案例丨安全應用于民生，助力城市智慧燃氣工控安全防護
1、項目概況
燃氣廣泛應用于居民生活、工商業、發電、交通運輸、分布式能源等多個領域，是城市發展不可或缺的重要能源；燃氣行業的蓬勃發展，相對應的基礎設施增多，城市燃氣企業建立對應的城市管理系統SCADA，實現對燃氣管線、燃氣輸氣站、燃氣儲備站的遠程管理，集中控制、數據自動實時采集、事故報警、參數調整、氣量調節等管理功能等，隨著現代計算機技術和自動化技術在管道燃氣行業的廣泛應用，如何實現燃氣系統工業信息安全，保障城市的燃氣安全，防范涉及國計民生的重要數據泄漏，顯得日趨重要。六方云結合多年行業經驗和自身技術研究，面向燃氣行業提出“分區分級、本體保護、智能分析、集中管控”的防護思想，創新性的采用“AI基因，威脅免疫”的技術理念，全面賦能燃氣行業工控安全防護建設，為民生工程保駕護航。
2、項目需求分析
工業控制系統在發展初期，由于相關軟件、硬件、控制網絡具有專一性，封閉性的特點，工業控制信息安全一度沒有得到人們的重視。隨著計算機和網絡技術的發展，特別是信息化與工業化深度融合以及物聯網的快速發展，工業控制系統越來越多地兼容通用協議、固件和軟件中間產品，并以各種方式與互聯網等公共網絡連接，病毒、木馬、黑客對工業控制系統攻擊逐漸增多，工業控制系統信息安全問題日益突出：
■ 辦公內網與生產網（門站控制網、場站控制網、儲備站控制、調度中心網絡、）沒有劃分安全域，內網、互聯網、生產網采用運營商專線混雜一張網中，極易造成病毒的廣泛傳播，對生產網絡造成沖擊；
■ 戶用燃氣表通過無線物聯網卡通過運營商的物聯網平臺上傳至公司級數據處理平臺，為賬務結算、氣量調配帶來便利，與此同時也帶來一定的風險，容易造成來自運營商物聯網平臺非法數據包的干擾和攻擊，對數據處理平臺造成安全風險。
■ 調度中心SCADA系統通訊一般采用Modbus TCP/IP協議和OPC協議實時采集天然氣站場數據，遠程控制閥門開關，并利用用光纖或運營商專線的通訊方式將數據傳輸至調度中心，通訊數據格式未加密，容易被竊聽、篡改以及偽造，攻擊人員可以利用偽造的數據命令對天燃氣站場設備進行錯誤操作，從而引發安全事故，甚至可以構造畸形數據包，導致PLC/RTU設備以及上位機設備崩潰。
■ 調度中心的SCADA系統的服務器和各個控制站級儲備站的工控主機多采用基于Windos的操作系統，其操作系統存在已知漏洞和未知漏洞，并且無法通過升級打補丁的方式進行更新，極易為黑客攻擊和病毒攻擊造成可成之機；同時存在一些開放端口未關閉、USB端口管理不善和使用遠程控制軟件的情況，給病毒傳播帶來傳播路徑。
■ 生產工控網絡內部可能存在的非法操作、誤操作和惡意行為，缺乏審計手段，需要采取有效的安全審計措施，對風險事件追蹤溯源。
3、六方云智慧燃氣工控安全防護解決方案
（1）縱向分層橫向分域，劃分區域邊界，加強邊界防護
在場站/閥室、儲備站、門站邊界、調度中心邊界部署工業防火墻，采取有針對性的、適應工業環境的安全防護措施，通過隔離、過濾、訪問控制等措施實現有效的邊界防護，建立清晰的安全防護邊界，實現有效隔離，使網絡層次更加清晰，阻止網絡攻擊在不同區域間滲透，阻止蠕蟲病毒網絡間的傳播感染；
場站/閥室、儲備站、門站邊界工業防火墻與調度中心的工業防火墻之間通過IPsecVPN功能建立加密隧道，對傳輸的SCADA數據進行加密防止數據被竊聽和篡改。
公司級數據處理平臺與運營商的物聯網平臺之間部署工業防火墻，利用工業協議白名單對來自物聯網平臺的數據包進行過濾，只允許戶用燃氣表的數據包通過，其他數據包一律拒絕，從而最小限度的保障數據處理平臺不被非法數據包沖擊；這就要求工業防火墻需要具備對物聯網協議深度解析的功能，以保障良好效果。
（2）基于白名單的技術，工業主機安全加固：
在各個站場的工控主機上安裝工業主機衛士軟件搭建基于工控系統主機的入侵防護機制，提升主機安全防護水平，有效防止病毒攻擊、木馬攻擊、惡意程序阻止、未授權的應用程序和服務阻止，及時識別惡意病毒并告警。
（3）控制協議實時檢測，操作行為審計記錄，事件及時告警：
在各個場站及調度中心交換機旁路部署工業審計與入侵檢測系統，對網絡通信流量進行有效監視和威脅檢測，對協議連接信息、上載、下載、請求、讀響應、寫請求、寫響應等操作的深度進行檢測與審計，確保操作行為的合法性；對向內網發送的生產數據非法收集指令、惡意攻擊行為等進行告警和審計，為網絡安全管理人員提供線索依據和事件還原功能，對于違規操縱和網絡攻擊行為實時告警。
（4）統一安全管理中心，提高集中管控能力：
在公司級調度中心部署監管平臺，實現對各個場站的工控安全設備和工業主機衛士軟件的統一集中管理，提升設備運維效率，降低出錯風險，實現安全風險從發現到預警、到處置的流程閉環，通過貼近用戶場景的科技感大屏，幫助用戶全方位地了解當前網絡的資產分布和威脅態勢。
4、應用效果
縱深防御，體系化建設，提升綜合運營能力
通過完善縱深防御安全防護建設，切實提升了燃氣管網的工業網絡安全防護能力，實現了調度中心—場站，場站—場站的全面檢測和防護，形成了體系化的縱深安全防護機制，滿足安全業務的需求；
SCADA系統協同防護，提升運營效率
通過多種手段建設覆蓋燃氣運輸管道工業控制系統全生命周期安全防護，提高燃氣管道運輸SCADA系統的整體網絡安全性，實現了整體網絡協同防護，保護核心數據，確保工控網絡穩定、可靠、安全運行。
等保關保合規，經濟性價比高
基于安全防護最小化、最優化原則，設計合理，成本低廉；滿足等級保護2.0工業控制系統安全擴展要求，為能源關鍵基礎設施保護保駕護航。
?
來源：IT時代網
IT時代網(關注微信公眾號ITtime2000，定時推送，互動有福利驚喜)所有原創文章版權所有，未經授權，轉載必究。
創客100創投基金成立于2015年，直通硅谷，專注于TMT領域早期項目投資。LP均來自政府、互聯網IT、傳媒知名企業和個人。創客100創投基金對IT、通信、互聯網、IP等有著自己獨特眼光和豐富的資源。決策快、投資快是創客100基金最顯著的特點。
熱門文章
精彩評論
小何華為現在牛的不只是設備商了，，華為的手機現在也是全球銷量不錯，國內也算是老大了，之前用小米，，現在都改華為了。。產品確實不錯。- 小何三星手機在中國還有市場嗎？看看現在滿大街的vivo和oppo ，，華為，，小米線下店，，就是知道三星的市場基本沒有了。。
- 小何滴滴打車現在也沒有之前那么火了，，補貼也少了。。
- 小何今日頭條要把騰訊的地方各頻道給霸占了。。