智慧炼化:您的工控网络安全还好吗

发布时间 2020-09-01
前言:

智慧炼化在提升生产效率的同时,也面临着严峻的网络安全威胁与挑战。为了应对日趋严峻的网络安全形势,及时洞悉工控系统和设备面临的安全风险,研判分析、精准预测整体安全状况,保障业务安全,本文从智慧炼化工控系统安全现状、网络结构以及业务流程特点进行详细分析,推出启明星辰智慧炼化工控系统网络安全主动防御技术设计方案,为智慧炼化的工控网络安全建设保驾护航。


随着智慧炼化进程的发展,极大地提升了炼化企业的生产效率。同时也面临着严峻的网络安全威胁与挑战,一旦遭受攻击,将会影响国民经济发展和社会安定。

智慧炼化工控系统网络安全现状分析


目前,智慧炼化工控系统大量采用国外厂商的设备,极度缺乏对国外设备内生安全性的深度了解,难以发现针对工控系统与设备的漏洞、恶意代码、内置后门等安全隐患,且重要领域的工控系统已成为国内外敌对势力重点攻击的目标,面临巨大的安全风险。


1) 病毒通过网络、USB口或服务商运维过程等方式人为侵入工控系统;

2) 敌对势力、不法分子等通过远程修改控制策略及测控参数,恶意植入危险秩序,造成工艺装置发生事故及停产损失;

3) 工控生产网络非法内外联及热点部署等,导致边界安全无法控制;

4) 企业重要信息被恶意窃取,影响企业经营及国家利益等。


而相对封闭的工控网络环境与应用场景,又导致企业对网络隔离过度自信,认为风险很小,并在智慧炼化“高实时、高可用、资源受限”特殊环境下也产生了种种误区。


1) 过度自信使用区域和边界的层级防御,而忽视不同防御产品的特性和安全配置的合理性;

2) 重安全防护,轻安全监控,容易忽视绕过边界防护设备的未知威胁;

3) 过度依赖采用网络隔离或者物理隔离的方式,而新局势下的网络攻击往往超越了物理连线;

4) 工控网络安全设计存在重资产、轻运维的问题,导致大量在线设备存在过时配置,错误配置或安全脆弱性配置。


启明星辰智慧炼化工控系统安全解决方案


鉴于目前智慧炼化工控系统安全现状、网络结构特点及误区,启明星辰根据《工业控制系统信息安全防护指南》、《GB/T22239-2019》等规范,通过风险评估,在不干扰过程控制业务的前提下,针对不同性质的安全威胁,分层次、系统地在智慧炼化过程控制系统中部署高安全性的防护措施,确保智慧炼化过程控制系统的稳定可靠运行、防止来自内外部网络攻击。


1.jpg

启明星辰智慧炼化工控系统安全架构设计


▶ 优化网络结构与安全设计


通过优化网络结构和区域划分来梳理、控制企业管理系统和工控系统之间及工控系统内部各系统之间的访问关系,设置生产控制区(监控区和监测区)、生产执行区和办公区。通过网络与边界的防护控制,增强各区域网络的访问管理与控制力度和控制系统内部的安全防护。


▶ 控制设施安全防护设计


智慧炼化的工控系统具有实时闭环控制的特性,采集、传输、控制等业务模块采用地理或空间位置上的分散布置方式,生产过程的实时性越高,其分布性越强,实施安全防护设计必须满足其可用性、可靠性的要求。


1)主机安全防护:通过部署主机安全防护软件,加强主机恶意代码防范能力,优化安全配置,实现操作系统、避免监控软件漏洞被利用的情况发生。

2)控制设备防护:在监控区内上位机和控制器之间部署安全防护装置,在控制设备接入网络的接口处部署逻辑隔离装置,实现对报文异常的快速处理。在控制区内部署防护平台,基于工控业务背景、攻击时机和系统风险构建工控网络安全态势,监控工控网络内部的敏感操作行为。

3)移动介质安全防护:对于生产监控区和监测区主机上因管理和维护需要,通过专用USB防护设备实现对移动介质的纯硬件防护,避免在主机上安装软件而影响主机专业应用系统程序运行。


▶ 工控诱捕系统设计


不法分子常常利用协议未认证漏洞实现远程操作或信息截取,入侵智慧炼化的工控系统,由于工控诱捕系统的漏洞多于正常服务器,更加容易吸引不法分子的交互,从而可以保护真实的工控系统。


核心炼化系统由于工业生产业务相对固定,诱捕系统在正常网络流量下不会被访问操作,但当出现病毒、木马以及人为非法等操作时,通过流量重新定向技术,检测非法流量中访问的目标类型,将对应非法流量导入诱捕系统,模拟真实工控系统被入侵的真实反应,记录入侵的访问时序和内容等并提供预警,以此保护目标系统和良好溯源作用。在网络流量、主动探测、安全日志等数据的基础上,结合工控诱捕数据,更能深入分析工控网络安全态势,形成全方位的监测能力。


▶ 异常监控与安全评估设计


针对由外部攻击、内部误操作甚至恶意操作行为引起的安全问题进行监控评估,研究工控系统生产业务运行的信息物理特点,分析生产流程所包含的物料流、数据流和信息流的时空依赖关系,构建颗粒度适中的安全防御模型。

1)异常监测审计:在监测区和监控区内部署异常监测审计设备,通过合理设置检测规则,检测网络数据包的恶意代码或漏洞攻击的迹象,分析数据篡改、伪造指令、实施欺骗、获取超级权限等潜在威胁并进行安全审计。

2)威胁评估:在生产执行区和控制区内部署威胁评估设备,准确地识别工控网络中的各类工控系统、设备、软件以及其他运行中的服务器、数据库和网络设备,智能生成网络拓扑,结合专业的工控漏洞库、设备库、威胁特征库和全网威胁评分系统,周期性地开展威胁评估,进行详细的漏洞分析,清晰定义各类设备和整体网络的安全风险,输出评估可量化的报告。

3)漏洞挖掘:基于已知漏洞检测和未知漏洞挖掘相结合的方式,对工控系统、设备(包括安全、网络设备)、工控软件的漏洞情况全面了解,实现为主动安全防御决策提供科学依据。


▶ 工控业务流量安全基线设计


通过利用工控网络流量、网络线路流量与速率、网络资产设备流量与速率、网络协议流量与速率等异常检测技术及机器自学习人工智能技术,对智慧炼化工控系统网络流量中的合法行为进行学习,形成白名单安全基线模型,实时发现藏匿在工控流量中的威胁,为事后追溯、定位提供有力的证据,帮助维护人员快速定位事故点,缩短系统恢复时间。


▶ 工控安全运营平台设计


工控系统网络安全防护体系为各生产业务的稳定运行提供了技术保障,让技术防护措施发挥最大效用,更好地支撑企业工业控制系统的统一安全监管,对安全防护设备实现统一管理与集成展示、安全管理的监督检查与考核、工业控制系统的总体威胁感知与预警,建设集中运营管控的支撑平台。安全运营支撑平台包括安全设备统一管控、安全运维考核管理和工控系统威胁感知三大部分,做到技术与管理的有机结合,达到工控系统持续安全运行的目标。


客户收益


智慧炼化工控网络安全主动防御体系设计的最终目标是保障炼化企业具备不断提升工控安全管控的能力,以应对不断变化的内外部安全威胁。通过借鉴工控网络安全相关国际、国家标准和专业的网络安全合作伙伴的最佳实践理念和经验,结合智慧炼化工控系统对网络安全的特定需求,统一规划、部署、建设和运营,平衡安全性和业务发展的矛盾,真正地实现工控系统网络安全为业务的开展。


1) 全面提升智慧炼化工控系统网络安全防护管理的合规性,符合国家主管部门、行业监管部门的管理要求以及工控安全防护要求;

2) 全面提升智慧炼化工控网络的整体安全性,确保设备、系统、网络的可靠性、稳定性和安全性,为保障民生保驾护航;

3) 全面改进智慧炼化业务人员的安全水平和安全意识,提升安全管理水平、工作效率和管理效率。


作为信息安全行业的领军企业,启明星辰从智慧炼化的工控网络特点、安全防护需求和合规合法三方面入手,以满足“可用性”技术理念为核心,以解决等保2.0高危风险为方案脉络,遵循“一个中心,三重防护”的思想,建立了统一安全管理中心实现集中管理运维、安全态势感知,形成一套完整、动态、持续的防护体系,为智慧炼化的工控网络安全建设保驾护航。