2023典型行业工控安全案例解析

典型行业工控安全案例解析典型行业工控安全案例解析目录/CONTENTS01 02 03 04

石油石化行业典型案例解析市政燃气行业典型案例解析01工控系统常见安全问题及政策标准01安全现状 政策标准安全现状安全现状4机房建设不合规存在违规外联现象4机房建设不合规存在违规外联现象繁的境外IP访问；网络安全设备形同虚设，策略不正确甚至没有开启任何策略。5主机安全问题突出5主机安全问题突出存储介质非法使用等。66病毒肆虐长期以来，病毒问题是困扰工业控制系统主机的一个棘手问题，从大名鼎鼎的震网病毒到病毒肆虐长期以来，病毒问题是困扰工业控制系统主机的一个棘手问题，从大名鼎鼎的震网病毒到2015年岁末的BlackEnergy，从WannaCry到Satan，这些如鬼魅般游荡在工业控制系统网络中的杀手总是伺机而动77在众多用户现场发现，重要工业控制设备前端无任何安全防护设备，冒用、篡改等攻击行为在众多用户现场发现，重要工业控制设备前端无任何安全防护设备，冒用、篡改等攻击行为都将会直接作用于关键控制设备。现场控制设备无防护 现场控制设备无防护安全现状安全现状88BachmannMX213安全漏洞该PLC开启了、FTP、HTTP以及服务，这些服务均存在严重的安全漏洞。利用FTP漏洞登录后甚至能够获取该PLC内部的任意文件包括Vxworks的内核文件。研华-TPC-651HHMI安全漏洞该HMI开启了、RDP远程桌面服务（3389）、windows共享等服务，且部分服务存在严重的安全漏洞。通过利用这些漏洞可以成功的获取具有系统管理员权限的命令行权限甚至完全控制该设备。安全现状安全现状99安全管理失位，安全意识不强度不完善，责任不明确的现安全管理失位，安全意识不强度不完善，责任不明确的现象比较普遍；在桌面或者电脑机箱上。安全问题形成原因安全问题形成原因生产人员安全意识欠缺，认为网络处于隔离状态，即可保证绝对安全。不遵守已有规章制度，随意进行生产工作，如移动存储介质的未授权使用，无线设备的网络接入。现阶段，工业企业更关注生产工作的持续性和稳定性，出于生产方面的考虑，明知系统使用了已经存在安全漏洞的产品，为了不影响生产系统的运行，没有进行系统软、硬件的升级工作。

护机制。10安全意识匮乏系统设计风险124工业行业特点10安全意识匮乏系统设计风险124工业行业特点3防护手段不适应工控安全政策和标准工控安全政策和标准11111法律法规1法律法规《中华人民共和国网络安全法》2行业要求《电力监控系统安全防护总体方案》中国石化生[2017]292业控制系统安全防护的指导意见》2行业要求《电力监控系统安全防护总体方案》中国石化生[2017]292业控制系统安全防护的指导意见》3建设标准《信息安全技术网络安全等级保护基本要求》4指导文件《工业控制系统信息安全防护指南》《中华人民共和国网络安全法》《中华人民共和国网络安全法》第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估。第五十九条关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款;对直接负责的主管人员处一万元以上十万元以下罚款。12综合安全防护综合安全防护入侵检测5.3应用安全控制5.4安全审计专用安全产品的管理备份与容灾恶意代码防范设备选型及漏洞整改13《电力监控系统安全防护总体方案》安全分区网络专用横向隔离纵向认证综合防护（国能安全【2015】36号文件）安全分区网络专用横向隔离纵向认证综合防护2.5综合防护2.5综合防护综合防护是结合国家信息安全等级保护工作的相关要求对电力监控系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备份及容灾等多个层面进行信息安全防护的过程。1414《关于加强工业控制系统安全防护的指导意见》（中国石化生[2017]292号文）基本要求：安全防护：安全防护：安全软件选择及管理边界安全防护3物理和环境安全防护4身份认证安全监测与应急预案演练资产安全数据安全供应链安全管理《信息安全技术网络安全等级保护基本要求》第三级安全要求（技术）物理和环境安全

网络和通信安全

设备和计算安全 应用和数据安全物物防

防 温 无

恶 拨无 恶 控

数数数剩个防雷理理盗位访和防雷置问防击

水防湿电防和静度火防电控用

网通边访络信界问架传防控

入意安集侵代全中防码审管

身访安份问全鉴控审

入意资制侵代源设防码控备

身访安份问全鉴控审

软资件源容控

据保密选控破

潮 制应控

构输护制

范防计控控控

别制计

范防制安

别制计

错制性

性恢保保择制坏 制

范 制制 范 全

复护护15工业控制系统安全扩展要求15《工业控制系统信息安全防护指南》一、安全软件选择与管理二、配置和补丁管理三、边界安全防护四、物理和环境安全防护五、身份认证六、远程访问安全七、安全监测和应急预案演练八、资产安全16九、数据安全1602电力发电行业典型案例解析02行业特点分析 现场安全需求分析 安全建设方案 特色及应用价值行业特点分析行业特点分析18网络结构安全需求“安全分区、网络专用、横向隔离、纵向认证”;18网络结构安全需求“安全分区、网络专用、横向隔离、纵向认证”;结合等保的综合防护需求；监测工控网络整体安全状态，如日志、告警等；服务器主机加固和上位机防病毒问题；生产控制大区内部不同区域之间的隔离问题。业务系统DCS控制、控制为主，不同的发电形态控制系统有区别；管理区、控制区逻辑清晰，控制区相对隔离；性要求高。现场安全需求分析现场安全需求分析华能某水电

核心问题（36号文）该水电站是实施西部大开发战略的标志性工程和国家西电东送的重点工程，工程以发电为主，兼有防洪、灌溉、拦沙及航运等综合利用效益。电站装机容量该水电站是实施西部大开发战略的标志性工程和国家西电东送的重点工程，工程以发电为主，兼有防洪、灌溉、拦沙及航运等综合利用效益。电站装机容量420万kW年平均发电量190亿kW•h，是中国目前水电站单机容量最大的电站之一。1919安全建设方案安全建设方案在各机组与控制网络之间部署工业防火墙，通过对Modbus对漏洞的恶意攻击行为及违规操作；在环网交换机上旁路部署工控安全监测与审计系统，对控制网络中的网络流量进行实时监测，特别是异常指令下发、违规操作等行为，同时记录原始pcap文件，以便调查取证；系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象；在主控层的工程师站、操作员站和服务器上部署主机加固系统，对系统中安全相关的设置进行全面扫描及策略设置，对关键业务进程、程序予以保护，建立白名单库，将普通操作系统透明提升为安全操作系统，提高工业主机的安全性；过程的安全性；通过统一安全管理平台对所部署的安全设备进行统一的安全管理，包括策略下发、日志审计、报警展示等，简化运20维管理工作流程、提高运维管理工作效率。2021案例特色及应用价值案例特色及应用价值建立可信任网络“白环境”，打造“一个中心，三重防护”的防御体系，将“被动防护”转化为“主动防御”;控制系统安全防护总体方案》（36号文）要求；控制系统 通过工控协议的深度解析及指令级控制，避免关键控制设特色 备被攻击，防止造成重大生产事故、人员伤亡和不良社会价值 影响;提升了现有操作系统的安全等级，有效的防止来自内部的误操作和恶意操作;控网络安全管理效率;22驾护航。2203石油石化行业典型案例解析03行业特点分析 现场安全需求分析 安全建设方案 特色及应用价值行业特点分析行业特点分析24四区24四区办公网三区生产控制网二区现场控制网现场一区网络结构安全需求合规性需求：等保、防护指南、企业标准等；业控制网络安全防御等级低、无灾备能力；缺乏远程操作的安全管理及审计手段；现行工业控制系统设施陈旧，累积了大量控制设备及软件系统的漏洞，且升级困难。业务系统四大板块：采、输、炼、储；工艺繁多、控制系统多样化：DCS系统、系统、SCADA系统等。网络结构复杂，协议众多；采集板块场站多、地域分布广，远程维护需求强；管理与生产数据分离不足。现场安全需求分析现场安全需求分析中石油某油田作业区

核心问题25该油田作业区是一个专门从事油气田开发的二级单位，油区面积248.3km²,生产战线长达25该油田作业区是一个专门从事油气田开发的二级单位，油区面积248.3km²,生产战线长达128km。2014年，油田生产超稠油248.3万吨，成为全国最大的整装超稠油油田。油决采油厂工控网络信息安全问题安全评估方案安全评估方案2626安全建设方案安全建设方案以“白名单”为基础的工业控制系统安全“白环境”构建理念，对作业区工业控制系统采取“垂直分层、水平分区、边界控制、主机防护、内部审计”的设计方针；法行为；络造成破坏。配合使用适配于工控主机卫士软件的安全U盘实现数据的安全传输及信息防泄露；在核心交换机上旁路部署监测审计平台，对操作人员的行为进行审计和记录，便于事后追踪溯源；部署统一安全管理平台，对工业控制网络部署的工业防火墙、监测审计平台和工控主机卫士进行统一的配置和管理，并对其日志信息进行统一收集、分析和管理；27贯彻执行“业务无损、过程可控”的实施标准。272828案例特色及应用价值案例特色及应用价值2929建立了以主动安全防御为核心的技术体系，实现了“分区分域、纵深防御、统一监控”的建设目标；行管理体系；特色 全面提升工控系统信息安全防御能力，实现了访问控制、协议过滤、病毒防御、价值 主机加固、安全监控等功能，保障了生产业务的连续性；提高运维效率、降低运维成本、提升人员安全意识和安全运维技能；有效抵御0day漏洞攻击和APT威胁。最直接的防护效果最直接的防护效果肆虐全球的WannaCry，在工控主机卫士面前束手无策，“白名单”思想的安全防护体系，变被动防御为主动防护。3004市政燃气行业典型案例解析04行业特点分析 现场安全需求分析 安全建设方案 特色及应用价值行业特点分析行业特点分析集团公司级集团公司级（一级，只监不控）项目公司级（三级，既监又控）大区公司级（二级，只监不控）就地场站级（四级，既监又控）32层级多、接口多，数据交互繁杂，难定义安全边界；层级多、接口多，数据交互繁杂，难定义安全边界；场站形式多样化，不同站点业务形式不一致；GPRS/CDMA、卫星、光纤、专线等；监控场站较分散，尤其输配网管道，只能统一管理。业务系统网络结构安全需求安全需求合规性需求：等保、防护指南、企业标准等；办公网可连接公网，调度中心与办公网直连；采用MODBUSTCP，IEC104等协议通信，其协议自身安全设计不足；关键节点采用单个网络设备连接，容易形成单点故障；控制软件、服务器、上位机漏洞较多且难以打补丁。现场安全需求分析现场安全需求分析某燃气集团公司

核心问题生产中断等风险；某燃气集团股份有限公司是国有控股上市企业公司。服务范围覆盖20多个区县，服务客户402某燃气集团股份有限公司是国有控股上市企业公司。服务范围覆盖20多个区县，服务客户402万户。通过高度自动分散，物理位置跨度大，现有输气管网约1万多公里，储、输、配气站150余座，年供气量19亿立方米33，存在大量漏洞，同时USB等外部接口缺乏有效管理措施。33安全建设方案安全建设方案在调度中心和各场站之间部署工业防火墙，进行网络层级间的安全隔离和防护，提高门站、储配站、输配站等各站的安全防护能力；将每个场站作为一个安全域，在各场站PLC/RTU进行严格控制，以实现重要工控装置的单体设备级安全防护。安全防护；在调度中心部署统一安全管理平台，对工控网络中的安全产品进行集中管理、配置和维护，便于综合分析34、及时定位问题。3435主机杀毒及安全防护主机杀毒及安全防护36需升级库文件等优势。移动存储