玩归玩 闹归闹 别把命脉安全当玩笑 – 作者:桃之夭夭

油库作为油气储存的重要基地，关乎国家经济发展与建设的命脉，其安全性极其重要因此，亟需构建符合油库自身的安全运营体系，通过动态调整防护重点及优先级，实时应对油库业务系统的发展和变化。

启明星辰油库关键信息基础设施（CII）网络安全防护方案是在满足等保2.0要求的基础上，遵循“重点保护、整体防护、动态风控、协同参与”的原则，构建的网络安全综合主动防御体系。

其中，整体防护是基于油库生产运营承载的发油生产业务，对业务所涉及的多个网络和信息系统，尤其是发油生产的SCADA控制系统等进行全面防护。动态风控基于油库的网络安全风险的动态管理，对其安全控制措施进行调整，及时有效地防范控制网络安全风险。

1、多重防护 协同防御

等保2.0强调“一个中心、三重防护”的体系化设计思路。启明星辰基于空间维度的纵深与多重防护体系和时间维度的多维与协同防御体系，重点加强“内生安全”，提升业务系统安全，增强防护能力。

在系统安全运营时，注重安全措施的落地与效果，实现安全策略部署到位、安全应急库与“一库一档案”建立、安全事件追踪溯源等，消除一些特殊威胁的安全漏洞和再被利用的机会。

基于空间维度的防御体系

基于时间维度的防御体系

2、安全运营 全面防护

安全运营与智能运维能够保护油库设施免受攻击、入侵、干扰和破坏。通过使用漏洞扫描、渗透测试、安全防护、安全持续监测等技术，形成了全面的网络安全防护体系，改善发油生产SCADA网络系统的安全性能，提高网络安全保障能力，构筑安全、可靠、稳定的可视、可控、可责、可溯的网络环境。

1）在满足等保合规的基础安全能力的基础上，实时深度梳理与监控油库网络资产的存活状态、联网状态、进出流量等，并根据人员的变化构建动态的安全组织，根据需要动态部署适宜的安全措施与策略，制定与之相适应的应急流程。

2）构建以大数据为核心的分析溯源能力，及时发现网络攻击与违规操作者，及时威胁阻断、网络恢复等工作。

3）采用零信任思维，以动态的4A技术为基础，动态评估登录用户、设备的可信程度，并根据登录位置、连接方式、上网习惯，设备业务流量等特性动态授权用户访问的权限，特别对一些敏感操作时（如SCADA、PLC程序下载、数据库操作等），额外增加身份鉴别的级别以保障业务的安全。

3、动态防御 联动防控

基于等保2.0和油库CII安全防护要求的工业互联网安全运营是以治理、风控、合规为驱动，以大数据分析技术为核心，全面覆盖油品的销售、生产、调度、运营等端到端的价值链，实现从现场控制、生产监控、生产运营到经营管理的全维度监控及从物理和环境、网络和通信、计算和终端、应用和数据的全范围监控。

4、持续监测 实时响应

油库CII的工业互联网安全运营平台充分整合来自各个层面、维度的数据、日志等信息，将IT和OT的各个层面的设备设施数据接入，结合资产管理、人员管理、事件管理、应急管理等各类业务操作数据及业务场景建立的数据分析模型，实时展现安全态势，发现威胁并及时响应。通过对分析结果的决策，指导企业各个职能部门和库区开展网络安全工作，提升安全运营平台的实时分析及运营能力。

启明星辰现场效果图

来源：freebuf.com 2020-07-14 16:38:42 by: 桃之夭夭