优秀案例-某油田作业区工控安全加固项目

优秀案例-…某油田作业区工控安全加固项目一、案例背景近年来，随着工业控制系统信息安全事件不断发生，不仅严重影响了工业生产的稳定运行，也充分反映了工控安全面临的严峻形势。2011年，国内某石化企业控制系统感染Conficker病毒，造成控制系统服务器与控制器通讯不同程度地中断。2012年，某国有大型油田公司下属某作业区在对其控制系统硬件固件版本升级过程中，由于操作不当，导致整个控制网络感染病毒。2016年，某国有大型油田管道公司下属某分压站的控制网络遭到DOS攻击，导致其控制器以太网通讯故障，造成压缩机停机。2017年，在全球范围内爆发的勒索病毒对国内石油石化行业的生产也产生了较大的影响，四大板块的生产网络均有不同程度的感染。从以上实际案例来看，工控安全威胁长期以来就已存在，但由于信息的曝光度不高，并没有引起广泛重视。随着两化融合的推进，工业控制系统面临的信息安全威胁就更加凸显。二、核心问题分析工业控制网络体量庞大作业区集中监控与管理的监测参数33000多点，日均报警信息近200条，已成为生产运行中不可或缺的组成部分，一旦系统因信息安全问题瘫痪，将直接影响整体生产运行。工业控制系统架构复杂作业区工控系统存在工控设备通信协议多、异构网络结构复杂等问题，信息安全保障难度大。3•工业控制网络安全防御等级低、无灾备能力现场工控网络防御等级低，工业主机安全防护措施不足，移动存储介质无法做到有效管控。

除上述安全风险外，根据《工业控制系统信息安全防护指南》的指导要求，在安全软件选择与管理、配置和补丁管理、边界安全防护、身份认证、远程安全访问、安全监测和应急预案演练等方面都存在不足。三、对策与措施结合现场安全需求及安全建设特点，北京威努特技术有限公司设计出一套贴合油田现场实际的安全建设方案：风险评估-＞方案设计-＞安全实施-＞安全运维。1.风险评估通过有重点、分主次对整个作业区生产业务板块工业控制系统进行风险评估,资料搜集数据分析形成评估报告弱点分析威肋分析已有控制措施分析可能性及影响分折工控贾产识别与赋伯漏洞扫描技术访谈弱点评怙报告风歸评拈根告安全加固方案资料搜集数据分析形成评估报告弱点分析威肋分析已有控制措施分析可能性及影响分折工控贾产识别与赋伯漏洞扫描技术访谈弱点评怙报告风歸评拈根告安全加固方案厂r评估效果跟踪厂r评估效果跟踪r方案3屋期评1古咖固网塔调整规划具他安全需求安全产品郡署k.1图1风险评估方案2.方案设计根据评估的结果，威努特采用以“白名单”为核心的工业控制系统安全“白环境”设计理念，对作业区工业控制系统采取“垂直分层、水平分区、边界控制、主机防护、内部审计”的建设方针。“垂直分层”即对工业控制系统垂直方向分为四层：现场仪表层、工业控制层、生产管理层、信息管理层。“水平分区”即对各控制系统进行分区分域，使整个工业控制系统在信息安全防护建设过程中做到纵向多层防御，横向从点到面。“边界控制”即对系统边界各操作站、工程师站及工业控制系统连接处要进行边界防护和准入控制等。“主机防护”即对工程师站、操作员站、OPC服务器等主机系统进行安全防护。“内部审计”即对操作人员的操作行为进行事前监控、事中记录、事后定位，最后将各层面的日志统一收集起来，进行综合分析，得出整个工业控制系统信息安全防护态势，帮助信息安全管理人员对单位内部的安全状况有个全面而细致的了解。设计方案具体内容包含：通过部署工业防火墙对作业区内的多个采油厂工控网络进行区域隔离，配置不同的访问控制策略，杜绝非法访问行为；在采油厂各工程师站、操作员站上部署工控主机卫士，通过白名单的方式，防止病毒对工业主机造成破坏；在核心交换机上旁路部署监测审计平台，对操作人员的行为进行审计和记录，便于事后追踪溯源；部署统一安全管理平台，对工业控制网络内部署的工业防火墙、监测审计平台和工控主机卫士进行统一的配置和管理，并对其日志信息进行统一收集、分析。

图2安全防护方案四、案例特色及应用价值建立了以“白名单”为核心的主动防御技术体系，实现了“分区分域、纵深防御、统一监控”的建设目标；结合运行、管理、技术三个方面，建立起可管理、可控制、可信任的工控安全运行管理体系；全面提升工控系统信息安全防御能力，实