广州石化管理经验.docx

《广州石化管理经验.docx》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、研讨内容广州石化杨小锋1．网络安全问题：广州石化控制系统网络安全情况一、网络拓扑结构控制系统因厂家不同而结构有所差异，整体来讲，现在绝大多数控制系统的网络拓扑结构为三层网络体系，底层控制网、操作网和管理网，一般在现场配置底层控制网和操作网，操作网目前基本采用令牌环网、以太网，具体见附表一，而底层控制网各个厂家有所不同。有Profibus、以太网等。二、存在的隐患因DCS基本采用通用的操作系统，在带来开放性的同时，也带来了危险性，系统感染病毒的机会加大，网络安全性降低；另外，操作站使用通用微机，给管理带来难度，加上现

2、在通过U盘等感染的新病毒的出现，给控制系统带来新的威胁。近来，针对工业控制系统的“震网”病毒的出现，给控制系统的安全提出了更高的要求。生产控制网与数据采集网没有实现安全的隔离，仍存在病毒和黑客攻击风险，并且缺乏监控数采网络病毒和黑客攻击行为的技术手段。具体案例：2010年10月14日上午10点30分左右，14万制硫操作工反映西北区控制室三台操作台接连死机，外操站、工程师站等也出现同样故障。检查系统光纤、交换机、网线、网卡等各网络部件，操作站仍重复出现同样故障。下午18：00左右接到收到信息中心电话通知，上午数采网络

3、监控到蠕虫病毒“W32.DOWNADUP.B”的攻击，提醒仪控中心系统是否受病毒影响。拆下操作站OS133、OPC站OS138硬盘回办公室进行杀毒，在两硬盘发现同一病毒，且与信息中心告知的蠕虫病毒名称完全一致，确认网络堵塞由病毒引起。14日晚，信息中心提供了WINDOWS补丁和专杀工具，仪控在办公室用厂网诺顿查杀后刻录光盘，拿到现场查杀病毒，当晚约23：00，各操作站恢复正常。15日上午上班后，仪控立即安排各车间用专杀工具对所有与数采网络联网的DCS、PLC系统进行查杀，至当晚，除气分（一）外所有系统查杀完成。16

4、日上午，气分（一）系统查杀完成。三、采取的措施各级领导加强对控制系统安全的重视，确实落实过程控制系统病毒防治规定，另外采取分区隔离、物理防护、安全系统等方面提高系统的安全性，从管理和技术两方面努力，提高控制系统的安全性。1）完善管理体系，明确分工：广州分公司成立了病毒感染应急领导小组和工作小组，建立应急反应机制和通报机制；机械动力部加强对计算机病毒在预防和治理方面的管理，严格执行《广州分公司过程控制系统病毒防治规定（试行）》；信息管理中心制定数采网准入审批机制，全面清理接入数采网的设备；仪控中心完成制订DCS、PL

5、C防病毒应急预案。2）数采网络完成核心交换机升级，制定了VLAN划分方案，每套装置的OPCSERVER和PHDBUFFER服务器放在一个VLAN中，制定访问控制策略，VLAN之间不能通信。在数采网络实行多层次的安全防御，引入嵌入式Linux计算机做为Buffer服务器，逐步淘汰Windows平台的Buffer服务器。3）逐步将控制网与管理网分开，加强控制系统操作站的管理，目前正在进行控制网的分区隔离，减少相互感染影响。计划上一套控制网的安全防护系统。附表:广州石化各装置控制系统情况装置控制系统网络结构隐患已采取措施

6、病毒实例完善的建议乙烯TDC-3000令牌环网Windows操作系统易中病毒。加强外存储及USB设备管理。无禁止不可靠外储接入及数采的远程桌面控制。化工芳烃中控ECS-100TCP/IPWindows操作系统易中病毒。网路结构决定病毒容易传播。加强外存储及USB设备管理。加强局域网管理。无禁止不可靠外储接入及数采的远程桌面控制。聚乙烯CS-3000TCP/IPWindows操作系统易中病毒。网路结构决定病毒容易传播。加强外存储及USB设备管理。加强局域网管理。有，已清除（含APC）禁止不可靠外储接入及数采的远程桌面

7、控制。聚丙烯一TDC-3000令牌环网无禁止不可靠外储接入及数采的远程桌面控制。苯乙烯TDC-3000令牌环网Windows操作系统易中病毒。加强外存储及USB设备管理。无聚苯乙烯I/A令牌环网无聚丙烯二空分中控JX-300STCP/IPWindows操作系统易中病毒。网路结构决定病毒容易传播。加强外存储及USB设备管理。加强局域网管理。无禁止不可靠外储接入及数采的远程桌面控制。聚丙烯二TPS令牌环网无禁止不可靠外储接入及数采的远程桌面控制。CFBIATCP/IP无禁止不可靠外储接入及数采的远程桌面控制。动力1,2

8、#炉和利时TCP/IP无禁止不可靠外储接入及数采的远程桌面控制。CFB脱硫和利时TCP/IP无禁止不可靠外储接入及数采的远程桌面控制。加氢联合I/ATCP/IPWindows操作系统易中病毒，网络结构决定病毒容易传播加强外存储及USB设备管理，加强局域网管理OPC站,已清除禁止不可靠外储接入及数采的远程桌面控制蒸馏三制氢一/二,S_zorbI/ATCP/IP