“新質(zhì)生產(chǎn)力賦能浙江城鄉(xiāng)水務高質(zhì)量發(fā)展”研討會暨浙江省城市水業(yè)協(xié)會2024年年會于2024年9月4-6日在浙江寧波舉辦。會議精心邀請60余位行業(yè)專家與會交流，來自浙江省水務企業(yè)、高等院校、設計院、研究院、政府部門及國內(nèi)友好交流單位等近千位水務同仁、專家、學者參加會議。會議主題精心挑選，內(nèi)容精心策劃，專家精準匹配。設城鎮(zhèn)水務行業(yè)發(fā)展高層論壇1個、主論壇1個、分論壇4個、專題研討會4個。現(xiàn)將會議精彩重現(xiàn)！
寧波水務集團工控系統(tǒng)網(wǎng)絡安全案例分享
劉青友
寧波市水務環(huán)境集團智慧水務運營中心
城市水務工控網(wǎng)絡安全大家都知道很重要，基本要做到“萬無一失”，因為“一失萬無”，但是在實際操作層面上很多人感覺無從下手，只會干著急，表現(xiàn)在護網(wǎng)行為期間就去“拔網(wǎng)線”，這種掩耳盜鈴的做法是錯誤的，護網(wǎng)是公安幫我們找問題，“拔網(wǎng)線”其實就是拒絕公安幫我們找問題，面對黑客，你能即時“拔網(wǎng)線”了么？在這里我對四個層面來進行工控系統(tǒng)網(wǎng)絡安全防護，即“人手不足的問題、怎么建的問題、怎么管理的問題、出了問題怎么快速處理”，做到對網(wǎng)絡安全真正的有底、放心。
工控系統(tǒng)網(wǎng)絡安全建設的目標主要就兩點，“對內(nèi)安全管理、對外安全防護”。對內(nèi)的就是要求我們自已能看得清、防得住、管得勞、可恢復、查得準，對外就是做到黑客“看不見、攻不進、拿不走、毀不掉、抓得住”，最終實現(xiàn)內(nèi)部安全與外部安全的技術措施相結合。
如何做到內(nèi)部“看得清”，這就要求我們對工控系統(tǒng)網(wǎng)絡資產(chǎn)進行充分識別、清查，比如說：網(wǎng)絡內(nèi)是否存在啞資產(chǎn)？有沒有人新接入網(wǎng)絡？網(wǎng)絡邊界在哪？這是在整個安全建設要點中要做的第一步。
另外我們還需要基于看得清這個點去做到如何讓黑客“看不見”，那就是需要通過相應技術手段；如端口最小化、服務禁止訪問、業(yè)務通信精細化策略等，讓外部人員想入侵但卻無法找到路徑。相應技術措施對應的設備有邊界的網(wǎng)閘、防火墻，可通過這些設備來實現(xiàn)對外服務/端口最小化，主機的加固可以做到對一些不必要的服務和端口進行關閉，專項的隔離裝置可以將資產(chǎn)的通信標識進行隱匿。
做到“看得清”、“看不見”，其實是成本最低一種最有效的做法，大部分也是一次性工作，卻是大家最容易忽視的工作，如果切實做到了“看得清”、“看不見”，你的工控系統(tǒng)網(wǎng)絡安全水平就跑贏了國內(nèi)99%工控系統(tǒng)網(wǎng)絡安全水平，基本上不用擔心會被黑客入侵。工控系統(tǒng)無須對互聯(lián)網(wǎng)服務，客戶群基本上是內(nèi)部員工，所以允許訪問的“白名單”是確定，因此相對辦公網(wǎng)的網(wǎng)絡安全，“看得清”和“看不見”更容易做到。
在實現(xiàn)“看得清與看不見”的之后，“攻不進與防得住”也很重要。安全建設怎么才能讓外部的攻擊進不來，并且怎么防止內(nèi)部突破。當前從整個網(wǎng)絡攻擊態(tài)勢來看，由邊界攻擊入侵和利用系統(tǒng)內(nèi)部弱密碼、遠程桌面等手段入侵的概率在水務層面是比較突出的。由此我們需要做的事情分兩步：一如何讓外部攻擊進不來，就在與辦公網(wǎng)的邊界防護上做文章，工控系統(tǒng)的數(shù)據(jù)要上傳到辦公網(wǎng)上，這個業(yè)務需求不可避免，那我們就在這個邊界上設置單向網(wǎng)閘，只允許工控網(wǎng)的數(shù)據(jù)上傳到辦公網(wǎng)指定的服務器，不允許辦公網(wǎng)的任何數(shù)據(jù)反傳到工控網(wǎng)。二如何防止內(nèi)部突破，管理手段上可采用強口令、遠程桌面禁用等，技術手段上可采用對主機進程的管控，拒絕惡意代碼的運行。三是要做到讓內(nèi)部攻擊不會縱向擴散到PLC控制網(wǎng)，這就需要在工控管理網(wǎng)和PLC控制網(wǎng)之間設置內(nèi)部防火墻，并且在管理網(wǎng)計算機和服務器上安裝主機衛(wèi)士防止惡意進程。四是對針對PLC指令和組態(tài)程序篡改做進一步防護，安裝PLC防護器。四層防護如同四道鐵桶，切實做到“攻不進與防得住”，若考慮到預算不足，可以按“一、二、三、四”的順序來逐步投資。
前面我們說的“看得清與看不見、攻不進與防得住”，都是建立在網(wǎng)絡攻擊前期階段的一些措施，也相當于水務網(wǎng)絡安全的第一道防護屏障，那這里我們可以設想如果第一屏障被突破后，接下我們我們能夠做些什么，那就是我們講的“管得牢與拿不走”，如果黑客真進來了，那我們還是要采取一系列的管控措施（如運維審計賬號授權、違規(guī)外聯(lián)的準入控制、數(shù)據(jù)的拷貝等操作識別），對其攻擊以及數(shù)據(jù)拷貝等惡意行為進行監(jiān)控攔截。比如：水務常見的第三方運維，不法分子可以利用運維通道進入內(nèi)部從而進行各種操作，包括現(xiàn)場運維操作，筆記本的隨意接入網(wǎng)絡、移動存儲設備的隨意接入。這一系列的高危行為，我們可以通過建設運維審計、準入、主機管控等設備進行防護，起到“管得牢與拿不走”的效果。
我們知道針對水務的網(wǎng)絡攻擊真正有影響后果的是在控制層面，尤其是對工控PLC的攻擊，如：篡改PLC程序，嚴重的可能導致物理設備的損毀。這也是我們常說工控網(wǎng)絡攻擊與傳統(tǒng)網(wǎng)絡攻擊的最大差別所在，所以我們在安全建設過程中應當要關注到怎么才能阻止并及時發(fā)現(xiàn)黑客的這種毀滅性破壞操作，這里就涉及到對PLC組態(tài)程序備份管理和恢復，通過對關鍵程序的監(jiān)測能夠在第一時間發(fā)現(xiàn)程序是否被修改，修改的內(nèi)容是什么。并基于快速恢復的技術手段及時的進行恢復操作。避免造成設備的損傷。
在經(jīng)過前面講的一系列技術和管理措施，但最后工控系統(tǒng)還是被破壞了，怎么辦？這就需要有溯源能力，這個無論是在平時的網(wǎng)絡安全防護過程中，還是HW行動中，都是在網(wǎng)絡安全建設中必須要具備的能力，“抓得住，查得準”怎么抓，怎么查?
首先我們從入侵角度來看，黑客攻入進來必然會留下痕跡，但很多時候黑客在入侵之后會做一個操作，那就是痕跡清理，它會刪除各類操作日志，這樣對于我們后續(xù)的溯源工作是帶來比較大的挑戰(zhàn)，反過來我們也沒有辦法及時發(fā)現(xiàn)系統(tǒng)或網(wǎng)絡的脆弱性問題。
前面一開始我們講了幾個核心問題挑戰(zhàn)，其中就有“怎么建，套標準”的問題，在這里我們主要強調(diào)大多水務人員在網(wǎng)絡安全建設時容易產(chǎn)生的一個誤區(qū)，認為等保測評通過的證書拿到后，就可以高枕無憂了，首先我們要知道等保是有一個體系化流程的，需要經(jīng)過常態(tài)化檢查問題-整改問題-復查問題，常規(guī)檢查整改每月要求1次，重大安保前單獨1次，而且檢查單位和整改單位要求是不能為同一家，所以拿到等保測評證書，并不完全意味著網(wǎng)絡安全建設的結束，持續(xù)的安全管理必不可少。
以上說的這些內(nèi)容在寧波水務這邊我們是親身經(jīng)歷過的，包括整個安全建設理念都是基于水務業(yè)務安全角度出發(fā)。
首先寧波水務這次整體安全建設，我們是以建設寧波水務集團為統(tǒng)一安全運營中心，管控下面各水司及各廠的整體安全。這里我們采取了三級架構；集團-公司-廠級，構建起安全協(xié)同處置體系，平時在運維過程中，像集團這邊基本就是安排一個人進行日常監(jiān)測就足夠了，告警可以通過態(tài)勢感知清楚看到，是哪個廠，哪個設備，我們也會賦能到下面各個廠去處理相關安全事件，廠商也會在運行過程中提供周期性的運維，包括應急支持，所以這套安全協(xié)同處置體系，給我們寧波水務集團充分解決了人的問題，管理的問題，網(wǎng)絡安全能力不足的問題。
落實到各個廠的安全建設，其實就是我們前面講的兩大核心目標，采用管理和技術措施的相結合，在各節(jié)點該部署什么設備，采取什么策略，都有明確的要求。
整個項目在后期建設完，我們也寧波市公安的協(xié)調(diào)組織下，對安全建設的內(nèi)容進行過實網(wǎng)攻防測試，不管是從內(nèi)部還是外部，攻擊的手段和路徑都能夠被安全設備發(fā)現(xiàn)出來，真正做到了“看不見”“看得清”“防得住”“攻不進”“管得牢”“拿不走”“可恢復”“毀不掉”“查得準”“抓得住”。
在安全建設的同時我們也考慮到人員能力提升這塊的問題，同時也在本次建設項目當中開展過多次相關安全技術培訓及演練，包括設備的使用、基礎問題的解決，安全意識水平的提高，日常操作行為的規(guī)范，目的就是為了更好的降低因“人”的脆弱性帶來的安全風險。
我們說網(wǎng)絡安全不應該是一成不變的，只有我們做的越完善，考慮的點越多，安全防護等級才能越高，所謂對癥下藥，所以我們建立常態(tài)化實網(wǎng)攻擊測試演練，一方面為發(fā)現(xiàn)問題后續(xù)我們能夠有針對性的去防護，另一方面旨在對寧波水務集團網(wǎng)絡安全應急處置能力的驗證。最后總結一下：工控系統(tǒng)的網(wǎng)絡安全是完全可控的，不一定要投入大量的人力、財力，80%以上的工作是一次性的，謝謝大家聆聽。
\ | /
END
