智能化煤矿工业控制系统网络安全分析及防护实践_闫光杰.pdf

SOFTWARE软 件2023第 44 卷 第 1 期2023 年Vol.44,No.1作者简介：闫光杰（1975）,男,河北临漳人,本科,高级工程师,研究方向：计算机网络、网络信息安全、智能协作。智能化煤矿工业控制系统网络安全分析及防护实践闫光杰（冀中能源集团有限责任公司，河北邢台 054000）摘要：随着煤矿智能化建设工作推进,原来“封闭”的工业控制系统打破壁垒迈向融合,工业控制系统与管理系统协作、工业系统之间集成联动、工业数据外联,延伸了工控系统网络接入范围,增加了工控系统来自外联网、互联网的安全威胁,针对安全问题及新需求,在煤矿智能化建设过程中,同步开展工控系统网络安全建设,基于“等级保护 2.0”要求,提出了智能煤矿工控网络安全防护体系框架,建立了以计算环境安全为基础,以区域边界安全、通信网络安全为保障,以安全管理中心为核心的信息安全整体保障体系,确保了煤矿工业控制系统的安全,为煤矿开展工控系统网络安全防护工作提供经验和借鉴。关键词：工控系统；网络安全；工控安全；等级保护中图分类号：TP393 文献标识码：A DOI：10.3969/j.issn.1003-6970.2023.01.039本文著录格式：闫光杰.智能化煤矿工业控制系统网络安全分析及防护实践J.软件,2023,44(01):144-146Network Security Analysis and Protection Practice of Intelligent Coal Mine Industrial Control SystemYAN Guangjie(Jizhong Energy Group Co.,Ltd.,Xingtai Hebei 054000)【Abstract】：With the advancement of the intelligent construction of coal mines,the original Closed industrial control system breaks the barriers and moves towards integration.The industrial control system cooperates with the management system,integrates linkage between industrial systems,and industrial data outreach,extending the industrial control system network.The scope of access increases the security threats of the industrial control system from the extranet and the Internet.In response to security issues and new demands,in the process of intelligent construction of coal mines,the network security construction of the industrial control system is simultaneously carried out.Based on the requirements of Level Protection 2.0,the intelligent coal mine industrial control network security protection system framework has established an overall information security security system based on computing environment security,with regional border security and communication network security as the guarantee,and the security management center as the core,ensuring the safety of the coal mine industrial control system and provide experience and reference for coal mines to carry out industrial control system network security protection work.【Key words】：industrial control system;network security;industrial control security;level protection设计研究与应用0 引言在疫情防控期间,企业数字化转型、两化深度融合全面提速,企业网络安全环境日益严峻。针对工控系统进行攻击的技术和手段层出不穷,数据泄露的规模、攻击的破坏效果都呈现扩大趋势；攻击方式多样,从搭载恶意软件的钓鱼邮件到 DDoS 攻击等不一而足,从SolarWinds 攻击到 Apache Log4j 漏洞,攻击者在寻找渗透企业网络的新方法方面变得极具创新性,针对工控系统的攻击呈现出影响范围广、攻击水平高、攻击规模逐年上升的趋势。1 煤矿工控系统网络安全风险分析2021 年 5 月,河北省下发了关于进一步明确全省煤矿智能化建设任务有关事项的通知（冀发改能源2021682 号）,冀中能源东庞矿、梧桐庄矿等 4 处煤矿为河北省首批推进的智能化建设示范煤矿,本文以冀中能源集团 XX 矿为例进行分析研究。1.1 煤矿工业控制网络及系统应用情况煤矿的开采、运输需要多个工业控制系统的支撑,145闫光杰：智能化煤矿工业控制系统网络安全分析及防护实践XX 矿已经在线使用的工业控制系统主要包括：综采工作面自动化系统、综合调度指挥系统、井下主运皮带集控系统、安全监测监控、人员定位系统、主副井提升系统、原煤线集控系统等 20 余套。网络系统作为智能化矿山的基础,为数据传输提供链路基础。目前,XX 矿建有地面工业环风 1 套、井下工业环网 3 套,由于业务监管要求及上线历史背景的原因,人员定位系统和安全监测监控系统分别使用专用工业环网,第三套环网由于覆盖区域局限、网络带宽和接口容量不足,以及部分工业上线投入时间过早等因素,目前仅接入井下应急广播、视频监控及排水监控等 7 套系统,其他工业系统仍游离在环网之外,采用总线等其他方式进行联网,多数工业控制系统仍不能互通,数据信息整合、企业资源共享、系统之间联动无法实现。1.2 煤矿工控系统网络安全风险分析随着“两化融合”的持续推进和煤矿智能化建设工作的快速开展,工控网络边界外延进一步扩大,工控系统之间、工控系统与管理系统数据交互成为必需,而工控系统在网络安全建设明显滞后,同时工控网络安全涉及到工业控制流程、生产设备等多学科和专业知识,网络安全形式严峻。煤矿工控系统网络安全风险主要涉及 4 个方面：（1）工控系统建设松散,网络安全缺乏整体规划,没有形成统一的安全防护能力,主要表现为：由于各工业控制系统建设时间及背景不同,系统部署分散,基础环境参差不齐,安全等级及潜在风险各不相同,存在网络安全建设割裂、脆弱面无法控制、资产无法集中管理、设备安全状态无法全网感知、安全联动困难等问题,缺乏统一高效的安全运营平台,分散式的管理、“救火”式的运维,造成整体安全运维效率低下,安全防护能力有限。（2）工业控制系统自身安全问题,主要表现在：国内工业控制系统相关技术、标准、管理体系不成熟1,现有信息安全产品无法直接应用在工业系统中,使得安全风险存在于工业控制系统的设计、开发、部署、运维等各环节；工控系统网络的通信协议种类繁多、系统软件难以及时升级、设备使用周期长以及系统补丁兼容性差、发布周期长和过渡依赖等现实问题造成工控系统的补丁管理困难,系统中威胁严重的漏洞难以得到及时处理。（3）新技术、新应用及新要求、新需求带来的安全风险：新技术新应用迭代发展,网络攻击手段不断演进,新技术本身存在的漏洞易被黑客利用,如 APT 组合多种攻击技术、采用最新 0-day 漏洞进行持久性攻击,现有安全防护手段无能为力。“两化”融合的持续推进、煤矿智能化建设及行业数据监管的要求,使得原来“封闭”的工业控制系统打破壁垒迈向融合,工业系统网络中大量采用 TCP/IP 技术,工业系统与管理系统协作、工业数据上云、工业数据外联1,延伸了工控系统网络接入范围,增加了工控系统来自外联网、互联网的安全威胁,仅仅依靠基于工控协议的策略管理与控制已无法满足当下工控系统安全运行的要求。（4）对标信息安全技术-网络安全等级保护基本要求（GB/T 22239-2019）、工业控制系统信息安全防护指南等法律法规,合规合法体系建设差距明显,主要表现在：“重业务轻安全”,网络安全建设与业务系统建设不同步,涉及工业控制系统设计场景与管理控制等工作时,通常优先确保业务的连续性和可用性,而对认证、加密、授权等方面缺乏足够措施；追求业务可用性而忽视安全,安全管理策略和流程制定不完善、执行不到位,因为管理策略或操作的失误,给工控系统埋下安全隐患,如移动设备的使用和不严格的访问权限、未经严格测试验证的升级补丁等。重建设轻运维,工业网络内部署了一些安全设备,但没有遵循权限最小化原则,存在安全策略制定不精准、调整不及时等现象,安全设备没有充分发挥作用。2 网络安全防护实践2.1 安全防护核心思想依据信息安全技术-网络安全等级保护基本要求（GB/T 22239-2019）、工业控制系统信息安全防护指南、智能化示范煤矿验收管理办法（试行）等法律、法规、标准,借签煤矿办公网安全体系建设建设经验,制定工业控制系统网络安全建设方案,提出了“一个中心,三重防护”的防护理念和分类结构,补强被动防御,重点提高主动防御和态势感知能力,构建纵深防御和精细防御体系,有效提升煤矿工业控制系统安全防护水平。XX 矿工业控制网络架构示意图如图 1 所示。2.2 网络安全防护功能实现（1）以安全管理中心作为整个安全的中枢,构建集中管理和安全运维的能力2。1）部署网络管理系统,实现对工业网内网络设备、链路进行统一的管理、监控,故障自诊断、定位、报警,同时通过网络管理系统满足对设备进行日常管理、流量统计、故障分析等。2）部署运维堡垒机,对工业环网内服务器、网络设备、安全设备、数据库等进行集中运维操作,通过集中管控安全策略进行集中账号管理、登录认证、授权管理和操作审计,做到运维工作事前防御、事中控制、事后审计,为事后追溯提供依据。3）部署工控安全态势感知平台,整合所有安全设146软 件第 44 卷 第 1 期SOFTWARE备的安全告警和日志,通过智能关联分析可以获得工控网络全局的安全风险和态势,动态掌控工控网络的安全状态与安全风险,满足工控安全态势感知的需求。4）通过互联网区的 SSL VPN 系统,使用加密会话机制登陆堡垒机,解决工业网络内设备远程运维的问题。（2）以矿井万兆环网为纽带,优化基础网络架构、分区分域,从而收缩网络攻击面。1）完善基础设施,部署井下万兆工业环网,确保基础链路可行,确立分层分域的安全管理思路,划分互联网区、办公网区及工业控制网络区,同时在工业控制网络区内根据安全等级要求设立不同的安全域,确保网络应用架构与数据传输安全可靠。2）制定环网资源利用规划和工业控制系统接入规范,现有工业系统迁移到万兆环网中,并为后续工业系统接入预留资源。（3）以安全区域边界2为依托,以访问控制为基础,通过技术手段来强化纵深防御。1）工业控制网络与办公网络边界采用工控隔离网闸进行物理隔离防护,阻断非法流量,实现物理安全隔离及数据交换摆渡3。2）调度控制中心安全域内部署工控系统服务器、数据库、工程师操作站等,在其前端部署工业防火墙,对