泵站工控網(wǎng)絡(luò)安全集中管控平臺的研究及應(yīng)用

孫迎松，王 兵，郝海濤，張 琪，尹曉東

（山東省調(diào)水工程運行維護中心，山東 濟南 250100）

1 引言

隨著信息化技術(shù)的發(fā)展與廣泛應(yīng)用，工業(yè)化與信息化的高度融合，泵站工業(yè)生產(chǎn)控制系統(tǒng)在生產(chǎn)工作中發(fā)揮的作用越來越重要。近些年工控網(wǎng)絡(luò)安全事件頻發(fā)，工控系統(tǒng)在為生產(chǎn)帶來極大推動作用的同時，也暴露出了本身存在的嚴(yán)重的網(wǎng)絡(luò)安全問題，并且嚴(yán)重威脅到工控系統(tǒng)的安全穩(wěn)定運行。因此確保泵站工控網(wǎng)絡(luò)安全，已經(jīng)成為當(dāng)前保障泵站生產(chǎn)工作順利開展的當(dāng)務(wù)之急。為提高信息安全保障能力和水平，維護國家安全和社會穩(wěn)定發(fā)展，國家制定了信息安全等級保護管理規(guī)范和技術(shù)標(biāo)準(zhǔn)。信息安全等級保護2.0要求建立安全技術(shù)體系和安全管理體系，在注重技術(shù)體系建設(shè)的同時，加強安全管理體系的建設(shè)。依據(jù)國家等保2.0安全管理體系建設(shè)基本要求，采用集中管控技術(shù)，建立泵站網(wǎng)絡(luò)安全全新管理機制，實現(xiàn)動態(tài)防御、主動防御，數(shù)據(jù)共享，精準(zhǔn)防護和縱深防御；通過集中管控平臺，實現(xiàn)泵站網(wǎng)絡(luò)安全體系化管理，整體防護、聯(lián)防聯(lián)控。采用安全管理應(yīng)用體系化、安全運維數(shù)字化的管理模式，將被動防御向主動防御方式轉(zhuǎn)變，實現(xiàn)泵站工控網(wǎng)絡(luò)整體安全防護，為泵站安全生產(chǎn)保駕護航。

2 集中管控平臺

集中管控平臺采用集中管控技術(shù)，結(jié)合工控網(wǎng)絡(luò)安全防護技術(shù)，通過構(gòu)建泵站工控網(wǎng)絡(luò)集中管控技術(shù)體系、數(shù)字化安全運維管理體系、工控網(wǎng)絡(luò)安全防護體系、一站式服務(wù)體系，對泵站工控系統(tǒng)資產(chǎn)、業(yè)務(wù)應(yīng)用、制度流程、運維人員等進行全面統(tǒng)一管理，實現(xiàn)系統(tǒng)運行、安全防護、管理過程、服務(wù)過程的集中管控。通過技術(shù)、管理、服務(wù)的深度融合，建立多維度關(guān)聯(lián)關(guān)系與協(xié)同聯(lián)動機制，數(shù)據(jù)共享、統(tǒng)一運營策略，實現(xiàn)泵站工控網(wǎng)絡(luò)安全數(shù)字化集中管控的安全管理體系。

2.1 集中管控平臺技術(shù)架構(gòu)

集中管控平臺架構(gòu)自下而上由6個層面組成，分別為部署保障層、采集層、存儲層、計算層、業(yè)務(wù)層、展現(xiàn)層。集中管控平臺技術(shù)架構(gòu)如圖1所示。

圖1 集中管控平臺技術(shù)架構(gòu)

（1）部署保障層。基于DevOps設(shè)計思想，實現(xiàn)自動化部署、升級和可視化組件狀態(tài)運維管理。采用自動化的調(diào)度和負(fù)載分擔(dān)的機制，對匹配調(diào)度和負(fù)載分擔(dān)策略邏輯的應(yīng)用進行自動化操作，確保應(yīng)用的高可用性和高穩(wěn)定性。采用Docker容器技術(shù)，基于Linux內(nèi)核的Cgroup、Namespace以及AUFS類的UnionFS等技術(shù)，對進程進行封裝隔離。采用Kubernetes容器集群管理，為容器化的應(yīng)用提供資源調(diào)度、部署運行、服務(wù)發(fā)現(xiàn)、擴容縮容等支撐。

（2）采集層。實現(xiàn)從各類設(shè)備、系統(tǒng)等采集數(shù)據(jù)，如性能、狀態(tài)、配置、日志、告警信息等，采用主動采集與被動采集兩種采集模式，采用分布式架構(gòu)，支持負(fù)載均衡與高可用。

（3）存儲層。采用關(guān)系數(shù)據(jù)庫、內(nèi)存數(shù)據(jù)庫、列式數(shù)據(jù)庫、時序數(shù)據(jù)庫，以及分布式文件系統(tǒng)等多種類型存儲混搭，實現(xiàn)數(shù)據(jù)分層、分類存儲，高效支撐數(shù)據(jù)的實時查詢及歷史數(shù)據(jù)快速檢索等。存儲子系統(tǒng)在架構(gòu)上采用數(shù)據(jù)和業(yè)務(wù)分離，實現(xiàn)數(shù)據(jù)獨立管理，為數(shù)據(jù)管理和內(nèi)容安全提供重要保障。

（4）計算層?；旌隙喾N計算框架，支撐業(yè)務(wù)自由選擇合適的框架開展計算。

（5）業(yè)務(wù)層?；诖鎯雍陀嬎銓訑?shù)據(jù)，具有配置管理、資產(chǎn)監(jiān)控、告警管理、關(guān)聯(lián)分析、態(tài)勢感知、風(fēng)險預(yù)測、運營分析處理等功能，可根據(jù)業(yè)務(wù)需求靈活組合搭建。

（6）展現(xiàn)層。采用AngularJS、ElementUI、BootStrap、Echarts、Vue.JS、HTML5等多種技術(shù)，融合數(shù)據(jù)、流程，實現(xiàn)統(tǒng)一門戶展現(xiàn)，在提高內(nèi)部與外部系統(tǒng)的操作效率情況下，提供一致的交互體驗，并可以靈活配置和定制，滿足統(tǒng)一展示門戶對各類數(shù)據(jù)的可視化需求。

2.2 集中管控平臺功能

通過對泵站工控網(wǎng)絡(luò)中各類信息資源安全域的劃分，以及海量異構(gòu)網(wǎng)絡(luò)與安全事件的采集、處理和分析，建立一套可度量的風(fēng)險模型，使各級管理人員能夠?qū)崿F(xiàn)資產(chǎn)運行監(jiān)控、事件分析與審計、風(fēng)險評估與度量、預(yù)警與響應(yīng)、安全態(tài)勢分析等，并借助標(biāo)準(zhǔn)化的流程管理實現(xiàn)持續(xù)的安全運營。通過對業(yè)務(wù)架構(gòu)的整合，建立集中管控、實時監(jiān)測、快速處置、持續(xù)預(yù)防的運營管理閉環(huán)。通過全面的數(shù)據(jù)采集與監(jiān)測、多維度的關(guān)聯(lián)與智能分析，把孤立的管理行為建立成聯(lián)動機制，實現(xiàn)數(shù)據(jù)驅(qū)動的精細(xì)化運營管理。

（1）數(shù)字化集中管理、可視化運行呈現(xiàn)?；贑MDB建立所有資產(chǎn)、資源、業(yè)務(wù)應(yīng)用的統(tǒng)一管理；建立運行管理體系、管理制度與流程，配置管理策略；統(tǒng)一展示運行總體狀況與詳情，掌握實時運行動態(tài)。

（2）實時監(jiān)測告警、大數(shù)據(jù)多維度智能分析。建立實時運行監(jiān)測，統(tǒng)一運行數(shù)據(jù)采集、匯聚和關(guān)聯(lián)；多維度的大數(shù)據(jù)智能分析，全面發(fā)現(xiàn)異常事件和精準(zhǔn)趨勢預(yù)測；準(zhǔn)確的異常行為分析、定位、溯源，多種途徑的告警和預(yù)警。

（3）一站式快速響應(yīng)、協(xié)同化事件處置。建立統(tǒng)一服務(wù)管理，基于工單制度建立處置、服務(wù)跟蹤和協(xié)同；建立服務(wù)目錄，靈活定義管理與服務(wù)流程，實現(xiàn)智能化響應(yīng)處置；建立統(tǒng)一入口，在線管理操作，實現(xiàn)統(tǒng)一授權(quán)、審計與自動歸檔。

（4）持續(xù)運營管理、數(shù)據(jù)歸檔與運行分析。建立日常安全管理、運維管理機制，開展檢查和預(yù)防，優(yōu)化配置策略；實現(xiàn)集中審計管理，建立系統(tǒng)配置、運行管理、服務(wù)管理的數(shù)據(jù)檔案；運行數(shù)據(jù)挖掘分析，建立報表與分析報告，提供建議與決策依據(jù)。

（5）運營管理體系、制度機構(gòu)流程建設(shè)管理。實現(xiàn)安全管理體系建設(shè)，包括：管理制度、管理機構(gòu)、管理人員、建設(shè)管理、運維管理等安全體系，將技術(shù)和管理相結(jié)合，保障統(tǒng)一運營管理。

3 數(shù)字化運營管理

通過建立統(tǒng)一管理、統(tǒng)一監(jiān)控、統(tǒng)一審計、綜合分析、協(xié)同處置、持續(xù)安全運維的數(shù)字化管理體系，構(gòu)建統(tǒng)一運營管理中心，開展多維度關(guān)聯(lián)分析、數(shù)據(jù)共享、協(xié)同聯(lián)動。通過任務(wù)與事件雙重驅(qū)動，推動技術(shù)與管理的數(shù)字化運營管理體系建設(shè)，保障管理策略執(zhí)行與管理安全，進一步促進網(wǎng)絡(luò)安全智慧運營管理。數(shù)字化運營管理中心架構(gòu)如圖2所示。

圖2 數(shù)字化運營管理中心架構(gòu)

3.1 建設(shè)數(shù)字化技術(shù)體系，構(gòu)建運營管理中心

（1）統(tǒng)一管理：實現(xiàn)系統(tǒng)資產(chǎn)、業(yè)務(wù)應(yīng)用、安全防護與運維管理系統(tǒng)的統(tǒng)一管理，建立拓?fù)潢P(guān)聯(lián)關(guān)系、數(shù)據(jù)共享、資產(chǎn)檔案，構(gòu)建基礎(chǔ)運營數(shù)據(jù)。

（2）統(tǒng)一監(jiān)控：建立日志、性能狀態(tài)、事件告警等數(shù)據(jù)采集匯聚，建立多維度綜合關(guān)聯(lián)分析、實時告警，實現(xiàn)多種靈活的告警方式。

（3）協(xié)同處置：基于流程和編排建立工單與流程管理，可視化任務(wù)跟蹤，規(guī)范化處置流程，快速異常定位與在線協(xié)同處置，實現(xiàn)泵站工控資產(chǎn)設(shè)備遠(yuǎn)程運維管理。

（4）統(tǒng)一審計：建立審計信息匯聚，平臺應(yīng)用管理審計，實現(xiàn)審計監(jiān)測分析。

（5）綜合分析：建立大數(shù)據(jù)平臺、實時/離線分析引擎，實現(xiàn)多維度綜合關(guān)聯(lián)分析。

（6）統(tǒng)一認(rèn)證鑒權(quán)：建立系統(tǒng)、安全、審計等角色人員的統(tǒng)一認(rèn)證與授權(quán)管理。

3.2 建設(shè)數(shù)字化管理體系，實現(xiàn)技管融合

（1）采用高度自定義的流程化方式建立數(shù)字化管理體系，包括：管理制度、管理機構(gòu)、管理人員、建設(shè)管理等，建立運營管理策略，明確分工責(zé)任到人。

（2）建立管理目錄，定義編排相關(guān)運營管理工作，明確每項工作的時間、對象、工作流程、規(guī)范等標(biāo)準(zhǔn)要求。

（3）建立任務(wù)管理機制，自動線上任務(wù)工單派發(fā)，驅(qū)動工作任務(wù)開展，從人為驅(qū)動的粗放式管理轉(zhuǎn)為系統(tǒng)驅(qū)動的精細(xì)化運營管理，保障管理工作落地執(zhí)行。

（4）建立統(tǒng)一管理與服務(wù)入口，建立全面的操作審計、授權(quán)、監(jiān)控、風(fēng)險阻斷等安全可靠的保障機制，實現(xiàn)工作過程可視可控可追溯。建立管理與服務(wù)數(shù)據(jù)自動存檔,實現(xiàn)可視化跟蹤，保障管理與服務(wù)安全。

（5）融合管理體系與技術(shù)體系，建立多維度關(guān)聯(lián)關(guān)系，系統(tǒng)流程驅(qū)動運營管理，保障管理策略落地執(zhí)行。

（6）實現(xiàn)全流程數(shù)字化管理、運營管理數(shù)據(jù)閉環(huán)流轉(zhuǎn)。實現(xiàn)管理可視、可控、可追溯，保障管理安全。

（7）數(shù)據(jù)驅(qū)動精細(xì)化運營管理，挖掘分析數(shù)據(jù)價值特征,準(zhǔn)確、智能優(yōu)化策略配置，基于機器學(xué)習(xí)、知識圖譜推動智能編排，促進智能應(yīng)用與管理。

4 應(yīng)用價值

工控網(wǎng)絡(luò)安全集中管控平臺創(chuàng)新性的將集中管控技術(shù)和泵站工控網(wǎng)絡(luò)安全防護技術(shù)相結(jié)合，基于數(shù)字化運維安全管理，開創(chuàng)整合管理體系與安全防護技術(shù)體系安全管理機制，在安全性、創(chuàng)新性、推廣性等方面具有實用價值。

（1）安全性

通過安全風(fēng)險可控與管理可控機制，使運維人員、管理人員能及時預(yù)知、發(fā)現(xiàn)、掌控泵站工控網(wǎng)絡(luò)中存在的各類安全風(fēng)險，有效支撐風(fēng)險預(yù)警與處置工作。在確保將泵站工控網(wǎng)絡(luò)全面納入安全防護情況下，排除安全事件干擾，提高泵站生產(chǎn)系統(tǒng)安全運行的穩(wěn)定性和可靠性。能夠?qū)崿F(xiàn)病毒、木馬等惡意程序的免疫，有效防范內(nèi)或外部人員攻擊、軟件后門利用等多種威脅，避免重大安全事故和工控系統(tǒng)安全事件帶來的經(jīng)濟損失，顯著加強泵站工控系統(tǒng)在國際網(wǎng)絡(luò)戰(zhàn)環(huán)境下防范新型攻擊的能力，進而有效保障泵站生產(chǎn)經(jīng)營活動的穩(wěn)定開展。

（2）創(chuàng)新性

創(chuàng)新的集中管控技術(shù)與泵站工控網(wǎng)絡(luò)安全防護技術(shù)的綜合應(yīng)用，促進泵站工控網(wǎng)絡(luò)安全防護體系更具實用價值?；诒谜竟た鼐W(wǎng)絡(luò)的業(yè)務(wù)應(yīng)用特性，結(jié)合系統(tǒng)組網(wǎng)的結(jié)構(gòu)、業(yè)務(wù)訪問流程與內(nèi)容，借助集中管控與工控系統(tǒng)安全防護新技術(shù)、新理念，研究使用工業(yè)協(xié)議的識別與深度解析、基于行為的白名單機制、基于人工智能學(xué)習(xí)的行為識別與策略自動生成等先進成熟的技術(shù)與工控網(wǎng)絡(luò)的防護理念，構(gòu)建泵站新型工控系統(tǒng)安全防護體系，實現(xiàn)泵站工控網(wǎng)絡(luò)中病毒、入侵、違規(guī)操作等安全風(fēng)險的準(zhǔn)確發(fā)現(xiàn)與精準(zhǔn)控制，有效保障泵站工控網(wǎng)絡(luò)運行安全。

（3）推廣性

集成集中管控與工控網(wǎng)絡(luò)安全防護手段，構(gòu)建泵站工控網(wǎng)絡(luò)新一代主動防御體系，提高泵站工控網(wǎng)絡(luò)整體安全防護能力。將為泵站工控網(wǎng)絡(luò)安全防護體系建設(shè)開創(chuàng)行之有效的新型管理與防護模式。借助工業(yè)控制協(xié)議的深度解析與人工智能學(xué)習(xí)技術(shù)的應(yīng)用，以全面的工業(yè)漏洞庫為支撐，使安全防護產(chǎn)品更具有基于行為的主動防御能力，安全防護體系更加貼近工控網(wǎng)絡(luò)環(huán)境應(yīng)用，安全防護更加準(zhǔn)確。在保證穩(wěn)定性要求的同時，效率與使用價值更高，具有較強的推廣應(yīng)用價值，適合在其它水利水電等工控系統(tǒng)中進行推廣應(yīng)用。

5 結(jié)束語

采用集中管控技術(shù)與泵站工控網(wǎng)絡(luò)安全防護技術(shù)，基于數(shù)字化安全運維管理，建立的全新泵站工控網(wǎng)絡(luò)安全防護模式，通過集中管控與安全防護一體化的方式，從分散管理的產(chǎn)品堆疊，到一體化集中管控；從各自運行的數(shù)據(jù)孤島，到全面采集匯聚、數(shù)據(jù)關(guān)聯(lián)與綜合利用，實現(xiàn)泵站工控網(wǎng)絡(luò)一體化安全建設(shè)與管理，極大節(jié)約建設(shè)成本與管理成本，切實做到管理的可落地執(zhí)行，顯著提高泵站工控網(wǎng)絡(luò)安全防護效果。在提升工控網(wǎng)絡(luò)整體管理水平和防護能力的同時，保障泵站生產(chǎn)控制系統(tǒng)的穩(wěn)定運行，有效支撐泵站生產(chǎn)經(jīng)營工作的順利開展。