保障水资源安全,自来水供应控制系统安全解

年2月8日佛罗里达州的奥兹玛市自来水厂被黑客入侵，氢氧化钠的含量从0.01%被调整到了1.11%，比正常含量高出近倍。由于氢氧化钠腐蚀性极强，能烧伤皮肤甚至器官，对人体危害极大，而且氢氧化钠溶于水无色无味，人类肉眼无法分辨，因此把它的含量提高，将直接危害人们的生命安全。

年4月，以色列国家网络局发布公告称，收到了多起针对废水处理厂、水泵站和污水管的入侵报告，以色列国家网络局局长伊加尔·温纳披露：“如果‘坏人’得逞，水务部门的计算机系统被‘黑’，自来水中氯等化学物质的注入量被更改，水将不能饮用，这种攻击无关经济利益，只为破坏以色列的国家安全”。

饮用水的安全关系着国计民生，随着中国城市化发展进程加快，对自来水供应及需求也随之增加。加强水资源管理，保障水资源安全是保护国家关键基础设施安全之一。城市供水关系千家万户，因此其控制系统一旦遭到非法攻击，必将涉及人民生命安全、区域稳定，破坏性不言而喻。

自来水供应控制系统介绍

自来水供应控制系统一般分为几个部分：调度中心、分控中心、监控分站、泵站等。它所具有的功能一般包括：数据采集控制、传输、显示及分析、报警、历史数据的存储/检索/查询、报表显示及打印、遥控、网络通信等。

自来水供应控制系统包括中控室大屏幕显示系统、视频监控系统、恒压变频出水、加氯加药系统、滤池反冲洗系统、进水泵房供水系统、管网压力监测系统等。滤池反冲洗系统是每格滤池一套PLC，配套HMI触模屏，PLC站之间和中控室采用以太网或光纤进行，由各个PLC厂家的控制网络方式构成。

自来水供应控制系统安全防护方案

杭州中电安科现代科技有限公司（简称“中电安科”）凭借多年来在工控安全领域的技术创新与客户实践，推出了具有针对性的自来水供应控制系统安全防护解决方案。自来水供应控制系统工控网络安全防护总体架构如下图所示：

1、区域边界安全

在分控中心到调度中心部署工控防火墙，将调度中心、分控中心以及各工控子系统进行逻辑隔离，保护工业环网的安全运行，实现不同系统之间的逻辑隔离。

在生产网和办公之间部署工控网闸进行物理隔离，避免生产控制区域遭受来自于办公网络的攻击和威胁。

在安全管理区部署网络准入控制系统，实现对非法设备的接入管理与非法外联从而解决因外接终端设备引起的网络安全问题，避免安全事件，消除安全隐患。

2、通信网络安全

在各分控中心的工控系统分别部署监测审计引擎，监测审计引擎对工控流量进行监测分析，识别出工控协议，并对工控协议深度解析，依据通讯流量进行节点网络拓扑动态生成，工控资产识别，实现对工控网络的监测与审计，为事后提供追溯分析依据。

在核心交换机上旁路部署入侵检测，对流量进行特征提取并与规则库进行匹配，快速有效识别出工业控制网络中存在的异常、攻击行为。

3、计算环境安全

在生产网各工控系统中的操作员站、工程师站以及服务器等工业主机上安装部署工控终端防护系统，对工控终端防护系统进行统一管理与监控、策略下发、异常报警等，实现对工业主机的进程白名单管理，对流量、USB口管控，有效抵御未知病毒、木马、恶意程序、非法入侵等针对终端的攻击，实现工业主机安全防护与加固。

通过数据库审计系统全面审计在使用数据库过程中的访问过程，对于越权访问、异常数据库操作以及对数据库关键数据或进行关键指令操作过程全面审计，检测识别非授权操作的行为，避免数据库删除、篡改、异常访问等情况发生。

在安全管理区部署运维堡垒机，实现对运维人员的操作行为审计，违规操作、非法访问等行为的有效监督，为事后追溯提供依据。

4、安全管理中心

部署配置核查管理系统，通过配置核查管理系统实现自来水供应监控系统资产和主机系统安全风险和配置项做到安全检查和问题归并，满足安全服务要求。

在安全管理区部署安全管理平台，实现对工控防火墙、工控安全监测审计管理系统、工控终端防护系统、堡垒机等安全产品以及交换机的统一管理与监控；通过使用安全管理平台大大降低运维管理的工作难度和工作量、同时可采集自来水供应控制系统的主机设备、网络设备、安全、业务软件的日志进行统一留存和管理，运维管理人员可通过安全管理平台监控全网的报警信息，发生安全事件后，可第一时间采取处置措施，提升自来水供应行业安全防护整体水平。

5、安全管理设计

供水企业在进行工控安全技术建设的同时，也不能忽视工控安全管理建设，我们在企业安全建设始终强调“三分技术，七分管理”。

安全管理体系方面，通过制定和完善工控网络安全管理制度，形成由安全策略、管理制度、操作规程等构成的全面信息安全管理制度保障体系，做到有章可循、有法可依、人人有责的工控网络和系统安全建设格局。

客户价值

在满足等保2.0及行业政策法规要求的前提下，构建纵深防御体系，全面提升供水企业调度控制系统整体安全性；

通过网络流量实时分析，以“可视化”的形式直观展示通信情况，深度融合业务场景的异常行为监测，帮助运维人员提高运维效率；

实现工控网络资产的可视化管理，动态识别非法接入设备，直观展示工控网络安全威胁；

结合供水企业实际业务安全需求，以“白环境”为核心的防护理念，有效抵御工业网络所面临的已知和未知威胁，降低安全运行风险。

转载请注明：http://www.abuoumao.com/hykz/3729.html