水務(wù)行業(yè)是指由原水、凈水、管網(wǎng)、供水、節(jié)水、排水、污水處理及水資源回收利用等構(gòu)成的產(chǎn)業(yè)鏈；是在中國乃至世界上所有國家和地區(qū)最重要的城市基本服務(wù)行業(yè)之一，日常的生產(chǎn)、生活都離不開城市供水。

水務(wù)行業(yè)在其生產(chǎn)各環(huán)節(jié)涉及以下工業(yè)控制系統(tǒng)：

1) 原水供應(yīng)環(huán)節(jié)：水庫監(jiān)控系統(tǒng)、泵站自動(dòng)化監(jiān)控系統(tǒng)；

2) 自來水制水環(huán)節(jié)：水廠自動(dòng)化生產(chǎn)控制系統(tǒng)；

3) 自來水供水環(huán)節(jié)：供水調(diào)度系統(tǒng)；

4) 防汛排水環(huán)節(jié)：城市防汛排澇監(jiān)控系統(tǒng)；

5) 供水管網(wǎng)環(huán)節(jié)：泵站監(jiān)控系統(tǒng)；

6) 污水處理環(huán)節(jié)：污水及再生水自動(dòng)化控制系統(tǒng)；

7) 污泥處置環(huán)節(jié)：餐飲垃圾預(yù)處理與污泥預(yù)處理系統(tǒng)（餐飲垃圾預(yù)處理主要內(nèi)容為分選、打漿與提油，污泥預(yù)處理主要為熱水解）；

8) 海綿城市建設(shè)：海綿城市在線監(jiān)測系統(tǒng)。

近年來，國內(nèi)外網(wǎng)絡(luò)安全形式日趨嚴(yán)峻，針對水務(wù)行業(yè)工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全攻擊時(shí)有發(fā)生，2020年4月，以色列供水部門的工業(yè)控制系統(tǒng)遭受大規(guī)模網(wǎng)絡(luò)攻擊，以色列國家網(wǎng)絡(luò)管理局負(fù)責(zé)人表示“網(wǎng)絡(luò)空間的寒冬正在到來”。此外，隨著我國《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、“等級(jí)保護(hù)2.0”和《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法律法規(guī)的發(fā)布，水務(wù)行業(yè)網(wǎng)絡(luò)安全合規(guī)建設(shè)勢在必行。2016年7月，中央網(wǎng)信辦頒布的《關(guān)鍵信息基礎(chǔ)設(shè)施確定指南》（試行）中指出水利樞紐運(yùn)行及管控、長距離輸水管控、城市水源地管控，市政的水供應(yīng)管理、污水處理等為關(guān)鍵業(yè)務(wù)，達(dá)到一定規(guī)模所運(yùn)行的系統(tǒng)即為關(guān)鍵信息基礎(chǔ)設(shè)施。

天融信結(jié)合在水務(wù)行業(yè)的項(xiàng)目經(jīng)驗(yàn)，從管理和技術(shù)兩個(gè)方面分析水務(wù)行業(yè)工業(yè)控制系統(tǒng)所面臨的安全問題，并提出對應(yīng)整改建議。

01 管理側(cè)存在的問題

問題 1答：未形成完善的網(wǎng)絡(luò)安全管理體系

在網(wǎng)絡(luò)安全工作中，管理體系建設(shè)和技術(shù)防護(hù)體系建設(shè)需兩者兼?zhèn)?，一個(gè)行之有效的網(wǎng)絡(luò)安全管理機(jī)制能統(tǒng)籌各方資源，協(xié)調(diào)推進(jìn)綜合安全防護(hù)堡壘的建設(shè)。在實(shí)際工作中，水務(wù)行業(yè)在網(wǎng)絡(luò)安全責(zé)任制的落實(shí)、安全管理機(jī)構(gòu)設(shè)置、安全管理制度建設(shè)和安全人員配比等皆未完善，需要進(jìn)一步強(qiáng)化落實(shí)。

整改建議：水務(wù)企業(yè)應(yīng)梳理國家法律法規(guī)和黨內(nèi)法規(guī)的各項(xiàng)網(wǎng)絡(luò)安全要求，以落實(shí)網(wǎng)絡(luò)安全責(zé)任制為抓手，對標(biāo)等級(jí)保護(hù)2.0和ISO27001信息安全管理體系，參考P2DR模型、美國IISF及德國工業(yè)4.0安全框架，建立安全管理機(jī)構(gòu)、制度，配備相應(yīng)人員，并且應(yīng)有具體指標(biāo)考核要求，最終形成一個(gè)網(wǎng)絡(luò)安全管理的PDCA循環(huán)。

問題 2答：缺少專業(yè)性的網(wǎng)絡(luò)安全管理人員

水務(wù)企業(yè)專業(yè)性的網(wǎng)絡(luò)安全管理人員不足，特別是能同時(shí)兼顧傳統(tǒng)安全和工業(yè)控制系統(tǒng)安全的管理人員。兩者看問題角度各不同，傳統(tǒng)安全管理人員從IT的角度出發(fā)，遵循的原則依次是保密性、完整性和可用性，而工業(yè)控制系統(tǒng)安全則以可用性為主，要求網(wǎng)絡(luò)安全管理員在工業(yè)控制系統(tǒng)安全建設(shè)時(shí)需熟知工業(yè)生產(chǎn)的業(yè)務(wù)特性。

整改建議：企業(yè)可以加強(qiáng)網(wǎng)絡(luò)安全普適性內(nèi)容培訓(xùn)，開展安全技能的實(shí)訓(xùn)和認(rèn)定工作，結(jié)合“業(yè)務(wù)”與“安全”，借助天融信崗位技能培訓(xùn)賦能體系，培養(yǎng)起本單位的專業(yè)安全管理人員團(tuán)隊(duì)。

問題 3答：網(wǎng)絡(luò)安全意識(shí)有待提高

水務(wù)企業(yè)的網(wǎng)絡(luò)安全意識(shí)有待提高，安全防護(hù)“三同步”原則理解不到位，重發(fā)展輕安全的現(xiàn)象普遍存在。此外，對釣魚郵件、弱密碼、U口隨身WI-FI威脅引入等攻擊的防范意識(shí)不足。

整改建議：可開展網(wǎng)絡(luò)安全意識(shí)培訓(xùn)，培訓(xùn)的對象可分為管理層和普通員工，內(nèi)容可包括合規(guī)性政策解讀、常見安全攻擊防護(hù)和攻防演示等。建議每年可至少開展一次。另外，可利用好每一年的“國家網(wǎng)絡(luò)安全宣傳周”，開展小視頻宣傳、易拉寶、知識(shí)競答等多種形式活動(dòng)。

02 技術(shù)側(cè)存在的問題

問題 1答：網(wǎng)絡(luò)架構(gòu)安全設(shè)計(jì)不規(guī)范

水務(wù)工業(yè)控制系統(tǒng)在網(wǎng)絡(luò)架構(gòu)上存在四個(gè)方面的問題，一是網(wǎng)絡(luò)可用就行，沒有區(qū)分匯聚層、接入層，只要發(fā)生蠕蟲、泛洪等攻擊即可癱瘓網(wǎng)絡(luò)；二是工業(yè)控制主機(jī)和辦公終端共用一臺(tái)交換機(jī)，容易引入來自互聯(lián)網(wǎng)層面的威脅；三是沒有劃分安全邊界，工控網(wǎng)和辦公網(wǎng)任意互訪。四是網(wǎng)絡(luò)內(nèi)部沒有任何監(jiān)測手段，無法感知內(nèi)部安全現(xiàn)狀和及時(shí)發(fā)現(xiàn)違規(guī)行為。

整改建議：需要將水務(wù)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)進(jìn)行安全域劃分，明確區(qū)分非控制區(qū)與控制區(qū)。以安全域?yàn)樽钚」芾韱卧谶吔绮捎冒踩雷o(hù)設(shè)備來實(shí)現(xiàn)隔離，并通過安全策略的配置以及協(xié)議的深度解析來實(shí)現(xiàn)系統(tǒng)間數(shù)據(jù)的安全傳輸及非授權(quán)訪問行為的阻斷。最后輔以工控入侵及安全監(jiān)測手段，對網(wǎng)絡(luò)、系統(tǒng)、安全設(shè)施運(yùn)行日志等進(jìn)行實(shí)時(shí)監(jiān)測，及時(shí)發(fā)現(xiàn)各種違規(guī)行為以及病毒、黑客等攻擊行為。自來水廠工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)建設(shè)參考圖

自來水廠工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)建設(shè)參考圖

問題 2答：工控主機(jī)缺少防護(hù)

水務(wù)工業(yè)控制系統(tǒng)部署著若干的服務(wù)器、操作員站等主機(jī)終端，運(yùn)行著控制系統(tǒng)相關(guān)服務(wù)數(shù)據(jù)與應(yīng)用程序，其重要性不言而喻。然而主機(jī)終端存在的系統(tǒng)漏洞、應(yīng)用軟件漏洞、弱口令、未經(jīng)授權(quán)訪問及移動(dòng)存儲(chǔ)介質(zhì)濫用等安全隱患，直接影響著主機(jī)終端的正常運(yùn)行及控制系統(tǒng)的安全穩(wěn)定。

整改建議：水務(wù)工業(yè)控制系統(tǒng)內(nèi)主機(jī)運(yùn)行的軟件、進(jìn)程、服務(wù)等比較固定，且較少連接互聯(lián)網(wǎng)，傳統(tǒng)的終端防病毒軟件無法應(yīng)對此類特殊應(yīng)用場景，并且存在工業(yè)應(yīng)用軟件中的進(jìn)程、服務(wù)等被防病毒軟件誤殺的可能性。因此采用基于“白名單”機(jī)制進(jìn)行工控主機(jī)的安全防護(hù)，相比傳統(tǒng)的防病毒軟件更適用于水務(wù)工業(yè)控制系統(tǒng)的環(huán)境，可從根本上解決主機(jī)安全問題。

問題 3答：未管控應(yīng)用軟件訪問

水務(wù)工業(yè)控制系統(tǒng)中的應(yīng)用軟件存在如賬號(hào)密碼共享、弱密碼和默認(rèn)密碼、配置管理不規(guī)范、無安全審計(jì)措施等諸多安全隱患。這些隱患隨著系統(tǒng)的投入運(yùn)營就一直存在，一旦黑客有機(jī)會(huì)入侵到工業(yè)網(wǎng)，就能輕而易舉的獲取到應(yīng)用軟件的控制權(quán)，其破壞所引起的后果將是極其嚴(yán)重的。

整改建議：水務(wù)工業(yè)控制系統(tǒng)的應(yīng)用環(huán)境區(qū)別于傳統(tǒng)IT環(huán)境，其應(yīng)用多為工業(yè)控制所需特定應(yīng)用，解決問題的核心是重點(diǎn)保護(hù)業(yè)務(wù)系統(tǒng)應(yīng)用環(huán)境，通過工業(yè)行為審計(jì)設(shè)備學(xué)習(xí)現(xiàn)場環(huán)境，結(jié)合關(guān)鍵業(yè)務(wù)類型形成業(yè)務(wù)規(guī)則庫，形成基于行為的安全防護(hù)機(jī)制。同時(shí)針對業(yè)務(wù)系統(tǒng)的應(yīng)用賬號(hào)、設(shè)備等基于最小權(quán)限原則進(jìn)行管控，根據(jù)不同業(yè)務(wù)系統(tǒng)進(jìn)行細(xì)粒度劃分，嚴(yán)格控制業(yè)務(wù)系統(tǒng)的訪問。

問題 4答：未考慮數(shù)據(jù)安全問題

水務(wù)工業(yè)控制系統(tǒng)中的實(shí)時(shí)數(shù)據(jù)庫、歷史數(shù)據(jù)庫存在諸多安全隱患，如數(shù)據(jù)庫非授權(quán)訪問、數(shù)據(jù)泄露、數(shù)據(jù)串改等。一旦數(shù)據(jù)被非法訪問或遭受攻擊，造成數(shù)據(jù)丟失、數(shù)據(jù)篡改將直接影響上層應(yīng)用及整個(gè)系統(tǒng)的正常運(yùn)行。此外，9月1日《數(shù)據(jù)安全法》正式實(shí)施，等級(jí)保護(hù)測評報(bào)告模版（2021版）啟用，將數(shù)據(jù)作為獨(dú)立的測評對象，因此必須要考慮數(shù)據(jù)安全的建設(shè)。

整改建議：以數(shù)據(jù)業(yè)務(wù)屬性為基礎(chǔ)進(jìn)行分類，同時(shí)將傳統(tǒng)基于五元組的訪問控制粒度細(xì)化，結(jié)合數(shù)據(jù)地址分布與數(shù)據(jù)分類結(jié)果推導(dǎo)合理的訪問行為，形成監(jiān)測預(yù)警為輔的安全配方，從數(shù)據(jù)采集、傳輸、存儲(chǔ)、處理、交換共享與公開披露、歸檔與銷毀等多角度進(jìn)行安全防護(hù)。

問題 5答：未建設(shè)運(yùn)營安全監(jiān)管中心

水務(wù)工業(yè)控制系統(tǒng)未建設(shè)運(yùn)營安全監(jiān)管中心，導(dǎo)致無法集中收集、存儲(chǔ)、分析各類安全數(shù)據(jù)信息，以及實(shí)時(shí)監(jiān)測網(wǎng)絡(luò)內(nèi)發(fā)生的安全攻擊；無法追蹤溯源網(wǎng)絡(luò)入侵行為、病毒、業(yè)務(wù)訪問異常等問題，不能及時(shí)發(fā)現(xiàn)安全防護(hù)的脆弱面，從而導(dǎo)致木桶效應(yīng)的發(fā)生。

整改建議：水務(wù)企業(yè)運(yùn)營安全監(jiān)管中心可作為生產(chǎn)控制系統(tǒng)網(wǎng)絡(luò)安全狀況的健康監(jiān)測手段，是實(shí)現(xiàn)安全監(jiān)測、分析、響應(yīng)和管理的數(shù)據(jù)基礎(chǔ)，同時(shí)為各水廠的安全技術(shù)防護(hù)體系提供策略聯(lián)動(dòng)以及策略優(yōu)化等安全能力。

天融信基于多年水務(wù)行業(yè)安全建設(shè)實(shí)踐經(jīng)驗(yàn)，著眼工業(yè)控制系統(tǒng)安全本質(zhì)，以水務(wù)行業(yè)業(yè)務(wù)特性為中心，明確識(shí)別水務(wù)行業(yè)工業(yè)控制設(shè)施，結(jié)合縱深防御的原則構(gòu)建了面向水務(wù)行業(yè)的工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全綜合防護(hù)體系。同時(shí)，天融信通過工業(yè)互聯(lián)網(wǎng)安全防護(hù)、安全檢測、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全等安全技術(shù)的協(xié)同共生，針對水務(wù)行業(yè)存在的安全問題提出整改建議，為構(gòu)筑水務(wù)行業(yè)縱深防御安全防護(hù)體系提供建設(shè)思路。