联系电话13911029639
联系电话中石油某石化工业控制系统信息安全隐患治理项目应用案例方案概述
一、 项目背景
石油行业作为制造业中的中坚力量，肩负着制造业产业升级的重任，经过多年的发展，目前已经具备了较高的生产自动化水平。但石油行业网络安全建设速度远远落后于信息化建设速度，石油行业所面临的的安全挑战日益突出。一是由于早期设计的工控设备、工控协议更多地是关注业务实现，而没有考虑安全风险，所以工控系统本身缺少安全机制，系统工作过程中没有身份鉴别、访问控制、数据加密、安全审计等常用的安全防护措施；二是工控设备和仪器仪表，大部分依赖国外厂商，产品受控于人，比如PLC设备，实际应用中有90%是国外品牌；三是随着产业数字化的深入，工控系统已经不再是一个物理上独立的系统，已经成为了互联网的一个节点，但生产企业从安全防护技术和人员储备上，与专业的网络攻击组织相比有较大的差距。
近年来，国外针对工控系统的网络攻击事件时有发生，如美国燃油燃气管线运营商信息系统被攻击事件、乌克兰电网被攻击事件，让国家对工控系统的安全高度重视，分别在法律法规和行业要求等方面付诸行动，2017年6月份出台了《中华人民共和国网络安全法》（以下简称《网络安全法》），2019年12月1日正式实施的网络安全等级保护制度2.0，更加注重全方位主动防御、动态防御、整体防控和精准防护，除了基本要求外，还增加了对使用了云计算、移动互联、物联网、工业控制和大数据等新技术的保护对象全覆盖，等保2.0标准的发布，对加强国家及全社会网络安全保障工作，提升网络安全保护能力具有重要意义。
二、 安全挑战
中国石油某石化公司经过40多年的建设发展，现已成为国内唯一全加工俄罗斯原油的炼化一体化企业和中国石油最大的以芳烃为特色的生产企业。某石化公司下属多个生产企业，每个企业都采用了自动化工艺流程，所以采用了HoneywellPHD系统集成生产过程数据及商业数据，为某石化管理部门提供所有下属企业的生产过程信息，并负责过程数据的历史归档，对外提供各种标准的数据访问接口，是企业生产经营所依赖的非常重要的工控系统。
HoneywellPHD为企业生产提升了效率，但同时让工控系统也面临严重的网络安全风险：
ü 由于PHD位于企业资源层，所有在企业资源层网络上连接的终端理论上都可以对DCS中的点远程控制，面临非授权访问的风险，一旦出现问题，难以界定责任；
ü BUFFER数采机可以对DCS中的所有点采集，如果频繁进行操作，会影响OPCSERVER性能，甚至导致服务器崩溃；
ü 全厂参与数据采集的OPC客户端采用同一用户名和口令，而且都是管理员权限，数据很容易被篡改和非授权获取
三、 解决方案
针对以上安全问题，在某石化所有生产企业产线上的BUFFER数采机和DCS之间部署工业网闸设备，实现生产管理层和过程监控层的物理隔离，保证了生产网中的设备只能由网闸去访问，杜绝了非授权访问的安全隐患。
四、 项目效果
ü 工业网闸支持多buffer机采集
ü 工业网闸支持针对每个OPCServer标签筛选、名称变换、数据类型变换
ü 工业网闸支持针对每个标签的安全限制
ü 工业网闸支持隐藏每个OPCServer的IP地址、用户名和口令，对外提供转换后的IP地址和账号，减小了攻击面。