网络安全“等级保护2.0”在石化企业控制系统中运用分析

荣俊胜

（榆林国重煤化工示范基地有限公司，陕西榆林 719000）

0 引言

在2019 年12 月1 日网络安全等级保护三大核心标准实施，标志着我国进入网络安全“等级保护2.0”时代，在这一背景下，石化企业控制系统的网络安全得到更多人的关注，这是因为传统的控制系统中存在诸多漏洞，例如无法审计网络流量异常情况、难以及时识别异常攻击现象等，上述问题可能会严重影响企业的正常生产，甚至造成关键数据资料大量丢失而造成巨大损失。为解决上述问题，则需要主动分析网络安全“等级保护2.0”在石化企业控制系统中的应用策略，这也是本文研究的主要目的。

1 网络安全“等级保护2.0”

作为国家网络安全的最新标准，“等级保护2.0”不仅充分继承了上一代标准中的合理内容，也适当创新管理模式，形成了相对完整的管理架构，网络安全“等级保护2.0”的基本要求如表1 所示。

表1 网络安全“等级保护2.0”的基本要求

2 石化企业控制系统

目前石化企业控制系统主要包括：分散控制系统（DCS）、安全仪表系统（SIS）、压缩机综合控制系统（CCS）、可编程逻辑控制器（PLC）以及远程终端单元（RTU）、可燃气体和有毒气体检测报警系统（GDS）等。目前石化企业“一厂多系统”的情况较为普遍，不同品牌控制系统的杂糅问题本身会带来巨大的安全隐患，主要表现为：①不同品牌的控制系统在网络连接过程中一直存在匹配不畅的情况，导致数据更容易被盗取或者泄漏。②不同品牌操作系统在运用阶段缺乏必要的协同防护能力，导致不法分子可以利用系统之间的漏洞缺陷而盗取或者篡改其中的关键数据[1]。

除此之外，石化企业在控制系统运行期间还会使用组态不尽相同的控制软件，如网络管理系统（NMS 软件）、制造企业生产过程执行管理软件（MES 软件）、报警管理系统（ALMS 软件）等，由于上述系统分别由不同供货商提供，导致石化企业在系统软件控制方案中无法形成统一的安全防护规则，这一行为也会增加网络安全风险。

基于石化企业控制系统运行现状，网络安全“等级保护2.0”的出现则可以显著提升企业网络的安全保护等级，在诸多现代化信息网络系统赋能下不仅能提升系统的完整性与安全性，也可以有效消除系统潜在安全隐患，具有可靠性。

3 网络安全“等级保护2.0”在石化企业控制系统中的应用技术要点

3.1 基本设计思路

在本次石化企业控制系统功能改造上，通过网络安全“等级保护2.0”能构建完整且有效的安全控制软件，其主要功能包括云平台网络安全设计、虚拟主机安全设计、业务应用访问设计等。并且为最大限度提升系统安全水平，整个网络安全“等级保护2.0”方案设计实施阶段选择将虚拟安全设备部署在私有云平台上，以满足异地控制系统安全控制要求。其整体结构如下。

（1）在云平台层上将通过设置私有云平台模式，与对应的虚拟交换机、虚拟主机与虚拟存储等对接，并直接提升虚拟安全水平。

（2）在虚拟化层设计中，将通过增设网络资源池、计算资源池与存储资源池等打造石化企业控制系统安全资源池，该资源池中包括虚拟防火墙、虚拟Web 应用防火墙以及基于对象的虚拟系统的安全架构等。

（3）物理层可以通过安全设备提供与控制系统相匹配的存储、网络环境，保证安全系统安全管理目标实现。

3.2 石化企业控制系统云平台安全设计

3.2.1 链路网络安全防护策略

在链路网络安全防护中，本次设计中选择将控制系统安全网关部署在云平台内部交换机上，利用云平台交换机与核心网关的相互配合作用能快速隔离平台数据流量，减少外部不明数据对控制系统安全水平的影响[2]。同时将虚拟化防火墙布设在虚拟安全池内部，上述安全补助方案能随时监控每个服务器之间的访问流量变化情况，针对其中的异常流量能快速发出报警信息。

同时本次设计充分考虑到石化企业控制系统内部业务的差异性，为提升安全防护等级选择负载处理方法，并将Web 防火墙布设在平台系统内部，有助于提升系统的整体安全水平。

本次研究中引入一种直接结构的网络安全控制模式，该控制架构能与石化企业的现场硬件传感器、执行器等完成控制互联，整个控制过程可通过控制信号、报文以及传感器测量信号等实现快速交互，所有控制信号均能直接封装在报文中并将控制指令发送至功能设备上，直接结构的网络安全体系如图1 所示。

图1 直接结构的网络安全体系

3.2.2 旁路网络安全审计方案

在本次系统安全旁路设计中，为强化对异常流量情况的识别能力，选择在常规系统架构基础上增加虚拟机装置，并将其安装部署在云平台内部。在经过上述改造方案后，通过流量镜像虚拟机装置能密切观察不同虚拟服务器之间的流量交互情况，此时系统一旦识别异常安全数据即可将其发送至虚拟网络审计模块与虚拟IDS 模块上，通过上述功能模块则可以实时审计平台内部流量变化，而在系统遭受安全攻击等现象后则会导致流量审计结果异常，此时系统会发出报警信息。

3.3 虚拟主机的安全设计方案

为保证石化企业控制系统虚拟主机系统安全，在本次系统设计中选择将需要提升安全保护等级的虚拟设备安装在物理主机上，通过主机提供的物理防护能力可减少病毒的入侵并提升网络系统安全性。同时相关研究认为，在控制系统结构改造中控制系统操作平台的黑客入侵以及病毒感染问题会极大威胁系统安全，为解决上述问题，在本次网络安全“等级保护2.0”改造中决定在平台内部安装杀毒引擎，由该引擎负责处理系统平台上的海量数据，之后通过调配虚拟安全资源池内部的资源，进一步提升系统安全性[3]。为实现上述目标，本文在系统设计中将在虚拟平台上增设若干个计算资源池，每个资源池中分别设置了虚拟AV 与虚拟主机两个功能模块，分别提供AV 引擎与AV 插件，并能在相同的操作系统下稳定运行。

3.4 业务访问安全设计

目前在石化企业控制系统安全防护阶段，为进一步提升系统整体的安全水平，相关人员通常会采取两种处理技术，分别为：①优化用户访问应用层与链路层的流程。②强化石化企业控制系统链路层与应用层的防护模式。而在综合对比两种安全防护技术的优势之后，本文认为构建防护架构是一种低成本且安全性高的方案，其具体技术策略如下。

（1）服务器端的安全防护策略。在本次石化企业控制系统业务访问过程中，将通过虚拟交换机围绕相应的业务要求将其划分为不同安全域，每项业务都与对应的安全域相匹配，之后即可将其中高度匹配的业务服务器整合在更大的安全域中即可。在采用上述安全防护策略后，即可利用对应的网关构建访问控制通道，即可，此时任何想要针对石化企业控制系统发起攻击的流量仅能通过该通道实现，因此该系统能更好监测各类黑客攻击行为。而系统在识别非法行为以及违规访问的用户后即可自动拦截非法访问过程，因此更能提升石化企业控制系统安全性。

（2）用户终端的安全防护过程。为提升石化企业控制系统的用户终端防护能力，在本次设计中决定将其接入私有云平台内部，并通过虚拟堡垒机完成针对用户终端的安全监控过程[4]。该虚拟堡垒机的支持下能认证所有访问用户的身份信息，此时若用户身份访问结果未通过，则系统会直接拦截访问行为；若用户身份能通过身份认证环节，则会进入终端安全认证环节，即核对用户历史登录IP 等，对于登录IP 突然发生改变的情况则会提示安全拦截信息。除此之外，在整个防护过程中还需要通过安装系统补丁以及更新数据库等方法保护网络信息安全，将系统潜在安全风险控制在萌芽状态。

4 石化企业控制系统安全改进方案

在网络安全“等级保护2.0”技术改造中，石化企业控制系统优化与改进可能面临一系列新问题，因此需要根据各类常见技术问题构建改进策略。

4.1 解决关键链路无冗余问题

网络安全“等级保护2.0”中针对安全通信网络层面的性能提出严格要求，即尽量优化系统的冗余，强化控制系统安全性。同时结合石化企业控制系统建设现状来看，在正常工况下对于可用性要求较高的系统，若核心网络链路为单链路，关键网络节点、关键网络设备或关键计算设备无冗余设计，一旦出现故障，则可能导致服务中断，故判定为高风险。为解决上述问题，在本次石化企业控制系统安全改造中可考虑在网络架构部署阶段优化思路，即选择在核心网络链路、关键网络设备、关键计算设备均须采用冗余方式设计部署，热备、负载均衡等都是常见的冗余部署方式。上述设计方法能有效解决关键链路不冗余问题，成为提升控制系统安全性的重要组成部分。

4.2 优化入侵监测功能

网络安全“等级保护2.0”对入侵行为检测提出了详细要求，即能在关键网络节点位置有效监控各类网络攻击行为，并要有效预防在外部以及重要功能节点位置的网络攻击现象。基于上述要求，在石化企业控制系统中若关键网络节点位置（或者网络边界点位上）未采取检测措施的情况，则难以有效识别各类网络攻击行为，更难以提升控制系统的安全水平，此时系统处于高风险状态。

为解决上述问题，在本次系统改造中可以采取以下应对措施。

（1）在原有石化企业控制系统基础上增加IPS 以及IDS、态势感知系统等后即可有效提升系统的安全性水平[5]。除上述控制系统外，还可以考虑引入新型威胁情报监测系统以及网络回溯系统等，在上述系统赋能下能达到快速监测安全事件的情况。

（2）在石化企业控制系统的实际部署场景中，当网络边界未部署安全识别模块的情况下，技术人员可考虑在主机上定期更新规则库与策略库，通过上述更新策略能有效检测识别控制系统面临的安全隐患。

4.3 提供集中监控

集中监控在网络安全“等级保护2.0”占据重要位置，该规定中规定在系统安全改造中需要密切监测网络链路以及网络设备的运行状态。因此在石化控制系统安全改造中需要针对不同应用场景提供功能监测模块，主要监测范围包括设备安全状态、网络链路安全水平以及服务器运行工况等，根据监测结果可及时评定系统的安全性等级，若系统判定结果显示发生故障时难以及时对故障进行定位和处理，此时即可将系统安全等级划分为高风险。为解决上述问题，则可通过在常规控制系统基础上添加绿盟远程安全评估系统，从技术优势来看，该系统能有效识别现有信息管理系统中的各类安全隐患，也能提供实时文件监控以及上网行为控制、违规外联管理等功能，是保障企业安全的关键，能集中监控系统软件运行过程中的安全状况。

5 结语

在当前网络安全“等级保护2.0”条件下，石化企业控制系统的安全性改造已经发展到新的阶段，本文为实现系统安全而介绍的相关技术措施具有操作性强、应用效果显著的优点，能在短时间内提升控制系统安全水平，进而充分满足网络安全“等级保护2.0”对系统安全性提出的新要求，对于解决传统控制系统面临的安全隐患有良好的识别与控制能力，值得做进一步推广。