一、網(wǎng)絡(luò)攻擊事件背景
10月7日，美國最大的水務(wù)公司American Water披露近期遭受了網(wǎng)絡(luò)攻擊，導(dǎo)致部分系統(tǒng)被迫關(guān)閉,水計費系統(tǒng)無法使用。American Water擁有6500多名員工，為14個州和18個軍事設(shè)施的1400多萬人提供供水和廢水處理服務(wù)。該公司在10月3日檢測到“其計算機網(wǎng)絡(luò)及系統(tǒng)內(nèi)部存在未經(jīng)授權(quán)的活動”后，立即啟動了事件響應(yīng)機制，請來了第三方網(wǎng)絡(luò)安全專家，以協(xié)助遏制和應(yīng)對。
近年來，美國發(fā)生了幾起備受矚目的供水系統(tǒng)網(wǎng)絡(luò)攻擊，如2021年2月，黑客成功滲透了控制佛羅里達(dá)州奧爾德斯馬市水處理設(shè)施的計算機系統(tǒng)，遠(yuǎn)程控制篡改上調(diào)了當(dāng)?shù)毓┧袣溲趸c堿液的含量，試圖毒害供水。幸好被及時發(fā)現(xiàn)，否則后果不堪設(shè)想。
美國水務(wù)公司的網(wǎng)絡(luò)攻擊事件再次提醒我們，水務(wù)行業(yè)面臨的網(wǎng)絡(luò)安全挑戰(zhàn)日益嚴(yán)峻。隨著我國水務(wù)行業(yè)對現(xiàn)代化數(shù)字技術(shù)的依賴程度不斷提高，網(wǎng)絡(luò)安全問題已成為不容忽視的重要議題。我們必須未雨綢繆，加強對水務(wù)工控系統(tǒng)安全的關(guān)注和重視，確保我國水務(wù)基礎(chǔ)設(shè)施的安全穩(wěn)固運行。
二、市政水務(wù)工控網(wǎng)絡(luò)安全隱患分析
(1)通過調(diào)研某市水務(wù)集團(tuán)水處理工控系統(tǒng)的網(wǎng)絡(luò)拓?fù)浼鞍踩F(xiàn)狀，發(fā)現(xiàn)網(wǎng)絡(luò)安全隱患主要有以下方面：
廠區(qū)工控網(wǎng)絡(luò)通常需要與企業(yè)集團(tuán)系統(tǒng)進(jìn)行數(shù)據(jù)交換，有效的安全隔離措施覆蓋不全，存在疏漏或策略未啟用等。邊界缺乏有效的防護(hù)手段，極易遭受來自互聯(lián)網(wǎng)的不法攻擊與病毒傳播破壞。
上位機和服務(wù)器是廠區(qū)工控網(wǎng)絡(luò)中的關(guān)鍵組件，負(fù)責(zé)數(shù)據(jù)采集、處理和存儲。設(shè)備存在安全配置不當(dāng)，或者未及時更新漏洞補丁的情況。例如，未加密的數(shù)據(jù)傳輸、默認(rèn)的管理員密碼、未關(guān)閉的不必要服務(wù)等都可能導(dǎo)致設(shè)備被攻破。同時對第三方接入設(shè)備缺乏管控能力。
工控系統(tǒng)未進(jìn)行有效的安全審計，無法追蹤異常行為，也無法在發(fā)生安全事件時提供必要的日志信息。
定期進(jìn)行安全檢測和風(fēng)險評估是識別和修復(fù)安全漏洞的關(guān)鍵。缺乏這樣的手段，系統(tǒng)的潛在風(fēng)險可能長期未被識別，從而給攻擊者提供了可乘之機。
(2)工控核心控制器缺乏防護(hù)
未部署工業(yè)控制領(lǐng)域?qū)Ｓ梅阑饓Α９た睾诵目刂破魇强刂扑幚怼⒎峙涞汝P(guān)鍵功能的核心組件。如果這些核心組件沒有得到保護(hù)，它們就可能成為攻擊者的首要目標(biāo)。一旦控制器被破壞，會對企業(yè)造成嚴(yán)重影響。
傳統(tǒng)防火墻主要是針對通用網(wǎng)絡(luò)協(xié)議進(jìn)行審核和防護(hù)，不能對工業(yè)網(wǎng)絡(luò)協(xié)議和應(yīng)用數(shù)據(jù)的內(nèi)容進(jìn)行解析和檢查。
傳統(tǒng)防火墻基于黑名單機制，未及時應(yīng)對新發(fā)現(xiàn)的系統(tǒng)和軟件漏洞，以及面臨不斷更新的網(wǎng)絡(luò)攻擊手段和威脅需要不斷升級，不符合工業(yè)現(xiàn)場特點。
(3)安全應(yīng)急響應(yīng)不及時：
缺乏應(yīng)急預(yù)案：在面臨安全事件時，沒有事先制定的應(yīng)急預(yù)案，可能會導(dǎo)致響應(yīng)混亂、延遲，從而加劇安全事件的后果。
響應(yīng)流程不明確：即使有應(yīng)急預(yù)案，響應(yīng)流程不明確，責(zé)任分工不清晰，也會導(dǎo)致在安全事件發(fā)生時無法迅速采取有效措施。
缺乏實時監(jiān)控和預(yù)警系統(tǒng)：實時監(jiān)控和預(yù)警系統(tǒng)能夠在安全事件發(fā)生時立即發(fā)出警報，幫助安全團(tuán)隊快速響應(yīng)。缺乏這樣的系統(tǒng)，安全事件可能長時間未被察覺，從而錯失最佳響應(yīng)時間。
為了解決這些問題，水務(wù)工控網(wǎng)絡(luò)需要實施全面的安全策略升級，包括定期的安全評估、精細(xì)化的安全防護(hù)措施、以及建立快速有效的應(yīng)急響應(yīng)機制。同時，還需要提高員工的安全意識和技能，確保在面對安全威脅時能夠迅速采取行動。
三、解決方案
針對水務(wù)集團(tuán)工控網(wǎng)絡(luò)安全建設(shè)需求，我們提出構(gòu)建水務(wù)工控系統(tǒng)網(wǎng)絡(luò)安全縱深防御體系，在滿足等保能力要求基礎(chǔ)上，進(jìn)一步提升水務(wù)工控網(wǎng)絡(luò)安全防護(hù)能力。
方案根據(jù)水務(wù)行業(yè)現(xiàn)狀，在不影響工控系統(tǒng)運行的前提下，設(shè)計部署適合企業(yè)實際需求的工控安全產(chǎn)品，通過劃分安全區(qū)域、隔離控制系統(tǒng)、終端安全加固等，消除當(dāng)前工業(yè)控制系統(tǒng)的安全隱患，杜絕通過網(wǎng)絡(luò)傳播信息安全威脅，實現(xiàn)水務(wù)集團(tuán)工業(yè)控制系統(tǒng)安全風(fēng)險管控有數(shù)、網(wǎng)絡(luò)攻擊主動防御及安全態(tài)勢的直觀可見。總體防護(hù)圖下：
(1)安全風(fēng)險評估
通過在公司集團(tuán)部署工控漏洞掃描系統(tǒng)，定期對水務(wù)系統(tǒng)進(jìn)行脆弱性掃描，可全面發(fā)現(xiàn)系統(tǒng)中存在的安全漏洞、安全配置問題、弱口令，收集系統(tǒng)不必要開放的賬號、服務(wù)、端口，客觀評估工控網(wǎng)絡(luò)風(fēng)險等級。能夠精準(zhǔn)多維度評估資產(chǎn)的安全風(fēng)險，并給出詳細(xì)的描述和解決方案，形成整體安全風(fēng)險報告。
產(chǎn)品推薦：博智工控漏洞掃描系統(tǒng)
(2)安全區(qū)域邊界
目前水廠已通過網(wǎng)閘與集團(tuán)網(wǎng)進(jìn)行隔離，保證集團(tuán)生產(chǎn)管理層和水廠之間網(wǎng)絡(luò)的安全隔離與數(shù)據(jù)交換。為解決核心設(shè)備的安全防護(hù)問題，本方案在水廠工業(yè)環(huán)網(wǎng)邊界部署工控防火墻，基于工控協(xié)議深度解析、網(wǎng)絡(luò)流量實時監(jiān)測、安全策略智能優(yōu)化等技術(shù)手段能夠檢測并阻斷攻擊者的非法訪問、病毒傳播和惡意攻擊等行為。通過部署工控防火墻可以很好的實現(xiàn)對核心設(shè)備的事前安全防護(hù)、事中過濾檢查和事后安全審計。
產(chǎn)品推薦：博智工控防火墻
(3)安全通信網(wǎng)絡(luò)
水廠中心機房工業(yè)核心交換機已部署入侵檢測系統(tǒng)，能夠?qū)崟r檢測出網(wǎng)絡(luò)入侵攻擊行為。本方案在各水廠工業(yè)環(huán)網(wǎng)交換機增加部署工控安全審計系統(tǒng)，通過鏡像的方式獲取工控網(wǎng)絡(luò)中流量數(shù)據(jù)，對工控協(xié)議（如ModbusTCP、OPC、DNP3、IEC104、S7等）的通信報文進(jìn)行深度解析，能夠?qū)崟r檢測出針對PLC、DCS、上位機等重要工控系統(tǒng)/設(shè)備的網(wǎng)絡(luò)攻擊、誤常操作、非法設(shè)備接入以及蠕蟲、病毒等惡意軟件的傳播等異常行為，實現(xiàn)對工控網(wǎng)絡(luò)異常流量的檢測與實時告警。
產(chǎn)品推薦：博智工控安全審計系統(tǒng)
(4)安全計算環(huán)境
在水廠的上位機、服務(wù)器等設(shè)備部署工控主機衛(wèi)士，基于程序白名單、外設(shè)管控以及基線核查等功能，實現(xiàn)對病毒木馬及其它惡意程序攻擊行為的阻斷、外設(shè)端口的管控、弱口令和配置缺陷的檢測，提升主機安全防護(hù)能力。
產(chǎn)品推薦：博智工控主機衛(wèi)士
(5)安全管理中心
通過在公司集團(tuán)部署工業(yè)安全管理平臺，對集團(tuán)及各水廠安全設(shè)備進(jìn)行威脅監(jiān)測及集中管控。平臺通過集中管理邊界隔離類、流量檢測類、終端防護(hù)類等安全設(shè)備，匯聚多源安全數(shù)據(jù)進(jìn)行智能分析，實時監(jiān)測網(wǎng)絡(luò)中存在的網(wǎng)絡(luò)攻擊、異常行為，從而實時調(diào)整安防策略，實現(xiàn)安全策略的統(tǒng)一部署和安全事件的集中響應(yīng)，提升安全事件處理效率，化“被動防御”為“主動運營”，實現(xiàn)企業(yè)安全可視化、自動化、智能化。
產(chǎn)品推薦：博智工業(yè)安全管理平臺
(6)安全事件應(yīng)急響應(yīng)
在公司集團(tuán)部署工業(yè)互聯(lián)網(wǎng)安全事件應(yīng)急響應(yīng)平臺，結(jié)合一體化便攜式應(yīng)急響應(yīng)工具箱，配合完善的網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案和響應(yīng)流程。確保在發(fā)生網(wǎng)絡(luò)安全事件時，能夠?qū)崿F(xiàn)應(yīng)急事件的快速定位、智能引導(dǎo)、風(fēng)險消除、安全加固、后總結(jié)，幫助企業(yè)快速恢復(fù)生產(chǎn),有效減小和控制安全事件對企業(yè)造成的損失，提升水務(wù)企業(yè)對安全事件的應(yīng)急處置能力。同時，加強數(shù)據(jù)備份機制，確保關(guān)鍵數(shù)據(jù)在系統(tǒng)故障或安全事件發(fā)生時能夠迅速恢復(fù)。
產(chǎn)品推薦：博智工業(yè)互聯(lián)網(wǎng)安全事件應(yīng)急響應(yīng)平臺
(7)安全服務(wù)
博智聚焦工控安全，提供全面的安全服務(wù)支撐，包括漏洞挖掘、取證溯源、滲透測試、安全檢查、威脅研判、應(yīng)急處置、系統(tǒng)加固及安全咨詢等。
四、總結(jié)
在城市水務(wù)系統(tǒng)數(shù)字化與智能化升級的大潮中，城市水務(wù)集團(tuán)的工業(yè)控制系統(tǒng)面臨著愈加復(fù)雜的網(wǎng)絡(luò)安全風(fēng)險挑戰(zhàn)。博智安全助力水務(wù)行業(yè)，全面提高企業(yè)工控網(wǎng)絡(luò)安全防護(hù)等級，為城市水務(wù)行業(yè)的穩(wěn)固運行筑起堅實的安全防線。
