石油、天燃氣是一種重要的燃料和化工原料，已經被廣泛的應用于我國國民經濟的各個方面，被譽為“工業的血液”。同時，石油作為一種具有政治特性的特殊資源，一種現代戰爭不可或缺的重要戰略物資，成為國際競爭爭奪甚至引發戰爭的誘因。因此，保障石油石化行業的健康穩定發展對我國的政治、經濟的發展以及社會穩定均具有重要意義。
中石化西北油田分公司雅克拉采氣廠地處塔里木盆地北緣，這里曾是沙參二井取得重大油氣突破的地方。昔日黃沙漫漫、人跡罕至的雅克拉采氣廠，如今管理著雅克拉、大澇壩、輪臺、巴楚 4 個油氣田的 30 多口油氣井，擁有兩座現代化的天然氣集氣處理站。該廠天然氣年產量達到 9.6 億立方米，原油當前日產
1015 噸，已成長為中國石化西部天然氣開發的排頭兵。在實現“數字油田”、“數 字石化”、“數字石油”信息化方面也不甘人后，但隨著信息化與企業各個業務環節的深入融合企業面臨的安全隱患也日益凸顯。如何確保信息系統及內容在存取、處理和傳輸過程中保持機密性、完整性和可用性是當下急需解決的問題。
企業系統現狀分析
1. 基本網絡結構
下圖可見，企業網絡結構在地理位置上有三部分構成，分別為：雅克拉基地、 采氣一廠（大澇壩）采氣二廠（雅克拉），網絡拓撲由 Industrial network（工業 網控制網絡）和 EntERPrise Network(企業管理網絡)組成，其中，企業管理網絡三地通過核心路由互聯，一廠 HoneyWell DCS 系統組成的工業網絡及二廠 FoxBoro DCS 系統組成的工業控制網絡各自物理隔離，各自動化控制組件以及對實時數據進行采集、監測的過程控制組件，共同構成的確保工業基礎設施自動化運行、 過程控制與監控的業務流程管控系統。
圖1 網絡結構示意圖
2. 需求分析
雅克拉采氣廠是典型的資金和技術密集型企業，對信息系統依賴程度很高， 生產的連續性很強，裝置和設備的意外停產都會導致巨大的經濟和財產損失，生產過程控制采用先進的 DCS 控制系統，生產管理上也更注重安全和平穩運行。 通過加強生產管理，實現管理與生產過程控制的融合，通過優化調度、先進控制和優化控制等手段，在保證生產平穩的基礎上獲取更大的經濟效益，因此，企業信息化的重點是管控一體化。
要實現管理與控制的一體化，原始的企業工業控制網絡和企業管理網絡的物理隔離手段已無法滿足當前“兩化融合”的需求，為了提高企業信息化合綜合自動化水平，實現生產和管理的高效率、高效益，管理信息網絡與生產控制網絡之間必須實現數據交換，一廠和二廠的生產控制信息及監測數據（共計 2000 余點）必須實時地傳輸到基地中控室為管理者提供準確統一的生產數據；由上至下，通過對實時生產數據的展現總結，基地領導可以根據現階段生產狀況調整生產計 劃，下發產生調度指令，有效指導企業生產活動。
本次方案主要是針對雅克拉、大澇壩兩采氣場的現場數據通過力控華康工業隔離網關 pSafetyLink PSL-A1081 傳輸到雅克拉基地通過力控科技的 ForceCortol 6.1 Server 進行組態的解決辦法。
3. 安全風險分析
隨著信息技術的迅猛發展，信息化在企業中的應用取得了飛速發展，互聯網技術的出現，使得工業控制網絡中大量采用通用 TCP/IP 技術，ICS 網絡和企業管理網的聯系越來越緊密。另一方面，傳統工業控制系統采用專用的硬件、軟件和通信協議，設計基本沒有考慮互聯互通所必須考慮的通信安全問題。企業管理網與工業控制網的防護功能都很弱或者甚至幾乎沒有隔離功能，因此在工控系統開放的同時，也減弱了控制系統與外界的隔離，在當前“兩化整合”的應用需求下，工業控制網絡同企業管理網絡通必須進行數據交換，工控系統的安全隱患問題就愈發突顯也備受考驗。系統中任何一點受到攻擊都有可能導致整個系統的癱瘓，造成重在人員財產損失。典型工業控制系統入侵事件：
● 2007年，攻擊者入侵加拿大的一個水利 SCADA 控制系統，通過安裝惡意軟件破壞了用于取水調度的控制計算機；
● 2008年，攻擊者入侵波蘭某城市的地鐵系統，通過電視遙控器改變軌道扳道器，導致 4 節車廂脫軌；
● 2010年，“網絡超級武器”Stuxnet 病毒通過針對性的入侵 ICS 系統，嚴重威脅到伊朗布什爾核電站核反應堆的安全運營；
● 2011年，黑客通過入侵數據采集與監控系統 SCADA，使得美國伊利諾伊州城市供水系統的供水泵遭到破壞。
由上可見，在工業控制網絡與企業管理網絡之間如不進行安全有效的隔離，勢必對企事業的生命財產造成致命威脅，主要有以下方面：
通信協議漏洞
“兩化融合”和物聯網的發展使得 TCP/IP 協議和 OPC 協議等通用協議越來越廣泛地應用在工業控制網絡中，隨之而來的通信協議漏洞問題也日益突出。雅克拉采氣廠數據的采集傳輸均采用 OPC 協議，OPC Classic 協議(OPC DA， OPC HAD 和 OPC A&E) 基于微軟的 DCOM 協議，DCOM 協議是在網絡安全問題被廣泛認識之前設計的，極易受到攻擊，并且 OPC 通訊采用不固定的端口號，導致目前幾乎無法使用傳統的 IT 防火墻來確保其安全性。因此必須使用有效專用的工業隔離網關 pSafetyLink 確保使用 OPC 通訊協議的工業控制系統的安全性和可靠性。
操作系統漏洞
雅克拉采氣廠目前工業控制系統的工程師站 / 操作站 /HMI /Server 都是 Windows 平臺的，由于工業控制網絡與互聯網及企業網絡的隔離，同時為保證過程控制系統的相對獨立性，以及考慮到系統的穩定運行，現場工程師未對 Windows 平臺安裝任何補丁，但是存在的問題是，不安裝補丁系統就存在被攻擊的可能，從而埋下安全隱患。
安全策略和管理流程漏洞
追求可用性而犧牲安全，是很多工業控制系統存在的普遍現象，缺乏完整有效的安全策略與管理流程也給工業控制系統信息安全帶來了一定的威脅�，F場實 際操作在工業控制系統中移動存儲介質包括筆記本電腦、U 盤等設備的使用和不嚴格的訪問控制策略。
應用軟件漏洞
由于應用軟件多種多樣，很難形成統一的防護規范以應對安全問題；另外當應用軟件面向網絡應用時，就必須開放其應用端口。因此常規的 IT 防火墻等安全設備很難保障其安全性�；ヂ摼W攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞獲取諸如污水處理廠、天然氣管道以及其他大型設備的控制權，一旦這些控制權被不良意圖黑客所掌握，那么后果不堪設想。
以 Stuxnet 蠕蟲為例，其充分利用了伊朗布什爾核電站工控網絡中工業 PC 與控制系統存在的安全漏洞（LIK 文件處理漏洞、打印機漏洞、RPC 漏洞、WinCC 漏洞、S7 項目文件漏洞以及 Autorun.inf 漏洞），為攻擊者入侵提供了七條隱蔽 的通道。
圖2 應用軟件漏洞
控制網絡安全隱患分析
控制網絡的安全漏洞暴露了整個控制系統安全的脆弱性。由于網絡通信協議、操作系統、應用軟件、安全策略甚至硬件上存在的安全缺陷，從而使得攻擊者能夠在未授權的情況下訪問和操控控制網絡系統，形成了巨大的安全隱患�？刂凭W絡系統的安全性同樣符合“木桶原則”，其整體安全性不在于其最強處，而取決于系統最薄弱之處，即安全漏洞所決定。只要這個漏洞被發現，系統就有可能成為網絡攻擊的犧牲品。
安全漏洞對控制網絡的隱患體現在惡意攻擊行為對系統的威脅。隨著越來越 多的控制網絡系統通過信息網絡連接到互聯上，這種威脅就越來越大。目前互聯網上已有幾萬個黑客站點，黑客技術不斷創新，基本的攻擊手法已達上千種。這 些攻擊技術一旦被不法之徒掌握，將產生不良的后果。
項目目標
通過對網絡結構、網絡安全風險分析，針對不同區域間數據通信安全和整體 信息化建設要求，實施工業控制網絡安全建設，針對 DCS 網絡管理的關鍵區域實施可靠的邊界安全設備及策略，實現分層級的縱深安全防御策略，抵御各種已知的攻擊威脅。
本項目的安全目標是：
● 保護工業控制網絡系統的可用性 ；
● 防范網絡資源對工業控制網絡的非法訪問；
● 防范入侵者對工業控制網絡的惡意攻擊與破壞 ；
● 保護工業控制網絡和企業管理網絡之間數據傳輸的安全；
網絡安全方案設計原則
在進行網絡系統安全方案設計、規劃時，應遵循以下原則：
需求、風險、代價平衡分析的原則
對雅克拉采掘廠的網絡進行了實際的研究(包括任務、性能、結構、可靠性、 可維護性等)，并對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規范和措施，確定系統的安全策略。
綜合性、整體性原則
應運用系統工程的觀點、方法，分析網絡的安全及具體措施。安全措施主要 包括：行政法律手段、各種管理制度(人員審查、工作流程、維護保障制度等)以 及專業技術措施(訪問控制、加密技術、認證技術、攻擊檢測技術、容錯、防病 毒等)。一個較好的安全措施往往是多種方法適當綜合的應用結果。
計算機網絡的各個環節，包括個人(使用、維護、管理)、設備(含設施)、軟 件(含應用系統)、數據等，在網絡安全中的地位和影響作用，也只有從系統整體的角度去看待、分析，才可能得到有效、可行的措施。不同的安全措施其代價、 效果對不同網絡并不完全相同。計算機網絡安全應遵循整體安全性原則，根據確定的安全策略制定出合理的網絡體系結構及網絡安全體系結構。
一致性原則
一致性原則主要是指網絡安全問題應與整個網絡的工作周期(或生命周期) 同時存在，制定的安全體系結構必須與網絡的安全需求相一致。安全的網絡系統設計(包括初步或詳細設計)及實施計劃、網絡驗證、驗收、運行等，都要有安全 的內容及措施。
易操作性原則
安全措施需要人去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性；其次，措施的采用不能影響系統的正常運行。
適應性及靈活性原則
安全措施必須能隨著網絡性能及安全需求的變化而變化，要容易適應、容易修改和升級。
多重保護原則
任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護信息的安全。
解決方案
從雅克拉廠總體結構上看，系統網絡可分為二層次：企業管理層和控制層。 企業管理層主要從控制層提取有關生產數據用于制定綜合管理決策，從控制層獲取數據，完成各種控制、運行參數的監測、報警和趨勢分析等功能�？刂茖迂撠� 通過組態設汁，完成數據采集、A/D 轉換、數字濾波、溫度壓力補償、PID 控制等各種功能。系統的每一個安全漏洞都會導致不同的嚴重后果，所以將它們單獨隔離防護十分必要。
參照 ANSI/ISA-99 標準，同時結合雅克拉廠的具體情況將企業系統結構劃分成不同的區域可以幫助企業有效地建立“縱深防御”策略，如下圖：
圖3 “縱深防御”策略
在工業控制網絡同企業管理網絡之間采用力控華康工業隔離網關 pSafetyLin PSL-A1081 主要起到在工業控制網絡同企業管理網絡之間隔離作用，隔離網關采用物理隔離和安全通道隔離，將以太網進行物理級安全隔離，安全通道隔離即通過專用通信硬件和私有不可路由協議等安全機制來實現內外部網絡的隔離和數據交換，有效地把內外部網絡隔離開來，而且高效地實現了內外網數據的安全交換。
系統提供多種工業通信協議驅動接口可供選擇，同時可提供對國內外主流平臺軟件如：WINCC、ForceControl、Intouch、iFix、PI、eDNA、iHistorian、PHD 等產品的底層快速通信接口。
可行性評估
企業管理網絡和網絡控制網絡之間的安全防護
本案中無論是采氣一廠還是二廠都使用 OPC 通訊協議，由于 OPC 通訊采用不固定的端口號，使用傳統的 IT 防火墻進行防護時，不得不開放大規模范圍內的端口號。在這種情況下，防火墻提供的安全保障被降至最低。因此，在企業管理網絡和工業控制網絡之間應安裝專業工業隔離網關 pSafetyLink PSL-A1081，解決 OPC 通訊采用動態端口帶來的安全防護瓶頸問題，阻止病毒和任何其它的非法訪問，這樣來自防護區域內的病毒感染就不會擴散到相鄰的工控網絡及其他網絡，提升網絡區域劃分能力的同時從本質上保證了網絡通訊安全。
數據交換的同時進行有效的隔離
工業隔離網關 pSafetyLink 通過內部特殊的 2+1 的雙獨立主機架構，控制端接入工業控制網絡，通過采集接口完成各子系統數據的采集；信息接入到企業管理網絡，完成數據到調度中心的傳輸。雙主機之間通過專有的 PSL 網絡隔離傳輸技術，截斷 TCP 連接，徹底割斷穿透性的 TCP 連接。PSL 的物理層采用專用隔離硬件，鏈路層和應用層采用私有通信協議，數據流采用 128 位以上加密方式傳輸，更加充分保障數據安全。PSL 技術實現了數據完全自我定義、自我解析、 自我審查，傳輸機制具有徹底不可攻擊性，從根本上杜絕了非法數據的通過，確保子系統控制系統不會受到攻擊、侵入及病毒感染。
產品介紹
工業隔離網關 pSafetyLink 系統采用“2+1”件架構：系統硬件平臺由內網主機系統、外網主機系統、隔離交換系統三部分組成。內網/外網主機系統分別具有獨立的運算單元和存儲單元，隔離交換系統要求基于 PSL 技術及相應的隔離加密電路，不受主機系統控制，獨立完成應用數據的封包、擺渡、拆包，從而實現內外網之間的數據隔離交換。保證數據交換延遲時間低于 1ms，從而滿足用戶對高性能安全隔離的需求。
圖4 工業隔離網關
網絡隔離技術與通用防火墻技術的區別和優勢
防火墻一般在進行 IP 包轉發的同時，通過對 IP 包的處理，實現對 TCP 會話的控制，但是對應用數據的內容不進行檢查。這種工作方式無法防止泄密，也無法防止病毒和黑客程序的攻擊。工業隔離網關在網絡間進行安全隔離的同時進行信息交換，是在網絡之間不存在鏈路層連接的情況下進行的。工業隔離網關直 接處理網絡間的應用層數據，利用存儲轉發的方法進行應用數據的交換。
防火墻是在網絡層對數據包作安全檢查，并不切斷網絡連接，很多案例證明 無論包過濾還是代理防火墻都很難防止木馬病毒的入侵內部網絡，Nimda 繞過很多防火墻的檢查并在全世界肆虐就是一個很好的例證，通常見到的木馬大部分 是基于 TCP 的，木馬的客戶端和服務器端需要建立連接，而隔離網關從原理上切斷所有的 TCP 連接，包括 UDP、ICMP 等其他各種協議，使各種木馬無法通 過工業隔離網關進行通訊，從而可以防止未知和已知的木馬攻擊。
總結
工信部協【2011】451 號通知明確指出：“切實加強工業控制系統信息安全管理。”石化工業是國家的基礎性能源支柱產業，因此，本案必須不斷加強信息安全風險管理，通過提升基礎設施產品的安全防護能力，按照等級保護安全管理要求積極開展信息安全管理體系、信息安全技術體系以及信息安全運維體系的建設， 并通過教育培訓等手段，提升行業就業人員的技能，加強安全風險防范意識等方式，全面提升企業的信息安全水平，為企業石油石化業務生產的健康穩定發展保駕護航。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：中石化工控系統安全應用案例
相關文章
