立思辰_储气油库行业_工控安全解决方案

北京立思辰计算机技术有限公司
目录
目录 (II)
1 行业分析 (1)
2 储气油库控制系统介绍 (3)
3 解决方案架构 (4)
4 方案优势 (6)
1行业分析背景
随着物联网、移动互联网、大数据技术的发展，很多油气库罐区都在进行以摆脱传统监控方式、作业方法，建立便捷、先进、可靠的监控系统为目的的自动化改造。

在储气油库行业自动化、信息化建设快速发展的背景下，工业控制网络安全发展速度需要跟上信
息化建设速度，国外针对工控系统的网络攻击，如“震网”病毒、“火焰”病毒、乌克兰电网被攻
击事件，以及国内一些工控系统网络安全事件引起了国家的高度关注。

储气油库行业的工控系统
作为生产系统的核心，必须加强网络安全建设，着力提高工控系统网络安全应急处置能力，构建
联防联控的工控系统网络安全体系，杜绝网络威胁攻击，实现储气油库行业工控系统的安全，进
而实现储气油库生产的本质安全。

面对安全事件的频发，我国政府和有关部门给予高度重视，分别在法律法规、政策、工作要求等
方面积极行动。

储气油库行业为了保证生产工控系统免受网络安全的影响，响应国家相关的法律法规和工业系统
安全保护要求，建立工控安全防护，可以对整个生产网络工控安全的全面掌控。

现状分析
储气油库目前普遍存在安全隐患如下：
⚫缺乏整体工控网络安全规划。

⚫主机操作系统很难进行升级，极易出现安全漏洞和缺陷；杀毒软件有可能会与组态软件形成冲突，为保障生产运行，通常不允许安装杀毒软件，这些都存在安全隐患，无法防御“0-DAY”
病毒和勒索病毒。

⚫生产现场PLC本身存在漏洞，近些年被曝出存在高危漏洞，攻击者可以利用漏洞控制现场设备，执行错误命令，严重影响安全生产。

⚫组态软件安全性无法保证：全部由第三方开发维护，安全性无法得到保证。

⚫部分主机未关闭远程桌面（3389）端口，存在被攻击者恶意利用的可能。

⚫部分系统主机及系统服务器自安装后均未更新过系统补丁，存在操作系统漏洞被攻击者恶意利用的可能。

⚫未对工控系统关键设备进行信息安全审计，未对工控系统帐户进行定期审计，且缺乏对违规操作、越权访问行为审计能力。

⚫视频监控系统没有进行有效的安全接入管理，存在非法接入的情况发生和漏洞被利用的风险。

⚫没有第三方设备维护管理规定及操作行为审计，仅通过简单授权即可对关键工控设备进行操作。

⚫缺少工控网络安全方面的应急预案，在受到网络安全危害后没有应急处置手段。

⚫缺少对设备集成厂家的管理制度，没有相应对设备集成厂家移动设备接入的管理规定，给系统带来风险。

2储气油库控制系统介绍
油气库控制系统主要包括罐储计量监控、泵房与工艺流程监控、自动收发、安防综合监控、生产业务管理与全库综合监控等内容。

储气油库的工艺要求较高，安全风险较高，因此对于控制系统的安全防护也需要较高的防护能力。

罐储自动测量感知系统
系统通过前端液位计，采集储罐中所储油品或天然气介质的各项相关数据，准确反映某阶段内工艺参数值以及变化趋势，及时发布报警信息，为管理网络提供实时的监控数据。

该系统主要完成对罐区液位、温度的数据采集，并将液位、温度的实时数据和超限报警信息，通过集成网关、组态管理计算机和网络系统，上传到上层信息管理系统。

其他经过授权的用户可在终端进行相关操作。

通过本系统，可使各层管理人员能实时监控作业情况。

泵房工艺流程监控
状态监控：用于公路进出、管线输送、火车进出和倒罐等作业监控，系统提供丰富的动画展示方式，对象尺寸变化、位移、填充、变色、闪烁、显隐等，直观显示作业进度、流动方向、泵阀状态等信息。

作业调度：根据作业调度指令，启动相应的作业内容。

提供作业方案专家指导，自动选择作业路径，并执行操作。

根据模式设置，可实现所有收、发、转、存的自动化操作。

阀组监控：实现对每个阀门的实时状态的监控。

收发自动感知系统
⚫控制泵自动启停，并且与防抽空静电保护器联锁，当罐车内无料或罐车静电接地不良时自动停止或禁止启动泵。

⚫控制泵自动启停，并且与管道压力变送器联锁，当管道压力达到工艺设定值时才可以启动泵，或当管线压力低于设定值时自动停止泵，防止泵空转造成设备损坏。

⚫泵前后管道压力自动检测。

⚫根据工艺自动控制管道阀门开关。

⚫自动控制泵前后电动阀门开关，系统根据工艺过程自动选择正确的阀门，并根据工艺过程可以实现阀门的给定比例开关，自动实现作业排气功能。

⚫自动控制罐前电动阀门开关，并且与管道压力联锁，当管道压力低时自动关闭罐前电动阀，防止管道中倒流。

3解决方案架构
边界防护
在控制系统的边界处部署工控防火墙，实现区域边界防护；在视频监控网络中部署准入控制系统，实现对网内的视频监控终端和无线接入设备实现准入控制；在储气油库内部实施控制系统与办公信息系统之间部署隔离网闸，有效隔断网络间的直接连接，防止信息无限制交换。

监测审计
工业网络交换机旁路部署工控安全监测审计系统，通过镜像接口分析网络中的网络流量，及时发现网络流量或设备的异常情况并告警，通常不会主动阻断通信，产品自身的故障不会直接影响工业控制系统的正常运行。

日志审计
集中部署日志审计系统，能够实时、不间断地将政企客户中来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志/警报等信息汇集到审计中心，实现全网综合安全审计。

日志审计系统为用户提供了统一的控制台界面进行实时、动态的可视化呈现，消除了管理员在多个控制台之间来回切换的烦恼。

终端安全
在操作员站、工程师站等主机设备上部署工控终端防护系统，在主机上安装代理程序，进行统一管理与监控，策略下发，异常报警等。

实现对工业主机的进程白名单管理，对流量、移动存储介质使用进行管理，有效抵御未知病毒、木马、恶意程序、非法入侵等针对终端的攻击，实现安全防护。

安全运维
针对网络设备、服务器、工控设备部署安全运维审计系统，对各系统运维人员进行资源授权，权限分配，有效防范第三方维护人员对非授权设备的操作，同时通过策略配置，可以对正在操作的违规流量进行有效阻断，对运维行为、对事后发生的问题能够准确定位。

安全管理
针对工业控制现场主机、服务器、网络设备、安全设备等工业资产，通过工控安全管理平台，对工控安全管理进行多维度的展示，为储气油库构建网络安全动态深度防御体系形成对安全威胁、风险隐患的动态持续管理。

4方案优势合规性
满足《网络安全法》框架下关键信息基础设施保护制度要求、网络安全等级保护制度要求、网络与信息安全信息通报制度要求。

技术与管理并重
安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。

可视化
实现工控网络资产的可视化管理，动态识别非法接入设备，直观展示工控网络安全威胁。

全面防护
从网络、终端、通信、数据、运维、管理等多个层面提供完整的安全防护与管理手段，实现工控网络全面的安全保护。

最小干扰
所有安全组件均采用非侵入式安全监测与防护工作方式，可确保将设备对工控网络的干扰降低到最低。

多工业协议支持
支持常见工控协议：S7、Modbus、OPC、IEC61850、IEC101/102/103/104、DLT645、BacNet、CDT、CIP、DNP3、MMS、ProfiNet、EIP等50多种工业协议的深度解析。

解析深度可以达到功能码、寄存器、读写属性、甚至读写数据的阈值，同时还支持私有协议的定制开发。