油气管道如何应对网络杀手？

文／ 姜 勇

健全和完善管道和城燃公司生产网络安全防护体系，有效防范网络安全风险。

据路透社报道，当地时间5月7日，美国最大成品油输送管道运营商Colonial Pipeline遭黑客勒索软件攻击，被迫全面暂停运营。

随着信息化、自动化、数字化在油气管道和城市燃气行业中的加速发展应用，我国油气管道和城市燃气行业普遍采用了高度自动化的生产技术装备和高度信息化的运营管理手段，极大提升了调度生产运行效率。在此过程中，涉及很多新技术、新业务、新模式，生产数据、技术参数、传输信号等数据资源共享也越来越深入，工控系统越来越开放。

然而，我国油气管道和城燃行业尚未针对工控系统及时建立完善的工控安全保障体系，部署工控安全系统，安全防护措施相对滞后，造成企业自身缺失网络安全规范，缺少足够的安全事件应急处置能力，导致石油化工行业工控系统信息安全问题突出，能源行业面临的安全形势愈发严峻。

工控系统网络安全加固不容忽视

截至2020年底，中国油气管道总里程达到16.5万公里，其中长输天然气管道里程全球排名第四，城市天然气管网总里程76.79万公里，管道运输承担了80%以上的油气运输任务。工控网络安全防范方面出现严重问题极有可能引发全国性油气管网和城市燃气管网大瘫痪。

目前，全国有几十个（长输管道）油气调控中心（包括各省管网调控中心）和上千家城市燃气公司调控中心，大多达不到公安部《GA1166-2014石油天然气管道系统治安风险等级和安全防范要求》的标准，众多城市燃气公司通常认为自己不属于“石油天然气管道系统”，绝大部分燃气公司调控中心SCADA系统都人为定底到等保二级，国内各油气调控中心已参与等保评测的目前最高仅被评定为三级。反观国家电网调控中心等保评级为四级（次高级），但按照五级（最高级）投资防护建设，直接导致油气管道和城燃调控中心工控网络安全防护建设力度不够、投资不够、重视不够。不仅如此，因为定级底起点低，工控网络安全防护技术研发和实践应用都不到位。

传统IT信息安全重点防护对象是办公网络，以TCP/IP、UDP等协议为主，对企业资源层业务系统（ERP、OA）、办公PC以及互联网出入口等进行安全防护，通常都将保密性放在首位，以保护用户信息的安全；将完整性放在第二位；将可用性放在最后。

工控网络安全重点防护对象是生产网络，以Modbus TCP/RTU/+、OPC、IEC61850、DNP3、s7等工业控制协议为主，对生产管理层（MES）、过程监控层（SCADA、HMI）、现场控制层（PLC、DCS、RTU）系统进行安全防护，将可用性放在第一位。而系统的可用性直接影响到企业生产，生产线停机或者误动作都可能导致巨大的经济损失，甚至威胁人的生命安全、破坏环境。安全防护的重点是监测为主，及时发现安全隐患并上报告警。同时，工业控制系统的实时性非常重要，大多要求响应时间在1毫秒以内。传统IT信息安全无法对工控网络做到全面有效的安全防护，所以，工控网络安全需要依靠专业的工业安全设备及系统来完成。

根据中国特色城市燃气公司业务结构、管理职责等方面的实际情况，按照四级监控管理模式，自上而下分别是：总公司调度室（一级）、区域省级调度室（二级）、市级项目公司调度室（三级）、县级以下站控室（四级）。建议生产控制系统网络安全加固的重点范围是二级到四级，各区域调度室、项目公司调度室、站控室相关的生产控制系统及视频监控系统，均属于应当安全加固的网络防护对象。

所以，要根据中国国情深入贯彻落实国家网络安全等级保护制度和关键信息基础设施安全保护制度，健全完善各管道公司和城燃公司生产网络安全防护体系，有效防范针对能源行业生产控制系统的安全威胁，全面推进能源企业生产网络、信息系统、办公网络、智能化工业控制系统等，在新技术、新应用、新环境下的安全运行。同时，根据《中华人民共和国网络安全法》和《网络安全等级保护基本要求》等法律法规和国家标准要求，更好地落实生产网络安全加固工作，提高各级单位工控网络安全管理水平，结合中国特色油气企业运行体制的实际情况做好能源互联网的应用。

符合国家法律法规且具有行业特色

建设符合国家法律法规且具有行业特色的工业生产控制网络防护体系。

《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保护制度；第三十一条规定，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，在网络安全等级保护制度的基础上实行重点保护；第五十九条规定，对不履行网络安全保护义务的单位和直接负责的主管人员进行相关处罚。

在我国网络安全等级保护要求中明确了工业控制系统安全扩展要求。同时，工信部下发了《工业控制系统信息安全防护指南》。另外，公安部每年都组织开展专项活动。上述显示了从国家层面到各级主管部门对工业控制系统的信息安全高度重视。所以，我们更要未雨绸缪，抓紧开展工业控制系统安全防护专项工作，建设符合我国法律法规的油气工业生产控制网络防护体系，达到保障国家能源安全的目的。

●在网络空间，也要为油气管道架起安全网。 供图/视觉中国

工控系统网络安全加固要求

能源行业工业生产控制系统网络安全加固以监测审计、工控主机防护为主。通过旁路采集流量，深度解析工控协议，实现实时流量监测及异常告警，实时掌握工控网络运行状况，发现潜在的安全问题，同时具备工控资产管理、通信拓扑自动生成、白名单安全基线、流量监测与深度分析等功能。应做好工业控制网内部边界防护，对生产控制系统相关操作员站、工程师站等工控主机进行安全加固，实现终端进程白名单及USB移动介质管控。

国内油气行业企业应该深入分析油气行业工业控制（SCADA系统）的系统架构、应用特点、安全现状、安全威胁和安全需求，将纵深防御理念引入到过程控制信息安全领域，认真重视。安全生产大检查时不能忽视网络安全的检查，要通过结合油气储运输配气环节过程控制的系统特点，及时发现生产网络中的异常行为，对发现潜在的未知威胁提供有效的技防手段，实时告警和响应及时告知工控系统中存在的安全风险，启动网络安全应急预案，减少网络安全事故带来的损失，提升企业效益，完成油气保供工作，保障国家的能源安全。