石油销售公司油库生产系统网络安全能力升级改造项目.pdf

1|工业互联网应用案例集

案例1北京威努特技术有限公司

石油销售公司油库生产系统网络安全能力

升级改造项目

基于“行为白名单”的油库生产系统安全防护技术

引言：

石油销售公司下辖油库均采取炼厂直输进库，管道、铁路、公路出库的“一

进三出”方式，是中国石油在多省份成品油资源的重要集散地，承担着保障油库

所在地区的后路畅通和成品油市场稳定供应的重任，配送范围覆盖半个中国。经

过“十五”以来近十五年信息化建设，实现了从“集中”到“集成”的飞跃，促

进了“两化”的深度融合。目前，销售信息化已完成大规模全局性信息系统建设

和系统集成，逐渐完成系统提升与集成应用工作，正在迈向商业智能、决策支持

方向发展，提高信息利用与共享能力，通过信息化建设促进油库主营业务转型升

级。原来相对分散、独立的装置通过内部网络连接到一起，数据耦合程度增加，

使得来自于外部和内部的网络安全风险增加，油库生产系统的网络安全建设迫在

眉睫。

本方案结合相关国家标准、行业要求，采用“白环境”的纵深防御安全防

护技术体系架构，积极开展网络安全升级改造建设，提升自身网络安全防护能力。

一、项目概况

石油销售公司借鉴相关安全管理规定，参照等级保护以及指导方案要求，结

合部署在总部数据中心系统和部署在库站系统的实际，制定了基于“行为白名单”

的“纵深安全防御”技术方案，满足等保2.0“一个中心、三重防护”以及中石

2|工业互联网应用案例集

油信息处规划总院的《销售工控系统安全防护指导方案》要求，进而构筑油库生

产系统“安全可信环境”，达到“只有可信任的设备，才能接入控制网络”、“只

有可信任的消息，才能在网络上传输”、“只有可信任的软件，才允许被执行”

的防护效果。并且在此项目中创新应用基于“行为白名单”建立的面向工控PLC

设备的行为模型固化技术，结合油库生产系统业务流程，利用智能技术，以时间

周期维度作为判断，发现工控指令隐藏的多重复杂周期模式，建立工控指令复杂

周期场景指纹模型。通过该模型对工控指令和生产工艺行为进行更加精细化的解

析和管控，解决“传统白名单”只能静态对工业控制协议指令识别的劣势，避免

因指令时间错误引起异常，有效识别误操作、网络攻击、恶意操作等，保证工控

业务稳定运行。

项目建设完成后全面提升了油库生产系统的整体安全性，确保设备、系统、

网络的高效运行，减少运维人员的工作量，提高了安全生产管理水平、工作效率

以及管理效率。并且此项目在国内石油销售板块具有“标杆”意义，能够在国内

其它销售公司进行广泛推广。

1.项目背景

油库是国家重要的能源基础设施，应做为安全防护的重点对象。由于燃油的

易燃、易爆特性，在其储存及运输的过程中面临着诸多风险，一旦管理不当，将

有可能引发重大安全事故，其中因油库生产控制系统异常所导致的安全事故已屡

见不鲜。攻击者基于对目标系统所使用的工控协议及工业流程的深入了解，通过

更改控制命令，导致安全事件的发生，甚至影响到广大人民群众的生命财产安全。

比如，恶意下发非法工控指令，控制油库压力升高、停止发油业务等。

油库生产系统在销售系统的应用流程中属于关键业务模块，通过油库中库级

系统与工控系统集成，共同协作完成进销存自动管理。在油库生产场景中，石油

销售公司生产系统的主要威胁来自于上位机和下位机的通信，因为上位机就是普

通的计算机，由人操作，很容易感染病毒、木马入侵或人为恶意破坏，形成恶劣

影响。在勒索病毒爆发时，石油销售公司部分油库库级系统出现不同程度病毒感

染，导致生产系统无法正常运行。因此需要依据网络安全法、等保2.0以及中石

油公司下发的指导方案要求积极开展网络安全升级改造建设，提升自身网络安全

防护能力。

3|工业互联网应用案例集

2.项目简介

石油销售公司油库库级生产系统与工控系统集成，完成油库进销存的自动管

理。油库一般以专线方式接入到广域网，目前大部分油库与广域网边界无安全防

护措施，信息网与工控网之间未作有效隔离，工控主机无有效安全防护措施，工

控软件及操作系统存在漏洞，设备联网机制缺乏安全保障，业务及用户行为无有

效审计手段，组网混乱。因此需开展油库生产系统网络安全改造推广项目，削弱

或根除安全风险，提高油库生产系统的网络安全防护能力。

3.项目目标

油库是协调原油生产、原油加工、成品油供应及运输的纽带，是国家石油储

备和供应的基地，它对于