隨著信息化的推動(dòng)和工業(yè)化進(jìn)程的加速，越來(lái)越多的計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)應(yīng)用于工業(yè)控制系統(tǒng)，在為工業(yè)生產(chǎn)帶來(lái)極大推動(dòng)作用的同時(shí)，也帶來(lái)了工控系統(tǒng)的安全問(wèn)題，如系統(tǒng)終端平臺(tái)安全防護(hù)弱點(diǎn)，系統(tǒng)配置和軟件安全漏洞、工控協(xié)議安全問(wèn)題、私有協(xié)議的安全問(wèn)題、以及隱藏的后門和未知漏洞、TCP/IP自身的安全問(wèn)題，用戶權(quán)限控制的接入，網(wǎng)絡(luò)安全邊界防護(hù)以及內(nèi)部非法人員，密鑰管理等等各種信息安全的風(fēng)險(xiǎn)和漏洞。

石油石化行業(yè)作為我國(guó)國(guó)民經(jīng)濟(jì)的支柱產(chǎn)業(yè)之一，承擔(dān)著保障國(guó)家能源安全的重要責(zé)任。石油石化行業(yè)產(chǎn)業(yè)鏈長(zhǎng)，涉及面廣，從業(yè)務(wù)上分為上、中、下游各個(gè)環(huán)節(jié)。在面對(duì)國(guó)際油價(jià)大幅波動(dòng)以及“雙碳目標(biāo)”造成的數(shù)字化轉(zhuǎn)型的大背景之下，企業(yè)工業(yè)設(shè)備投資也呈跨越式增長(zhǎng)，有關(guān)工業(yè)資產(chǎn)的信息隨之增多，分布廣、數(shù)量大、種類多是工業(yè)資產(chǎn)的特點(diǎn)。面對(duì)龐大的工業(yè)資產(chǎn)和相關(guān)信息，資產(chǎn)運(yùn)營(yíng)管理與安全問(wèn)題變得越來(lái)越復(fù)雜，如何高效完成工業(yè)資產(chǎn)的識(shí)別與管理以及接入管控，已成為各企業(yè)急需解決的問(wèn)題。

數(shù)量多、分布廣、種類復(fù)雜成油田工業(yè)網(wǎng)絡(luò)建設(shè)主要痛點(diǎn)

勝利油田始終將數(shù)字化、信息化建設(shè)作為助力企業(yè)提質(zhì)增效、轉(zhuǎn)型發(fā)展的關(guān)鍵性舉措。油氣工業(yè)網(wǎng)絡(luò)建設(shè)覆蓋率達(dá)到95%以上，配套大規(guī)模的自動(dòng)化儀表、采集控制終端等信息化設(shè)備，已形成一套龐大的工業(yè)控制網(wǎng)絡(luò)。經(jīng)過(guò)分析發(fā)現(xiàn)油田工業(yè)網(wǎng)絡(luò)接入層現(xiàn)狀有以下幾個(gè)特點(diǎn):

(1)工業(yè)資產(chǎn)種類多，品牌不一

勝利油田工業(yè)資產(chǎn)典型設(shè)備包括PLC(可編程邏輯控制器)、RTU(遠(yuǎn)程終端單元)、無(wú)線網(wǎng)橋、工業(yè)交換機(jī)、攝像頭、工業(yè)主機(jī)、視頻服務(wù)器等，且品牌不唯一。因每種資產(chǎn)的識(shí)別技術(shù)都有其獨(dú)特的要求和難點(diǎn)。若不清楚生產(chǎn)管理區(qū)范圍內(nèi)都部署了哪些資產(chǎn)，就難以規(guī)劃維護(hù)計(jì)劃和設(shè)計(jì)有效防護(hù)。一份包含資產(chǎn)類型、廠商、型號(hào)、系統(tǒng)、版本全面完整的資產(chǎn)清單，可以為油氣工業(yè)資產(chǎn)的運(yùn)維管理提供重要支撐。

(2)網(wǎng)絡(luò)接入點(diǎn)數(shù)量多，分布不集中

油田的生產(chǎn)規(guī)模和環(huán)境決定了油田工控系統(tǒng)的信息接入點(diǎn)數(shù)量龐大、分布廣泛，大多暴露在野外環(huán)境，隨著生產(chǎn)網(wǎng)絡(luò)體積越來(lái)越大，現(xiàn)場(chǎng)接入范圍越來(lái)越廣，這些來(lái)自生產(chǎn)網(wǎng)絡(luò)邊緣的安全隱患會(huì)帶來(lái)生產(chǎn)網(wǎng)絡(luò)非法接入的安全風(fēng)險(xiǎn)。

(3)工業(yè)資產(chǎn)難以實(shí)時(shí)監(jiān)控

勝利油氣工業(yè)資產(chǎn)構(gòu)成復(fù)雜、數(shù)量巨大，給資產(chǎn)管理帶來(lái)了巨大挑戰(zhàn)。在不具備自動(dòng)化資產(chǎn)探測(cè)發(fā)現(xiàn)工具支撐的情況下，現(xiàn)有資產(chǎn)的登記、管理主要依賴人工，資產(chǎn)臺(tái)賬統(tǒng)計(jì)工作需要花費(fèi)大量的人力物力。而通常各企業(yè)工業(yè)資產(chǎn)管理員多為兼職，在工控系統(tǒng)正常運(yùn)行的情況下管理人員并不會(huì)主動(dòng)關(guān)心資產(chǎn)屬性，資產(chǎn)出現(xiàn)異常時(shí)會(huì)直接進(jìn)行原件替換，經(jīng)年累月運(yùn)行后，原始資產(chǎn)明細(xì)丟失或未及時(shí)更新維護(hù)，實(shí)效性及準(zhǔn)確性難以得到保障。

(4)前端接入與非法仿冒風(fēng)險(xiǎn)

勝利油田分散的站點(diǎn)面臨著前端被入侵，控制挾持、敏感信息信息泄露風(fēng)險(xiǎn)，通過(guò)前端無(wú)線/有線接入點(diǎn)私自聯(lián)網(wǎng)，入侵生產(chǎn)專網(wǎng)風(fēng)險(xiǎn)，進(jìn)而造成設(shè)備被入侵，刪除或篡改關(guān)鍵配置信息等相關(guān)風(fēng)險(xiǎn)。同時(shí)，前端設(shè)備分布散，無(wú)人值守，數(shù)量眾多，網(wǎng)絡(luò)接口完全暴露，被仿冒接入和內(nèi)網(wǎng)探測(cè)攻擊成本非常低，部分暴露在外的網(wǎng)絡(luò)接口是完全開(kāi)放，無(wú)控制手段，很容易被不法分子利用終端網(wǎng)絡(luò)接口進(jìn)行仿冒接入，并對(duì)內(nèi)網(wǎng)探測(cè)或入侵，進(jìn)而控制核心業(yè)務(wù)系統(tǒng)，獲取敏感數(shù)據(jù)信息或發(fā)起物理攻擊。

工業(yè)網(wǎng)絡(luò)安全建設(shè)需整體性 奇安信助力油田設(shè)備安全水平提升

對(duì)此，奇安信安全專家表示：“在工業(yè)物聯(lián)網(wǎng)建設(shè)時(shí)，集成的終端往往種類繁多，并且可能來(lái)自于多家廠商，因此為了保障工業(yè)物聯(lián)網(wǎng)系統(tǒng)的安全，需要在統(tǒng)一安全標(biāo)準(zhǔn)和安全建設(shè)實(shí)施方面做更多努力。作為工業(yè)物聯(lián)網(wǎng)的底層，終端并非獨(dú)立存在，其安全威脅的也應(yīng)放到整個(gè)工業(yè)物聯(lián)網(wǎng)系統(tǒng)的安全框架中解決。”

具體實(shí)施策略配置需要兼顧網(wǎng)絡(luò)側(cè)、硬件側(cè)、操作系統(tǒng)和業(yè)務(wù)應(yīng)用等多個(gè)維度，側(cè)重DDoS攻擊、終端硬件的組件和配置被篡改、系統(tǒng)啟動(dòng)進(jìn)程被截獲或覆蓋、非法更改應(yīng)用程序或公共API等主要攻擊手段的防御。

為應(yīng)對(duì)工業(yè)互聯(lián)網(wǎng)終端等各類型IoT設(shè)備大量使用場(chǎng)景下，解決網(wǎng)內(nèi)IoT設(shè)備安全防護(hù)管理難題，在采油廠、管理區(qū)部署接入安全統(tǒng)一管理平臺(tái)，實(shí)現(xiàn)設(shè)備的安全合規(guī)檢查、狀態(tài)監(jiān)控、網(wǎng)絡(luò)雙向阻斷、訪問(wèn)控制、IP地址管理與使用監(jiān)控、統(tǒng)一接入控制、仿冒檢測(cè)和處置等安全管理功能。在采油廠下轄的站點(diǎn)部署接入安全防護(hù)系統(tǒng)，根據(jù)部署環(huán)境選擇機(jī)架式與導(dǎo)軌式混合部署方案。

奇安信網(wǎng)神工業(yè)互聯(lián)網(wǎng)邊緣可信防護(hù)系統(tǒng)支持常用接入控制技術(shù)，包括旁路流量分析和阻斷技術(shù)、策略路由方式引流的接入控制技術(shù)，物理橋接方式的接入控制，通過(guò)對(duì)網(wǎng)絡(luò)中的各類IP流量、工控流量進(jìn)行解析與控制，采集網(wǎng)內(nèi)各類設(shè)備的信息，評(píng)估其合規(guī)情況，對(duì)非法流量強(qiáng)制進(jìn)行網(wǎng)絡(luò)阻斷。

旁路部署模式下，通過(guò)交換機(jī)流量鏡像方式獲取流量數(shù)據(jù)。旁路部署不改動(dòng)客戶原有網(wǎng)絡(luò)拓?fù)?，不改變客戶原有使用?xí)慣，這種部署模式下，即使接入控制器宕機(jī)也不會(huì)對(duì)客戶網(wǎng)絡(luò)造成中斷。

控制器通常旁路部署于核心交換或匯聚交換處，通過(guò)鏡像流量對(duì)管控區(qū)塊內(nèi)設(shè)備通過(guò)邊界的行為進(jìn)行識(shí)別并合規(guī)管控。

技術(shù)原理圖

在奇安信網(wǎng)神工業(yè)互聯(lián)網(wǎng)邊緣可信防護(hù)系統(tǒng)的支撐下，本解決方案針對(duì)勝利油田大量IoT設(shè)備使用場(chǎng)景，解決了設(shè)備安全防護(hù)管理難的問(wèn)題，實(shí)現(xiàn)設(shè)備的發(fā)現(xiàn)和識(shí)別、接入感知、用戶識(shí)別、多類型設(shè)備統(tǒng)一準(zhǔn)入控制、仿冒檢測(cè)處置、安全合規(guī)檢查、狀態(tài)監(jiān)控、IP地址管理等功能。同時(shí)，實(shí)現(xiàn)了擴(kuò)大安全監(jiān)控的范圍、提升威脅發(fā)現(xiàn)及時(shí)性、提升安全管理效率、降低安全運(yùn)營(yíng)成本等建設(shè)效果。

應(yīng)用場(chǎng)景圖

目前，工業(yè)互聯(lián)網(wǎng)邊緣可信防護(hù)系統(tǒng)主要應(yīng)用于站點(diǎn)分散，有資產(chǎn)識(shí)別、身份認(rèn)證、合規(guī)檢查、風(fēng)險(xiǎn)感知、異常處置、接入控制等有需求的工業(yè)場(chǎng)景。奇安信工業(yè)安全接入防護(hù)解決方案已經(jīng)支撐了能源、電力、制造、交通、礦山等多個(gè)行業(yè)，能夠滿足資產(chǎn)識(shí)別、身份認(rèn)證、合規(guī)檢查、異常處置、接入控制等多種應(yīng)用場(chǎng)景的安全建設(shè)需求。