導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 化工安全論文>>正文

油氣管道SCADA系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析及防護(hù)框架研究

文檔作者：熊搖琦,戴忠華,彭搖勇,伊勝偉,王搖婷文檔來源：中國信息安全測評中心		點(diǎn) 擊數(shù)：	更新時(shí)間： 2024年06月30日
下載地址：點(diǎn)擊這里	文件大小： 1.27 MB 共6頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共6頁]

本文件共6頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.27 MB 共6頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

上一篇：油氣管道第三方破壞安全防護(hù)對策研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

doi:10. 3969/ j. issn. 1002-0802. 2014. 08. 016
油氣管道SCADA 系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析及防護(hù)框架研究*
熊搖琦,戴忠華,彭搖勇,伊勝偉,王搖婷
(中國信息安全測評中心,北京100085)
摘搖要:油氣管道SCADA 系統(tǒng)已經(jīng)成為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分,但由于油氣管道覆蓋面
廣,使用的設(shè)備、協(xié)議以及系統(tǒng)構(gòu)建時(shí)未充分考慮信息安全問題,存在較多的安全隱患,無法抵御來
自網(wǎng)絡(luò)的攻擊,急需有效的解決方案。針對這一需求,提出了一種分層的油氣管道SCADA 系統(tǒng)描述
參考模型,并將幾種常見的攻擊及其危害在相應(yīng)的層次位置進(jìn)行了標(biāo)注。在此基礎(chǔ)上,提出了安全
區(qū)域劃分的油氣管道防護(hù)框架,給出了縱深防御的模型。文中所提出的方法不僅可用于對現(xiàn)有系統(tǒng)
進(jìn)行安全加固,也可作為新建系統(tǒng)的安全架構(gòu)參考。
關(guān)鍵詞:油氣管道搖SCADA 系統(tǒng)搖縱深防御搖網(wǎng)絡(luò)安全
中圖分類號:TP393搖搖文獻(xiàn)標(biāo)志碼:A搖搖文章編號:1002-0802(2014)08-0919-06
Security Risk Analysis in the SCADA System of Oil and
Gas Pipeline and the Design of Defending Framework
XIONG Qi, DAI Zhong-hua ,PENG Yong,YI Sheng-wei,WANG Ting
(China Information Technology Security Evaluation Center,Beijing 100085,China)
Abstract:As the critical components of national critical infrastructure, SCADA system of oil and gas pipe鄄
line usually doesn爺t take security factors in the step of system design, which appears vulnerable to cyberat鄄
tack, effective solutions are seriously needed. Regarding this requirement, this paper proposes a reference
description model for SCADA system of oil. Gas pipeline is also proposed and the security threat is noted
in the corresponding layers of the reference model. Based on the model, a defending framework is given
and the workflow is described in detail. The proposed framework couldn爺t only be used to make security
enhancement for the current running pipeline SCADA system, but also it could be taken as the security
guide for the design of new SCADA system. Key words:oil and gas pipeline;SCADA system;deep defending;cyber security
0搖引搖言
對于石油行業(yè)來說,長輸管道聯(lián)系著上游的油
氣田板塊,中、下游的煉化和銷售板塊產(chǎn)業(yè)鏈,是油
氣生產(chǎn)設(shè)施的重要組成部分。作為國家重要的基礎(chǔ)
設(shè)施和公用設(shè)施,油氣管道承擔(dān)了所有的天然氣和
近八成的油品輸送任務(wù),具有易燃、易爆和高壓的特
點(diǎn),其安全運(yùn)行非常重要。
在油氣管線中引入SCADA 系統(tǒng),不僅可以提
高油氣管道的生產(chǎn)效率,降低運(yùn)行成本,而且可以減
輕SCADA 系統(tǒng)操作人員的工作強(qiáng)度,保證管道生
產(chǎn)安全可靠地運(yùn)行。隨著信息化和工業(yè)化的不斷融
合,管道SCADA 系統(tǒng)也面臨著病毒、木馬以及黑客
等傳統(tǒng)網(wǎng)絡(luò)威脅。
2000 年10 月,俄羅斯政府聲稱某所屬天然氣
輸送管道網(wǎng)絡(luò)遭到入侵;黑客突破了該公司的安全
防護(hù)網(wǎng)絡(luò),通過上傳惡意代碼修改了系統(tǒng)的底層控
·919·
第47 卷第8 期
2014 年8 月
通信技術(shù)
Communications Technology
Vol. 47搖No. 8
Aug. 2014
* 收稿日期:2014-05-30;修回日期:2014-06-30搖搖Received date:2014-05-30;Revised date:2014-06-30 基金項(xiàng)目:國家自然科學(xué)基金(No. 90818021)資助
Foundation Item:National Natural Science Foundation of China under Grant(No. 90818021)
制指令,致使該公司的天然氣流量輸出一度控制在
他人之手,給國家造成了巨大的經(jīng)濟(jì)損失。
2004 年5 月,曾任職于美國國家安全委員會的
托馬斯·雷德披露,前蘇聯(lián)曾被欺騙,錯(cuò)誤盜取并部
署了某被惡意篡改的工業(yè)控制軟件,引發(fā)了西伯利
亞天然氣管道大爆炸。
2013 年3 月,美國國土安全部發(fā)表報(bào)告指出,
共有23 家天然氣管道公司前年年底至去年中被黑
客攻擊,并盜取可控制器管壓力和閥門等系統(tǒng)資料,
對美國基建安全帶來威脅,其中10 間公司更被形容
為“已被滲透冶。
近年來,能源板塊層出不窮的信息安全事件表
明[1] 油氣管道SCADA 系統(tǒng)已經(jīng)成為國內(nèi)外黑客的
攻擊目標(biāo),面臨愈發(fā)嚴(yán)峻的威脅。管道SCADA 系
統(tǒng)一旦受攻擊容易發(fā)生故障或者被控制,可能直接
影響到管道輸送的正常生產(chǎn)運(yùn)營,導(dǎo)致火災(zāi)、爆炸、
中毒事件的發(fā)生,造成重大經(jīng)濟(jì)損失、人員傷亡和環(huán)
境污染,直接威脅到國家能源安全和社會穩(wěn)定。因
此,研究油氣管道SCADA 系統(tǒng)安全風(fēng)險(xiǎn),同時(shí)制定
針對性的防護(hù)框架,對我國能源安全具有重要的現(xiàn)
實(shí)意義。
1搖系統(tǒng)特點(diǎn)描述
在油氣管道SCADA 系統(tǒng)生產(chǎn)過程[2] 中,系統(tǒng)
實(shí)時(shí)采集現(xiàn)場管線數(shù)據(jù),對生產(chǎn)現(xiàn)場進(jìn)行控制,實(shí)現(xiàn)
油品或者天然氣的順序輸送,管道各站控系統(tǒng)運(yùn)行
狀況監(jiān)控,管道泄漏監(jiān)測,管道仿真模擬及生產(chǎn)安全
保護(hù)等多方面功能,并為上層生產(chǎn)、調(diào)度和管理提供
必要的數(shù)據(jù)。
油氣管道SCADA 系統(tǒng)采用分布式架構(gòu),可以
分為SCADA 中控系統(tǒng)、SCADA 站控系統(tǒng)和通信系
統(tǒng)等3 個(gè)主要部分,如圖1 所示。
1)SCADA 中控系統(tǒng)。中控SCADA 系統(tǒng)負(fù)責(zé)管
道生產(chǎn)管理、模擬仿真等多種功能,主要由SCADA
服務(wù)器、客戶端工作站組成。中控系統(tǒng)SCADA 服
務(wù)器通過MODBUS-TCP、CIP 等通信協(xié)議采集站控
SCADA 系統(tǒng)所提供的油氣管道數(shù)據(jù)。中控系統(tǒng)的
多臺SCADA 服務(wù)器之間還可以使用OPC 協(xié)議進(jìn)行
業(yè)務(wù)數(shù)據(jù)的交換。
2)SCADA 站控系統(tǒng)。油氣管道站場包括首站、
末站和中間站3 類,分別負(fù)責(zé)對輸送的油品或者天
然氣進(jìn)行控制操作。站控SCADA 系統(tǒng)和PLC 等現(xiàn)
場設(shè)備通常部署在同一站場內(nèi),一般建百、千兆的局
域網(wǎng)或串行通訊鏈路。站控系統(tǒng)可分為SCADA 工
作站和PLC 兩部分,工作站上安裝了服務(wù)端、客戶
端一體化的站控SCADA 軟件。
3)SCADA 通信系統(tǒng)。油氣管道SCADA 通信系
統(tǒng)主要使用光纖通信作為主要鏈路,衛(wèi)星或無線公
網(wǎng)為輔助。中控和站控SCADA 系統(tǒng)之間主要采用
MODBUS-TCP、IEC-104、DNP3 等多種工控協(xié)議傳
輸管線業(yè)務(wù)數(shù)據(jù)。
圖1搖油氣管道SCADA 系統(tǒng)網(wǎng)絡(luò)架構(gòu)
Fig. 1 Structure of SCADA system in oil and gas pipeline
基于對油氣管道SCADA 系統(tǒng)的分析,對其網(wǎng)
絡(luò)拓?fù)溥M(jìn)行詳細(xì)的分層描述,得到油氣板塊SCADA
系統(tǒng)參考模型,如圖2 所示,可以分為4 個(gè)層次。
1)監(jiān)視控制層。監(jiān)視控制層作為控制中心存
在,涵蓋管道SCADA 中控系統(tǒng),包括實(shí)時(shí)數(shù)據(jù)庫、
歷史數(shù)據(jù)庫、管線運(yùn)行優(yōu)化類和管線故障監(jiān)測及告
警類系統(tǒng)。
2)本地控制層。本地控制層位于管線各站場,
包括監(jiān)測和控制物理過程的功能,它包括操作員人
機(jī)接口、監(jiān)測控制功能、過程歷史數(shù)據(jù)收集和存儲等
功能,包括現(xiàn)場工程師站、操作員站、實(shí)時(shí)數(shù)據(jù)庫等
組件。
3)物理控制層。物理控制層位于管線各站場,
主要包括傳感和操作物理過程的功能,另外本層也
包括控制系統(tǒng)的可靠性保障功能。該層中的典型物
理設(shè)備包括PLC、RTU 等。
4)生產(chǎn)裝置層。生產(chǎn)裝置層位于管線各站場,
在這一層中包括各種不同類型的管線生產(chǎn)設(shè)施,典
型設(shè)備包括直接連接到過程和過程設(shè)備的傳感器和
·920·
www. txjszz. com 通信技術(shù)搖搖搖搖2014 年
執(zhí)行器等,包括計(jì)量裝置、溫度和壓力傳感、電控閥門啟閉等、壓縮電機(jī)等。
圖2搖油氣管道板塊SCADA 系統(tǒng)分層參考模型
Fig. 2 Reference model for the SCADA system in oil
and gas pipeline
2搖安全風(fēng)險(xiǎn)分析
由于歷史和成本原因,國內(nèi)油氣管道板塊SCA鄄
DA 系統(tǒng)在信息安全防護(hù)方面分布不均,呈現(xiàn)“重核
心,輕外圍冶的態(tài)勢;中控系統(tǒng)等地域集中化的SCA鄄
DA 系統(tǒng),在設(shè)計(jì)之初就考慮了信息安全問題,能夠
做到“同步規(guī)劃,同步建設(shè),同步運(yùn)行冶信息安全防
護(hù)措施;相比之下,管線站場SCADA 系統(tǒng)地域分布
廣,站點(diǎn)數(shù)量多,與中控系統(tǒng)之間通信鏈路長,數(shù)據(jù)
傳輸方式復(fù)雜多樣,防護(hù)措施部署難度大,成為板塊
SCADA 系統(tǒng)信息安全的薄弱環(huán)節(jié)?？偟膩碚f,油氣
SCADA 系統(tǒng)在各個(gè)層次上均存在不同種類的安全
威脅,如圖3 所示。
圖3搖油氣管道SCADA 系統(tǒng)安全威脅層次對應(yīng)關(guān)系
Fig. 3 Security threat targeting SCADA system in oil
and gas pipeline
搖搖1) 非法接入風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存在于站場
SCADA 系統(tǒng)等網(wǎng)絡(luò)接入設(shè)備。油氣管線SCADA 系
統(tǒng)地域分布廣,基層站點(diǎn)多,具有“點(diǎn)多線長冶的特
點(diǎn),多數(shù)中、小型站場位于野外,周邊自然條件惡劣,
無人值守,物理安全防護(hù)難度大,站場網(wǎng)絡(luò)設(shè)備空閑
端口多,存在非法接入的風(fēng)險(xiǎn)。攻擊者完全有可能
利用這些端口獲取到對站場設(shè)備的網(wǎng)絡(luò)訪問途徑,
進(jìn)而威脅部分或者整個(gè)管道SCADA 系統(tǒng)。
2)工控網(wǎng)絡(luò)協(xié)議開放性風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存
在于地方各站場與中控系統(tǒng)之間的遠(yuǎn)程數(shù)據(jù)通信鏈
路?！皟苫比诤系难杆偻七M(jìn)產(chǎn)生了SCADA 系統(tǒng)與
IT 系統(tǒng)的互聯(lián)需求,油氣管道SCADA 系統(tǒng)大量使
用基于TCP/ IP 的開放標(biāo)準(zhǔn)工控協(xié)議,使得攻擊者
能夠通過公開的規(guī)范文檔,理解SCADA 網(wǎng)絡(luò)協(xié)議
的工作機(jī)制,通過構(gòu)造控制命令,可直接威脅油氣管
道SCADA 系統(tǒng)的正常運(yùn)行。
3)明文數(shù)據(jù)傳輸風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存在于地
方各站場與中控系統(tǒng)之間的遠(yuǎn)程數(shù)據(jù)通信鏈路。油
氣管道SCADA 系統(tǒng)中的業(yè)務(wù)數(shù)據(jù)以明文的形式傳
輸,缺乏必要的安全防護(hù)措施,其機(jī)密性和完整性無
法得到保證。油氣管道生產(chǎn)數(shù)據(jù)在采集、傳輸、存儲
和應(yīng)用環(huán)節(jié)都有可能被侵入網(wǎng)絡(luò)和設(shè)備的攻擊者輕
·921·
第47 卷熊琦,戴忠華,彭勇,伊勝偉,王婷:油氣管道SCADA 系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析及防護(hù)框架研究第8 期
松獲得、更改,引起嚴(yán)重事故,造成不可估量的損失。
4)工控軟、硬件產(chǎn)品缺陷風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存
在于板塊SCADA 系統(tǒng)組件。油氣管道SCADA 系
統(tǒng)在建設(shè)過程中,主要考慮可靠性,很少部署采取安
全加固措施的定制系統(tǒng),而是較多選擇通用軟、硬件
產(chǎn)品,這樣做雖然大大降低了設(shè)計(jì)和建設(shè)上的成本,
但同時(shí)也帶來了潛在的風(fēng)險(xiǎn)。由于絕大多數(shù)產(chǎn)品不
是為了SCADA 系統(tǒng)專門設(shè)計(jì)的,沒有任何安全防
護(hù)功能。如果不加入一些專門的網(wǎng)絡(luò)安全防護(hù)措
施,油氣管道SCADA 網(wǎng)絡(luò)和普通的互聯(lián)網(wǎng)一樣,存
在顯著的脆弱性。
5)工控網(wǎng)絡(luò)結(jié)構(gòu)脆弱性風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存
在于油氣管道板塊SCADA 系統(tǒng)網(wǎng)絡(luò)中?；诘赜?
和通信成本的考慮,長輸管線各站場SCADA 系統(tǒng)
往往使用沿管線環(huán)狀光纖互聯(lián),串行組網(wǎng),注重可靠
性保障,忽視安全防護(hù),整體網(wǎng)絡(luò)結(jié)構(gòu)呈現(xiàn)扁平化特
點(diǎn),管線SCADA 系統(tǒng)各子網(wǎng)之間缺乏必要的隔離
措施,上層設(shè)備對下層缺乏身份鑒別機(jī)制,一旦局部
控制網(wǎng)絡(luò)被病毒感染,容易迅速蔓延到整個(gè)管線
SCADA 網(wǎng)絡(luò),造成“一點(diǎn)突破,全網(wǎng)皆失冶,嚴(yán)重威脅
正常管線數(shù)據(jù)及控制指令的傳輸。
6)工控從業(yè)人員風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存在于油
氣管道板塊SCADA 系統(tǒng)網(wǎng)絡(luò)中。工控從業(yè)人員普
遍對工控系統(tǒng)裝置操作較為熟悉,是自動控制領(lǐng)域
的行家里手,注重生產(chǎn)安全防護(hù),但在上崗時(shí)未參加
專門的工控信息安全培訓(xùn),信息安全意識不足,警惕
性不高,對工控系統(tǒng)信息安全隱患可能導(dǎo)致的后果
缺乏足夠認(rèn)識。
7)移動設(shè)備接入管理風(fēng)險(xiǎn)。該風(fēng)險(xiǎn)主要存在
于油氣管道板塊SCADA 系統(tǒng)網(wǎng)絡(luò)中。管道板塊工
控設(shè)備在維修時(shí)存在便攜式計(jì)算機(jī)的接入問題,沒
有達(dá)到一定安全基線的便攜式計(jì)算機(jī)接入工控系
統(tǒng),會對造成安全威脅。此外,交叉使用U 盤、光盤
等移動存儲介質(zhì)容易導(dǎo)致病毒傳播問題,將外界的
不安全因素帶入到管道SCADA 系統(tǒng)內(nèi)部。
3搖防護(hù)框架設(shè)計(jì)
油氣管道SCADA 系統(tǒng)安全防護(hù)模型的建設(shè)目
標(biāo)是要提供一個(gè)“深度防御冶的安全體系,該體系能
夠提供對于辦公網(wǎng)和控制網(wǎng)之間的隔離防護(hù)、實(shí)時(shí)
報(bào)警和中央監(jiān)控等功能,具體包括以下四方面目
標(biāo)[3-4] :
1)區(qū)域隔離。能夠過濾兩個(gè)功能獨(dú)立區(qū)域網(wǎng)
絡(luò)之間非必要的通信流量。
2)通信管控。能夠統(tǒng)一管理不同區(qū)域之間通
信,確保遠(yuǎn)距離鏈路管線數(shù)據(jù)傳輸?shù)臋C(jī)密性和完
整性。
3)接入控制。能夠?qū)CADA 網(wǎng)絡(luò)接入行為進(jìn)
行身份認(rèn)證,避免惡意攻擊者從站場底層網(wǎng)絡(luò)非法
接入。
4)實(shí)時(shí)報(bào)警。所有的安全防護(hù)設(shè)備都能由中
央管控平臺統(tǒng)一進(jìn)行實(shí)時(shí)監(jiān)控和預(yù)警。
結(jié)合油氣管道SCADA 系統(tǒng)的實(shí)際情況,采取
“分層分區(qū)、專網(wǎng)專用、橫向隔離、縱向認(rèn)證冶的準(zhǔn)
則,設(shè)計(jì)了以下安全方案[5-9] ,如圖4 所示。
1) 劃分系統(tǒng)安全功能分區(qū)。基于油氣管道
SCADA 系統(tǒng)網(wǎng)絡(luò)架構(gòu)和存在的安全隱患,結(jié)合系統(tǒng)
網(wǎng)絡(luò)安全要求,在層次劃分的基礎(chǔ)上,按照功能進(jìn)行
層內(nèi)分區(qū),主要涉及中心、生產(chǎn)和控制3 種分區(qū),如
圖5 所示。
中心區(qū)包括屬于中控層的管道SCADA 控制系
統(tǒng);生產(chǎn)區(qū)包括屬于本地控制層和物理控制層的各
管道站控SCADA 系統(tǒng)上位機(jī)。控制區(qū)是生產(chǎn)區(qū)的
一部分,包括屬于物理控制層的各管道站控SCADA
系統(tǒng)下位機(jī)。
安全域的合理劃分,使每一個(gè)網(wǎng)絡(luò)區(qū)域都有明
確的邊界,便于對安全域進(jìn)行安全防護(hù)[10-11] 。
2)部署安全防護(hù)模塊。根據(jù)各個(gè)區(qū)域的安全
需求,確定所需的可裝載工控防護(hù)設(shè)備,具體包括以
下幾方面。
在生產(chǎn)區(qū)之間,即各個(gè)SCADA 站控系統(tǒng)之間,
部署工業(yè)防火墻,進(jìn)行網(wǎng)絡(luò)隔離,防止病毒感染等局
部威脅的全網(wǎng)擴(kuò)散;
在控制區(qū)上邊界,部署工業(yè)防火墻,進(jìn)行網(wǎng)絡(luò)隔
離,過濾來自上位機(jī)的網(wǎng)絡(luò)攻擊,保障PLC 等物理
控制器可靠運(yùn)行;
在生產(chǎn)區(qū)上邊界、中心區(qū)下邊界,部署防火墻,
進(jìn)行網(wǎng)絡(luò)隔離,防止來自中控層的TCP/ IP 網(wǎng)絡(luò)攻
擊,確保管道站控SCADA 系統(tǒng)安全運(yùn)行;
在生產(chǎn)區(qū)上邊界、中心區(qū)下邊界,部署加密網(wǎng)
關(guān),對遠(yuǎn)距離管線數(shù)據(jù)傳輸進(jìn)行加密,防止管線生產(chǎn)
數(shù)據(jù)遭竊取;
在中心區(qū)內(nèi)部署統(tǒng)一安全管理平臺,對所屬一
級管線站控SCADA 系統(tǒng)以及各管道監(jiān)視控制區(qū)內(nèi)
中央管理平臺進(jìn)行管控,配置網(wǎng)絡(luò)通訊監(jiān)控策略,顯
示并記錄每條管道SCADA 的網(wǎng)絡(luò)報(bào)警及設(shè)備
狀態(tài);
·922·
www. txjszz. com 通信技術(shù)搖搖搖搖2014 年
圖4搖油氣管道SCADA 系統(tǒng)分區(qū)模型
Fig. 4 Partition of security zone for the SCADA
system in oil and gas pipeline
搖搖在中心區(qū)內(nèi)部署工控入侵檢測系統(tǒng)和審計(jì)系
統(tǒng),對SCADA 系統(tǒng)網(wǎng)絡(luò)流量進(jìn)行安全檢測,發(fā)現(xiàn)并
及時(shí)阻斷網(wǎng)絡(luò)攻擊,支持事后對于安全事件的審計(jì)。
3)構(gòu)建接入控制機(jī)制。設(shè)計(jì)CA 證書管理體
制,為SCADA 網(wǎng)絡(luò)提供統(tǒng)一的身份管理權(quán)限;部署
網(wǎng)絡(luò)認(rèn)證服務(wù)器,加強(qiáng)全網(wǎng)統(tǒng)一接入管理。采用證
書、口令等多種方式相結(jié)合的身份認(rèn)證機(jī)制。
4)加強(qiáng)對外安全。使用隔離網(wǎng)閘將油氣管道
控制中心SCADA 系統(tǒng)和辦公網(wǎng)系統(tǒng)進(jìn)行強(qiáng)隔離,
并對所有接入控制中心SCADA 系統(tǒng)的系統(tǒng)設(shè)備進(jìn)
行縱向認(rèn)證。
5)部署終端安全防護(hù)。密切關(guān)注SCADA 產(chǎn)品
的漏洞和補(bǔ)丁發(fā)布機(jī)制,嚴(yán)格軟件升級、補(bǔ)丁安裝管
理,嚴(yán)防病毒、木馬等惡意代碼侵入。SCADA 系統(tǒng)
軟件升級、補(bǔ)丁安裝前要請專業(yè)技術(shù)機(jī)構(gòu)進(jìn)行安全
評估和驗(yàn)證。對賬戶、口令等進(jìn)行檢查,及時(shí)清理不
必要的賬戶,停止無用的后臺程序和進(jìn)程,關(guān)閉無關(guān)
的端口和服務(wù)。
圖5搖油氣管道SCADA 系統(tǒng)分區(qū)規(guī)范
Fig. 5 Partition rule for the SCADA system in oil
and gas pipeline
·923·
第47 卷熊琦,戴忠華,彭勇,伊勝偉,王婷:油氣管道SCADA 系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析及防護(hù)框架研究第8 期
4搖結(jié)搖語
作為國家能源動脈的重要組成部分,油氣管道
SCADA 系統(tǒng)信息安全會直接影響油氣管道的生產(chǎn)、
運(yùn)行,對國家能源、經(jīng)濟(jì)安全造成嚴(yán)重威脅,至關(guān)重
要。本文針對油氣管道SCADA 系統(tǒng)普遍存在的網(wǎng)
絡(luò)安全風(fēng)險(xiǎn),提出了一種基于安全區(qū)域劃分的縱深
防御模型。文中提出的防御模型不僅可用于新建系
統(tǒng)的安全架構(gòu)參考,也可用于對現(xiàn)有SCADA 系統(tǒng)
進(jìn)行安全加固。
參考文獻(xiàn):
[1]搖彭勇, 江常青, 謝豐. 工業(yè)控制系統(tǒng)信息安全研究進(jìn)
展[J]. 清華大學(xué)學(xué)報(bào):自然科學(xué)版, 2012, 25(10):
1396-1408.
PENG Yong, JIANG Chang-qing,XIE Feng. The Pro鄄
gressof the Research on the Security of Industrial Control
System[J]. Journal of Tsinghua University(Natural Sci鄄
ence Edition), 2012, 25(10): 1396-1408.
[2]搖熊琦, 竟小偉, 詹峰. 美國石油天然氣行業(yè)ICS 系統(tǒng)
信息安全工作綜述及對我國的啟示[J]. 中國信息安
全, 2012, 27(03): 80-83.
XIONG Qi, JING Xiao-wei, ZHAN Feng. Survey on the
Security Work about the ICS in Gas and Oil Sector of US
[J]. China Information Security,2012, 27(03): 80-83.
[3]搖郭強(qiáng). 工控系統(tǒng)信息安全案例[J]. 信息安全與通信
保密, 2012, 28(12) : 68-70.
GUO Qiang. Case for the Information Security of Industri鄄
al Control System[J]. Information and Communication
Security, 2012, 28(12) : 68-70.
[4]搖張同升. 信息系統(tǒng)安全防護(hù)控制策略研究[J]. 通信
技術(shù), 2013, 46(08) : 54-56.
ZHANG Tong -sheng. Research on the Security Defending
Strategy[J]. Communication Technology,2013,46(08):54-56.
[5]搖中國石油北京油氣調(diào)控中心. Q/ SYBD46-2010. 油氣
管道SCADA 系統(tǒng)網(wǎng)絡(luò)安全技術(shù)規(guī)范[S]. 北京:中國
石油天然氣股份有限公司,2014: 35-38 .
Beijing Gas&amp;amp;Oil Transportation Center. Q/ SYBD46 -
2010. Security Technology Guide on the Network Security
of Oil&amp;amp; Gas Pipeline SCADA system [ S]. Beijing:
CNPC, 2014:35-38 .
[6]搖JEFFREYLH, JACOBS, JAMESHG. A Security-Hard鄄
ened Appliance for Implementing Authentication and Ac鄄
cess Control in SCADA Infrastructures with Legacy Field
Devices [J]. International Journal of Critical Infrastructure
Protection, 2013, 56(06):12-24.
[7] 搖American Petroleum Institute (API). API1164 -2004,
SCADA Security[S]. America:API,2014:36-39.
[8] 搖KEVIN M. Data and command encryption for SCADA
[R]. Canada:Schneider Electric,2012.
[9]搖American Gas Association. (AGA12-2006 Part1). cryp鄄
tographic protection of SCADA communications, Part1:
Background policies and test plan [S]. Washington DC:
AGA,2013.
[10]搖熊琦, 彭勇, 戴忠華. 工控系統(tǒng)信息安全風(fēng)險(xiǎn)評估初
探[J]. 中國信息安全, 2012, 27(03): 57-59.
XIONG Qi,PENG Yong, DAI Zhong-hua. Research on
the Security Risk Assessment Method for ICS[J]. China
Information Security, 2012, 27(03): 57-59.
[11]搖王斯梁, 尹一樺. 工業(yè)控制系統(tǒng)安全防護(hù)技術(shù)研
究[J]. 通信技術(shù), 2014, 47(02):205-209.
WANG Si-liang, YIN Yi-ye. Research on the Security
Defending Technology for the Industrial Control System
[J]. Communications Technology, 2014, 47 ( 2 ):
205-209.
作者簡介:
熊搖琦(1983—),男,博士,副研究員,
主要研究方向?yàn)楣た叵到y(tǒng)信息安全;
XIONG Qi(1983- ) , male, Ph. D. , asso鄄
ciate research fellow, mainly engaged in infor鄄
mation security of SCADA system.
戴忠華(1978—),男,博士研究生,助理
研究員,總工程師,主要研究方向?yàn)楣た叵到y(tǒng)信息安全;
DAI Zhong-hua (1978- ), male, Ph. D. student, assis鄄
tant research fellow, chief engineer, mainly working at informa鄄
tion security of SCADA system.
彭搖勇(1974—),男,博士,副研究員,副總工程師,主
要研究方向?yàn)楣た叵到y(tǒng)信息安全;
PENG Yong (1974- ), male, Ph. D. , associate research
fellow, associate chief engineer, majoring in information security
of SCADA system.
伊勝偉(1977—),男,博士,助理研究員,主要研究方向
為工控系統(tǒng)信息安全;
YI Sheng-wei (1977- ), Ph. D. , assistant research fel鄄
low, mainly engaged in information security of SCADA system.
王搖婷(1987—),女,碩士,助理工程師,主要研究方向
為工控系統(tǒng)信息安全。
WANG Ting (1987- ), female, M. Sci. , assistant engi鄄
neer, majoring in information security of SCADA system.
·924·

網(wǎng)友評論 more

化工安全論文最新內(nèi)容

06-30