燃气行业

一、 安全与现状

目前，随着现代计算机技术和自动化技术在管道燃气行业的广泛应用，城市燃气企业建立起了相应的城市燃气管网SCADA系统，实现对燃气传输管线、燃气输气场站、燃气储备站的远程管理、集中控制、数据自动实时采集、事故报警、参数调整、气量调节等管理功能，降低了管理成本和生产风险，节省了人力资源。大多数的城市燃气企业采用SCADA系统，集合PLC和RTU等控制设备，操作人员在调度控制中心通过SCADA系统可完成对燃气输配系统的监控和运行管理。
根据2017年对燃气行业的调研，尤其是生产企业工业控制系统网络安全的调研统计，几乎90%的企业对工控网络安全没有完整的认识和防护意识。

目前城市燃气管网SCADA系统主要存在以下工控安全问题：

通信协议漏洞
自动化和信息化的高度融合及物联网的发展使得ModBus协议、ProfiBus协议、OPC协议等工业协议越来越广泛的应用在工业控制网络中，协议的公开性极易遭受攻击，而传统IT防火墙无法发现和防范出现的安全问题。
工业设备漏洞
国内城市燃气管网SCADA系统大量采用西门子、霍尼韦尔等产品，但该系列产品存在漏洞，可利用漏洞进行脚本攻击改变操作指令，进而影响生产正常进行。
操作系统漏洞
城市燃气管网SCADA系统的工程师站/操作站/HMI都是Windows平台的，为保证过程控制系统的相对独立性，同时考虑到系统的稳定运行，通常现场工程师站/操作站/HMI在系统运行后不会对Windows平台安装任何补丁，存在很大的安全隐患。
安全策略和管理流程漏洞
追求可用性而牺牲安全，是很多工业控制系统存在的普遍现象，缺乏完整有效的安全策略与管理流程也给工业控制系统信息安全带来了一定的威胁。例如工业控制系统中移动存储介质的使用和不严格的访问控制策略，包括笔记本电脑、U盘等设备。
杀毒软件漏洞
为了保证工控应用软件的可用性，许多工控系统操作站通常不会安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，原因在于杀毒软件的病毒库需要不定期的经常更新，这一要求尤其不适用于工业控制环境。
应用软件漏洞
由于应用软件多种多样，很难形成统一的防护规范以应对安全问题；另外当应用软件面向网络应用时，就必须开放其应用端口。因此常规的IT防火墙等安全设备很难保障其安全性。

二、政策依据

GBT 50811-2012 《燃气系统运行安全评价标准》；
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》；
工信部信软〔2016〕338号 《工业控制系统信息安全防护指南》；
GBT 26333-2010 《工业控制网络安全风险评估规范》；
 
三、解决方案


 
防护思路
· 只有可信任的设备，才能接入工控网络；
· 只有可信任的消息，才能在工控网络上传输；
· 只有可信任的软件，才允许被执行。

边界、区域安全防护：
在调度中心各区域边界部署工业防火墙，对各区域进行逻辑隔离，并根据业务需要进行访问控制策略设置；
在调度中心和有人值守站控系统、无人值守站控系统之间部署工业防火墙进行网络层级间的安全隔离和防护；
在各场站PLC/RTU等工控设备的网络出口位置部署工业防火墙，以达到重要工控装置的单体设备级安全防护。

主机安全防护：
在调度中心和各场站的工程师站、操作员站及服务器上部署工控主机卫士，保护各主机免受病毒、木马、蠕虫等恶意代码的侵袭。

网络监测与审计：
在调度中心核心交换机上旁路部署安全监测审计平台，实时发现针对PLC、DCS等重要工业控制系统的攻击和破坏行为，以及病毒、木马等恶意软件的扩散和传播行为，为工业控制网络安全事件调查提供依据；

集中管理：
在调度中心部署统一安全管理平台，实现对全网中各安全设备、系统及主机的统一配置、全面监控、实时告警、流量分析等。

四、客户价值

针对燃气行业的特点和网络现状，结合行业工控系统网络结构和安全需求，对目前燃气管网SCADA系统存在的安全威胁提出相应解决策略。希望通过燃气行业工控系统安全解决方案，帮助燃气企业建立工控系统安全保障体系，增强安全风险防范能力，促进工控系统安全、稳定运行，降低燃气行业工业控制系统网络安全风险。