摘要
本文通過對數(shù)字油田專用的油氣工業(yè)控制系統(tǒng)(OICS)進行風險分析，提出了分層分域、確定性行為預測的縱深防御方法，可有效解決油田OICS面臨的網(wǎng)絡(luò)安全問題。
1. 引言
隨著中國經(jīng)濟的快速發(fā)展，石油、天然氣等能源產(chǎn)業(yè)在國家經(jīng)濟中的地位愈加顯著。近年來國家大力倡導國家能源安全與能源儲備，客觀上向中國的能源產(chǎn)業(yè)提出了更高的要求，同時也提供了更多的發(fā)展空間。因此通過數(shù)字化遠程管理，有效控制生產(chǎn)過程中的關(guān)鍵技術(shù)環(huán)節(jié)，實現(xiàn)遠程調(diào)度指揮、監(jiān)管、控制的大規(guī)模生產(chǎn)是目前眾多大型企業(yè)所企盼的。
技術(shù)在飛速發(fā)展的同時，不可避免的帶來了系統(tǒng)安全的各類風險和威脅，在數(shù)字油田的構(gòu)建中，存在著如系統(tǒng)終端平臺安全防護弱點、系統(tǒng)配置和軟件安全漏洞、工控協(xié)議安全問題、私有協(xié)議的安全問題、隱藏的后門和未知漏洞、TCP/IP自身的安全問題、用戶權(quán)限控制的接入、網(wǎng)絡(luò)安全邊界防護、內(nèi)部人員非法操作以及密鑰管理等各種信息安全風險和漏洞。
數(shù)字油田系統(tǒng)一旦遭到破壞或入侵，會直接危害到原油的開采和運輸，繼而影響到國家能源安全問題，造成直接或間接的巨大經(jīng)濟損失，更會影響社會的安定團結(jié)。
油田自動化利用自動化手段對油水井站、計量間、閥組、聯(lián)合站(集氣站)、原油外輸系統(tǒng)、油罐及油田其他分散設(shè)施進行自動檢測、自動控制，從而實現(xiàn)生產(chǎn)自動化和管理自動化。但是采油現(xiàn)場常常分布在人煙稀少的偏僻地區(qū)，交通通訊不便，分布地域廣泛，現(xiàn)場人員較少，大部分地區(qū)處于無人或少人職守狀態(tài)。一旦現(xiàn)場控制系統(tǒng)發(fā)生異常，可能導致發(fā)現(xiàn)晚、排查難、影響大等一系列問題。
2. 數(shù)字油田OICS風險分析
2.1 網(wǎng)絡(luò)結(jié)構(gòu)分析
油田網(wǎng)絡(luò)結(jié)構(gòu)龐大，采油廠以下按照管理區(qū)劃分為多個管理區(qū)，管理區(qū)與采油廠通過專用光纖進行通訊。
現(xiàn)場基本控制單元包括油井、配注站、注水站等不同的單元，包含的主要網(wǎng)絡(luò)設(shè)備和控制設(shè)備為RTU、PLC系統(tǒng)及攝像頭，現(xiàn)場基本控制單元通過無線傳輸?shù)哪Ｊ?，將?shù)據(jù)與匯聚點進行通信，無線匯聚點通過專用光纖將數(shù)據(jù)上送到管理區(qū)生產(chǎn)指揮中心。注水站PLC系統(tǒng)通過專用光纖將數(shù)據(jù)上傳到管理區(qū)生產(chǎn)指揮中心，管理區(qū)生產(chǎn)指揮中心通過光纖將生產(chǎn)數(shù)據(jù)發(fā)送至辦公網(wǎng)絡(luò)。
管理區(qū)的網(wǎng)絡(luò)可以以三層兩網(wǎng)的模型進行分析。兩網(wǎng)是指現(xiàn)場無線網(wǎng)絡(luò)和光纖網(wǎng)絡(luò)，三層分別是下層現(xiàn)場控制設(shè)備層、中間匯聚層、上層管理層，本文依據(jù)網(wǎng)絡(luò)和層次結(jié)構(gòu)對威脅與脆弱性進行分析。油田管理區(qū)網(wǎng)絡(luò)拓撲圖如圖1所示。
圖1 油田OICS網(wǎng)絡(luò)拓撲圖
2.2 整體風險分析
依據(jù)網(wǎng)絡(luò)拓撲圖以及網(wǎng)絡(luò)結(jié)構(gòu)并結(jié)合目前已有的技術(shù)安全措施，現(xiàn)有的安全隱患包括以下幾個方面。
(1)網(wǎng)絡(luò)設(shè)備準入控制隱患
整個油田的網(wǎng)絡(luò)終端設(shè)備部署在野外現(xiàn)場，難以有效地采用門禁等措施來管控整個網(wǎng)絡(luò)，生產(chǎn)網(wǎng)較容易被外來人員接入其他網(wǎng)絡(luò)設(shè)備，難以對第三方非法接入進行報警和阻斷，存在較大安全隱患。
(2)無線通信缺乏認證
現(xiàn)場設(shè)備如油井、配注站等以無線方式與匯聚塔通訊，工控數(shù)據(jù)也通過無線方式與OICS服務(wù)器通訊，缺乏有效的身份認證。
(3)生產(chǎn)網(wǎng)和辦公網(wǎng)接口
生產(chǎn)網(wǎng)包含了工控網(wǎng)絡(luò)與視頻網(wǎng)絡(luò)，數(shù)據(jù)量龐大，目前未做任何的防護措施，給生產(chǎn)安全帶來巨大的風險。
(4)工控網(wǎng)與視頻網(wǎng)合用威脅
生產(chǎn)網(wǎng)包含了工控網(wǎng)絡(luò)與視頻網(wǎng)絡(luò)，工控網(wǎng)與視頻網(wǎng)合用，數(shù)據(jù)量龐大，數(shù)據(jù)的格式、協(xié)議、保密性要求與傳輸延時要求等均存在巨大差異，業(yè)務(wù)差別大、安全需求差別也很大。兩網(wǎng)使用同一根光纖傳輸存在較大安全隱患。
(5)缺乏有效的防病毒措施
工程師站、操作站、視頻監(jiān)控站、數(shù)據(jù)庫服務(wù)器、數(shù)采及視頻服務(wù)器等都在同一網(wǎng)絡(luò)中，與上層辦公網(wǎng)絡(luò)等無隔離防護，雖然安裝了360防病毒軟件，但360防病毒軟件本身只能針對常規(guī)的病毒并不適用工控網(wǎng)絡(luò)，對工控系統(tǒng)的病毒防護存在誤殺風險。
(6)針對特定工控系統(tǒng)的攻擊
黑客可能利用木馬、病毒(如最近的勒索病毒以及針對工控系統(tǒng)的震網(wǎng)病毒)、文件擺渡或其他手段進入工控網(wǎng)絡(luò)，對工控系統(tǒng)控制器發(fā)出惡意指令(如控制器啟停指令、修改系統(tǒng)時間、修改工藝參數(shù)、對動設(shè)備進行啟停操作等)，導致工控系統(tǒng)宕機停產(chǎn)或出現(xiàn)嚴重的安全事故。
(7)對網(wǎng)絡(luò)流量缺乏有效的監(jiān)控措施
現(xiàn)場生產(chǎn)網(wǎng)絡(luò)分布位置廣泛，設(shè)備多(如一個匯聚點連接了幾十口油井，每個油井上包含了眾多的儀表及設(shè)備)，網(wǎng)絡(luò)結(jié)構(gòu)復雜，缺少有效的網(wǎng)絡(luò)流量監(jiān)控措施，在危險發(fā)生時難以有效發(fā)現(xiàn)威脅來源及可能造成的影響，難以有效地對威脅進行快速響應(yīng)來降低對生產(chǎn)的影響。
(8)未進行分區(qū)域隔離
匯聚點之間、注水站之間以及匯聚點與注水站之間只是通過劃分VLAN來分區(qū)，但是VLAN方式并不能防范病毒的擴散以及黑客的入侵行為。
(9)漏洞利用風險
事實證明，99%以上攻擊都是利用已公布并有修補措施、但用戶未修補的漏洞。操作系統(tǒng)和應(yīng)用漏洞能夠直接威脅數(shù)據(jù)的完整性和機密性，流行蠕蟲的傳播通常也依賴于嚴重的安全漏洞，黑客的主動攻擊往往離不開對漏洞的利用。
(10)行為抵賴風險
如何有效監(jiān)控業(yè)務(wù)系統(tǒng)訪問行為和敏感信息傳播，準確掌握網(wǎng)絡(luò)系統(tǒng)的安全狀態(tài)，及時發(fā)現(xiàn)違反安全策略的事件并實時告警、記錄，同時進行安全事件定位分析，事后追查取證，滿足合規(guī)性審計要求，是迫切需要解決的問題。
3. 數(shù)字油田OICS縱深防御建設(shè)
3.1 安全建設(shè)基本原則
對于工控安全建設(shè)，應(yīng)當以適度安全為核心，以重點保護為原則，從業(yè)務(wù)的角度出發(fā)，重點保護重要的業(yè)務(wù)系統(tǒng)，在方案設(shè)計中應(yīng)當遵循以下幾項原則。
(1)適度安全
任何系統(tǒng)都不能做到絕對的安全，在進行工控安全等級保護規(guī)劃中，要在安全需求、安全風險和安全成本之間進行平衡和折中，過多的安全要求必將造成安全成本的迅速增加和運行的復雜性。適度安全也是等級保護建設(shè)的初衷，因此在進行等級保護設(shè)計的過程中，一方面要嚴格遵循基本要求，從物理、網(wǎng)絡(luò)、主機、應(yīng)用、數(shù)據(jù)等層面加強防護措施，保障信息系統(tǒng)的機密性、完整性和可用性，另外也要綜合成本的角度，針對系統(tǒng)的實際風險，提出對應(yīng)的保護強度，并按照保護強度進行安全防護系統(tǒng)的設(shè)計和建設(shè)，從而有效控制成本。
(2)技術(shù)管理并重
工控安全問題從來就不是單純的技術(shù)問題，把防范黑客入侵和病毒感染理解為工控安全問題的全部是片面的，僅僅通過部署安全產(chǎn)品很難完全覆蓋所有的工控安全問題，因此必須要把技術(shù)措施和管理措施結(jié)合起來，更有效地保障信息系統(tǒng)的整體安全性，形成技術(shù)和管理兩個部分的建設(shè)方案。
(3)分區(qū)分域建設(shè)
對工控系統(tǒng)進行安全保護的有效方法就是分區(qū)分域，由于工控系統(tǒng)中各個資產(chǎn)的重要性是不同的，并且訪問特點也不盡相同，因此需要把具有相似特點的資產(chǎn)集合起來，進行總體防護，從而可更好地保障安全策略的有效性和一致性;另外分區(qū)分域還有助于對網(wǎng)絡(luò)系統(tǒng)進行集中管理，一旦其中某些安全區(qū)域內(nèi)發(fā)生安全事件，可通過嚴格的邊界安全防護限制事件在整網(wǎng)蔓延。
(4)合規(guī)性
安全保護體系應(yīng)當同時考慮與其他標準的符合性，技術(shù)部分參考《GBT25070-2019 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求》進行設(shè)計，管理方面同時參考《GB/T 22239-2019 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》以及IEC 27001安全管理指南，使建成后的等級保護體系更具有廣泛的實用性。
(5)動態(tài)調(diào)整
工控安全問題不是靜態(tài)的，它總是隨著管理相關(guān)的組織策略、組織架構(gòu)、信息系統(tǒng)和操作流程的改變而改變，因此必須要跟蹤信息系統(tǒng)的變化情況，調(diào)整安全保護措施。
3.2 安全防御方案
3.2.1 分層分域構(gòu)建縱深防御體系
分層分域的目的是通過分層劃分不同的系統(tǒng)集合，根據(jù)不同系統(tǒng)的特點采取相應(yīng)的防護手段，例如工控區(qū)域的特點是以高可用性為優(yōu)先原則，而管理區(qū)應(yīng)以機密性為優(yōu)先原則;分域則是依據(jù)最小業(yè)務(wù)系統(tǒng)的原則避免安全風險的擴散。對于處于生產(chǎn)管理區(qū)但需要和OICS實時服務(wù)器通訊的功能服務(wù)器建議設(shè)立工控DMZ區(qū)，將這些功能服務(wù)器單獨部署在工控DMZ區(qū)內(nèi)，分層分域部署如圖2所示。
圖2 油田OICS分層分域圖
在生產(chǎn)管理層與工控DMZ層的邊界設(shè)置帶有入侵檢測裝置的下一代防火墻，依據(jù)訪問控制關(guān)系配置訪問控制列表(ACL)，同時可以對入侵行為進行監(jiān)測報警。
在工控DMZ層與監(jiān)控層的邊界設(shè)置工業(yè)單向網(wǎng)閘，防止工控DMZ層感染的病毒滲透到監(jiān)控層，由于單向網(wǎng)閘采用2+1架構(gòu)，可以阻斷兩個網(wǎng)絡(luò)的實時連接，防止黑客的入侵行為。
在監(jiān)控層與設(shè)備控制層邊界依據(jù)業(yè)務(wù)特點劃分最小業(yè)務(wù)單元設(shè)置工業(yè)防火墻，由于工業(yè)防火墻采用白名單機制，可以阻斷所有非白名單的流量，同時具備BYPASS功能，可以用于要求高可用性的工控網(wǎng)絡(luò)中。監(jiān)視站與服務(wù)器之間也可設(shè)置工業(yè)防火墻，實現(xiàn)確定性的指令級控制，由于每臺監(jiān)視站的監(jiān)視范圍和控制功能的不同，可以依據(jù)控制范圍和控制功能設(shè)置可監(jiān)視和控制的位號的白名單，實現(xiàn)精準的控制防止誤操作以及人為破壞。
3.2.2 確定性的可預測行為監(jiān)視
油田OICS是實時的工業(yè)控制系統(tǒng)，按照掃描周期完成數(shù)據(jù)的采集、數(shù)據(jù)的模數(shù)轉(zhuǎn)換、應(yīng)用控制策略的執(zhí)行、數(shù)據(jù)的數(shù)模轉(zhuǎn)換、控制型號的執(zhí)行，因而網(wǎng)絡(luò)中的流量的大小、協(xié)議的類型、控制的點位等均為確定性的。通過分析工控核心交換機的鏡像流量，結(jié)合生產(chǎn)業(yè)務(wù)關(guān)系的關(guān)聯(lián)分析，對行為建模預測性判斷，并對風險報警。行為監(jiān)測設(shè)備部署如圖3所示。
圖3 工控安全監(jiān)測審計設(shè)備位置圖
主要實現(xiàn)以下功能：
(1)資產(chǎn)數(shù)量的確定性，對入侵設(shè)備的可預測分析;
(2)資產(chǎn)訪問關(guān)系的確定性，對異常的訪問行為的可預測分析;
(3)流量特征的確定性，對惡意文件、入侵的可預測分析;
(4)業(yè)務(wù)行為(組態(tài)的下載、上傳、對設(shè)備的操作)的確定性，對入侵檢測的可預測分析;
(5)變更計劃的確定性，對入侵或工控專有病毒(如：火焰、震網(wǎng))研判的可預測性分析;
(6)生產(chǎn)運維計劃的確定性，對入侵等異常行為的可預測分析。
3.2.3 確定性的可預測主機加固
油田OICS的操作站、服務(wù)器、工程師站由于高可用性的要求無法安裝系統(tǒng)補丁及殺毒軟件，存在巨大的安全隱患，成為了病毒的中轉(zhuǎn)站，同時也是黑客入侵的主要攻擊對象。對于工控的主機防護可以采用基于白名單進程管控的工控主機衛(wèi)士來實現(xiàn)。
主要實現(xiàn)功能如下：
(1)主機進程的確定性，惡意進程的可預測性防護，結(jié)合業(yè)務(wù)流程阻止非預測的額外進程運行;
(2)主機服務(wù)端口的確定性，異常行為的可預測性防護，結(jié)合相關(guān)程序的日常端口行為阻止非預期端口開放;
(3)主機訪問關(guān)系的確定性，異常訪問的可預測性防護，通過流量畫像精準展示異常連接;
(4)主機運維的確定性，異常行為的可預測性發(fā)現(xiàn)，結(jié)合運維日志發(fā)現(xiàn)非預期的主機行為。
3.2.4 可視化的安全運營
在數(shù)字油田OICS中建設(shè)了一些安全設(shè)備后，會產(chǎn)生眾多的事件和日志，為統(tǒng)一管理工業(yè)控制的系統(tǒng)設(shè)備、安全設(shè)備及日志信息，將多個設(shè)備日志信息關(guān)聯(lián)分析，需要建設(shè)一套工控安全運營中心，此平臺與傳統(tǒng)管理網(wǎng)的平臺不同之處有如下幾點：
(1)該平臺應(yīng)該能夠直接收集工業(yè)交換機及工控應(yīng)用系統(tǒng)的信息;
(2)該平臺能夠分析工控網(wǎng)絡(luò)中的設(shè)備互聯(lián)狀況，包括流量、時間、工控協(xié)議等元素建立白名單規(guī)則，及時有效發(fā)現(xiàn)異常并報警;
(3)該平臺的關(guān)聯(lián)分析與傳統(tǒng)事件關(guān)聯(lián)分析模型不同;
(4)適應(yīng)工控網(wǎng)絡(luò)的特性，工控安全運營中心不再以日志為主要分析手段，而是采用流量行為分析為主、事件分析為輔的技術(shù)路線，通過安全監(jiān)控、風險分析、流量秩序監(jiān)控三大方面來描述當前的安全狀況。
該平臺產(chǎn)品是面向工控環(huán)境的安全管理解決方案，結(jié)合工業(yè)控制協(xié)議的深度解析工作，實現(xiàn)工業(yè)控制環(huán)境下流量行為的合規(guī)審計，減輕運維人員的維護工作量，讓風險及網(wǎng)絡(luò)行為直觀展示，讓入侵和病毒無所遁形。
4. 結(jié)語
數(shù)字油田的OICS是油田的大腦，一旦受到破壞其影響不僅限于直觀的經(jīng)濟損失，還會直接影響普通民眾的日常生活甚至造成人員傷亡，更為嚴重的是會影響到國家的安全和社會的穩(wěn)定。國外敵對勢力的破壞仍然存在，不法分子的滲透與日俱增，加強油田企業(yè)OICS的網(wǎng)絡(luò)安全防護已經(jīng)勢在必行。
作者簡介
魯玉慶(1966- )，男，山東濰坊人，高級工程師，現(xiàn)就職于中石化股份有限公司勝利油田分公司，研究方向為油田板塊工業(yè)控制系統(tǒng)及油氣生產(chǎn)信息化核心技術(shù)研究及應(yīng)用。
來源：本文摘自《自動化博覽》2020年6月刊
