LNG接收站工控系统信息安全分析和防护措施

吴凡

工业控制系统是工业生产中最核心的一大环节，它集成了数据监控、数据采集、分布控制等多个控制系统与一体，在电力、石油、天然气等领域被广泛使用。天然气作为国内新兴行业，LNG接收站的发展速度也是突飞猛进，自动化程度高，国产化率低，核心控制系统严重依赖国外厂商，伴随着信息化技术的发展，LNG接收站也从传统意义上的接收站不断向着智能化接收站演进，随之而来的就是来自互联网中的病毒、国内外网络黑客的威胁等，将工业网络不断暴露在开放的互联网上。为此，密切关注国内外工控系统信息安全发展态势，结合天然气行业工控系统安全防护及等级保护要求，充分了解天然气行业工控系统信息安全现状，深刻分析安全风险产生的原因及带来的影响，建立有针对性的安全防护措施，为天然气行业工控系统安全稳定运行保驾护航。

一、天然气行业工控系统安全现状

（一）工控系统的基本概念

工业控制系统（ICS）是指由各种自动化控制组件以及对实时数据进行采集、监控、分析的过程控制组件，共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统，其核心组件包括数据采集与监控系统（SCADA）、分布式控制系统（DCS），可编程逻辑控制器（PLC）、远程终端（RTU）、智能電子设备（IED），以及确保各组件通信的接口技术等。

（二）天然气行业工控系统的安全现状

据国家工业和信息安全中心监测发现，全球暴露在互联网上的工控系统及设备数量持续上升，覆盖多个种类的系统，涉及西门子、霍尼韦尔、施耐德、ABB等工控系统厂商，这些设备广泛应用于制造业、能源、水利、通信等工业领域，尤其随着近年来LNG行业的高速发展，在该领域大量采用IT通用软硬件，如计算机、以太网、TCP/IP协议、数据库系统等，导致了工业信息安全风险的不断增加。

二、天然气行业工控系统安全风险产生的原因分析

（一）天然气企业信息安全意识相对淡薄

行业发展不够成熟，信息安全管理制度不够完善，已有的信息安全制度未得到有效的执行。

天然气企业信息安全资金和人力资源投入不足，投入意愿也不高，拥有信息安全专业背景和技术能力的复合型人才严重不足。

工业信息安全制度宣贯不到位，员工安全意识淡薄。

（二）部分企业安全策略和管理流程缺失

在工业信息安全领域，追求可用性而牺牲安全性是工业控制系统安全存在的普遍性问题。为此，科学有效的安全策略和管理流程至关重要，可以最大限度避免人为操作错误等原因造成的安全隐患。如工业控制系统中移动存储介质的使用和严格的访问控制策略、日常监视日志的建立等。做好这些，对于加强工业信息安全具有重要意义。

（三）天然气企业信息产业能力和安全需求还不适应我国工业信息安全领域的厂商规模还普遍较小，进入工业信息安全市场的时间还较短，多数从传统IT安全行业转型到IOT领域，这导致安全企业的技术积累不够，产品竞争力也不够强，还无法与赛门铁克、迈克菲、思科以及罗克韦尔、通用电气等相竞争。

三、工控系统安全防护策略

（一）横向隔离，纵向认证，专网专用，分区分域

在工控网内部划分逻辑层次，如图1所示，每一层次进一步划分安全区域，不同层次，不同区域之间严格控制数据流的访问，将病毒限制在一个区域范围内，避免全网感染。建立“零信任”安全架构，以身份为中心而非以网络为中心构建访问控制体系，需要为网络中的人和设备赋予数字身份，将身份化的人和设备进行组合构建访问体系，并为访问主体设定其所需的最小权限；根据授权结果进行最小限度的开放，所有的业务访问请求都应该进行全流量加密和强制授权；对于安全策略，遵循“默认拒绝，明细允许”的设计原则，局域网内各设备有独立的安全策略；对异常行为的识别应持续监测，依据评估结果调整访问控制授权，对出现安全问题的系统应开展应急处置工作。

（二）制定适用于本单位的工控系统安全基线准则

由于网络复杂程度、业务复杂程度、历史累计情况等原因，绝大多数单位较难完成资产梳理，无法澄清资产的硬件情况、软件情况、网络边界，无法全部验证安全策略的合理性。企业应结合自己单位工控系统实际情况，制定工控系统安全基线准则，从账户管理、密码管理、证书管理、日志管理、防火墙管理、补丁管理、共享管理、远程管理等方面制定具体规则，对维护人员进行系统培训，并制定相关管理制度。健全、完善的管理制度是保障工控系统平稳运行的前提条件，严格执行各项管理制度才能确保工控系统处于安全的工作状态。需要结合企业自身特点摸索出行之有效的管理办法并且狠抓落实，才能有效降低工控系统安全风险、减少故障发生概率、提升日常维护质量。

（三）对网络安全进行评估、检测

对网络安全的系统评估不仅可以预测企业生产所面临的风险和可承受的风险，更能使企业提前采取相应的网络安全措施，使网络风险降低到可承受风险以下。因为工控系统的通讯相对固定，流量规律性强，设备变化小，所以在工业控制网络中安装部署安全监测设备，建立正常的工控网络安全白名单，可以帮助维护人员及时发现、报告和处理来自网络的攻击或其他异常行为。

四、结语

工控系统信息安全不是一个单纯的技术问题，而是涉及到技术、管理、流程、人员意识等各方面的系统工程，需要组建包括控制工程师、工控设备供应商、系统集成商、信息安全专家等成员的工控系统信息安全队伍。结合工控系统自身的体系结构和功能特点，在监控级和网络层面可采取现有等级保护的相关标准和规范开展等级测评，工控系统信息安全是一个动态过程，需要在整个工业基础设施生命周期的各个阶段中持续实施，不断完善改进。

作者单位：中石油大连液化天然气有限公司