工控信息安全
一、 遵循標準
l 《信息安全技術 網絡安全等級保護基本要求 第5部分：工業控制系統安全擴展要求》
l 《信息安全技術 網絡安全等級保護測評要求 第5部分：工業控制系統安全擴展要求》
l 《信息安全技術 網絡安全等級保護安全設計技術要求 第5部分：工業控制系統安全擴展要求》
l 《工業控制系統信息安全防護指南》
l 《GB／T26333-2010 工業控制網絡安全風險評估規范》
二、 解決方案
1、針對各層級和區域之間的網絡，采取安全隔離和訪問控制措施，阻止病毒、蠕蟲惡意軟件擴散和入侵攻擊，防止用戶的越權訪問和非授權設備的接入，保護控制系統安全運行。
2、對工控網絡中的操作終端、場站服務器、WEB服務器、實時數據庫、生產調度系統等主機進行加固，保障主機及其運行數據的安全；
3、在場站、油井等使用無線生產網絡場所進行無線安全防護，防止非法用戶和非法設備進入工控生產網絡，保證工控網絡運行安全；
4、提供安全數據交換介質，杜絕移動存儲介質“濫用”的安全隱患，保障工控主機間數據交換安全；
5、提供工控網絡操作行為監測審計，詳實記錄用戶操作行為、維護行為和網絡通信流量，幫助企業建立網絡監測審計機制，避免發生工控安全事故；
6、對油田各層級網絡中的安全設備或系統進行集中管理，實現全局配置、集中監控、統一管理，提高管理人員的工作效率，降低企業的人員投入成本。
三、 典型部署
1、區域邊界防護
在采油廠、作業區、場站油井邊界及作業區區域邊界位置串聯部署工業防火墻，對各層級用戶和外來的訪問進行控制，保障采油廠、作業區等重要生產區域網絡的可用性和安全性。
2、主機安全防護
在采油廠、作業區、場站油井的實時數據庫、關系數據庫、生產調度系統等重要主機系統部署工控主機衛士。采用“白名單”防護機制，保證只有安全的軟件程序才能夠在主機系統中運行，同時對主機操作系統、注冊表等進行防護，杜絕信息非法竊取、數據和系統遭受非法破壞的行為發生。
3、無線網絡防護
在場站、油井無線局域網內部部署無線安全防護系統，掃除潛在的生產信號干擾風險，防止非法用戶的訪問，以及對傳輸數據的篡改和竊聽。
4、數據交換安全
采用安全U盤作為數據交換介質，避免不安全的移動存儲介質進入工控網絡影響生產網絡的正常運行。
5、網絡監測審計
在作業區的辦公網和生產網旁路部署監測審計平臺，阻止誤操作、惡意操作和非授權設備，監控和記錄用戶對數據庫、生產調度系統、采集服務器的違規操作、誤操作行為，為事后調查取證提供依據。
6、集中管理
在作業區的辦公網中部署統一管理平臺，對整個工控網絡中的安全設備和系統進行統一策略配置下發、狀態集中監控、網絡流量分析。實時掌握工業控制網絡運行狀態，便于出現問題及時溯源定位。