石化行业工控安全解决方案

《石化行业工控安全解决方案》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、石化行业工控安全解决方案龙国东威努特—工控安全专家石油石化中工业信息化网络的应用石油和化工企业的信息化分为三层结构：第一层以PCS(ProcessControlSystem，过程控制系统)为代表的生产过程基础自动化层。；第二层以MES(ManufacturingExecutionSystem，制造执行系统)为代表的生产过程运行优化层；第三层以ERP(EnterpriseResourcePlanning，企业资源计划)为代表的生产过程经营优化层。“信息化带动工业化，工业化Page2促进信息化”是中国

2、的国策。威努特—工控安全专家工业信息化网络面临的挑战Page3威努特—工控安全专家石油石化行业工控网络的安全问题与风险生产控制网络缺乏自身全面的安全性设计A我国石油石化行业生产控制系统安全防护滞后于系统的建设速度，生产控制系统缺乏自身的安全性设计。在信息安全意识、策略、机制、法规标准等方面都存在不少问题。工控网络存在一定的脆弱性B（1）已建项目主要软硬件多为进口，可能存有后门（2）油气开采、管道储运广泛使用无线通信，易被野外搭线监听、窃密和干扰（3）部分网络借用公共电信网络和互联网组网，增加了网络

3、接入风险工控网络面临着现实和潜在的威胁C现实威胁：U盘滥用、病毒肆虐、软件乱装、违规操作、缺少有效的访问控制手段潜在威胁：攻击石油石化行业工控系统技术门槛越来越低，易被信息战攻击工控网络安全防护体系尚未形成D（1）关键资产底数不清楚（2）严重漏洞难以及时处理，系统软件补丁管理困难，难以应对APT攻击（3）两化融合加速了网络安全风险的暴露Page4威努特—工控安全专家石油石化行业生产控制系统信息安全主要目标保护工控系统免受病毒等恶意代码的侵袭。可用性1避免工控系统遭受人为恶意或者无意的违规操作。2完

4、整性防范外部、内部的网络攻击。在不利条件下维护生产系统功能。3保密性安全事件发生后能迅速定位找出问题根源。Page5威努特—工控安全专家构筑工控网络安全“白环境”监控防护体系运用白名单的思想，通过对工控网络流量、工作站软件运行状态等进行监控，运用大数据技术收集并分析流量数据及工作站状态，建立工控系统及网络正常工作的安全模型，进而构筑工业控制系统的网络“安全白环境”。核心理念1.只有可信任的设备，才允许接入控制网络；2.只有可信任的命令，才能在网络上传输；3.只有可信任的软件，才能在主机上执行；核心

5、技术1.创新的“软可信”计算技术，降低方案成本，提高实用性；2.机器自学习“白环境”智能建模技术，降低维护成本，提高易用性；3.高速工控协议深度包解析技术，具备高安全性，低时延影响；Page6威努特—工控安全专家白名单机制“白名单”主动防御技术是通过提前计划好的协议规则来限制网络数据的交换，在控制网到信息网之间进行动态行为判断。通过对约定协议的特征分析和端口限制的方法，从根源上节制未知恶意软件的运行和传播。“白名单”安全机制是一种安全管理规范，不仅应用于防火墙软件的设置规则，也是在实际管理中要遵循

6、的原则，例如在对设备和计算机进行实际操作时，需要使用指定的笔记本、U盘等，管理人员只信任可识别的身份，未经授权的行为将被拒绝。Page7威努特—工控安全专家纵深防御解决方案1、网络分层分区，边界访问控制，避免无授权设备对区域的访问。2、自学习建立工控系统及网络正常工作的安全模型（安全白环境）和安全基线。3.基于通信“白环境”边界和区域的攻击防御和过滤4.基于通信“白环境”建立全网异常检测体系，实时检测恶意网络攻击，蠕虫扩散等5.终端安全：包括主机安全和DCS等工控设备安全6.统一安全管理和审计：响

7、应异常，分析、审计攻击事件7、动态安全：新攻击手段、防护方案、兼容性和影响进行验证。8.符合国际电工委员会（IEC）制定的工控安全防护62443标准Page8威努特—工控安全专家边界防护1、安全分区：建立功能分区，划分安全区与非安全区2、边界访问控制：工业边界防火墙通过对工业专有协议的深度解析，智能学习工控操作指令和参数建立网络和通讯“白环境”，阻止来自3、2、等层之间的越权访问，病毒、蠕虫恶意软件扩散和入侵攻击，保护控制系统安全运行。3、纵向边界深度攻击防护：工业通信协议白名单，通信关系模型；4

8、.可以解决：非授权访问；蠕虫病毒网络间扫描、传播；工业病毒针对DCS的定向攻击（利用漏洞，协议）Page9威努特—工控安全专家区域防护1、区域划分：控制系统复杂多样，但依据生产车间或装置可进行功能分区2、区域访问控制；工业防火墙通过对工业专有协议的深度解析，智能学习工控操作指令和参数建立网络和通讯“白环境”，阻止来自区域之间的越权访问，病毒、蠕虫恶意软件扩散和入侵攻击，保护控制系统安全运行。实现横向逻辑隔离，将危险源控制在有限范围内。3.工业协议的安全检查。3.机架式防火墙适于工业