案例背景

某燃氣企業是中國最大的城市燃氣運營商之一，城市燃氣SCADA系統通常采用標準數據通訊協議及通用操作系統、數據庫，這種設計在為工業控制系統帶來便利的同時也增加了風險因素，惡意攻擊、管理性操作失誤等都極易引發系統安全事故。本次項目在深入分析城市燃氣SCADA系統的系統架構、應用特點、安全現狀、安全威脅和安全需求的基礎上，按照等保2.0及關鍵基礎設施保護條例相關要求，構建自主可控、安全可靠的安全防護體系，提高城市燃氣企業工業信息安全保障水平。

案例需求

（1）網絡區域邊界安全風險

互聯網與控制網邊界安全風險：對于互聯網與控制網的邊界，可能存在的安全風險包括：非法訪問、非法入侵、惡意攻擊、病毒和蠕蟲。

調度中心與子站的邊界安全風險：對于調度中心與子站的邊界，可能存在的安全風險包括：非法操作、非法入侵、非正?；蝈e誤操作、病毒和蠕蟲。

（2）通信網絡安全風險

天然氣門站、儲輸配站、調壓計量站等站場數據通訊中，主要采用Modbus TCP/IP、OPC標準通訊協議，因是公開協議，所以數據容易被竊聽、篡改及偽造，造成安全事故。

（3）計算環境安全風險

各種移動存儲介質成為了病毒、木馬和惡意程序傳播的傳播途徑，外部的病毒及惡意程序往往可以通過移動存儲介質傳播進入企業工控網絡系統中。

解決方案

本項目利用工控協議深度解析、工控系統脆弱性檢測、主機“白名單”等工控安全專用技術，從燃氣SCADA系統的區域邊界、通信網絡、計算環境等角度設計安全防護體系，有效解決燃氣SCADA系統中實際存在的安全威脅，提高工業控制系統等級保護符合性要求，將工業控制系統的安全狀況提升到一個較高的水平，并盡可能地消除或降低工業控制系統的安全風險。

1. “安全風險全面評估”

針對前述的城市燃氣SCADA系統面臨的網絡安全風險，如互聯網攻擊者可能會利用SCADA系統網絡安全漏洞獲取天然氣站場數據和電動閥門的控制權，一旦這些控制權被不良意圖黑客所掌握，那么對安全生產將產生不可估計的嚴重后果。本方案利用工控漏洞掃描系統對燃氣系統進行全面的風險評估，系統通過豐富的系統漏洞庫，不僅對城市燃氣SCADA系統中使用的傳統 IT設備/系統，比如操作系統、交換機、路由器、弱口令、FTP服務器、Web服務器等進行漏洞風險評估，同時還支持對城市燃氣SCADA系統中所特有的設備/系統，比如PLC、RTU等進行已知漏洞的識別和檢測，及時發現安全漏洞，客觀評估工控網絡風險等級。

2.“分區分域安全可管” 

城市燃氣SCADA系統網絡邊界包括調度中心服務器網絡出入口、各個燃氣場站PLC/RTU控制器網絡出入口。調度中心的防護對象主要為SCADA冗余服務器、工程師站及操作員站。為了保護該服務器免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞，在調度中心服務器的網絡前段部署工控防火墻，將所有流向服務器的數據進行深度解析。針對各個燃氣站場PLC控制系統，其通訊協議為RSlinks OPC，為了保護該PLC免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞。在PLC的網絡前段部署工控防火墻，將所有下發給PLC的數據進行深度解析，工控防火墻支持對工業資產功能碼的識別，可以做到指令級甚至值域級的更精細粒度的管控。

3.“通信網絡安全可靠”

城市燃氣SCADA系統數據通訊采用的Modbus TCP/IP或OPC通訊協議自身存在漏洞，通過部署工控安全審計系統，實現對Modbus TCP/IP或OPC數據包進行深度解析。通過深度檢測利用數據包的分析功能，有效分類功能碼以及讀寫地址，實時檢測針對PLC、DCS、上位機等重要的工控設備的網絡攻擊、用戶誤操作、用戶違規操作、非法設備接入以及蠕蟲、病毒等惡意軟件的傳播行為，并實時報警，同時詳實記錄一切網絡通信行為，包括指令級的工業控制協議通信記錄，為城市燃氣SCADA系統網絡安全事故調查提供堅實的基礎。

通過部署工控入侵檢測系統實現對城市燃氣SCADA系統運行狀況的監視，發現并阻斷各種入侵攻擊、異常流量、非法操作或異常行為。通過深入分析網絡上捕獲的數據包，結合特征庫進行相應的行為匹配，實現入侵行為檢測。

4.“計算環境安全可信”

城市燃氣SCADA系統使用大量的計算機及服務器，計算機操作系統一般采用Windows，上線后基本不會對操作系統進行升級，而操作系統在使用期間不斷曝出漏洞，導致操作站和服務器暴露在風險中。在系統上線前沒有關閉掉多余的系統服務，以及系統的密碼策略等進行安全加固等問題。另外，運維人員調試過程中可以對操作站和服務器安裝軟件。為了方便調試，會開啟操作系統遠程服務功能，上線后通常不會屏蔽這個功能，安全配置薄弱，容易遭受攻擊。

通過在各類服務器、操作員站上部署工控主機衛士，工控主機衛士能夠監控工控主機的進程狀態、本地訪問控制狀態、USB端口狀態，以白名單的技術方式，全方位地保護主機的資源使用，以及監控本地設備安全基線配置。根據白名單的配置，工控主機衛士會禁止非法進程的運行，禁止非法網絡的訪問連接，禁止非法USB設備的接入，從而切斷病毒和木馬的傳播與破壞路徑。

5.“管理中心集中管控”

通過在SCADA系統調度中心安全運營中心部署工業安全管理平臺，對網絡中部署的所有安全設備進行統一監控、日志采集、安全分析、策略下發，為工控網絡安全運營提供決策支持，加強安全事件響應速度與安全運維能力，提升工控網絡整體信息安全水平。

針對SCADA系統在出現故障進行運維時無法準確獲取第三方運維數據，不能及時了解第三方運維人員是否存在誤操作和惡意操作。一旦發生事故，需要大量時間確定問題，不能夠及時有效的解決問題，也沒有手段追溯等問題，在安全運維區部署工控安全運維管理系統，通過協議代理的方式，建立運維人員、運維資產、資產賬號的唯一身份認證管理，配置集中訪問控制和細粒度的命令級授權策略，實現集中有序的安全運維管理，對運維用戶的全程行為進行審計與阻斷。

效益評估

1、滿足合規政策要求

在符合信息安全三級等級保護要求的前提下，有效解決燃氣集團SCADA工業控制系統中實際存在的安全威脅，提高了工業控制系統等級保護符合性要求，將工業控制系統的安全狀況提升到一個較高的水平，并盡可能地消除或降低工業控制系統的安全風險。

2、避免安全事故造成的損失

通過采取有效的安全管理、邊界防護、網絡監測、主機防護等手段，建立了涵蓋城市燃氣SCADA系統區域邊界、計算環境、通信網絡的安全防護框架，形成體系化城市燃氣SCADA系統網絡安全解決方案，保障系統安全運營，避免網絡安全事故發生，有效降低網絡安全事件造成的損失。