背景概述

随着经济的迅猛发展和城市化水平的提高，市政供热分布面积越来越大，供热管网的可靠运行和市民生活已关系密切。通过运用最新成熟的技术，对供热管网进行数字化监控，不仅有效的保证管网的运行，提高检修的效率，降低人工循检的成本，还便于相关部门的管理。
供热管网安全生产监控调度系统是针对区域集中供热所开发的网络智能控制系统。系统以先进的自动化、计算机通讯和网络支持为基础，采用新一代产品、方案及服务，可以显著地提高系统的供热效率、保证系统运行的的稳定性和安全性，系统通过现场总线和网络集成而构成自动控制系统网络，按照公开、规范的道讯协议在智能设备之间、智能设备与远程计算机之间实现数据传输和信息交换，从而实现控制与管理一体化的综含自动控制系统。
城市供热行业工控系统的智能化建设极有可能引入信息安全风险，且城市供热行业工控安全建设往往滞后于智能化、智慧化建设，无法应对日益增长的网络威胁，可能导致其遭受网络攻击而使生产停滞。因此需加快城市供热行业工控安全建设，保障城市供热行业工控系统安全稳定运行。

需求分析
01/ 标准合规性需求
城市供热行业要加快完成工控安全防护体系的建设工作，使之符合《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）、《工业控制系统信息安全防护指南》及城市供热行业工控安全相关要求。

02/ 业务安全性需求
从城市供热行业一级监控网络、二级监控网络及三级监控网络等3个层面进行需求分析：
二级监控网络及三级监控网络
有城市供热行业的工控系统种类较多，如热力站系统、调峰锅炉站系统、管网关键点系统等。这些系统在建设初期主要考虑易用性和快速部署，因此存在数据流向不清晰、隔离措施不完善、隔离强度不达标等问题，容易引发各跨网交换非授权访问风险以及系统间病毒横向传播风险。
各工控系统的上位机、服务器等主机，可能存在系统及工控应用漏洞、管理员不允许打补丁、身份鉴别过于单一等情况；同时主机无针对已知、未知病毒的防护措施，容易发生误操作、非法攻击、勒索病毒感染等安全事件，城市供热企业迫切需要提升工控主机安全防御能力。
各工控系统内部缺少对工业流量监测审计的手段，无法针对工控系统协议层面存在的恶意攻击、异常流量进行审计，更无法对工控指令攻击和控制参数篡改进行实时监测和告警，极易产生网络入侵事件，最终导致安全生产事故的发生。

一级监控网络

一级监控网络中运行着管理应用系统、实时数据库系统等重要业务系统。因此需加强边界安全、入侵检测、日志审计、终端保护、运维审计、态势分析等防护能力。

解决方案
针对城市供热企业的网络架构特点及相关标准规范要求，进行分层、分区、划域，各层次、区域之间采用合理的安全防护措施。



三级监控网 -- 热力站、调峰锅炉站、管网关键点
分别在热力站、调峰锅炉站、管网关键点及二级监控网边界部署工业防火墙，精准按域进行防护。
采用工业应用审计系统对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警；通过部署入侵检测系统实时监测工控网络异常流量，对异常的、入侵行为的数据进行检测和报警，对异常操作行为与数据进行实时检测和报警。
在三级监控网操作员站部署的工控主机等部署工控主机卫士软件，以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。

二级监控网 -- 区域供热网监控中心
分别在三级监控网到二级监控网边界部署工业防火墙。精准按域进行防护。
在二级监控网操作员站、工程师站、服务器、工作站等部署工控主机卫士软件，以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。

一级监控网 -- 供热网调度中心、安全管理中心
在一级监控网操作员站、工程师站、服务器、工作站等部署工控主机卫士软件。以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。
建设城市供热企业安全管理中心，实现终端保护、运维安全管控、日志审计、安全管理平台、态势感知等系统。在集团也需要建设态势感知系统与生产管理层安全管理中心联动。对工业生产全景进行安全态势感知、分析、预警及准入控制，并对异常报警行为形成工单分配给人工进行干预处理，同时与相应防护设备进行协同防御。

案例价值
01/ 满足标准合规性要求
符合《信息安全技术网络安全等级保护基本要求》 (GBT22239-2019)、《工业控制系统信息安全防护指南》等城市供热企业工控安全相关政策、标准及监管要求。

02/ 构建城市供热企业体系化安全
通过强化城市供热企业区域内网络、主机及数据的安全防护，大大增强了城市供热企业的整体安全防护能力，确保强化城市供热企业生产可持续运营，构建边界安全、物联设备安全的纵深防护体系。

03/ 提升城市供热企业生产安全性
方案深度融合有城市供热企业工控设施，降低城市供热企业的安全运营风险，提高安全运维效率，为城市供热企业智能化、智慧化建设提供可靠的安全保障。

04/ 促进城市供热企业智能化发展
通过建设城市供热企业工控安全防护体系，可解决城市供热企业智能化建设过程中带来的信息安全风险，保障城市供热企业工控设施、智能化系统安全及设备可靠运转的目标。