燃气行业SCADA系统安全防护研究

郭 东，许 明，张 丽

（北京航天拓扑高科技有限责任公司，北京 100176)

对于燃气行业而言，受到设备仪器仪表数量众多因素的影响，再加上用户数量及类型众多，所以燃气行业面临众多的风险问题。针对燃气行业面临的风险问题，搭建燃气行业SCADA系统十分重要，通过搭建SCADA系统，可以时刻了解燃气管道以及设备的运行情况，对仪器仪表的数据进行全面的采集，对相关数据资料进行集中化的分析，有助于工作人员及时了解燃气系统的运行状况，这是避免出现燃气管道风险以及提高燃气输送效率的关键所在[1]。因此，在本次研究中，在结合SCADA系统基本特点以及燃气行业基本需求的前提下，提出了燃气行业SCADA系统的构建方式。

1 燃气行业安全风险及需求分析

SCADA系统在进行构建的过程中，需要以计算机网络作为最基本的核心，同时，SCADA系统主要可以分为三个控制级别，在一级控制中，其核心为调度中心，主要功能是对数据资料进行全面的收集和分析，在二级控制中，其核心为通信网络，燃气系统中的相关数据主要是通过有线网络或者无线网络传输到调度中心，在三级控制中，其核心主要是各种门站以及调压站，主要承担着数据资料的采集以及设备的控制工作。根据燃气行业的基本特点，并结合SCADA系统的特点，可以将燃气行业的风险以及需求分为四个方面，分别是通信网络需求、区域边界需求、计算环境需求以及管理需求[2]。

在通信网络方面，首先需要保证通信网络的完整性以及保密性，在数据传输的过程中，可以对所有的数据资料进行传输，同时还必须具备信息鉴别的功能，在传输的过程中需要防止数据资料被破坏，在另一方面，还需要对数据资料进行有效的加密，防止数据资料在传输的过程中被窃取。目前，在通信网络方面主要存在安全监管问题，如果无法对网络进行有效的监管，则可能会出现非法入侵风险，针对此问题，工作人员需要对通信网络进行全面的录制分析，进而使得搭建的通信网络可以自动化和智能化的运行。在区域边界方面，目前主要存在缺乏边界防护技术，网络空间存在被攻击的风险，因此，需要在燃气行业的SCADA系统中引入纵深防御的基本概念，对各个可能被入侵的网络层次采取不同的防护方案。在计算环境安全方面，由于燃气行业存在的数据量相对较多，对数据资料进行处理的难度相对较大，因此需要在SCADA系统中配备核心服务器，应对核心服务器采取有效的防护技术，避免出现核心服务器违规操作风险问题，在另一方面，由于SCADA系统的安全风险时刻面临威胁，存在较多的漏洞问题，因此，需要对其进行全面的扫描，对出现的漏洞进行有效的解决[3]。在管理方面，为了提高燃气系统的管理效率，需要进行燃气系统统一监管，此时需要建立一个监管平台，在这个平台中可以实现各种类型数据资料的传输以及分析功能，可以实现对各种设备仪器和管道的统一控制，由于燃气行业的部分员工缺乏安全意识，需要对这部分员工进行全面的培训，因此在燃气行业的SCADA系统中也需要引入员工培训的基本功能，针对各种风险问题可以做到事前预防和快速响应，进而使得员工的基本素质得到全面的提升。

2 燃气行业SCADA系统安全防护设计

对于燃气行业的SCADA系统而言，在构建的过程中需要将工业控制领域的基本要求、安全设计方面的基本要求以及燃气行业的控制要求融合在一起，进而形成一个基于平台的三重保障体系，进而为燃气行业提供最基础的保护功能，保障燃气行业的设备和管道处于一种可持续运行的状态。所谓的基于一个平台的三重保障体系主要指的是将物理安全作为基础，并需要以集中化管理作为核心，进而建立起一种具有通讯安全、区域边界安全、数据计算安全以及管理方便的集中化管理平台，使得整个燃气系统可以在集中管理平台中顺利地运行，使得整个燃气系统都不会进入到非预期的状态，进而防止出现非法入侵问题，这是确保整个系统安全的基本所在。根据燃气行业的基本需求，可以将SCADA系统划分为三个组成部分，分别是计算环境、区域边界以及通讯系统，在计算环境中包括了各种类型的控制设备以及仪器仪表，在通信网络中包括了工业总线。在建立起三重保护体系以后，如果所有的使用者都已经被认证，那所有使用者的行为都将符合相关要求，此时在使用网络的过程中就不会出现互相攻击的功能，这样就可以确保整个系统的信息安全。

在集中式管理平台中，可以实现对工控系统的集中式管理以及维护，可以提供安全管理和安全维护的基本功能，还可以发挥设备监控、燃气调度以及数据采集的相关功能。在计算环境中，主要是对各种类型的数据资料进行处理以及储存，数据的处理以及储存主要是依靠计算机系统的软硬件设备所完成，同时，计算环境主要是依靠终端设备以及数据库进行安全服务，保障所有的功能都处于安全的状态。通过建立安全无隐蔽通道的计算环境，可以使得燃气行业的SCADA系统处于严密的保护状态，通过对用户的行为进行严格的控制，可以有效地防止出现外来者的入侵行为。在区域边界中，其主要是实现计算环境与通信网络之间的连接功能，通过建立科学合理的区域边界，可以对进入或流出SCADA系统的信息进行全面的检查和控制，以确保数据资料不会流出安全边界，这是确保系统安全的重要屏障。在通信网络中，其主要可以发挥数据资料的传输以及保护功能，通信网络可以对通讯双方的身份进行全面的验证，对数据资料进行严格的密码保护，以确保数据资料在传输的过程中不会被窃取。

在对通信网络进行构建的过程中，可以使用基于国产密码算法的方式，引入加密装置对通信网络进行严格的控制，对重要的数据资料进行加密，进而确保数据资料在传输过程中的完整性以及机密性，加密装置可以基于TCP/IP网络，同时需要对工控协议进行合理的优化设计，引入透明网桥的基本模式，该种类型的系统模式在使用的过程中不会对原来的网络和设备产生影响，在加密装置使用的过程中，所有的算法以及设备都需要经过相关部门的审批，以保证其安全可靠。在对区域边界进行构建的过程中，必须采取相对较为可靠的防护措施，防止网络空间对燃气系统产生攻击行为，同时需要引入物理隔离的基本措施，在确保系统效率的前提下，可以使得办公区域的网络和调度中心的网络处于切断的状态，以防止出现内部信息泄漏问题，彻底阻断非工作人员进入SCADA系统内的可能性。在计算环境构建的过程中，对关键性的服务器和终端设备都需要采取一定的保护措施，同时需要建立漏洞扫描系统，以我国权威的漏洞数据库和自身的漏洞数据库为支撑，对SCADA系统以及相关设备进行全面的漏洞扫描，深度挖掘漏洞，并产生警告信息。

3 结论

通过本次研究可以发现，对于燃气行业而言，由于设备数量相对较多、用户数量以及用户类型也相对较多，因此建立燃气行业SCADA系统的难度较大。在建立燃气行业SCADA系统并进行安全防护的过程中，工作人员需要根据燃气行业的基本需求，从通信网络安全、区域边界安全、计算环境安全以及管理方面安全四个角度出发，采取完善的安全防护措施，全面保障SCADA系统的运行安全。