★ 北京天地和兴科技有限公司

1 项目概况

1.1 项目背景

城市供热系统作为城市热力供应的重要组成部分，是城镇建设的重要基础设施之一。供热系统的安全稳定运行是国民经济和社会运行的重要基础。近几年来，随着全球工业信息和互联网的快速发展，工业企业信息安全领域遭受恶意攻击事件时有发生，这些针对工业自动化设备、网络设备和工业控制系统的漏洞攻击、信息窃取、信息探测、恶意攻击对企业生产、信息安全以及社会公共秩序造成严重威胁。

本项目中供热公司的供热管网控制系统属于典型的物理分散、系统分散、风险分散的系统，极易受到各种形式的攻击，进而对供热管网控制系统形成恶意破坏以及其他非法操作，导致供热管网控制系统发生重大事故，给企业声誉带来负面效应，因此存在巨大的安全风险。

1.2 项目简介

城市热力站地理位置分散，覆盖面广。大部分城市热力站通过电信运营商互联网网络与控制系统的数据通信，调度中心控制指令和各热力站实时控制数据以不安全的传输协议进行数据传输，极易被恶意攻击者窃取信息数据或者对信息数据进行篡改，导致无法真实传递控制指令和反映当前热力站控制系统运行状态。

可能存在的安全风险有：

（1）破坏供热系统，中断正常供热；

（2）内部人员失误导致业务中断；

（3）窃取供热用户身份、供热信息；

（4）窃取财务或办公信息；

（5）内部人员非法交易用户身份、供热信息；

（6）外包人员在程序中安插后门；

（7）跨国的政治或商业目的的信息窃取；

（8）恶意软件；

（9）网络被攻击，通信中断；

（10）自然灾害；

（11）热力站失火、漏水，导致热力站控制系统损坏，造成供暖中断。

供热行业网络安全规划框架根据《网络安全法》、国家等级保护2.0安全建设要求，在安全体系的指导下，从技术体系、管理体系、运维体系三大体系入手，进行规划设计。

本项目参照相关国家/行业标准要求，结合安全现状与需求分析，针对市政供热行业特点，通过安全风险评估的方式全面了解生产控制系统的安全状况，将问题转化为需求，围绕“一个中心、三重防护”国家网络安全等级保护2.0的防护思维进行网络安全防护体系的详细设计，形成纵深网络安全防护能力，并通过完善相关安全管理的制度方式，落实安全管理体系化建设目标，构建技防与管理相结合的网络安全纵深防御体系，高效发挥防御体系的防护效能，为市政供热行业系统安全运行保驾护航。

1.3 项目目标

本项目通过对供热管网控制系统的网络架构、边界及系统风险进行明确，对其面临的网络安全风险进行研究，依据等级保护要求，就现有控制系统的网络安全问题，提出针对性的安全防护解决方案，并从区域隔离、接入双向认证、网络通信链路防护、软件系统安全、集中监管、主动防护等方面出发，构建供热控制系统安全纵深防御体系，确保供热管网系统安全运行。

2 项目实施

2.1 方案设计

（1）全面安全风险评估

通过调研、现场勘查访问、借助检查工具与专业技术实操，全面发现与验证在物理环境、通信网络、计算环境等多层面存在的安全风险，让企业领导及安全运维人员系统了解生产网控制系统存在的安全风险。

（2）网络安全防护体系建设

安全风险评估为安全建设输出了准确的安全建设需求，需结合现状与未来发展规划，遵照国家/行业相关安全标准要求，遵照用户建设规划，开展网络安全防护体系设计与建设，并借助先进的工控安全产品，构建“一个中心、三重防护”，即安全管理中心、安全通信网络、安全区域边界、安全计算环境，的纵深安全防护技术体系，完善安全管理体系，形成综合防御能力，满足用户建设目标，满足网络安全合规性要求，满足供热控制系统安全防护的实际需要。

（3）智能AI安全监控

通过智能AI算法安全分析加强安全运营体系，包括日常运维的规范化、安全培训、安全检查与应急演练的常态化，并借助平台技术手段，构建多级级联式安全运营平台应用，实现全网风险动态感知、趋势分析、安全预警、联动处置。

本方案采用的技术与产品均为工控安全专用技术，具有主流工控协议深度解析能力，支持白名单部署策略，并具有全面的工业漏洞库与工业设备指纹库，具备工控行为的识别、合规性检查、访问控制、安全审计以及安全风险集中管理、综合分析与处置的能力，为市政供热行业控制系统稳定安全运行提供保障。供热管网控制系统网络架构图如图1所示。

图1 供热管网控制系统网络架构图

2.2 项目技术

对供热管网控制系统网络架构安全防护风险进行调研，对系统资产进行梳理，对网络安全隐患进行风险点分析，并形成相关分析报告。按照国家网络安全法提出的原则，利用当前先进的网络安全防护理念、技术与产品，有序地开展供热行业生产系统中网络安全防护体系的顶层设计、分期设计与建设工作，编制供热行业网络安全立体的防护体系建设标准。同时，研发自主AI算法引擎创新的网络安全防护产品，实现全网动态安全监测、风险可视、通报预警与联动处置，提高网络安全综合管控与防护能力，完成防护建设试点并通过等保2.0等级测评。

在换热站的网络出口链路部署定制开发的网络安全综合防护终端，与中心网安综合防护网关配套，利用国密算法对换热站业务数据进行加解密，有效预防和避免由于管理疏忽造成的数据泄露现象，减少或避免因人员操作管理失误造成的损失。

网安综合防护终端支持对业务数据传输的源地址/目的地址、源端口/目的端口、应用规格和协议进行安全防护，同时支持流量审计功能，可以对流经设备的流量进行分析、会话统计和工业协议解析。

整个方案还采用包过滤技术、应用网关技术和状态检测技术，实现换热站安全防护网关与首站服务器之间的信息加密传输，实时检测网络传输并对异常数据信息及时响应，保障供热系统的网络安全。

包过滤技术是网络防护中最重要的技术手段之一，通常通过路由器、防火墙来实现对网络数据包的实时动态监控。该技术工作原理是检查数据包，整个检查过程在网络层进行，保障了数据包的传输性和安全性。但该技术可能受到病毒软件的欺骗，因此仍存在被黑客攻破的可能。

应用网关技术效果相对包过滤技术有所提升，该技术是通过对应用层数据包进行检查的方式来提高网络安全性，减少风险数据的入侵。

状态检测技术是实现网络状态监控监测的关键技术，有着较高稳定性，网络安全性提升明显。另一方面，该技术对新应用程序也有一定的透明性，突破了应用网关技术弊端，更继承了包过滤技术的优点，又提高了对欺骗数据包的识别能力，有效降低了被攻击的可能性，保障了网络安全。

创新应用图像AI算法引擎技术适配供热场景中的视频监控。对换热站的视频监控中的蒸汽/烟雾泄漏、液体滴漏等异常生产环境适配AI算法，可以对异常视频监控画面进行智能分析并告警，助力安全生产。

2.3 应用场景

（1）安全物理环境：对换热站的视频监控中的蒸汽/烟雾泄漏、液体滴漏等异常生产环境视频适配AI算法，对异常视频画面进行智能分析并告警。

（2）安全通信网络：在换热站与供热管网控制系统链路部署加密设备，对自控系统区域进行安全隔离，在换热站与供热管网控制系统之间进行身份认证与数据传输加密防护。

（3）安全区域边界：在供热管网控制系统核心交换机旁路部署入侵检测系统，通过交换机镜像功能，把网络出入口、重要安全域的通信数据送给入侵检测系统进行实时检测。

（4）安全计算环境：针对市政供热企业工控网络中的相关应用服务器、管理操作终端等主机系统，设计安装部署主机安全防护软件系统，实现对人机交互界面的主机系统必要的安全管控；白名单的主动防御机制可占用更小的系统计算资源，实现最大的防护效能；有效实现主机防病毒、防第三方软件的非授权安装与使用、主机系统外接口的管控、USB外接存储设备的认证管控、操作行为审计，为主机系统安全运行提供必要的安全保障。

（5）安全管理中心：在热管网控制系统划分出安全管理域，部署日志审计系统、堡垒机系统及定制开发安全管理平台。安全管理平台采用两级管控平台的创新布局，可实现报警分级、管控分权的网络安全平台建设，可向上对接上级监管机构的管控平台。

本方案通过对供热公司供热管网控制系统的网络架构、边界及系统风险进行明确，对其面临的网络安全风险进行研究，依据等级保护要求，就现有控制系统的网络安全问题，提出针对性的安全防护解决方案，并从区域隔离、接入双向认证、网络通信链路防护、软件系统安全、集中监管、主动防护等方面出发，构建供热控制系统网络安全纵深防御体系，确保终端和主站之间的通信链路安全，保障终端和主站之间传输数据的保密性和完整性，同时实现主站和终端之间的双向身份鉴别。本方案重点防范各种主动攻击对系统的恶意破坏以及其它非法操作，防止由此导致的供热管网系统事故，确保供热公司供热系统的安全运行，具有很强的现实需求。

3 案例亮点及创新性

（1）实现了市政供热行业网络安全从被动防御向主动防御的转变。通过部署网安综合防护网关、AI视频智能分析算法和数字证书系统的一体化防护方案，使供热系统建设达到了“智能检测”“智能上报”“智能响应”的安全防护体系，全面提升了供热企业的安全防护和安全管控能力。

（2）构建了供热控制系统网络安全纵深防御体系，确保了终端和主站之间的通信链路安全，保障了终端和主站之间传输数据的保密性和完整性，同时实现了主站和终端之间的双向身份鉴别。

（3）自主AI算法引擎的创新应用。安全防护设备采用了自主研发的AI算法引擎，将OT与IT的防护引擎算法分析、知识库、防护功能进行了一体化设计，实现了对供热行业未知威胁的态势感知，助力了供热企业安全生产运行。

（4）完善了供热行业工业互联网安全产业链，贴合了业务场景化安全建设，推动了企业数字化转型升级。

（5）指导了企业树牢网络安全意识，落实了网络安全工作责任制，防范了网络风险，切实加强了网络安全监测预警、信息通报和应急处置能力，确保了供热管网系统安全运行，具有很强的现实需求和示范作用。

（6）加强了供热管网行业企业生产安全和服务风险管理能力，深化了全生命周期资产运用水平。

（7）本方案运用创新技术建成了完善的供热系统网络安全防护体系，其研发的安全防护体系产品技术指标达到了国内先进水平。

本方案通过对供热公司供热管网控制系统的网络架构、边界及系统风险进行明确，对其面临的网络安全风险进行研究，依据等级保护要求，就现有控制系统的网络安全问题，提出了针对性的安全防护解决方案，并从区域隔离、接入双向认证、网络通信链路防护、软件系统安全、集中监管、主动防护等方面出发，构建了供热控制系统网络安全纵深防御体系，确保了终端和主站之间的通信链路安全，保障了终端和主站之间传输数据的保密性和完整性，同时实现了主站和终端之间的双向身份鉴别。本方案重点防范了各种主动攻击对系统的恶意破坏以及其它非法操作，防止了由此导致的供热管网系统事故，确保了供热公司供热系统的安全运行，具有很强的现实需求、广阔的应用前景和较好的示范作用。

《自动化博览》2023年1月刊暨《工业控制系统信息安全专刊（第九辑）》