煤層氣自動化網(wǎng)絡(luò)安全性分析

霸振（華北油田山西煤層氣分公司，山西 晉城 048000）

煤層氣自動化網(wǎng)絡(luò)安全性分析

霸振（華北油田山西煤層氣分公司，山西 晉城 048000）

隨著智慧煤層氣田建設(shè)推進，煤層氣行業(yè)的管理和控制網(wǎng)絡(luò)更加深入融合，平臺也愈加開放，進而為外界病毒入侵生產(chǎn)控制系統(tǒng)提供了便利，給企業(yè)平穩(wěn)生產(chǎn)運營帶來重大安全隱患。為保障基于企業(yè)網(wǎng)絡(luò)業(yè)務(wù)的持續(xù)性、穩(wěn)定性，我們需要在管理和控制網(wǎng)絡(luò)采取相應(yīng)的安全防護措施，建立有針對性的安全防護體系。

工業(yè)控制系統(tǒng);網(wǎng)絡(luò)安全;病毒入侵;煤層氣;自動化

近日全球多個國家和地區(qū)的機構(gòu)及個人電腦遭受到了一款新型勒索軟件攻擊，并于5月12日國內(nèi)率先發(fā)布緊急預(yù)警，外媒和多家安全公司將該病毒命名為“WanaCrypt0r”（直譯：“想哭勒索蠕蟲”），常規(guī)的勒索病毒是一種趨利明顯的惡意程序，它會使用加密算法加密受害者電腦內(nèi)的重要文件，向受害者勒索贖金，除非受害者交出勒索贖金，否則加密文件無法被恢復(fù)，而新的“想哭勒索蠕蟲”尤其致命，它利用了竊取自美國國家安全局的黑客工具EternalBlue（直譯：“永恒之藍”）實現(xiàn)了全球范圍內(nèi)的快速傳播，在短時間內(nèi)造成了巨大損失。

該病毒主要針對微軟公司全系列操作系統(tǒng),如：Win?dowsXP、 Windows7、 Windows8、 WindowsServer2008、 Win?dowsServer2003、WindowsVista和已關(guān)閉自動更新的win10用戶；其會使帶有下列擴展名的文件受到不同程度的破壞,如：.lay6、.sqlite3、 sqlitedb、.accdb、.java、.class、.mpeg、.djvu、.tiff、.backup、.vmdk、.sldm、.sldx、.potm、.potx、.ppam、.ppsx、.ppsm.pptm、.xltm、.xltx、.xlsb、.xlsm、.dotx、.dotm.docm、.docb、.jpeg、.onetoc2、.vsdx、.pptx、.xlsx.docx；并通過像445端口這樣的文件共享和網(wǎng)絡(luò)打印機共享端口的漏洞展開傳播攻擊。作為油田企業(yè)，我們公司的多臺辦公電腦受到該病毒的攻擊，很多珍貴文件遭到了的破壞；令人更加毛骨悚然的是，我們自動化工控網(wǎng)絡(luò)距離病毒入侵也僅是咫尺之遙，因為我們的自控系統(tǒng)使用的均是微軟操作系統(tǒng)，服務(wù)器、工程師站、操作員站包含大量數(shù)據(jù)庫類型文件、java開發(fā)文件和Office辦公文件，而這些文件均在被攻擊類型之列。

1 煤層氣自動化控制網(wǎng)絡(luò)建設(shè)

煤層氣自控系統(tǒng)以煤層氣公司的中心控制室為一級單元，集氣站的各個值班室為二級單元，以氣井、集氣站各個檢控點為三級單元，構(gòu)成一個三級SCADA自動化監(jiān)控管理系統(tǒng)，包含了中央處理廠的DCS系統(tǒng)、FGS系統(tǒng)、SIS系統(tǒng)和視頻監(jiān)控等子系統(tǒng)，實現(xiàn)數(shù)據(jù)的自動采集和設(shè)備設(shè)施的遠程控制，完成整個煤層氣生產(chǎn)過程的集中調(diào)度；通過數(shù)據(jù)的存儲和網(wǎng)絡(luò)共享管理，實現(xiàn)后期的智能分析和決策應(yīng)用。

煤層氣田的SCADA自動化監(jiān)控管理系統(tǒng)結(jié)構(gòu)圖如下：

圖1.1 SCADA監(jiān)控系統(tǒng)設(shè)計圖

其中煤層氣田通信網(wǎng)絡(luò)呈星型結(jié)構(gòu)。氣井至集氣站之間的采用無線網(wǎng)絡(luò)通信；各集氣站至中央處理廠使用光纜進行傳輸；中央處理廠至?xí)x城總部之間以及晉城至任丘，通過租用地方電路進行通信，其租用帶寬可按生產(chǎn)及辦公需要確定。

煤層氣田通信系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖如下：

圖1.2 通訊拓撲圖

而目前由煤層氣事業(yè)部研發(fā)推廣使用的總控平臺，已經(jīng)將自動化控制系統(tǒng)和ERP、A2、A5等系統(tǒng)進行的有機整合，實現(xiàn)了數(shù)據(jù)共享，并提供了手持數(shù)據(jù)終端接口和手機APP應(yīng)用，方便用戶的信息掌握和移動辦公。當人們在享受這一切所帶來的方便快捷的同時，不得不冷靜的思考一個問題：我們的網(wǎng)絡(luò)安全嗎？回答是否定的。

2 煤層氣自動化控制網(wǎng)絡(luò)安全風(fēng)險

目前煤層氣自動化控制網(wǎng)絡(luò)的安全風(fēng)險大致可以分為三大類：物理風(fēng)險、管理風(fēng)險和意識風(fēng)險。

其中物理風(fēng)險主要包括：（1）光纜、通信基站、通信機房的人為及物理破壞會使得整個通信網(wǎng)絡(luò)出現(xiàn)故障，造成數(shù)據(jù)通訊中斷；（2）對于自控閥門、儀器儀表的內(nèi)部電流脈沖等的沖擊會突破機柜接線端子的隔離柵保護影響機柜和自控網(wǎng)絡(luò)；（3）病毒會通過手機APP等互聯(lián)網(wǎng)應(yīng)用入侵自控網(wǎng)絡(luò)；（4）共享接口會成為局域網(wǎng)內(nèi)部病毒入侵的有利渠道；（5）大量使用的Win?dows操作系統(tǒng)的弱安全性會成為黑客攻擊的主要目標。

管理風(fēng)險主要包括：（1）辦公網(wǎng)和自控網(wǎng)的雙網(wǎng)融合，為病毒之間相互傳播提供的可能；（2）個人電腦和監(jiān)控電腦的登陸密鑰過于簡單，易于被攻破，尤以單井和集氣站的監(jiān)控電腦為例，為了方便記憶選擇使用簡單的相同密碼，存在非常大的安全隱患；（3）辦公電腦和監(jiān)控電腦的USB插孔的隨意使用，很容易通過移動設(shè)備植入病毒；（4）為維持正常的生產(chǎn)運行，自控網(wǎng)絡(luò)往往長時間不間斷運營，缺少必要的維護與升級；（5）存在與西氣東輸和地方政府的數(shù)據(jù)接入通訊，增加外方病毒和黑客入侵攻擊的可能。

意識風(fēng)險主要是指人們在認識和知識面上存在差距，使得企業(yè)對控制類系統(tǒng)的安全存在認識上的誤區(qū)：一是認為企業(yè)網(wǎng)與互聯(lián)網(wǎng)之間已經(jīng)安裝了專業(yè)防火墻，控制網(wǎng)絡(luò)是安全的；二是認為控制系統(tǒng)沒有直接連接互聯(lián)網(wǎng)，控制系統(tǒng)是安全的；三是認為黑客或病毒不懂控制系統(tǒng)。而實際情況是，盡管在企業(yè)網(wǎng)內(nèi)部安裝了功能較完備的網(wǎng)絡(luò)安全防護產(chǎn)品，施行了各類網(wǎng)絡(luò)安全技術(shù)，建立了信息安全管理體系，但控制系統(tǒng)的安全問題卻越來越嚴峻，主要原因是對許多控制網(wǎng)沒有有效的隔離手段，而企業(yè)推廣應(yīng)用的一些安全產(chǎn)品又不能直接安裝到這些系統(tǒng)上去。目前，針對企業(yè)控制網(wǎng)絡(luò)的安全事件存在以下共同點：

a.“軟”目標。大多數(shù)DCS系統(tǒng)中的計算機，很少或沒有機會安裝全天候的病毒防護和更新版本，同時控制器的設(shè)計都以實時的I∕O功用為主，并不提供加強的網(wǎng)絡(luò)連接防護功能。

b.多個網(wǎng)絡(luò)端口切入點。在多個網(wǎng)絡(luò)安全事件中，事由都源于對多個網(wǎng)絡(luò)端口進入點疏于防護，而且控制系統(tǒng)維護人員（非IT人員）在維護與維修過程中的監(jiān)管也不到位。

c.疏漏的網(wǎng)絡(luò)分割設(shè)計。許多控制網(wǎng)絡(luò)都是“敞開的”，不同子系統(tǒng)之間都沒有有效的隔離，尤其是基于OPC以及MOD?BUS等通訊的工業(yè)控制網(wǎng)絡(luò)。

3 煤層氣自動化控制網(wǎng)絡(luò)有效降低安全風(fēng)險的措施建議

針對煤層氣自動化控制網(wǎng)絡(luò)存在上述的諸多安全風(fēng)險，從確保工控網(wǎng)安全平穩(wěn)運行角度出發(fā)，建議應(yīng)從如下方面做好工作：

（1）斷開工業(yè)控制系統(tǒng)同公共網(wǎng)絡(luò)之間的所有不必要連接。

（2）對確實需要的連接，系統(tǒng)運營單位要逐一進行登記，采取設(shè)置防火墻、單向隔離等措施加以防護，并定期進行風(fēng)險評估，不斷完善防范措施。

（3）嚴格控制在工業(yè)控制系統(tǒng)和公共網(wǎng)絡(luò)之間交叉使用移動存儲介質(zhì)以及便攜式計算機。

（4）采取虛擬專用網(wǎng)絡(luò)（VPN）、線路冗余備份、數(shù)據(jù)加密等措施，加強對關(guān)鍵工業(yè)控制系統(tǒng)遠程通信的保護。

（5）對無線組網(wǎng)采取嚴格的身份認證、安全監(jiān)測等防護措施，防止經(jīng)無線網(wǎng)絡(luò)進行惡意入侵，尤其要防止通過侵入遠程終端單元（RTU）和手持終端進而控制部分或整個工業(yè)控制系統(tǒng)。

（6）建立控制服務(wù)器等工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備安全配置和審計制度。

（7）嚴格賬戶管理，根據(jù)工作需要合理分類設(shè)置賬戶權(quán)限。

（8）嚴格口令管理，及時更改產(chǎn)品安裝時的預(yù)設(shè)口令，杜絕弱口令、空口令。

（9）定期對賬戶、口令、端口、服務(wù)等進行檢查，及時清理不必要的用戶和管理員賬戶，停止無用的后臺程序和進程，關(guān)閉無關(guān)的端口和服務(wù)，對于某些共享端口要謹慎使用。

（10）密切關(guān)注產(chǎn)品漏洞和補丁發(fā)布，嚴格軟件升級、補丁安裝管理，嚴防病毒、木馬等惡意代碼侵入。關(guān)鍵工業(yè)控制系統(tǒng)軟件升級、補丁安裝前要請專業(yè)技術(shù)機構(gòu)進行安全評估和驗證。

（11）對于涉密數(shù)據(jù)以及其他重要敏感數(shù)據(jù)的采集、傳輸、存儲、利用等，要采取訪問權(quán)限控制、數(shù)據(jù)加密、安全審計、災(zāi)難備份等措施加以保護，切實維護個人權(quán)益、企業(yè)利益和國家信息資源安全。

（12）完善管理制度，加強人才培養(yǎng)，推進素質(zhì)提升，多管齊下保證辦公網(wǎng)和工控網(wǎng)的雙網(wǎng)安全。

4 結(jié)語

在推進智慧油氣田建設(shè)的背景前提下，我們一方面要關(guān)注信息資源的共享共建，加速“互聯(lián)網(wǎng)+煤層氣”業(yè)務(wù)實施，另一方面還要切實做好工業(yè)控制網(wǎng)絡(luò)的安全評價和有效防控，真正讓煤層氣勘探開發(fā)和生產(chǎn)運行控制在智慧、安全的環(huán)境中進行。

[1]韓曉波.企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實現(xiàn)[J].化工自動化及儀表，2012（4）.

[2]程光江潔欣.信息與網(wǎng)絡(luò)安全[M].北京：清華大學(xué)出版社，2008：10～18.