本文摘要：摘要針對中亞地區(qū)某天然氣管道的工業(yè)控制網絡安全性進行研究，分析該工業(yè)控制網絡架構、SCADA系統和各主要設備控制器的安全性，對該工控網絡采用的網絡拓撲結構優(yōu)缺點進行分析，重點關注該天然氣管道的工控網絡系統安全設備部署情況，通過網絡架構和安全設備
摘要針對中亞地區(qū)某天然氣管道的工業(yè)控制網絡安全性進行研究，分析該工業(yè)控制網絡架構、SCADA系統和各主要設備控制器的安全性，對該工控網絡采用的網絡拓撲結構優(yōu)缺點進行分析，重點關注該天然氣管道的工控網絡系統安全設備部署情況，通過網絡架構和安全設備部署情況分析出該工控網絡的安全問題。針對該工業(yè)控制系統網絡安全脆弱性，提出防護建議：搭建工業(yè)控制系統網絡統一安全管理平臺，升級工業(yè)控制系統安全防御體系，加強系統安全防御能力等。結果表明，穩(wěn)固工控網絡系統能夠有力保障生產，提高管道運行防護水平。
關鍵詞工業(yè)控制系統;網絡安全;天然氣管道
工業(yè)控制系統(IndustrialControlSystems，ICS)，主要是以高可靠性、高實時性為特點，隨著世界科技的進步，互聯網技術的發(fā)展，從“德國工業(yè)4.0”到“中國制造2025”生產工業(yè)制造計劃的提出，工業(yè)控制系統也迎來了大發(fā)展，但隨之而來的是工業(yè)控制網絡安全保護的嚴重滯后，運維人員對工業(yè)系統安全意識淡薄，同時相關知識技能的缺乏也是導致近些年國際上工控系統安全事件頻發(fā)的主要原因。從2015年開始工控系統安全作為黑帽大會的熱門 話題，工控系統安全事件逐年增長，2019年更是創(chuàng)下新高，工控系統安全問題不容忽視[1-2]。
1中亞某天然氣管道工控系統現狀
1.1系統構成
長輸天然氣管道工業(yè)控制系統多數基于SCA⁃DA(SupervisoryControlAndDataAcquisition)系統，即數據采集與監(jiān)視控制系統，是以計算機為基礎的DCS與電力自動化監(jiān)控系統，由此實現對管道全線設備參數的監(jiān)控。其包括：數據/報警信息采集、參數測量及調控、設備狀態(tài)控制等。其主要由調控中心、站場/閥室、現場儀表及通訊系統組成。其中，調控中心負責對全線系統進行監(jiān)控;站場及閥室負責現場數據采集及設備綜合控制;現場儀表負責檢測、測量站點的運行參數并實現設備控制;通訊系統通常分為有線及無線[3-4]。
1.2網絡架構
中亞天然氣管道是我國重要的能源進口通道，實現天然氣多元化進口，保障國內天然氣的穩(wěn)定供應，對于鞏固國家能源安全保障具有重要意義，同時有利于管道沿線國家經濟發(fā)展和政治穩(wěn)定。鑒于此，保障中亞天然氣管道的安全、可靠、高效運行是運行單位的重點。
目前該管道已運行十余年，在設計初期并未全面考慮工控系統安全問題，這也使得該工控系統急需更新升級，加快建設安全防護體系，保障天然氣管道的運行安全。該工業(yè)控制系統主要采用霍尼韋爾PKSSCA⁃DA系統，BB公司ControlwavePLC以及霍尼韋爾SMESD控制器。同時為實現上層數據應用，在調控中心設有一套霍尼韋爾PHD系統。各站站場采用C/S結構，設置有冗余的PKS服務器、操作員工作站、工程師站。
調控中心設置有兩臺冗余PKS服務器，和站場服務器之間構成DSA結構，共享數據，操作員工作站直接從站控服務器讀取數據。每站設置一臺PHDbuffer服務器，通過RDI接口從PKS服務器獲取數據，并上傳至調控中心PHD服務器。同時調控中心設置一套磁盤陣列，與各站場之間設有專用的存儲網絡，與各站服務器連接，各站服務器歷史歸檔數據可存儲到磁盤陣列。各站到調控中心采用主備光纜通信鏈路，備用衛(wèi)星通信，Safenet網絡設置專用主備光纜鏈路。各站主服務器與調控中心磁盤陣列之間通過存儲網絡連接[5-8]。
1.3安全性分析
該工控網絡在站場與控制中心采用的是星型冗余網絡，在各個站場之間采用的是線型冗余網絡。在星型拓撲結構中，網絡中的各節(jié)點通過點到點的方式連接到一個中央節(jié)點，星形網絡的特點是網絡結構簡單，便于維護管理，故障隔離和檢測容易，但是控制中心服務器的負荷較大，當其故障時將直接導致整個網絡癱瘓，而站點服務器故障不會影響整體正常工作。
同時其采用廣播信息的傳送方法，系統網絡中任意站點均可收達來自任意一個站點傳送的信息，進而決定了網絡隱患的存在，由于工況系統為內部局域網，可規(guī)避此項影響。線型冗余結構是基于單鏈路共享傳輸總線，系統中所有的服務器等設備通過電纜接口接入此共享鏈路，此種線型拓撲網絡便于分布，利于擴充，但網絡的響應時間會有所影響，并且故障診斷困難，任一個節(jié)點出現故障會導致整個網絡無法正常工作，故障隔離困難，對節(jié)點要求高，每個節(jié)點都要有訪問控制功能，為此主要應用于計算機設備數量較少的系統局域網絡中。
目前該天然氣管道的工控網絡系統安全設備部署現狀是，在站場控制設備與站場SCADA系統服務器邊界之間、在各個站場之間邊界之間、在站場與控制中心邊界之間均未部署網絡安全防護設備和入侵檢測設備，相應的側重于事后分析的網絡審計系統也未部署。但是在工控網絡與其他工作網絡部署了防火墻設備。由此可以看出在該工控網絡設計初期并未考慮過系統安全性。除了工控網絡架構的安全防護缺失外，根據實際檢測發(fā)現在用的工控軟件也有安全風險，需予以重視，如思科路由器、GECIMPLICITY軟件、霍尼韋爾PKS系統均存在軟件漏洞，該系統正在使用的是WindowsXP操作系統和Windows2003服務器，還需考慮后期工控軟件的升級和操作系統兼容性問題，以及系統在運行期間很難對系統打補丁。
基于對工控軟件與殺毒軟件的兼容性考慮，該工控系統有些計算機未安裝殺毒軟件，有些即使安裝了殺毒軟件也一直未作更新處理，這些都給病毒或惡意代碼傳播留下了空間。除了以上客觀存在的風險點外，還要考慮人的主觀因素，人員安全意識也需要加強，安全管理需要全面提升，如在該工控系統中的管理終端并沒有安裝有效的防護軟件和硬件來對外界的移動存儲設備進行有序安全管理，如軟盤、光盤、移動硬盤和U盤等。非安全管理監(jiān)護下使用移動存儲設備進行頻繁數據交換將直接加劇內部網絡的安全隱患。
在公司數字化轉型升級大背景下，管理的提升離不開現代網絡數字化技術，這也將引入新的風險源至工控網絡，目前采用的是物理隔離方式，工控系統與企業(yè)專業(yè)管理系統間的通信在物理上和邏輯上都是斷開的。但是隨著專業(yè)管理提升的需要，EAM系統(EnterpriseAssetsManagement)、PIS系統(PipelineIntegrityManagementSystem)的上線，屆時 將進行工況系統與專業(yè)管理系統的網絡集成及數據交互，這樣就使工控系統與管理信息網絡直接通信成為必需，這樣就導致工控系統不再是獨立的網絡環(huán)境，而是要與企業(yè)管理網絡通信，甚至與外部互聯網通信互聯，面臨的風險進一步加大。
2工控系統的防護設計
2.1標準依據
目前國家已經陸續(xù)出臺了一些工控網絡系統安全方面的指導標準，在進行工控網絡防護方面需要遵循相關標準，如《工業(yè)控制系統信息安全防護指南》、GB/T22239—2008《信息系統安全等級保護基本要求》、《關于加強工業(yè)控制系統信息安全管理的通知》、GB/T22239—2019《信息安全技術網絡安全等級保護基本要求》、《網絡安全等級保護2.0標準》、《工業(yè)控制系統信息安全事件應急管理工作指南》等[9-12]。
2.2防護架構
通過分析該天然氣管道工業(yè)控制系統的安全現狀，為適應現代工業(yè)控制系統的安全防護，需要對該系統軟硬件進行安全防護升級，并增加部署相應的防護設備，提高工控系統的安全等級。
1)該工控網絡防護以邊界防護為主，在工控網絡內部沒有防御縱深，邊界采用防火墻進行防護，需升級為工業(yè)網閘，將邏輯隔離改為物理隔離，提升防護能力。2)需要在調控中心與各個站場邊界部署工業(yè)防火墻進行邏輯隔離，做到網絡層級間的安全隔離和防護。各站場的控制設備與工作站之間也要部署防護設備，如各站場PLC/RTU等工控設備的網絡出口處部署工業(yè)防火墻，使重要工控設備達到單體設備級的安全防護等級，從而在整體上形成縱向分層、橫向分域的防護策略。
3)在工控網絡與企業(yè)管理系統之間數據交互的關鍵網絡節(jié)點需要部署入侵檢測系統，在站場內部的核心交換機處部署入侵檢測系統，實時發(fā)現針對SCADA、PLC等重要工控設備的攻擊和破壞行為，以及木馬病毒等惡意軟件的擴散傳播行為，及時有效保護系統不被破壞。4)在工控網絡與企業(yè)管理系統之間數據交互的關鍵網絡節(jié)點需要部署網絡審計系統，在站場內部的核心交換機處部署網絡審計系統，從而能夠為企業(yè)提供監(jiān)控、事中記錄、事后審計服務。5)對存在漏洞的軟硬件設備進行升級，更新補丁，減少漏洞利用的概率。
2.3安全管理平臺
針對管道工控系統弱點，加大加強防護覆蓋范圍，在調控中心搭建工控系統統一安全管理平臺，通過采集、分析部署在工控系統網絡節(jié)點中各安全防護設備產生的實時數據，做到對管道工控系統網絡進行安全分析、安全攻擊溯源、安全事件挖掘和危害消除，從而具有快速檢測威脅、分析和處置能力。統一安全管理平臺服務于工業(yè)控制系統，以保障整個系統設施的安全(如：以太網、各終端設備、各數據庫服務器、各操控應用系統等)，從系統安全出發(fā)對設備運行安全等各類IT資源進行實時監(jiān)控，對各類安全事件及時做出預警及響應，以保障工業(yè)控制系統的安全穩(wěn)定運行。
一般統一安全管理平臺應滿足如下功能需求：①實時監(jiān)控服務器、以太網設備的實時運行狀態(tài)及流量，如端口流量、CPU及內存等;②在線/離線管理各操作終端外設、進程及桌面;③監(jiān)控各層邊界數據交互;④監(jiān)控工控系統網絡操作行為;⑤監(jiān)控分析工控系統日志;⑥預警響應工控系統中各類異常事件;⑦劃分工控網絡與企業(yè)管理系統虛擬安全域。由于工業(yè)控制系統管理終端的安全防護技術措施十分薄弱，所以病毒、木馬、黑客等攻擊行為都會利用這些安全弱點，在終端上發(fā)生、發(fā)起，并通過網絡感染或破壞其他系統。工業(yè)控制系統終端最大特點是應用相對固定，終端主要安裝工業(yè)控制系統程序，所以，要防范傳統方式的病毒或木馬等惡意軟件，最直接的方式就是利用工業(yè)控制系統對終端應用程序進程進行管理。
工業(yè)控制系統安全管理平臺終端安全管理應滿足如下功能需求。1)終端準入控制功能，防止未達安全基線的便攜設備操作控制各終端。2)終端安全防護功能，可對工控系統終端進行安全防護、加固，以滿足安全基線要求。3)外設管理功能，對串口、網卡、USB接口及光驅等外設進行統一管理。4)工業(yè)控制系統應用程序監(jiān)控功能，對各系統軟件進行實時監(jiān)控及動態(tài)管理。5)工業(yè)通信協議監(jiān)控功能，降低協議漏洞利用概率。6)針對部分無法在線管理的終端，應具備離線管理控制功能。7)身份認證功能，工控系統各在線、離線終端都應有身份認證，防止被控制。
化工論文范例：石油化工劣質重油延遲焦化工藝分析
3結束語
結合中亞某天然氣管道工控系統安全現狀進行分析，對該工控網絡采用的星型冗余網絡和線型冗余網絡拓撲結構優(yōu)缺點進行描述，對該系統的安全脆弱性進行分析。構建相關防護架構體系，設置安全管理平臺，做到實時有效保護工控網絡，旨在提升該工控系統網絡安全，避免由于系統、軟件等的漏洞原因而導致整個網絡受到攻擊破壞，達到防御惡意攻擊、提升該工控系統安全性、運行穩(wěn)定性的目的，可為輸油氣管道的工業(yè)控制系統安防優(yōu)化提供借鑒。
參考文獻:
[1]劉蓮.工業(yè)控制系統網絡安全防護建設[J].當代化工研究,2019(16):125-126.
[2]陳純.工業(yè)控制系統信息安全評估的研究與設計[J].現代信息科技,2020,4(12):131-133.
[3]郭東,許明,張麗.燃氣行業(yè)SCADA系統安全防護研究[J].化工設計通訊,2020,46(8):154,168.
[4]林棋,婁晨,向奕帆,等.微粒群進階算法在天然氣管道優(yōu)化運行中的應用[J].石油工業(yè)技術監(jiān)督,2020,36(8):33-39.
[5]邸麗清,高洋,謝豐.國內外工業(yè)控制系統信息安全標準研究[J].信息安全研究,2016,2(5):435-441.
[6]梅恪.中國工控信息安全技術標準體系[J].自動化博覽,2014(11):52-55.
[7]尤冬青.油氣管道SCADA系統高可靠冗余網絡設計與實現[J].油氣儲運,2020,39(6):679-684.
作者：劉剛,林棋，邊學文
轉載請注明來自發(fā)表學術論文網：http://www.zpfmc.com/jjlw/27799.html
