智慧炼化：您的工控网络安全还好吗

颁布功夫 2020-09-01

媒介：

智慧炼化在提升出产效能的同时 ，也面对着严格的网络安全威胁与挑战。为了应对日趋严格的网络安全局势 ，实时洞悉工控系统和设备面对的安全风险 ，研判分析、精准预测整体安全情况 ，保险业务安全 ，本文从智慧炼化工控系统安全近况、网络结构以及业务流程特点进行具体分析 ，推出沙巴智慧炼化工控系统网络安全自动防御技术设计规划 ，为智慧炼化的工控网络安全建设保驾护航。


随着智慧炼化过程的发展 ，极大地提升了炼化企业的出产效能。同时也面对着严格的网络安全威胁与挑战 ，一旦遭逢攻击 ，将会影响国民经济发展和社会安谧。

智慧炼化工控系统网络安全近况分析


目前 ，智慧炼化工控系统大量选取国表厂商的设备 ，极端不足对国表设备内生安全性的深度相识 ，难以发现针对工控系统与设备的缝隙、恶意代码、内置后门等安全隐患 ，且沉要领域的工控系统已成为国内表敌对权势沉点攻击的指标 ，面对巨大的安全风险。


1) 病毒通过网络、USB口或服务商运维过程等方式报答侵入工控系统 ；

2) 敌对权势、犯法分子等通过远程批改节造战术及测控参数 ，恶意植入危险秩序 ，造成工艺装置发滋变乱及停产损失 ；

3) 工控出产网络犯法内表联及热点部署等 ，导致天堑安全无法节造 ；

4) 企业沉要信息被恶意窃取 ，影响企业经营及国度利益等。


而相对封关的工控网络环境与利用场景 ，又导致企业对网络隔离过度自负 ，以为风险很幼 ，并在智慧炼化“高实时、高可用、资源受限”特殊环境下也产生了各种误区。


1) 过度自负使用区域和天堑的层级防御 ，而忽视分歧防御产品的个性和安全配置的合理性 ；

2) 沉安全防护 ，轻安全监控 ，容易忽视绕过天堑防护设备的未知威胁 ；

3) 过度依赖选取网络隔离或者物理隔离的方式 ，而新大势下的网络攻击往往超过了物理连线 ；

4) 工控网络安全设计存在沉资产、轻运维的问题 ，导致大量在线设备存在过期配置 ，谬误配置或安全脆弱性配置。


沙巴智慧炼化工控系统安全解决规划


鉴于目前智慧炼化工控系统安全近况、网络结构特点及误区 ，沙巴凭据《工业节造系统信息安全防护指南》、《GB/T22239-2019》等规范 ，通过风险评估 ，在不滋扰过程节造业务的前提下 ，针对分歧性质的安全威胁 ，分档次、系统地在智慧炼化过程节造系统中部署高安全性的防护措施 ，确保智慧炼化过程节造系统的不变靠得住运杏注预防来自内表部网络攻击。


1.jpg

沙巴智慧炼化工控系统安全架构设计


? 优化网络结构与安全设计


通过优化网络结构和区域划分来梳理、节造企业治理系统和工控系统之间及工控系统内部各系统之间的接见关系 ，设置出产节造区（监控区和监测区）、出产执行区和办公区。通过网络与天堑的防护节造 ，加强各区域网络的接见治理与节造力度和节造系统内部的安全防护。


? 节造设施安全防护设计


智慧炼化的工控系统拥有实时关环节造的个性 ，采集、传输、节造等业务�？檠∪〉乩砘蚩占涞匚簧系姆稚膊宸绞� ，出产过程的实时性越高 ，其散布性越强 ，执行安全防护设计必须满足其可用性、靠得住性的要求。


1）主机安全防护：通过部署主机安全防护软件 ，加强主机恶意代码防备能力 ，优化安全配置 ，实现操作系统、预防监控软件缝隙被利用的情况产生。

2）节造设备防护：在监控区内上位机和节造器之间部署安全防护装置 ，在节造设备接入网络的接口处部署逻辑隔离装置 ，实现对报文异常的急剧处置。在节造区内部署防护平台 ，基于工控业务布景、攻击机遇和系统风险构建工控网络安全态势 ，监控工控网络内部的敏感操作行为。

3）移动介质安全防护：对于出产监控区和监测区主机上因治理和守护必要 ，通过专用USB防护设备实现对移动介质的纯硬件防护 ，预防在主机上装置软件而影响主机专业利用系统法式运行。


? 工控诱捕系统设计


犯法分子时时利用和谈未认证缝隙实现远程操作或信息截取 ，入侵智慧炼化的工控系统 ，由于工控诱捕系统的缝隙多于正常服务器 ，越发容易吸引犯法分子的交互 ，从而能够� ；ふ媸档墓た叵低�。


主题炼化系统由于工业出产业务相对固定 ，诱捕系统在正常网络流量下不会被接见操作 ，但当出现病毒、木马以及报答犯法等操作时 ，通过流量沉新定向技术 ，检测犯法流量中接见的指标类型 ，将对应犯法流量导入诱捕系统 ，模拟真实工控系统被入侵的真实反映 ，纪录入侵的接见时序和内容等并提供预警 ，以此� ；ぶ副晗低澈陀帕妓菰醋饔�。在网络流量、自动探测、安全日志等数据的基础上 ，结合工控诱捕数据 ，更能深刻分析工控网络安全态势 ，形玉成方位的监测能力。


? 异常监控与安全评估设计


针对由表部攻击、内部误操作甚至恶意操作行为引起的安全问题进行监控评估 ，钻研工控系统出产业务运行的信息物理特点 ，分析出产流程所蕴含的物料流、数据流和信息流的时空依赖关系 ，构建颗粒度适中的安全防御模型。

1）异常监测审计：在监测区和监控区内部署异常监测审计设备 ，通过合理设置检测规定 ，检测网络数据包的恶意代码或缝隙攻击的迹象 ，分析数据篡改、伪造指令、执行糊弄、获取超等权限等潜在威胁并进行安全审计。

2）威胁评估：在出产执行区和节造区内部署威胁评估设备 ，正确地鉴别工控网络中的各类工控系统、设备、软件以及其他运行中的服务器、数据库和网络设备 ，智能天生网络拓扑 ，结合专业的工控缝隙库、设备库、威胁特点库和全网威胁评分系统 ，周期性地发展威胁评估 ，进行具体的缝隙分析 ，清澈界说各类设备和整体网络的安全风险 ，输出评估可量化的汇报。

3）缝隙挖掘：基于已知缝隙检测和未知缝隙挖掘相结合的方式 ，对工控系统、设备（蕴含安全、网络设备）、工控软件的缝隙情况全面相识 ，实现为自动安全防御决策提供科学凭据。


? 工控业务流量安全基线设计


通过利用工控网络流量、网络线路流量与快率、网络资产设备流量与快率、网络和谈流量与快率等异常检测技术及机械自进建人为智能技术 ，对智慧炼化工控系统网络流量中的合法行为进前进建 ，形成白名单安全基线模型 ，实时发现隐匿在工控流量中的威胁 ，为过后追忆、定位提供有力的证据 ，援手守护人员急剧定位变乱点 ，缩短系统复原功夫。


? 工控安全运营平台设计


工控系统网络安全防护系统为各出产业务的不变运行提供了技术保险 ，让技术防护措施阐扬最大效用 ，更好地支持企业工业节造系统的统一安全监管 ，对安全防护设备实现统一治理与集成展示、安全治理的监督查抄与查核、工业节造系统的总体威胁感知与预警 ，建设集中运营管控的支持平台。安全运营支持平台蕴含安全设备统一管控、安全运维查核治理和工控系统威胁感知三大部门 ，做到技术与治理的有机结合 ，达到工控系统持续安全运行的指标。


客户收益


智慧炼化工控网络安全自动防御系统设计的最终指标是保险炼化企业具备不休提升工控安全管控的能力 ，以应对不休变动的内表部安全威胁。通过借鉴工控网络安全有关国际、国度尺度和专业的网络安全合作同伴的最佳实际理想和经验 ，结合智慧炼化工控系统对网络安全的特定需要 ，统一规划、部署、建设和运营 ，平衡安全性和业务发展的矛盾 ，真正地实现工控系统网络安全为业务的发展。


1) 全面提升智慧炼化工控系统网络安全防护治理的合规性 ，切合国度主管部门、行业监管部门的治理要求以及工控安全防护要求 ；

2) 全面提升智慧炼化工控网络的整体安全性 ，确保设备、系统、网络的靠得住性、不变性和安全性 ，为保险民生保驾护航 ；

3) 全面改进智慧炼化业务人员的安全水平和安全意识 ，提升安全治理水平、工作效能和治理效能。


作为信息安全行业的领军企业 ，沙巴从智慧炼化的工控网络特点、安全防护需要和合规合法三方面动手 ，以满足“可用性”技术理想为主题 ，以解决等保2.0高危风险为规划脉络 ，遵循“一个中心 ，三沉防护”的思想 ，成立了统一安全治理中心实现集中治理运维、安全态势感知 ，形成一套齐全、动态、持续的防护系统 ，为智慧炼化的工控网络安全建设保驾护航。