石油石化行业解决方案

背景与现状

 

 

我国石油石化行业的发展从1995年至今已进行了国家的一系列改革和重组，如今发展为以“三桶油”为主的国有大型油气企业及部分大型国有化工企业并行发展的局面。油化行业涵盖石油和天然气勘探开发、石油炼化与成品油销售、石化产品生产与销售三大主要业务板块。石油石化行业的发展离不开勘探开发、炼化等技术革新的发展，而数字化和信息化的发展也推动了勘探、开采、运输、炼化、销售等产业链各个环节的技术创新和能效提升，随着工业4.0和工业互联网时代的到来，石油石化企业则更加注重工业环境的网络安全问题，将工业环境的网络安全规划与办公信息网的信息安全规划同步建设。针对油气生产企业，随着“智慧油田”的逐步发展推进，实现采油作业的管控一体目标，采油采气行业工控系统已经越发开放，不再是过去的“孤岛系统”，通过互联网互通性提高石油行业管控业务效率，但同时“智慧油田”也面临比以往更多的网络威胁。

 

 

石油石化行业工控背景

 

 

工业控制系统已广泛应用于国内重大的基础设施中，在我国石油和化工行业中，主要工业控制系统包括集散控制系统（DCS）、安全仪表系统（SIS）、压缩机控制系统（CCS）、可燃气报警系统（GDS）、各种可编程逻辑器件（PLC），在工厂运行中发挥着巨大的作用。与传统的基于TCP/IC 协议的网络与信息系统的安全相比，我国工控系统的安全保护水平明显偏低，长期以来没有得到关注。

 

大多数工控系统在开发时，由于传统工控系统技术的计算资源有限，在设计时只考虑到效率和实时等特性，并未将安全作为一个主要的指标考虑。随着信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时，也带来了工控系统的安全问题，如系统终端平台安全防护弱点，系统配置和软件安全漏洞、工控协议安全问题、私有协议的安全问题、以及隐藏的后门和未知漏洞、TCP/IP自身的安全问题，用户权限控制的接入，网络安全边界防护以及内部非法人员，密钥管理等等各种信息安全的风险和漏洞。

 

一旦敌对政府、恐怖组织、商业间谍、内部不法人员、外部非法入侵者利用系统上的漏洞或管理上的疏漏侵入工厂控制系统，都有可能造成系统停车、机密信息泄露甚至系统的运行被恶意控制等问题。石油和化工是关乎国计民生的特殊行业，每一次事件，都代表着广大人民群众的生活、生产受到巨大影响，经济遭受重大损失甚至倒退。所以石油石化行业控制系统的网络安全问题，关系到国家经济命脉、人民生活水平、以及社会繁荣发展。

 

 

工控系统安全现状

 

 

近十年来，随着信息技术的迅猛发展，信息化在我们企业中的应用取得了飞速发展，互联网技术的出现，使得工业控制网络中大量采用通用TCP/IP 技术，ICS 网络和企业管理网的联系越来越紧密。另一方面，传统工业控制系统采用专用的硬件、软件和通信协议，设计上基本没有考虑互联互通所必须考虑的通信安全问题。企业管理网与工业控制网的防护功能都很弱或者甚至几乎没有隔离功能，因此在工厂控制系统开放的同时，也减弱了系统与外界的隔离，工厂控制系统的安全隐患问题日益严峻。系统中任何一点受到攻击都有可能导致整个系统的瘫痪。

 

 

工控协议自身漏洞

 

 

随着石油石化行业的“两化融合”（石油企业信息网与工业控制网络）和工业和互联网的发展使得TCP/IP 协议和OPC 协议等通用协议越来越广泛地应用在工业控制网络中，随之而来的通信协议漏洞问题也日益突出。

 

例如，石油工控OPC Classic 协议(OPC DA, OPC HAD 和OPC A&E) 基于微软的DCOM 协议，DCOM协议是在网络安全问题被广泛认识之前设计的，极易受到攻击，并且OPC 通讯采用不固定的端口号，导致目前几乎无法使用传统的IT 防火墙来确保其安全性。因此确保使用OPC通讯协议的工业控制系统的安全性和可靠性给工程师带来了极大的挑战。

 

 

工控主机操作系统漏洞

 

 

目前石油石化行业的生产环境中，大多数工业控制系统的工程师站/操作站的操作系统都是Windows平台的，为保证过程控制系统的相对独立性，同时考虑到系统的稳定运行，通常现场工程师在系统运行使用后不会对Windows 平台安装任何补丁，但是存在的问题是，不安装补丁系统就存在被攻击的可能，从而埋下安全隐患。

 

 

工业主机病毒防护漏洞

 

 

为了保证石油石化行业工控应用软件的可用性，许多控制系统操作站通常不会安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，原因在于使用杀毒软件很关键的一点是，其病毒库需要不定期的经常更新，这一要求尤其不适合于工业控制环境。而且杀毒软件对新病毒的处理总是滞后的，导致每年都会爆发大规模的病毒攻击，特别是新病毒。

 

 

工控应用软件漏洞

 

 

由于石油石化行业的工控应用软件多种多样，很难形成统一的防护规范以应对安全问题；另外当应用软件面向网络应用时，就必须开放其应用端口。因此常规的IT 防火墙等安全设备很难保障其安全性。攻击者很有可能会利用一些大型工程自动化软件的安全漏洞获取诸如污水处理厂、天然气管道以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想。

 

 

工业安全策略漏洞

 

 

在国内很多石油石化企业，用户追求系统的可用性而忽略工控安全，是很多工业控制系统存在的普遍现象，缺乏完整有效的安全策略与管理流程也给工业控制系统信息安全带来了一定的威胁。例如工业控制系统中移动存储介质包括笔记本电脑、U盘等设备的使用和不严格的访问控制策略。

 

 

工控环境介质管理漏洞

 

 

在国内和国外众多的工控网络安全事件中可以看到，大部分的安全事件都来源于企业对于多个介质接口疏于安全防护和控制，例如USB方式、维修、运维、笔记本接入等，因此对工业系统的介质安全管控存在漏洞。

 

 

工控安全管理和规划漏洞

 

 

石油石化企业的工业系统随着这些年的发展，自动化程度较高，业务运行连续性高，在众多将保生产、促效益为目标的石油化工企业中，对于工控环境的网络安全问题缺乏有效管理，安全需求往往来源于合规性要求，缺乏针对企业工业环境有效的工控安全思考和规划。

 

 

需求分析

 

合规性需求分析

 

 

目前，石油石化工控系统安全问题已上升到国家安全战略高度，国家网络安全法、公安部信息安全等级保护制度等均对工控系统安全提出了强制性要求，石油石化企业作为国有特大型能源企业，必须建立起相应的工控系统安全管理手段、技术支撑以及运营体系来满足国家针对工控系统等关键信息基础设施信息安全相关合规性要求。

 

网络安全法

 

 

第三十一条“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”

 

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

 

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

 

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

 

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并留存网络日志不少于六个月；

 

（四）采取数据分类、重要数据备份和加密等措施；

 

（五）法律、行政法规规定的其他义务。

 

 

等级保护

 

 

GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》自2019年12月1日正式实施，该版本是对GB/T 22239-2008的内容进行调整与修订完善，针对共性安全保护需求提出了安全通用要求，针对云计算、移动互联、物联网、工业控制和大数据等新技术、新应用领域的个性安全保护需求提出了安全扩展要求。

 

对标网络安全等级保护基本要求中的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等要求，集团公司工控系统安全在管理、技术和控制方面都存在一定的差距。为了满足合规性要求，需要开展工控系统的安全防护、管理制度及标准规范的建设工作。

 

工信部、国资委、公安部先后对集团公司工控系统进行安全检查，特别针对工控系统安全管理方面进行了摸底调查，另外，通过集团公司信息安全检查发现各板块生产企业在工控系统安全管理方面亟需进行完善与加强。石油工控系统作为国家重要基础设施，是国家安全战略的重要组成部分，必须遵守国家工控系统安全管理要求。同时，从集团公司企业发展战略角度考虑，需要保护企业生产业务核心利益，建立起整体工控系统安全体系。

培训解决方案