BOB半岛:案例丨安全应用于民生助力城市智慧燃气工控安全防护

　　燃气广泛应用于居民生活、工商业、发电、交通运输、分布式能源等多个领域，是城市发展不可或缺的重要能源；燃气行业的蓬勃发展，相对应的基础设施增多，城市燃气企业建立对应的城市管理系统SCADA，实现对燃气管线、燃气输气站、燃气储备站的远程管理，集中控制、数据自动实时采集、事故报警、参数调整、气量调节等管理功能等，随着现代计算机技术和自动化技术在管道燃气行业的广泛应用，如何实现燃气系统工业信息安全，保障城市的燃气安全，防范涉及国计民生的重要数据泄漏，显得日趋重要。六方云结合多年行业经验和自身技术研究，面向燃气行业提出“分区分级、本体保护、智能分析、集中管控”的防护思想，创新性的采用“AI基因，威胁免疫”的技术理念，全面赋能燃气行业工控安全防护建设，为民生工程保驾护航。

　　工业控制系统在发展初期，由于相关软件、硬件、控制网络具有专一性，封闭性的特点，工业控制信息安全一度没有得到人们的重视。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统越来越多地兼容通用协议、固件和软件中间产品，并以各种方式与互联网等公共网络连接，病毒、木马、黑客对工业控制系统攻击逐渐增多，工业控制系统信息安全问题日益突出：

　　■ 办公内网与生产网（门站控制网、场站控制网、储备站控制、调度中心网络、）没有划分安全域，内网、互联网、生产网采用运营商专线混杂一张网中，极易造成病毒的广泛传播，对生产网络造成冲击；

　　■ 户用燃气表通过无线物联网过运营商的物联网平台上传至公司级数据处理平台，为账务结算、气量调配带来便利，与此同时也带来一定的风险，容易造成来自运营商物联网平台非法数据包的干扰和攻击，对数据处理平台造成安全风险。

　　■ 调度中心SCADA系统通讯一般采用Modbus TCP/IP协议和OPC协议实时采集天然气站场数据，远程控制阀门开关，并利用用光纤或运营商专线的通讯方式将数据传输至调度中心，通讯数据格式未加密，容易被、篡改以及伪造，攻击人员可以利用伪造的数据命令对天燃气站场设备进行错误操作，从而引发安全事故，甚至可以构造畸形数据包，导致PLC/RTU设备以及上位机设备崩溃。

　　■ 调度中心的SCADA系统的服务器和各个控制站级储备站的工控主机多采用基于Windos的操作系统，其操作系统存在已知漏洞和未知漏洞，并且无法通过升级打补丁的方式进行更新，极易为黑客攻击和病毒攻击造成可成之机；同时存在一些开放端口未关闭、USB端口管理不善和使用远程控制软件的情况，给病毒传播带来传播路径。

　　■ 生产工控网络内部可能存在的非法操作、误操作和恶意行为，缺乏审计手段，需要采取有效的安全审计措施，对风险事件追踪溯源。

　　在场站/阀室、储备站、门站边界、调度中心边界部署工业防火墙，采取有针对性的、适应工业环境的安全防护措施，通过隔离、过滤、访问控制等措施实现有效的边界防护，建立清晰的安全防护边界，实现有效隔离，使网络层次更加清晰，阻止网络攻击在不同区域间渗透，阻止蠕虫病毒网络间的传播感染；

　　场站/阀室、储备站、门站边界工业防火墙与调度中心的工业防火墙之间通过IPsecVPN功能建立加密隧道，对传输的SCADA数据进行加密防止数据被和篡改。

　　公司级数据处理平台与运营商的物联网平台之间部署工业防火墙，利用工业协议白名单对来自物联网平台的数据包进行过滤，只允许户用燃气表的数据包通过，其他数据包一律拒绝，从而最小限度的保障数据处理平台不被非法数据包冲击；这就要求工业防火墙需要具备对物联网协议深度解析的功能，以保障良好效果。

　　在各个站场的工控主机上安装工业主机卫士软件搭建基于工控系统主机的入侵防护机制，提升主机安全防护水平，有效防止病毒攻击、木马攻击、恶意程序阻止、未授权的应用程序和服务阻止，及时识别恶意病毒并告警。

　　在各个场站及调度中心交换机旁路部署工业审计与入侵检测系统，对网络通信流量进行有效监视和威胁检测，对协议连接信息、上载、下载、请求、读响应、写请求、写响应等操作的深度进行检测与审计，确保操作行为的合法性；对向内网发送的生产数据非法收集指令、恶意攻击行为等进行告警和审计，为网络安全管理人员提供线索依据和事件还原功能，对于违规操纵和网络攻击行为实时告警。

　　在公司级调度中心部署监管平台，实现对各个场站的工控安全设备和工业主机卫士软件的统一集中管理，提升设备运维效率，降低出错风险，实现安全风险从发现到预警、到处置的流程闭环，通过贴近用户场景的科技感大屏，帮助用户全方位地了解当前网络的资产分布和威胁态势。

　　通过完善纵深防御安全防护建设，切实提升了燃气管网的工业网络安全防护能力，实现了调度中心—场站，场站—场站的全面检测和防护，形成了体系化的纵深安全防护机制，满足安全业务的需求；

　　通过多种手段建设覆盖燃气运输管道工业控制系统全生命周期安全防护，提高燃气管道运输SCADA系统的整体网络安全性，实现了整体网络协同防护，保护核心数据，确保工控网络稳定、可靠、安全运行。

　　基于安全防护最小化、最优化原则，设计合理，成本低廉；满足等级保护2.0工业控制系统安全扩展要求，为能源关键基础设施保护保驾护航。

　　IT时代网(关注微信公众号ITtime2000，定时推送，互动有福利惊喜)所有原创文章版权所有，未经授权，转载必究。

　　创客100创投基金成立于2015年，直通硅谷，专注于TMT领域早期项目投资。LP均来自政府、互联网IT、传媒知名企业和个人。创客100创投基金对IT、通信、互联网、IP等有着自己独特眼光和丰富的资源。决策快、投资快是创客100基金最显著的特点。