絕服務(wù)等攻擊?！岸说蕉恕钡纳a(chǎn)模式、無(wú)人化生產(chǎn)發(fā)展趨勢(shì)使得工業(yè)互聯(lián)網(wǎng)安全防護(hù)的邊界空前擴(kuò)張，對(duì)安全防護(hù)機(jī)制的要求空前提高?？刂瓢踩珕?wèn)題。當(dāng)前工廠控制安全主要關(guān)注控制過(guò)程的功能安全，信息安全防護(hù)能力不足?，F(xiàn)有控制協(xié)議、控制軟件等在設(shè)計(jì)之初主要基于 IT 和 OT 相對(duì)隔離以及 OT 環(huán)境相對(duì)可信這兩個(gè)前提，同時(shí)由于工廠控制的實(shí)時(shí)性和可靠性要求高，諸如認(rèn)證、授權(quán)和加密等

16、需要附加開(kāi)銷(xiāo)的信息安全功能被舍棄。IT 和 OT 的融合打破了傳統(tǒng)安全可信的控制環(huán)境，網(wǎng)絡(luò)攻擊從 IT 層滲透到 OT 層， 從工廠外滲透到工廠內(nèi)。遺憾的是，目前缺乏有效的應(yīng)對(duì) APT（Advanced3Persistent Threat，高級(jí)持續(xù)性威脅）攻擊檢測(cè)和防護(hù)手段。令業(yè)界最為擔(dān)心的是控制安全問(wèn)題最接近物理實(shí)體安全。從某種意義上，物理空間的損害成為現(xiàn)實(shí)。應(yīng)用安全問(wèn)題。網(wǎng)絡(luò)化協(xié)同、服務(wù)化延伸、個(gè)性化定制等新模式新業(yè)態(tài)的出現(xiàn)對(duì)傳統(tǒng)公共互聯(lián)網(wǎng)的安全能力提出了更高要求。工業(yè)應(yīng)用復(fù)雜，安全需求多樣，因此對(duì)工業(yè)應(yīng)用的業(yè)務(wù)隔離能力、網(wǎng)絡(luò)安全保障能力要求都將提高。數(shù)據(jù)安全問(wèn)題。數(shù)據(jù)是工業(yè)互聯(lián)網(wǎng)的核心，

17、工業(yè)數(shù)據(jù)由少量、單一、單向正在向大量、多維、雙向轉(zhuǎn)變，具體表現(xiàn)為工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)體量大、種類(lèi)多、結(jié)構(gòu)復(fù)雜，并在 IT 和 OT 層、工廠內(nèi)外雙向流動(dòng)共享。工業(yè)領(lǐng)域業(yè)務(wù)應(yīng)用復(fù)雜， 數(shù)據(jù)種類(lèi)和保護(hù)需求多樣，數(shù)據(jù)流動(dòng)方向和路徑復(fù)雜，不僅對(duì)網(wǎng)絡(luò)的可靠、實(shí)時(shí)傳遞造成影響，對(duì)重要工業(yè)數(shù)據(jù)以及用戶數(shù)據(jù)保護(hù)的難度也陡然增大。綜上所述，數(shù)字化的、網(wǎng)絡(luò)化、智能化生產(chǎn)設(shè)備安全、端到端生產(chǎn)模式下的網(wǎng)絡(luò)安全，、生產(chǎn)控制系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全是工業(yè)互聯(lián)網(wǎng)發(fā)展急需解決的問(wèn)題，其中終端設(shè)備安全、生產(chǎn)控制系統(tǒng)安全和數(shù)據(jù)安全尤為急迫。能源石化行業(yè)典型安全解決方案智慧能源是基于互聯(lián)網(wǎng)技術(shù)體系，綜合利用物聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)等信

18、息通信技術(shù)對(duì)各種能源的生產(chǎn)、存儲(chǔ)、輸送、使用進(jìn)行監(jiān)測(cè)、控制、運(yùn)營(yíng)等，將能效技術(shù)與智能技術(shù)相結(jié)合，實(shí)現(xiàn)能源的高效使用，更好地解決能源節(jié)約和應(yīng)對(duì)氣候變化等問(wèn)題。本案例匯編包括四個(gè)能源石化行業(yè)的典型安全解決方案。案例一：某環(huán)保局典型安全解決方案案例概述隨著我國(guó)經(jīng)濟(jì)的發(fā)展，對(duì)能源的消耗不斷增加，導(dǎo)致環(huán)境污染問(wèn)題愈加突出。為配合國(guó)家關(guān)于節(jié)能減排、能源的監(jiān)控與管理要求，某北部省的一個(gè)省會(huì)城市開(kāi)展了節(jié)能減排監(jiān)控管理平臺(tái)的建設(shè)工作，該平臺(tái)是把所有電力、鋼鐵、煙草等制造企業(yè)端的能源數(shù)據(jù)通過(guò)基于無(wú)線傳感器物聯(lián)網(wǎng)的監(jiān)測(cè)數(shù)據(jù)采集上來(lái)，實(shí)現(xiàn)制造企業(yè)的能耗、減排的指標(biāo)進(jìn)行監(jiān)控和管理。為滿足企業(yè)端與市級(jí)平臺(tái)安全對(duì)接，保證企

19、業(yè)網(wǎng)與市節(jié)能減排監(jiān)控管理平臺(tái)網(wǎng)絡(luò)安全隔離的基礎(chǔ)上，上傳監(jiān)控?cái)?shù)據(jù)。涉及 250 多家的該市的制造企業(yè)端將通過(guò)在邊界安全區(qū)部署工業(yè)安全隔離網(wǎng)閘來(lái)完成這一目標(biāo)。典型安全需求由于本項(xiàng)目接入的制造企業(yè)諸多，一方面不要因與各企業(yè)連接而傳入病毒、惡意代碼等，另一方面需要準(zhǔn)確的接收來(lái)自各企業(yè)的數(shù)據(jù)。具體需求包括：支持電力、鋼鐵、煙草等制造企業(yè)端各類(lèi)工控組件產(chǎn)生的工業(yè)監(jiān)測(cè)數(shù)據(jù)（如 Modbus 等協(xié)議）通過(guò)安全隔離網(wǎng)閘上傳至市節(jié)能減排監(jiān)控管理平臺(tái)中；工業(yè)安全隔離網(wǎng)閘須能夠滿足應(yīng)用層單向隔離的情況下，實(shí)現(xiàn)工業(yè)監(jiān)測(cè)數(shù)據(jù)的上傳；工業(yè)專(zhuān)用的無(wú)線傳感器設(shè)備能夠直接通過(guò)安全隔離網(wǎng)閘進(jìn)行單向數(shù)據(jù)傳輸；支持應(yīng)用層數(shù)據(jù)單向傳輸，

20、能夠自定義 TCP 應(yīng)答報(bào)文限制。（粒度 1個(gè)字節(jié)）支持 TCP、UDP 自定義訪問(wèn)通道，支持源地址、目的地址、目的端口的訪問(wèn)控制，支持生效時(shí)段控制策略、提供訪問(wèn)任務(wù)的單獨(dú)啟?？刂?。UDP 協(xié)議支持組播。支持內(nèi)、外網(wǎng)主機(jī)系統(tǒng)分別采用冗余雙系統(tǒng)啟動(dòng)模式:當(dāng) A 系統(tǒng)運(yùn)行失敗后，能從 B 系統(tǒng)啟動(dòng)，且 A、B 系統(tǒng)可互為備份。支持 IPV6、IPV4 雙棧接入，內(nèi)外網(wǎng)主機(jī)之間采用私有通訊協(xié)議。安全解決方案該項(xiàng)目中傳感器采用了 LoRa 采集終端和網(wǎng)關(guān)，傳感器系統(tǒng)通過(guò) UART 口與終端連接，傳感器系統(tǒng)將電機(jī)計(jì)量數(shù)據(jù)透明傳輸給終端，終端將自動(dòng)上傳電機(jī)數(shù)據(jù)到網(wǎng)關(guān)。傳輸數(shù)據(jù)時(shí)采用了 MODBUS 協(xié)議。

21、針對(duì)上述需求，通過(guò)大量的測(cè)試對(duì)比，最終選擇了工控安全隔離與信息交換系統(tǒng)，部署在各企業(yè)接收器端，詳細(xì)網(wǎng)絡(luò)拓?fù)鋱D如下所示：31圖 20 工控安全隔離與信息交換系統(tǒng)部署拓?fù)鋱D最終滿足了需求里的全部?jī)?nèi)容，實(shí)現(xiàn)了各制造企業(yè)端各類(lèi)工控組件產(chǎn)生的工業(yè)監(jiān)測(cè)數(shù)據(jù)（如 Modbus 等協(xié)議）通過(guò)安全隔離網(wǎng)閘上傳至市節(jié)能減排監(jiān)控管理平臺(tái)中；實(shí)現(xiàn)了如下效果：應(yīng)用層數(shù)據(jù)單向傳輸，能夠自定義 TCP 應(yīng)答報(bào)文限制。（粒度 1 個(gè)字節(jié)）。圖 21 網(wǎng)閘配置界面 1TCP、UDP 訪問(wèn)通道，支持源地址、目的地址、目的端口的訪問(wèn)控制， 支持生效時(shí)段控制策略、提供訪問(wèn)任務(wù)的單獨(dú)啟?？刂?。圖 22 網(wǎng)閘配置界面 2同時(shí)為防止系統(tǒng)故

22、障，設(shè)置了內(nèi)、外網(wǎng)主機(jī)系統(tǒng)分別采用冗余雙系統(tǒng)啟動(dòng)模式:當(dāng) A 系統(tǒng)運(yùn)行失敗后，能從 B 系統(tǒng)啟動(dòng)，且 A、B 系統(tǒng)可互為備份。33圖 23 網(wǎng)閘配置界面 3為保障自身隔離設(shè)備的安全，還提供了 IPV6、IPV4 雙棧接入，內(nèi)外網(wǎng)主機(jī)之間采用私有通訊協(xié)議。圖 24 網(wǎng)閘配置界面 4小結(jié)從該項(xiàng)目中看出，環(huán)保的實(shí)時(shí)監(jiān)測(cè)的業(yè)務(wù)需求仍是環(huán)保單位的重中之重，所以在安全建設(shè)方面是仍以最小化需求，目前隔離是保障安全的第一步。而隔離時(shí)是選擇工業(yè)防火墻還是工業(yè)網(wǎng)閘，是根據(jù)企業(yè)數(shù)據(jù)傳輸?shù)念l率、方向及反饋的實(shí)時(shí)性幾個(gè)方面要求來(lái)決策。該項(xiàng)目也可供諸多其它行業(yè) SCADA 監(jiān)測(cè)系統(tǒng)的安全防護(hù)作為參考。案例二：某燃?xì)馄髽I(yè)安

23、全解決方案概述城市燃?xì)怆S著業(yè)務(wù)的飛速發(fā)展，及人力成本的上升，管網(wǎng)的不斷變長(zhǎng)以及復(fù)雜化，原有的燃?xì)夤た叵到y(tǒng)的“監(jiān)而不控”方式已經(jīng)無(wú)法適應(yīng)，迫切需要對(duì)其控制系統(tǒng)進(jìn)行安全防護(hù)。典型安全問(wèn)題調(diào)度中心、站場(chǎng)、閥室未采取橫向邏輯隔離措施；工控網(wǎng)絡(luò)的各門(mén)站、儲(chǔ)配站、輸配站內(nèi)部之間未采取安全隔離和防病毒措施；現(xiàn)場(chǎng)工程師站，操作員站，服務(wù)器等工控主機(jī)缺乏安全加固措施。解決方案對(duì)調(diào)度中心、有人值守站控系統(tǒng)、無(wú)人值守站控系統(tǒng)邊界進(jìn)行訪問(wèn)控制、病毒防護(hù)，保護(hù)系統(tǒng)數(shù)據(jù)不被非法訪問(wèn)、竊取或篡改，保障工控網(wǎng)絡(luò)安全運(yùn)行；在工作站和服務(wù)器上部署終端防護(hù)軟件，阻止非法程序和未經(jīng)授權(quán)軟件運(yùn)行，保障主機(jī)全生命周期的安全；對(duì)工控網(wǎng)絡(luò)中

24、傳輸?shù)臄?shù)據(jù)進(jìn)行實(shí)時(shí)監(jiān)測(cè)，記錄，審計(jì)，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)操作和異常行為，實(shí)現(xiàn)事前部署，事中監(jiān)控，事后追溯；對(duì)工業(yè)網(wǎng)絡(luò)中的安全設(shè)備進(jìn)行統(tǒng)一的配置和管理，并對(duì)其日志信息進(jìn)行統(tǒng)一收集、管理和分析。35部署方案圖 25 燃?xì)馄髽I(yè)工控安全方案拓?fù)鋱D邊界、區(qū)域安全防護(hù)在調(diào)度中心各區(qū)域邊界部署工業(yè)防火墻，對(duì)各區(qū)域進(jìn)行邏輯隔離，并根據(jù)業(yè)務(wù)需要進(jìn)行訪問(wèn)控制策略設(shè)置；在調(diào)度中心和有人值守站控系統(tǒng)、無(wú)人值守站控系統(tǒng)之間部署工業(yè)防火墻進(jìn)行網(wǎng)絡(luò)層級(jí)間的安全隔離和防護(hù)；在各場(chǎng)站 PLC/RTU 等工控設(shè)備的網(wǎng)絡(luò)出口位置部署工業(yè)防火墻，以達(dá)到重要工控裝置的單體設(shè)備級(jí)安全防護(hù)。主機(jī)安全防護(hù)在調(diào)度中心和各場(chǎng)站的工程師站、操作員站及

25、服務(wù)器上部署工控主機(jī)衛(wèi)士， 保護(hù)各主機(jī)免受病毒、木馬、蠕蟲(chóng)等惡意代碼的侵襲。網(wǎng)絡(luò)監(jiān)測(cè)與審計(jì)在調(diào)度中心核心交換機(jī)上旁路部署安全監(jiān)測(cè)審計(jì)平臺(tái)，實(shí)時(shí)發(fā)現(xiàn)針對(duì) PLC、DCS 等重要工業(yè)控制系統(tǒng)的攻擊和破壞行為，以及病毒、木馬等惡意軟件的擴(kuò)散和傳播行為，為工業(yè)控制網(wǎng)絡(luò)安全事件調(diào)查提供依據(jù)；集中管理在調(diào)度中心部署統(tǒng)一安全管理平臺(tái)，實(shí)現(xiàn)對(duì)全網(wǎng)中各安全設(shè)備、系統(tǒng)及主機(jī)的統(tǒng)一配置、全面監(jiān)控、實(shí)時(shí)告警、流量分析等。小結(jié)該解決方案具備如下特點(diǎn)：實(shí)現(xiàn)了調(diào)度中心與各場(chǎng)站的安全隔離，避免非授權(quán)訪問(wèn)和惡意攻擊， 保護(hù)燃?xì)庀到y(tǒng)網(wǎng)絡(luò)邊界安全；避免工控系統(tǒng)主機(jī)遭受惡意軟件感染和擴(kuò)散，避免通過(guò)普通 U 盤(pán)感染主機(jī)，保護(hù)工控主機(jī)安

26、全；阻止病毒木馬程序進(jìn)入調(diào)度中心和場(chǎng)站操作員站、工程師站和服務(wù)器， 降低系統(tǒng)被攻擊利用的風(fēng)險(xiǎn)；實(shí)現(xiàn)網(wǎng)內(nèi)安全產(chǎn)品統(tǒng)一管理，日志統(tǒng)一收集，提高了運(yùn)維人員的工作效率，降低人力投入成本。 案例三：某石油石化企業(yè)安全解決方案概述通過(guò)分析石油企業(yè)在各生產(chǎn)環(huán)節(jié)中所面臨的信息安全問(wèn)題，提出了保障生產(chǎn)信息網(wǎng)絡(luò)安全的防護(hù)解決方案，同時(shí)具體提出了企業(yè)應(yīng)采取的安全策略和解決措施，闡明了全面構(gòu)筑工控信息安全體系，消除網(wǎng)絡(luò)安全隱患，做到防患于未然。典型安全風(fēng)險(xiǎn)油田網(wǎng)絡(luò)容易遭受病毒等惡意代碼的侵襲；缺乏監(jiān)測(cè)及防御人為惡意或者無(wú)意的違規(guī)操作行為的技術(shù)手段；對(duì)外部、內(nèi)部的網(wǎng)絡(luò)攻擊行為缺乏防御手段；37安全事件發(fā)生后不能迅速定位

27、找出問(wèn)題根源。解決方案針對(duì)油田各生產(chǎn)環(huán)節(jié)的網(wǎng)絡(luò)邊界和各網(wǎng)絡(luò)內(nèi)部區(qū)域之間的采取安全隔離和訪問(wèn)控制措施，防止用戶的越權(quán)訪問(wèn)和非法入侵行為；對(duì)工控網(wǎng)絡(luò)中的場(chǎng)站服務(wù)器、實(shí)時(shí)數(shù)據(jù)庫(kù)、生產(chǎn)調(diào)度系統(tǒng)等主機(jī)進(jìn)行加固，保障主機(jī)及其運(yùn)行數(shù)據(jù)的安全；提供安全數(shù)據(jù)交換介質(zhì)，杜絕移動(dòng)存儲(chǔ)介質(zhì)“濫用”的安全隱患，保障工控主機(jī)間數(shù)據(jù)交換安全；提供工控網(wǎng)絡(luò)操作行為監(jiān)測(cè)審計(jì)功能，幫助企業(yè)建立網(wǎng)絡(luò)監(jiān)測(cè)審計(jì)機(jī)制；對(duì)油田各層級(jí)網(wǎng)絡(luò)中的安全設(shè)備或系統(tǒng)進(jìn)行集中管理，實(shí)現(xiàn)全局配置、集中監(jiān)控、統(tǒng)一管理，提高管理人員的工作效率，降低企業(yè)的人員投入成本。典型部署圖 26 工控安全規(guī)劃與訪問(wèn)控制拓?fù)鋱D邊界、區(qū)域邊界防護(hù)在采油廠、作業(yè)區(qū)、場(chǎng)站油井邊

28、界及作業(yè)區(qū)區(qū)域邊界部署工業(yè)防火墻，對(duì)各層級(jí)用戶和外來(lái)的訪問(wèn)進(jìn)行控制，保障采油廠、作業(yè)區(qū)等重要生產(chǎn)區(qū)域網(wǎng)絡(luò)的可39用性和安全性。主機(jī)安全防護(hù)在采油廠、作業(yè)區(qū)、場(chǎng)站油井的實(shí)時(shí)數(shù)據(jù)庫(kù)、關(guān)系數(shù)據(jù)庫(kù)、生產(chǎn)調(diào)度系統(tǒng)等重要主機(jī)系統(tǒng)部署工控主機(jī)衛(wèi)士。采用“白名單”防護(hù)機(jī)制，保證只有安全的軟件程序才能夠在主機(jī)系統(tǒng)中運(yùn)行，同時(shí)對(duì)主機(jī)操作系統(tǒng)、注冊(cè)表等進(jìn)行防護(hù)。數(shù)據(jù)交換安全采用安全 U 盤(pán)作為數(shù)據(jù)交換介質(zhì)，避免不安全的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)入工控網(wǎng)絡(luò)影響生產(chǎn)網(wǎng)絡(luò)的正常運(yùn)行。網(wǎng)絡(luò)監(jiān)測(cè)審計(jì)在作業(yè)區(qū)的辦公網(wǎng)和生產(chǎn)網(wǎng)旁路部署監(jiān)測(cè)審計(jì)平臺(tái)，監(jiān)控和記錄用戶對(duì)數(shù)據(jù)庫(kù)、生產(chǎn)調(diào)度系統(tǒng)、采集服務(wù)器的違規(guī)操作、誤操作行為，為事后調(diào)查取證提供依據(jù)

29、。集中管理在作業(yè)區(qū)的辦公網(wǎng)中部署統(tǒng)一管理平臺(tái)，對(duì)整個(gè)工控網(wǎng)絡(luò)中的安全設(shè)備和系統(tǒng)進(jìn)行統(tǒng)一策略配置下發(fā)、狀態(tài)集中監(jiān)控、網(wǎng)絡(luò)流量分析。實(shí)時(shí)掌握工業(yè)控制網(wǎng)絡(luò)運(yùn)行狀態(tài)，便于出現(xiàn)問(wèn)題及時(shí)溯源定位。小結(jié)該解決方案具備如下特點(diǎn)：阻止病毒、蠕蟲(chóng)惡意軟件擴(kuò)散和入侵攻擊，保護(hù)控制系統(tǒng)安全運(yùn)行；阻止非授權(quán)軟件或進(jìn)程的安裝和運(yùn)行，防止惡意代碼攻擊；防止操作員使用移動(dòng)介質(zhì)帶入的病毒在生產(chǎn)網(wǎng)中擴(kuò)散；實(shí)時(shí)檢測(cè)工控網(wǎng)絡(luò)中的惡意攻擊、誤操作、違規(guī)行為、非法設(shè)備接入以及蠕蟲(chóng)、病毒等惡意軟件的傳播，幫助客戶及時(shí)采取應(yīng)對(duì)措施，避免發(fā)生安全事故。案例四：某煤化工企業(yè)安全解決方案概述化工行業(yè)滲透各個(gè)方面，是國(guó)民經(jīng)濟(jì)中不可或缺的重要組成部分

30、，其安全健康發(fā)展對(duì)于人類(lèi)經(jīng)濟(jì)、社會(huì)發(fā)展具有重要的現(xiàn)實(shí)意義?；ば袠I(yè)的安全影響較之其他行業(yè)，存在危害大、范圍廣、影響時(shí)間長(zhǎng)等特點(diǎn)，因此保證化工行業(yè)生產(chǎn)系統(tǒng)安全運(yùn)行，特別是保護(hù)工業(yè)控制系統(tǒng)不被非法破壞顯得尤為重要。典型安全問(wèn)題辦公網(wǎng)對(duì)生產(chǎn)網(wǎng)的入侵風(fēng)險(xiǎn)；對(duì)于誤操作或非法行為等風(fēng)險(xiǎn)缺乏管控；上位機(jī)對(duì)各生產(chǎn)功能區(qū)的PLC 和DCS 等設(shè)備的越權(quán)訪問(wèn)、誤操作等；缺乏事件追蹤及調(diào)查取證技術(shù)手段。解決方案對(duì)化工生產(chǎn)網(wǎng)絡(luò)邊界、各車(chē)間邊界實(shí)施訪問(wèn)控制和病毒防護(hù)，對(duì)關(guān)鍵控制系統(tǒng)進(jìn)行有效保護(hù)，避免指令數(shù)據(jù)等被非法訪問(wèn)、竊取或篡改；對(duì)化工生產(chǎn)網(wǎng)重要主機(jī)進(jìn)行安全防護(hù)，只允許“白名單”列表中的程序執(zhí)行，有效檢測(cè)工作站、服務(wù)器上的違規(guī)、異常操作并加以阻止；采用技術(shù)手段，監(jiān)測(cè)、記錄化工生產(chǎn)網(wǎng)絡(luò)中的異常