油田企业网络信息安全与技术防范措施分析

胡浩澜

（新疆油田重油开发公司，新疆 克拉玛依 834000）

0 引言

石油在国民经济发展中占据重要作用，各类石油产品也深入人们生活的各个领域。随着资源开发工作不断深入，数字化油田的建设成为油田企业的重要发展方向。自动化、智能化技术的应用有效提升了油田企业的工作效率，在勘探开发技术研发、资源整合、生产运行增效等方面发挥重要作用。然而，智慧油田的建设使网络安全的重要性日益凸显，原本“孤岛”式的油田企业网络变得更加开放，在业务效能提升的同时，油田企业也面临众多外来威胁，急需采取技术手段提升网络信息安全水平。

1 油田企业网络现状

数字化建设工作持续推进油田企业的现场生产和运营管理工作模式朝着信息化方向发展。油田企业借助各种监控平台和信息采集站可以实现对输油管道泄漏、油井开发等各项工作的有效控制，实现对现有资源的高效应用。在数字化系统的支持下，油田企业能够实时掌握现场设备生产运作情况，系统数据库的存在实现了企业内信息资源的共享，各层级人员能够通过开放的数据掌握各方面工作开展情况。油田企业中的重点网络信息主要集中在场站、油井相关的监测和数据采集工作中，网络系统通常借助远程终端单元（Remote Terminal Unit，RTU）等实现数据实时采集，借助可编程逻辑控制器（Programmable Logic Controller，PLC）系统进行逻辑控制，借助分布式控制系统（Distributed Control System，DCS）实现多站点控制，借助数据采集与监视控制系统（Supervisory control and data acquisition system，SCADA）中心进行多系统指挥调度。

2 油田企业工控网络存在的风险

油田企业在数字化系统建设过程中通常非常重视数据采集和监控功能的合理配置，对于更加重要的网络安全问题通常存在忽略的情况。这也导致智慧油田等项目的建设推进为油田生产经营效率、质量的提升提供了极大助力，但也给企业内部信息安全带来了严重风险，存在信息泄露、丢失，设备运行失衡的威胁。

2.1 风险的来源

油田企业网络面临多样化的风险来源，主要涉及自然灾害、员工恶意行为、恐怖组织、敌对政府、紧急情况、员工无意识违规操作、恶意入侵等多种情况。同时，系统网络自身存在的缺陷漏洞也成为引发安全问题的重要原因。相对而言，油田企业网络系统安全计划的基础是程序与政策，在安全策略存在缺陷漏洞的情况下，如国际标准分类法（International Classification for Standards，ICS）安全策略存在缺陷、相关培训不到位等更容易引发系统网络安全问题。平台漏洞来源于操作系统、硬件及ICS 程序，如维护不合理、配置错误等问题导致软件防护漏洞、软硬件及配置漏洞问题出现。网络的脆弱性与管理不足、配置有误、ICS 缺陷等存在关联，主要涉及无线通信连接漏洞、边界漏洞、硬件漏洞、网络配置漏洞及监控记录漏洞等多方面的因素。

2.2 存在的风险及可能面临的后果

网络通信技术的发展使油田企业生产与信息之间的联系更加紧密，物联网成为企业发展的重要支撑，原本封闭的油田网络在新的管理体系中变得更加开放，各类木马病毒及黑客入侵等问题也更容易对开放式的网络造成威胁，数字油田的工控网络也因此存在较大的安全隐患。现阶段，大多数油田企业所应用的安全措施通常缺乏先进性，众多通用平台的软硬件设施虽然满足了工控、办公相关网络的运行需求，但也更容易导致工控系统等关键网络遭受来自办公网络病毒、黑客的攻击。一旦出现此类情况，ICS 操作将可能因黑客、病毒对信息流的攻击而出现中断情况；在未经许可的情况下对设备操作指令和相关报警配置进行随意修改，导致设备故障无法及时上报、设备异常运作等情况出现，甚至可能对人员生命安全造成威胁；将错误讯息发送给营办商，使得非法操作得到屏蔽，导致各类负面影响发送；恶意软件等修改或干扰ICS 软件配置参数，导致异常情况发送。此外，在后续发展中，黑客、木马病毒的攻击可能会继续存在，油田网络被入侵的风险也仍然存在，导致企业生产运作、经营管理等工作面临极大威胁。

3 油田工控网络信息安全技术措施的应用情况及问题

当前，油田企业所采取的安全防护措施主要集中在网络防护和服务器防护两个方面，一方面通过展览网络或防火墙实现办公与关键生产网络之间的隔离，另一方面通过杀毒软件对病毒木马等情况进行监测管控，下面对各类措施进行详细论述。

3.1 网络信息安全技术措施应用情况

3.1.1 井场与SCADA 服务器之间设置数据隔离

油田企业通过数据隔离结构实现井场与SCADA服务器二者的安全防护，使得外部风险无法直接侵入井场。同时，为了避免IEC104 协议出现被攻击漏洞的情况，需要基于数字各类平台对协议进行深入分析，平台能够针对误操作、系统故障、非法入侵等情况进行自动识别，及时针对异常行为进行限制和通知，同时也可以为后续的调查分析提供记录。此外，隔离平台能够对音视频协议、应用层协议、工业协议等进行有效识别，实现各类别协议通信情况与协议数据特征、协议号之间的有效结合。网络分流器作为关键技术能实现音视频信息与油田生产运作信息的快速分离，能够通过白名单管理、分析等方式实现对生产数据的快速分析，避免存在异常数据入侵的情况，还可以通过对大量视频数据的直接转发使信息传输更加流畅。

3.1.2 将监测审计平台设置于SCADA 旁路入口部位

油田企业针对SCADA 服务器的防护借助安装于入口部位的监测审计平台来实现，在应用过程中通过绑定媒体存储控制（Media Access Control，MAC）地址的方式有效防止中间人攻击或互联网协议（Internet Protocol，IP）欺骗等情况发生。该监测平台能够实时监控油田网络数据运行情况，并针对异常问题发出报警信息，确保油田网络信息安全管理人员能够对网络运行情况进行动态管控，实现对协议、内容、行为的提取与审计，为后续的检查工作提供全面的记录结果，借助对未知设备接入相关的监控报警记录，有效解决非法访问问题。

3.2 技术措施存在的问题

防火墙在油田企业中的作用通常是实现互联网、办公网络与工控网络之间的隔离，然而现有的防火墙通常在兼容性、安全性方面无法满足工业网络程序安全运行需求，大多数防火墙所应用的传输控制协议/网际协议(Transmission Control Protocol/Internet Protocol，TCP/IP）存在较多安全漏洞。防火墙主要用于执行安全计划政策，无法对管理员和政策的具体要求作出准确判断，对于所执行政策的合法性、安全性无法鉴别，这也就导致防火墙一旦被非法控制，其保护的网络将面临更多安全风险。在无法正确识别政策可靠性的情况下，防火墙更容易被流量攻击。随着防火墙安全性能不断提升，研发人员需要配置更多的功能项目，导致防火墙对硬件资源的消耗大幅度增加，在资源大幅度占用的情况下，工作效率将受到影响。

油田企业工控网络的联网需求通常需要借助交换机相关设备来实现，这就导致网络面临攻击的点位大幅度增加，信息安全可靠性因此降低。油田企业只是将隔离平台设置在井场与服务器之间，导致井场控制柜等末端设备在出现网络数据访问的情况下，流量攻击可能出现在SCADA 之中，甚至可能导致其他设备的数据参数遭到恶意修改，严重时影响油田工作人员的个人安全。

4 改善油田企业网络信息安全防护问题的技术措施

针对油田企业现阶段所采用的数据隔离平台、服务器监测审计平台存在的安全风险点，对网络安全防护技术手段进行优化改进，使用安全接入单元代替原本存在较大隐患漏洞的交换机设备，并将防护监管服务器布设于生产管理中心入口区域，可以有效提高油田企业工控网络信息数据的安全防护水平。

4.1 网络安全区域划分

在划分区域的过程中，油田企业可以结合主机、应用系统的安全要求进行分类，将具有相同要求的系统归为一类，并针对性地制定安全策略。结合油田生产运作情况，安全区域可以被划分为5 类，主要涉及井场、办公网接入区域、站库、队塔及安全管理区，后续将从数据采集服务器、视频服务器、历史数据服务器、Web 服务器、特殊分析服务器、石油生产管理、特殊分析服务器等众多方面存在的具体安全要求进行更精细化的划分。

4.2 安全管理区安全设计

该区域需要重点从防病毒服务器、系统级芯片（System on Chip，SOC）日志审计系统、系统双因素认证等方面进行部署，确保漏洞扫描、网络管理、桌面管理等系统、服务器的安全可靠。该区域需要设置两台防火墙，两设备应为相互热备状态，实现对突发情况的有效应对；还需要设置两台网络交换机，两设备应为相互热备状态，避免与其他区域存在通信中断等安全隐患。针对双因素认证系统的部署工作，油田企业也应该应用双机热备的方式，避免单点故障影响系统整体运维可靠性。安全健康服务器能够实时对各服务器状态进行评估确认，双机热备的监控解密服务器则能够与安全接入单元相互协调配合，实现加解密模型的实时调控。此外，安全服务器还需要将审计数据库与网络的系统部署于数据中心，并连接相关联的交换机设备，以有效判断各数据中心的各出入数据安全状况。

4.3 办公网接入区、队塔、站库安全设计

采取单项流量控制的方式加大办公网接入管控力度，具体操作可以借助网闸来实现。为避免设备非法接入、信息泄露问题出现，油田企业需要利用安全接入单元取代队塔及站库的交换机，提升该区域设备的运行可靠性。

4.4 井场安全设计

为了做好井场生产数据信息安全防护工作，油田企业需要避免应用交换机开展数据传输工作，需要合理引进网络安全接入单元，确保数据信息不会因非法接入设备而出现泄露问题。在系统运行过程中，安全接入单元能够实时采集和验证下级设备的信息数据，借助预配置的策略对运行情况和设备访问情况进行合法性判定，规避安全风险。在传输内容和所接入设备符合要求的情况下，验证得到通过，相关数据经过安全接入单元的加密处理后传输到生产管理中心，并经过中心相关服务器解密处理数据信息，再传到数据采集服务器中。此外，其他设备在由无线网络入侵油田网络的过程中，非法行为将在身份认证、解密处理过程中被阻止，使得危险操作行为无法被执行，还可以借助分布式拒绝服务（Distributed Denial of Service，DDOS）攻击堵塞网络，完成问题上报工作。

5 结语

油田企业在油田信息化建设的过程中需要加强对网络信息安全防护工作的重视，充分认识到现行工控网络隔离平台、监察审计平台中的漏洞和隐患，积极采取更先进可靠的技术手段做好安全防护。在实际操作时，油田企业需要结合安全防护要求做好分区域防护工作，并做好交换机相关设备的替换工作，同时通过数据加解密等方式提升信息数据的安全性，确保油田信息化建设工作有序开展。