★ 北京天地和興科技有限公司

1 項(xiàng)目概況

1.1 項(xiàng)目背景

城市供熱系統(tǒng)作為城市熱力供應(yīng)的重要組成部分，是城鎮(zhèn)建設(shè)的重要基礎(chǔ)設(shè)施之一。供熱系統(tǒng)的安全穩(wěn)定運(yùn)行是國民經(jīng)濟(jì)和社會運(yùn)行的重要基礎(chǔ)。近幾年來，隨著全球工業(yè)信息和互聯(lián)網(wǎng)的快速發(fā)展，工業(yè)企業(yè)信息安全領(lǐng)域遭受惡意攻擊事件時(shí)有發(fā)生，這些針對工業(yè)自動化設(shè)備、網(wǎng)絡(luò)設(shè)備和工業(yè)控制系統(tǒng)的漏洞攻擊、信息竊取、信息探測、惡意攻擊對企業(yè)生產(chǎn)、信息安全以及社會公共秩序造成嚴(yán)重威脅。

本項(xiàng)目中供熱公司的供熱管網(wǎng)控制系統(tǒng)屬于典型的物理分散、系統(tǒng)分散、風(fēng)險(xiǎn)分散的系統(tǒng)，極易受到各種形式的攻擊，進(jìn)而對供熱管網(wǎng)控制系統(tǒng)形成惡意破壞以及其他非法操作，導(dǎo)致供熱管網(wǎng)控制系統(tǒng)發(fā)生重大事故，給企業(yè)聲譽(yù)帶來負(fù)面效應(yīng)，因此存在巨大的安全風(fēng)險(xiǎn)。

1.2 項(xiàng)目簡介

城市熱力站地理位置分散，覆蓋面廣。大部分城市熱力站通過電信運(yùn)營商互聯(lián)網(wǎng)網(wǎng)絡(luò)與控制系統(tǒng)的數(shù)據(jù)通信，調(diào)度中心控制指令和各熱力站實(shí)時(shí)控制數(shù)據(jù)以不安全的傳輸協(xié)議進(jìn)行數(shù)據(jù)傳輸，極易被惡意攻擊者竊取信息數(shù)據(jù)或者對信息數(shù)據(jù)進(jìn)行篡改，導(dǎo)致無法真實(shí)傳遞控制指令和反映當(dāng)前熱力站控制系統(tǒng)運(yùn)行狀態(tài)。

可能存在的安全風(fēng)險(xiǎn)有：

（1）破壞供熱系統(tǒng)，中斷正常供熱；

（2）內(nèi)部人員失誤導(dǎo)致業(yè)務(wù)中斷；

（3）竊取供熱用戶身份、供熱信息；

（4）竊取財(cái)務(wù)或辦公信息；

（5）內(nèi)部人員非法交易用戶身份、供熱信息；

（6）外包人員在程序中安插后門；

（7）跨國的政治或商業(yè)目的的信息竊取；

（8）惡意軟件；

（9）網(wǎng)絡(luò)被攻擊，通信中斷；

（10）自然災(zāi)害；

（11）熱力站失火、漏水，導(dǎo)致熱力站控制系統(tǒng)損壞，造成供暖中斷。

供熱行業(yè)網(wǎng)絡(luò)安全規(guī)劃框架根據(jù)《網(wǎng)絡(luò)安全法》、國家等級保護(hù)2.0安全建設(shè)要求，在安全體系的指導(dǎo)下，從技術(shù)體系、管理體系、運(yùn)維體系三大體系入手，進(jìn)行規(guī)劃設(shè)計(jì)。

本項(xiàng)目參照相關(guān)國家/行業(yè)標(biāo)準(zhǔn)要求，結(jié)合安全現(xiàn)狀與需求分析，針對市政供熱行業(yè)特點(diǎn)，通過安全風(fēng)險(xiǎn)評估的方式全面了解生產(chǎn)控制系統(tǒng)的安全狀況，將問題轉(zhuǎn)化為需求，圍繞“一個中心、三重防護(hù)”國家網(wǎng)絡(luò)安全等級保護(hù)2.0的防護(hù)思維進(jìn)行網(wǎng)絡(luò)安全防護(hù)體系的詳細(xì)設(shè)計(jì)，形成縱深網(wǎng)絡(luò)安全防護(hù)能力，并通過完善相關(guān)安全管理的制度方式，落實(shí)安全管理體系化建設(shè)目標(biāo)，構(gòu)建技防與管理相結(jié)合的網(wǎng)絡(luò)安全縱深防御體系，高效發(fā)揮防御體系的防護(hù)效能，為市政供熱行業(yè)系統(tǒng)安全運(yùn)行保駕護(hù)航。

1.3 項(xiàng)目目標(biāo)

本項(xiàng)目通過對供熱管網(wǎng)控制系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、邊界及系統(tǒng)風(fēng)險(xiǎn)進(jìn)行明確，對其面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行研究，依據(jù)等級保護(hù)要求，就現(xiàn)有控制系統(tǒng)的網(wǎng)絡(luò)安全問題，提出針對性的安全防護(hù)解決方案，并從區(qū)域隔離、接入雙向認(rèn)證、網(wǎng)絡(luò)通信鏈路防護(hù)、軟件系統(tǒng)安全、集中監(jiān)管、主動防護(hù)等方面出發(fā)，構(gòu)建供熱控制系統(tǒng)安全縱深防御體系，確保供熱管網(wǎng)系統(tǒng)安全運(yùn)行。

2 項(xiàng)目實(shí)施

2.1 方案設(shè)計(jì)

（1）全面安全風(fēng)險(xiǎn)評估

通過調(diào)研、現(xiàn)場勘查訪問、借助檢查工具與專業(yè)技術(shù)實(shí)操，全面發(fā)現(xiàn)與驗(yàn)證在物理環(huán)境、通信網(wǎng)絡(luò)、計(jì)算環(huán)境等多層面存在的安全風(fēng)險(xiǎn)，讓企業(yè)領(lǐng)導(dǎo)及安全運(yùn)維人員系統(tǒng)了解生產(chǎn)網(wǎng)控制系統(tǒng)存在的安全風(fēng)險(xiǎn)。

（2）網(wǎng)絡(luò)安全防護(hù)體系建設(shè)

安全風(fēng)險(xiǎn)評估為安全建設(shè)輸出了準(zhǔn)確的安全建設(shè)需求，需結(jié)合現(xiàn)狀與未來發(fā)展規(guī)劃，遵照國家/行業(yè)相關(guān)安全標(biāo)準(zhǔn)要求，遵照用戶建設(shè)規(guī)劃，開展網(wǎng)絡(luò)安全防護(hù)體系設(shè)計(jì)與建設(shè)，并借助先進(jìn)的工控安全產(chǎn)品，構(gòu)建“一個中心、三重防護(hù)”，即安全管理中心、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境，的縱深安全防護(hù)技術(shù)體系，完善安全管理體系，形成綜合防御能力，滿足用戶建設(shè)目標(biāo)，滿足網(wǎng)絡(luò)安全合規(guī)性要求，滿足供熱控制系統(tǒng)安全防護(hù)的實(shí)際需要。

（3）智能AI安全監(jiān)控

通過智能AI算法安全分析加強(qiáng)安全運(yùn)營體系，包括日常運(yùn)維的規(guī)范化、安全培訓(xùn)、安全檢查與應(yīng)急演練的常態(tài)化，并借助平臺技術(shù)手段，構(gòu)建多級級聯(lián)式安全運(yùn)營平臺應(yīng)用，實(shí)現(xiàn)全網(wǎng)風(fēng)險(xiǎn)動態(tài)感知、趨勢分析、安全預(yù)警、聯(lián)動處置。

本方案采用的技術(shù)與產(chǎn)品均為工控安全專用技術(shù)，具有主流工控協(xié)議深度解析能力，支持白名單部署策略，并具有全面的工業(yè)漏洞庫與工業(yè)設(shè)備指紋庫，具備工控行為的識別、合規(guī)性檢查、訪問控制、安全審計(jì)以及安全風(fēng)險(xiǎn)集中管理、綜合分析與處置的能力，為市政供熱行業(yè)控制系統(tǒng)穩(wěn)定安全運(yùn)行提供保障。供熱管網(wǎng)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)圖如圖1所示。

圖1 供熱管網(wǎng)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)圖

2.2 項(xiàng)目技術(shù)

對供熱管網(wǎng)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全防護(hù)風(fēng)險(xiǎn)進(jìn)行調(diào)研，對系統(tǒng)資產(chǎn)進(jìn)行梳理，對網(wǎng)絡(luò)安全隱患進(jìn)行風(fēng)險(xiǎn)點(diǎn)分析，并形成相關(guān)分析報(bào)告。按照國家網(wǎng)絡(luò)安全法提出的原則，利用當(dāng)前先進(jìn)的網(wǎng)絡(luò)安全防護(hù)理念、技術(shù)與產(chǎn)品，有序地開展供熱行業(yè)生產(chǎn)系統(tǒng)中網(wǎng)絡(luò)安全防護(hù)體系的頂層設(shè)計(jì)、分期設(shè)計(jì)與建設(shè)工作，編制供熱行業(yè)網(wǎng)絡(luò)安全立體的防護(hù)體系建設(shè)標(biāo)準(zhǔn)。同時(shí)，研發(fā)自主AI算法引擎創(chuàng)新的網(wǎng)絡(luò)安全防護(hù)產(chǎn)品，實(shí)現(xiàn)全網(wǎng)動態(tài)安全監(jiān)測、風(fēng)險(xiǎn)可視、通報(bào)預(yù)警與聯(lián)動處置，提高網(wǎng)絡(luò)安全綜合管控與防護(hù)能力，完成防護(hù)建設(shè)試點(diǎn)并通過等保2.0等級測評。

在換熱站的網(wǎng)絡(luò)出口鏈路部署定制開發(fā)的網(wǎng)絡(luò)安全綜合防護(hù)終端，與中心網(wǎng)安綜合防護(hù)網(wǎng)關(guān)配套，利用國密算法對換熱站業(yè)務(wù)數(shù)據(jù)進(jìn)行加解密，有效預(yù)防和避免由于管理疏忽造成的數(shù)據(jù)泄露現(xiàn)象，減少或避免因人員操作管理失誤造成的損失。

網(wǎng)安綜合防護(hù)終端支持對業(yè)務(wù)數(shù)據(jù)傳輸?shù)脑吹刂?目的地址、源端口/目的端口、應(yīng)用規(guī)格和協(xié)議進(jìn)行安全防護(hù)，同時(shí)支持流量審計(jì)功能，可以對流經(jīng)設(shè)備的流量進(jìn)行分析、會話統(tǒng)計(jì)和工業(yè)協(xié)議解析。

整個方案還采用包過濾技術(shù)、應(yīng)用網(wǎng)關(guān)技術(shù)和狀態(tài)檢測技術(shù)，實(shí)現(xiàn)換熱站安全防護(hù)網(wǎng)關(guān)與首站服務(wù)器之間的信息加密傳輸，實(shí)時(shí)檢測網(wǎng)絡(luò)傳輸并對異常數(shù)據(jù)信息及時(shí)響應(yīng)，保障供熱系統(tǒng)的網(wǎng)絡(luò)安全。

包過濾技術(shù)是網(wǎng)絡(luò)防護(hù)中最重要的技術(shù)手段之一，通常通過路由器、防火墻來實(shí)現(xiàn)對網(wǎng)絡(luò)數(shù)據(jù)包的實(shí)時(shí)動態(tài)監(jiān)控。該技術(shù)工作原理是檢查數(shù)據(jù)包，整個檢查過程在網(wǎng)絡(luò)層進(jìn)行，保障了數(shù)據(jù)包的傳輸性和安全性。但該技術(shù)可能受到病毒軟件的欺騙，因此仍存在被黑客攻破的可能。

應(yīng)用網(wǎng)關(guān)技術(shù)效果相對包過濾技術(shù)有所提升，該技術(shù)是通過對應(yīng)用層數(shù)據(jù)包進(jìn)行檢查的方式來提高網(wǎng)絡(luò)安全性，減少風(fēng)險(xiǎn)數(shù)據(jù)的入侵。

狀態(tài)檢測技術(shù)是實(shí)現(xiàn)網(wǎng)絡(luò)狀態(tài)監(jiān)控監(jiān)測的關(guān)鍵技術(shù)，有著較高穩(wěn)定性，網(wǎng)絡(luò)安全性提升明顯。另一方面，該技術(shù)對新應(yīng)用程序也有一定的透明性，突破了應(yīng)用網(wǎng)關(guān)技術(shù)弊端，更繼承了包過濾技術(shù)的優(yōu)點(diǎn)，又提高了對欺騙數(shù)據(jù)包的識別能力，有效降低了被攻擊的可能性，保障了網(wǎng)絡(luò)安全。

創(chuàng)新應(yīng)用圖像AI算法引擎技術(shù)適配供熱場景中的視頻監(jiān)控。對換熱站的視頻監(jiān)控中的蒸汽/煙霧泄漏、液體滴漏等異常生產(chǎn)環(huán)境適配AI算法，可以對異常視頻監(jiān)控畫面進(jìn)行智能分析并告警，助力安全生產(chǎn)。

2.3 應(yīng)用場景

（1）安全物理環(huán)境：對換熱站的視頻監(jiān)控中的蒸汽/煙霧泄漏、液體滴漏等異常生產(chǎn)環(huán)境視頻適配AI算法，對異常視頻畫面進(jìn)行智能分析并告警。

（2）安全通信網(wǎng)絡(luò)：在換熱站與供熱管網(wǎng)控制系統(tǒng)鏈路部署加密設(shè)備，對自控系統(tǒng)區(qū)域進(jìn)行安全隔離，在換熱站與供熱管網(wǎng)控制系統(tǒng)之間進(jìn)行身份認(rèn)證與數(shù)據(jù)傳輸加密防護(hù)。

（3）安全區(qū)域邊界：在供熱管網(wǎng)控制系統(tǒng)核心交換機(jī)旁路部署入侵檢測系統(tǒng)，通過交換機(jī)鏡像功能，把網(wǎng)絡(luò)出入口、重要安全域的通信數(shù)據(jù)送給入侵檢測系統(tǒng)進(jìn)行實(shí)時(shí)檢測。

（4）安全計(jì)算環(huán)境：針對市政供熱企業(yè)工控網(wǎng)絡(luò)中的相關(guān)應(yīng)用服務(wù)器、管理操作終端等主機(jī)系統(tǒng)，設(shè)計(jì)安裝部署主機(jī)安全防護(hù)軟件系統(tǒng)，實(shí)現(xiàn)對人機(jī)交互界面的主機(jī)系統(tǒng)必要的安全管控；白名單的主動防御機(jī)制可占用更小的系統(tǒng)計(jì)算資源，實(shí)現(xiàn)最大的防護(hù)效能；有效實(shí)現(xiàn)主機(jī)防病毒、防第三方軟件的非授權(quán)安裝與使用、主機(jī)系統(tǒng)外接口的管控、USB外接存儲設(shè)備的認(rèn)證管控、操作行為審計(jì)，為主機(jī)系統(tǒng)安全運(yùn)行提供必要的安全保障。

（5）安全管理中心：在熱管網(wǎng)控制系統(tǒng)劃分出安全管理域，部署日志審計(jì)系統(tǒng)、堡壘機(jī)系統(tǒng)及定制開發(fā)安全管理平臺。安全管理平臺采用兩級管控平臺的創(chuàng)新布局，可實(shí)現(xiàn)報(bào)警分級、管控分權(quán)的網(wǎng)絡(luò)安全平臺建設(shè)，可向上對接上級監(jiān)管機(jī)構(gòu)的管控平臺。

本方案通過對供熱公司供熱管網(wǎng)控制系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、邊界及系統(tǒng)風(fēng)險(xiǎn)進(jìn)行明確，對其面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行研究，依據(jù)等級保護(hù)要求，就現(xiàn)有控制系統(tǒng)的網(wǎng)絡(luò)安全問題，提出針對性的安全防護(hù)解決方案，并從區(qū)域隔離、接入雙向認(rèn)證、網(wǎng)絡(luò)通信鏈路防護(hù)、軟件系統(tǒng)安全、集中監(jiān)管、主動防護(hù)等方面出發(fā)，構(gòu)建供熱控制系統(tǒng)網(wǎng)絡(luò)安全縱深防御體系，確保終端和主站之間的通信鏈路安全，保障終端和主站之間傳輸數(shù)據(jù)的保密性和完整性，同時(shí)實(shí)現(xiàn)主站和終端之間的雙向身份鑒別。本方案重點(diǎn)防范各種主動攻擊對系統(tǒng)的惡意破壞以及其它非法操作，防止由此導(dǎo)致的供熱管網(wǎng)系統(tǒng)事故，確保供熱公司供熱系統(tǒng)的安全運(yùn)行，具有很強(qiáng)的現(xiàn)實(shí)需求。

3 案例亮點(diǎn)及創(chuàng)新性

（1）實(shí)現(xiàn)了市政供熱行業(yè)網(wǎng)絡(luò)安全從被動防御向主動防御的轉(zhuǎn)變。通過部署網(wǎng)安綜合防護(hù)網(wǎng)關(guān)、AI視頻智能分析算法和數(shù)字證書系統(tǒng)的一體化防護(hù)方案，使供熱系統(tǒng)建設(shè)達(dá)到了“智能檢測”“智能上報(bào)”“智能響應(yīng)”的安全防護(hù)體系，全面提升了供熱企業(yè)的安全防護(hù)和安全管控能力。

（2）構(gòu)建了供熱控制系統(tǒng)網(wǎng)絡(luò)安全縱深防御體系，確保了終端和主站之間的通信鏈路安全，保障了終端和主站之間傳輸數(shù)據(jù)的保密性和完整性，同時(shí)實(shí)現(xiàn)了主站和終端之間的雙向身份鑒別。

（3）自主AI算法引擎的創(chuàng)新應(yīng)用。安全防護(hù)設(shè)備采用了自主研發(fā)的AI算法引擎，將OT與IT的防護(hù)引擎算法分析、知識庫、防護(hù)功能進(jìn)行了一體化設(shè)計(jì)，實(shí)現(xiàn)了對供熱行業(yè)未知威脅的態(tài)勢感知，助力了供熱企業(yè)安全生產(chǎn)運(yùn)行。

（4）完善了供熱行業(yè)工業(yè)互聯(lián)網(wǎng)安全產(chǎn)業(yè)鏈，貼合了業(yè)務(wù)場景化安全建設(shè)，推動了企業(yè)數(shù)字化轉(zhuǎn)型升級。

（5）指導(dǎo)了企業(yè)樹牢網(wǎng)絡(luò)安全意識，落實(shí)了網(wǎng)絡(luò)安全工作責(zé)任制，防范了網(wǎng)絡(luò)風(fēng)險(xiǎn)，切實(shí)加強(qiáng)了網(wǎng)絡(luò)安全監(jiān)測預(yù)警、信息通報(bào)和應(yīng)急處置能力，確保了供熱管網(wǎng)系統(tǒng)安全運(yùn)行，具有很強(qiáng)的現(xiàn)實(shí)需求和示范作用。

（6）加強(qiáng)了供熱管網(wǎng)行業(yè)企業(yè)生產(chǎn)安全和服務(wù)風(fēng)險(xiǎn)管理能力，深化了全生命周期資產(chǎn)運(yùn)用水平。

（7）本方案運(yùn)用創(chuàng)新技術(shù)建成了完善的供熱系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系，其研發(fā)的安全防護(hù)體系產(chǎn)品技術(shù)指標(biāo)達(dá)到了國內(nèi)先進(jìn)水平。

本方案通過對供熱公司供熱管網(wǎng)控制系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、邊界及系統(tǒng)風(fēng)險(xiǎn)進(jìn)行明確，對其面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行研究，依據(jù)等級保護(hù)要求，就現(xiàn)有控制系統(tǒng)的網(wǎng)絡(luò)安全問題，提出了針對性的安全防護(hù)解決方案，并從區(qū)域隔離、接入雙向認(rèn)證、網(wǎng)絡(luò)通信鏈路防護(hù)、軟件系統(tǒng)安全、集中監(jiān)管、主動防護(hù)等方面出發(fā)，構(gòu)建了供熱控制系統(tǒng)網(wǎng)絡(luò)安全縱深防御體系，確保了終端和主站之間的通信鏈路安全，保障了終端和主站之間傳輸數(shù)據(jù)的保密性和完整性，同時(shí)實(shí)現(xiàn)了主站和終端之間的雙向身份鑒別。本方案重點(diǎn)防范了各種主動攻擊對系統(tǒng)的惡意破壞以及其它非法操作，防止了由此導(dǎo)致的供熱管網(wǎng)系統(tǒng)事故，確保了供熱公司供熱系統(tǒng)的安全運(yùn)行，具有很強(qiáng)的現(xiàn)實(shí)需求、廣闊的應(yīng)用前景和較好的示范作用。

《自動化博覽》2023年1月刊暨《工業(yè)控制系統(tǒng)信息安全專刊（第九輯）》