论文部分内容阅读
摘要：在现代社会科技飞速发展的背景下，石油工业控制系统的安全和管理标准亟需完善，但目前体系的建立还不够全面、相应的安全措施不够严格，所有这一切都对石油工业的安全构成威胁。本文将通过简要阐述工控系统的特点以及其在石油行业的应用，分析当前应用过程中存在的风险以及解决措施。
关键词：工业控制系统;石油行业;管理体系;安全防护体系
引言：工业管理系统是由计算机和工业控制过程要素组成的自动化控制系统设备，包括传感器，控制器、执行器和传输/输出接口，这些组件按照特定的通信协议通过工业通信线路运行。通过建立一个共同的安全保护系统，针对石油行业工业控制系统面临的风险做出优化管理，有效地提高其安全性。
一、工业控制系统信息安全的技术特征
（一）对可用性的高要求
信息安全技术的基本要求分别是保密性、完整性以及可用性，而工业控制系统还需要在此前提下重点突出可用性。通常情况下，工业控制系统可能的威胁有两种：系统威胁与过程威胁。前者的防御可根据规定的解决方案，但后者一定要确保系统可用性。
（二）环境的界定和行为的规范
与过去的网络系统比较来看，工业控制系统所处环境十分独立，工作流程也更加清晰，安全保障成为一个根据特定环境与控制流程形成的防御过程。并且为发挥安全防御系统的功能，安全监控的前提是做好环境界定、环境规范和行为规范。
（三）任务保障和在线监控
工业控制系统的理想状态是即便在遇到恶意攻击，也要确保控制任务能够正常执行。前沿防御（Defensein-Breadth）”是其安全防御设计的基础，能够有效保证工业控制任务的顺利完成，而安全防御体系则需要安全监控技术保障。
（四）软件安全和平台测试
系统安全缺陷与漏洞是工业控制系统易受攻击的关键，关于工业控制平台和安全缺陷发现技术要强化重视。测试作为反馈环节，其水平影响到到技术研究的能力以及系统设计的质量。
二、 工业控制系统在石油行业中的应用
石油工业活动主要包括油气田勘探和开发、石油化工、石油天然气销售、石油天然气控制、管道运输、国际贸易、机械制造等领域。工业控制系统主要用于石油和天然气生产和加工企业，控制石油和天然气工业和销售成品油，包括油气田企业的集中处理站应用的企业技术监测系统。接收、输送气压蒸馏催化裂化重整，合成树脂、纤维和橡胶。通过工业管理系统管理石油天然气企业在石油天然气管道和仓库等。
三、 当前石油行业工业系统控制存在的安全风险
（一）管理体系
1.组织机构问题
目前大多数企业没有明确安全体系中的责任、决策、管理、执行和安全监督等问题，企业管理系统的一部分责任属于该部门生产经营单位负责或通过该单位的信息服务部门管理，另一部分属于信息管理部门，这种不协调且多学科的管理，难以保证信息安全的工作完成质量。
2.缺乏标准规范
目前我国的石油工业信息安全管理系统和标准规则仍然存在缺陷，缺乏有效的指导。在工业控制安全系统的管理和建设过程中缺乏适当的工作基础和必要的指导方针，导致了很多本可以避免的问题。
（2）技术体系
1.工业控制网络安全问题
随着两化融合，工业控制系统越来越多的与办公网存在数据交互，以为生产管理系统提供决策所需信息。现有的生产环境经常使用网闸或防火墙控制，缺乏安全问题的整体解决方案。
2.操作人员的认证授权问题
工业控制系统的安全管理员需要具备一定的技术基础和安全意识，应当有严格的认证机制和授权管理。在管理系统中，不同的管理员的管理权限应当明确划分，并遵循最小化原则。
3.主机安全防护能力不足
要确保主机安全，须注意内网中的病毒和外来侵入，目前大多数控制网络没有安装防止病毒入侵的软件，即使安装了防病毒软件和入侵检测系统，也可能由于相对的环境孤立，沒有及时更新数据库，长期不使用使之失去效能。
4、石油行业工业控制安全防护系统的建设
工业控制系统理论上是具备安全性和可靠性的，但传统的工业管理安全技术主要是为了运行系统本身。在信息安全领域，应当从各个方面着手并考虑到整个信息安全系统，把它作为一个全面的管理系统来考虑技术安全问题，如功能故障，需要进一步考虑结构安全问题。以下是石油工业管理和技术风险分析。
（一）管理体系建设
首先，要改进组织结构和规则。石油企业应在最高层建立一个组织结构，要求在局一级的单位内建立网络安全相关的组织结构，统一管理宣传和实施网络安全计划、管理涉及的信息安全系统。其次，对信息安全管理人员进行上岗培训。最后，确定职业安全标准，从石油工业的技术控制系统状态、配置和补丁等开始，保障边界安全、环境安全、远程准入安全、应急预案、数据管理管理和安全、供应链管理和安全、硬件安全，并加强监管和管理。
（二）技术体系建设
1.明确工业控制系统所处环境
白环境包括白名单设备，白名单命令，白名单主机，移动白名单。其中，协议书是通过工业防火墙的防护设备深入识别网络协议，切断与非敏感网络的联系。如果工业管理制度明确缺乏界限，内部流动将会面临困难更多未知的威胁，所以创建一个石油工业控制系统白名单能够确保生产经营者构造合法、安全和可追溯运行的机制环境。白名单执行机制是基于异常检测模型，多数据来源进行信息收集的远程安全评估工具，其与技术管理防火墙共同创建了一个基于监控程序的白名单环境。
2.测试环境的建设
建立石油工业管理系统检查测试环境主要目的如下。第一，补丁更新测试平台。为在测试环境中的控制系统添加补丁，经过验证后再在生产环境中实施，以免影响生产。同时，在测试环境中测试和修复各种类型的漏洞，有利于生产管理的高效进行。第二，通过测试环境，可以通过结合理论和实践，实现不同阵地真正的对抗。第三，自动化测试平台。通过这个平台添加各种信息安全产品进行功能测试和影响评估。
3.建立统一的补丁管理平台
通过服务器更新网络控制中心、主机安全系统和身份验证平台的病毒库，可以发挥主机安全程序的作用，并利用服务器数据库进行独立的实时更新和自动更新。安全人员应密切监测主要的生产和控制漏洞以及补丁，及时进行系统更新。此外，在安装补丁之前必须保证其安全性和稳定性，严格控制兼容性和可靠性。
结语：综上所述，目前石油工业控制系统面临越来越多的安全威胁。随着威胁的增加，安全控制系统中的安全局势越发严峻。在石油行业的工业控制系统一旦受到攻击，很可能导致机密信息的泄露和生产的停滞，造成严重的经济损失和广泛的社会影响，因此工控安全是至关重要的。
参考文献：
[1]陈磊，王娜.石油工控系统安全防护手段及相关建议[J].信息技术与网络安全，2019（5）：84—86.
[2]李耿欣.工业控制系统安全管理体系构建[J].烟草科技.2019（ 12）：99—102.
关键词：工业控制系统;石油行业;管理体系;安全防护体系
引言：工业管理系统是由计算机和工业控制过程要素组成的自动化控制系统设备，包括传感器，控制器、执行器和传输/输出接口，这些组件按照特定的通信协议通过工业通信线路运行。通过建立一个共同的安全保护系统，针对石油行业工业控制系统面临的风险做出优化管理，有效地提高其安全性。
一、工业控制系统信息安全的技术特征
（一）对可用性的高要求
信息安全技术的基本要求分别是保密性、完整性以及可用性，而工业控制系统还需要在此前提下重点突出可用性。通常情况下，工业控制系统可能的威胁有两种：系统威胁与过程威胁。前者的防御可根据规定的解决方案，但后者一定要确保系统可用性。
（二）环境的界定和行为的规范
与过去的网络系统比较来看，工业控制系统所处环境十分独立，工作流程也更加清晰，安全保障成为一个根据特定环境与控制流程形成的防御过程。并且为发挥安全防御系统的功能，安全监控的前提是做好环境界定、环境规范和行为规范。
（三）任务保障和在线监控
工业控制系统的理想状态是即便在遇到恶意攻击，也要确保控制任务能够正常执行。前沿防御（Defensein-Breadth）”是其安全防御设计的基础，能够有效保证工业控制任务的顺利完成，而安全防御体系则需要安全监控技术保障。
（四）软件安全和平台测试
系统安全缺陷与漏洞是工业控制系统易受攻击的关键，关于工业控制平台和安全缺陷发现技术要强化重视。测试作为反馈环节，其水平影响到到技术研究的能力以及系统设计的质量。
二、 工业控制系统在石油行业中的应用
石油工业活动主要包括油气田勘探和开发、石油化工、石油天然气销售、石油天然气控制、管道运输、国际贸易、机械制造等领域。工业控制系统主要用于石油和天然气生产和加工企业，控制石油和天然气工业和销售成品油，包括油气田企业的集中处理站应用的企业技术监测系统。接收、输送气压蒸馏催化裂化重整，合成树脂、纤维和橡胶。通过工业管理系统管理石油天然气企业在石油天然气管道和仓库等。
三、 当前石油行业工业系统控制存在的安全风险
（一）管理体系
1.组织机构问题
目前大多数企业没有明确安全体系中的责任、决策、管理、执行和安全监督等问题，企业管理系统的一部分责任属于该部门生产经营单位负责或通过该单位的信息服务部门管理，另一部分属于信息管理部门，这种不协调且多学科的管理，难以保证信息安全的工作完成质量。
2.缺乏标准规范
目前我国的石油工业信息安全管理系统和标准规则仍然存在缺陷，缺乏有效的指导。在工业控制安全系统的管理和建设过程中缺乏适当的工作基础和必要的指导方针，导致了很多本可以避免的问题。
（2）技术体系
1.工业控制网络安全问题
随着两化融合，工业控制系统越来越多的与办公网存在数据交互，以为生产管理系统提供决策所需信息。现有的生产环境经常使用网闸或防火墙控制，缺乏安全问题的整体解决方案。
2.操作人员的认证授权问题
工业控制系统的安全管理员需要具备一定的技术基础和安全意识，应当有严格的认证机制和授权管理。在管理系统中，不同的管理员的管理权限应当明确划分，并遵循最小化原则。
3.主机安全防护能力不足
要确保主机安全，须注意内网中的病毒和外来侵入，目前大多数控制网络没有安装防止病毒入侵的软件，即使安装了防病毒软件和入侵检测系统，也可能由于相对的环境孤立，沒有及时更新数据库，长期不使用使之失去效能。
4、石油行业工业控制安全防护系统的建设
工业控制系统理论上是具备安全性和可靠性的，但传统的工业管理安全技术主要是为了运行系统本身。在信息安全领域，应当从各个方面着手并考虑到整个信息安全系统，把它作为一个全面的管理系统来考虑技术安全问题，如功能故障，需要进一步考虑结构安全问题。以下是石油工业管理和技术风险分析。
（一）管理体系建设
首先，要改进组织结构和规则。石油企业应在最高层建立一个组织结构，要求在局一级的单位内建立网络安全相关的组织结构，统一管理宣传和实施网络安全计划、管理涉及的信息安全系统。其次，对信息安全管理人员进行上岗培训。最后，确定职业安全标准，从石油工业的技术控制系统状态、配置和补丁等开始，保障边界安全、环境安全、远程准入安全、应急预案、数据管理管理和安全、供应链管理和安全、硬件安全，并加强监管和管理。
（二）技术体系建设
1.明确工业控制系统所处环境
白环境包括白名单设备，白名单命令，白名单主机，移动白名单。其中，协议书是通过工业防火墙的防护设备深入识别网络协议，切断与非敏感网络的联系。如果工业管理制度明确缺乏界限，内部流动将会面临困难更多未知的威胁，所以创建一个石油工业控制系统白名单能够确保生产经营者构造合法、安全和可追溯运行的机制环境。白名单执行机制是基于异常检测模型，多数据来源进行信息收集的远程安全评估工具，其与技术管理防火墙共同创建了一个基于监控程序的白名单环境。
2.测试环境的建设
建立石油工业管理系统检查测试环境主要目的如下。第一，补丁更新测试平台。为在测试环境中的控制系统添加补丁，经过验证后再在生产环境中实施，以免影响生产。同时，在测试环境中测试和修复各种类型的漏洞，有利于生产管理的高效进行。第二，通过测试环境，可以通过结合理论和实践，实现不同阵地真正的对抗。第三，自动化测试平台。通过这个平台添加各种信息安全产品进行功能测试和影响评估。
3.建立统一的补丁管理平台
通过服务器更新网络控制中心、主机安全系统和身份验证平台的病毒库，可以发挥主机安全程序的作用，并利用服务器数据库进行独立的实时更新和自动更新。安全人员应密切监测主要的生产和控制漏洞以及补丁，及时进行系统更新。此外，在安装补丁之前必须保证其安全性和稳定性，严格控制兼容性和可靠性。
结语：综上所述，目前石油工业控制系统面临越来越多的安全威胁。随着威胁的增加，安全控制系统中的安全局势越发严峻。在石油行业的工业控制系统一旦受到攻击，很可能导致机密信息的泄露和生产的停滞，造成严重的经济损失和广泛的社会影响，因此工控安全是至关重要的。
参考文献：
[1]陈磊，王娜.石油工控系统安全防护手段及相关建议[J].信息技术与网络安全，2019（5）：84—86.
[2]李耿欣.工业控制系统安全管理体系构建[J].烟草科技.2019（ 12）：99—102.