2024市政行业工控网络安全解决方案

市政行业工控网络安全解决方案0203燃气工控网络安全解决方案燃气工控网络安全现状CONTENTS0203燃气工控网络安全解决方案燃气工控网络安全现状01工控网络安全形势概述01工控网络安全形势概述目录04水处理工控网络安全现状05水处理工控网络安全解决方案04水处理工控网络安全现状05水处理工控网络安全解决方案01工控网络安全形势概述01封闭网络，不再是安全的绿洲封闭网络，不再是安全的绿洲澳大利亚昆士兰Maroochy污水处理厂由于内部工程师的多次网络入侵(攻击澳大利亚昆士兰Maroochy污水处理厂由于内部工程师的多次网络入侵(攻击SCADA系统)，该厂发生了46次不明原因的控制设备功能异常事

一部被感染的笔记本电脑(维修用的)，让黑客入侵了美国宾夕法尼亚州哈里斯堡污水处理厂的计算机系统。被感染的笔记本是通过互联网安装了病毒和间谍软件这一入侵攻击，致使该地区农作物的灌溉大受影响。

2005年2007年2014年2001年2006年2011年2017年黑客通过入侵数据采集与监控系统SCADA，使得美国伊利诺伊州城市供水系统的供水泵遭到破坏。2017年受勒索病毒“Wannacry”影响，目前2005年2007年2014年2001年2006年2011年2017年黑客通过入侵数据采集与监控系统SCADA，使得美国伊利诺伊州城市供水系统的供水泵遭到破坏。4由于控制系统漏洞，导致位于路易斯安那州索克水库上的水量监控数据与远程监控站获得的数据不符，致使意外排放出10亿加仑的水。4

攻击者入侵加拿大的一个水利SCADA控制系统，通过安装恶意软件破坏了用于控制萨克拉门托河河水调度的控制计算机系统。

河南省某污水处理厂SCADA系统遭到网络黑客的攻击，加氯间的计量泵全部运行，导致消毒池内水质变化，出水余氯的数值居高不下，运营人员无法通过SCADA系统停止计量泵运行。封闭网络，不再是安全的绿洲封闭网络，不再是安全的绿洲PAGE5PAGE5苏联间谍在加拿大窃取了被植入CIA木马的SCADA软件，应用于天然气输气管道，导致泛西伯利亚天然气管线发生超级爆炸

黑客在俄罗斯某大型天然气公司内部人员的配合下，绕过该公司的网络安全防护系统，侵入该公司天然气输气管道SCADA系统，一度控制 了总控制室

黑客在俄罗斯天然气工业股份公司（Gazprom）内部人员的帮助下，突破了该公司的网络安全防护修改了控制指令

意大利石油与天然气服务公司Saipem位于沙特阿拉伯、阿拉伯联合酋长国与科威特等中东国家的服务器遭受了勒索病毒攻击1982年

1999年

2000年

2018年工业控制网络安全事件在近几年呈现持续增长的趋势，2019年被ICS-CERT收录的攻击事件达到329件 2012-2019年全球工控安全事件报告数量 2014-2019年新增工控漏洞数量 2019年工控安全事件所属行业细分国家顶层设计，行业规范驱动安全建设国家顶层设计，行业规范驱动安全建设PAGE6PAGE6工业控制系统信息安全防护指南关键信息基础设施网络安全保护基本要求工业控制系统信息安全防护指南关键信息基础设施网络安全保护基本要求网络安全法网络安全法PAGE7PAGE7《中华人民共和国网络安全法》《中华人民共和国网络安全法》第十二届全国人民代表大会常务委员会第二十四次会议通过表1关键信息基础设施业务判定表《《国家网络安全检查操作指南》中央网信办网络安全协调局2016年6月等级保护2.0—基本要求等级保护2.0—基本要求PAGE8PAGE8工业控制系统信息安全防护指南工业控制系统信息安全防护指南PAGE9PAGE9工业控制系统信息安全防护指南一、安全软件选择与管理二、配置和补丁管理工业控制系统信息安全防护指南三、边界安全防护四、物理和环境安全防护五、身份认证六、远程访问安全七、安全监测和应急预案演练八、资产安全九、数据安全关键信息基础设施网络安全保护基本要求关键信息基础设施网络安全保护基本要求PAGE10PAGE10关键信息基础设施网络安全保护基本要求 关键信息基础设施网络安全保护基本要求02燃气工控网络安全现状02燃气工业控制系统工艺简介燃气工业控制系统工艺简介12121111101911102463578天然气长距离输气系统91—井场装置；2—集气装置；3—矿场压气站；4—天然气处理场；5—起点站（或起点压气站）；6—管线上阀门；7—中间压气站；8—终点压气站；9—储气设备；10—燃气分配站；11—城镇或工业基地燃气工业控制系统工艺简介燃气工业控制系统工艺简介 管路中的天然水合物 排出的天然水合物三甘醇脱水三甘醇脱水装置主要由吸收系统和再生系统两部分构成，工艺过程的核心设备是吸收塔，天然气脱水过程在吸收塔内完成，再生塔是完成三甘醇富液的再生操作。一般在要求贫液中三甘醇的质量浓度大于99%时，提升甘醇再生质量脱水效果。13原料天然气从吸收塔的底部进入，与从顶部进入的三甘醇贫液在塔内逆流接触，脱水后的天然气从吸收塔顶部离开，三甘醇富液从塔底排出，经过再生塔顶部冷凝器的排管升温后进入闪蒸罐，尽可能闪蒸出其中溶解的烃类气体，离开闪蒸罐的液相经过过滤器过滤后流入贫/富液换热器、缓冲罐，进一步升温后进入再生塔。在再生塔内通过加热使三甘醇富液中的水分在低压、高温下脱除，再生后的三甘醇贫液，贫/富液换热器冷却后，经甘醇泵泵入吸收塔顶部循环使用。13燃气工业控制系统工艺简介燃气工业控制系统工艺简介PAGE14PAGE14天然气水合物（Naturalgashydrate），是由天然气与水分子在一定压力和较低温度条件下形成的一种固态结晶物质。因天然气中80％~90％的成分是甲烷，故也有人称天然气水合物为甲烷水合物（Methanehydrate）。纯天然气水合物多呈白色或浅灰色晶体，外貌类似冰雪，可以像酒精块一样被点燃，所以又俗称为“可燃冰”。如果管道中天然气的饱和含水量含量较高的话，在天然气传输管道内就会形成水合物。工人施工排出水合物等杂质

清理管道的收发球装置

清理管道的收发球装置燃气工业控制系统工艺简介燃气工业控制系统工艺简介PAGEPAGE15阴极保护装置

腐蚀是一个电化学的过程，阴极保护是通过外加电阻止腐蚀的电化学过程。阴极保护系统在恰当的环境下，会阴极保护系统是一种外加的电气系统，通过提供很小的电流来中和腐蚀电池产生的电流。阴极保护系统移除部分的腐蚀电池从而使腐蚀停止。阴极保护系统能够处理一般的腐蚀情况。阴极保护不神秘也不复杂：它只是电化学原理的直接应用。阻断已经发生的腐蚀。阴极保护装置柜压缩机燃气工业控制系统工艺简介燃气工业控制系统工艺简介PAGE16PAGE16加压 分输 旁路 越站 放空 排污 清管燃气工业控制系统工艺简介燃气工业控制系统工艺简介PAGE17PAGE17 放空塔 清管装置 安全放散装置安全切断阀 安全切断阀 加臭装置行业先进技术应用，加快安全落地步伐行业先进技术应用，加快安全落地步伐PAGEPAGE18智慧燃气智慧燃气智能气网智能管网“互联网+”智慧能源燃气工控系统典型管理架构燃气工控系统典型管理架构集团公司级（一级，只监不控）大区公司级（二级，只监不控）项目公司级（三级，既监又控）就地场站级（四级，既监又控）

据业务交互繁杂，不易定义安全边界；场站形式多样化，包括门站、各级调压站，CNG站、LNG站、工商业用户、管网监测点、阀室等各类站点。不同业务站点安全需求不一致；通信形式多样化，包括了无线GPRS/CDMA专线等；19依靠统一管理，安全建设亦如此。19燃气工控系统网络特点分析燃气工控系统网络特点分析、网络设备等；场站按照是否配置上位监控系统分为有人值守站和人值守站度中心指令、对设备进行控制等；按照设计，城市燃气SCADA系统相对封闭，但心有接口与外部网络连接，场站有多个接口连接调度中心；就地具有控制权限，部分调度中心有控制权限；采集数据的传输多采用工控协议如MODBUSDNP3.0；个别业务交叉数据交换采用OPC协议；、多采用国外产品，如西门子、MOXA、Honeywell、Schneider等等。 20燃气SCADA系统核心业务安全需求燃气SCADA系统核心业务安全需求外部边界安全确保SCADA系统与其他系统边界的最小化访问控制策略，同时具备入侵防护、恶意代码防范、应用层过滤等综合防护能力内部边界安全严格限制各有人、无人场站接入SCADA系统调度中心的业务端口，并对调度中心服务器、工程师站与场站监控节点业务交互行为的进行安全监控实时威胁监测需要对SCADA系统调度中心、重要场站21内网安全威胁进行实时监测，发现未知威胁攻击、非法外联、异常流量和异常操作等行为21

主机安全防护 SCADA系统关键主机需要具备病毒、木马等防范能力，包括勒索病毒等变种较快恶意代码；有效管控关键主机移动存储介质；对主机自身操作系统的安全加固。安全管理安全问题从来就不是单纯的技术问题，必须要把技术措施和管理措施结合起来，更有效的保障SCADA系统的整体安全性。同时在管理上需要综合考虑合规性措施，如日志留存、远程运维等。22某燃气公司抄表系统接入互联网/弱口令222015年，国内某燃气公司远程抄表系统直接暴露在互联网上，同时系统管理员账号存在弱口令，进入系统后可获取用户侧关键信息，并可对用户信息进行任意修改。03燃气工控网络安全解决方案03PAGE24PAGE24基于“白环境”的纵深安全防护技术体系市政行业工业控制系统①网络分区分域市政行业工业控制系统②强化安全区域边界访问控制能力③提高网络内、外入侵和恶意代码防御能力④提高违规内联、外联检测能力⑤提高系统内主机病毒防范能力⑥提高主机身份认证能力，采用双因子认证机制⑦一键式安全加固，提高主机安全基线⑧关闭不必要的服务端口，提高入侵防范能力⑨利用访问控制策略，保证业务配置文件不被篡改⑩提高日志审计能力，审计日志至少保存12个月⑪加强运维人员行为管理⑫建立统一安全管理中心，强化集中管控能力⑬技术手段辅助业主完成定期自检切入点—全面风险评估，寻找问题症结点切入点—全面风险评估，寻找问题症结点PAGE25PAGE25风险评估分析是对工控网络内各资产进行安全管理的先决条件，其目的在于识别和评估不同用户所面临的危害和风险。风险分析的典型内容：工控系统资产梳理，分析价值；识别已有的安全防护措施；资产脆弱性及面临的威胁分析；安全风险综合分析。1.实施SCADA系统网络分区分域1.实施SCADA系统网络分区分域内部安全域2内部安全域2内部安全域N内部安全域1外部区域办公网-外部区域调度中心-系统内部一级安全域先边界安全加固、后深入内部防护26场站-系统内部二级安全域262.强化安全区域边界访问控制能力2.强化安全区域边界访问控制能力ACL+应用级白名单工控协议合规性验证协议功能码、点值控制控制逻辑合理性验证安全隔离与信息交换系统27工业防火墙273.提高网络内、外入侵和恶意代码防御能力3.提高网络内、外入侵和恶意代码防御能力边界基于应用级白名单的行为监测关键网络节点基于流量的未知威胁监测调度中心核心网络对APT攻击的实时检测28网络威胁感知系统 工控安全监测审计系统284.提高违规内联、外联检测能力4.提高违规内联、外联检测能力交换机关闭不必要端口交换机IP/MAC绑定交换机关闭不必要端口交换机IP/MAC绑定工控主机卫士开启非法外联策略29工控主机卫士295.提高系统内主机病毒防范能力5.提高系统内主机病毒防范能力切断恶意代码/病毒通过U盘摆渡到系统内部的途径启动文件级白名单策略，防止恶意代码/病毒/非法软件执行统杀毒软件难以及时更新特征库缓冲区溢出、0day漏洞利用等攻击方式，传统杀毒软件存在短板杀毒软件或将业务软件误识为病毒而删除30工控主机卫士306.提高主机身份认证能力，采用双因子认证机制6.提高主机身份认证能力，采用双因子认证机制关键服务器采用双因子认证静态密码+UKEY31工控主机卫士317.一键式安全加固，提高主机安全基线7.一键式安全加固，提高主机安全基线内置42条安全基线规则一键式配置，降低手动加固成本工控主机卫士 328.关闭不必要的服务端口，提高入侵防范能力8.关闭不必要的服务端口，提高入侵防范能力内置防火墙功能，关闭不必要端口一键式配置，降低手动加固成本工控主机卫士 339.利用访问控制策略，保证业务配置文件不被篡改9.利用访问控制策略，保证业务配置文件不被篡改基于标记的强制访问控制自主访问控制34工控主机卫士3410.提高日志审计能力，审计日志至少保存12个月10.提高日志审计能力，审计日志至少保存12个月安全管理中心

范式化多种类设备（主机、网络、安全）日志快速准确的识别安全告警，发现违规行为35日志审计与分析系统3511.加强运维人员行为管理11.加强运维人员行为管理运维人员身份鉴别安全管理中心

运维人员操作授权计 36安全运维管理系统3612.建立统一安全管理中心，强化集中管控能力12.建立统一安全管理中心，强化集中管控能力安全管理中心

安全产品集中管理加密传输通道高度可视化双机热备，高度可靠37安全管理平台3713.技术手段辅助业主完成定期自检13.技术手段辅助业主完成定期自检安全管理中心

漏洞扫描报告输出指导意见38工控漏洞扫描平台38燃气工控系统总体防护方案（三级）燃气工控系统总体防护方案（三级）安全管理中心安全管理中心统一安全管理平台工业防火墙网络威胁感知系统工控主机卫士安全运维管理系统39日志审计与分析系统3904水处理工控网络安全现状04水处理工业控制系统工艺简介水处理工业控制系统工艺简介PAGE41PAGE41物理法通过物理作用，分离、回收水中呈悬浮状态的污染物质，在处理过程中不改变污染物的化学性质。常用的物理处理工艺：粗格栅、细格栅、沉砂池、沉淀池、过滤等。

生物法是指通过水中微生物的代谢作无害的物质，从而使污水得到净化。。一般认为污水的BOD5/COD0.3时，才适用于生化法。

化学法通过化学反应和传质作用，来分离、回收污水中呈溶解、胶体状态的污染物质，或将其转换为无害物质。化学法通常包括：中和，混凝沉淀，氧化还原，离子交换等。 一级处理（采用物理方法，主要通过格栅拦截、沉淀等手段去除废水中大块悬浮物和砂粒等物质。）调节池、格栅、沉沙池、初次沉淀池二级处理（采用生化方法，主要通过微生物的生命运动等手段来去除废水中的悬浮性，溶解性有机物以及氮、磷等。）例如好氧活性污泥法、生物膜法、自然净化设施三级处理（深度处理，是进一步去除二级处理未能去除的污染物，如磷、氮及生物难以降解的有机污染物、无机污染物、病原体等。）混凝、过滤、臭氧、膜处理行业先进技术应用，加快安全落地步伐行业先进技术应用，加快安全落地步伐PAGE44PAGE44Cloud

AnalysisSocialMobileManagement水处理工控系统典型布局水处理工控系统典型布局PAGE45PAGE45流量、水质、设备启停监控。障统计、报警统计。统、三维管线GIS系统等。通信形式多样化，包括了GPRS通讯、、RS458、卫星通信，有线的光纤，专网等；水处理工控系统网络特点分析水处理工控系统网络特点分析4646水处理工控系统主要由水区环网、水处理工控系统主要由水区环网、泥区环网、工控环网等系统组成。系统存在以下特点：Schneider、HollySys、AB等品牌控制产品；、华为、研华等工业级产品；各工控系统主机操作系统主要采用Windows系统、应用软件主要采用WinCC、ForceControl、等公司产品；企业资源层与水处理厂SCADA系统生产管理层通过、OPC协议和Modbus协议等；工控系统安全有待加固；水处理工控系统核心业务安全需求水处理工控系统核心业务安全需求PAGE47PAGE47外部边界安全出于远程维护和中心化管理的要求，其网络内部的互联性更高，一旦遭受蠕虫等恶意软件的入侵，能够短时间影响到整个工业网络，急需边界防护。 内部边界安全 Modbus协议和OPC协议等通用协议越来越广泛的应用在工控系统中，随之而来的通信协议漏洞问题也日益突出，急需在水区环网、泥区环网以及生产网络内部深度解析工业协议，防止恶意操作和攻击。 实时威胁监测 工业网络的价值通常较高，导致工业网络量的精准打击。急需对水处理SCADA系，发现未知威胁攻击、非法外联、异常流量和异常操作等行为

主机安全防护工业网络设计的原则之一是与互联网隔离，导致处于隔离网络内的终端无法接收到系统补丁，无法实时更新病毒库；而新病毒库、补丁与现有工业软件存在冲突的风险；急需恶意代码防范、主机加固、移动介质管理；安全管理安全问题从来就不是单纯的技术问题，必须要把技术措施和管理措施结合起来，更有效的保障SCADA系统的整体安全性。同时在管理上需要综合考虑合规性措施，如日志留存、远程运维等。某水处理工控系统工控软件存在风险某水处理工控系统工控软件存在风险PAGEPAGE4805水处理工控网络安全解决方案055050水处理工控系统总体防护方案（三级）统一安全管理平台交换防火墙工业防火墙网络威胁感知系统工控主机卫士安全运维管理系统日志审计与分析系统06典型案例介绍06安全建设典型案例—某燃气集团安全建设典型案例—某燃气集团PAGE52PAGE52客户背景该燃气集团致力于燃气供应、输、储、配、销售及管网的设计等业务。公司天然气供应范围覆盖20多个区县，服务客户百万级用户。核心需求问题；站缺乏恶意代码防范措施；体安全加固；解决方案在调度中心和各场站之间部署工业防火墙，进行网络层级间的安全隔离和防护；在重要储配站部署工业防火墙，利用工业防火墙的深度工控协议解析技术，阻断恶意攻击和各种高危操作行为；在调度中心、各场站、门站的工程师站、操作员站及服务器上部署工控主机卫士，对各个区域的主机进行安全防护；在调度中心部署统一安全管理平台，对工控网络中的安全产品进行统一管理、配置、维护和日志搜集，便于综合分析、及时定位问题。用户收益益”的防护效果；通过整体安全方案协助用户顺利通过等保三级测评。安全服务典型案例—某燃气集团安全服务典型案例—某燃气集团PAGE55PAGE55客户背景工控网络整体安全运维服务某燃气集团以从事城市燃气供应、燃气管网设施的投资、经营为主，是某市城市燃气高压管网建设及燃气购销唯一主体，拥有包括商业、工业工控网络整体安全运维服务、公福及居民等用户达183.96万户，燃气输配管网超过