现状分析
某炼油厂工控系统安全加固
石油化工企业是典型的资金和技术密集型企业,生产的连续性很强,装置和重要设备的意外停产都会导致巨大的经济损失,因此生产过程控制大多采用DCS 等先进的控制系统。
所属分类:
详细描述
石油化工企业是典型的资金和技术密集型企业,生产的连续性很强,装置和重要设备的意外停产都会导致巨大的经济损失,因此生产过程控制大多采用DCS 等先进的控制系统。石化企业信息化与其它行业相比有一个突出特点,就是以管控一体化为重点这是由石化行业自身的特点决定的,并具有一定的时代特点。
目前,某炼油厂工业控制环境系统包含厂区和分厂区。各厂的信息化建设已经有了较好的基础,企业在管理层的指挥、协调和监控能力,生产执行的实时性、完整性和一致性都有一定的基础,已经建立并实现了三层架构的管控一体化信息体系。
基于该厂当前的这种结构,控制网络采用基于TCP(UDP)/IP协议的以太网通信技术,使用OPC等开放接口组成数据采集网。当前的生产环境的先进性毋庸置疑但由此引发的各种安全漏洞与传统的封闭系统相比却大大增加了。工控系统存在的安全问题主要有:
1.不同业务系统之间未做边界隔离防护。
此数采网中各个系统与骨干传输网之间、数据传输网与数据中心机房之间未做未做到有效隔离。并且,由于传输距离大的问题,中继和接口转换的需求数据传输的干线上存在多个不同型号的交换机和光电转换设备;为了实现连接的便利,汇聚交换交叉连接,一旦网中的一个子系统或者主机感染病毒或木马,可能迅速感染整个工控网及数据中心机房,进而影响到整个网络的安全运行。
2.分区不合理。
工业系统中各个区域必须明确分工,紧密合作,如果安全分区不合理,虽然可能在生产控制流程上可以实现,但很可能因此出现一些非必要的连接存在,会导致病毒、木马等通过这些非必要连接进行跨区域、跨业务的传染,且难以进行故障定位和排查。
3.系统各个控制站之间的互相感染隐患。
DCS、PLC的工程师站兼OPC服务、操作员站、都在同一个网络中,一般与上层数采网无隔离防护,如果仅仅从管理角度,采取通过规章制度限制移动介质接入而减少外部感染,不在网络内部采取有效防护措施的话,控制系统内部控制站之间可能会相互感染,甚至导致系统停运。
4.工作站主机未做安全防护。
控制系统的操作站和OPC服务器采用了Windows 7或XP操作系统,工业计算机先天的环境限制,系统长期不更新导致大量漏洞存在,但相关人员并不掌握,也无严格的U盘管控,导致可能通过U盘传入病毒,存在较高的安全隐患。
方案简述
基于当前的实际情况,建议炼油厂工控网系统安全防护的方法如下:
1.在各系统边界、调控中心汇聚节点上设置有效的防护措施,实现边界隔离。
2.系统关键工控系统之间加装合理有效的安全防护措施,实现域间隔离。
另外,该厂工业系统要通过等级保护评审需求,那么按照等保标准要求现有的控制系统应具备的基本安全保护能力要求(具体设计目标)如下:
应具有能够对抗来自大型的、有组织的团体(如一个商业情报组织或犯罪组织等),拥有较为丰富资源(包括人员能力、计算能力等)的威胁源发起的恶意攻击、较为严重的自然灾难(灾难发生的强度较大、持续时间较长、覆盖范围较广(地区性)等)以及其它相当危害程度(内部人员的恶意威胁、设备的较严重故障等)威胁的能力,并在威胁发生后,能够较快恢复绝大部分功能。
炼油厂信息安全需求可以从管理层、物理层、网络层、系统层、应用层等方面加以强化。
1.在安全管理方面,要考虑政策、法规、制度、管理权限、级别划分、安全域划分、责任认定、安全培训等,制定切实有效的管理制度和运行维护机制,建设支撑安全管理的技术支撑体系;
2.在物理安全方面,要根据实际情况建立相应的安全防护机制;
3.在网络安全方面,要解决石化企业的安全域划分和逻辑隔离,实现纵深的防御体系;对各个安全域,要防范黑客入侵、身份冒充、非法访问;要解决信息在安全域间传输时的完整性、可用性、保密性问题;要解决移动接入用户身份鉴别和安全传输等问题;
4.在系统安全方面,要解决终端设备系统安全、数据库安全、病毒及恶意代码防范等问题:
5.从应用安全需求进行分析,要实现全网统一的身份鉴别和授权访问机制;要解决重要终端用户敏感信息和数据的完整性、可用性、保密性问题,数据的访问控制等问题。
案例价值
通过加强生产管理,可以实现管理与生产过程控制的融合,通过优化调度、先进控制和优化控制等手段,在保证生产平稳的基础上获取更大的经济效益。在不同安全区之间部署工业防火墙,有效的过滤来在现场层的威胁,同时也防御传输的中继线路上的入侵,最重要的是实现了各 DCS 系统间的域间隔离。
相关案例
在线留言
注:请正确填写以上信息,以便我们能第一时间将处理结果反馈给您!