摘要：隨著(zhù)國家對生態(tài)環(huán)境要求越來(lái)越嚴格，污水廠(chǎng)自動(dòng)化水平的不斷提高，以及數字化、信息化技術(shù)的廣泛應用，污水廠(chǎng)控制系統的安全及經(jīng)濟信息安全被提到非常重要的位置?！毒W(wǎng)絡(luò )安全法》中明確要求“國家實(shí)行網(wǎng)絡(luò )安全等級保護制度，網(wǎng)絡(luò )運營(yíng)者應當按照網(wǎng)絡(luò )安全等級保護制度的要求，履行安全保護義務(wù)”。

關(guān)鍵詞：污水廠(chǎng)；控制系統；網(wǎng)絡(luò )安全；系統防護

Abstract: With the increasingly strict requirements for the ecological environment,the continuous improvement of the automation level of the sewage plant, as well as the extensive application of digital and information technology, the safety of the sewage plant control system and economic information security have been put in a very important position. The "Network security law" clearly requires that "the State implements the network security level protection policy, and network operators shall perform the security protection obligations in accordance with the requirements of the network security level protection system".

Key words: Sewage treatment plant; Control system; Cybersecurity; System protection

1　引言

隨著(zhù)國家對生態(tài)環(huán)境要求越來(lái)越嚴格，污水廠(chǎng)自動(dòng)化水平的不斷提高，以及數字化、信息化技術(shù)的廣泛應用，污水廠(chǎng)控制系統的安全及經(jīng)濟信息安全被提到非常重要的位置?！毒W(wǎng)絡(luò )安全法》中明確要求“國家實(shí)行網(wǎng)絡(luò )安全等級保護制度，網(wǎng)絡(luò )運營(yíng)者應當按照網(wǎng)絡(luò )安全等級保護制度的要求，履行安全保護義務(wù)?！薄皣覍餐ㄐ藕托畔⒎?wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能?chē)乐匚：野踩?、國計民生、公共利益的關(guān)鍵信息基礎設施，在網(wǎng)絡(luò )安全等級保護制度的基礎上，實(shí)行重點(diǎn)保護?！?/p>

2　江心洲污水處理廠(chǎng)簡(jiǎn)介

江心洲污水處理廠(chǎng)是南京最大的污水處理廠(chǎng)，工程規模為67萬(wàn)m 3/d，出水標準執行一級A標準。處理后的水排放到長(cháng)江中，污水廠(chǎng)的運行安全與否直接影響長(cháng)江的生態(tài)環(huán)境安全。為保證污水廠(chǎng)的安全運行，防止網(wǎng)絡(luò )攻擊，污水廠(chǎng)控制系統安裝了一套工業(yè)控制網(wǎng)絡(luò )安全系統。

3　污水處理廠(chǎng)控制系統簡(jiǎn)述

江心洲污水廠(chǎng)自控系統分為三個(gè)層次，即就地設備層、車(chē)間控制層和調度監控層。PLC及中控室監控計算機之間通過(guò)100M/1000M TCP/IP光纖環(huán)網(wǎng)工業(yè)以太網(wǎng)進(jìn)行高速大容量數據交換；調度監控層各節點(diǎn)通過(guò)交換機構成星型以太網(wǎng)，采用SERVER/CLIENT結構。

江心洲污水廠(chǎng)自控系統采用“集中監控、管理，分散控制”的集散型系統。調度監控層系統由二臺歷史服務(wù)器（雙機熱備）、二臺數據采集服務(wù)器（雙機容錯、熱備）、三臺中控室監控計算機、一個(gè)工程師站、打印、報表服務(wù)器和分區控制分站組成本工程實(shí)時(shí)控制工業(yè)以太網(wǎng)絡(luò )，如中控室監控計算機故障，各現場(chǎng)分站仍能獨立和穩定工作，從根本上提高了系統的可靠性。同時(shí)采用以PLC為主構成的集散型系統，有較高的性?xún)r(jià)比。

監控系統采用現場(chǎng)PLC，配備先進(jìn)的上位機軟件。在污水廠(chǎng)中央控制室設置三臺計算機作為操作員站。自控系統按照C/S架構的開(kāi)發(fā)與部署模式，系統實(shí)現的主要功能有遠程監視管理系統、生產(chǎn)運行管理系統、信息報表管理系統、設備資產(chǎn)管理系統、能源監測系統、報警信息管理、數據運行質(zhì)量分析、專(zhuān)家系統、系統管理、移動(dòng)APP查詢(xún)。

污水廠(chǎng)控制系統如圖1所示。

圖1 污水廠(chǎng)控制系統示意圖

4　污水廠(chǎng)工業(yè)安全防護系統的設計簡(jiǎn)介

為保護污水廠(chǎng)自控系統的安全，本設計方案設計了一套完整的計算機信息安全防護系統。

4.1　工業(yè)安全的重要性及必要性

近年來(lái)，針對工業(yè)控制系統的攻擊已經(jīng)頻繁出現并造成了嚴重的影響，進(jìn)行工業(yè)控制系統的防護是非常必要的。

4.2　自控系統信息防護設計目標

（1）滿(mǎn)足合規

依據國家等級保護要求及安全防護指南，結合物理環(huán)境、區域網(wǎng)絡(luò )邊界、網(wǎng)絡(luò )環(huán)境、主機計算環(huán)境、安全管理層面等存在的安全風(fēng)險，為安全整改和建設規劃提供有力的依據。

（2）整體防護

針對已發(fā)現安全風(fēng)險和潛在安全威脅，結合現有成熟技術(shù)進(jìn)行工控網(wǎng)絡(luò )安全整改與建設，重點(diǎn)從網(wǎng)絡(luò )安全域劃分及訪(fǎng)問(wèn)控制、網(wǎng)絡(luò )安全監測及審計、主機安全防護、集中安全管理等方面提升工控網(wǎng)絡(luò )的安全防范能力。

（3）持續運營(yíng)

以工業(yè)安全態(tài)勢感知平臺作為工業(yè)安全集中管理中心，通過(guò)外部情報、行業(yè)情報、內部情報及各類(lèi)日志進(jìn)行綜合建模分析，結合AI技術(shù)對網(wǎng)絡(luò )中存在的異常情況、未來(lái)可能的攻擊行為等進(jìn)行捕捉研判。以更強風(fēng)險感知和識別能力為基礎，綜合的管理風(fēng)險、應對風(fēng)險，實(shí)現工業(yè)控制系統安全能力的可持續運營(yíng)。

4.3　方案設計依據

針對水務(wù)工業(yè)控制系統基于等級保護二級的安全防護方案編制，遵循依據如下：

（1）《工業(yè)控制系統信息安全防護指南》

（2）GB 17859-1999計算機信息系統安全保護等級劃分準則

（3）GB/T 22240-2008信息安全技術(shù)信息系統安全等級保護定級指南

（4）GB/T 22239-2019信息安全技術(shù)網(wǎng)絡(luò )系統安全等級保護基本要求

（5）GB/T 25058-2010信息安全技術(shù)信息系統安全等級保護實(shí)施指南

（6）GB/T 25070-2019信息技術(shù)安全網(wǎng)絡(luò )安全等級保護設計技術(shù)要求

4.4　方案設計思路

鑒于本污水廠(chǎng)工業(yè)控制系統在市政工程中的重要性，結合公安部網(wǎng)監和業(yè)主的要求，并參照《信息安全技術(shù)網(wǎng)絡(luò )安全等級保護定級指南》，本項目工業(yè)控制系統信息安全保護等級定為二級，污水廠(chǎng)工業(yè)控制系統信息安全建設方案也參照等級保護二級基本要求進(jìn)行差異分析和安全建設。

為實(shí)現污水廠(chǎng)自控系統安全合規的建設需求，我們建議參考圖2所示拓撲引入一系列安全軟硬件進(jìn)行安全防護，具體包括：

圖2 基于合規的安全防護拓撲設計示意

（1）工業(yè)防火墻：采用串接形式部署的硬件設備，基于工業(yè)現場(chǎng)特點(diǎn)和工業(yè)控制系統安全風(fēng)險進(jìn)行設計，對工業(yè)控制系統進(jìn)行細粒度的安全域劃分，利用深度工業(yè)識別技術(shù)和AI技術(shù)防止潛在的攻擊行為對系統造成破壞。

（2）工業(yè)審計系統：采用旁路鏡像部署的硬件設備，起到對工業(yè)網(wǎng)絡(luò )關(guān)鍵節點(diǎn)進(jìn)行入侵檢測和事后日志審計的作用，對邊界防護難以識別的內部流向交互風(fēng)險進(jìn)行識別、預警和日志留存。

（3）工業(yè)衛士：軟件產(chǎn)品，部署于操作員站和業(yè)務(wù)服務(wù)器，通過(guò)嚴格的設備管控防止未授權操作和惡意代碼攻擊事件的發(fā)生。

（4）工業(yè)漏洞掃描：部署于安全管理區域，對全網(wǎng)資產(chǎn)和風(fēng)險進(jìn)行識別，便于掌握現場(chǎng)真實(shí)的脆弱性情況，指導總體風(fēng)險緩解機制的指定和詳細安全策略設計。

（5）安全監管平臺：部署于安全管理區域，是污水廠(chǎng)工控系統的安全管理中心，起到統一的策略配置運維、日志審計、報表分析等作用；將孤立的安全防護手段串聯(lián)起來(lái)，是實(shí)現協(xié)同聯(lián)動(dòng)安全防護效果的指揮中心。

4.5　防護設備部署描述

（1）在互聯(lián)網(wǎng)邊界部署傳統防火墻，實(shí)現網(wǎng)絡(luò )邊界訪(fǎng)問(wèn)控制；監控網(wǎng)絡(luò )邊界部署傳統防火墻，實(shí)現監控網(wǎng)絡(luò )到業(yè)務(wù)網(wǎng)絡(luò )間的訪(fǎng)問(wèn)控制；

（2）業(yè)務(wù)網(wǎng)絡(luò )與工業(yè)網(wǎng)絡(luò )之間部署工業(yè)網(wǎng)閘，實(shí)現業(yè)務(wù)網(wǎng)與工控網(wǎng)絡(luò )的物理隔離；

（3）在工業(yè)網(wǎng)絡(luò )內部，PLC與后端設備間部署工業(yè)審計，實(shí)現工控行為的審計記錄；

（4）在PLC與工業(yè)網(wǎng)絡(luò )核心交換機間部署工業(yè)防火墻，實(shí)現工業(yè)協(xié)議的訪(fǎng)問(wèn)控制；

（5）在工業(yè)網(wǎng)絡(luò )工程師站前端部署工業(yè)防火墻，實(shí)現工業(yè)協(xié)議的訪(fǎng)問(wèn)控制；

（6）在工業(yè)網(wǎng)絡(luò )終端上部署工業(yè)衛士，實(shí)現終端的白名單安全防護；

（7）工業(yè)網(wǎng)絡(luò )核心交換機上部署工業(yè)監管平臺，實(shí)現工業(yè)設備的集中監管；

（8）在工業(yè)網(wǎng)絡(luò )部署工業(yè)安全檢查工具，實(shí)現工業(yè)漏洞等的安全檢測。

4.6　主要防護設備清單（如表 1所示）

表1主要防護設備清單

5　結束語(yǔ)

本文只粗略介紹了江心洲廠(chǎng)工業(yè)防護2.0的大概設計情況，工業(yè)防護的設計應根據各自的控制系統平臺、配置的設備等不同情況，同時(shí)應對不同業(yè)主需求，進(jìn)行不同的配置。隨著(zhù)國家對安全防護的要求越來(lái)越嚴格，工業(yè)防護2.0、3.0或以上版本會(huì )得到越來(lái)越廣泛的應用。

作者簡(jiǎn)介

劉忠祥（1964-），男，山東棲霞人，高級工程師，本科，現就職于中國市政工程華北設計研究總院有限公司，主要從事給水、排水工程自動(dòng)化系統的設計與研究。

劉　杰（1971-），男，山東萊州人，教授級高級工程師，本科，現任中國市政工程華北設計研究總院有限公司第一設計研究院副總工程師，主要從事電氣及自動(dòng)化方面的設計研究工作。

參考文獻：

[1] 饒志宏, 蘭昆, 浦石. 工業(yè)SCADA系統信息安全技術(shù)[M]. 北京：國防工業(yè)出版社, 2014, 5.

[2] 工業(yè)和信息化部. 工業(yè)控制系統信息安全防護指南[Z]. 2016.

[3] GB/T 22239-2019, 信息安全技術(shù) 網(wǎng)絡(luò )系統安全等級保護基本要求[S].

[4] GB/T 25058-2010, 信息安全技術(shù) 信息系統安全等級保護實(shí)施指南[S].

[5] GB/T 25070-2019, 信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護安全設計技術(shù)要求[S].

摘自《工業(yè)控制系統信息安全專(zhuān)刊（第六輯）》