论文部分内容阅读
摘要：矿井综合自动化系统是整个矿井安全生产监控系统信息的集成，它需要一个快速、安全、可靠的网络平台为大量的信息流动提供支撑，同时要有一个功能全面的安全生产信息应用系统为矿井安全生产提供科学调度、决策的依据。
关键词：煤炭；自动化；网络安全
一、概述
矿井综合自动化系统是整个矿井安全生产监控系统信息的集成，它需要一个快速、安全、可靠的网络平台为大量的信息流动提供支撑，同时要有一个功能全面的安全生产信息应用系统为矿井安全生产提供科学调度、决策的依据。今后相当长的时间内，煤炭仍然是中国的主要能源，目前煤炭企业正逐渐由粗放开采向安全高效开采转变。加强信息化建设，重视信息安全是煤炭实现安全生产的基本保障。
二、煤炭控制网络现状
三、工控安全防护方案设计
3.1安全建设目标：
（1）提高工业网络抗攻击能力
（2）提高工业网络的管理力度
（3）保护重要信息财产安全
3.2政策标准
（1）《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发【2012】23号）
（2）《关于加强工业控制系统信息安全管理的通知》（工信部【2011】451号）
（3）GB/T30976.1-2014《工业控制系统信息安全第1部分：评估规范》
（4）GB/T30976.2-2014《工业控制系统信息安全第2部分：验收规范》
（5）GB/T32919-2016《信息安全技术工业控制系统安全应用指南》
（6）GB/T33007-2016《工业通信网络网络和系统安全建立工业自动化和控制系统安全程序》
（7）GB/T33008.1-2016《工业自动化和控制系统网络安全可编程序控制器（PLC）》
（8）《中华人民共和国网络安全法》
3.3设计思想
根据煤矿生产网络安全现状，结合生产系统运行环境相对稳定的情况来分析，煤矿生产网络系统更新频率较低，工业和信息化部印发的《工业控制系统信息安全防护指南》关于工控主机安全软件的选择与管理中的要求，提出基于“白名单”机制的工业控制系统信息安全“白环境”解决方案，通过对工控网络流量、工控主机状态等进行监控，收集并分析工控网络数据及软件运行状态，建立工控系统正常工作环境下的安全状态基线和模型，进而构筑工控安全“白环境”，确保
（1）只有可信任的设备，才能接入工控网络；
（2）只有可信任的消息，才能在工控网络上传输；
（3）只有可信任的软件，才允许被执行；
通过上述规范，规划安全防护体系如下：
边界单向隔离：煤矿综合自动化工业环网的边界安全防护，一方面需要构建完整的工业控制系统安全防护体系架构，另一个方面需要重点建立边界安全访问防护策略。为了能有效的避免互联网的来攻击行为，实现煤矿综合自动化工业环网的单向访问控制，就需要在煤矿综合自动化工业环网与互联网连通的节点上，部署单向隔离网关，确保跨网数据传输安全可控，阻断非授权以及未被允许的访问行为，确保煤矿综合自动化工业环网的安全。
边界入侵检测：对煤矿综合自动化工业环网的网络入侵行为进行检测，确保第一时间发现入侵及恶意行为，保障煤矿综合自动化工业环网的安全。入侵检测系统，在煤矿综合自动化工业环网于办公网连接的入口处，部署入侵监测系统。
区域边界防护：通过明确服务区域，针对服务区域内的设备（关键控制器、主机等）进行内部加固，将区域内部的网络问题直接汇聚在本区域内，通过建立区域白名单策略，规范区域内的网络规则。有效保护安全区域内网络信息安全，以避免信息泄漏及病毒“串染”，有效保护各安全区域间网络信息安全。工业防火墙，以串联方式与过程控制系统、安全系统、生产管理层交接及连接。
主机加固：对生产工业控制网络内的主机做安全加固，主要是针对调控中心、生产过程区域内的主机做安全加固，通过主机白名单机制，防护主机由于操作系统漏洞、应用软件漏洞而引起的攻击、阻止未授权程序在这些主机上的操作运行，控制非管理人员对这些主机的访问等。工控主机卫士，在重点设备上部署主机加固软件工控主机卫士。
系统监测：对煤矿综合自动化工业环网中可能存在的攻击行为、数据流量、重要操作等进行监测审计，用于事后回溯和网络分析。工控监测与审计系统，通过交换机端口镜像功能，以网络旁路的方式部署。
运维审计：对煤矿综合自动化工业环网的运维进行统一的管理、授权，确保所有的运维、管理操作均满足等级保护身份鉴别、访问控制、操作审计的要求。运维管理平台：在煤矿综合自动化工业环网上，有外部接入风险的网络节点部署运维管理平台。
安全产品统一管理：对煤矿综合自动化工业环网中的相关安全产品进行统一的管理及运维，信息安全管理人员可以通过统一安全管理平台对整个工业控制网内信息安全情况进行统一实时的监控，在第一时间内发现网络安全问題，实现工控风险的动态监测。统一安全管理平台，用于网络内工控监测与审计系统、工业防火墙、工控主机卫士进行统一管理及维护。
3.4解决问题
阻止来自外部系统攻击行为；阻止来自不同区域之间的越权访问；阻止病毒、恶意软件扩散和入侵攻击，保护控制系统安全运行；阻止非授权设备的接入。
实时监测工控网络中的恶意攻击、误操作、违规操作、非法设备接入，帮助客户及时采取应对措施，避免发生安全事件；详实记录一切网络通信流量，包括网络连接、网络协议、网络会话、工控协议指令等，为安全事故调查取证提供技术支撑。
实时检测来自外部互联网恶意行为，以及蠕虫、病毒等恶意软件的的入侵，帮助客户及时采取应对措施，避免发生安全事件；通过网络入侵检测分析，并形成图形化的日志报表，帮助安全管理员实时展现工控网络中潜在的安全威胁。
阻止非授权软件或进程的安装和运行，防止恶意代码攻击“0-day” 漏洞的利用；避免升级病毒库，变被动为主动；防止移动介质在使用过程中将病毒带入工控网络并扩散；杜绝信息非法窃取、数据和系统遭受非法破坏的行为发生。
阻止非授权用户访问网络、安全设备；阻止非授权的用户远程维护服务器、工作站、网络设备、安全设备等；对远程运维操作行为进行监测、审计，阻止误操作、恶意操作；全程记录运维操作行为，为安全事件的追踪溯源提供证据。
四、总结
煤矿综合自动化工业环网安全防护建设完成后，能够全面提升煤矿综合自动化工业环网的整体安全性，确保设备、系统、网络的可靠性、稳定性，减少人员的工作量，提高安全生产管理水平、工作效率和管理效率。
作者简介：
武凯，1983年10月，工程师，内蒙古大学本科，清华大学硕士，现就职中煤陕西榆林能源化工有限公司，信息管理部副经理。
关键词：煤炭；自动化；网络安全
一、概述
矿井综合自动化系统是整个矿井安全生产监控系统信息的集成，它需要一个快速、安全、可靠的网络平台为大量的信息流动提供支撑，同时要有一个功能全面的安全生产信息应用系统为矿井安全生产提供科学调度、决策的依据。今后相当长的时间内，煤炭仍然是中国的主要能源，目前煤炭企业正逐渐由粗放开采向安全高效开采转变。加强信息化建设，重视信息安全是煤炭实现安全生产的基本保障。
二、煤炭控制网络现状
三、工控安全防护方案设计
3.1安全建设目标：
（1）提高工业网络抗攻击能力
（2）提高工业网络的管理力度
（3）保护重要信息财产安全
3.2政策标准
（1）《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发【2012】23号）
（2）《关于加强工业控制系统信息安全管理的通知》（工信部【2011】451号）
（3）GB/T30976.1-2014《工业控制系统信息安全第1部分：评估规范》
（4）GB/T30976.2-2014《工业控制系统信息安全第2部分：验收规范》
（5）GB/T32919-2016《信息安全技术工业控制系统安全应用指南》
（6）GB/T33007-2016《工业通信网络网络和系统安全建立工业自动化和控制系统安全程序》
（7）GB/T33008.1-2016《工业自动化和控制系统网络安全可编程序控制器（PLC）》
（8）《中华人民共和国网络安全法》
3.3设计思想
根据煤矿生产网络安全现状，结合生产系统运行环境相对稳定的情况来分析，煤矿生产网络系统更新频率较低，工业和信息化部印发的《工业控制系统信息安全防护指南》关于工控主机安全软件的选择与管理中的要求，提出基于“白名单”机制的工业控制系统信息安全“白环境”解决方案，通过对工控网络流量、工控主机状态等进行监控，收集并分析工控网络数据及软件运行状态，建立工控系统正常工作环境下的安全状态基线和模型，进而构筑工控安全“白环境”，确保
（1）只有可信任的设备，才能接入工控网络；
（2）只有可信任的消息，才能在工控网络上传输；
（3）只有可信任的软件，才允许被执行；
通过上述规范，规划安全防护体系如下：
边界单向隔离：煤矿综合自动化工业环网的边界安全防护，一方面需要构建完整的工业控制系统安全防护体系架构，另一个方面需要重点建立边界安全访问防护策略。为了能有效的避免互联网的来攻击行为，实现煤矿综合自动化工业环网的单向访问控制，就需要在煤矿综合自动化工业环网与互联网连通的节点上，部署单向隔离网关，确保跨网数据传输安全可控，阻断非授权以及未被允许的访问行为，确保煤矿综合自动化工业环网的安全。
边界入侵检测：对煤矿综合自动化工业环网的网络入侵行为进行检测，确保第一时间发现入侵及恶意行为，保障煤矿综合自动化工业环网的安全。入侵检测系统，在煤矿综合自动化工业环网于办公网连接的入口处，部署入侵监测系统。
区域边界防护：通过明确服务区域，针对服务区域内的设备（关键控制器、主机等）进行内部加固，将区域内部的网络问题直接汇聚在本区域内，通过建立区域白名单策略，规范区域内的网络规则。有效保护安全区域内网络信息安全，以避免信息泄漏及病毒“串染”，有效保护各安全区域间网络信息安全。工业防火墙，以串联方式与过程控制系统、安全系统、生产管理层交接及连接。
主机加固：对生产工业控制网络内的主机做安全加固，主要是针对调控中心、生产过程区域内的主机做安全加固，通过主机白名单机制，防护主机由于操作系统漏洞、应用软件漏洞而引起的攻击、阻止未授权程序在这些主机上的操作运行，控制非管理人员对这些主机的访问等。工控主机卫士，在重点设备上部署主机加固软件工控主机卫士。
系统监测：对煤矿综合自动化工业环网中可能存在的攻击行为、数据流量、重要操作等进行监测审计，用于事后回溯和网络分析。工控监测与审计系统，通过交换机端口镜像功能，以网络旁路的方式部署。
运维审计：对煤矿综合自动化工业环网的运维进行统一的管理、授权，确保所有的运维、管理操作均满足等级保护身份鉴别、访问控制、操作审计的要求。运维管理平台：在煤矿综合自动化工业环网上，有外部接入风险的网络节点部署运维管理平台。
安全产品统一管理：对煤矿综合自动化工业环网中的相关安全产品进行统一的管理及运维，信息安全管理人员可以通过统一安全管理平台对整个工业控制网内信息安全情况进行统一实时的监控，在第一时间内发现网络安全问題，实现工控风险的动态监测。统一安全管理平台，用于网络内工控监测与审计系统、工业防火墙、工控主机卫士进行统一管理及维护。
3.4解决问题
阻止来自外部系统攻击行为；阻止来自不同区域之间的越权访问；阻止病毒、恶意软件扩散和入侵攻击，保护控制系统安全运行；阻止非授权设备的接入。
实时监测工控网络中的恶意攻击、误操作、违规操作、非法设备接入，帮助客户及时采取应对措施，避免发生安全事件；详实记录一切网络通信流量，包括网络连接、网络协议、网络会话、工控协议指令等，为安全事故调查取证提供技术支撑。
实时检测来自外部互联网恶意行为，以及蠕虫、病毒等恶意软件的的入侵，帮助客户及时采取应对措施，避免发生安全事件；通过网络入侵检测分析，并形成图形化的日志报表，帮助安全管理员实时展现工控网络中潜在的安全威胁。
阻止非授权软件或进程的安装和运行，防止恶意代码攻击“0-day” 漏洞的利用；避免升级病毒库，变被动为主动；防止移动介质在使用过程中将病毒带入工控网络并扩散；杜绝信息非法窃取、数据和系统遭受非法破坏的行为发生。
阻止非授权用户访问网络、安全设备；阻止非授权的用户远程维护服务器、工作站、网络设备、安全设备等；对远程运维操作行为进行监测、审计，阻止误操作、恶意操作；全程记录运维操作行为，为安全事件的追踪溯源提供证据。
四、总结
煤矿综合自动化工业环网安全防护建设完成后，能够全面提升煤矿综合自动化工业环网的整体安全性，确保设备、系统、网络的可靠性、稳定性，减少人员的工作量，提高安全生产管理水平、工作效率和管理效率。
作者简介：
武凯，1983年10月，工程师，内蒙古大学本科，清华大学硕士，现就职中煤陕西榆林能源化工有限公司，信息管理部副经理。