解決方案 | 城市燃氣管網SCADA系統網絡安全防護實踐

01?行業背景

當前，城市燃氣已廣泛應用于居民生活、工商業、發電、交通運輸、分布式能源等多個領域，是城市發展不可或缺的重要能源。近年來，隨著國家能源結構調整和社會對清潔能源的巨大需求，國家加大了對天然氣的開發建設，大批長輸管線、省級管線以及城市管道的相繼建成，管道燃氣已經成為城市燃氣消費中最重要的運輸和消費形式。

隨著現代計算機技術和自動化技術在管道燃氣行業的廣泛應用，城市燃氣企業建立起了相應的城市燃氣管網SCADA系統，實現對燃氣傳輸管線、燃氣輸氣場站、燃氣儲備站的遠程管理、集中控制、數據自動實時采集、事故報警、參數調整、氣量調節等管理功能，降低了管理成本和生產風險，節省了人力資源。

與傳統信息系統不同，燃氣工業控制系統在建設初期要兼顧應用環境、控制管理等實際環境因素，首要考慮效率和實用性，以保證系統高可用性和實際業務的正常穩定運行。隨著工控系統逐漸向更開放的網絡趨勢發展，系統大量引入民用Windows操作系統、關系數據庫等產品，廣泛使用TCP/IP協議。IT技術的引入推動了工控系統的發展，但傳統以太網和信息系統所面臨的病毒、木馬、網絡攻擊等安全問題也同樣威脅著燃氣企業工控系統。燃氣企業的典型網絡拓撲如下：

02?風險分析

近年來，能源板塊層出不窮的網絡安全事件，表明燃氣管網SCADA系統已經成為國內外黑客的攻擊目標，面臨愈發嚴峻的威脅。一旦燃氣管網SCADA系統受攻擊容易發生故障或者被控制，可能直接影響到管道輸送的正常生產運營，導致火災、爆炸、中毒事件的發生，造成重大經濟損失、人員傷亡和環境污染，直接威脅到國家能源安全和社會穩定。因此，研究燃氣管網SCADA系統安全風險，同時制定針對性的配套網絡安全防護能力建設，對我國能源安全具有重要的現實意義。

1、物理安全風險

工業控制系統的物理安全是整個工控系統安全的前提。在工業控制系統的設計和使用中，一方面要考慮布線與照明電線、動力電線、冷熱管道之間的安全距離，距離過近，長時間情況下可能會導致線、管破損，導致漏電、漏水、漏氣等情況發生；另外還需考慮布線系統和絕緣線、裸體線以及接地與焊接的安全，避免發生不必要的觸電、火花等情況出現，防止發生火災等安全事故;另一方面，避免電磁干擾和網絡物理安全風險。

2、通信網絡安全風險

網絡的互聯互通是工業控制系統實現信息化的基礎條件，但這也給工業控制系統帶來諸多網絡層面的安全風險，來自辦公管理層網絡的入侵、病毒等風險很容易向生產網蔓延。非法接入風險也不容忽視，攻擊者偽造身份從外部或內部網絡節點對生產系統進行滲透，獲取訪問權限，惡意操作，其威脅是巨大的。無線通信鏈路風險主要存在于SCADA系統中調度中心與門站站控系統間、調度中心與壓力測點控制系統間的數據傳輸及各類無線設備、無線儀表使用中。因為廣泛分布的場站及無線儀表的應用，使得此類通信難以監管，同時面臨較大的被入侵風險。

3、區域邊界安全風險

兩化融合的促進了SCADA系統與IT系統的互聯需求，燃氣管網SCADA系統甚至逐步采用通用協議或已經廣泛應用的工業協議傳輸數據，然而工業協議更多考慮業務通信的有效性與穩定性，未考慮通信的安全性，使得攻擊者通過數據監聽、協議解析與劫持技術，篡改通信數據、控制命令，可直接威脅燃氣管網SCADA系統的正常運行。燃氣管網SCADA系統各子網之間缺乏必要的隔離措施，上層設備對下層缺乏身份鑒別機制，一旦局部控制網絡被病毒感染，容易迅速蔓延到整個燃氣管網SCADA網絡。另外，燃氣管網SCADA系統地域分布廣，基層站點多，具有“點多線長”的特點，多數中、小型站場處于無人值守狀態，周邊自然條件復雜，物理安全防護難度大，站場網絡設備空閑端口多，存在非法接入的風險。

4、計算環境安全風險

燃氣管網SCADA系統的工程師站/操作站/HMI一般都是Windows操作系統，為確保過程操控體系的相對獨立性，同時考慮到系統的安全穩定運轉，通常現場工程師站/操作站/HMI在體系運轉后不會對Windows操作系統裝置任何補丁，存在很大的安全隱患。同時，應用軟件的安全漏洞、移動設備的接入也會影響系統的整體安全。另外，終端用戶對進程操作、軟件運行、安全策略變更、文件操作、網絡外聯訪問等行為無法進行審計并記錄，導致發生安全事件后，無法對出現的問題進行溯源。

5、安全體系風險

網絡安全建設是一個體系化工程，其包括安全文化及理念的樹立、管理層的承諾、支持與垂直管理、安全專業組織的支持、可實施性安全管理程序/制度、有效而具有針對性的安全培訓、員工的全員參與。構建安全管理體系的最終目的就是實現企業安全、高效運行，目前很多燃氣企業的安全體系尚未完全建成，暴露在外的風險問題較為嚴重。例如安全管理制度的不完善，未組建專業的安全管理機構，安全人員缺乏安全意識，安全設備沒有形成統一管理，缺少流程化的安全事件應急響應機制。

03?解決方案

為有效應對上面的這些安全風險，城市燃氣企業可參照相關國家/行業標準要求，結合安全現狀與需求分析，針對燃氣管網SCADA系統，通過安全風險評估的方式全面了解管網SCADA系統的安全狀況，問題轉化為需求，圍繞“一個中心，三重防護”國家網絡安全等保防護思路進行網絡安全防護體系設計，形成縱深網絡安全防護能力，并通過完善相關的安全管理制度，落實安全管理體系化建設目標，技防與管理相結合構建網絡安全縱深防御體系，才能高效發揮防御體系的防護效能，為燃氣管網SCADA系統安全運行保駕護航。

1、安全風險評估

安全風險評估是網絡安全保障工作的基礎和重要環節，通過科學的運用網絡安全風險評估方法，參照國際標準ISO13335-4、國家標準GB/T27921-2011、GB/T 22696.1-2008等相關標準，對物理環境、工控網絡、主機系統以及業務應用層面進行全面的安全評估，從風險管理角度，運用科學的方法和手段，系統地分析燃氣管網關鍵業務系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，可以有效的防范和降低關鍵業務信息系統的網絡安全風險，從而最大限度地提升燃氣管網關鍵業務信息系統的安全保障能力，為企業全面掌握風險，為后續網絡安全建設提供數據支撐。

2、安全防護方案

方案從實際出發，以燃氣管網SCADA系統為等級保護對象，以控制中心系統為主體，結合綜合站控系統、現場設備等邊緣應用分布廣泛的特點，從安全通信網絡、安全區域邊界、安全計算環境、安全管理中心和安全管理要求等幾個維度來構建綜合安全防護體系。如下圖所示。

燃氣管網SCADA系統網絡安全拓撲示意圖

安全通信網絡：對燃氣管網SCADA系統的訪問邏輯進行梳理，優化網絡結構，按照網絡資產的屬性與訪問邏輯，合理劃分網絡安全域，在燃氣管網SCADA系統網絡的邊界部署安全隔離與訪問控制措施實現必要的邊界安全防護，部署物聯網安全網關平臺，通過對數據進行加密傳輸，有效降低數據被泄露和篡改的風險。在門站(調壓站)、壓力測點等入網側部署物聯網安全通信終端，通過對數據進行加密傳輸，有效降低數據被泄露和篡改的風險，同時能夠對威脅進行實時報警，并對違規行為進行阻斷，降低網絡層的攻擊行為發生風險。

安全區域邊界：在重要的安全域邊界設計部署安全隔離與訪問控制措施，對重要安全域進行必要的安全防護。在燃氣管網SCADA系統中我們將重點對調度中心、門站等所在的安全域進行安全隔離與訪問控制，保證燃氣管網SCADA系統的運行安全。

安全計算環境：對全網的服務器、操作員站、工程師站等主機系統設計安裝必要的安全管控措施，實現對主機系統必要的安全管控，保障主機系統運行安全，主機安全管控措施包括主機進程管控、主機USB口外界管理等，實現主機防病毒、防第三方軟件非授權安裝使用、防USB設備非法連接與數據拷貝等功能，提升人機交互界面必要的安全防控，提升主機系統的安全性。同時，借助于在安全管理域內部署的主機系統脆弱性掃描工具，實現對主機系統弱口令、漏洞的安全管理，通過主機加固措施，提升主機系統的抗攻擊能力。

安全管理中心：在燃氣管網SCADA中，部署集中安全管理手段，實現對全網用戶集中認證、權限管理與操作行為審計，同時部署綜合日志審計與安全管理技術手段，建立全網安全風險的集中管理、分析、可視化與聯動處置機制，部署安全威脅掃描與管理工具，全面實現全網風險的集中管理與處置，保證風險的快速感知與處置，提升安全風險的管理與處置能力。

安全管理體系：基于燃氣企業現有的安全管理組織結構與管理措施，由我方專業的安全服務人員以安全咨詢服務的形式，按照相關標準規范要求，為用戶梳理安全管理體系內容，幫助用戶健全與完善安全管理體系相關內容，從管理上完善安全管理的體系化建設，包括日常管理以及應急保障等相關內容，以構建綜合的安全防護體系，保障燃氣管網SCADA系統的安全穩定運行。

04?用戶價值

針對燃氣行業的特點和網絡現狀，同時結合行業工控系統網絡結構和安全需求，對目前燃氣管網SCADA系統存在的安全威脅提出相應解決策略。能夠幫助燃氣企業建立工控系統安全保障體系，增強安全風險防范能力，促進工控系統安全、穩定運行，降低燃氣行業工業控制系統網絡安全風險。

1、降低部署成本，兼容各種網絡環境，并提高數據傳輸安全性

采用路由器/無線/國密加密三合一功能的物聯網安全通信終端，有效降低部署成本，實現即插即用，同時采用國密算法，提高了數據傳輸安全性。

2、兼容不同運營商不同信號環境，保證信號穩定性和數據傳輸穩定性

物聯網安全通信終端采用雙4G通信模塊，雙卡雙通、雙活模式，可兼容不同運營商網絡，同時采用3天線設計，有效保障了信號的穩定性和數據傳輸的穩定性。

3、防止非法終端的接入，降低內部網絡安全風險

具備終端接入認證功能，能有效防止非法終端的接入，解決非法終端接入導致的網絡攻擊安全問題。

4、滿足合規性要求

參照國家信息安全等級保護、國家密碼法、國家數據法等相關法律文件的要求，項目建設后將達到燃氣行業安全保護的技防要求，配合燃氣行業安全管理體系的規范化建設，技防配合人防促進國家等級保護對工業控制系統網絡安全合規性，為燃氣行業工業控制系統安全保駕護航。

5、全面提升客戶安全管理水平和技術服務能力

通過安全風險評估、安全防護體系、安全管理體系等方面的規范化建設，不僅構建了以安全可控為目標、監控審計為特征、細粒度安全防護為手段的工業控制系統新一代主動防御體系，提升了燃氣管網SCADA系統的安全防護能力，也增強了安全運維能力和技術服務能力，并提升了企業的安全管理水平。

文章來源：https://mp.weixin.qq.com/s/CstUktIu5tt6pA0kqU5HEg