油氣管道如何應對網絡殺手？

文／ 姜 勇

健全和完善管道和城燃公司生產網絡安全防護體系，有效防范網絡安全風險。

據路透社報道，當地時間5月7日，美國最大成品油輸送管道運營商Colonial Pipeline遭黑客勒索軟件攻擊，被迫全面暫停運營。

隨著信息化、自動化、數字化在油氣管道和城市燃氣行業中的加速發展應用，我國油氣管道和城市燃氣行業普遍采用了高度自動化的生產技術裝備和高度信息化的運營管理手段，極大提升了調度生產運行效率。在此過程中，涉及很多新技術、新業務、新模式，生產數據、技術參數、傳輸信號等數據資源共享也越來越深入，工控系統越來越開放。

然而，我國油氣管道和城燃行業尚未針對工控系統及時建立完善的工控安全保障體系，部署工控安全系統，安全防護措施相對滯后，造成企業自身缺失網絡安全規范，缺少足夠的安全事件應急處置能力，導致石油化工行業工控系統信息安全問題突出，能源行業面臨的安全形勢愈發嚴峻。

工控系統網絡安全加固不容忽視

截至2020年底，中國油氣管道總里程達到16.5萬公里，其中長輸天然氣管道里程全球排名第四，城市天然氣管網總里程76.79萬公里，管道運輸承擔了80%以上的油氣運輸任務。工控網絡安全防范方面出現嚴重問題極有可能引發全國性油氣管網和城市燃氣管網大癱瘓。

目前，全國有幾十個（長輸管道）油氣調控中心（包括各省管網調控中心）和上千家城市燃氣公司調控中心，大多達不到公安部《GA1166-2014石油天然氣管道系統治安風險等級和安全防范要求》的標準，眾多城市燃氣公司通常認為自己不屬于“石油天然氣管道系統”，絕大部分燃氣公司調控中心SCADA系統都人為定底到等保二級，國內各油氣調控中心已參與等保評測的目前最高僅被評定為三級。反觀國家電網調控中心等保評級為四級（次高級），但按照五級（最高級）投資防護建設，直接導致油氣管道和城燃調控中心工控網絡安全防護建設力度不夠、投資不夠、重視不夠。不僅如此，因為定級底起點低，工控網絡安全防護技術研發和實踐應用都不到位。

傳統IT信息安全重點防護對象是辦公網絡，以TCP/IP、UDP等協議為主，對企業資源層業務系統（ERP、OA）、辦公PC以及互聯網出入口等進行安全防護，通常都將保密性放在首位，以保護用戶信息的安全；將完整性放在第二位；將可用性放在最后。

工控網絡安全重點防護對象是生產網絡，以Modbus TCP/RTU/+、OPC、IEC61850、DNP3、s7等工業控制協議為主，對生產管理層（MES）、過程監控層（SCADA、HMI）、現場控制層（PLC、DCS、RTU）系統進行安全防護，將可用性放在第一位。而系統的可用性直接影響到企業生產，生產線停機或者誤動作都可能導致巨大的經濟損失，甚至威脅人的生命安全、破壞環境。安全防護的重點是監測為主，及時發現安全隱患并上報告警。同時，工業控制系統的實時性非常重要，大多要求響應時間在1毫秒以內。傳統IT信息安全無法對工控網絡做到全面有效的安全防護，所以，工控網絡安全需要依靠專業的工業安全設備及系統來完成。

根據中國特色城市燃氣公司業務結構、管理職責等方面的實際情況，按照四級監控管理模式，自上而下分別是：總公司調度室（一級）、區域省級調度室（二級）、市級項目公司調度室（三級）、縣級以下站控室（四級）。建議生產控制系統網絡安全加固的重點范圍是二級到四級，各區域調度室、項目公司調度室、站控室相關的生產控制系統及視頻監控系統，均屬于應當安全加固的網絡防護對象。

所以，要根據中國國情深入貫徹落實國家網絡安全等級保護制度和關鍵信息基礎設施安全保護制度，健全完善各管道公司和城燃公司生產網絡安全防護體系，有效防范針對能源行業生產控制系統的安全威脅，全面推進能源企業生產網絡、信息系統、辦公網絡、智能化工業控制系統等，在新技術、新應用、新環境下的安全運行。同時，根據《中華人民共和國網絡安全法》和《網絡安全等級保護基本要求》等法律法規和國家標準要求，更好地落實生產網絡安全加固工作，提高各級單位工控網絡安全管理水平，結合中國特色油氣企業運行體制的實際情況做好能源互聯網的應用。

符合國家法律法規且具有行業特色

建設符合國家法律法規且具有行業特色的工業生產控制網絡防護體系。

《中華人民共和國網絡安全法》第二十一條規定，國家實行網絡安全等級保護制度；第三十一條規定，國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，在網絡安全等級保護制度的基礎上實行重點保護；第五十九條規定，對不履行網絡安全保護義務的單位和直接負責的主管人員進行相關處罰。

在我國網絡安全等級保護要求中明確了工業控制系統安全擴展要求。同時，工信部下發了《工業控制系統信息安全防護指南》。另外，公安部每年都組織開展專項活動。上述顯示了從國家層面到各級主管部門對工業控制系統的信息安全高度重視。所以，我們更要未雨綢繆，抓緊開展工業控制系統安全防護專項工作，建設符合我國法律法規的油氣工業生產控制網絡防護體系，達到保障國家能源安全的目的。

●在網絡空間，也要為油氣管道架起安全網。 供圖/視覺中國

工控系統網絡安全加固要求

能源行業工業生產控制系統網絡安全加固以監測審計、工控主機防護為主。通過旁路采集流量，深度解析工控協議，實現實時流量監測及異常告警，實時掌握工控網絡運行狀況，發現潛在的安全問題，同時具備工控資產管理、通信拓撲自動生成、白名單安全基線、流量監測與深度分析等功能。應做好工業控制網內部邊界防護，對生產控制系統相關操作員站、工程師站等工控主機進行安全加固，實現終端進程白名單及USB移動介質管控。

國內油氣行業企業應該深入分析油氣行業工業控制（SCADA系統）的系統架構、應用特點、安全現狀、安全威脅和安全需求，將縱深防御理念引入到過程控制信息安全領域，認真重視。安全生產大檢查時不能忽視網絡安全的檢查，要通過結合油氣儲運輸配氣環節過程控制的系統特點，及時發現生產網絡中的異常行為，對發現潛在的未知威脅提供有效的技防手段，實時告警和響應及時告知工控系統中存在的安全風險，啟動網絡安全應急預案，減少網絡安全事故帶來的損失，提升企業效益，完成油氣保供工作，保障國家的能源安全。