2024石油石化行业工控系统网络安全等级保护解决方案

石油石化行业工控系统网络安全等级保护解决方案石油石化行业工控安全业务版块石油石化行业工控安全业务版块 中石油 中石化 中海油 采油炼采油炼化销售中石油大庆油田有限责任公司中石油辽河油田公司中石油长庆油田公司中石油新疆油田公司中石油大港油田公司中石油华北油田公司2…………2

中石油大庆石化公司中石油抚顺石化公司中石油辽阳石化公司中石油独山子石化公司中石油乌鲁木齐石化公司中石油锦州石化公司中石油锦西石化公司中石油大庆炼化公司…………

中石油西北销售公司中石油东北销售公司工程技术服务企业 工程建设企业 科研及事业单位工程技术服务企业工程建设企业科研及事业单位中石油川庆钻探工程公司中石油长城钻探工程公司中石油西部钻探工程公司中石油渤海钻探工程公司中石油海洋工程有限公司中石油东方地球物理公司3……3

中石油工程设计有限责任公司中国寰球工程公司中石油第七建设公司中石油第一建设公司……

中石油工程技术研究院中石油勘探开发研究院01石油石化行业安全建设的驱动力0203炼化企业工控系统安全解决方案炼化企业工控网络安全现状CONTENTS01石油石化行业安全建设的驱动力0203炼化企业工控系统安全解决方案炼化企业工控网络安全现状目录04油田企业工控网络安全现状04油田企业工控网络安全现状05油田企业工控系统安全解决方案06常见问题05油田企业工控系统安全解决方案06常见问题01石油石化行业安全建设的驱动力01封闭网络，不再是安全的绿洲封闭网络，不再是安全的绿洲伊朗“震网”病毒事件，导致上千台离心机损坏

国内某石化企业某装置控制系统感染Conficker病毒，造成控制系统服务器与控制器通讯不同程度地中断

Wannacry勒索病毒席卷全球，中石油2万多座加油站断网

国内某炼化企业APC系统受病毒攻击，造成企业生车 国内某炼化企业生产系统遭受挖矿病毒攻击，控制站频繁蓝屏重启，造成生产装置紧急停车2010年 2011年 2017年国内某炼化企业生产系统遭受挖矿病毒攻击，控制站频繁蓝屏重启，造成生产装置紧急停车

2019年

2019年6工业控制网络安全事件在近几年呈现稳步增长的趋势，2019年被ICS-CERT收录的攻击事件达到329件 62012-2019年全球工控安全事件报告数量 2019年工控安全事件所属行业细分典型事件：土耳其输油管道爆炸典型事件：土耳其输油管道爆炸2014年12月4日，土耳其境内，由伊拉克向土耳其输送原油的输油管道爆炸。为监控从里海通向地中海的英里的石油管道，在管道内安装了探

5.控制阀门，增加

4.控制操作员站

视频服务器

器，关闭警报通过其它视频监控网络而管道爆炸前，却没有上报一个遇险信号，原因是黑客关闭了警报、切断了通信。

管道压力道爆炸

查看到有两名黑客出现在石油管道附近7国家顶层设计，行业规范驱动安全建设国家顶层设计，行业规范驱动安全建设88工业控制系统信息安全防护指南工业控制系统信息安全防护指南网络安全法与石油石化网络安全法与石油石化99《中华人民共和国网络安全法《中华人民共和国网络安全法》第十二届全国人民代表大会常务委员会第二十四次会议通过《《国家网络安全检查操作指南》中央网信办网络安全协调局2016年6月等级保护2.0—基本要求等级保护2.0—基本要求1010工业控制系统信息安全防护指南工业控制系统信息安全防护指南工业控制系统信息安全防护指南一、安全软件选择与管理二、配置和补丁管理工业控制系统信息安全防护指南三、边界安全防护四、物理和环境安全防护五、身份认证六、远程访问安全七、安全监测和应急预案演练八、资产安全11九、数据安全11石油石化行业网络安全标准规范石油石化行业网络安全标准规范12122.3.5防病毒软件宜优先选用主动式防病毒软件，以防止病毒软件攻击正常操作软件导致事故发生。防病毒软件必须为合法授权的正式版本2.3.5防病毒软件宜优先选用主动式防病毒软件，以防止病毒软件攻击正常操作软件导致事故发生。防病毒软件必须为合法授权的正式版本,并通过工控厂家兼容性等测试。13中国石化生【2019】318号02炼化企业工控网络安全现状02炼化企业工控网络安全现状炼化企业工控网络安全现状横向分区纵向分层OPC数据传输横向分区纵向分层OPC数据传输SIS与DCS通信独立设置APCAPC与OPC隔离霍尼韦尔数据服务层操作监控层1515炼化企业工控系统主要的安全隐患炼化企业工控系统主要的安全隐患生产运行管理层数据服务层

生产运行管理网与过程控制网之间的OPC数据采集机采用双网卡配置，无其他任何防护措施。无法阻止病毒传播。操作监控层过程控制层16现场设备层16生产运行管理层数据服务层操作监控层

APC系统通常可以由先进控制软件供应商自由操作，自身无任何防护措施，存在感染病毒的高风险隐患。过程控制层17现场设备层17生产运行管理层数据服务层操作监控层

根据系统制造商不同，基于TCP／IP技术的通信协议是不一样的，例如HoneywellPKS使用的是FTE，横河CS3000使用的是Vnet。一旦某一个工程师站出现问题，就会扩展到不同的FAR内。过程控制层18现场设备层1803炼化企业工控系统安全解决方案03基于“白环境”的“纵深防御安全防护技术体系”①网络分区分域②强化安全区域边界访问控制能力③提高网络内、外入侵和恶意代码防御能力油田生产控制系统④提高违规内联、外联检测能力油田生产控制系统⑤提高系统内主机病毒防范能力⑥提高主机身份认证能力，采用双因子认证机制⑦一键式安全加固，提高主机安全基线⑧关闭不必要的服务端口，提高入侵防范能力⑨利用访问控制策略，保证业务配置文件不被篡改⑩加强第三方运维人员行为管理⑪提高日志审计能力，审计日志至少保存12个月⑫建立统一安全管理中心，强化集中管控能力20⑬技术手段辅助业主完成定期自检20切入点—全面风险评估，寻找问题症结点风险评估分析是对油田生产控制系统网络内各资产进行安全管理的先决条件，其目的在于识别和评估不同用户所面临的生产安全风险和网络安全风险。风险分析的典型内容：工控系统资产梳理，分析价值；识别已有的安全防护措施；资产脆弱性及面临的威胁分析；21安全风险综合分析。211.石油炼化企业工控网络分层分区1.石油炼化企业工控网络分层分区按照向分层”的网络划分原则，“先边界安全加固、后深入内部防护”的防护思路，构建安全可靠的网络安全结构。管理。工业 非工控系 业控22统 系统222.强化安全区域边界访问控制能力2.强化安全区域边界访问控制能力工业互联防火墙工业防火墙

工业防火墙工业互联防火墙23233.提高工控系统网络内、外入侵和恶意代码防御能力3.提高工控系统网络内、外入侵和恶意代码防御能力入侵检测系统工控安全监测与审计系统

入侵检测系统工控安全监测与审计系统244.提高违规内联、外联检测能力4.提高违规内联、外联检测能力工控主机卫士交换机关闭不必要端口交换机进行IP/MAC绑定工控主机卫士开启非法外联策略工控主机卫士255.提高系统内主机病毒防范能力5.提高系统内主机病毒防范能力工控主机卫士切断恶意代码/病毒通过U盘摆渡到系统内部的途径启动文件级白名单策略，防止恶意代码/病毒/非法软件执行26USB隔离器266.提高主机身份认证能力，采用双因子认证机制6.提高主机身份认证能力，采用双因子认证机制工控主机卫士关键服务器采用双因子认证静态密码+UKEY27工控主机卫士277.一键式安全加固，提高主机安全基线7.一键式安全加固，提高主机安全基线工控主机卫士内置42条安全基线规则一键式配置，降低手动加固成本工控主机卫士288.关闭不必要的服务端口，提高入侵防范能力8.关闭不必要的服务端口，提高入侵防范能力工控主机卫士内置防火墙功能，关闭不必要端口一键式配置，降低手动加固成本工控主机卫士299.利用访问控制策略，保证业务配置文件不被篡改9.利用访问控制策略，保证业务配置文件不被篡改工控主机卫士基于标记的强制访问控制自主访问控制30工控主机卫士3010.加强运维人员行为管理10.加强运维人员行为管理安全管理中心

安全运维管理系统运维人员身份鉴别运维人员操作授权运维人员操作授权运维人员行为审计运维人员行为审计安全运维管理系统3111.提高日志审计能力，审计日志至少保存12个月11.提高日志审计能力，审计日志至少保存12个月安全管理中心

统一安全管理平台泛化多种类设备（主机、网络、安全）日志快速准确的识别安全事件，发现违规行为统一安全管理平台3212.建立统一安全管理中心，强化集中管能力12.建立统一安全管理中心，强化集中管能力安全管理中心

统一安全管理平台安全产品集中管理加密传输通道高度可视化双机热备，高度可靠33统一安全管理平台33存量-石油化工工控安全整体解决方案存量-石油化工工控安全整体解决方案工业防火墙工业互联防火墙工控安全监测与审计系统入侵检测系统工控主机卫士34USB隔离器34新建-石油化工工控安全整体解决方案新建-石油化工工控安全整体解决方案工业防火墙工业互联防火墙工控安全监测与审计系统入侵检测系统工控主机卫士35USB隔离器3504油田企业工控网络安全现状04油田企业网络现状分析

第一级：油田公司级，以采油厂数据（实时、关系）据源对象，建立总公司级生产指挥系统；生产情况，以监视分析为主；第三级：作业区级，区分管理网和生产网，建设的有SCADA系统，火墙，大部分处于无防护状态（公网的边界）；DCS系统，其他以PLC居多，工业控制设备种类多；通讯协议多以OPC、Modbus、Profinet、S7等为主。37度要求范围大，环境比较恶劣，常使用RTU系统；使用PLC系统；在大型联合站及轻烃回收等场合控制点数多，回路控制多，常使用DCS系统。3705油田企业工控系统安全解决方案051.油田企业工控网络分层分区1.油田企业工控网络分层分区按照分层”的网络划分原则；“先边界安全加固、后深入内部防护的防护管理。生产控制制系生产控制制系系统 统392、强化安全区域边界访问控制能力2、强化安全区域边界访问控制能力安全隔离与信息交换系统工业防火墙40安全隔离与信息交换系统40工业防火墙3.提高网络内、外入侵和恶意代码防御能力3.提高网络内、外入侵和恶意代码防御能力4141网络威胁感知系统工控监测与审计系统网络威胁感知系统工控监测与审计系统4.提高违规内联、外联检测能力4.提高违规内联、外联检测能力工控主机卫士提高系统内主机病毒防范能力提高主机身份认证能力，采用双因子认证机制一键式安全加固，提高主机安全基线关闭不必要的服务端口，提高入侵防范能力利用访问控制策略，保证业务配置文件不被篡改42工控主机卫士4210.加强运维人员行为管理10.加强运维人员行为管理计 安全管理中心43安全运维管理系统4311.提高日志审计能力，审计日志至少保存12个月11.提高日志审计能力，审计日志至少保存12个月泛化多种类设备（主机、网络、安全）日志快速准确的识别安全事件，发现违规行为安全管理中心统一安全管理平台4412.建立统一安全管理中心，强化集中管能力12.建立统一安全管理中心，强化集中管能力安全产品集中管理加密传输通道高度可视化双机热备，高度可靠安全管理中心45统一安全管理平台45油田工控安全态势感知油田工控安全态势感知 集团态势资产态势处置态势

厂区态势威胁态势合规态势46生产安全集中监测平台46油田总体安全防护方案油田总体安全防护方案474706常见问题0649数采接口使用数采网关是否还需要部署工业防火墙？49数采网关虽然采用双网卡的模式，但由于OPC协议是基于微软的DCOM技术，因此大部分网关采用windows系统，本身就存在一定的安全风险，其次数采网关主要关注点在