石油行業工控安全解決方案

石油行業作為國家重要的支柱產業，對國計民生有著直接或間接的影響，已然成為國家重要的關鍵信息基礎設施之一。 伴隨著工業互聯網、數字化轉型、智能制造等技術路線的成熟，石油行業作為工控行業的先行者，也迎來了新的機會與挑戰。面對當前嚴峻的網絡安全形勢，采取必要的安全措施勢在必行。

在石油行業中，工業控制系統信息安全問題日益突出。 （1）硬件方面 適應控制現場的物理環境（高低溫、電磁防護、震動沖擊等），控制指令有嚴格的周期循環機制，延時不可因安全設備的接入而影響響應。在極端情況下支持掉電直通不影響系統正常工作，可以通過干觸點與控制設備連接，構建異常監控。 （2）軟件方面 石油行業工控系統使用的軟硬件控制設備眾多，工控協議類型多樣，安全冗余機制差異也比較大，無法形成統一的防護規范策略。當前很多陳舊的工控系統采用基于DCOM的OPC協議進行通信，無法使用簡單的端口訪問控制來實現。因此必須采用特殊技術對協議進行深度適配增強，以保證安全。 （3）病毒攻擊方面 工控系統中使用了大量的商用操作系統及軟件，針對病毒、攻擊的防御是非常有必要的。在一些模式和防御技術上可以借鑒傳統防御技術，但是應該有差異性的對工控系統進行定制。例如當前比較常用的白名單技術、深度包過濾技術等。 （4）管理方面 工控系統的權限、口令、策略管理不同于傳統安全。應有相關機制弱化網絡口令丟失，權限分配失策等情況造成機密數據丟失、泄漏、甚至系統癱瘓等不必要的風險。需要有一個統一的安全運營平臺，降低安全運維成本，提升管理效率。

以《GB/T 22239-2019信息安全技術網絡安全等級保護基本要求》中的區域隔離和安全審計為基準，借助工業防火墻、工控安全審計系統、入侵檢測系統并輔以其他安全系統構建經濟適用的等保安全解決方案。 （1）安全邊界 在現場各場站、調度中心SCADA系統邊界部署工業防火墻，進行邊界訪問控制，對工業協議進行深度過濾，對入侵攻擊進行防護，并結合傳統安全進行防護。 （2）安全網絡 在現場各場站工業以太網交換機、調度中心生產網交換機上旁路部署工控安全審計系統，實時監測工控網絡中違規行為、異常流量和未知接入。在調度中心生產網交換機旁路部署入侵檢測系統，實現網絡攻擊檢測和異常行為審計，同時具備入侵防御的能力。 （3）終端安全 在現場各場站的終端、調度中心的服務器、工作站上分別部署主機安全防護系統，實現對移動存儲介質使用管理、軟件黑白名單管理、主機安全基線管理、補丁管理、主機審計、主機資產管理、非法外聯控制等功能。 此外，很多老系統多采用WindowsXP，WinCE等過時的系統軟件或應用軟件，這些軟件普遍存在無法升級或不可能及時更新等問題。 （4）安管中心 在調度中心統一規劃安全管理中心，對工業控制系統進行檢查評估，網絡流量進行安全審計、對所有安全設備進行統一管理、統一分析。

? 合法合規 產品符合《網絡安全法》、《關鍵信息基礎設施安全保護條例》、《工業控制系統信息安全防護指南》、《工業控制系統信息安全防護建設實施規范》、等保2.0等相關法律規范、國家標準要求。 ? 安全可控 對工控系統加上了一道防護罩，顯著提升企業抗網絡攻擊的能力。同時任何控制動作都可以通過安全管理中心進行全方位的監控，讓業務流向清晰，操作可控、安全管理便捷。 ? 提升企業競爭力 借助工控安全方案可以抵御惡意網絡攻擊，保證企業可持續的生產，給企業帶來的不僅僅是利潤，還有良好的聲譽、合約承諾、股市增長、品牌效應等。相較于遭受攻擊的企業，將提升企業的競爭力。