油田工業(yè)控制系統(tǒng)信息安全縱深防御初探

摘要：本文通過(guò)對(duì)數(shù)字油田專(zhuān)用的油氣工業(yè)控制系統(tǒng)（OICS）進(jìn)行風(fēng)險(xiǎn)分析，提出了分層分域、確定性行為預(yù)測(cè)的縱深防御方法，可有效解決油田OICS面臨的網(wǎng)絡(luò)安全問(wèn)題。關(guān)鍵詞：工業(yè)控制系統(tǒng)；工業(yè)控制系統(tǒng)安全；數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)；縱深防御1引言隨著中國(guó)經(jīng)濟(jì)的快速發(fā)展，石油、天然氣等能源產(chǎn)業(yè)在國(guó)家經(jīng)濟(jì)中的地位愈加顯著。近年來(lái)國(guó)家大力倡導(dǎo)國(guó)家能源安全與能源儲(chǔ)備，客觀上向中國(guó)的能源產(chǎn)業(yè)提出了更高的要求，同時(shí)也提供了更多的發(fā)展空間。因此通過(guò)數(shù)字化遠(yuǎn)程管理，有效控制生產(chǎn)過(guò)程中的關(guān)鍵技術(shù)環(huán)節(jié)，實(shí)現(xiàn)遠(yuǎn)程調(diào)度指揮、監(jiān)管、控制的大規(guī)模生產(chǎn)是目前眾多大型企業(yè)所企盼的。

技術(shù)在飛速發(fā)展的同時(shí)，不可避免的帶來(lái)了系統(tǒng)安全的各類(lèi)風(fēng)險(xiǎn)和威脅，在數(shù)字油田的構(gòu)建中，存在著如系統(tǒng)終端平臺(tái)安全防護(hù)弱點(diǎn)、系統(tǒng)配置和軟件安全漏洞、工控協(xié)議安全問(wèn)題、私有協(xié)議的安全問(wèn)題、隱藏的后門(mén)和未知漏洞、TCP/IP自身的安全問(wèn)題、用戶權(quán)限控制的接入、網(wǎng)絡(luò)安全邊界防護(hù)、內(nèi)部人員非法操作以及密鑰管理等各種信息安全風(fēng)險(xiǎn)和漏洞。

數(shù)字油田系統(tǒng)一旦遭到破壞或入侵，會(huì)直接危害到原油的開(kāi)采和運(yùn)輸，繼而影響到國(guó)家能源安全問(wèn)題，造成直接或間接的巨大經(jīng)濟(jì)損失，更會(huì)影響社會(huì)的安定團(tuán)結(jié)。油田自動(dòng)化利用自動(dòng)化手段對(duì)油水井站、計(jì)量間、閥組、聯(lián)合站（集氣站）、原油外輸系統(tǒng)、油罐及油田其他分散設(shè)施進(jìn)行自動(dòng)檢測(cè)、自動(dòng)控制，從而實(shí)現(xiàn)生產(chǎn)自動(dòng)化和管理自動(dòng)化。但是采油現(xiàn)場(chǎng)常常分布在人煙稀少的偏僻地區(qū)，交通通訊不便，分布地域廣泛，現(xiàn)場(chǎng)人員較少，大部分地區(qū)處于無(wú)人或少人職守狀態(tài)。一旦現(xiàn)場(chǎng)控制系統(tǒng)發(fā)生異常，可能導(dǎo)致發(fā)現(xiàn)晚、排查難、影響大等一系列問(wèn)題。2數(shù)字油田OICS風(fēng)險(xiǎn)分析2.1網(wǎng)絡(luò)結(jié)構(gòu)分析

油田網(wǎng)絡(luò)結(jié)構(gòu)龐大，采油廠以下按照管理區(qū)劃分為多個(gè)管理區(qū)，管理區(qū)與采油廠通過(guò)專(zhuān)用光纖進(jìn)行通訊。

現(xiàn)場(chǎng)基本控制單元包括油井、配注站、注水站等不同的單元，包含的主要網(wǎng)絡(luò)設(shè)備和控制設(shè)備為RTU、PLC系統(tǒng)及攝像頭，現(xiàn)場(chǎng)基本控制單元通過(guò)無(wú)線傳輸?shù)哪Ｊ剑瑢?shù)據(jù)與匯聚點(diǎn)進(jìn)行通信，無(wú)線匯聚點(diǎn)通過(guò)專(zhuān)用光纖將數(shù)據(jù)上送到管理區(qū)生產(chǎn)指揮中心。注水站PLC系統(tǒng)通過(guò)專(zhuān)用光纖將數(shù)據(jù)上傳到管理區(qū)生產(chǎn)指揮中心，管理區(qū)生產(chǎn)指揮中心通過(guò)光纖將生產(chǎn)數(shù)據(jù)發(fā)送至辦公網(wǎng)絡(luò)。

管理區(qū)的網(wǎng)絡(luò)可以以三層兩網(wǎng)的模型進(jìn)行分析。兩網(wǎng)是指現(xiàn)場(chǎng)無(wú)線網(wǎng)絡(luò)和光纖網(wǎng)絡(luò)，三層分別是下層現(xiàn)場(chǎng)控制設(shè)備層、中間匯聚層、上層管理層，本文依據(jù)網(wǎng)絡(luò)和層次結(jié)構(gòu)對(duì)威脅與脆弱性進(jìn)行分析。油田管理區(qū)網(wǎng)絡(luò)拓?fù)鋱D如圖1所示。圖1油田OICS網(wǎng)絡(luò)拓?fù)鋱D

2.2整體風(fēng)險(xiǎn)分析依據(jù)網(wǎng)絡(luò)拓?fù)鋱D以及網(wǎng)絡(luò)結(jié)構(gòu)并結(jié)合目前已有的技術(shù)安全措施，現(xiàn)有的安全隱患包括以下幾個(gè)方面。

（1）網(wǎng)絡(luò)設(shè)備準(zhǔn)入控制隱患整個(gè)油田的網(wǎng)絡(luò)終端設(shè)備部署在野外現(xiàn)場(chǎng)，難以有效地采用門(mén)禁等措施來(lái)管控整個(gè)網(wǎng)絡(luò)，生產(chǎn)網(wǎng)較容易被外來(lái)人員接入其他網(wǎng)絡(luò)設(shè)備，難以對(duì)第三方非法接入進(jìn)行報(bào)警和阻斷，存在較大安全隱患。

（2）無(wú)線通信缺乏認(rèn)證現(xiàn)場(chǎng)設(shè)備如油井、配注站等以無(wú)線方式與匯聚塔通訊，工控?cái)?shù)據(jù)也通過(guò)無(wú)線方式與OICS服務(wù)器通訊，缺乏有效的身份認(rèn)證。

（3）生產(chǎn)網(wǎng)和辦公網(wǎng)接口生產(chǎn)網(wǎng)包含了工控網(wǎng)絡(luò)與視頻網(wǎng)絡(luò)，數(shù)據(jù)量龐大，目前未做任何的防護(hù)措施，給生產(chǎn)安全帶來(lái)巨大的風(fēng)險(xiǎn)。

（4）工控網(wǎng)與視頻網(wǎng)合用威脅生產(chǎn)網(wǎng)包含了工控網(wǎng)絡(luò)與視頻網(wǎng)絡(luò)，工控網(wǎng)與視頻網(wǎng)合用，數(shù)據(jù)量龐大，數(shù)據(jù)的格式、協(xié)議、保密性要求與傳輸延時(shí)要求等均存在巨大差異，業(yè)務(wù)差別大、安全需求差別也很大。兩網(wǎng)使用同一根光纖傳輸存在較大安全隱患。

（5）缺乏有效的防病毒措施工程師站、操作站、視頻監(jiān)控站、數(shù)據(jù)庫(kù)服務(wù)器、數(shù)采及視頻服務(wù)器等都在同一網(wǎng)絡(luò)中，與上層辦公網(wǎng)絡(luò)等無(wú)隔離防護(hù)，雖然安裝了360防病毒軟件，但360防病毒軟件本身只能針對(duì)常規(guī)的病毒并不適用工控網(wǎng)絡(luò)，對(duì)工控系統(tǒng)的病毒防護(hù)存在誤殺風(fēng)險(xiǎn)。

（6）針對(duì)特定工控系統(tǒng)的攻擊黑客可能利用木馬、病毒（如最近的勒索病毒以及針對(duì)工控系統(tǒng)的震網(wǎng)病毒）、文件擺渡或其他手段進(jìn)入工控網(wǎng)絡(luò)，對(duì)工控系統(tǒng)控制器發(fā)出惡意指令（如控制器啟停指令、修改系統(tǒng)時(shí)間、修改工藝參數(shù)、對(duì)動(dòng)設(shè)備進(jìn)行啟停操作等），導(dǎo)致工控系統(tǒng)宕機(jī)停產(chǎn)或出現(xiàn)嚴(yán)重的安全事故。

（7）對(duì)網(wǎng)絡(luò)流量缺乏有效的監(jiān)控措施現(xiàn)場(chǎng)生產(chǎn)網(wǎng)絡(luò)分布位置廣泛，設(shè)備多（如一個(gè)匯聚點(diǎn)連接了幾十口油井，每個(gè)油井上包含了眾多的儀表及設(shè)備），網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，缺少有效的網(wǎng)絡(luò)流量監(jiān)控措施，在危險(xiǎn)發(fā)生時(shí)難以有效發(fā)現(xiàn)威脅來(lái)源及可能造成的影響，難以有效地對(duì)威脅進(jìn)行快速響應(yīng)來(lái)降低對(duì)生產(chǎn)的影響。

（8）未進(jìn)行分區(qū)域隔離匯聚點(diǎn)之間、注水站之間以及匯聚點(diǎn)與注水站之間只是通過(guò)劃分VLAN來(lái)分區(qū)，但是VLAN方式并不能防范病毒的擴(kuò)散以及黑客的入侵行為。

（9）漏洞利用風(fēng)險(xiǎn)事實(shí)證明，99%以上攻擊都是利用已公布并有修補(bǔ)措施、但用戶未修補(bǔ)的漏洞。操作系統(tǒng)和應(yīng)用漏洞能夠直接威脅數(shù)據(jù)的完整性和機(jī)密性，流行蠕蟲(chóng)的傳播通常也依賴于嚴(yán)重的安全漏洞，黑客的主動(dòng)攻擊往往離不開(kāi)對(duì)漏洞的利用。

（10）行為抵賴風(fēng)險(xiǎn)如何有效監(jiān)控業(yè)務(wù)系統(tǒng)訪問(wèn)行為和敏感信息傳播，準(zhǔn)確掌握網(wǎng)絡(luò)系統(tǒng)的安全狀態(tài)，及時(shí)發(fā)現(xiàn)違反安全策略的事件并實(shí)時(shí)告警、記錄，同時(shí)進(jìn)行安全事件定位分析，事后追查取證，滿足合規(guī)性審計(jì)要求，是迫切需要解決的問(wèn)題。3數(shù)字油田OICS縱深防御建設(shè)3.1安全建設(shè)基本原則對(duì)于工控安全建設(shè)，應(yīng)當(dāng)以適度安全為核心，以重點(diǎn)保護(hù)為原則，從業(yè)務(wù)的角度出發(fā)，重點(diǎn)保護(hù)重要的業(yè)務(wù)系統(tǒng)，在方案設(shè)計(jì)中應(yīng)當(dāng)遵循以下幾項(xiàng)原則。

（1）適度安全任何系統(tǒng)都不能做到絕對(duì)的安全，在進(jìn)行工控安全等級(jí)保護(hù)規(guī)劃中，要在安全需求、安全風(fēng)險(xiǎn)和安全成本之間進(jìn)行平衡和折中，過(guò)多的安全要求必將造成安全成本的迅速增加和運(yùn)行的復(fù)雜性。適度安全也是等級(jí)保護(hù)建設(shè)的初衷，因此在進(jìn)行等級(jí)保護(hù)設(shè)計(jì)的過(guò)程中，一方面要嚴(yán)格遵循基本要求，從物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)等層面加強(qiáng)防護(hù)措施，保障信息系統(tǒng)的機(jī)密性、完整性和可用性，另外也要綜合成本的角度，針對(duì)系統(tǒng)的實(shí)際風(fēng)險(xiǎn)，提出對(duì)應(yīng)的保護(hù)強(qiáng)度，并按照保護(hù)強(qiáng)度進(jìn)行安全防護(hù)系統(tǒng)的設(shè)計(jì)和建設(shè)，從而有效控制成本。

（2）技術(shù)管理并重工控安全問(wèn)題從來(lái)就不是單純的技術(shù)問(wèn)題，把防范黑客入侵和病毒感染理解為工控安全問(wèn)題的全部是片面的，僅僅通過(guò)部署安全產(chǎn)品很難完全覆蓋所有的工控安全問(wèn)題，因此必須要把技術(shù)措施和管理措施結(jié)合起來(lái)，更有效地保障信息系統(tǒng)的整體安全性，形成技術(shù)和管理兩個(gè)部分的建設(shè)方案。

（3）分區(qū)分域建設(shè)對(duì)工控系統(tǒng)進(jìn)行安全保護(hù)的有效方法就是分區(qū)分域，由于工控系統(tǒng)中各個(gè)資產(chǎn)的重要性是不同的，并且訪問(wèn)特點(diǎn)也不盡相同，因此需要把具有相似特點(diǎn)的資產(chǎn)集合起來(lái)，進(jìn)行總體防護(hù)，從而可更好地保障安全策略的有效性和一致性；另外分區(qū)分域還有助于對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行集中管理，一旦其中某些安全區(qū)域內(nèi)發(fā)生安全事件，可通過(guò)嚴(yán)格的邊界安全防護(hù)限制事件在整網(wǎng)蔓延。

（4）合規(guī)性安全保護(hù)體系應(yīng)當(dāng)同時(shí)考慮與其他標(biāo)準(zhǔn)的符合性，技術(shù)部分參考《GBT25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》進(jìn)行設(shè)計(jì)，管理方面同時(shí)參考《GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》以及IEC27001安全管理指南，使建成后的等級(jí)保護(hù)體系更具有廣泛的實(shí)用性。

（5）動(dòng)態(tài)調(diào)整工控安全問(wèn)題不是靜態(tài)的，它總是隨著管理相關(guān)的組織策略、組織架構(gòu)、信息系統(tǒng)和操作流程的改變而改變，因此必須要跟蹤信息系統(tǒng)的變化情況，調(diào)整安全保護(hù)措施。

3.2安全防御方案3.2.1分層分域構(gòu)建縱深防御體系

分層分域的目的是通過(guò)分層劃分不同的系統(tǒng)集合，根據(jù)不同系統(tǒng)的特點(diǎn)采取相應(yīng)的防護(hù)手段，例如工控區(qū)域的特點(diǎn)是以高可用性為優(yōu)先原則，而管理區(qū)應(yīng)以機(jī)密性為優(yōu)先原則；分域則是依據(jù)最小業(yè)務(wù)系統(tǒng)的原則避免安全風(fēng)險(xiǎn)的擴(kuò)散。對(duì)于處于生產(chǎn)管理區(qū)但需要和OICS實(shí)時(shí)服務(wù)器通訊的功能服務(wù)器建議設(shè)立工控DMZ區(qū)，將這些功能服務(wù)器單獨(dú)部署在工控DMZ區(qū)內(nèi)，分層分域部署如圖2所示。圖2油田OICS分層分域圖在生產(chǎn)管理層與工控DMZ層的邊界設(shè)置帶有入侵檢測(cè)裝置的下一代防火墻，依據(jù)訪問(wèn)控制關(guān)系配置訪問(wèn)控制列表（ACL），同時(shí)可以對(duì)入侵行為進(jìn)行監(jiān)測(cè)報(bào)警。在工控DMZ層與監(jiān)控層的邊界設(shè)置工業(yè)單向網(wǎng)閘，防止工控DMZ層感染的病毒滲透到監(jiān)控層，由于單向網(wǎng)閘采用2+1架構(gòu)，可以阻斷兩個(gè)網(wǎng)絡(luò)的實(shí)時(shí)連接，防止黑客的入侵行為。

在監(jiān)控層與設(shè)備控制層邊界依據(jù)業(yè)務(wù)特點(diǎn)劃分最小業(yè)務(wù)單元設(shè)置工業(yè)防火墻，由于工業(yè)防火墻采用白名單機(jī)制，可以阻斷所有非白名單的流量，同時(shí)具備BYPASS功能，可以用于要求高可用性的工控網(wǎng)絡(luò)中。監(jiān)視站與服務(wù)器之間也可設(shè)置工業(yè)防火墻，實(shí)現(xiàn)確定性的指令級(jí)控制，由于每臺(tái)監(jiān)視站的監(jiān)視范圍和控制功能的不同，可以依據(jù)控制范圍和控制功能設(shè)置可監(jiān)視和控制的位號(hào)的白名單，實(shí)現(xiàn)精準(zhǔn)的控制防止誤操作以及人為破壞。

3.2.2確定性的可預(yù)測(cè)行為監(jiān)視油田OICS是實(shí)時(shí)的工業(yè)控制系統(tǒng)，按照掃描周期完成數(shù)據(jù)的采集、數(shù)據(jù)的模數(shù)轉(zhuǎn)換、應(yīng)用控制策略的執(zhí)行、數(shù)據(jù)的數(shù)模轉(zhuǎn)換、控制型號(hào)的執(zhí)行，因而網(wǎng)絡(luò)中的流量的大小、協(xié)議的類(lèi)型、控制的點(diǎn)位等均為確定性的。通過(guò)分析工控核心交換機(jī)的鏡像流量，結(jié)合生產(chǎn)業(yè)務(wù)關(guān)系的關(guān)聯(lián)分析，對(duì)行為建模預(yù)測(cè)性判斷，并對(duì)風(fēng)險(xiǎn)報(bào)警。行為監(jiān)測(cè)設(shè)備部署如圖3所示。圖3工控安全監(jiān)測(cè)審計(jì)設(shè)備位置圖

主要實(shí)現(xiàn)以下功能：（1）資產(chǎn)數(shù)量的確定性，對(duì)入侵設(shè)備的可預(yù)測(cè)分析；（2）資產(chǎn)訪問(wèn)關(guān)系的確定性，對(duì)異常的訪問(wèn)行為的可預(yù)測(cè)分析；（3）流量特征的確定性，對(duì)惡意文件、入侵的可預(yù)測(cè)分析；（4）業(yè)務(wù)行為（組態(tài)的下載、上傳、對(duì)設(shè)備的操作）的確定性，對(duì)入侵檢測(cè)的可預(yù)測(cè)分析；（5）變更計(jì)劃的確定性，對(duì)入侵或工控專(zhuān)有病毒（如：火焰、震網(wǎng)）研判的可預(yù)測(cè)性分析；（6）生產(chǎn)運(yùn)維計(jì)劃的確定性，對(duì)入侵等異常行為的可預(yù)測(cè)分析。

3.2.3確定性的可預(yù)測(cè)主機(jī)加固油田OICS的操作站、服務(wù)器、工程師站由于高可用性的要求無(wú)法安裝系統(tǒng)補(bǔ)丁及殺毒軟件，存在巨大的安全隱患，成為了病毒的中轉(zhuǎn)站，同時(shí)也是黑客入侵的主要攻擊對(duì)象。對(duì)于工控的主機(jī)防護(hù)可以采用基于白名單進(jìn)程管控的工控主機(jī)衛(wèi)士來(lái)實(shí)現(xiàn)。

主要實(shí)現(xiàn)功能如下：（1）主機(jī)進(jìn)程的確定性，惡意進(jìn)程的可預(yù)測(cè)性防護(hù)，結(jié)合業(yè)務(wù)流程阻止非預(yù)測(cè)的額外進(jìn)程運(yùn)行；（2）主機(jī)服務(wù)端口的確定性，異常行為的可預(yù)測(cè)性防護(hù)，結(jié)合相關(guān)程序的日常端口行為阻止非預(yù)期端口開(kāi)放；（3）主機(jī)訪問(wèn)關(guān)系的確定性，異常訪問(wèn)的可預(yù)測(cè)性防護(hù)，通過(guò)流量畫(huà)像精準(zhǔn)展示異常連接；（4）主機(jī)運(yùn)維的確定性，異常行為的可預(yù)測(cè)性發(fā)現(xiàn)，結(jié)合運(yùn)維日志發(fā)現(xiàn)非預(yù)期的主機(jī)行為。

3.2.4可視化的安全運(yùn)營(yíng)在數(shù)字油田OICS中建設(shè)了一些安全設(shè)備后，會(huì)產(chǎn)生眾多的事件和日志，為統(tǒng)一管理工業(yè)控制的系統(tǒng)設(shè)備、安全設(shè)備及日志信息，將多個(gè)設(shè)備日志信息關(guān)聯(lián)分析，需要建設(shè)一套工控安全運(yùn)營(yíng)中心，此平臺(tái)與傳統(tǒng)管理網(wǎng)的平臺(tái)不同之處有如下幾點(diǎn)：

（1）該平臺(tái)應(yīng)該能夠直接收集工業(yè)交換機(jī)及工控應(yīng)用系統(tǒng)的信息；（2）該平臺(tái)能夠分析工控網(wǎng)絡(luò)中的設(shè)備互聯(lián)狀況，包括流量、時(shí)間、工控協(xié)議等元素建立白名單規(guī)則，及時(shí)有效發(fā)現(xiàn)異常并報(bào)警；（3）該平臺(tái)的關(guān)聯(lián)分析與傳統(tǒng)事件關(guān)聯(lián)分析模型不同；（4）適應(yīng)工控網(wǎng)絡(luò)的特性，工控安全運(yùn)營(yíng)中心不再以日志為主要分析手段，而是采用流量行為分析為主、事件分析為輔的技術(shù)路線，通過(guò)安全監(jiān)控、風(fēng)險(xiǎn)分析、流量秩序監(jiān)控三大方