石化企業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全“等級(jí)保護(hù)2.0”的方案研究

靳亞銘

(中國(guó)石化工程建設(shè)有限公司，北京 100101)

石油化工企業(yè)是國(guó)家重要的能源支柱產(chǎn)業(yè)，涵蓋了采油、石油煉制、石化產(chǎn)品等上下游各個(gè)行業(yè)，具有高溫、高壓、易燃、易爆等特點(diǎn)。石化企業(yè)的這些特殊性決定了其安全生產(chǎn)的重要性，一旦生產(chǎn)系統(tǒng)出現(xiàn)誤停車或故障，則可能引起人的生命安全、社會(huì)公共財(cái)產(chǎn)損失和環(huán)境污染等嚴(yán)重后果。

隨著數(shù)字化和智能化在石油化工行業(yè)的發(fā)展，石油和化工企業(yè)普遍采用了高度自動(dòng)化的控制系統(tǒng)和高度信息化的運(yùn)營(yíng)管理手段，大幅提升了企業(yè)的生產(chǎn)和運(yùn)營(yíng)效率。同時(shí)，企業(yè)的生產(chǎn)活動(dòng)也不再局限于單一地點(diǎn)和區(qū)域，而是向跨區(qū)域、跨城市甚至跨國(guó)進(jìn)行合作生產(chǎn)的發(fā)展趨勢(shì)，基于以太網(wǎng)為基礎(chǔ)的新的過(guò)程控制系統(tǒng)也應(yīng)運(yùn)而生。工業(yè)的快速發(fā)展使得石化企業(yè)的控制系統(tǒng)向智能化、數(shù)字化、互聯(lián)網(wǎng)化和分布化的方向發(fā)展，但隨之也帶來(lái)了新的安全問(wèn)題，也為病毒、木馬等惡意攻擊者增加了新的攻擊渠道和路徑，使得石化企業(yè)的過(guò)程控制系統(tǒng)面臨著越來(lái)越多的安全威脅和安全挑戰(zhàn)。

Stuxnet蠕蟲(俗稱“震網(wǎng)”，“雙子”)2010年6月被VirusBlokAda首次發(fā)現(xiàn)，據(jù)估計(jì)它的傳播是從2009年6月開始甚至更早的時(shí)間。“震網(wǎng)”利用微軟操作系統(tǒng)中至少4個(gè)漏洞，WinCC系統(tǒng)中的2個(gè)漏洞，通過(guò)一整套精心設(shè)計(jì)的入侵和傳播流程，突破工業(yè)局域網(wǎng)的物理限制，對(duì)化工、發(fā)電和電力傳輸企業(yè)所使用的核心生產(chǎn)控制電腦軟件實(shí)施破壞。2016年12月17日烏克蘭當(dāng)?shù)貢r(shí)間23點(diǎn)左右，烏克蘭的國(guó)家電力部門遭遇了一次黑客襲擊，導(dǎo)致了20 min的停電，受影響的區(qū)域還包括烏克蘭首都基輔北部及周邊地區(qū)[2]。隨著“震網(wǎng)”病毒、Conficker病毒、Flame病毒及黑客入侵等網(wǎng)絡(luò)安全事件的發(fā)生，對(duì)石化企業(yè)的過(guò)程控制系統(tǒng)的網(wǎng)絡(luò)安全也敲響了警鐘，企業(yè)的系統(tǒng)信息安全形勢(shì)也日益嚴(yán)峻起來(lái)，需要引起石化企業(yè)的廣泛關(guān)注和重視。

1 石化企業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全的現(xiàn)狀分析

石化企業(yè)過(guò)程控制系統(tǒng)的控制設(shè)備，主要包括：分散控制系統(tǒng)(DCS)、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(SCADA)、緊急停車系統(tǒng)(ESD)、可燃?xì)怏w和有毒氣體檢測(cè)報(bào)警系統(tǒng)(GDS)、壓縮機(jī)保護(hù)系統(tǒng)(CCS)、可編程邏輯控制器(PLC)、先進(jìn)控制(APC)以及遠(yuǎn)程終端單元(RTU)等。這些控制設(shè)備大多采用的是國(guó)外、國(guó)內(nèi)的著名品牌，都已經(jīng)暴露出大量的危險(xiǎn)隱患和漏洞，一方面在網(wǎng)絡(luò)連接狀態(tài)下有生產(chǎn)數(shù)據(jù)泄露和被盜取的風(fēng)險(xiǎn)，另一方面設(shè)備缺少安全的防御和防護(hù)能力，同時(shí)現(xiàn)場(chǎng)管理也有些問(wèn)題，不法分子可以充分利用這些漏洞和缺陷對(duì)現(xiàn)場(chǎng)設(shè)備進(jìn)行篡改和惡意操作。一旦這些漏洞和缺陷被利用，造成的后果和損失則不堪設(shè)想。

石化企業(yè)的操作員站多采用Windows操作系統(tǒng)，一般系統(tǒng)上線后，對(duì)操作員站或服務(wù)器只可能在停工檢修期間打補(bǔ)丁，可能存在嚴(yán)重的系統(tǒng)漏洞和安全隱患，為后續(xù)的操作埋下很多風(fēng)險(xiǎn)和威脅。同時(shí)防病毒軟件的升級(jí)也不及時(shí)，導(dǎo)致不能及時(shí)更新防惡意代碼庫(kù)等。石化企業(yè)過(guò)程控制系統(tǒng)包含很多應(yīng)用軟件，如控制系統(tǒng)的監(jiān)控或組態(tài)軟件、OPC軟件、APC軟件、MES軟件、OTS軟件、MES軟件、MMS軟件、NMS軟件、ALMS軟件以及數(shù)據(jù)管理軟件等。由于這些應(yīng)用軟件是不同供貨商的產(chǎn)品，很難制訂全廠統(tǒng)一的防護(hù)措施和規(guī)則，也有可能存在較大的網(wǎng)絡(luò)安全隱患和風(fēng)險(xiǎn)。

石化企業(yè)中大量采用OPC通信協(xié)議和Modbus TCP協(xié)議等。而OPC Classic協(xié)議(OPCDA，OPC HDA和OPC A&E)都是基于微軟的COM/DCOM技術(shù)，DCOM使用隨機(jī)端口通信，因此OPC采用不固定的端口通信，在網(wǎng)絡(luò)安全問(wèn)題被廣泛認(rèn)識(shí)之前就設(shè)計(jì)出來(lái)，非常容易受到攻擊，且OPC通信采用不固定的端口號(hào)。同時(shí)DCOM配置要求OPC服務(wù)器和客戶端都使用相同用戶名和口令，OPC客戶端具有對(duì)服務(wù)端的數(shù)據(jù)進(jìn)行讀取、修改等全部訪問(wèn)權(quán)限，不滿足最小授權(quán)原則，造成采集數(shù)據(jù)安全性無(wú)法得到保障。Modbus TCP本身沒有認(rèn)證機(jī)制、沒有權(quán)限區(qū)分，數(shù)據(jù)傳輸也是明文的，在特定的情形下還存在拒絕服務(wù)攻擊漏洞。最危險(xiǎn)的是大多數(shù)控制系統(tǒng)的協(xié)議是為自己的控制器設(shè)計(jì)的，通過(guò)修改功能碼，可以向控制器發(fā)送各種控制指令，也包括惡意代碼[3]。

綜上所述，現(xiàn)階段石化行業(yè)的控制網(wǎng)絡(luò)主要有如下特點(diǎn)：

1)未對(duì)進(jìn)出機(jī)柜間的來(lái)訪人員做審批和登記。

2)未對(duì)核心設(shè)備所在區(qū)域進(jìn)行視頻監(jiān)控或?qū)Ｈ酥凳氐取?/p>

3)邊界劃分可能不明確，系統(tǒng)內(nèi)部缺乏安全的檢測(cè)手段。

4)安全區(qū)域內(nèi)未進(jìn)行隔離，可以互相通信。

5)無(wú)流量及網(wǎng)絡(luò)異常檢測(cè)審計(jì)手段，無(wú)法及時(shí)發(fā)現(xiàn)系統(tǒng)內(nèi)的異常攻擊行為。

6)無(wú)有效的通信數(shù)據(jù)包過(guò)濾手段，導(dǎo)致控制系統(tǒng)的正常通信有時(shí)不夠穩(wěn)定。

7)工控機(jī)的殺毒軟件嚴(yán)重過(guò)期，工控機(jī)可能都是帶毒運(yùn)行，有時(shí)候殺毒軟件將生產(chǎn)程序識(shí)別為病毒進(jìn)行隔離。

8)U盤或網(wǎng)絡(luò)文件可能作為引入病毒攻擊的最直接途徑等。

在上述背景下，GB/T 22239—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》應(yīng)運(yùn)而生，與其相對(duì)應(yīng)的安全設(shè)計(jì)技術(shù)要求、測(cè)評(píng)要求也相繼施行。以上標(biāo)準(zhǔn)都統(tǒng)稱為“等級(jí)保護(hù)2.0標(biāo)準(zhǔn)”或“等保2.0標(biāo)準(zhǔn)”，它可以提高石化企業(yè)的過(guò)程控制系統(tǒng)的網(wǎng)絡(luò)安全保護(hù)等級(jí)，通過(guò)將安全通用要求與擴(kuò)展要求應(yīng)用到過(guò)程控制系統(tǒng)中，可以有效地保障石化企業(yè)過(guò)程控制系統(tǒng)網(wǎng)絡(luò)的安全性、可用性和完整性。

2 網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0簡(jiǎn)介

根據(jù)2017年6月1日施行的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第二十一條規(guī)定，國(guó)家的各行各業(yè)應(yīng)按要求施行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。“等級(jí)保護(hù)2.0”是對(duì)“等級(jí)保護(hù)1.0”的升級(jí)和調(diào)整，對(duì)網(wǎng)絡(luò)安全如何定級(jí)、具體的要求、如何實(shí)施、如何測(cè)評(píng)及過(guò)程等標(biāo)準(zhǔn)和要求進(jìn)行修訂和完善，以滿足目前形勢(shì)下各行各業(yè)的網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的需要。其中，《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)要求》于2019年5月10日發(fā)布，并于2019年12月1日開始實(shí)施。相較于“等級(jí)保護(hù)1.0”“等級(jí)保護(hù)2.0”有以下主要變化：

1)名稱變化。原名稱《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》改為《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》，與《網(wǎng)絡(luò)安全法》保持一致。

2)保護(hù)對(duì)象發(fā)生變化?！暗燃?jí)保護(hù)1.0”的保護(hù)對(duì)象只是針對(duì)信息系統(tǒng)，“等級(jí)保護(hù)2.0”的保護(hù)范圍更為廣泛，包含：基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等。石化企業(yè)的控制系統(tǒng)就包含在工業(yè)控制系統(tǒng)里。

3)要求發(fā)生變化?！暗燃?jí)保護(hù)2.0”基本要求的內(nèi)容由安全要求變化為安全通用要求與安全擴(kuò)展要求，含云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制。針對(duì)移動(dòng)互聯(lián)網(wǎng)、云計(jì)算或大數(shù)據(jù)平臺(tái)、物聯(lián)網(wǎng)和工業(yè)控制等新領(lǐng)域提出具體的安全保護(hù)需求和安全擴(kuò)展要求，形成新的網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求標(biāo)準(zhǔn)。

4)內(nèi)容變化?！皬牡燃?jí)保護(hù)1.0”的定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查五個(gè)規(guī)定動(dòng)作，變更為五個(gè)規(guī)定動(dòng)作加新的安全要求，包括：風(fēng)險(xiǎn)評(píng)估、安全監(jiān)測(cè)、通報(bào)預(yù)警和態(tài)勢(shì)感知等。

“等級(jí)保護(hù)1.0”和“等級(jí)保護(hù)2.0”主要項(xiàng)目比較見表1所列。

表1 “等級(jí)保護(hù)1.0”和“等級(jí)保護(hù)2.0”主要項(xiàng)目比較

“等級(jí)保護(hù)2.0”可以歸納為三化(實(shí)戰(zhàn)化、體系化、常態(tài)化)、六防(動(dòng)態(tài)防御、主動(dòng)防御、縱深防御、精準(zhǔn)防御、整體防御、聯(lián)防聯(lián)控)和兩個(gè)全覆蓋(覆蓋全社會(huì)、覆蓋所有保護(hù)對(duì)象)?！暗燃?jí)保護(hù)2.0”將進(jìn)一步提升整個(gè)社會(huì)和國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施的安全。

本文以大型石化企業(yè)的過(guò)程控制系統(tǒng)為研究對(duì)象，通過(guò)研究和分析“等級(jí)保護(hù)2.0”標(biāo)準(zhǔn)安全設(shè)計(jì)要求，提出“等級(jí)保護(hù)2.0”標(biāo)準(zhǔn)下過(guò)程控制系統(tǒng)的分層架構(gòu)，對(duì)相關(guān)網(wǎng)絡(luò)安全產(chǎn)品做了一些簡(jiǎn)要介紹，希望可以為石化領(lǐng)域的過(guò)程控制系統(tǒng)網(wǎng)絡(luò)安全和防護(hù)提供一些參考，并可以指導(dǎo)相關(guān)的設(shè)計(jì)工作。

3 “等級(jí)保護(hù)2.0”要求下的方案

3.1 “等級(jí)保護(hù)2.0”的控制點(diǎn)及對(duì)應(yīng)的合規(guī)產(chǎn)品介紹

基于“等級(jí)保護(hù)2.0”的要求，石化企業(yè)“等級(jí)保護(hù)2.0”的控制點(diǎn)及對(duì)應(yīng)產(chǎn)品見表2所列。由于各家產(chǎn)品的功能都不盡相同、等保定級(jí)單位不同、業(yè)主要求也不同等原因，最后設(shè)計(jì)出的方案可能也有所不同，但都必須滿足“等保2.0”的防護(hù)要求及評(píng)分要求。同時(shí)這些網(wǎng)絡(luò)安全設(shè)備必須經(jīng)過(guò)專業(yè)機(jī)構(gòu)的安全監(jiān)測(cè)后才可以購(gòu)買使用。

表2 石化企業(yè)“等級(jí)保護(hù)2.0”的控制點(diǎn)及對(duì)應(yīng)產(chǎn)品

3.2 石化企業(yè)的“等級(jí)保護(hù)2.0”解決方案介紹

基于“等級(jí)保護(hù)2.0”的要求，過(guò)程控制網(wǎng)依次可分為過(guò)程控制層、操作監(jiān)控層、數(shù)據(jù)服務(wù)層(如需要)和生產(chǎn)運(yùn)行管理層，并符合橫向分區(qū)、縱向分層的原則，石化企業(yè)網(wǎng)絡(luò)安全“等級(jí)保護(hù)2.0”下的解決方案如圖1所示。

圖1 石化企業(yè)網(wǎng)絡(luò)安全“等級(jí)保護(hù)2.0”下的解決方案示意

橫向分區(qū)應(yīng)根據(jù)工藝操作的需要進(jìn)行網(wǎng)絡(luò)分區(qū)，分區(qū)之間應(yīng)盡量減少互相操作和數(shù)據(jù)的傳輸，如果需要應(yīng)采取硬接線的方式實(shí)現(xiàn)。各分區(qū)應(yīng)可以獨(dú)立運(yùn)行，數(shù)據(jù)應(yīng)獨(dú)立存儲(chǔ)。不同網(wǎng)絡(luò)分區(qū)間的交換機(jī)不得共用。

縱向分層是指網(wǎng)絡(luò)各層級(jí)應(yīng)設(shè)置網(wǎng)絡(luò)交換機(jī)或防火墻(如需要)進(jìn)行交換連接。應(yīng)通過(guò)OPC服務(wù)器向生產(chǎn)運(yùn)行管理層傳輸數(shù)據(jù)，并且不同應(yīng)用的OPC服務(wù)器應(yīng)獨(dú)立設(shè)置，禁止OPC服務(wù)器共用。

應(yīng)禁止使用無(wú)線網(wǎng)絡(luò)，并盡量減少使用無(wú)線設(shè)備接入工業(yè)控制網(wǎng)，如果沒法避免應(yīng)做好無(wú)線網(wǎng)絡(luò)防護(hù)措施。

3.3 工業(yè)防火墻

工業(yè)防火墻是一個(gè)軟件和硬件設(shè)備組合而成，在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的邊界上構(gòu)造的保護(hù)屏障。在保留傳統(tǒng)防火墻的基本功能基礎(chǔ)上，通過(guò)對(duì)引入工業(yè)控制協(xié)議的深度解析，建立可信白名單防御機(jī)制，阻斷一切非法訪問(wèn)，主要功能如下：

1)攻擊識(shí)別警告攔截。利用工控漏洞庫(kù)，有效識(shí)別并攔截工業(yè)生產(chǎn)網(wǎng)中存在的針對(duì)已知漏洞的攻擊行為，并提供詳細(xì)的安全事件展示，便于追蹤和溯源，確保工業(yè)生產(chǎn)穩(wěn)定不受影響。

2)多種工作模式。工業(yè)防火墻支持學(xué)習(xí)模式、測(cè)試模式、防護(hù)模式，能更好地對(duì)現(xiàn)網(wǎng)的實(shí)際情況進(jìn)行策略微調(diào)、驗(yàn)證，確保所學(xué)習(xí)到的規(guī)則真實(shí)有效。

3)網(wǎng)絡(luò)訪問(wèn)控制。利用豐富且靈活的傳統(tǒng)防火墻功能來(lái)加強(qiáng)工控生產(chǎn)網(wǎng)絡(luò)內(nèi)的身份認(rèn)證、授權(quán)訪問(wèn)控制，避免了非法訪問(wèn)、控制工控系統(tǒng)內(nèi)部資源的行為。

4)未知威脅預(yù)警阻斷。采用工業(yè)協(xié)議深度智能機(jī)器學(xué)習(xí)算法，對(duì)網(wǎng)絡(luò)行為進(jìn)行學(xué)習(xí)匯總，生成一套可信任的生產(chǎn)操作行為集，可以有效發(fā)現(xiàn)并及時(shí)預(yù)警阻斷現(xiàn)網(wǎng)中發(fā)生的誤操作行為、非法授權(quán)操作、惡意指令攻擊以及惡意篡改數(shù)據(jù)等危險(xiǎn)行為。

5)日志記錄和報(bào)表功能等。

3.4 入侵檢測(cè)系統(tǒng)

入侵檢測(cè)系統(tǒng)是一種對(duì)網(wǎng)絡(luò)傳輸進(jìn)行及時(shí)的監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出報(bào)警或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備，與工業(yè)防火墻相比是一種積極主動(dòng)的安全防護(hù)技術(shù)，通過(guò)該系統(tǒng)，一旦發(fā)現(xiàn)異常情況就發(fā)出警告。根據(jù)信息來(lái)源可分為基于主機(jī)的入侵檢測(cè)和基于網(wǎng)絡(luò)的入侵檢測(cè)；根據(jù)檢測(cè)方法可分為異常入侵檢測(cè)和誤用入侵檢測(cè)。該系統(tǒng)是一個(gè)監(jiān)聽設(shè)備，沒有跨接在任何網(wǎng)絡(luò)鏈路上，無(wú)需網(wǎng)絡(luò)也可以工作。主要功能如下：

1)識(shí)別各種黑客入侵的方法和手段，防范外部黑客的入侵。

2)檢測(cè)內(nèi)部人員的誤操作、資源濫用和惡意行為。

3)多層次和靈活的安全審計(jì)，幫助用戶追蹤內(nèi)網(wǎng)、外網(wǎng)行為。

4)實(shí)時(shí)的報(bào)警和響應(yīng)，幫助用戶及時(shí)發(fā)現(xiàn)并解決安全問(wèn)題。

5)協(xié)助管理員加強(qiáng)網(wǎng)絡(luò)安全管理等。

3.5 工控主機(jī)安全防護(hù)

工控主機(jī)安全防護(hù)以可信計(jì)算技術(shù)為核心技術(shù)，以GB/T 25070—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)設(shè)計(jì)技術(shù)要求》為依據(jù)，構(gòu)建了自主防御體系，打造可信實(shí)用環(huán)境。針對(duì)操作員站、工程師站、數(shù)據(jù)服務(wù)器等主機(jī)進(jìn)行可執(zhí)行程序管理，防止被病毒木馬等惡意程序感染，同時(shí)確保在遭受到網(wǎng)絡(luò)攻擊的情況下，不影響正?？刂瞥绦虻倪\(yùn)行。主要功能如下：

1)有效阻止異常程序運(yùn)行。用白名單防護(hù)機(jī)制，識(shí)別、阻止任何白名單外的程序運(yùn)行，對(duì)通過(guò)網(wǎng)絡(luò)、U盤等引入系統(tǒng)的病毒、木馬、惡意程序進(jìn)行阻止運(yùn)行和阻止傳播、分析識(shí)別，最大限度地保障操作員站、工程師站和服務(wù)器等主機(jī)安全穩(wěn)定運(yùn)行。

2)業(yè)務(wù)運(yùn)行零影響。采用白名單防護(hù)機(jī)制阻止惡意代碼執(zhí)行，具備良好的系統(tǒng)兼容性，支持各種操作系統(tǒng)，對(duì)主機(jī)資源占用少，對(duì)工控系統(tǒng)的監(jiān)控軟件和組態(tài)軟件等正常使用零影響。

3)加強(qiáng)訪問(wèn)控制。利用一定的技術(shù)，定義主體(用戶、進(jìn)程)和客體(文件、數(shù)據(jù))安全級(jí)別，對(duì)于不同安全級(jí)別的主客體制訂讀寫訪問(wèn)控制策略，保證所有數(shù)據(jù)只能按照安全級(jí)別從低到高的方向流動(dòng)，使用完整性級(jí)別量化描述完整性，完整性級(jí)別高的實(shí)體對(duì)完整性級(jí)別低的實(shí)體具有完全的支配等。

4)安全基線管理功能。針對(duì)工作站、服務(wù)器等設(shè)備進(jìn)行基線配置管理，包括：賬戶策略、審核策略、安全選項(xiàng)、IP安全、進(jìn)程審計(jì)、系統(tǒng)日志等。通過(guò)開啟密碼復(fù)雜度、強(qiáng)制密碼歷史、關(guān)閉Guest賬戶、開啟系統(tǒng)和賬戶審核、關(guān)閉默認(rèn)共享、進(jìn)程審計(jì)等措施，最大限度保護(hù)主機(jī)的安全。

5)主機(jī)外設(shè)管理功能。只有經(jīng)過(guò)認(rèn)證的特定USB設(shè)備才可以在特定的主機(jī)上運(yùn)行，禁止USB存儲(chǔ)設(shè)備自動(dòng)運(yùn)行，防止惡意程序利用漏洞自動(dòng)運(yùn)行?？山构怛?qū)、無(wú)線網(wǎng)卡的使用，防止通過(guò)磁盤、無(wú)線網(wǎng)絡(luò)泄露敏感數(shù)據(jù)和感染病毒。

3.6 安全審計(jì)系統(tǒng)

安全審計(jì)系統(tǒng)是為了保障業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)信息數(shù)據(jù)不受來(lái)自于用戶的破壞、泄露、竊取，而運(yùn)用各種技術(shù)手段實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)環(huán)境中的網(wǎng)絡(luò)行為、通信內(nèi)容，以便集中收集、分析、報(bào)警、處理等，主要功能如下：

1)“白名單”安全檢測(cè)。利用人工智能算法與可信計(jì)算理論，自學(xué)習(xí)建立可信工控事物行為為基線，自動(dòng)學(xué)習(xí)當(dāng)前工控協(xié)議通信行為，形成可信工控協(xié)議的“白名單”。

2)深度解析及檢測(cè)能力。具備先進(jìn)的國(guó)產(chǎn)化硬件架構(gòu)，采用專門適用于網(wǎng)絡(luò)處理的多核CPU，為高性能的工控協(xié)議深度解析與檢測(cè)提供堅(jiān)實(shí)的基礎(chǔ)保障。

3)“智能黑名單”檢測(cè)。采用智能黑名單技術(shù)結(jié)合離散型馬爾科夫鏈算法自動(dòng)檢測(cè)并攔截工控流量中的惡意攻擊行為。

4)全面的攻擊和操作違規(guī)審計(jì)。全面記錄工業(yè)網(wǎng)絡(luò)的重要操作行為、網(wǎng)絡(luò)會(huì)話、異常告警原始報(bào)文等，便于事后調(diào)查取證。

5)部署模式靈活。產(chǎn)品部署可集中管理與自管理之間靈活切換，適用于石油化工企業(yè)的過(guò)程控制系統(tǒng)網(wǎng)絡(luò)環(huán)境。

3.7 日志分析系統(tǒng)

日志分析系統(tǒng)是實(shí)現(xiàn)離散日志系統(tǒng)的統(tǒng)一采集、處理、檢索、模式識(shí)別以及可視化分析，可應(yīng)用于統(tǒng)一日志管理、基于日志的運(yùn)維監(jiān)控和分析、調(diào)用鏈路監(jiān)控與追蹤、安全審計(jì)及合規(guī)等。主要功能如下：

1)日志統(tǒng)一管理。實(shí)現(xiàn)離散日志的一站式采集、處理、存儲(chǔ)、歸檔及查詢等。

2)日志全鏈路追蹤。從源頭到底層日志的全鏈路追蹤，快速定位異常并解決問(wèn)題。

3)日志模式異常識(shí)別?？焖僮R(shí)別隱藏于海量日志中的異常模式日志，縮短問(wèn)題發(fā)現(xiàn)時(shí)間。

4)指標(biāo)異常檢測(cè)。對(duì)指標(biāo)數(shù)據(jù)進(jìn)行智能異常檢測(cè)，發(fā)現(xiàn)業(yè)務(wù)異常，提升告警準(zhǔn)確率。

5)日志審計(jì)管理。對(duì)日志分類存儲(chǔ)和安全事件監(jiān)測(cè)管理，滿足企業(yè)合規(guī)性需求。

3.8 安全管理平臺(tái)

安全管理平臺(tái)是對(duì)網(wǎng)絡(luò)安全設(shè)備統(tǒng)一監(jiān)控和管理的設(shè)備，是一套集硬件、軟件為一體，統(tǒng)一配置、管理、監(jiān)測(cè)網(wǎng)絡(luò)安全的硬件平臺(tái)產(chǎn)品。該平臺(tái)能夠監(jiān)測(cè)終端所在網(wǎng)絡(luò)的通信流量與安全事件，分析安全威脅，提供包括行為審計(jì)、事件追蹤、威脅分析、日志管理、設(shè)備管理、安全性分區(qū)等多項(xiàng)功能。主要有如下特點(diǎn)：

1)全面的安全日志審計(jì)。全面記錄工業(yè)網(wǎng)絡(luò)中的主機(jī)安全日志、安全防護(hù)日志、流量日志、異常攻擊監(jiān)測(cè)日志、攻擊發(fā)生時(shí)的原始報(bào)文信息等，便于安全事件分析和調(diào)查取證。

2)高速率加密傳輸通道。采用加密方式進(jìn)行通信，防止數(shù)據(jù)包遭到惡意截取或篡改，保障數(shù)據(jù)的有效性和安全性。

3)豐富的日志報(bào)表展示。友好的用戶操作界面。

4)支持第三方擴(kuò)展功能等。

3.9 態(tài)勢(shì)感知系統(tǒng)

態(tài)勢(shì)感知系統(tǒng)是基于網(wǎng)絡(luò)流量可視化技術(shù)、大數(shù)據(jù)分析技術(shù)、深度報(bào)文檢測(cè)技術(shù)、異常流量檢測(cè)清洗和威脅發(fā)現(xiàn)等網(wǎng)絡(luò)安全技術(shù)，并結(jié)合一定的硬件平臺(tái)，可以接入全網(wǎng)流量并做深度分析挖掘，感知網(wǎng)絡(luò)、安全、資產(chǎn)、應(yīng)用態(tài)勢(shì)，并有可視化的呈現(xiàn)?？勺匪荩筛兄?，可預(yù)測(cè)整個(gè)網(wǎng)絡(luò)的運(yùn)行狀況，實(shí)現(xiàn)精細(xì)化、智能化運(yùn)維管理。主要功能如下：

1)全面和強(qiáng)大的感知能力。從網(wǎng)絡(luò)(網(wǎng)絡(luò)流量、網(wǎng)絡(luò)行為、網(wǎng)絡(luò)內(nèi)容)、安全、資產(chǎn)、應(yīng)用等層面全面感知網(wǎng)絡(luò)態(tài)勢(shì)，實(shí)現(xiàn)精細(xì)化、智能化運(yùn)維管理。

2)卓越的識(shí)別和還原能力?？勺R(shí)別大部分常用的應(yīng)用及協(xié)議，還原網(wǎng)頁(yè)、郵件、圖片和視頻等內(nèi)容。

3)強(qiáng)大的機(jī)器學(xué)習(xí)能力。利用基因檢測(cè)情報(bào)自動(dòng)升級(jí)病毒特征庫(kù)，利用未知威脅檢測(cè)情報(bào)自動(dòng)升級(jí)基因圖譜庫(kù)。各搜索引擎具備AI功能，可以互相學(xué)習(xí)、互相補(bǔ)充，自我壯大，鞏固自身的防御能力。

4 結(jié)束語(yǔ)

當(dāng)前，石化企業(yè)的過(guò)程控制系統(tǒng)依舊面臨著或大或小的安全風(fēng)險(xiǎn)，如果將“等級(jí)保護(hù)2.0”的安全理念融入到系統(tǒng)建設(shè)和整改中，對(duì)過(guò)程控制系統(tǒng)實(shí)行全生命周期管理，并保證網(wǎng)絡(luò)安全與過(guò)程控制系統(tǒng)同時(shí)設(shè)計(jì)、同時(shí)交付、同時(shí)使用，就可以有效地降低過(guò)程控制系統(tǒng)運(yùn)行后的網(wǎng)絡(luò)安全漏洞和風(fēng)險(xiǎn)，是設(shè)計(jì)人員和企業(yè)管理人員需要持續(xù)關(guān)注的重點(diǎn)。同時(shí)，市場(chǎng)上有很多類似的網(wǎng)絡(luò)安全產(chǎn)品，都需要根據(jù)“等級(jí)保護(hù)2.0”的要求去認(rèn)真核實(shí)具體產(chǎn)品的功能，并與等級(jí)保護(hù)定級(jí)單位密切合作，設(shè)計(jì)出符合實(shí)際需要的過(guò)程控制系統(tǒng)。

本文通過(guò)結(jié)合“等級(jí)保護(hù)2.0”標(biāo)準(zhǔn)的要求，討論了一種基于“等級(jí)保護(hù)2.0”標(biāo)準(zhǔn)的石化企業(yè)過(guò)程控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系，完善網(wǎng)絡(luò)安全技術(shù)防護(hù)與管理防護(hù)，結(jié)合先進(jìn)技術(shù)的運(yùn)用以及管理體系的不斷完善，可以有效應(yīng)對(duì)各種安全風(fēng)險(xiǎn)問(wèn)題，促使系統(tǒng)安全得到進(jìn)一步提升和增強(qiáng)，為石化企業(yè)過(guò)程控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)提供理論參考依據(jù)。

在“等級(jí)保護(hù)2.0”的時(shí)代，石化企業(yè)的過(guò)程控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)和保護(hù)都應(yīng)回歸到安全的本質(zhì)。不僅需要從控制系統(tǒng)的軟件、硬件、網(wǎng)絡(luò)等角度進(jìn)行，還應(yīng)從加強(qiáng)企業(yè)自身的安全管理理念、安全管理制度，提升安全管理人員的素質(zhì)等方面入手，定期開展控制系統(tǒng)網(wǎng)絡(luò)安全評(píng)估，制定針對(duì)性的安全防護(hù)策略，才能夠防護(hù)得住有組織的專業(yè)團(tuán)隊(duì)的網(wǎng)絡(luò)攻擊和病毒入侵，才能更好地保護(hù)國(guó)家的重要能源設(shè)施的安全和穩(wěn)定。