伴隨國家工業(yè)化、信息化的兩化融合，石化企業(yè)提出管控一體化規劃，基于實(shí)時(shí)數據庫應用的MES系統在各大企業(yè)得到大力推廣。實(shí)時(shí)數據庫的建立是以采集過(guò)程控制系統的數據為前提，這就需要MES的信息網(wǎng)絡(luò )必須要實(shí)現與控制網(wǎng)絡(luò )之間的數據交換，控制網(wǎng)絡(luò )不再以一個(gè)獨立的網(wǎng)絡(luò )運行，而要與信息網(wǎng)絡(luò )互通、互聯(lián)，基于TCP/IP以太網(wǎng)通訊的OPC技術(shù)在該領(lǐng)域得到廣泛應用。

網(wǎng)絡(luò )拓撲圖

系統說(shuō)明及隱患分析
       石化行業(yè)系統結構通常分為三層，自上而下分別是辦公網(wǎng)、數采網(wǎng)和控制網(wǎng)。辦公網(wǎng)和數采網(wǎng)是物理上隔離的；數采網(wǎng)采用OPC標準從控制網(wǎng)采集數據，數采機或OPC Server采用雙網(wǎng)卡結構與控制網(wǎng)進(jìn)行了隔離；工程師站通常需要接入第三方設備（U盤(pán)、筆記本電腦等），系統存在以下信息安全隱患：

1、數采網(wǎng)與控制網(wǎng)之間的病毒相互感染隱患。雖然通過(guò)Buffer數采機或OPC Server的雙網(wǎng)卡結構對數采網(wǎng)與控制網(wǎng)進(jìn)行了隔離，部分惡意程序不能直接攻擊到控制網(wǎng)絡(luò )，但對于能夠利用 Windows 系統漏洞的網(wǎng)絡(luò )蠕蟲(chóng)及病毒等，這種配置并不起作用，病毒仍會(huì )在數采網(wǎng)和控制網(wǎng)之間互相傳播。另外OPC通訊使用動(dòng)態(tài)端口，無(wú)法使用常規防火墻進(jìn)行防護。
2、來(lái)自工程師站的病毒擴散隱患。工程師站通常接入設備U盤(pán)、筆記本電腦等第三方，受到病毒攻擊和入侵的概率很大，存在較高的安全隱患。
3、網(wǎng)絡(luò )攻擊事件無(wú)法追蹤。網(wǎng)絡(luò )中缺乏對網(wǎng)絡(luò )進(jìn)行實(shí)時(shí)監控的工具，一旦出現問(wèn)題后，無(wú)法進(jìn)行原因查找、分析和故障點(diǎn)查詢(xún)。

解決方案

１、 網(wǎng)絡(luò )分區
       針對石化行業(yè)網(wǎng)絡(luò )當前的安全隱患，根據系統網(wǎng)絡(luò )結構和安全要求，可以將整個(gè)網(wǎng)絡(luò )分為辦公網(wǎng)、數采網(wǎng)、控制網(wǎng)和工程師站四大區域。

２、 通訊管控
      在控制網(wǎng)和數采網(wǎng)之間部署Tofino工業(yè)防火墻，通過(guò)OPC Enforcer軟插件自動(dòng)跟蹤OPC通訊的動(dòng)態(tài)端口，并對其通訊內容進(jìn)行深度檢查，保障數采通訊安全；此外，在工程師站前端部署Tofino工業(yè)防火墻，對工程師站進(jìn)行隔離防護，防止病毒擴散。

３、 集中管理
       在網(wǎng)絡(luò )中部署CMP配置管理平臺，用于配置、管理、監測網(wǎng)絡(luò )中所有的Tofino工業(yè)防火墻，并接收來(lái)自防火墻的網(wǎng)絡(luò )報警信息。無(wú)需停車(chē)，Tofino工業(yè)防火墻特有的“測試”模式允許在線(xiàn)配置防火墻策略。

４、 預警分析
       在企業(yè)辦公網(wǎng)部署SMP安全管理平臺，捕獲并分析現場(chǎng)所有安裝Tofino防火墻的通訊“管道”中的攻擊，一方面可以實(shí)現對整個(gè)生產(chǎn)網(wǎng)絡(luò )的實(shí)時(shí)監控，另一方面也可以及時(shí)發(fā)現病毒、非法入侵以及各類(lèi)威脅并迅速解決，以總攬大局的方式為工廠(chǎng)網(wǎng)絡(luò )故障的及時(shí)排查、分析提供可靠的依據。