石油、天燃氣是一種重要的燃料和化工原料，已經(jīng)被廣泛的應用于我國國民經(jīng)濟的各個方面，被譽為“工業(yè)的血液”。同時，石油作為一種具有政治特性的特殊資源，一種現(xiàn)代戰(zhàn)爭不可或缺的重要戰(zhàn)略物資，成為國際競爭爭奪甚至引發(fā)戰(zhàn)爭的誘因。因此，保障石油石化行業(yè)的健康穩(wěn)定發(fā)展對我國的政治、經(jīng)濟的發(fā)展以及社會穩(wěn)定均具有重要意義。
中石化西北油田分公司雅克拉采氣廠地處塔里木盆地北緣，這里曾是沙參二井取得重大油氣突破的地方。昔日黃沙漫漫、人跡罕至的雅克拉采氣廠，如今管理著雅克拉、大澇壩、輪臺、巴楚 4 個油氣田的 30 多口油氣井，擁有兩座現(xiàn)代化的天然氣集氣處理站。該廠天然氣年產(chǎn)量達到 9.6 億立方米，原油當前日產(chǎn)
1015 噸，已成長為中國石化西部天然氣開發(fā)的排頭兵。在實現(xiàn)“數(shù)字油田”、“數(shù) 字石化”、“數(shù)字石油”信息化方面也不甘人后，但隨著信息化與企業(yè)各個業(yè)務環(huán)節(jié)的深入融合企業(yè)面臨的安全隱患也日益凸顯。如何確保信息系統(tǒng)及內容在存取、處理和傳輸過程中保持機密性、完整性和可用性是當下急需解決的問題。
企業(yè)系統(tǒng)現(xiàn)狀分析
1. 基本網(wǎng)絡結構
下圖可見，企業(yè)網(wǎng)絡結構在地理位置上有三部分構成，分別為：雅克拉基地、 采氣一廠（大澇壩）采氣二廠（雅克拉），網(wǎng)絡拓撲由 Industrial network（工業(yè) 網(wǎng)控制網(wǎng)絡）和 EntERPrise Network(企業(yè)管理網(wǎng)絡)組成，其中，企業(yè)管理網(wǎng)絡三地通過核心路由互聯(lián)，一廠 HoneyWell DCS 系統(tǒng)組成的工業(yè)網(wǎng)絡及二廠 FoxBoro DCS 系統(tǒng)組成的工業(yè)控制網(wǎng)絡各自物理隔離，各自動化控制組件以及對實時數(shù)據(jù)進行采集、監(jiān)測的過程控制組件，共同構成的確保工業(yè)基礎設施自動化運行、 過程控制與監(jiān)控的業(yè)務流程管控系統(tǒng)。
圖1 網(wǎng)絡結構示意圖
2. 需求分析
雅克拉采氣廠是典型的資金和技術密集型企業(yè)，對信息系統(tǒng)依賴程度很高， 生產(chǎn)的連續(xù)性很強，裝置和設備的意外停產(chǎn)都會導致巨大的經(jīng)濟和財產(chǎn)損失，生產(chǎn)過程控制采用先進的 DCS 控制系統(tǒng)，生產(chǎn)管理上也更注重安全和平穩(wěn)運行。 通過加強生產(chǎn)管理，實現(xiàn)管理與生產(chǎn)過程控制的融合，通過優(yōu)化調度、先進控制和優(yōu)化控制等手段，在保證生產(chǎn)平穩(wěn)的基礎上獲取更大的經(jīng)濟效益，因此，企業(yè)信息化的重點是管控一體化。
要實現(xiàn)管理與控制的一體化，原始的企業(yè)工業(yè)控制網(wǎng)絡和企業(yè)管理網(wǎng)絡的物理隔離手段已無法滿足當前“兩化融合”的需求，為了提高企業(yè)信息化合綜合自動化水平，實現(xiàn)生產(chǎn)和管理的高效率、高效益，管理信息網(wǎng)絡與生產(chǎn)控制網(wǎng)絡之間必須實現(xiàn)數(shù)據(jù)交換，一廠和二廠的生產(chǎn)控制信息及監(jiān)測數(shù)據(jù)（共計 2000 余點）必須實時地傳輸?shù)交刂锌厥覟楣芾碚咛峁蚀_統(tǒng)一的生產(chǎn)數(shù)據(jù)；由上至下，通過對實時生產(chǎn)數(shù)據(jù)的展現(xiàn)總結，基地領導可以根據(jù)現(xiàn)階段生產(chǎn)狀況調整生產(chǎn)計 劃，下發(fā)產(chǎn)生調度指令，有效指導企業(yè)生產(chǎn)活動。
本次方案主要是針對雅克拉、大澇壩兩采氣場的現(xiàn)場數(shù)據(jù)通過力控華康工業(yè)隔離網(wǎng)關 pSafetyLink PSL-A1081 傳輸?shù)窖趴死赝ㄟ^力控科技的 ForceCortol 6.1 Server 進行組態(tài)的解決辦法。
3. 安全風險分析
隨著信息技術的迅猛發(fā)展，信息化在企業(yè)中的應用取得了飛速發(fā)展，互聯(lián)網(wǎng)技術的出現(xiàn)，使得工業(yè)控制網(wǎng)絡中大量采用通用 TCP/IP 技術，ICS 網(wǎng)絡和企業(yè)管理網(wǎng)的聯(lián)系越來越緊密。另一方面，傳統(tǒng)工業(yè)控制系統(tǒng)采用專用的硬件、軟件和通信協(xié)議，設計基本沒有考慮互聯(lián)互通所必須考慮的通信安全問題。企業(yè)管理網(wǎng)與工業(yè)控制網(wǎng)的防護功能都很弱或者甚至幾乎沒有隔離功能，因此在工控系統(tǒng)開放的同時，也減弱了控制系統(tǒng)與外界的隔離，在當前“兩化整合”的應用需求下，工業(yè)控制網(wǎng)絡同企業(yè)管理網(wǎng)絡通必須進行數(shù)據(jù)交換，工控系統(tǒng)的安全隱患問題就愈發(fā)突顯也備受考驗。系統(tǒng)中任何一點受到攻擊都有可能導致整個系統(tǒng)的癱瘓，造成重在人員財產(chǎn)損失。典型工業(yè)控制系統(tǒng)入侵事件：
● 2007年，攻擊者入侵加拿大的一個水利 SCADA 控制系統(tǒng)，通過安裝惡意軟件破壞了用于取水調度的控制計算機；
● 2008年，攻擊者入侵波蘭某城市的地鐵系統(tǒng)，通過電視遙控器改變軌道扳道器，導致 4 節(jié)車廂脫軌；
● 2010年，“網(wǎng)絡超級武器”Stuxnet 病毒通過針對性的入侵 ICS 系統(tǒng)，嚴重威脅到伊朗布什爾核電站核反應堆的安全運營；
● 2011年，黑客通過入侵數(shù)據(jù)采集與監(jiān)控系統(tǒng) SCADA，使得美國伊利諾伊州城市供水系統(tǒng)的供水泵遭到破壞。
由上可見，在工業(yè)控制網(wǎng)絡與企業(yè)管理網(wǎng)絡之間如不進行安全有效的隔離，勢必對企事業(yè)的生命財產(chǎn)造成致命威脅，主要有以下方面：
通信協(xié)議漏洞
“兩化融合”和物聯(lián)網(wǎng)的發(fā)展使得 TCP/IP 協(xié)議和 OPC 協(xié)議等通用協(xié)議越來越廣泛地應用在工業(yè)控制網(wǎng)絡中，隨之而來的通信協(xié)議漏洞問題也日益突出。雅克拉采氣廠數(shù)據(jù)的采集傳輸均采用 OPC 協(xié)議，OPC Classic 協(xié)議(OPC DA， OPC HAD 和 OPC A&E) 基于微軟的 DCOM 協(xié)議，DCOM 協(xié)議是在網(wǎng)絡安全問題被廣泛認識之前設計的，極易受到攻擊，并且 OPC 通訊采用不固定的端口號，導致目前幾乎無法使用傳統(tǒng)的 IT 防火墻來確保其安全性。因此必須使用有效專用的工業(yè)隔離網(wǎng)關 pSafetyLink 確保使用 OPC 通訊協(xié)議的工業(yè)控制系統(tǒng)的安全性和可靠性。
操作系統(tǒng)漏洞
雅克拉采氣廠目前工業(yè)控制系統(tǒng)的工程師站 / 操作站 /HMI /Server 都是 Windows 平臺的，由于工業(yè)控制網(wǎng)絡與互聯(lián)網(wǎng)及企業(yè)網(wǎng)絡的隔離，同時為保證過程控制系統(tǒng)的相對獨立性，以及考慮到系統(tǒng)的穩(wěn)定運行，現(xiàn)場工程師未對 Windows 平臺安裝任何補丁，但是存在的問題是，不安裝補丁系統(tǒng)就存在被攻擊的可能，從而埋下安全隱患。
安全策略和管理流程漏洞
追求可用性而犧牲安全，是很多工業(yè)控制系統(tǒng)存在的普遍現(xiàn)象，缺乏完整有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信息安全帶來了一定的威脅�，F(xiàn)場實 際操作在工業(yè)控制系統(tǒng)中移動存儲介質包括筆記本電腦、U 盤等設備的使用和不嚴格的訪問控制策略。
應用軟件漏洞
由于應用軟件多種多樣，很難形成統(tǒng)一的防護規(guī)范以應對安全問題；另外當應用軟件面向網(wǎng)絡應用時，就必須開放其應用端口。因此常規(guī)的 IT 防火墻等安全設備很難保障其安全性�；ヂ�(lián)網(wǎng)攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞獲取諸如污水處理廠、天然氣管道以及其他大型設備的控制權，一旦這些控制權被不良意圖黑客所掌握，那么后果不堪設想。
以 Stuxnet 蠕蟲為例，其充分利用了伊朗布什爾核電站工控網(wǎng)絡中工業(yè) PC 與控制系統(tǒng)存在的安全漏洞（LIK 文件處理漏洞、打印機漏洞、RPC 漏洞、WinCC 漏洞、S7 項目文件漏洞以及 Autorun.inf 漏洞），為攻擊者入侵提供了七條隱蔽 的通道。
圖2 應用軟件漏洞
控制網(wǎng)絡安全隱患分析
控制網(wǎng)絡的安全漏洞暴露了整個控制系統(tǒng)安全的脆弱性。由于網(wǎng)絡通信協(xié)議、操作系統(tǒng)、應用軟件、安全策略甚至硬件上存在的安全缺陷，從而使得攻擊者能夠在未授權的情況下訪問和操控控制網(wǎng)絡系統(tǒng)，形成了巨大的安全隱患�？刂凭W(wǎng)絡系統(tǒng)的安全性同樣符合“木桶原則”，其整體安全性不在于其最強處，而取決于系統(tǒng)最薄弱之處，即安全漏洞所決定。只要這個漏洞被發(fā)現(xiàn)，系統(tǒng)就有可能成為網(wǎng)絡攻擊的犧牲品。
安全漏洞對控制網(wǎng)絡的隱患體現(xiàn)在惡意攻擊行為對系統(tǒng)的威脅。隨著越來越 多的控制網(wǎng)絡系統(tǒng)通過信息網(wǎng)絡連接到互聯(lián)上，這種威脅就越來越大。目前互聯(lián)網(wǎng)上已有幾萬個黑客站點，黑客技術不斷創(chuàng)新，基本的攻擊手法已達上千種。這 些攻擊技術一旦被不法之徒掌握，將產(chǎn)生不良的后果。
項目目標
通過對網(wǎng)絡結構、網(wǎng)絡安全風險分析，針對不同區(qū)域間數(shù)據(jù)通信安全和整體 信息化建設要求，實施工業(yè)控制網(wǎng)絡安全建設，針對 DCS 網(wǎng)絡管理的關鍵區(qū)域實施可靠的邊界安全設備及策略，實現(xiàn)分層級的縱深安全防御策略，抵御各種已知的攻擊威脅。
本項目的安全目標是：
● 保護工業(yè)控制網(wǎng)絡系統(tǒng)的可用性 ；
● 防范網(wǎng)絡資源對工業(yè)控制網(wǎng)絡的非法訪問；
● 防范入侵者對工業(yè)控制網(wǎng)絡的惡意攻擊與破壞 ；
● 保護工業(yè)控制網(wǎng)絡和企業(yè)管理網(wǎng)絡之間數(shù)據(jù)傳輸?shù)陌踩?/div>
網(wǎng)絡安全方案設計原則
在進行網(wǎng)絡系統(tǒng)安全方案設計、規(guī)劃時，應遵循以下原則：
需求、風險、代價平衡分析的原則
對雅克拉采掘廠的網(wǎng)絡進行了實際的研究(包括任務、性能、結構、可靠性、 可維護性等)，并對網(wǎng)絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規(guī)范和措施，確定系統(tǒng)的安全策略。
綜合性、整體性原則
應運用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡的安全及具體措施。安全措施主要 包括：行政法律手段、各種管理制度(人員審查、工作流程、維護保障制度等)以 及專業(yè)技術措施(訪問控制、加密技術、認證技術、攻擊檢測技術、容錯、防病 毒等)。一個較好的安全措施往往是多種方法適當綜合的應用結果。
計算機網(wǎng)絡的各個環(huán)節(jié)，包括個人(使用、維護、管理)、設備(含設施)、軟 件(含應用系統(tǒng))、數(shù)據(jù)等，在網(wǎng)絡安全中的地位和影響作用，也只有從系統(tǒng)整體的角度去看待、分析，才可能得到有效、可行的措施。不同的安全措施其代價、 效果對不同網(wǎng)絡并不完全相同。計算機網(wǎng)絡安全應遵循整體安全性原則，根據(jù)確定的安全策略制定出合理的網(wǎng)絡體系結構及網(wǎng)絡安全體系結構。
一致性原則
一致性原則主要是指網(wǎng)絡安全問題應與整個網(wǎng)絡的工作周期(或生命周期) 同時存在，制定的安全體系結構必須與網(wǎng)絡的安全需求相一致。安全的網(wǎng)絡系統(tǒng)設計(包括初步或詳細設計)及實施計劃、網(wǎng)絡驗證、驗收、運行等，都要有安全 的內容及措施。
易操作性原則
安全措施需要人去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性；其次，措施的采用不能影響系統(tǒng)的正常運行。
適應性及靈活性原則
安全措施必須能隨著網(wǎng)絡性能及安全需求的變化而變化，要容易適應、容易修改和升級。
多重保護原則
任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統(tǒng)，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護信息的安全。
解決方案
從雅克拉廠總體結構上看，系統(tǒng)網(wǎng)絡可分為二層次：企業(yè)管理層和控制層。 企業(yè)管理層主要從控制層提取有關生產(chǎn)數(shù)據(jù)用于制定綜合管理決策，從控制層獲取數(shù)據(jù)，完成各種控制、運行參數(shù)的監(jiān)測、報警和趨勢分析等功能�？刂茖迂撠� 通過組態(tài)設汁，完成數(shù)據(jù)采集、A/D 轉換、數(shù)字濾波、溫度壓力補償、PID 控制等各種功能。系統(tǒng)的每一個安全漏洞都會導致不同的嚴重后果，所以將它們單獨隔離防護十分必要。
參照 ANSI/ISA-99 標準，同時結合雅克拉廠的具體情況將企業(yè)系統(tǒng)結構劃分成不同的區(qū)域可以幫助企業(yè)有效地建立“縱深防御”策略，如下圖：
圖3 “縱深防御”策略
在工業(yè)控制網(wǎng)絡同企業(yè)管理網(wǎng)絡之間采用力控華康工業(yè)隔離網(wǎng)關 pSafetyLin PSL-A1081 主要起到在工業(yè)控制網(wǎng)絡同企業(yè)管理網(wǎng)絡之間隔離作用，隔離網(wǎng)關采用物理隔離和安全通道隔離，將以太網(wǎng)進行物理級安全隔離，安全通道隔離即通過專用通信硬件和私有不可路由協(xié)議等安全機制來實現(xiàn)內外部網(wǎng)絡的隔離和數(shù)據(jù)交換，有效地把內外部網(wǎng)絡隔離開來，而且高效地實現(xiàn)了內外網(wǎng)數(shù)據(jù)的安全交換。
系統(tǒng)提供多種工業(yè)通信協(xié)議驅動接口可供選擇，同時可提供對國內外主流平臺軟件如：WINCC、ForceControl、Intouch、iFix、PI、eDNA、iHistorian、PHD 等產(chǎn)品的底層快速通信接口。
可行性評估
企業(yè)管理網(wǎng)絡和網(wǎng)絡控制網(wǎng)絡之間的安全防護
本案中無論是采氣一廠還是二廠都使用 OPC 通訊協(xié)議，由于 OPC 通訊采用不固定的端口號，使用傳統(tǒng)的 IT 防火墻進行防護時，不得不開放大規(guī)模范圍內的端口號。在這種情況下，防火墻提供的安全保障被降至最低。因此，在企業(yè)管理網(wǎng)絡和工業(yè)控制網(wǎng)絡之間應安裝專業(yè)工業(yè)隔離網(wǎng)關 pSafetyLink PSL-A1081，解決 OPC 通訊采用動態(tài)端口帶來的安全防護瓶頸問題，阻止病毒和任何其它的非法訪問，這樣來自防護區(qū)域內的病毒感染就不會擴散到相鄰的工控網(wǎng)絡及其他網(wǎng)絡，提升網(wǎng)絡區(qū)域劃分能力的同時從本質上保證了網(wǎng)絡通訊安全。
數(shù)據(jù)交換的同時進行有效的隔離
工業(yè)隔離網(wǎng)關 pSafetyLink 通過內部特殊的 2+1 的雙獨立主機架構，控制端接入工業(yè)控制網(wǎng)絡，通過采集接口完成各子系統(tǒng)數(shù)據(jù)的采集；信息接入到企業(yè)管理網(wǎng)絡，完成數(shù)據(jù)到調度中心的傳輸。雙主機之間通過專有的 PSL 網(wǎng)絡隔離傳輸技術，截斷 TCP 連接，徹底割斷穿透性的 TCP 連接。PSL 的物理層采用專用隔離硬件，鏈路層和應用層采用私有通信協(xié)議，數(shù)據(jù)流采用 128 位以上加密方式傳輸，更加充分保障數(shù)據(jù)安全。PSL 技術實現(xiàn)了數(shù)據(jù)完全自我定義、自我解析、 自我審查，傳輸機制具有徹底不可攻擊性，從根本上杜絕了非法數(shù)據(jù)的通過，確保子系統(tǒng)控制系統(tǒng)不會受到攻擊、侵入及病毒感染。
產(chǎn)品介紹
工業(yè)隔離網(wǎng)關 pSafetyLink 系統(tǒng)采用“2+1”件架構：系統(tǒng)硬件平臺由內網(wǎng)主機系統(tǒng)、外網(wǎng)主機系統(tǒng)、隔離交換系統(tǒng)三部分組成。內網(wǎng)/外網(wǎng)主機系統(tǒng)分別具有獨立的運算單元和存儲單元，隔離交換系統(tǒng)要求基于 PSL 技術及相應的隔離加密電路，不受主機系統(tǒng)控制，獨立完成應用數(shù)據(jù)的封包、擺渡、拆包，從而實現(xiàn)內外網(wǎng)之間的數(shù)據(jù)隔離交換。保證數(shù)據(jù)交換延遲時間低于 1ms，從而滿足用戶對高性能安全隔離的需求。
圖4 工業(yè)隔離網(wǎng)關
網(wǎng)絡隔離技術與通用防火墻技術的區(qū)別和優(yōu)勢
防火墻一般在進行 IP 包轉發(fā)的同時，通過對 IP 包的處理，實現(xiàn)對 TCP 會話的控制，但是對應用數(shù)據(jù)的內容不進行檢查。這種工作方式無法防止泄密，也無法防止病毒和黑客程序的攻擊。工業(yè)隔離網(wǎng)關在網(wǎng)絡間進行安全隔離的同時進行信息交換，是在網(wǎng)絡之間不存在鏈路層連接的情況下進行的。工業(yè)隔離網(wǎng)關直 接處理網(wǎng)絡間的應用層數(shù)據(jù)，利用存儲轉發(fā)的方法進行應用數(shù)據(jù)的交換。
防火墻是在網(wǎng)絡層對數(shù)據(jù)包作安全檢查，并不切斷網(wǎng)絡連接，很多案例證明 無論包過濾還是代理防火墻都很難防止木馬病毒的入侵內部網(wǎng)絡，Nimda 繞過很多防火墻的檢查并在全世界肆虐就是一個很好的例證，通常見到的木馬大部分 是基于 TCP 的，木馬的客戶端和服務器端需要建立連接，而隔離網(wǎng)關從原理上切斷所有的 TCP 連接，包括 UDP、ICMP 等其他各種協(xié)議，使各種木馬無法通 過工業(yè)隔離網(wǎng)關進行通訊，從而可以防止未知和已知的木馬攻擊。
總結
工信部協(xié)【2011】451 號通知明確指出：“切實加強工業(yè)控制系統(tǒng)信息安全管理。”石化工業(yè)是國家的基礎性能源支柱產(chǎn)業(yè)，因此，本案必須不斷加強信息安全風險管理，通過提升基礎設施產(chǎn)品的安全防護能力，按照等級保護安全管理要求積極開展信息安全管理體系、信息安全技術體系以及信息安全運維體系的建設， 并通過教育培訓等手段，提升行業(yè)就業(yè)人員的技能，加強安全風險防范意識等方式，全面提升企業(yè)的信息安全水平，為企業(yè)石油石化業(yè)務生產(chǎn)的健康穩(wěn)定發(fā)展保駕護航。
轉載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標題：中石化工控系統(tǒng)安全應用案例
本文轉自：e-works制造業(yè)信息化門戶網(wǎng)
本文來源于互聯(lián)網(wǎng)，拓步ERP資訊網(wǎng)本著傳播知識、有益學習和研究的目的進行的轉載，為網(wǎng)友免費提供，并盡力標明作者與出處，如有著作權人或出版方提出異議，本站將立即刪除。如果您對文章轉載有任何疑問請告之我們，以便我們及時糾正。聯(lián)系方式：QQ：10877846 Tel：0755-26405298。
相關文章
