石油行业工控网络安全纵深防御体系概要设计.pdfVIP

系统实践

石油行业工控网络安全纵深防御体系

概要设计

李焕李伟任新韩辛酉

摘要：面对日益严峻的网络安全形势，网络安全问题已成为国家安全的重要课题。国家网络安全法、国家网

络安全等级保护制度等对于工控系统安全建设提出了更高要求，为保护工控网络关键信息基础设施安全，实

现入侵防护、病毒防护、攻击防护等安全防护能力。以石油行业为例，就工业控制系统存在的安全隐患，设

计一种多层次、多方位、多功能的工控安全纵深防御体系。

关键词：工业控制系统；工控安全；纵深防御

一、前言工控协议漏洞、操作系统漏洞、边界安全风险、主机安

目前，工控系统安全问题备受重视，国家网络安全全隐患、设备接人、认证授权隐患等。一且因病毒暴

法、公安部信息安全等级保护制度陆续发布，要求大型发、黑客攻击等威胁因素导致工控系统出现异常状况，

工业企业必须建立起相应的工控系统安全管理手段、技则直接对现实物理生产过程产生致命影响。例如，黑客

术支撑以及运营体系来满足国家针对工控系统等关键信非法获取工业控制系统控制权限，极易对现场设备、人

息基础设施信息安全相关合规性要求。员造成物理伤害，或者工控系统遭受大规模病毒感染，

《信息安全技术网络安全等级保护基本要求》（GB/T则可导致正常的生产业务中断，甚至导致装置过载、爆

22239-2019）自2019年12月1日正式实施，更加完善地炸等，造成严重的生产安全事故[21。

调整了网络安全防护的根本要求，在提出通用安全要求

的基础之上，针对工业控制、移动互联、智能应用、云三、石油行业工控安全纵深防御体系设计

计算和物联网等新型信息化领域技术的个性安全保护需石油行业纵深防御体系的设计遵照适度安全、分区

求提出了不同的安全扩展要求。为了满足合规性要求，保分域、多重防护原则，综合考虑建设成本，在保障工业

护国家重要关键基础设施免受侵害，本文以石油行业为控制系统高稳定性、高可用性的同时，针对系统的突出

例，针对工业控制系统存在的网络安全风险进行基于纵风险，提出相应的销项措施，并按照黑客攻击视角进行

深防御思想的安全防护体系设计。纵深防御体系的整体设计。

（一）石油行业典型工控网络结构

二、石油行业工控安全风险分析石油行业工业控制系统根据功能以及安全需求，对

由于本身特点和先天安全设计方面的缺陷，工控系照“等保2.0”的相关标准，划分为五个不同层级，分别

统隐藏着较多的安全脆弱性隐患，包括应用系统漏洞、是现场设备层（井、间、站）现场控制层、过程监控层

008信息系统工程

系统实践

互联网

防火墙

OA生产指挥财务

ROUTER

企业资源层服务器集群交换机办公网络

SCADA、DCS安全监测身份鉴别主机防护

ROUT