隨著國家“兩化融合”的不斷深入箫驻，以往“封閉淤齐、受限”的工業(yè)控制系統(tǒng)現(xiàn)場網絡環(huán)境已經被打破，面臨日益嚴重的網絡攻擊和入侵威脅蒜撮，且由于病毒技術的不斷革新、獲取病毒與相關技術知識的門檻及成本不斷降低，該油田工業(yè)控制系統(tǒng)在面臨網絡安全風險的同時训癌，還正面臨由U盤、移動硬盤地毁、光盤等移動存儲介質使用導致的病毒入侵和危害風險娶匠。
在此背景下該油田信息技術公司組織開展了工控安全態(tài)勢感知平臺建設項目，為油田建立有效的工控安全監(jiān)測唠延、防護體系炭答，實時監(jiān)測工控安全威脅，整體把握油田下屬庫站安全風險情键，維護油田工控系統(tǒng)安全吵淌。
用戶痛點
(1)油田工控系統(tǒng)內工業(yè)主機、網絡設備钢墩、控制器工控系統(tǒng)資產管理統(tǒng)計薄弱被处，工控系統(tǒng)安全狀況監(jiān)測與聯(lián)動防護手段缺失;
(2)工控系統(tǒng)與工業(yè)協(xié)議缺乏身份認證和訪問控制，無法限制非法用戶遠程控制用押，存在嚴重的安全隱患;
(3)在多數(shù)生產單位中肢簿，與工業(yè)控制設備連接的工控主機(上位機、工程師站)由于無法安裝殺毒軟件蜻拨、U盤插入管控缺失等原因池充，致使工控主機感染大量病毒，容易導致工控主機功能失效缎讼，使工控網絡運行就像“騎在飛行的炸彈”上收夸，給工控網絡長期穩(wěn)定運行和油田生產安全帶來嚴重的安全隱患;
(4)油田內多個站庫缺乏統(tǒng)一安全監(jiān)測和管理措施，對于儲運銷售公司及下屬站庫內工業(yè)主機血崭、網絡卧惜、工業(yè)應用軟件等各類設備安全狀況及公司整體合規(guī)性狀況無法掌握;未對工控軟硬件狀態(tài)故障和信息安全事件進行實時監(jiān)控，導致設備故障或信息安全事件發(fā)生后可能影響該油田儲運銷售公司及下屬站庫業(yè)務夹纫。
建設難點
(1)行業(yè)危險系數(shù)高咽瓷，實施精度要求高设凹。該油田儲運銷售分公司及下屬多個站庫負責石油的存儲、運輸茅姜、轉儲等關鍵環(huán)節(jié)闪朱，均屬于高危生產環(huán)境。實施中涉及關鍵控制環(huán)節(jié)的工控機與PLC數(shù)據采集引妖，對實施精度要求極高冕泡，需確保采集各類設備安全信息時不影響設備穩(wěn)定運行。
(2)信息采集軟件和設備廠商型號龐雜腮哩。根據該油田儲運銷售公司及各下屬站庫實際情況额神，平臺數(shù)據采集需支持多廠商、多型號的工業(yè)主機腻酱、控制設備惑膀、工業(yè)網絡設備及不同廠商的安全設備，需支持對100余個廠商工控設備的軟硬件進行發(fā)現(xiàn)與識別烧歹。
(3)通訊協(xié)議種類較多贼么。其中工業(yè)協(xié)議需支持工業(yè)控制系統(tǒng)主流通訊協(xié)議(包括Modbus TCP、MMS霸拦、DNP3介她、OPC DA、OPC UA屏疗、Modbus RTU疾就、IEC 104、EthernetIP艺蝴、Siemens S7猬腰、CANBUS 協(xié)議)的識別和深度解析檢測，達到讀取至指令猜敢、功能碼姑荷、具體線圈/鍵位數(shù)值。
建設思路
按照該油田工控系統(tǒng)網絡現(xiàn)狀缩擂，本項目中工控安全態(tài)勢感知平臺建設分為三層管理架構鼠冕，如圖1所示，最下一層為被保護的工業(yè)控制及管理環(huán)境設備對象胯盯，包括從生產管理層懈费、MES層到控制層的各類設備，比如操作員站博脑、工程師站楞捂、RTU、PLC等趋厉。
圖1 工控安全態(tài)勢感知平臺三層管理架構圖
系統(tǒng)通過采集層對所有被保護對象進行集中的信息采集，包括收集網絡中所部屬的各類安全設備的事件及告警信息。同時陶簿，信息采集裝置可以在復雜網絡中分布式部署欣骏，并且對網絡性能影響極小甚至無影響。采集到的所有信息都會進行預處理航十，將其轉換為統(tǒng)一的內部格式耽晦，并提交給上層的核心功能處理層的相應組件進行處理和分析。
采集層之上是數(shù)據處理與展示層诊势，該層提供了系統(tǒng)的核心處理功能洲棍，主要包括了設備監(jiān)控、安全信息管理荔闭、工控威脅管理和統(tǒng)一接口四大功能組塊助碰。設備監(jiān)控功能組塊主要提供了被監(jiān)控對象的識別梳理和基礎信息支撐，安全信息管理組塊提供了工控網中安全事件信息毒沥、漏洞信息的綜合管理功能婚乌，工控威脅管理組塊綜合了設備鏈路的監(jiān)控以及各類安全信息的展現(xiàn)和分析功能，統(tǒng)一接口組塊主要綜合了企業(yè)集中監(jiān)控輸出的告警接口擒蝎、第三方防護產品信息采集接口及國家層面監(jiān)控系統(tǒng)的探針管理與信息交換接口等各種對外接口中姜。
建設效果
(1)實現(xiàn)對系統(tǒng)合規(guī)能力監(jiān)控：依據工信部頒布的《工業(yè)控制系統(tǒng)信息安全防護指南》，對該油田儲運銷售分公司各系統(tǒng)逐項予以安全評估跟伏，并最終給予評分丢胚。參考防護指南評估引擎，對來源于靜態(tài)防護指南日志以及動態(tài)評估的防護指南相關日志予以評估受扳。
圖2 儲運銷售分公司合規(guī)能力監(jiān)控&評估
(2)實現(xiàn)對系統(tǒng)內各類告警監(jiān)控統(tǒng)一管理：對該油田儲運銷售分公司整體告警進行監(jiān)控携龟，通過告警行為發(fā)現(xiàn)系統(tǒng)的異常。為免系統(tǒng)中重復告警數(shù)目過多辞色，對告警數(shù)據做了聚合骨宠，同時兼顧了時間要素，保持最新觸發(fā)的告警排序靠前相满。告警需進行確認后才會消失层亿。
圖3 資產安全狀態(tài)告警與監(jiān)控分析
(3)實現(xiàn)對系統(tǒng)內各類資產監(jiān)控：對該油田儲運銷售分公司內資產進行畫像，力圖對所管控資產的基礎屬性立美、運行信息匿又、日志信息、異常信息建立全面的知識庫建蹄。資產的歷史及當前信息狀態(tài)一目了然稿屏。
圖4 儲運銷售分公司資產畫像采集分類
(4)實現(xiàn)對網絡互聯(lián)行為監(jiān)控：實現(xiàn)該油田儲運銷售分公司不同系統(tǒng)間及系統(tǒng)內部不同資產間的互聯(lián)訪問關系進行監(jiān)控。資產互聯(lián)展示的為所監(jiān)控資產間的網絡互聯(lián)關系饿严，并且可根據統(tǒng)計信息決策為黑名單(禁止)訪問或白名單(允許)訪問;區(qū)域互聯(lián)展示的為所監(jiān)控邏輯區(qū)域間的網絡互聯(lián)關系滋冀，并且可根據統(tǒng)計信息決策為黑名單(禁止)訪問或白名單(允許)訪問丙藤。
圖5 儲運銷售分公司資產互聯(lián)狀態(tài)分析
(5)多元安全信息綜合分析：對該油田儲運銷售分公司內工控機、網絡設備凿食、控制設備窘螃、安全設備等各類設備日志進行審計，并通過日志查詢系統(tǒng)可以查詢到資產名馒俊、資產IP册向、資產類型、事件時間避揍、分類瘸卦、等級、摘要等日志信息蔓嚷。
圖6 監(jiān)控資產多元化信息分析與展示
(6)多維度工控系統(tǒng)綜合安全防護：通過在該油田儲運銷售分公司及下屬多個站庫內工控系統(tǒng)部署工業(yè)防火墻柳锣、工業(yè)網閘、主機安全軟件嫌松、安全審計沪曙、安全檢測等各類安全基礎設施，實現(xiàn)不同網絡區(qū)域及部分重要PLC的網絡隔離;對于系統(tǒng)內網絡行為異常萎羔、工業(yè)協(xié)議攻擊液走、工業(yè)控制關鍵事件的實時檢測與報警;對工業(yè)主機的主機移動存儲介質、工控主機運行加載的程序進行管控贾陷，保證工業(yè)主機安全缘眶。
案例亮點
工控安全態(tài)勢感知平臺從日常運維人員視角出發(fā)，以工控系統(tǒng)內資產為核心髓废，可協(xié)助運維人員對工控系統(tǒng)相關設備巷懈、軟件及組件進行預維護，提前防范安全隱患慌洪。
工控安全態(tài)勢感知平臺可從多種事件和具有上下文信息的安全日志中收集和分析安全事件顶燕。該平臺對提高該油田儲運銷售分公司管理效率和安全監(jiān)管力度具有重要的作用，可實現(xiàn)安全保障的關口前移冈爹，防患于未然涌攻。
工控安全態(tài)勢感知平臺數(shù)據采集范圍覆蓋油田儲運銷售全流程工業(yè)控制工藝，對石油生產的存儲枪蜕、運輸鹊尤、轉儲等多個特有工藝流程及流程內部鍋爐崗、計量崗农泊、輸油崗衣剂、化驗崗、消防崗多類崗位控制過程中數(shù)百臺設備進行全方位碰蚂、多維度安全監(jiān)測惊派，管理人員通過工控安全態(tài)勢感知平臺可掌握油田儲運銷售全流程工業(yè)信息安全狀態(tài)及合規(guī)狀況誓胆。
應用價值
項目建成后增強了該油田儲運銷售分公司及下屬多個站庫安全監(jiān)測、防護能力胃琴，有效提升了監(jiān)控水平和應急效率廊擦，在行業(yè)內形成了良好的示范效應，促進了工業(yè)信息安全市場在石油行業(yè)內的加速發(fā)展遥附。工控安全態(tài)勢感知平臺建設在采油、采氣题束、供水跋岳、儲運與管道等石油行業(yè)內多個領域推廣應用，在石油行業(yè)內形成了數(shù)億元的應用規(guī)模秸抚。
