煤矿网络安全等级保护建设方案

岳 涛

（晋能控股煤业集团赵庄二号井，山西 长治 047100）

0 引言

面对日益严峻的工控系统网络环境，赵庄二号井煤矿作为国家关键信息基础设施运营者、工控系统的使用者，一直紧紧围绕贯彻落实党中央、国务院重大战略决策，积极推进工控安全建设工作。通过本次工控系统网络安全防护建设，不仅能提高赵庄二号井煤矿工控安全的整体防护水平，更能紧跟国家、集团相关要求，实现国家关键信息基础设施运营者应有的社会责任和义务，满足煤炭行业及集团对企业网络与工控系统网络安全要求。

1 安全技术体系设计

1.1 现状分析

1.1.1 安全计算环境

根据煤炭生产网络拓扑图，赵庄二号井发现如下问题：

图1 赵庄二号井现状拓扑图

1）煤矿调度室电脑和各个生产服务器未部署方式恶意代码的软件，无法对病毒进行防护，由于工业系统的特殊性，也无法对系统补丁进行及时更新。

2）无法对用户非法外联，非法插拔移动存储介质进行管控，一旦移动存储介质中有病毒，将造成大片调度电脑，生产服务器发生故障，进而影响煤矿正常生产。

3）缺乏有效的手段对各个工业控制系统服务器主机，操作系统进行风险监控。

根据煤炭办公网络拓扑图，赵庄二号井发现如下问题：

1）各个办公电脑和服务器未部署方式恶意代码的软件，无法统一对病毒进行防护，无法对病毒库进行升级。

2）无法及时发现办公电脑系统漏洞，并进行统一的打补丁操作。

1.1.2 安全区域边界

经过对煤矿生产网和办公网调研，赵庄二号井发现如下问题：

1）煤炭专网和生产网之间未进行有效隔离，无妨对工业协议进行深度解析，无法对非法工业操作进行识别和阻止。

2）无法对可能的入侵行为进行检测和阻止，一旦发生网络安全事故，煤矿没有能力对攻击进行及时阻止和实时预警。

3）在生产网内部未对非法操作行为，非法流量进行审计和日志记录，不便于日后发生网络安全事故进行溯源。

4）井下无线网与办公网之间为未进行有效隔离，存在一定风险，不符合等保要求。

1.1.3 安全管理中心

经过对煤矿生产网调研，赵庄二号井发现如下问题：

1）未建立安全管理中心，根据等保2.0的要求，应建立安全管理中心。

2）未对重要设备操作行为进行审计，未对操作用户进行权限鉴别，因此无法判断是那个用户在什么时间进行了什么操作。

3）未对设备日志进行统一管理，在发生网络安全事件时，增加了安全人员溯源的难度。

4）生产网对所有安全设备网络设备的流量，日志进行统一管理并进行分析，尤其是对工业协议的解析。

经过对煤矿办公网调研，赵庄二号井发现如下问题：

1）办公网无法检测到未知攻击，不能及时预警。

2）无法对办公网内的电脑进行统一管理，不能及时发现病毒进行查杀。

1.2 安全计算环境建设

1）各个调度电脑和生产服务器安装工控主机卫士，工控主机卫士主要针对煤矿生产子系统无法安装传统杀毒软件的痛点出发，采用基于白名单的主机加固方案来对现有系统文件进行加固，防止病毒入侵服务器和电脑后进行破坏；同时针对调度人员非法插USB设备进行管控，防止U盘带毒感染工业控制系统，同时防止操作人员非法卸载关闭主机卫士进行管控。

2）在赫斯曼交换机或者各个生产服务器区的汇聚交换机旁挂工控漏洞扫描系统，对各个生产子系统服务器，生产子系统，井下PLC等工业设备进行资产的识别，漏洞的扫描发现，并对漏洞提出整改意见报告，协助用户进行安全整改。

1.3 安全区域边界建设

1）工业防火墙至关重要，在办公区域网络和生产区域网络进行部署，替换原先的网闸，对工业协议进行深度解析，同时通过ACL策略来进行访问控制策略的部署，防止煤炭专网和集团网下发带有非法操作的工业指令。

2）在无线网边界与办公网之间部署工业防火墙，一方面对工业协议进行解析，另一方面是通过工业防火墙内部的入侵检测和病毒过滤功能来对入侵和病毒进行防御和阻止。

3）在上传区与生产网之间部署网闸（利旧），对数据上传业务进行防护。

1.4 安全管理中心建设

1）部署日志审计系统，采集并分析安全设备，网络设备的日志进行分析。

2）部署运维审计系统，对资产（安全设备，服务器，web页面）进行管理，统一对操作行为进行审计管理，防止误操作。

3）部署工控安全检测审计平台，对工业流量进行审计，并及时报警非法流量。

4）部署工控安全态势感知平台对整个工业环境进行监控，同时对接日志审计，工控安全检测审计平台等一列产品，形成对整个工业环境的态势感知，包括对非法操作，敏感信息，非法入侵等进行集中展示，同时根据公司自身现状定制化态势感知平台场景应用等。

5）部署APT攻击预警平台对为未知攻击，未知文件进行检测，一旦匹配攻击样本，APT将会进行报警，通知管理人员进行阻断。

6）部署EDR对办公网内的电脑进行集中管理，统一杀毒，统一补丁修补，对病毒流量进行隔离。

2 安全管理体系设计

2.1 安全管理制度

以安全管理体系为核心，相关管理规定及制度办法围绕管理体系进行制定。具体的规定及制度办法，必须遵循政策文件中所要求的安全原则、安全方法和安全策略，同时保持较强的可操作性，能够得到广泛的推广和有效果的实施。

发布流程、管理方法和管理范围必须经过严密的制定，保持系统格式高度统一，系统版本需要有效的控制，同时经过正规有效的途径进行发布，发布范围要明确标注，要详细的登记所接收和发布的文件。

信息安全管理部门负责组织专业人员对安全管理体系的合理性进行定期审核，同时对管理体系的适用性进行验证，对出现的问题进行及时修订，如修订后内容仍不充分需进行改进。

2.2 安全管理机构

1）以安全管理体系为核心，建立安全管理的具体组织方式，明确安全管理的运行机制；

2）设置安全、系统、网络管理员等岗位，并相应配备符合要求的工作人员，配备专职负责安全的人员；成立领导小组，对信息安全方面的工作进行全方位的指导管理，组长由单位负责人指派或授权；制定文件，明确安全管理机构各部门、各岗位的职责、分工和技能要求。

3）建立授权与审批制度；

4）建立内外部沟通合作渠道；

5）定期进行全面的安全检查，尤其是系统的日常运行、系统漏洞和数据备份等。

2.3 人员安全管理

以安全管理体系为核心，针对人员招聘、员工离岗、绩效考核、员工培训等制定相关规定，并参照规定严格执行；针对外部人员制定明确的准入流程，并参照流程严格执行。

2.4 系统建设管理

以安全管理体系为核心，针对系统构建研究开发管理系统，开发原则应符合系统等级、系统全方位安全设计、产品供销、软件开发、项目实施、测试验收、日志记录、等级评价、安全服务等基本要求。从项目开展的前期阶段、中期阶段、后期阶段3个方面，从最开始的等级设计到最终的验收评价，围绕项目开展的整个周期的角度进行系统构建管理。

3 安全运营体系设计

3.1 定级备案服务

根据等级保护定级备案表和信息系统定级报告，完成定级备案过程。

图2 定级流程图

3.2 等级保护管理体系设计

信息安全管理体系建设，依据等级保护基本要求、ISO27001及客户相关制度和标准，建立全面的安全管理模式，包括详细的安全策略、完善的管理制度和可行性强的操作规程。

图3 管理体系

3.3 安全漏洞检测设计

在系统服务范围内，针对各种软硬件设备进行全面的扫描和分析，扫描范围包括网络层、系统层、数据库和应用层。扫描过程中所使用的规则库应涵盖各类标准，如CVE、CNVD等。扫描结束后如果出现系统漏洞、口令有风险、数据库配置不合理等问题，需要通过人工进行验证，同时出具最终有效的检测报告，并提出在检测中所出现问题的解决方案。

3.4 安全运营服务设计

定期收集客户所使用系统的入侵检测设备、入侵防御设备以及防火墙的日志，进行全面分析，对入侵信息的真假进行严格筛选，同时根据当前网络系统的真实情况，对网络系统的安全态势进行诊断，如果发现有事件正在入侵网络或者尝试着入侵网络，发出警告立即通知客户并且根据入侵事件提供完整的技术措施阻止其继续入侵，同时对目前所使用的策略进行进一步的优化。

3.5 信息安全加固优化

信息系统的加固主要包括3个方面：网络设备加固、操作系统加固和应用系统加固。

1）网络设备安全加固。提供的网络服务不是必要的需要禁用、网络配置存在隐患的需要修改、对设备的访问需要根据原则进行控制、系统软件版本落后需要及时进行更新升级、物理保护环境应该严格按照IPP要求进行设计。

2）操作系统安全加固。系统补丁需要严格按时检查、停止一切不是必须提供的服务、访问权限存在不合理的需要修改、安全策略按照最优方案进行修改、账户与密码的安全强度需要严格检查、开启审核策略、关闭不重要或不常用的端口等。

3）应用系统（WEB系统、数据库）安全加固。对要使用的操作数据库软件（程序）进行必要的安全审核，比如对ASP、PHP等脚本，这是很多基于数据库的WEB应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤一些类似“,”、“′”、“;”、“@”、“/”等字符，防止破坏者构造恶意的SQL语句。安装最新的补丁，使用安全的密码、账号策略，加强日志的记录审核，修改默认端口，使用加密协议，加固TCP/IP端口，对网络连接进行IP限制等。加固流程图见图4。

图4 加固流程

4 结语

在安全管理体系建设过程中，技术和管理的融合显得尤为重要，缺一不可，不论忽视技术还是忽视管理都将对工作产生巨大的安全风险和安全隐患，因此技术建设和管理建设需同步进行。本文运用现代信息技术和科学的管理手段，采用先进的安全设备和前沿的大数据分析技术，进行统一的安全规划，科学实施，功能齐全、技术先进的、安全稳定，进一步保障了煤矿的网络安全。