鲁西化工信息安全解决方案

背景

鲁西化工是典型的化工企业，其化工产品生产过程具有高温、高压、易燃、易爆、有毒有害、腐蚀、易挥发，工艺生产自动化、连续化、生产装置大型化、 工艺复杂等特点，由于其各个生产环节不安全因素较多，一旦发生安全事故，具 有事故后果严重、危险性和危害性比传统制造行业更大的特点。

DCS 和 PLC 数字化控制已经成为化工生产过程控制的主要手段，鲁西化工自 动化程度较高，大量使用浙江中控、和利时等 DCS、PLC 控制系统，能够极大地提高生产效率，但是过程控制系统整呈开放的趋势，随着“两化”的深度融合， 工控系统面临的安全形势越来越严峻。

现状

整个鲁西集团园区纳入信息化的装置共 23 个，装置名称及其产品、功能如 下：

动力一、动力二装置为全园区各装置提供水、电、气为主的公共资源和能源， 为园区重点装置。

煤化一、煤化二装置为园区各工企业提供主要化工生产原料，包括一氧化碳、 甲醇、液氨等。为园区重点装置。

园区西区装置有氟化工、甲烷氯化物、氯化钙、西区灌装站、氯磺酸、西区 污水处理、有机硅、离子膜。以上装置大部分涉及重大危险物质，包括氯气、液 氨、一氧化碳等园区中区装置有氯化苄、三聚氰胺、苯甲醇等装置，生产氯气及其下游产品， 其中煤一和动力一装置在此区域中。

园区东区装置包括甲酸、丁辛醇、已内酰胺等，均涉及氢气、一氧化碳等危 险气体。其中煤二及动力二装置在此区域中。

另外西区和东区各有一个灌装区域，为外来危险品车辆进行化工产品和原料 的装卸。

企业生产网控制系统数据通过 OPC 接口，由宝信通讯网关进行数据采集转发到实时数 据库 PI1，再通过单向网闸将 PI1 数据导入至实时数据库 PI2，实现 PI1 与 PI2 的同步，并进 行了生产网与外网的隔离。其中远程监测终端通过 3G 无线网络经过 PC 机转发给通讯网关 进入 PI1 数据库。

需求分析

随着企业应用系统的增加以及信息化建设的不断推进，MES 系统的实施，生产网络与管 理网及办公网之间有着大量数据的读取、控制指令的下置、计划排产的下发。生产网与外网的互联互通是一种趋势也是一种必需，但办公网及外网的应用复杂，多样性强。感染病毒及 恶意程序的机率大，生产网的开放，势必对 PI 数据库的数据完整性、保密性、安全性形成 挑战，对 DCS、PLC 控制系统形成严重的安全威胁，如果系统受到攻击或感染病毒后，使得 DCS 或 PLC 控制发生故障，压力、温度、流量、液位、计量等指示失效，检测系统连锁报警 失效，或各类仪表电磁阀制动空气及电源无供给后，一旦重大危险源处于失控状态，后果不堪设想，将危急现场操作人员甚至工厂附近人群的生命安全。

所以对控制系统及生产网络的安全防护是当下要优先考虑和解决的问题。

风险分析

1、操作系统安全漏洞：企业的工程师站/操作站/HMI /Server 基本都是Windows 平台的，Windows  所采用的存储数据库和加密过程导致了一系列安全漏，例如，Windows  把用户信息和加密口令保存于 NTRegistry 中的 SAM 文件中，即安全帐户管理  (Security Accounts Management)  数据库。加密口令分两个步骤完成。首先，采用 RSA  MD4  系统对口令进行加密。第二步则是令人迷惑的缺乏 复杂度的过程，不添加任何“调料”，比如加密口令时考虑时间的因素。结果， Windows 口令比 UNIX 口令更加脆弱，更容易受到一本简单字典的攻击。黑客可以利用这些漏洞来破译一个或多个  Administrator 帐户的口令，进而对主机进行破坏活动。

另外由于工业控制系统的特殊性，为了保证过程控制系统的相对独立性，以 及考虑到系统的稳定运行，现场工程师未对 Windows 平台安装任何补丁，导致的问题是，不安装补丁系统就存在被攻击的可能，从而埋下安全隐患。

2、网络协议安全漏洞：本案中TCP/IP 以太网协议、OPC协议及通用的交换路由设备越广泛地应用在工业控制网络中，给工业安全带来了安全漏洞威胁，具体表现为：

1）TCP/IP协议链路层的安全漏洞

本案以太网中，信道是共享的，任何主机发送的每一个以太网帧都会到达别的与该主机处于同一网段的所有主机的以太网接口，不法人员稍做设置或修改， 就可以使一个以太网接口接收不属于它的数据帧。从而对控制网络关键数据的窃取。

2）TCP/IP协议网络层安全漏洞

网络中控制系统、设备及Server都对ICMP  echo请求进行响应。所以如果一 旦敌意主机同时运行很多个ping命令向一个系统或服务器发送超过其处理能力的ICMP echo请求时，就可以淹没该DCS系统及服务器使其拒绝其他的服务。导致生产失控或停车，另外，ping命令可以在得到允许的网络中建立秘密通道从而可以在被攻击系统中开后门进行方便的攻击，如收集目标上的信息并进行秘密通信 等。

3）OPC  Classic  协议安全问题

现场采集传输均采用OPC协议采集控制层数据，而OPC Classic  协议(OPC DA,OPC HAD  和OPC A&E)基于微软的DCOM 协议，DCOM协议是在网络安全问题被广泛认识之前设计的，极易受到攻击，并且OPC 通讯采用不固定的端口号，导致目前几乎无法使用传统的IT  防火墙来确保其安全性。

4）无线网络的安全问题拓扑可见，远程监测终端通过3G无线网络进入生产网，其间没有任何安全防护手段，不法人员可以通过该条路径进入企业内网控制PC，继而对数据进行非法篡改，和对传输恶意控制指令，势必对控制系统造成严重威胁。

3、DCS 和 PLC 控制系统缺乏对程序行为的审计能力 恶意程序行为是对工控系统产生安全威胁最为主要的原因之一，在工控系统端点主机上程序行为是否正常，需要对其所有的行为数据进行深度感知、聚集和细粒度的处理和审计。 操作管理人员的技术水平和安全意识差别较大，容易发生越权访问、违规操作，给生产系统埋下极大的安全隐患。实事上，DCS 和 PLC 系统相对封闭的环境，也使得来自系统内部人员在应用系统层面的误操作、违规操作或故意的破坏性操 作成为工业控制系统所面临的主要安全风险。例如：缺乏基于分组的 HIS 安全策略。在用户安全策略的定义界面下，首先要考虑进行分组的设置，分组后再设置 不同级别的用户从属于各自的用户组，从而依据各自装置的控制站作为操作和监 视的范围。

因此，对生产网络的访问行为真实性、完整性进行监控、管理与审计是非常必要的。

4、缺乏工控系统的安全威胁预警能力鲁西化工的主要产品在生产过程中全部由 DCS 和 PLC 控制，系统的重要性和实时要求及时掌握系统的信息安全情况，目前缺乏对整个系统的安全威胁预警能力，缺乏应急处置安全事件的数据支撑。

5、面对高级持续性威胁(APT)攻击，缺乏有效的应对措施 高级持续性威胁(APT)正在通过一切方式，绕过基于代码的传统安全方案(如防病毒软件、防火墙、IPS 等)，并更长时间地潜伏在系统中，让传统防御体系难以侦测。同时，还会采用智能手机、平板电脑和 USB 等移动设备为目标和攻击对象继而入侵企业信息系统的方式。前述以超级工厂病毒(W32.Stuxnet)为代表的针对工业控制系统的攻击事件变呈现了这些攻击技术特征。

但是针对这种 APT 攻击，现有的安全防护手段均显得有些无力。这也许需要 整合各种安全技术，通过形成完善的安全防御体系（防御手段的组织化、体系化） 才可能有效，然而 DCS 和 PLC 系统对安全技术及管理的严重不足的现实，使其在 面临持续攻击时将会遭到不可估量的安全损失。

方案设计

根据鲁西化工的控制系统及信息化生产运行管理流程，结合  GB/17859、 GB/T25070 基本要求，按照等保三级相关相求，构建在安全管理中心支持下的计算环境、区域边界、通信网络三重防御体系，通过强化分区、隔离防护、协议管 控、入侵防御及安全审计等技术手段构建纵深安全防御体系，确保生产现场 DCS、 PLC 等控制设备的本质安全。具体如下：

● 遵循国家、地方、行业相关法规和标准；

● 贯彻等级保护和分域保护的原则；

● 管理与技术并重，互为支撑，互为补充，相互协同，形成有效的综合防 范体系；

● 充分依托已有的信息安全基础设施，加快、加强信息安全保障体系建设。

● 第三级安全的信息系统具备对信息和系统进行基于安全策略强制的安全保护能力。

● 在技术策略方面，第三级要求按照确定的安全策略，实施强制性的安全保护，使数据信息免遭非授权的泄露和破坏，保证较高安全的系统服务。 这些安全技术主要包括物理层、网络层、系统层、应用层、数据层的以下内容：

○ 对计算机、网络的设备、环境和介质采用较严格的防护措施，确保其为信息系统的安全运行提供硬件支持，防止由于硬件原因造成信 息的泄露和破坏；

○ 通过对局域计算环境内各组成部分采用网络安全监控、安全审计、 数据、设备及系统的备份与恢复、集中统一的病毒监控体系、两种级要求的操作系统和数据库、较高强度密码支持的存储和传输数据 的加密保护、客体重用等安全机制，实现对局域计算环境内的信息 安全保护和系统安全运行的支持；

○ 采用分区域保护和边界防护（如应用级防火墙、网络隔离部件、信 息过滤和边界完整性检查等），在不同区域边界统一制定边界访问控 制策略，实现不同安全等级区域之间安全互操作的较严格控制；

○ 按照系统化的要求和层次化结构的方法设计和实现安全子系统，增 强各层面的安全防护能力，通过安全管理中心，在统一安全策略下 对系统安全事件集中审计、集中监控和数据分析，并做出响应和处 理，从而构建较为全面的动态安全体系。

● 在管理策略方面，第三级要求实施体系的安全管理。应建立完整的信息系统安全管理体系，对安全管理过程进行规范化的定义。根据实际安全需求，成立安全管理机构，配备专职的安全管理人员，落实各级领导及相关人员的责任。

1、具体安全策略

按照层层防护的思想，信息系统由具有相同或不同等级的子系统构成，各子系统均需要实现安全域内部安全、安全域边界安全及安全域互联安全。 边界保护的目的是对边界内的局域计算环境和独立用户/用户群的计算机环境进行保护，防止非法的用户连接和数据传输。 安全域内部安全是指局域计算环境自身安全和网络连接设备自身安全。 安全域互联安全是指在不同等级的系统之间互联时，应采取的保护原则和保护策略。

2、安全域内部策略

为满足威胁需求的基本防护要求应实现以下安全域内部的安全目标：

网络层策略

b1、通过合理的结构设计和网段划分手段实现合理分配、控制网络、操 作系统和应用系统资源及路由选择和控制；

b2、通过网络访问控制手段实现网络、系统和应用的访问的严格控制及数据、文件或其他资源的访问的严格控制；

b3、通过网络安全审计手段实现记录用户操作行为和分析记录；以及对资源访问的行为进行记录、集中分析并响应；

b4、通过边界完整性检查手段实现检测非法接入设备及检测网络边界完 整性；并能切断非法连接；

b5、通过网络入侵防范手段实现检测、集中分析、响应、阻止对网络和所有主机的各种攻击；

b6、通过恶意代码防范手段实现发现并修补已知漏洞；对恶意代码的检测、集中分析、阻止和清除及防止恶意代码在网络中的扩散；对恶意代 码库和搜索引擎及时更新并防止未授权下载、拷贝软件或者文件；

B7、通过网络设备防护手段实现对网络、系统和应用的严格访问控制及对用户进行唯一标识；同时对同一个用户产生多重鉴别信息，其中一个 是不可伪造的鉴别信息并进行多重鉴别；另外对硬件设备进行唯一标识 和合法身份确定；并在持续非活动状态一段时间后自动切断连接。

系统层策略

c1、通过身份鉴别手段实现对网络、系统和应用的访问进行严格的限制； 并对用户进行唯一标识及同一用户产生多重鉴别信息，其中一个不可伪 造的鉴别信息并进行多重鉴别；对硬件设备进行唯一标识及合法身份确 定并实现在持续非活动状态一段时间后自动切断连连接；

c2、通过自主访问控制手段实现对网络、系统和应用的访问进行严格控制并对数据、文件或其他资源的访问进行严格控制；

c3、通过强制访问控制手段实现对网络、系统和应用的访问进行严格控制并对数据、文件或其他资源的访问进行严格控制及对敏感信息及其流 向进行标识；

c4、通过安全审计手段实现记录用户操作行为和分析记录结果并对安全机制失效进行自动监测和报警及对资源访问的行为进行记录、集中分析 并响应；

c5、通过系统保护手段实现系统软件、应用软件的容错及自动保护当前工作状态；

c6、通过剩余信息保护手段实现对存储介质中的残余信息的删除；应、阻止对网络和所有主机的各种攻击并重要数据和程序进行完整性检测和纠错；

c8、通过恶意代码防范手段实现对已知漏洞的检测和修补并防止恶意代码在网络中的扩散及对恶意代码库和搜索引擎及时更新；防止未授权下 在、拷贝软件或者文件；

c9、通过系统资源控制手段实现合理使用和控制系统资源及按优先级自动分配系统资源并能在持续非活动状态一段时间后自动切断连接；

应用层策略

d1、通过采取身份鉴别措施，来实现有对网络、系统和应用的访问进行严格控制，对用户进行唯一标识，对同一个用户产生多重鉴别信息进行 多重鉴别，对持续性非活动状态一段时间后自动切断连接的目标；

d2、通过采取相应的访问控制措施，来实现对网络、系统和应用的访问进行严格控制，对数据、文件或其他资源的访问进行严格控制，对敏感 信息进行标识的目标；

d3、通过安全审计措施，来实现记录用户操作行为和分析记录结果，对资源访问的行为进行记录、集中分析并响应的目标；

d4、通过对剩余信息采取相应的保护措施，来实现对存储介质中的残余信息进行删除的目标；

d5、通过采取相应的措施来确保通信的完整性，来实现对传输和存储数据进行完整性检测和纠错，对通信数据进行完整性检测和纠错，重要数 据和程序进行完整性检测和纠错的目标；

d6、通过采取相应的措施来确保通信的保密性，来实现对传输和存储中的信息进行保密性保护，防止加密数据被破解的目标；

d7、通过采取相应的抗抵赖性措施，来实现信息源发的鉴别，基于密码技术的抗抵赖的目标；

d8、通过采取相应的软件容错措施，来实现系统软件、应用软件容错， 软件故障分析，自动保护当前工作状态的，对用户的误操作行为进行检 测、报警和恢复的目标；

d9、通过采取相应的资源控制措施，来实现合理使用和控制系统资源，按优先级自动分配系统资源，限制网络、操作系统和应用系统资源使用， 合理分配、控制网络、操作系统和应用系统资源，持续非活动状态一段时间后自动切断连接的目标；

d10、通过相应的措施来控制软件代码的安全，来实现对软件缺陷进行检查的目标。

数据层策略

e1、通过采取相应数据完整性措施,  来实现对传输和存储数据进行完整性检测和纠错，重要数据和程序进行完整性检测和纠错的目标；

e2、通过采取数据保密性措施,  来实现保证鉴别数据传输和存储保密性， 对传输和存储中的信息进行保密性保护，防止加密数据被破解的目标；

e3、通过采取数据备份和恢复措施,  来实现对抗中等强度地震、台风等自然灾难造成破坏，防止雷击事件导致大面积设备被破坏，及时恢复正 常通信，对用户的误操作行为进行检测、报警和恢复，使重要通信线路及时恢复，及时恢复重要数据，保证重要业务系统及时恢复运行的目标。

3、安全域边界策略 为满足威胁需求的基本防护要求应实现以下安全域边界的安全目标：

● 通过网络访问控制手段实现网络、系统和应用的访问的严格控制；

● 数据、文件或其他资源的访问的严格控制；

● 通过边界完整性检查手段实现检测非法接入设备；

● 检测网络边界完整性；

● 切断非法连接。

4、安全域互联策略 不同安全等级的安全域之间可以根据业务需要进行互联。互联问题的本质就是互联系统间的边界安全问题。不同安全等级互联，要根据系统业务和安全需求， 制定相应的多级安全策略，主要包括访问控制策略和数据交换策略等，采取相应 的边界保护、访问控制等安全措施，防止高等级系统的安全受低等级系统的影响。

不同安全等级的安全域互联主要有以下几种情况：

● 位于同一业务单位域内共享网络平台的系统互联；

● 位于同一业务单位域内不同安全等级网络平台的系统互联；

● 位于不同业务单位域内的系统互联。

方案内容

参照 ANSI/ISA-99  、GB/17859、GB/T25070 等相关要求，将企业系统结构划分成不同的区域可以帮助企业有效地建立“纵深防御”策略。区域与区域之间利用安全产品进行策略控制，确保每个区域的相互独立性，实现风险的最小化和 可控。从以下方面进行设计，如图 2 所示：

办公网与管理网区域

由于办公网直接与互联网相连，且应用复杂，人员众多。存在被感染病毒或被恶意控制的高风险，所以在办公网与管理网之间部署一台网络病毒网关，入侵防御（IPS）系统。可以处理 HTTP、SMTP、POP3、FTP 和 IMAP 等多种协议，全面保护邮件、WEB 访问以及文件传输过程中的安全。从而有效抵御来自办公网及互联网的网络病毒和风险，确保内网的安全。管理网络的安全防护在管理核心区域需要实现全网数据流量审计和入侵检测，计划部署网络安全

审计和入侵防御（IPS）系统，实现整个区域数据流的审计和检测。计划在核心交换之间部署 1 台网络安全审计和 1 台入侵防御系统。 通过网络安全审计实现对业务环境下的网络操作行为进行细粒度审计的合规性管理系统。它通过对业务人员访问系统的行为进行解析、分析、记录、汇报， 用来帮助用户事前规划预防，事中实时监视、违规行为响应，事后合规报告、事 故追踪溯源，同时加强内外部网络行为监管、促进核心资产（数据库、服务器、 网络设备等）的正常运营通过部署入侵防御系统实现对于病毒、木马、蠕虫、僵尸网络、缓冲区溢出 攻击、DDoS、扫描探测、欺骗劫持、SQL 注入、XSS、网站挂马、异常流量等恶 性攻击行为有非常准确高效的检测防御效果，并通过简单易懂的去技术化语言帮 助用户分析威胁，对威胁进行有效处理。

DCS 控制器安全防护

浙大中控、和利时 DCS 控制系统其操作站 HIS 和控制站 FCS  通过冗余的基于以太网通讯的控制总线连接，HIS 实现监控，操作功能，FCS 则完成具体的控 制运算，输入/输出及数据处理功能。由于以太网的开放性，在带来通讯便捷的 同时也增加了安全风险。

所以必须要在控制器入口端部署控制器防护设备，能够识别针对控制器的操控服务指令（包括组态服务、数据上传服务、数据下载服务、读服务、写服务、 控制程序下载服务、操控指令服务等），并能够根据安全策略要求对非法的服务 请求进行报警和自动阻断。如图 2 所示，使用工业防火墙对控制器进行安全防护， 一方面通过对源、目的地址的控制，仅允许工程师站和操作员站可访问控制器， 且对关键控制点的读写权限加以严格限制，保障了资源的可信与可控，另一方面， 通过对端口服务的控制，杜绝了一切有意或无意的攻击，最后使用“白名单”机 制，仅允许 ScnetII 等专有协议通过，阻断一切 TCP 及其它访问，从而确保控制 器的安全。

无线远程监测接入安全防护

如上图所示，远程监测终端通过 3G 无线网络联入企业内网，内网 PC 通过NAT 映射到互联网。由于 3G 设备 IP 地址的不确定因素，本 PC 开放 UDP 所有访 问权限，导致外网不法人员通过扫描或嗅探技术捕获 PC 信息，从而入侵到该 PC 或内网，虽然 PC 与通讯网关采用串口通讯，但仍可通过对 PC 机的入侵破坏数据 的完整性，并且通过了解其串口通信方式，下置恶意指令和传输病毒。对 PI 数 据库及控制系统造成致命破坏。

所以如图 2 所示，在无线接入 PC 机与控制网络之间部署一台工业防火墙， 仅允许指定的设备、特定的工业数据进入内网上传到 PI1 服务，阻断一切无关的 访问、控制指令。

工业控制系统漏洞扫描系统

我们企业控制网络布署工业扫描系统，针对对符合 IEC61131-3 标准的控制 系统上位机（SCADA/HMI）软件、PLC、器嵌入式软件以及各种主流现场总线离线 扫描。

与入侵检测/防御系统等别动防御手段相比，漏洞扫描是一种主动的防范措施；可以有效避免黑客攻击行为，放患于未然。通过对工业网络的扫描，可以了 解工业网络安全配置的和运行的应用服务，及时发现安全漏洞，客观评估网络风 险等级，进而及时修复漏洞。

PKI/CA 系统 由于鲁西工艺流程、生产配方、生产装置以及特种产品数据的敏感性，所以布署一套 PKI/CA 系统，一方面通过数字证书来进行相应权限分配，实现对 DCS、PLC 控制系统的分权管理及多因子验证，另一方面通过 PKI/CA 系统对网络上传 的数据信息进行加密和解密、数字签名和签名验证，从而保证：信息除发送方和接收方外不被其它人窃取；信息在传输过程中不被篡改；发送方能够通过数字证 书来确认接收方的身份；发送方对于自己的信息不能抵赖。在保障了数据的完整性与保密性的同时，也增加了防抵赖。

终端防病毒

由于终端应用复杂，感染病毒的可能性较大，所以在终端 PC、工程师站、 操作员站上都进行查杀毒软件的安装，前提必须是经过验证后的杀毒软件，要确保其对工控软件的兼容性。

同时，也要及时地对杀毒软件进行病毒库的升级，但不能影响工控系统的安全性。我们采取在企业管理网络及控制网络同时布署一台病毒服务器，企业管理网络服务器实时升级，经过验证之后定时通过人工拷盘或单向导入到控制网络病毒服务器，以确保控制网络病毒库的更新。

网络准入

由于以太网的高效性与经济性，企业每个站点的 DCS、PLC 控制设备都采用以太网接口组成工业控制网络，随着当前智能设备和移动 PC 的广泛应用，随时 有可能非法接入企业的控制网络，把恶意程序及病毒带入到控制网络从而对关键控制系统造成致命威胁，所以针对以上威胁，在企业控制及管理网络布署网络准入系统：

● 防止非法的外来电脑、移动 PC 及智能终端接入控制网络，影响控制系统的安全；

● 防止内部用户私自接 HUB、无线 AP 等不安全行为；

● 支持思科的 EOU、H3C 的 PORTAL/PORTAL+、策略路由、L2-OOB-VG 虚拟 网关、DHCP 强制、SNMP 强制以及透明网桥等多种入网强制认证技术；

通过网络准入系统，以实现控制网资源的保护和访问控制，禁止非法计算机接入内网。即只有经过认证的主机才可以访问控制网络资源，而当可疑主机出现时，能够系统记录其 IP 地址、MAC 地址、计算机名等基本信息，并自动通过某种方式阻止此计算机访问局域网，切断其网络连接。如下图所示：

准入控制流程

可信计算

鲁西化工关键设施的控制系统都是基于 windows 平台研发的，所有工程师站及操作员站均使用 Windows  XP 系统，2014 年 4 月 8 日随着微软宣布彻底取消对 Windows  XP 的所有技术支持，终端安全直接影响了鲁西化工基础实施的安全， 我们在网络层面防护的同时，积极应用国内先进的可信计算技术对用户的身份认 证、应用程序的完整性和合法性认证，从而确保工程师站、操作员站计算运行环 境的安全。如图所示：

安全管理平台（SOC）

在企业管理网部署安全管理中心，如图 2 所示，对生产控制网络搜集所有安全信息，并通过对收集到各种安全事件进行深层的分析，统计和关联，及时反映被管理资产的安全基线，定位安全风险，对各类安全时间及时提供处理方法和建 议的安全解决方案。

功能如下：

● 面向业务的统一安全管理

系统内置业务建模工具，用户可以构建业务拓扑，反映业务支撑系统的资产构成，并自动构建业务健康指标体系，从业务的性能与可用性、业务的脆弱性和业务的威胁三个维度计算业务的健康度，协助用户从业务的角度去分析业务可用性、业务安全事件和业务告警。

● 全面的日志采集

可以通过多种方式来收集设备和业务系统的日志，例如 Syslog、SNMP Trap、FTP、OPSEC  LEA、NETBIOS、ODBC、WMI、Shell 脚本、Web  Service 等等。

● 智能化安全事件关联分析

借助先进的智能事件关联分析引擎，系统能够实时不间断地对所有范式化后的日志流进行安全事件关联分析。系统为分析师提供了三种事件关联分析技术， 分别是：基于规则的关联分析、基于情境的关联分析和基于行为的关联分析，并 提供了丰富的可视化安全事件分析视图，充分提升分析效率。

● 全面的脆弱性管理

系统实现与天镜漏扫系统的实时高效联动，内置配置核查功能，从技术和管理两个维度进行全面的资产和业务脆弱性管控。

● 主动化的预警管理

用户可以通过预警管理功能发布内部及外部的早期预警信息，并与网络中的IP资产进行关联，分析出可能受影响的资产，提前让用户了解业务系统可能遭受的攻击和潜在的安全隐患。系统支持内部预警和外部预警；预警类型包括安全 通告、攻击预警、漏洞预警和病毒预警等；预警信息包括预备预警、正式预警和 归档预警三个状态。

总结

DCS/PLC 控制系统是化工生产过程最为关键的基础设施，这些关键基础设施中任何控制系统、工控网络和数据库服务器受到干扰或破坏后将对国民的健康、 安全、经济乃至对国家政府的正常运作造成严重影响。事实上，目前化工行业很多 DCS/PLC 系统都非常脆弱,非常容易受到恶意攻击。试想，如果 DCS 或 PLC 系统受到攻击或感染病毒后发生故障，压力、温度、流量、液位、计量等指示失效， 检测系统连锁报警失效，或各类仪表电磁阀制动空气及电源无供给后，一旦重大危险源处于失控状态，有毒气体发生泄露，后果不堪设想。它的影响可能是时间上的浪费，资源上的消耗，或者是对生态环境造成的极大污染，甚至是牺牲生命 的惨痛代价。

综上所述，通过鲁西化工生产控制系统及网络安全防护工程的建设，有助于为我国推进关键基础设施信息安全防护标准、规范、策略的形成与实施，促进工业控制系统信息安全可控产品、技术的成熟，具有重大的经济及著的社会效益。