■ 河南 劉國(guó)華

編者按：長(zhǎng)輸天然氣管道調(diào)控中心作為整體管線的神經(jīng)中樞，對(duì)管線、輸氣場(chǎng)站、閥室進(jìn)行集中控制。隨著兩化融合的不斷深入，各種信息化系統(tǒng)陸續(xù)上線，亟待進(jìn)行信息安全的提升，確保長(zhǎng)輸天然氣管道調(diào)控中心的信息安全。

隨著長(zhǎng)輸天然氣管道的快速發(fā)展，近年來信息化建設(shè)不斷深入，各類自動(dòng)化、信息化系統(tǒng)陸續(xù)上線運(yùn)行，主要包括生產(chǎn)管理系統(tǒng)、辦公網(wǎng)絡(luò)系統(tǒng)、視頻監(jiān)控系統(tǒng)、數(shù)字化管道系統(tǒng)、視頻會(huì)議系統(tǒng)等。公司的生產(chǎn)、溝通、應(yīng)用、財(cái)務(wù)、決策、會(huì)議等都依賴于網(wǎng)絡(luò)與信息化平臺(tái)，構(gòu)建一個(gè)“安全可靠、性能卓越、管理全面”的網(wǎng)絡(luò)信息化體系已經(jīng)成為天然氣管道信息化發(fā)展的基石。

通信網(wǎng)絡(luò)系統(tǒng)現(xiàn)狀

天然氣管道調(diào)控中心至各個(gè)站場(chǎng)通信網(wǎng)絡(luò)系統(tǒng)根據(jù)實(shí)現(xiàn)方式可分為管道光纜光通信、運(yùn)營(yíng)商MSTP專線及VPN三部分構(gòu)成，而天然氣管道通信網(wǎng)絡(luò)系統(tǒng)主要承載著天然氣管道自控業(yè)務(wù)、辦公網(wǎng)業(yè)務(wù)、工業(yè)電視監(jiān)控系統(tǒng)、視頻會(huì)議系統(tǒng)、軟交換調(diào)度電話和應(yīng)急廣播等業(yè)務(wù)。

存在的問題

1.網(wǎng)絡(luò)問題

（1）天然氣管道當(dāng)前運(yùn)行多種業(yè)務(wù)均混合傳輸，全部接入到一臺(tái)核心交換機(jī)內(nèi)，現(xiàn)行的業(yè)務(wù)容易造成網(wǎng)絡(luò)環(huán)路數(shù)據(jù)傳輸不穩(wěn)定，且沒有在調(diào)控中心和場(chǎng)站進(jìn)行業(yè)務(wù)隔離區(qū)分。

（2）全線場(chǎng)站辦公網(wǎng)絡(luò)沒有納入至濟(jì)南調(diào)控中心統(tǒng)一管理，沒有防火墻對(duì)場(chǎng)站網(wǎng)絡(luò)進(jìn)行安全防護(hù)，無法對(duì)各個(gè)場(chǎng)站進(jìn)行帶寬、應(yīng)用行為管理控制。

（3）目前天然氣管道防火墻多為傳統(tǒng)防火墻，只是簡(jiǎn)單實(shí)現(xiàn)了將內(nèi)部地址轉(zhuǎn)換公網(wǎng)地址及內(nèi)部用戶互聯(lián)網(wǎng)訪問的功能，缺乏合理的保護(hù)策略，易遭受來自互聯(lián)網(wǎng)的攻擊。現(xiàn)有的防火墻只能在三層數(shù)據(jù)流進(jìn)行識(shí)別，無法進(jìn)行七層業(yè)務(wù)管控。

2.終端安全防護(hù)問題

（1）公司沒有對(duì)自控系統(tǒng)工控主機(jī)統(tǒng)一部署防病毒軟件系統(tǒng)，桌面計(jì)算機(jī)的病毒防護(hù)能力相對(duì)較低，無法全局掌握所有設(shè)備的網(wǎng)絡(luò)完全狀態(tài)，無法控制自控系統(tǒng)終端第三方介質(zhì)的管理。

（2）不具備安全策略控制能力，為了保證防毒系統(tǒng)平穩(wěn)、順利地運(yùn)行，就必須對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)補(bǔ)丁的部署、防毒系統(tǒng)的安裝、防毒系統(tǒng)的更新、是否加入域等節(jié)點(diǎn)狀態(tài)進(jìn)行必要的監(jiān)控和控制，在網(wǎng)關(guān)層次上拒絕掉不符合安全策略要求的節(jié)點(diǎn)的對(duì)外訪問。

3.日志審計(jì)存在問題

天然氣管道缺少對(duì)內(nèi)部網(wǎng)絡(luò)、外接網(wǎng)絡(luò)和各種應(yīng)用系統(tǒng)的日志審計(jì)管控的技術(shù)措施。操作系統(tǒng)、硬件、應(yīng)用程序等故障或配置錯(cuò)誤導(dǎo)致系統(tǒng)異常運(yùn)行，服務(wù)中斷。這些異常行為只會(huì)在系統(tǒng)及各類日志中有所反映，沒有統(tǒng)一的日志審計(jì)手段，無法及時(shí)查詢相關(guān)信息。

4.數(shù)據(jù)保護(hù)及備份存在問題

現(xiàn)有的應(yīng)用及數(shù)據(jù)都存在本地機(jī)房，如果機(jī)房出現(xiàn)長(zhǎng)時(shí)間斷電或遇自然災(zāi)害時(shí)將無法進(jìn)行生產(chǎn)管理或提供應(yīng)用服務(wù)，因此需要對(duì)整個(gè)機(jī)房的信息系統(tǒng)實(shí)施基于持續(xù)數(shù)據(jù)保護(hù)和備份的多維度數(shù)據(jù)保護(hù)。

圖1 安全部署節(jié)點(diǎn)示意圖

主要技術(shù)關(guān)鍵點(diǎn)

“天然氣管道調(diào)控中心信息安全技術(shù)與應(yīng)用”總體分為四個(gè)方面：

一是在不影響現(xiàn)有現(xiàn)場(chǎng)數(shù)據(jù)實(shí)時(shí)傳輸至調(diào)控中心的前提下，對(duì)全線網(wǎng)絡(luò)設(shè)備進(jìn)行數(shù)據(jù)配置，實(shí)現(xiàn)設(shè)備可控、性能可視化管理、業(yè)務(wù)隔離、網(wǎng)絡(luò)冗余的功能。

二是工控防火墻、下一代防火墻在生產(chǎn)網(wǎng)和信息網(wǎng)、生產(chǎn)網(wǎng)絡(luò)內(nèi)部的應(yīng)用，配合工業(yè)級(jí)防病毒系統(tǒng)，提高工控網(wǎng)絡(luò)安全性能。

三是利用日志審計(jì)系統(tǒng)、上網(wǎng)行為管理、無線控制器對(duì)終端設(shè)備實(shí)現(xiàn)全方位不間斷的監(jiān)控，構(gòu)建完備的智能化信息運(yùn)維模式。

四是利用災(zāi)備數(shù)據(jù)備份技術(shù)，為調(diào)控中心在異地建立關(guān)鍵數(shù)據(jù)備份中心。

1.建立自控系統(tǒng)專用內(nèi)部網(wǎng)絡(luò)，實(shí)現(xiàn)設(shè)備網(wǎng)管，業(yè)務(wù)隔離、服務(wù)保障

基于管道公司SCADA自控?cái)?shù)據(jù)作為生產(chǎn)運(yùn)行的生命線，其業(yè)務(wù)等級(jí)最高，為了保障其獨(dú)立，在調(diào)控中心和場(chǎng)站之間建立基于SDH以太網(wǎng)LAN業(yè)務(wù)的專用網(wǎng)絡(luò)，每個(gè)場(chǎng)站至中心獨(dú)享1個(gè)VC-12時(shí)隙。調(diào)控中心SCADA系統(tǒng)的路由器、交換機(jī)、服務(wù)器、工程師工作站與站控系統(tǒng)統(tǒng)一在內(nèi)部局域網(wǎng)中。對(duì)于其他綜合業(yè)務(wù)，按照業(yè)務(wù)類型，標(biāo)準(zhǔn)化配置各個(gè)站場(chǎng)交換機(jī)，同時(shí)對(duì)核心交換機(jī)和各場(chǎng)站上聯(lián)口設(shè)備ACL訪問控制列表，防范非法地址的進(jìn)入。

2.實(shí)現(xiàn)生產(chǎn)與辦公、自控與數(shù)據(jù)中心、中心與站場(chǎng)的安全可控

在生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)之間部署了防火墻，安全防護(hù)策略依照源地址、目的地址、應(yīng)用協(xié)議、端口號(hào)等，并且開啟七層防護(hù)功能。

在自控系統(tǒng)與上一級(jí)調(diào)控中心網(wǎng)絡(luò)部署了工控防火墻，在自控系統(tǒng)中心服務(wù)器集群與站場(chǎng)互聯(lián)端口部署一臺(tái)防火墻，在自控系統(tǒng)與數(shù)據(jù)中心OPC服務(wù)器部署一臺(tái)防火墻。通過以上部署，在各個(gè)關(guān)鍵節(jié)點(diǎn)均增設(shè)了安全管理設(shè)備，實(shí)時(shí)監(jiān)控傳輸數(shù)據(jù)的安全性。如圖1所示。

在自控系統(tǒng)內(nèi)部，中心和場(chǎng)站之間利用七層防火墻的多維度應(yīng)用識(shí)別，只針對(duì)自控系統(tǒng)內(nèi)部的IP地址開放ICMP、MODBUS等協(xié)議，將經(jīng)過防火墻的數(shù)據(jù)限制在特別范圍內(nèi)，實(shí)行白名單制度。

與此同時(shí)在整個(gè)系統(tǒng)網(wǎng)絡(luò)中，增加終端管理防病毒系統(tǒng)，在調(diào)控中心部署集中管理平臺(tái)，由平臺(tái)統(tǒng)一進(jìn)行病毒庫的更新，下發(fā)統(tǒng)一殺毒、修復(fù)漏洞等策略，確保終端安全。系統(tǒng)還具有遠(yuǎn)程用戶的準(zhǔn)入，終端設(shè)備介質(zhì)管理功能，避免非法用戶和不安全的移動(dòng)介質(zhì)對(duì)站控系統(tǒng)設(shè)備帶來木馬病毒等。

終端設(shè)備客戶端集成了惡意行為監(jiān)控、實(shí)時(shí)掃描、可疑連接服務(wù)、Web信譽(yù)丟失等功能。

3.關(guān)鍵業(yè)務(wù)數(shù)據(jù)的異地保護(hù)

基于數(shù)據(jù)保護(hù)系統(tǒng)配置了兩臺(tái)數(shù)據(jù)保護(hù)設(shè)備。在調(diào)控中心網(wǎng)絡(luò)環(huán)境中，服務(wù)器及數(shù)據(jù)保護(hù)設(shè)備均接入LAN網(wǎng)絡(luò)中。數(shù)據(jù)保護(hù)系統(tǒng)保護(hù)生產(chǎn)系統(tǒng)的服務(wù)器，保護(hù)數(shù)據(jù)通過網(wǎng)絡(luò)方式存儲(chǔ)于數(shù)據(jù)保護(hù)設(shè)備自身的磁盤中，同時(shí)通過專線，將本地設(shè)備中的數(shù)據(jù)遠(yuǎn)程復(fù)制到異地災(zāi)備中心中，構(gòu)建完整的災(zāi)備保護(hù)系統(tǒng)。從圖2可以看出數(shù)據(jù)安全保障體系架構(gòu)。

圖2 異地災(zāi)備系統(tǒng)部署結(jié)構(gòu)圖

圖3 日志審計(jì)系統(tǒng)總體部署架構(gòu)圖

（1）在不改變?cè)邢到y(tǒng)結(jié)構(gòu)的前提下，將分別接入調(diào)控中心和異地災(zāi)備中心的LAN網(wǎng)絡(luò)中，激活持續(xù)數(shù)據(jù)保護(hù)功能主模塊、備份功能主模塊，遠(yuǎn)程災(zāi)備模塊。

（2）在需要數(shù)據(jù)保護(hù)的服務(wù)器中，安裝數(shù)據(jù)保護(hù)模塊，通過數(shù)據(jù)保護(hù)模塊實(shí)現(xiàn)數(shù)據(jù)保護(hù)功能。

（3）在內(nèi)部創(chuàng)建與被保護(hù)服務(wù)器相同環(huán)境的虛擬主機(jī)，實(shí)現(xiàn)應(yīng)用接管。

（4）保護(hù)的數(shù)據(jù)存儲(chǔ)于磁盤陣列中。

4.優(yōu)化辦公網(wǎng)絡(luò)，部署上網(wǎng)行為管理、日志審計(jì)系統(tǒng)

將現(xiàn)有的傳統(tǒng)防火墻更換為NGFW下一代七層防火墻，加固內(nèi)網(wǎng)安全防護(hù)等級(jí)。在防火墻與接入交換機(jī)加裝一臺(tái)三層匯聚交換機(jī)，將三層網(wǎng)關(guān)設(shè)置在該交換機(jī)上，三層交換機(jī)與防火墻通過靜態(tài)路由互通，從而減輕防火墻的壓力，在出口防火墻串接上網(wǎng)行為管理設(shè)備，實(shí)時(shí)管控辦公期間的人員的上網(wǎng)行為。日志審計(jì)系統(tǒng)收集網(wǎng)絡(luò)內(nèi)部關(guān)鍵信息系統(tǒng)、網(wǎng)絡(luò)設(shè)備的日志信息，實(shí)現(xiàn)全生命周期日志管理，為網(wǎng)絡(luò)與系統(tǒng)提供安全的運(yùn)維工具，同時(shí)遵照等級(jí)保護(hù)和內(nèi)控審計(jì)要求?？傮w安全部署示意圖如圖3所示。

結(jié)語

通過以上信息安全技術(shù)的實(shí)施與應(yīng)用，將改變天然氣管道自建設(shè)以來，網(wǎng)絡(luò)無法管理，所有業(yè)務(wù)數(shù)據(jù)未進(jìn)行隔離，在一個(gè)廣播域進(jìn)行數(shù)據(jù)交互，相互之間的網(wǎng)絡(luò)中斷、地址沖突、病毒蔓延的現(xiàn)狀，同時(shí)在基礎(chǔ)數(shù)據(jù)平臺(tái)規(guī)范化的基礎(chǔ)上，探索研究了工控防火墻在生產(chǎn)網(wǎng)絡(luò)中的應(yīng)用，探索了策略安全防護(hù)等級(jí)、標(biāo)準(zhǔn)和配置模式，在保障生產(chǎn)自控網(wǎng)絡(luò)內(nèi)部指令正常傳達(dá)的前提下，為生產(chǎn)辦公信息網(wǎng)絡(luò)之間傳遞安全的數(shù)據(jù)，為長(zhǎng)輸天然氣管道調(diào)控中心網(wǎng)絡(luò)安全建設(shè)與防護(hù)提供了參考技術(shù)措施。