青島煉化公司一期1000萬(wàn)噸/年煉油項(xiàng)目是我國(guó)批準(zhǔn)建設(shè)的第一個(gè)單系列千萬(wàn)噸級(jí)煉油項(xiàng)目，是中國(guó)石化調(diào)整國(guó)內(nèi)煉化產(chǎn)業(yè)布局、打造環(huán)渤海灣煉化產(chǎn)業(yè)集群的重大戰(zhàn)略項(xiàng)目。青島煉化公司一期1000萬(wàn)噸/年煉油裝置采用西門(mén)子PCS 7 V6.1過(guò)程控制系統(tǒng)作為過(guò)程控制系統(tǒng)系統(tǒng)，控制I/O 點(diǎn)數(shù)在23000點(diǎn)左右。二期擴(kuò)建部分包括苯乙烯、加氫裂化、制氫等裝置，采用西門(mén)子PCS 7 V7.0過(guò)程控制系統(tǒng)作為過(guò)程控制系統(tǒng)系統(tǒng)，控制I/O 點(diǎn)數(shù)在5500點(diǎn)左右。青島煉化DCS系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖如圖1所示。
圖1網(wǎng)絡(luò)結(jié)構(gòu)圖
信息安全需求
青島煉化DCS系統(tǒng)自2008年5月投用以來(lái)運(yùn)行良好。但從2009年底開(kāi)始，在調(diào)用趨勢(shì)時(shí)，有零星的操作員站死機(jī)現(xiàn)象出現(xiàn)。 青島煉化聯(lián)合西門(mén)子的技術(shù)人員，對(duì)該細(xì)節(jié)進(jìn)行認(rèn)真的分析和判斷，最終發(fā)現(xiàn)故障原因是由于系統(tǒng)內(nèi)感染了多種網(wǎng)絡(luò)病毒。
在確認(rèn)故障原因后，青島煉化、中石化工程建設(shè)有限公司(SEI)、西門(mén)子共同研究制定解決方案。
信息安全概念
在IEC 62443 中針對(duì)工業(yè)控制系統(tǒng)對(duì)信息安全的定義是：
· 保護(hù)系統(tǒng)所采取的措施;
· 由建立和維護(hù)保護(hù)系統(tǒng)的措施所得到的系統(tǒng)狀態(tài);
· 能夠免于對(duì)系統(tǒng)資源的非授權(quán)訪問(wèn)和非授權(quán)或意外的變更、破壞或者損失;
· 基于計(jì)算機(jī)系統(tǒng)的能力，能夠保證非授權(quán)人員和系統(tǒng)既無(wú)法修改軟件及其數(shù)據(jù)也無(wú)法訪問(wèn)系統(tǒng)功能，卻保證授權(quán)人員和系統(tǒng)不被阻止;
· 防止對(duì)工業(yè)控制系統(tǒng)的非法或有害入侵，或者干擾其正確和計(jì)劃的操作。
目前，我國(guó)《計(jì)算機(jī)信息安全保護(hù)條例》的權(quán)威定義是：通過(guò)計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)手段，使計(jì)算機(jī)系統(tǒng)的硬件、軟件、數(shù)據(jù)庫(kù)等受到保護(hù)，最大可能不因偶然的或惡意的因素而遭破壞、更改或泄密，系統(tǒng)能夠正常運(yùn)行，使用戶獲得對(duì)信息使用的安全感。信息安全的目的是保護(hù)信息處理系統(tǒng)中存儲(chǔ)、處理的信息的安全，其基本屬性有：完整性、可用性、保密性、可控性、可靠性。
隨著信息技術(shù)迅猛發(fā)展，計(jì)算機(jī)及其網(wǎng)絡(luò)、移動(dòng)通信和辦公自動(dòng)化設(shè)備日益普及，國(guó)內(nèi)大中型企業(yè)為了提高企業(yè)競(jìng)爭(zhēng)力，都廣泛使用信息技術(shù)，特別是網(wǎng)絡(luò)技術(shù)。企業(yè)信息設(shè)施在提高企業(yè)效益的同時(shí)，給企業(yè)增加了風(fēng)險(xiǎn)隱患，網(wǎng)絡(luò)安全問(wèn)題也一直層出不窮，給企業(yè)所造成的損失不可估量。
DCS系統(tǒng)作為企業(yè)生產(chǎn)控制所必不可少的組成部分，技術(shù)上基于計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)。因此，DCS系統(tǒng)同樣面臨著網(wǎng)絡(luò)安全的問(wèn)題。由于DCS系統(tǒng)在工廠內(nèi)的重要性和特殊性，確保DCS系統(tǒng)的信息安全更為重要。這對(duì)于確保工廠的平穩(wěn)運(yùn)行和安全生產(chǎn)具有極為重要的意義。
圖2工業(yè)信息安全與辦公信息安全的比較
在辦公I(xiàn)T領(lǐng)域，其系統(tǒng)安全需求一般可描述為CIA，即機(jī)密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。由于在辦公I(xiàn)T系統(tǒng)中，數(shù)據(jù)通信多為人與人之間的通信，往往涉及到各種敏感(如財(cái)務(wù)、人事、企業(yè)戰(zhàn)略決策等)數(shù)據(jù)，所以保證機(jī)密性是第一位的。其次才是保證數(shù)據(jù)的完整性，防止攻擊者的惡意篡改等。由于辦公網(wǎng)一般都為非實(shí)時(shí)通信，對(duì)可靠性的要求也并不高，所以系統(tǒng)的可用性被放到了第三位。
而工業(yè)自動(dòng)化控制領(lǐng)域，尤其是過(guò)程控制領(lǐng)域的安全需求則與辦公I(xiàn)T系統(tǒng)領(lǐng)域恰好相反。在過(guò)程控制領(lǐng)域，第一位的安全需求是可用性，這是由于過(guò)程控制對(duì)象是液流、壓力、運(yùn)動(dòng)等物理量，這種控制往往還具有相當(dāng)高的實(shí)時(shí)性要求，一旦(哪怕只是很短時(shí)間地)失去控制，就會(huì)造成及其嚴(yán)重的后果。因此，必須優(yōu)先保障全年365天不間斷(24/7/365)的不間斷的可用性、可操作性，確保系統(tǒng)始終可訪問(wèn)，保障過(guò)程控制系統(tǒng)與MES系統(tǒng)間的不間斷通信。在此基礎(chǔ)上，才是保障工業(yè)控制通信的完整性。由于過(guò)程控制系統(tǒng)中的數(shù)據(jù)多數(shù)是機(jī)器與機(jī)器之間的通信，其機(jī)密性要求相對(duì)較低，所以被放到了第三位。
青島煉化信息安全方案
在深入分析青島煉化過(guò)程控制系統(tǒng)的系統(tǒng)架構(gòu)、應(yīng)用特點(diǎn)、安全現(xiàn)狀、安全威脅、以及安全需求的基礎(chǔ)上，我們將縱深防御理念引入到過(guò)程控制信息安全領(lǐng)域，結(jié)合過(guò)程控制的系統(tǒng)特點(diǎn)，重點(diǎn)研究了網(wǎng)絡(luò)分區(qū)與防護(hù)、系統(tǒng)加固與補(bǔ)丁管理等關(guān)鍵技術(shù)，提出了一個(gè)切實(shí)可行的過(guò)程控制系統(tǒng)信息安全解決方案。
本技術(shù)方案在IEC62443標(biāo)準(zhǔn)所提出的縱深防御理念基礎(chǔ)上，研究工業(yè)領(lǐng)域的工程化解決方案。通過(guò)深入研究青島煉化公司的系統(tǒng)特點(diǎn)與安全需求，將縱深防御的理念引入到過(guò)程控制系統(tǒng)安全領(lǐng)域并工程化，提出了石化行業(yè)工控系統(tǒng)分層及安全防護(hù)的參考模型。該模型不僅適用于青島煉化項(xiàng)目，在石化行業(yè)作為最佳實(shí)踐具有很高的推廣價(jià)值。
圖3縱深防御信息安全解決方案的總體架構(gòu)
維護(hù)網(wǎng)絡(luò)安全，確保石油石化過(guò)程控制系統(tǒng)的穩(wěn)定可靠、防止來(lái)自內(nèi)部或外部攻擊，就需要在過(guò)程控制系統(tǒng)安全防護(hù)領(lǐng)域引入縱深防御的理念，研究如通過(guò)風(fēng)險(xiǎn)評(píng)估定制符合不同過(guò)程控制系統(tǒng)的系統(tǒng)架構(gòu)、應(yīng)用特點(diǎn)、安全現(xiàn)狀、安全威脅、以及安全需求的安全解決方案，在不干擾過(guò)程控制業(yè)務(wù)的前提下，針對(duì)不同性質(zhì)的安全威脅，分層次、系統(tǒng)地在石化過(guò)程控制系統(tǒng)中部署上述高安全性的防護(hù)措施，這是石油石化過(guò)程控制系統(tǒng)信息安全的核心需求，也是本技術(shù)方案的研究目標(biāo)所在。
圖4信息安全方案
(1)物理安全
通過(guò)門(mén)禁系統(tǒng)等實(shí)現(xiàn)工廠的生產(chǎn)裝置、設(shè)備、系統(tǒng)等的物理安全，未經(jīng)授權(quán)人員不能接觸或靠近生產(chǎn)裝置。
(2)安全策略與流程
過(guò)程控制系統(tǒng)信息安全不是一個(gè)單純的技術(shù)問(wèn)題，而是一個(gè)從意識(shí)培養(yǎng)開(kāi)始，涉及到管理、流程、架構(gòu)、技術(shù)、產(chǎn)品等各方面的系統(tǒng)工程。
(3)網(wǎng)絡(luò)分區(qū)與邊界防護(hù)
規(guī)劃安全單元：安全單元是工廠中一個(gè)具備獨(dú)立功能的部分;在安全單元內(nèi)部的成員相互信任;對(duì)于安全單元的訪問(wèn)只能通過(guò)明確定義的訪問(wèn)點(diǎn);訪問(wèn)點(diǎn)受到監(jiān)控并且有記錄;安全單元內(nèi)的所有成員是直接連接的 ;造成高網(wǎng)絡(luò)負(fù)荷的成員直接集成在安全單元內(nèi)部 。如圖5所示:
圖5劃分工業(yè)網(wǎng)絡(luò)單元
(4)用防火墻分隔不同的安全單元
防火墻根據(jù)一定的規(guī)則檢查和過(guò)濾數(shù)據(jù);通過(guò)防火墻保障安全單元的訪問(wèn)點(diǎn);在安全單元內(nèi)部無(wú)需防火墻 。如圖6所示：
圖6 防火墻分隔網(wǎng)絡(luò)單元
(5)安全的單元間通信
采用VPN系統(tǒng)等技術(shù)實(shí)現(xiàn)安全的單元間通信。虛擬專用網(wǎng)絡(luò)(Virtual Private Network ，簡(jiǎn)稱VPN)指的是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)。其之所以稱為虛擬網(wǎng)，主要是因?yàn)檎麄€(gè)VPN網(wǎng)絡(luò)的任意兩個(gè)節(jié)點(diǎn)之間的連接并沒(méi)有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構(gòu)在公用網(wǎng)絡(luò)服務(wù)商所提供的網(wǎng)絡(luò)平臺(tái)，如Internet、ATM(異步傳輸模式〉、Frame Relay (幀中繼)等之上的邏輯網(wǎng)絡(luò)，用戶數(shù)據(jù)在邏輯鏈路中傳輸。它涵蓋了跨共享網(wǎng)絡(luò)或公共網(wǎng)絡(luò)的封裝、加密和身份驗(yàn)證鏈接的專用網(wǎng)絡(luò)的擴(kuò)展。VPN主要采用了隧道技術(shù)、加解密技術(shù)、密鑰管理技術(shù)和使用者與設(shè)備身份認(rèn)證技術(shù)。
(6)活動(dòng)目錄域和工作組
目前大多數(shù)工業(yè)控制系統(tǒng)的計(jì)算機(jī)操作系統(tǒng)均基于微軟公司的Windows平臺(tái)。Windows組成網(wǎng)絡(luò)的模式有兩種：工作組(Workgroup)和域(Domain)。大多數(shù)系統(tǒng)的組網(wǎng)方式是工作組模式，這帶來(lái)了很大的安全隱患。而只有域模式是更加安全的組網(wǎng)模式，也是本技術(shù)方案所推薦采用的組網(wǎng)模式。
在工組組模式下，所有計(jì)算機(jī)是對(duì)等的，任何一臺(tái)電腦只要接入網(wǎng)絡(luò)，其他機(jī)器就都可以訪問(wèn)共享資源，如共享上網(wǎng)等。盡管對(duì)等網(wǎng)絡(luò)上的共享文件可以加訪問(wèn)密碼，但是非常容易被破解。因此在工作組構(gòu)成的對(duì)等網(wǎng)中，數(shù)據(jù)的傳輸是非常不安全的。在工作組模式下，每臺(tái)計(jì)算機(jī)均有自己的Windows系統(tǒng)安全配置，不利于全廠統(tǒng)一安全配置，不利于檢查和修改安全配置。每臺(tái)計(jì)算機(jī)均有自己的用戶賬號(hào)，不利于對(duì)賬號(hào)和密碼進(jìn)行管理和維護(hù)。
域的真正含義指的是域控制器控制網(wǎng)絡(luò)上的計(jì)算機(jī)能否加入本網(wǎng)絡(luò)。所有已授權(quán)的、合法的計(jì)算機(jī)信息和用戶賬號(hào)信息均儲(chǔ)存在域控制器中，因此，任何人在任何計(jì)算機(jī)上要登陸網(wǎng)絡(luò)和計(jì)算機(jī)，均需要經(jīng)過(guò)身份驗(yàn)證。域控制器管理了網(wǎng)絡(luò)上所有計(jì)算機(jī)的安全配置，可以制定全廠統(tǒng)一的安全策略，實(shí)現(xiàn)網(wǎng)絡(luò)上所有計(jì)算機(jī)的安全配置同步功能。在域控制器可以集中管理和維護(hù)域內(nèi)所有計(jì)算機(jī)的用戶賬號(hào)和密碼，對(duì)于需要定期修改密碼的用戶提供了很大的便利。
圖7活動(dòng)目錄域
(7)系統(tǒng)加固與補(bǔ)丁管理
為了最大限度地保護(hù)計(jì)算機(jī)不受到病毒的侵害，需要安裝與DCS系統(tǒng)兼容的殺毒軟件，并且及時(shí)更新病毒庫(kù)。另外，Windows的補(bǔ)丁也需要及時(shí)更新才能保持操作系統(tǒng)的穩(wěn)定和健康運(yùn)行。西門(mén)子在德國(guó)的測(cè)試中心會(huì)將最新的Windows補(bǔ)丁與PCS 7系統(tǒng)的兼容性測(cè)試結(jié)果發(fā)布在網(wǎng)站上，維護(hù)人員根據(jù)這些信息可以選擇安裝補(bǔ)丁。
圖8 更新安全補(bǔ)丁
(8)惡意軟件的檢測(cè)和防護(hù)
惡意軟件的種類(lèi)繁多、變種更新頻率很快。通常的防范措施包括：安裝防毒軟件及防火墻。但是，這些措施都只能對(duì)惡意軟件的清除起到有限的作用。防病毒軟件的病毒庫(kù)只對(duì)已知的病毒起作用，因此需要及時(shí)更新病毒庫(kù)。但更新病毒庫(kù)的過(guò)程中如果操作不當(dāng)，也會(huì)增加惡意軟件的入侵來(lái)源。因此，惡意軟件的檢測(cè)和防護(hù)措施中最重要的是從源頭上檢測(cè)、控制惡意的入侵，從源頭上堵住惡意軟件。一旦惡意軟件入侵了系統(tǒng)，如何阻斷和限制在惡意軟件在系統(tǒng)內(nèi)的傳播。如何在不影響系統(tǒng)運(yùn)行的情況下，清除系統(tǒng)內(nèi)的病毒。
(9)訪問(wèn)控制與賬號(hào)管理
執(zhí)行嚴(yán)格的用戶管理和統(tǒng)一的訪問(wèn)控制是整個(gè)信息安全方案中和核心部分，本方案采取域服務(wù)器對(duì)整個(gè)過(guò)程控制系統(tǒng)進(jìn)行安全策略的統(tǒng)一管理。
訪問(wèn)控制與賬號(hào)管理的定義是確保任何人未經(jīng)授權(quán)就無(wú)法訪問(wèn)、操作過(guò)程控制系統(tǒng)的資源。嚴(yán)格的用戶/訪問(wèn)管理是整個(gè)安全策略和核心部分之一。需要遵循最小權(quán)限原則;需要定期檢查角色分配和權(quán)限;集中管理用戶，密碼和權(quán)限;確定明確的角色和權(quán)限的分配。
遠(yuǎn)程訪問(wèn)推薦的方法：遠(yuǎn)程訪問(wèn)通過(guò)VPN(虛擬專用網(wǎng))和隔離網(wǎng)絡(luò)接入;結(jié)合不同的安全技術(shù)認(rèn)證和加密。
方案的實(shí)施過(guò)程
本項(xiàng)目實(shí)施過(guò)程包括五個(gè)階段：
第一階段：青島煉化與西門(mén)子、SEI簽訂了項(xiàng)目實(shí)施合同，并召開(kāi)開(kāi)工會(huì)，明確項(xiàng)目的人員安排、實(shí)施進(jìn)度和節(jié)點(diǎn)。
第二階段：西門(mén)子和SEI進(jìn)行項(xiàng)目前期設(shè)計(jì)，制定方案，規(guī)劃方案的實(shí)施細(xì)節(jié)：如何實(shí)施縱深防御的解決方案。并在辦公室完成整個(gè)系統(tǒng)初步設(shè)計(jì)、詳細(xì)設(shè)計(jì)、軟件編程組態(tài)、硬件集成、內(nèi)部測(cè)試和文檔工作。
第三階段：青島煉化和SEI到西門(mén)子工程公司所在地上海，進(jìn)行信息安全系統(tǒng)出廠測(cè)試工作。對(duì)設(shè)計(jì)的各項(xiàng)指標(biāo)進(jìn)行測(cè)試和驗(yàn)證工作，經(jīng)過(guò)測(cè)試，各項(xiàng)性能滿足設(shè)計(jì)要求，達(dá)到了發(fā)貨的條件。
第四階段：軟硬件設(shè)備發(fā)貨到現(xiàn)場(chǎng)，進(jìn)行安裝調(diào)試。為所有計(jì)算機(jī)配置信息安全設(shè)置，安裝域服務(wù)器、安裝殺毒服務(wù)器、安裝補(bǔ)丁更新服務(wù)器、網(wǎng)絡(luò)交換機(jī)、安裝相關(guān)的軟件系統(tǒng)，配置域、配置防火墻、配置工業(yè)控制系統(tǒng)聯(lián)合安全網(wǎng)關(guān)，配置DMZ區(qū)內(nèi)的計(jì)算機(jī)、開(kāi)通網(wǎng)絡(luò)支持等。
第五階段：經(jīng)過(guò)現(xiàn)場(chǎng)安裝調(diào)試過(guò)程，所有系統(tǒng)內(nèi)的計(jì)算機(jī)病毒被清除，青島煉化各個(gè)工段依次順利開(kāi)車(chē)運(yùn)行。
2011年6月-8月，青島煉化、中石化工程建設(shè)有限公司SEI、西門(mén)子公司一起成功地實(shí)施了青島煉化信息安全項(xiàng)目，部署了縱深防御解決方案，清除了系統(tǒng)內(nèi)的病毒。
圖9 項(xiàng)目執(zhí)行流程圖
應(yīng)用效果
2011年8月中旬，青島煉化大檢修完畢，所有裝置開(kāi)始投運(yùn)。開(kāi)車(chē)以來(lái)，PCS 7系統(tǒng)運(yùn)行穩(wěn)定，操作員站運(yùn)行正常，經(jīng)過(guò)反復(fù)測(cè)試，在調(diào)用趨勢(shì)時(shí)不再出現(xiàn)死機(jī)現(xiàn)象。
經(jīng)過(guò)實(shí)施預(yù)定的信息安全措施，青島煉化PCS 7系統(tǒng)的信息安全等級(jí)得到了質(zhì)的提高，為長(zhǎng)期的穩(wěn)定提供了堅(jiān)實(shí)的保障。
實(shí)施信息安全不是目的和結(jié)果，而是一個(gè)過(guò)程。要將信息安全的措施落實(shí)到位需要投入長(zhǎng)期不懈的努力，只有全方位的措施才能防患于未然。
（轉(zhuǎn)載）
