智慧供水的网络安全防护体系设计探析

智慧供水的网络安全防护体系设计探析

王沛丰   周洁  吕思远  王铖

中国电建集团华东勘测设计研究院有限公司 ​浙江省杭州市

摘要：供水作为城市公共基础设施，其重要业务系统及网络基础设施一旦遭到破坏，导致其功能丧失或数据泄露，可能严重危害人民生活和公共利益，甚至引起社会恐慌进而危及国家安全。因此，对智慧供水的关键信息设施进行网络安全防护，意义重大。下文将对智慧供水的网络安全防护体系设计进行分析与探讨，以供参考。

关键词：智慧供水；网络安全；防护；体系；设计

1 智慧供水关键信息设施网络安全防护设计

1.1 生产监控层安全防护设计

首先，针对水源地、二次供水泵站以及供水管网部署远程监控系统。在遥控终端（PLC、RTU等）的网络出口，部署边缘安全计算网关设备。一方面，利用边缘安全计算网关的数采功能，通过工业协议（MODBUS TCP、OPC、S7、MQTT等）对水源地、二次供水泵站以及供水管网的PLC、RTU等遥控终端设备进行水位、压力、流量等数据采集，并进行数据质量分析，剔除不合格的数据。另一方面，基于国密SM2、SM4算法，对水位、压力、流量等合规数据加密，然后通过4G或5G上传到部署在调度中心的边缘计算安全网关服务器中。边缘计算安全网关服务器基于国密SM2、SM4算法对接入的终端设备进行身份认证和数据解密，并传送到SCADA实时服务器中，完成对终端设备数据采集的安全防护，解决了不法分子利用远程终端攻击调度中心的问题。

其次，在净水厂生产网的关键网络节点以及净水厂到调度中心的网络出口分别部署工业防火墙。一方面，利用工业防火墙VPN IPSEC功能，在净水厂到调度中心的专线，为生产网开辟一条虚拟通信隧道，消除生产网与办公网、视频网混合的情况。另一方面，利用工业防火墙对工业协议2-7层的分析能力以及机器无监督学习功能，对功能码、寄存器、值域以及指令进行识别，形成安全基线模型和访问控制列表，实现对净水厂网络基础设施以及控制系统的防护。同时，在净水厂关键网络汇聚节点，旁路部署工控安全审计设备，对上位机与PLC直接的通信流量进行分析，识别出异常流量、漏洞利用行为以及关键组态变更（程序下载、下传、篡改以及硬件组态、IP变化等），实时监测水厂工控网络安全运行状态，为安全事件定位追溯提供依据。

1.2 调度管理层安全防护设计

在调度管理层，新建安全管理区和DMZ区。在安全管理区，建设安全管理中心，部署工业态势感知平台、堡垒机、工控漏扫以及主机卫士系统服务器，对全线部署的安全产品进行集中管控、策略下发、运维管理等。同时，将调度管理层需要对外web发布和手机APP服务器放置在DMZ区，作为统一对外web发布和数据转发窗口，实现对外web发布、数据转发与生产业务分离。在调度中心SCADA系统中，旁路部署工控入侵检测设备，对调度中心网络中存在的异常威胁、漏洞利用行为、恶意攻击进行实时检测；在调度中心的操作员站、工程师站以及SCADA服务器、GIS服务器等工控主机部署主机卫士系统，实现对工控主机的安全防护，抵御未知威胁。在调度中心互联网出口、DMZ和安全管理区网络出口以及调度管理层与经营决策层各部署防火墙，实现对无线网络（GPRS/3G/4G）的接入控制、DMZ区和安全管理区与调度SCADA系统之间以及调度管理层与经营决策层之间的边界防护；在安全管理区部署堡垒机，对运维过程进行录屏、键盘记录，并进行审计，保障远程运维安全；在安全管理区部署工控漏扫设备，定期进行健康检查，包括漏洞、安全配置等，及时了智慧供水的薄弱环节，进行针对性预防与加固；在安全管理区部署态势感知平台，对安全设备、网络设备以及关键业务系统进行操作日志、运行日志以及告警日志集中采集、泛化、关联分析，并从整体视角进行实时感知、事件分析、研判等，提升智慧供水整体安全预警防护水平。

1.3 经营决策层安全防护设计

在经营决策层，主要实现对关键大坝坐标数据、居民和用水单位敏感信息的防护。在互联网以及银行、水务等第三方网络出口部署网络DLP设备，对敏感数据进行实时监测与防护，对发现的数据盗取、破坏、篡改等行为及时告警，并进行通报预警。对发现的安全事件进行应急响应、处置、溯源分析，形成数据安全的闭环。在数据库网络出口旁路部署数据库审计设备，对数据库操作行为进行审计；在核心交换机旁路部署入侵检测设备，实时检测威胁、漏洞利用行为、恶意攻击等；在虚拟化应用服务器和DMZ区网络出口部署WAF设备，实现对web应用防护；在虚拟主机以及营业厅、客户等终端上部署一体化终端安全管理系统（UES）客户端，实现对虚拟主机和物理终端设备的安全防护；在互联网出口、银行、水务以及营业厅等网络边界部署防火墙设备，实现各网络边界的防护与访问控制。

1.4 安全运营体系设计

针对常态化运维以及安全事件应急处置等实战化运营体制，应采取如下设计：

首先，进行组织治理。明确网络安全负责人和管理组织，企业主要负责人是网络安全第一责任人。明确关键岗位和职责，关键岗位人员签署网络安全责任书等，开展人才梯队建设。通过理论与实验课程，再加上逼真的实验环境，提升学生理解和掌握能力，快速培养一批复合型、创新型、实战型人才；通过竞技比赛，对学员进行应急处置方面培训，使学员能够熟练操作工控设备、网络设备、工控机、SCADA实时服务器以及网络安全产品功能，能够进行报警信息查看、日志关联分析、安全事件识别与研判，并根据事件发展势态进行策略调整、加固，以及采取必要的应急处置手段，提升员工的实战对抗能力和安全应急处置能力。其次，进行安全管理制度和流程建设。本论文主要从四个层面进行建设，包括一级文件的网络安全方针、战略；二级文件的管理规定、办法；三级文件的操作流程、规范、作业指导书、模板等；四级文件的各类表单、记录日志、报告等。最后，对制度文件进行评审、修订、发布、执行等管理。如建立完善的网络安全防护体系，包括防火墙、入侵检测系统、安全监控系统等，及时发现并阻止潜在的网络攻击；强化身份认证和访问控制措施，采用严格的身份认证和访问控制机制，确保只有经过授权的人员才能访问和操作供水系统的关键设备和数据；加强数据传输和存储管理，对供水系统中的敏感数据进行加密，确保在传输和存储过程中不被窃取或篡改；建立安全评估和演练机制，定期对供水系统进行安全评估，发现潜在安全隐患并及时修复。同时，定期组织网络安全演练，提高从业人员的应急响应能力。如加强员工安全意识培养，对员工进行网络安全培训，提高他们对网络安全威胁的认识，并教育他们如何正确使用系统和设备，防止不必要的安全风险；建立应急响应机制，健全的供水系统网络安全应急响应机制，包括快速报警、紧急修复和恢复业务等，以应对网络安全事件的发生。最后，本论文通过对安全运营体系中“人”“流程”“技术”三个基本要素的基础能力建设，最终能够依托工业态势感知平台，开展应急处置、安全维护，通告预警、安全测试以及人才培养、漏洞挖掘、攻防渗透、应急演练等实战化安全运营工作。

2 总结

总之，本文提出了一个完整的网络安全防护体系，达到了有效防护、全面监测、及时响应的效果，为后续城市供水网络安全建设提供理论指导依据。

参考文献

[1]刘阳.城市智慧二次供水管理平台方案设计[J].自动化与仪表, 2022(008):037.

[2]龙腾飞.简述智慧水务面临的安全挑战与应对措施[J].中国科技纵横, 2022(18):45-47.

[3]李宏伟闵乐乐.数字化转型下智慧水务应用安全建设[J].现代信息科技, 2022, 6(22):101-104.