海上石油氣開采相對于陸地開采其技術難度相對較大，由于環境的限制，不同于陸地的單井、計量間、聯合站、處理廠等，其主要通過海上石油平臺進行開采作業，這些平臺往往兼具了鉆井、采油、處理、存儲、輸送、辦公、生活等功能，因此也被稱為移動城堡。其主要包括井口平臺、中心平臺、FPSO等，通過海底管道、光纜與陸地生產中心相連，網絡通訊主要以光纖、微波為主。

1 海上平臺系統組成

海上石油平臺主要由工藝控制系統（PROCESS CONTROL SYSTEM，簡稱PCS）、緊急關斷系統（EMERGENCY SHUTDOWN SYSTEM，簡稱ESD）和火氣探測及消防系統（FIRE&GAS SYSTEM，簡稱F&G）組成。工藝控制系統一般設有多個遠程I/O柜， ESD和F&G為兩套相對獨立的系統，可達到SIL3的級別。

PCS及ESD和F&G通過各自網絡獨立的光電轉換器和海底光纖芯線傳輸至CEP中控系統相應的PCS及ESD和F&G系統。陸上終端中控室內設有一套獨立于陸地終端控制系統的海上生產監控系統PCS，用于臺風狀態、海上操作人員撤離平臺的情況下、對平臺實施監測和遙控關斷。設有冗余的I/O卡件，通過衛星與海上通訊，通過陸上光纖與地區中心控制站通訊。

工藝控制系統多采用EMERSON公司的Delta V系統，霍尼韋爾系統，ABB系統、西門子系統等。ESD系統以康吉森、ABB、HIMA等為主。

2 關鍵業務挑戰

隨著信息化與工業化深度融合，數字海油、互聯海油、智慧海油的不斷建設，海上油田工控系統引入了信息、網絡、物聯網等技術，打破了孤立的狀態，和工控網絡內外的系統進行信息交互日益頻繁，而工控系統由于防護手段的缺失，必然面臨極大的風險。

3 網絡安全防護建議

1) 基本原則：

工業控制系統安全建設要以事實為依據，依據實地評估結果開展針對性建設。

2) 技術策略：

以 “安全分區、縱深防護、統一監控”的原則進行建設。

“安全分區”：根據生產過程，將生產相關配套工業控制系統進行縱向分區、橫向分域，規范網絡架構，杜絕私搭亂建行為。

“縱深防護”：結合安全區、安全域劃分結果，在制定區、域邊界防護措施的同時，也要在安全區、安全域內部關鍵網絡節點、關鍵設備部署異常行為、惡意代碼的檢測和防護措施，真正做到縱向到底、橫向到邊的全域防護。

“統一監控”：針對各安全區、安全域的防護措施、檢測及審計措施建立統一的、分級的監控系統，統一監控控制系統的的安全狀況。將安全風險進行集中的展示，以風險等級的方式給出不同工業控制系統的安全風險級別，全面了解并掌握系統安全動態。識全局、統籌管理、真正做到工控安全全域感知。

3) 核心技術：

海上平臺工業控制系統網絡安全防護，要結合工控系統運行環境相對穩定、固化，系統更新頻率較低的特點。采用基于“白名單”機制的工業控制系統安全“白環境”解決方案，通過對工控網絡邊界、關鍵網絡節點流量、操作終端行為等進行全方位監控和防護，收集并分析工控網絡、數據及軟件運行狀態，建立工控系統正常工作環境下的安全狀態基線和模型，依據等級保護 “一個中心、三重防護”指導方針，融合白名單技術解決方案，確保：

◇ 只有可信任的設備，才能接入工控網絡

◇ 只有可信任的消息，才能在工控網絡上傳輸

◇ 只有可信任的軟件，才能允許被執行

◇ 只有一個中心平臺，才能進行管控

“白環境”解決方案能夠保障工業控制系統安全穩定運行，安全建設內容符合相關標準的要求，可以順利通過等級保保護測評機構測評和相關部門的信息安全檢查。

3.1、安全通訊網絡解決方案

1) 網絡架構

在網絡架構設計上建議做如下設計：

① 為了保障網絡通訊能力，帶寬應滿足業務高峰期需要并留有一定余量；

② 海上平臺在允許條件下盡量采用光纖和無線通訊（如微波）兩種冗余形式，為了保障應急通訊，建議增加北斗應急通訊系統；

③ 工業控制系統與陸地終端（井口平臺等）或其他系統之間應劃分為兩個區域，區域間應采用單向的技術隔離手段；

④ 海上工業控制系統內部應根據業務特點劃分為不同的安全域，安全域之間采用技術隔離手段；

2) 通信傳輸

由于在海上平臺人員緊急撤離后，需要進行遠程關斷法門操作，為了保正無線通訊過程中數據的完整性和保密性，建議在數據發送端和接收端部署工業防火墻，并啟用VPN功能，建立專用通訊鏈路。

3) 可信驗證

利用工控安全監測與審計自主學習白名單技術，進行網絡通訊行為建模，記錄通訊設備關鍵配置參數；從而對通訊設備的系統引導程序程、系統程序、重要配置參數和通信應用程序等進行可信驗證，在檢測到可信性受到破壞后進行報警，并將結果送至全安全管理中心（即統一安全管理平臺）。

3.2、安全區域邊界解決方案

1) 區域邊界防護：

針對控制網工業控制系統所面臨的安全風險，在海上中心平臺與井口平臺之間，與地區中心之間，部署工業防火墻實現邊界防護，阻止中心和生產平臺網絡之間的非法訪問和攻擊。主要部署在區域出口，用于邊界隔離（不部署在上位機與控制器之間），因此對于控制系統本身的穩定運行沒有任何影響，不存在與系統兼容性問題，主要對區域間工業通訊協議進行重點防護。如果將來控制系統升級或更換，只需對其進行策略調整即可。

2) 入侵檢測：

工控入侵檢測系統采用旁路部署方式，能夠實時檢測數千種網絡攻擊行為，有效的為網絡邊界提供全景的網絡安全攻擊感知能力，使其詳細的掌握工業網中的安全情況。

3) 安全審計：

在控制網部署工控安全審計產品，實現網絡的3大審計檢測功能，即網絡通訊行為審計、網絡操作行為審計和無流量監測，可為網絡安全事件提供追溯。部署工控安全監測與審計系統，采用交換機旁路方式收集網絡通訊數據，建立網絡通訊行為白名單，從而發現違反白名單策略的行為。

在控制網交換機部署工控安全監測與審計系統，鏡像控制網流經此交換機的所有數據，審計數據向統一安全管理平臺集中匯報，由平臺進行集中管理，統一收集網絡日志，通過建模分析當前網絡安全狀態，為管理員提供可視化的操作行為、異常波動、告警信息，做到事前監控，事后可追溯原因。

3.3、安全計算環境解決方案：

1) 主機防護

部署工控主機衛士對系統內主機進行防護，主機衛士采用“白名單”管理技術，通過對數據采集和分析，其內置智能學習模塊會自動生成工業控制軟件正常行為的白名單，與現網中的實時傳輸數據進行比較、匹配、判斷。如果發現其用戶節點的行為不符合白名單中的行為特征，其主機安全防護系統將會對此行為進行阻斷或告警，以此避免主機網絡受到未知漏洞威脅。

如果將來控制系統升級或更換，只需對其進行策略調整即可。

2) 身份認證及審計

由于海上平臺對生產網絡主機的管理相對比較嚴格，但對于整個油田群、作業區公司、地區分公司來說，由于數量龐大且分布分散，更是對于工程師站等關鍵部位無法做到絕對隔離，平臺某些關鍵設備，如壓縮機遠程診斷系統等，大多數采取遠程運維方式。在陸地終端或者區域中心網部署運維管理平臺，實現生產網主機的安全運維及權限管理。

陸地終端運維管理平臺部署示意圖（紅色箭頭指示部分）

生產網絡的上位機、工程師站、操作員站、數據服務器、安全設備，存在遠程管理、監控需求，面對數量如此眾多且分散分布的設備，如何高效、安全的進行統一管理就是一個問題，設備資產管理不善也會帶來一定的工控安全隱患，尤其是在使用遠程維護VPN通道時，沒有運維操作審計，將會給生產網絡安全帶來極大隱患，為確保生產網絡的運維管理滿足等級保護的身份鑒別、訪問控制、安全審計的相關要求，需要在生產網絡旁路部署運維管理平臺，以滿足等級保護相關要求。