案例背景
某燃?xì)馄髽I(yè)是中國(guó)最大的城市燃?xì)膺\(yùn)營(yíng)商之一，城市燃?xì)釹CADA系統(tǒng)通常采用標(biāo)準(zhǔn)數(shù)據(jù)通訊協(xié)議及通用操作系統(tǒng)、數(shù)據(jù)庫(kù)，這種設(shè)計(jì)在為工業(yè)控制系統(tǒng)帶來(lái)便利的同時(shí)也增加了風(fēng)險(xiǎn)因素，惡意攻擊、管理性操作失誤等都極易引發(fā)系統(tǒng)安全事故。本次項(xiàng)目在深入分析城市燃?xì)釹CADA系統(tǒng)的系統(tǒng)架構(gòu)、應(yīng)用特點(diǎn)、安全現(xiàn)狀、安全威脅和安全需求的基礎(chǔ)上，按照等保2.0及關(guān)鍵基礎(chǔ)設(shè)施保護(hù)條例相關(guān)要求，構(gòu)建自主可控、安全可靠的安全防護(hù)體系，提高城市燃?xì)馄髽I(yè)工業(yè)信息安全保障水平。
案例需求
（1）網(wǎng)絡(luò)區(qū)域邊界安全風(fēng)險(xiǎn)
互聯(lián)網(wǎng)與控制網(wǎng)邊界安全風(fēng)險(xiǎn)：對(duì)于互聯(lián)網(wǎng)與控制網(wǎng)的邊界，可能存在的安全風(fēng)險(xiǎn)包括：非法訪問(wèn)、非法入侵、惡意攻擊、病毒和蠕蟲(chóng)。
調(diào)度中心與子站的邊界安全風(fēng)險(xiǎn)：對(duì)于調(diào)度中心與子站的邊界，可能存在的安全風(fēng)險(xiǎn)包括：非法操作、非法入侵、非正常或錯(cuò)誤操作、病毒和蠕蟲(chóng)。
（2）通信網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
天然氣門(mén)站、儲(chǔ)輸配站、調(diào)壓計(jì)量站等站場(chǎng)數(shù)據(jù)通訊中，主要采用Modbus TCP/IP、OPC標(biāo)準(zhǔn)通訊協(xié)議，因是公開(kāi)協(xié)議，所以數(shù)據(jù)容易被竊聽(tīng)、篡改及偽造，造成安全事故。
（3）計(jì)算環(huán)境安全風(fēng)險(xiǎn)
各種移動(dòng)存儲(chǔ)介質(zhì)成為了病毒、木馬和惡意程序傳播的傳播途徑，外部的病毒及惡意程序往往可以通過(guò)移動(dòng)存儲(chǔ)介質(zhì)傳播進(jìn)入企業(yè)工控網(wǎng)絡(luò)系統(tǒng)中。
解決方案
本項(xiàng)目利用工控協(xié)議深度解析、工控系統(tǒng)脆弱性檢測(cè)、主機(jī)“白名單”等工控安全專用技術(shù)，從燃?xì)釹CADA系統(tǒng)的區(qū)域邊界、通信網(wǎng)絡(luò)、計(jì)算環(huán)境等角度設(shè)計(jì)安全防護(hù)體系，有效解決燃?xì)釹CADA系統(tǒng)中實(shí)際存在的安全威脅，提高工業(yè)控制系統(tǒng)等級(jí)保護(hù)符合性要求，將工業(yè)控制系統(tǒng)的安全狀況提升到一個(gè)較高的水平，并盡可能地消除或降低工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)。
“安全風(fēng)險(xiǎn)全面評(píng)估”
針對(duì)前述的城市燃?xì)釹CADA系統(tǒng)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，如互聯(lián)網(wǎng)攻擊者可能會(huì)利用SCADA系統(tǒng)網(wǎng)絡(luò)安全漏洞獲取天然氣站場(chǎng)數(shù)據(jù)和電動(dòng)閥門(mén)的控制權(quán)，一旦這些控制權(quán)被不良意圖黑客所掌握，那么對(duì)安全生產(chǎn)將產(chǎn)生不可估計(jì)的嚴(yán)重后果。本方案利用工控漏洞掃描系統(tǒng)對(duì)燃?xì)庀到y(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)評(píng)估，系統(tǒng)通過(guò)豐富的系統(tǒng)漏洞庫(kù)，不僅對(duì)城市燃?xì)釹CADA系統(tǒng)中使用的傳統(tǒng) IT設(shè)備/系統(tǒng)，比如操作系統(tǒng)、交換機(jī)、路由器、弱口令、FTP服務(wù)器、Web服務(wù)器等進(jìn)行漏洞風(fēng)險(xiǎn)評(píng)估，同時(shí)還支持對(duì)城市燃?xì)釹CADA系統(tǒng)中所特有的設(shè)備/系統(tǒng)，比如PLC、RTU等進(jìn)行已知漏洞的識(shí)別和檢測(cè)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評(píng)估工控網(wǎng)絡(luò)風(fēng)險(xiǎn)等級(jí)。
2.“分區(qū)分域安全可管”
城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)邊界包括調(diào)度中心服務(wù)器網(wǎng)絡(luò)出入口、各個(gè)燃?xì)鈭?chǎng)站PLC/RTU控制器網(wǎng)絡(luò)出入口。調(diào)度中心的防護(hù)對(duì)象主要為SCADA冗余服務(wù)器、工程師站及操作員站。為了保護(hù)該服務(wù)器免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞，在調(diào)度中心服務(wù)器的網(wǎng)絡(luò)前段部署工控防火墻，將所有流向服務(wù)器的數(shù)據(jù)進(jìn)行深度解析。針對(duì)各個(gè)燃?xì)庹緢?chǎng)PLC控制系統(tǒng)，其通訊協(xié)議為RSlinks OPC，為了保護(hù)該P(yáng)LC免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞。在PLC的網(wǎng)絡(luò)前段部署工控防火墻，將所有下發(fā)給PLC的數(shù)據(jù)進(jìn)行深度解析，工控防火墻支持對(duì)工業(yè)資產(chǎn)功能碼的識(shí)別，可以做到指令級(jí)甚至值域級(jí)的更精細(xì)粒度的管控。
3.“通信網(wǎng)絡(luò)安全可靠”
城市燃?xì)釹CADA系統(tǒng)數(shù)據(jù)通訊采用的Modbus TCP/IP或OPC通訊協(xié)議自身存在漏洞，通過(guò)部署工控安全審計(jì)系統(tǒng)，實(shí)現(xiàn)對(duì)Modbus TCP/IP或OPC數(shù)據(jù)包進(jìn)行深度解析。通過(guò)深度檢測(cè)利用數(shù)據(jù)包的分析功能，有效分類功能碼以及讀寫(xiě)地址，實(shí)時(shí)檢測(cè)針對(duì)PLC、DCS、上位機(jī)等重要的工控設(shè)備的網(wǎng)絡(luò)攻擊、用戶誤操作、用戶違規(guī)操作、非法設(shè)備接入以及蠕蟲(chóng)、病毒等惡意軟件的傳播行為，并實(shí)時(shí)報(bào)警，同時(shí)詳實(shí)記錄一切網(wǎng)絡(luò)通信行為，包括指令級(jí)的工業(yè)控制協(xié)議通信記錄，為城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)安全事故調(diào)查提供堅(jiān)實(shí)的基礎(chǔ)。
通過(guò)部署工控入侵檢測(cè)系統(tǒng)實(shí)現(xiàn)對(duì)城市燃?xì)釹CADA系統(tǒng)運(yùn)行狀況的監(jiān)視，發(fā)現(xiàn)并阻斷各種入侵攻擊、異常流量、非法操作或異常行為。通過(guò)深入分析網(wǎng)絡(luò)上捕獲的數(shù)據(jù)包，結(jié)合特征庫(kù)進(jìn)行相應(yīng)的行為匹配，實(shí)現(xiàn)入侵行為檢測(cè)。
4.“計(jì)算環(huán)境安全可信”
城市燃?xì)釹CADA系統(tǒng)使用大量的計(jì)算機(jī)及服務(wù)器，計(jì)算機(jī)操作系統(tǒng)一般采用Windows，上線后基本不會(huì)對(duì)操作系統(tǒng)進(jìn)行升級(jí)，而操作系統(tǒng)在使用期間不斷曝出漏洞，導(dǎo)致操作站和服務(wù)器暴露在風(fēng)險(xiǎn)中。在系統(tǒng)上線前沒(méi)有關(guān)閉掉多余的系統(tǒng)服務(wù)，以及系統(tǒng)的密碼策略等進(jìn)行安全加固等問(wèn)題。另外，運(yùn)維人員調(diào)試過(guò)程中可以對(duì)操作站和服務(wù)器安裝軟件。為了方便調(diào)試，會(huì)開(kāi)啟操作系統(tǒng)遠(yuǎn)程服務(wù)功能，上線后通常不會(huì)屏蔽這個(gè)功能，安全配置薄弱，容易遭受攻擊。
通過(guò)在各類服務(wù)器、操作員站上部署工控主機(jī)衛(wèi)士，工控主機(jī)衛(wèi)士能夠監(jiān)控工控主機(jī)的進(jìn)程狀態(tài)、本地訪問(wèn)控制狀態(tài)、USB端口狀態(tài)，以白名單的技術(shù)方式，全方位地保護(hù)主機(jī)的資源使用，以及監(jiān)控本地設(shè)備安全基線配置。根據(jù)白名單的配置，工控主機(jī)衛(wèi)士會(huì)禁止非法進(jìn)程的運(yùn)行，禁止非法網(wǎng)絡(luò)的訪問(wèn)連接，禁止非法USB設(shè)備的接入，從而切斷病毒和木馬的傳播與破壞路徑。
5.“管理中心集中管控”
通過(guò)在SCADA系統(tǒng)調(diào)度中心安全運(yùn)營(yíng)中心部署工業(yè)安全管理平臺(tái)，對(duì)網(wǎng)絡(luò)中部署的所有安全設(shè)備進(jìn)行統(tǒng)一監(jiān)控、日志采集、安全分析、策略下發(fā)，為工控網(wǎng)絡(luò)安全運(yùn)營(yíng)提供決策支持，加強(qiáng)安全事件響應(yīng)速度與安全運(yùn)維能力，提升工控網(wǎng)絡(luò)整體信息安全水平。
針對(duì)SCADA系統(tǒng)在出現(xiàn)故障進(jìn)行運(yùn)維時(shí)無(wú)法準(zhǔn)確獲取第三方運(yùn)維數(shù)據(jù)，不能及時(shí)了解第三方運(yùn)維人員是否存在誤操作和惡意操作。一旦發(fā)生事故，需要大量時(shí)間確定問(wèn)題，不能夠及時(shí)有效的解決問(wèn)題，也沒(méi)有手段追溯等問(wèn)題，在安全運(yùn)維區(qū)部署工控安全運(yùn)維管理系統(tǒng)，通過(guò)協(xié)議代理的方式，建立運(yùn)維人員、運(yùn)維資產(chǎn)、資產(chǎn)賬號(hào)的唯一身份認(rèn)證管理，配置集中訪問(wèn)控制和細(xì)粒度的命令級(jí)授權(quán)策略，實(shí)現(xiàn)集中有序的安全運(yùn)維管理，對(duì)運(yùn)維用戶的全程行為進(jìn)行審計(jì)與阻斷。
效益評(píng)估
1、滿足合規(guī)政策要求
在符合信息安全三級(jí)等級(jí)保護(hù)要求的前提下，有效解決燃?xì)饧瘓F(tuán)SCADA工業(yè)控制系統(tǒng)中實(shí)際存在的安全威脅，提高了工業(yè)控制系統(tǒng)等級(jí)保護(hù)符合性要求，將工業(yè)控制系統(tǒng)的安全狀況提升到一個(gè)較高的水平，并盡可能地消除或降低工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)。
2、避免安全事故造成的損失
通過(guò)采取有效的安全管理、邊界防護(hù)、網(wǎng)絡(luò)監(jiān)測(cè)、主機(jī)防護(hù)等手段，建立了涵蓋城市燃?xì)釹CADA系統(tǒng)區(qū)域邊界、計(jì)算環(huán)境、通信網(wǎng)絡(luò)的安全防護(hù)框架，形成體系化城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)安全解決方案，保障系統(tǒng)安全運(yùn)營(yíng)，避免網(wǎng)絡(luò)安全事故發(fā)生，有效降低網(wǎng)絡(luò)安全事件造成的損失。
