案例丨六方云助力智慧水利建设，让“治水”变“智水”

近年来，水利行业正按照国家关于网络强国、数字中国的总体部署和“十六字”治水方针，坚持网络安全与数字化转型是一体双翼，让网络安全始终渗透在整个体系之中，建立与智慧水利发展相协调的全面、系统、主动、智能的智慧水利网络安全体系是大势所趋和必然要求。

01.

背景介绍

某大型泵站为保障城市防洪安全，提升城市防洪减灾能力，新建泵站，泵站按照当地防洪标准为100年一遇。

该泵站为遵循国家网络安全相关政策标准要求，遵循水利网络安全总体策略和设计，落实网络安全法、安全等级保护和关键信息基础设施保护相关要求，建立和完善以包含纵深防御为基础、监测预警为核心、应急响应为抓手的网络安全防护体系。

泵站自动化系统由计算机自动控制系统、视频监控系统、信息管理系统及视频会议系统四个子系统组成，自控系统包含主机组、辅机、配电设备、介质监测与控制，是保证泵站正常运行的关键。工控系统设计初衷是保证其功能稳定、可靠，但是安全层面上任何网络节点均存在被非法访问者入侵的风险，一旦遭受入侵，甚至可造成自控系统的中断。

02.

项目需求

通过纵深防御建立合规网络防护基础，提升网络安全风险威胁的迅速发现和处置能力。

1、强化工业主机安全防护

从事件预防的角度开展对工业主机的安全加固工作，发现存在的安全风险和防护短板，通过安全加固提升内外防护能力。

2、提升控制网络边界安全

在新建泵站与老泵站自控中心以及新泵站自控中心与信息中心之间进行有效隔离防护，避免存在被恶意攻击及入侵的可能。尤其是针对PLC控制系统软硬件漏洞的难以防范的攻击行为。

3、加强控制网络安全监测与审计

加强对工控网络进行入侵检测和网络检测，便于能够及时发现工业网络中的异常行为及入侵行为。工业控制系统的通信协议为了保障通信实时性和可靠性而放弃认证、授权和加密安全特性和功能，安全风险大。

4、提升运维安全

工控系统调试运维作业离不开安全运维平台，需要有效避免在调试运维过程将病毒、木马带入工控系统。

5、进行统一的安全管理

工控系统网离不开统一安全管理平台。可有效避免项目后期持续运维中增加运维成本以及工控系统日志需要聚合、统一存储，以便溯源。

6、加强漏洞管理能力

工控系统网需要专用的系统漏洞扫描技术，一旦不法分子利用漏洞攻击工控系统，会破坏生产连续性。

03.

解决方案

该泵站工控系统网络安全建设，以适度安全为核心，以重点保护、风险管理、标准化、统一安全管理为原则，以AI技术赋能、OT/IT融合安全技术产品为依托。

构建专用控制网络：工业控制网络在物理层面上实现控制网与办公信息网的安全隔离。

构建纵深防御体系：该泵站工控系统分别从主机安全、网络边界安全、安全监测与审计3个维度以及统一管理中心进行安全防护，依托安全产品AI机器学习建模，不断自我优化的能力，实现工控系统业务应用的可用性、完整性和保密性保护的主动防御安全体系，不依赖特征库的纵深安全防御体系。

构建集中管控中心：对部署的安全防护技术手段在系统范围内进行集中管控，将孤立的安全能力整合成协同工作的安全防护体系。

▲网络拓扑图

1、主机安全防护

在通信操作站、操作员站、工程师站和数据服务器主机安装终端防护白名单软件工业卫士，使主机免受病毒等各种非法攻击，可以有效管控主机的USB等外部端口。针对Windows主机，它提供完全适用于工控行业的安全防护，保障关键业务的运行，建立稳定的运行环境，同时有效遏制至今已经爆发的工控病毒（如“震网”、Havex、“勒索”等）及其变种的运行。