立思辰_油气管道行业_工控安全解决方案

北京立思辰计算机技术有限公司
目录
目录 (II)
1 行业分析 (1)
2 油气管道控制系统介绍 (3)
3 解决方案架构 (4)
4 方案优势 (6)
1行业分析背景
随着物联网、移动互联网、大数据技术的发展，油气管道行业“两化”融合将向系统高度集成、综合应用、自动控制等方面渗透，基于信息融合技术将渗透到生产、安全与经营各个层面，利用智能管理系统、现代企业管理理论，形成针对油气管道安全、生产、管理、营销等方面的决策支持系统，大数据和云平台将承担推升油气管道管理效能的作用，逐步实现软硬件资源的高可用性，最终使油气管道达到高度信息化、自动化、高安全、高可靠、高效率及高效益的目的。

当前，在油气管道行业自动化、信息化建设快速发展的背景下，工业控制网络安全发展速度需要跟上信息化建设速度，国外针对工控系统的网络攻击，如“震网”病毒、“火焰”病毒，乌克兰电网被攻击事件，以及国内一些工控系统网络安全事件引起了国家的高度关注。

油气管道行业的工控系统作为生产系统的核心，必须加强网络安全建设，着力提高工控系统网络安全应急处置能力，构建联防联控的工控系统网络安全体系，杜绝网络威胁攻击，实现油气管道行业工控系统的安全，进而实现油气管道生产的本质安全。

面对安全事件的频发，我国政府和有关部门给予高度重视，分别在法律法规、政策、工作要求等方面积极行动。

油气管道行业为了保证生产工控系统免受网络安全的影响，响应国家相关的法律法规和工业系统安全保护要求，建立工控安全防护，可以对整个生产网络工控安全的全面掌控。

现状分析
油气管道目前普遍存在安全隐患如下：
⚫缺乏整体工控网络安全规划。

⚫各站控系统与分控/调度中心之间缺少边界防护。

⚫主机操作系统很难进行升级，极易出现安全漏洞和缺陷；杀毒软件有可能会与组态软件形成冲突，为保障生产运行，通常不允许安装杀毒软件，这些都存在安全隐患，无法防御“0-DAY”
病毒和勒索病毒。

⚫生产现场PLC本身存在漏洞，近些年被曝出存在高危漏洞，攻击者可以利用漏洞控制现场设备，执行错误命令，严重影响安全生产。

⚫组态软件安全性无法保证：全部由第三方开发维护，安全性无法得到保证。

⚫部分主机未关闭远程桌面（3389）端口，存在被攻击者恶意利用的可能。

⚫部分系统主机及系统服务器自安装后未更新过系统补丁，存在操作系统漏洞被攻击者恶意利
用的可能。

⚫未对工控系统关键设备进行信息安全审计，未对工控系统帐户进行定期审计，且缺乏对违规操作、越权访问行为审计能力。

⚫没有第三方设备维护管理规定及操作行为审计，仅通过简单授权即可对关键工控设备进行操作。

⚫缺少工控网络安全方面的应急预案，在受到网络安全危害后没有应急处置手段。

⚫缺少对设备集成厂家的管理制度，没有相应对设备集成厂家移动设备接入的管理规定，给系统带来风险。

2油气管道控制系统介绍
油气管道路线长，所经区域地形和社会状况复杂，为保证输送的安全、可靠与平稳，长输油气管道自动化控制均采用以工业控制计算机为核心的监控与数据采集系统，即SCADA (supervisory control and data acquisition)系统。

在油气分控/调度中心(简称调控中心)使用SCADA系统对管道系统进行监控，在输油气分公司设置显示终端。

在管道首站、中间站及末站设置站控系统(SCS, station control system)；在监控阀室和末站的界面检测间，设置远程终端装置(RTU, remote terminal unit)。

调控中心SCADA系统通过SCS、RTU对该管道进行数据采集、数据处理及存储归档、控制、故障处理、安全保护、报警等，同时对输油泵运行优化、输油泵和给油泵故障诊断与分析等功能。

各个站场的SCS、RTU将对相应站场进行监控及联锁保护，并接受和执行调控中心下达的命令。

销售油库及石化炼厂的温度、压力、流量、储油罐液位及罐前阀门等运行参数分别传送给与其相连接的管道工艺站场SCS，并上传调控中心。

SCADA系统主要由调控室计算机网络管理控制系统、通信系统、远程控制单元(SCS或RTU)组成，采用中心控制、站场控制和就地控制的3级控制方式。

调度控制中心控制级。

主调控中心对全线进行远程监控，统一调度管理，实现油气管道批输计划、批量跟踪、顺序输送、泄漏检测、ESD及水击保护、输油泵运行优化、输油泵和给油泵故障诊断及分析等功能。

站场控制级。

在输油管线各个站场设置SCS，对站内工艺变量及设备运行状态进行数据采集、监控及联锁保护。

在监控阀室及界面检测间设置RTU，对阀室工艺变量及设备运行状态进行数据采集、监控及联锁保护。

就地控制级。

就地控制系统对工艺单体或设备进行手动就地控制。

正常情况下，各站场由调度控制中心对其进行远程控制、管理；当数据通信系统发生故障或主计算机系统发生故障时，二级控制获取控制权，对站内生产工艺过程进行全面监控，并按照预先设定的控制程序运行，确保输油安全及设备稳定运行；当进行设备检修或事故处理时，采用手动就地控制。

SCADA系统工艺站场、监控阀室采用光缆作为主用信道，卫星VSAT作为工艺站场备用信道，监控阀室通过光纤通信连接到上、下游站场交换机上，作为站场局域网一个节点设备，通过站场的通信路由上传主调控中心和管道调控室。

调控室设置全球定位系统(GPS, global position system)，以全球定位系统提供的时间为基准，调控室负责周期性地向PLC (programmable logic controller)、RTU发送时间基准点来保持整个系统的时间同步。

3解决方案架构
边界防护
调度中心在与站场控制系统、阀室等网络连接边界处部署工控防火墙，实现区域边界防护；在生产网络中部署准入控制系统，实现对生产控制系统中的终端和无线接入设备实现准入控制；在调度中心内部SCADA系统与中间数据库或管理信息系统之间部署隔离网闸，有效隔断网络间的直接连接，防止信息无限制交换；在中间数据库系统旁路部署入侵监测系统，智能检测TCP流量状态信息并进行控制。

监测审计
工业网络交换机旁路部署工控安全监测审计系统，通过镜像接口分析网络中的网络流量，及时发现网络流量或设备的异常情况并告警，通常不会主动阻断通信，产品自身的故障不会直接影响工业控制系统的正常运行。

日志审计
集中部署日志审计系统，能够实时、不间断地将政企客户中来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志/警报等信息汇集到审计中心，实现全网综合安全审计。

终端安全
在操作员站、工程师站等主机设备上部署工控终端防护系统，在主机上安装代理程序，进行统一管理与监控，策略下发，异常报警等。

实现对工业主机的进程白名单管理，对流量、移动存储介质使用进行管理，有效抵御未知病毒、木马、恶意程序、非法入侵等针对终端的攻击，实现安全防护。

安全运维
针对网络设备、服务器、工控设备部署安全运维审计系统，对各系统运维人员进行资源授权，权
限分配，有效防范第三方维护人员对非授权设备的操作，同时通过策略配置，可以对正在操作的违规流量进行有效阻断，对运维行为、对事后发生的问题能够准确定位。

安全管理
针对工业控制现场主机、服务器、网络设备、安全设备等工业资产，通过工控安全管理平台，对工控安全管理进行多维度的展示，为储气油库构建网络安全动态深度防御体系形成对安全威胁、风险隐患的动态持续管理。

4方案优势合规性
满足《网络安全法》框架下关键信息基础设施保护制度要求、网络安全等级保护制度要求、网络与信息安全信息通报制度要求。

技术与管理并重
安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。

可视化
实现工控网络资产的可视化管理，动态识别非法接入设备，直观展示工控网络安全威胁。

全面防护
从网络、终端、通信、数据、运维、管理等多个层面提供完整的安全防护与管理手段，实现工控网络全面的安全保护。

最小干扰
所有安全组件均采用非侵入式安全监测与防护工作方式，可确保将设备对工控网络的干扰降低到最低。

多工业协议支持
支持常见工控协议：S7、Modbus、OPC、IEC61850、IEC101/102/103/104、DLT645、BacNet、CDT、CIP、DNP3、MMS、ProfiNet、EIP等50多种工业协议的深度解析。

解析深度可以达到功能码、寄存器、读写属性、甚至读写数据的阈值，同时还支持私有协议的定制开发。