隨著信息化的推動和工業(yè)化進程的加速，越來越多的計算機和網(wǎng)絡技術應用于工業(yè)控制系統(tǒng)，在為工業(yè)生產(chǎn)帶來極大推動作用的同時，也帶來了工控系統(tǒng)的安全問題，如系統(tǒng)終端平臺安全防護弱點，系統(tǒng)配置和軟件安全漏洞、工控協(xié)議安全問題、私有協(xié)議的安全問題、以及隱藏的后門和未知漏洞、TCP/IP自身的安全問題，用戶權限控制的接入，網(wǎng)絡安全邊界防護以及內(nèi)部非法人員，密鑰管理等等各種信息安全的風險和漏洞。
石油石化行業(yè)作為我國國民經(jīng)濟的支柱產(chǎn)業(yè)之一，承擔著保障國家能源安全的重要責任。石油石化行業(yè)產(chǎn)業(yè)鏈長，涉及面廣，從業(yè)務上分為上、中、下游各個環(huán)節(jié)。在面對國際油價大幅波動以及“雙碳目標”造成的數(shù)字化轉型的大背景之下，企業(yè)工業(yè)設備投資也呈跨越式增長，有關工業(yè)資產(chǎn)的信息隨之增多，分布廣、數(shù)量大、種類多是工業(yè)資產(chǎn)的特點。面對龐大的工業(yè)資產(chǎn)和相關信息，資產(chǎn)運營管理與安全問題變得越來越復雜，如何高效完成工業(yè)資產(chǎn)的識別與管理以及接入管控，已成為各企業(yè)急需解決的問題。
數(shù)量多、分布廣、種類復雜成油田工業(yè)網(wǎng)絡建設主要痛點
勝利油田始終將數(shù)字化、信息化建設作為助力企業(yè)提質(zhì)增效、轉型發(fā)展的關鍵性舉措。油氣工業(yè)網(wǎng)絡建設覆蓋率達到95%以上，配套大規(guī)模的自動化儀表、采集控制終端等信息化設備，已形成一套龐大的工業(yè)控制網(wǎng)絡。經(jīng)過分析發(fā)現(xiàn)油田工業(yè)網(wǎng)絡接入層現(xiàn)狀有以下幾個特點:
(1)工業(yè)資產(chǎn)種類多，品牌不一
勝利油田工業(yè)資產(chǎn)典型設備包括PLC(可編程邏輯控制器)、RTU(遠程終端單元)、無線網(wǎng)橋、工業(yè)交換機、攝像頭、工業(yè)主機、視頻服務器等，且品牌不唯一。因每種資產(chǎn)的識別技術都有其獨特的要求和難點。若不清楚生產(chǎn)管理區(qū)范圍內(nèi)都部署了哪些資產(chǎn)，就難以規(guī)劃維護計劃和設計有效防護。一份包含資產(chǎn)類型、廠商、型號、系統(tǒng)、版本全面完整的資產(chǎn)清單，可以為油氣工業(yè)資產(chǎn)的運維管理提供重要支撐。
(2)網(wǎng)絡接入點數(shù)量多，分布不集中
油田的生產(chǎn)規(guī)模和環(huán)境決定了油田工控系統(tǒng)的信息接入點數(shù)量龐大、分布廣泛，大多暴露在野外環(huán)境，隨著生產(chǎn)網(wǎng)絡體積越來越大，現(xiàn)場接入范圍越來越廣，這些來自生產(chǎn)網(wǎng)絡邊緣的安全隱患會帶來生產(chǎn)網(wǎng)絡非法接入的安全風險。
(3)工業(yè)資產(chǎn)難以實時監(jiān)控
勝利油氣工業(yè)資產(chǎn)構成復雜、數(shù)量巨大，給資產(chǎn)管理帶來了巨大挑戰(zhàn)。在不具備自動化資產(chǎn)探測發(fā)現(xiàn)工具支撐的情況下，現(xiàn)有資產(chǎn)的登記、管理主要依賴人工，資產(chǎn)臺賬統(tǒng)計工作需要花費大量的人力物力。而通常各企業(yè)工業(yè)資產(chǎn)管理員多為兼職，在工控系統(tǒng)正常運行的情況下管理人員并不會主動關心資產(chǎn)屬性，資產(chǎn)出現(xiàn)異常時會直接進行原件替換，經(jīng)年累月運行后，原始資產(chǎn)明細丟失或未及時更新維護，實效性及準確性難以得到保障。
(4)前端接入與非法仿冒風險
勝利油田分散的站點面臨著前端被入侵，控制挾持、敏感信息信息泄露風險，通過前端無線/有線接入點私自聯(lián)網(wǎng)，入侵生產(chǎn)專網(wǎng)風險，進而造成設備被入侵，刪除或篡改關鍵配置信息等相關風險。同時，前端設備分布散，無人值守，數(shù)量眾多，網(wǎng)絡接口完全暴露，被仿冒接入和內(nèi)網(wǎng)探測攻擊成本非常低，部分暴露在外的網(wǎng)絡接口是完全開放，無控制手段，很容易被不法分子利用終端網(wǎng)絡接口進行仿冒接入，并對內(nèi)網(wǎng)探測或入侵，進而控制核心業(yè)務系統(tǒng)，獲取敏感數(shù)據(jù)信息或發(fā)起物理攻擊。
工業(yè)網(wǎng)絡安全建設需整體性 奇安信助力油田設備安全水平提升
對此，奇安信安全專家表示：“在工業(yè)物聯(lián)網(wǎng)建設時，集成的終端往往種類繁多，并且可能來自于多家廠商，因此為了保障工業(yè)物聯(lián)網(wǎng)系統(tǒng)的安全，需要在統(tǒng)一安全標準和安全建設實施方面做更多努力。作為工業(yè)物聯(lián)網(wǎng)的底層，終端并非獨立存在，其安全威脅的也應放到整個工業(yè)物聯(lián)網(wǎng)系統(tǒng)的安全框架中解決。”
具體實施策略配置需要兼顧網(wǎng)絡側、硬件側、操作系統(tǒng)和業(yè)務應用等多個維度，側重DDoS攻擊、終端硬件的組件和配置被篡改、系統(tǒng)啟動進程被截獲或覆蓋、非法更改應用程序或公共API等主要攻擊手段的防御。
為應對工業(yè)互聯(lián)網(wǎng)終端等各類型IoT設備大量使用場景下，解決網(wǎng)內(nèi)IoT設備安全防護管理難題，在采油廠、管理區(qū)部署接入安全統(tǒng)一管理平臺，實現(xiàn)設備的安全合規(guī)檢查、狀態(tài)監(jiān)控、網(wǎng)絡雙向阻斷、訪問控制、IP地址管理與使用監(jiān)控、統(tǒng)一接入控制、仿冒檢測和處置等安全管理功能。在采油廠下轄的站點部署接入安全防護系統(tǒng)，根據(jù)部署環(huán)境選擇機架式與導軌式混合部署方案。
奇安信網(wǎng)神工業(yè)互聯(lián)網(wǎng)邊緣可信防護系統(tǒng)支持常用接入控制技術，包括旁路流量分析和阻斷技術、策略路由方式引流的接入控制技術，物理橋接方式的接入控制，通過對網(wǎng)絡中的各類IP流量、工控流量進行解析與控制，采集網(wǎng)內(nèi)各類設備的信息，評估其合規(guī)情況，對非法流量強制進行網(wǎng)絡阻斷。
旁路部署模式下，通過交換機流量鏡像方式獲取流量數(shù)據(jù)。旁路部署不改動客戶原有網(wǎng)絡拓撲，不改變客戶原有使用習慣，這種部署模式下，即使接入控制器宕機也不會對客戶網(wǎng)絡造成中斷。
控制器通常旁路部署于核心交換或匯聚交換處，通過鏡像流量對管控區(qū)塊內(nèi)設備通過邊界的行為進行識別并合規(guī)管控。
技術原理圖
在奇安信網(wǎng)神工業(yè)互聯(lián)網(wǎng)邊緣可信防護系統(tǒng)的支撐下，本解決方案針對勝利油田大量IoT設備使用場景，解決了設備安全防護管理難的問題，實現(xiàn)設備的發(fā)現(xiàn)和識別、接入感知、用戶識別、多類型設備統(tǒng)一準入控制、仿冒檢測處置、安全合規(guī)檢查、狀態(tài)監(jiān)控、IP地址管理等功能。同時，實現(xiàn)了擴大安全監(jiān)控的范圍、提升威脅發(fā)現(xiàn)及時性、提升安全管理效率、降低安全運營成本等建設效果。
應用場景圖
目前，工業(yè)互聯(lián)網(wǎng)邊緣可信防護系統(tǒng)主要應用于站點分散，有資產(chǎn)識別、身份認證、合規(guī)檢查、風險感知、異常處置、接入控制等有需求的工業(yè)場景。奇安信工業(yè)安全接入防護解決方案已經(jīng)支撐了能源、電力、制造、交通、礦山等多個行業(yè)，能夠滿足資產(chǎn)識別、身份認證、合規(guī)檢查、異常處置、接入控制等多種應用場景的安全建設需求。
