油田聯合站工控系統面臨的安全威脅以及應對策略

張飛宇

摘要： 伴隨油氣生產信息化建設中油田企業SCADA系統的推廣部署與已建工控系統的不斷接入，當前油田企業的工控網絡建設已趨于完善。其中，聯合站作為油田技術系統的樞紐，對自動化技術依賴程度較高，其配套工控系統的安全平穩運行是站庫安全生產的基礎。但是，由于配套自控系統建設較早，且投產之時單獨成網，運行相對獨立，其工控安全相關設計未考慮當前的油氣生產物聯網組網運行的需求，加之現場工作人員對工控安全的認識不足，因而導致目前聯合站工控系統的保護水平整體偏低。因此為保障工控系統安全，需要在聯合站工控系統的管理工作中，結合當前實際對站控系統面臨的安全威脅進行綜合性分析，并根據分析結果進行針對性改進。本文主要針對油田聯合站，工控系統面臨的安全威脅進行分析，并對相關應對措施進行了討論。

關鍵詞：油田聯合站;工控系統;工控安全;應對策略

一、工業控制系統的簡介以及石油聯合站工控系統應用現狀

聯合站工控系統通常以中大型PLC系統或DCS系統為核心，并將站內儀表、自控閥門以及各裝置、設備配套PLC接入，實現了油氣處理工藝的數字化監控與自動化運行[1]，滿足了聯合站安全、高效運行的自動化需求。站控系統的初始設計圍繞站庫自動化運行的需求開展，其工控安全配套設計能夠滿足站控系統獨立成網的運行的需求。但是伴隨油田企業油氣生產信息化的建設推進與油氣生產物聯網的不斷完善，為滿足采油廠集中監控的生產需要，在聯合站工控系統接入了廠級SCADA系統后，打破了其獨立運行的狀態，導致聯合站已建的工控安全配套無法滿足當前的工控安全新需求。

二、工業控制系統應用中存在的安全問題

聯合站工業控制系統用的初建時間整體早于油氣生產物聯網的建設，與原來相配套在初始安全設計再也無法滿足油田工業控制網絡的實際需要，出現新的工控安全隱患，面臨新的工控安全形勢，但是部分相關管理人員并未清楚認識到新形勢的嚴峻性。

1、外部的攻擊技術發展

隨著工業互聯網技術的發展與普及，加之近些年來黑客技術不斷提升，針對工業控制系統的黑客入侵事件數量呈上升趨勢，工控系統安全受到了嚴重的外部威脅[2]。如2010年的伊朗震網病毒事件中，震網病毒針對西門子WinCC平臺的控制系統進行攻擊，是世界上首次通過軟件摧毀硬件設備的案例，說明了當前外部攻擊的技術能力，尤其是有組織的外部攻擊，完全是可通過獲取系統權限，進行更改控制流程、非法關閉現場設備等危害生產過程的操作，具備了造成重大的生產事故和經濟損失的破壞力，嚴重威脅了企業的安全生產工作。

2、內部的威脅不斷加劇

據國外相關機構調查顯示，有相當部分網絡安全的威脅是源于公司內部：由企業內部隱患造成的損失是遠高于外部攻擊和病毒破壞的，說明對于工控安全而言，受到的內部安全威脅是遠超過外部入侵的。

根據我國國家信息安全測評中心相關調查與案列統計顯示，企業實際面臨的內部工控安全問題，主要是由內部員工的因疏忽導致的信息泄露和主觀違法犯罪行為造成的。

引發工控系統內部安全的根本技術原因是，工控系統普遍缺乏有效的網絡準入檢查與權限核對機制。例如某個高權限賬號能夠修改生產過程的核心參數，而任意員工得到該賬戶和密碼后都可隨意登陸并進行相關操作，在系統技術層面缺乏有效的準入核對方法與身份驗證機制，進而無法實現對高權限賬號行為的有效監督，導致無法及時發現、識別及阻止高權限賬號的異常行為。

3、工控軟件的漏洞威脅

一般情況下，為保證系統的可用性、降低使用成本，聯合站工控系統及配套組態軟件基本由同一制造商整套提供。而工控軟件的設計開發與升級，主要著力于提升系統的可靠性與穩定性，而非側重于網絡安全，導致組態軟件等工控應用軟件漏洞較多，且補丁發布滯后。因此漏洞攻擊是工控系統面臨的主要安全威脅之一。

三、工業控制系統安全問題的應對策略

1.加強人員管理培訓和制度建設

為提升聯合站工控安全管理水平，需進行針對性的人員培訓工作，并完善工控安全的配套制度建設。

在人員管理的教育方面，提高崗位人員的安全防范意識是很有必要的，需定期對如聯合站中控操作崗、組態運維崗及相關的管理崗位人員等涉及工控系統操作維護的相關人員進行工控安全的相關培訓，確保關聯崗位人員能夠了解系統運行的原理，并具備一定的工控安全意識，杜絕違規操作給聯合站安全生產成的不良影響，確保聯合站的穩定運行。

在工控安全類配套管理制度的修訂完善工作中，要根據工控網絡架構并結合集團公司與分公司兩級工控安全規范和要求，明確目的，依法管理工控安全，尤其需要規范并嚴格管控移動存儲介質在工控系統工作站的使用，杜絕移動介質連帶攻擊。此外，還要規范賬號的權限管理與使用，明確崗位職責與配套工控系統賬號權限，杜絕“一號多崗”現象。

2.加強安全防護技術水平

聯合站站控系統接入采油廠SCADA系統打破其獨立成網的運行狀態后，需強化工控安全防護技術水平，確保訪問控制機制的有效性。而訪問控制機制是對聯合站工控系統的數據進行保護的，在特殊情況下防止系統被非法訪問。其具體的操作就是將操作權限控制在目錄部分，須經過安全系統而非直接訪問平臺[3]。

站控系統接入油田工控網絡后，應保證跨邊界的訪問及數據流通過邊界設備提供的受控接口進行訪問，如廠級SCADA系統應通過OPC協議完成相應的工控數據錄取。此外，還要避免工程師站、數據庫服務器、OPC服務器為同一臺計算機的運行狀態，及時封閉系統無用端口，并在站控系統網絡架構中配置防火墻，避免控系統組網后，外部應用直接訪問站控系統數據庫的行為。最后，還有必要保證工控網、視頻網及辦公網絡的三網隔離，避免不同業務交換機間的互聯互通，確保工控網絡與其余功能網絡的物理隔離，確保三網間相對獨立。

總結

本文通過對聯合站工控系統部署及應用現狀，對工控系統運行中面臨的安全威脅進行了分析梳理，并針對上述出現的安全問題提出了部分應對措施，為油田企業聯合站的工控安全治理及防護提升工作提供了一些參考。

參考文獻：

[1]孫戈.聯合站集中監控系統的設計[D].東北石油大學，2019（1）.

[2]楊洋.油田工控系統面臨的安全威脅及對策思路[J].通信管理與技術，2019（6）.