久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

★孔令武  北京珞安科技有限責(zé)任公司

★劉雄源，劉琰祥，黎唐宇  國(guó)家石油天然氣管網(wǎng)集團(tuán)有限公司華南分公司

★吳金寶，劉堯昌  北京珞安科技有限責(zé)任公司

關(guān)鍵詞：工控安全；網(wǎng)絡(luò)邊界隔離；日志監(jiān)測(cè)審計(jì)；主機(jī)安全加固；安全管理中心

1　引言

在全球能源格局中，長(zhǎng)輸油氣管網(wǎng)作為能源輸送的關(guān)鍵動(dòng)脈，其安全穩(wěn)定運(yùn)行對(duì)國(guó)家能源安全、經(jīng)濟(jì)發(fā)展和社會(huì)穩(wěn)定起著至關(guān)重要的作用。隨著信息技術(shù)的迅猛發(fā)展，長(zhǎng)輸油氣管網(wǎng)加速了數(shù)字化轉(zhuǎn)型。工控系統(tǒng)在提升運(yùn)營(yíng)效率的同時(shí)，也面臨著前所未有的網(wǎng)絡(luò)安全挑戰(zhàn)。構(gòu)建穩(wěn)固且高效的工控安全防護(hù)體系，已然成為保障長(zhǎng)輸油氣管網(wǎng)安全運(yùn)行的核心任務(wù)。

2　長(zhǎng)輸油氣管網(wǎng)的戰(zhàn)略意義與安全現(xiàn)狀

2.1　戰(zhàn)略意義

作為國(guó)家能源體系的核心組成部分，長(zhǎng)輸油氣管網(wǎng)猶如“工業(yè)的生命線”，連接著油氣資源的生產(chǎn)地與消費(fèi)市場(chǎng)，跨越廣袤地域，編織成龐大而復(fù)雜的能源輸送網(wǎng)絡(luò)。其不僅為工業(yè)生產(chǎn)提供了持續(xù)穩(wěn)定的能源供應(yīng)，支撐了國(guó)民經(jīng)濟(jì)的高速發(fā)展，而且在保障居民日常生活能源需求方面發(fā)揮著不可或缺的作用。從宏觀層面看，長(zhǎng)輸油氣管網(wǎng)的安全穩(wěn)定運(yùn)行是國(guó)家能源戰(zhàn)略布局得以順利實(shí)施的關(guān)鍵保障，對(duì)維護(hù)國(guó)家能源安全、推動(dòng)區(qū)域經(jīng)濟(jì)協(xié)調(diào)發(fā)展以及確保社會(huì)穩(wěn)定具有深遠(yuǎn)的戰(zhàn)略意義。

2.2　安全現(xiàn)狀

在數(shù)字化轉(zhuǎn)型進(jìn)程中，工控系統(tǒng)從傳統(tǒng)的孤立封閉狀態(tài)逐步向互聯(lián)互通轉(zhuǎn)變，這一過(guò)程雖帶來(lái)了數(shù)據(jù)共享和協(xié)同作業(yè)的便利，但也顯著增加了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)暴露面。一方面，網(wǎng)絡(luò)接入點(diǎn)的增多和數(shù)據(jù)交互的頻繁為網(wǎng)絡(luò)攻擊者提供了更多可乘之機(jī)；另一方面，由于安全防護(hù)措施未能及時(shí)跟上技術(shù)發(fā)展步伐，導(dǎo)致網(wǎng)絡(luò)安全規(guī)范缺失、應(yīng)急處置能力薄弱，使得長(zhǎng)輸油氣管網(wǎng)在面對(duì)日益復(fù)雜多變的網(wǎng)絡(luò)攻擊時(shí)顯得頗為脆弱，安全形勢(shì)極為嚴(yán)峻。

3　風(fēng)險(xiǎn)剖析：明確全面安全防護(hù)體系構(gòu)建的關(guān)鍵需求

典型油氣管網(wǎng)調(diào)度系統(tǒng)架構(gòu)，如圖1所示。

圖1 典型油氣管網(wǎng)調(diào)度系統(tǒng)架構(gòu)

（1）網(wǎng)絡(luò)邊界風(fēng)險(xiǎn)

長(zhǎng)輸油氣管網(wǎng)的分控中心與各站場(chǎng)共同構(gòu)成復(fù)雜且廣泛分布的網(wǎng)絡(luò)架構(gòu)。隨著數(shù)字化進(jìn)程的推進(jìn)，網(wǎng)絡(luò)邊界的不確定性增加，若缺乏有效的安全域劃分及隔離防護(hù)機(jī)制，外部惡意網(wǎng)絡(luò)活動(dòng)可能突破邊界防線，導(dǎo)致網(wǎng)絡(luò)入侵事件發(fā)生，進(jìn)而對(duì)管網(wǎng)運(yùn)行安全構(gòu)成潛在威脅，影響整體能源輸送的穩(wěn)定性。

（2）網(wǎng)絡(luò)安全審計(jì)風(fēng)險(xiǎn)

網(wǎng)絡(luò)流量的實(shí)時(shí)監(jiān)測(cè)與審計(jì)對(duì)于及時(shí)發(fā)現(xiàn)潛在安全威脅至關(guān)重要。在數(shù)據(jù)大量交互的情況下，若分控中心和各站場(chǎng)缺乏完善的安全流量審計(jì)措施，異常流量、違規(guī)操作或入侵行為可能隱藏于海量數(shù)據(jù)中，無(wú)法及時(shí)被察覺(jué)并記錄相關(guān)事件，從而錯(cuò)失在早期階段識(shí)別和應(yīng)對(duì)安全風(fēng)險(xiǎn)的時(shí)機(jī)，增加安全事件潛在影響范圍及后續(xù)處理難度。

（3）主機(jī)安全風(fēng)險(xiǎn)

主機(jī)和服務(wù)器作為長(zhǎng)輸油氣管網(wǎng)工控系統(tǒng)的核心設(shè)備，承載著關(guān)鍵業(yè)務(wù)運(yùn)行。不同操作系統(tǒng)（如Windows、Linux等）的多樣化環(huán)境以及不斷更新的軟件應(yīng)用，使得主機(jī)面臨復(fù)雜的安全挑戰(zhàn)。若缺乏全面的終端安全防護(hù)措施，尤其是在內(nèi)核級(jí)進(jìn)程防護(hù)與外聯(lián)設(shè)備安全管控方面存在不足，惡意軟件可能利用系統(tǒng)漏洞入侵，非法訪問(wèn)可能竊取關(guān)鍵數(shù)據(jù)，進(jìn)而對(duì)關(guān)鍵業(yè)務(wù)的連續(xù)性和數(shù)據(jù)完整性構(gòu)成挑戰(zhàn)。

（4）業(yè)務(wù)安全風(fēng)險(xiǎn)

在長(zhǎng)輸油氣管網(wǎng)的日常工作中，U盤(pán)常被用于資料交互，U盤(pán)的廣泛使用帶來(lái)了諸多安全隱患。例如，U盤(pán)可能在不同設(shè)備間隨意插拔，容易感染病毒或惡意軟件，一旦接入工控系統(tǒng)，這些惡意程序可能迅速傳播，感染關(guān)鍵業(yè)務(wù)設(shè)備，導(dǎo)致系統(tǒng)故障或數(shù)據(jù)泄露。惡意人員可能利用U盤(pán)輕易竊取敏感數(shù)據(jù)，且事后難以追蹤數(shù)據(jù)流向和責(zé)任人，給企業(yè)帶來(lái)聲譽(yù)損失和法律風(fēng)險(xiǎn)。

（5）運(yùn)維安全風(fēng)險(xiǎn)

長(zhǎng)輸油氣管網(wǎng)中的生產(chǎn)自動(dòng)化設(shè)備眾多，且第三方運(yùn)維在設(shè)備維護(hù)中較為常見(jiàn)。在此情況下，運(yùn)維過(guò)程中的人員、設(shè)備和網(wǎng)絡(luò)交互頻繁，若缺乏對(duì)被運(yùn)維設(shè)備的實(shí)時(shí)保護(hù)以及對(duì)運(yùn)維權(quán)限和操作過(guò)程的有效管控，惡意代碼可能通過(guò)運(yùn)維路徑傳播，進(jìn)而增加整個(gè)管網(wǎng)系統(tǒng)遭受安全攻擊的風(fēng)險(xiǎn)，影響生產(chǎn)系統(tǒng)的正常運(yùn)行。

（6）集中安全管理風(fēng)險(xiǎn)

鑒于長(zhǎng)輸油氣管網(wǎng)站場(chǎng)地理位置分散的特點(diǎn)，在遠(yuǎn)程管理網(wǎng)絡(luò)安全設(shè)備時(shí)，若無(wú)法在分控中心實(shí)現(xiàn)對(duì)各站場(chǎng)網(wǎng)絡(luò)安全設(shè)備的統(tǒng)一管理，安全策略可能無(wú)法及時(shí)更新和協(xié)同一致，運(yùn)維成本將增加，安全防護(hù)效率將降低，進(jìn)而使整個(gè)管網(wǎng)系統(tǒng)在面對(duì)復(fù)雜多變的安全威脅時(shí)難以形成有效的整體防御能力。

（7）安全態(tài)勢(shì)感知風(fēng)險(xiǎn)

在動(dòng)態(tài)變化的網(wǎng)絡(luò)安全環(huán)境中，網(wǎng)絡(luò)威脅不斷演進(jìn)且具有隱蔽性。若無(wú)法從宏觀層面通過(guò)多維度關(guān)聯(lián)分析各站場(chǎng)及分控中心的安全數(shù)據(jù)，及時(shí)把握網(wǎng)絡(luò)安全態(tài)勢(shì)，將難以預(yù)測(cè)潛在安全趨勢(shì)，可能導(dǎo)致在面對(duì)安全威脅時(shí)無(wú)法提前做出有效的應(yīng)對(duì)策略，使管網(wǎng)系統(tǒng)處于被動(dòng)防御狀態(tài)，增加安全事件發(fā)生的不確定性和潛在損失。

4　防護(hù)實(shí)踐：全方位構(gòu)建安全防護(hù)體系

根據(jù)工控網(wǎng)絡(luò)等保定級(jí)要求及業(yè)務(wù)需要，調(diào)度/分控中心被定級(jí)為三級(jí)，站場(chǎng)被定級(jí)為二級(jí)。為配合《網(wǎng)絡(luò)安全法》的實(shí)施和落地，并落實(shí)國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0制度，根據(jù)《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》《油氣管網(wǎng)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范》等要求，從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心等方面進(jìn)行工控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)。如圖2所示，總體設(shè)計(jì)如下：

圖2 全方位構(gòu)建安全防護(hù)體系

（1）安全區(qū)域邊界防護(hù)

基于長(zhǎng)輸油氣管網(wǎng)生產(chǎn)系統(tǒng)的業(yè)務(wù)邏輯和功能特性，進(jìn)行科學(xué)合理的安全域劃分是構(gòu)建穩(wěn)固邊界防護(hù)的基礎(chǔ)。在分控中心出口路由器以及各站場(chǎng)出口路由器位置，部署具備VPN功能的工業(yè)防火墻。防火墻配置精細(xì)的訪問(wèn)控制策略，嚴(yán)格限制外部網(wǎng)絡(luò)對(duì)內(nèi)部系統(tǒng)的訪問(wèn)，同時(shí)確保內(nèi)部網(wǎng)絡(luò)之間的安全通信。通過(guò)這種方式，有效阻止未經(jīng)授權(quán)的訪問(wèn)嘗試和惡意網(wǎng)絡(luò)攻擊，為長(zhǎng)輸油氣管網(wǎng)的安全運(yùn)行構(gòu)建起堅(jiān)實(shí)可靠的第一道防線。

（2）安全監(jiān)測(cè)審計(jì)體系

在分控中心核心交換機(jī)和各站場(chǎng)匯聚交換機(jī)處，采用旁路部署工控安全審計(jì)系統(tǒng)。該系統(tǒng)具備實(shí)時(shí)監(jiān)控人員操作行為的能力，可對(duì)網(wǎng)絡(luò)中的安全事件進(jìn)行即時(shí)審計(jì)和告警。該系統(tǒng)通過(guò)深入分析網(wǎng)絡(luò)流量數(shù)據(jù)，能夠精準(zhǔn)識(shí)別異常操作模式、違規(guī)操作行為以及潛在的入侵跡象，并及時(shí)發(fā)出警報(bào)。同時(shí)，系統(tǒng)詳細(xì)記錄所有安全相關(guān)事件，可為后續(xù)的安全事件調(diào)查和溯源提供準(zhǔn)確、完整的數(shù)據(jù)支持，從而有效增強(qiáng)長(zhǎng)輸油氣管網(wǎng)系統(tǒng)的可追溯性和安全性。

（3）主機(jī)安全加固策略

在分控中心和各站場(chǎng)的主機(jī)及服務(wù)器內(nèi)部，部署專(zhuān)業(yè)的主機(jī)安全加固系統(tǒng)。該系統(tǒng)綜合運(yùn)用多種先進(jìn)技術(shù)手段，包括嚴(yán)格的身份認(rèn)證機(jī)制、全面的應(yīng)用防護(hù)功能、精細(xì)的外設(shè)防護(hù)策略、嚴(yán)格的文件防護(hù)措施以及針對(duì)性的安全策略加固。通過(guò)這些技術(shù)措施，從系統(tǒng)內(nèi)核層面保障終端設(shè)備的安全性，有效防止惡意進(jìn)程的運(yùn)行和數(shù)據(jù)泄露風(fēng)險(xiǎn)，顯著提升主機(jī)系統(tǒng)的穩(wěn)定性和抗攻擊能力，確保長(zhǎng)輸油氣管網(wǎng)關(guān)鍵業(yè)務(wù)的持續(xù)穩(wěn)定運(yùn)行。

（4）業(yè)務(wù)安全管控措施

在分控中心和各站場(chǎng)相關(guān)的業(yè)務(wù)區(qū)域部署USB安全管理系統(tǒng)，U盤(pán)接入需要經(jīng)過(guò)認(rèn)證、授權(quán)、殺毒、審計(jì)，并采用白名單+黑名單機(jī)制，內(nèi)置的文件類(lèi)型白名單和殺毒引擎能夠有效地阻止未知病毒文件對(duì)數(shù)據(jù)中心系統(tǒng)造成的潛在威脅。上述舉措滿足工業(yè)控制系統(tǒng)裝置現(xiàn)場(chǎng)對(duì)于移動(dòng)存儲(chǔ)設(shè)備安全訪問(wèn)的嚴(yán)格要求。同時(shí)，與主機(jī)安全加固系統(tǒng)安全策略組合，對(duì)所有主機(jī)和服務(wù)中空閑的USB端口都通過(guò)安全策略實(shí)現(xiàn)邏輯封堵，以防止未經(jīng)授權(quán)的設(shè)備接入。

（5）運(yùn)維安全管控機(jī)制

在分控中心部署專(zhuān)門(mén)的運(yùn)維安全審計(jì)系統(tǒng)，實(shí)現(xiàn)對(duì)運(yùn)維賬號(hào)的集中管理、細(xì)粒度的訪問(wèn)權(quán)限分配以及全面的操作審計(jì)功能。通過(guò)集中管理運(yùn)維賬號(hào)，確保賬號(hào)的安全性和可追溯性；借助細(xì)粒度訪問(wèn)權(quán)限分配，嚴(yán)格限制運(yùn)維人員的操作范圍，防止越權(quán)操作；通過(guò)操作審計(jì)功能，對(duì)運(yùn)維人員的所有操作進(jìn)行詳細(xì)記錄和實(shí)時(shí)監(jiān)控。這種全方位的運(yùn)維安全管控機(jī)制，能夠有效規(guī)范運(yùn)維操作流程，確保運(yùn)維過(guò)程的安全性，防止因運(yùn)維操作不當(dāng)或惡意行為引發(fā)的安全事故，從而保障生產(chǎn)自動(dòng)化設(shè)備的穩(wěn)定可靠運(yùn)行。

（6）安全管理中心建設(shè)

在分控中心構(gòu)建安全管理中心，并部署工控集中安全管理系統(tǒng)。該系統(tǒng)具備對(duì)各站場(chǎng)安全設(shè)備進(jìn)行全面集中化管理的能力，包括設(shè)備的注冊(cè)、配置管理、狀態(tài)監(jiān)測(cè)、策略管理以及配置的統(tǒng)一下發(fā)。同時(shí)，安全管理中心能夠?qū)崟r(shí)采集、存儲(chǔ)和處理各站場(chǎng)安全設(shè)備產(chǎn)生的安全數(shù)據(jù)，通過(guò)數(shù)據(jù)分析為安全決策提供有力支持。通過(guò)建設(shè)安全管理中心，提高安全管理的效率和協(xié)同性，確保整個(gè)長(zhǎng)輸油氣管網(wǎng)安全防護(hù)體系的高效、有序運(yùn)行。

在分控中心安全管理中心交換機(jī)處和各站場(chǎng)核心交換機(jī)處，采用旁路部署方式設(shè)置日志審計(jì)與分析系統(tǒng)，用于對(duì)業(yè)務(wù)系統(tǒng)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)等相關(guān)系統(tǒng)日志、運(yùn)行日志、告警日志進(jìn)行集中采集和分析。通過(guò)大數(shù)據(jù)分析與搜索技術(shù)，對(duì)海量日志進(jìn)行關(guān)聯(lián)分析，實(shí)現(xiàn)安全事件溯源，協(xié)助運(yùn)維人員進(jìn)行安全監(jiān)視、審計(jì)追蹤、調(diào)查取證等操作。

（7）安全態(tài)勢(shì)感知平臺(tái)搭建

在分控中心設(shè)立安全管理中心的基礎(chǔ)上，部署先進(jìn)的工業(yè)安全管理與態(tài)勢(shì)分析系統(tǒng)。該系統(tǒng)具備強(qiáng)大的數(shù)據(jù)處理能力，能夠?qū)?lái)自各站場(chǎng)及分控中心的海量安全數(shù)據(jù)進(jìn)行深度關(guān)聯(lián)分析。利用大數(shù)據(jù)融合可視化技術(shù)，將復(fù)雜的安全態(tài)勢(shì)以直觀、易懂的方式實(shí)時(shí)展示給安全管理人員。通過(guò)對(duì)安全趨勢(shì)的精準(zhǔn)預(yù)測(cè)和及時(shí)預(yù)警，為決策層提供準(zhǔn)確、及時(shí)的安全信息，助力其制定前瞻性的安全決策和快速響應(yīng)機(jī)制，從而有效提升長(zhǎng)輸油氣管網(wǎng)應(yīng)對(duì)網(wǎng)絡(luò)安全威脅的整體能力。

5　結(jié)論與展望

通過(guò)在多個(gè)長(zhǎng)輸油氣管網(wǎng)項(xiàng)目中的實(shí)際應(yīng)用，上述綜合安全防護(hù)體系方案取得了顯著的實(shí)踐成果。在實(shí)際運(yùn)行過(guò)程中，該解決方案多次成功抵御了來(lái)自外部的網(wǎng)絡(luò)攻擊，有效降低了安全事件的發(fā)生率，顯著提升了長(zhǎng)輸油氣管網(wǎng)系統(tǒng)的整體安全性和穩(wěn)定性。同時(shí)，該解決方案的實(shí)施優(yōu)化了安全業(yè)務(wù)管理流程，提高了安全業(yè)務(wù)管理效率，降低了安全業(yè)務(wù)成本，為長(zhǎng)輸油氣管網(wǎng)企業(yè)的安全生產(chǎn)和可持續(xù)發(fā)展提供了堅(jiān)實(shí)有力的支撐。

長(zhǎng)輸油氣管網(wǎng)工控安全防護(hù)是一項(xiàng)長(zhǎng)期而復(fù)雜的系統(tǒng)工程，其重要性關(guān)乎國(guó)家能源安全和經(jīng)濟(jì)命脈。隨著信息技術(shù)的持續(xù)演進(jìn)和網(wǎng)絡(luò)安全形勢(shì)的不斷變化，未來(lái)需要進(jìn)一步加大在技術(shù)創(chuàng)新方面的投入，持續(xù)完善和優(yōu)化安全防護(hù)體系，不斷提升安全防護(hù)能力。同時(shí)，應(yīng)積極加強(qiáng)行業(yè)內(nèi)的合作與交流，共同應(yīng)對(duì)不斷涌現(xiàn)的新興安全威脅，為長(zhǎng)輸油氣管網(wǎng)的安全穩(wěn)定運(yùn)行提供堅(jiān)實(shí)保障，推動(dòng)能源行業(yè)的數(shù)字化轉(zhuǎn)型和可持續(xù)發(fā)展邁向新的高度。

作者簡(jiǎn)介

孔令武（1977-），男，四川成都人，碩士，現(xiàn)就職于北京珞安科技有限責(zé)任公司，主要從事工控安全、數(shù)據(jù)安全、應(yīng)用安全及工業(yè)領(lǐng)域安全運(yùn)營(yíng)方面的研究。

劉雄源（1989-），男，廣東潮州人，學(xué)士，現(xiàn)就職于國(guó)家石油天然氣管網(wǎng)集團(tuán)有限公司華南分公司，主要從事儀表自動(dòng)化方面的研究。

劉琰祥（1991-），男，廣東韶關(guān)人，助理工程師，學(xué)士，現(xiàn)就職于國(guó)家石油天然氣管網(wǎng)集團(tuán)有限公司華南分公司，主要從事工控網(wǎng)絡(luò)安全現(xiàn)狀及威脅與應(yīng)對(duì)策略方面的研究。

黎唐宇（1991-），男，廣東佛山人，工程師，學(xué)士，現(xiàn)就職于國(guó)家石油天然氣管網(wǎng)集團(tuán)有限公司華南分公司，主要從事工控系統(tǒng)及網(wǎng)絡(luò)安全管理與運(yùn)維方面的研究。

吳金寶（1988-），男，福建泉州人，中級(jí)工程師，學(xué)士，現(xiàn)就職于北京珞安科技有限責(zé)任公司，主要從事工控網(wǎng)絡(luò)和數(shù)據(jù)安全方面的研究。

劉堯昌（1993-），男，廣東韶關(guān)人，中級(jí)工程師，學(xué)士，現(xiàn)就職于北京珞安科技有限責(zé)任公司，主要從事工業(yè)控制系統(tǒng)網(wǎng)絡(luò)與信息安全方面的研究。

參考文獻(xiàn)：

[1] GB/T22240-2020, 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南[S].

[2] GB/T22239-2019, 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求[S].

[3] 穆云婷, 王云龍, 任天曉, 等. 油氣長(zhǎng)輸管道工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與應(yīng)對(duì)措施[J]. 網(wǎng)絡(luò)空間安全, 2021, 12 (Z1) .

[4] 高志斌, 張曲漢, 李欣嶸, 等. 基于等保2.0的油氣管道工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)方式探析[J]. 中國(guó)石油和化工標(biāo)準(zhǔn)與質(zhì)量, 2020, 40 (13) : 151 - 152.

[5] 張翔宇, 路來(lái)順. 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全分析與研究[J]. 網(wǎng)絡(luò)空間安全, 2019, 10 (5) .

摘自《自動(dòng)化博覽》2025年1月刊