1. 工控网络与架构：炼油化工企业的自动化系统与信息化系统种类较多，如炼油化工各生产装置、信息管理网、视频监控网及第三方边界等，形成互联互通、多网互联的关系。且大多炼油化工企业存在对数据流向不清晰、隔离措施不完善、隔离强度不达标等问题，造成各网络子域间及跨网交换非授权访问风险以及病毒横向传播风险。
2. 现场控制与过程监控层面：炼油化工企业工控系统上位机、服务器漏洞无处不在，对打补丁比较排斥，身份鉴别过于单一等情况；各主机也未部署对已知与未知病毒的防护措施；现场控制层与过程控制层存在误操作、非法攻击、勒索病毒感染等风险，炼油化工企业迫切需要对工控主机进行加固及病毒免疫等。
3. 工控协议安全层面：当前在炼油化工工控网络中，各类安全威胁不断涌入控制系统，而炼油化工企业内部缺少对工业流量监测审计的手段，无法针对工控系统协议层面存在的恶意攻击、异常流量进行审计，更无法对工控指令攻击和控制参数篡改进行实时监测和告警，让网络入侵轻易成功，最终导致安全生产事故的发生。

03/ 新技术安全需求
大数据、人工智能、云计算、物联网等新技术逐渐应用到炼油化工生产业务中。各生产工艺流程高度集成的自动控制系统，使得一些非法攻击与入侵更容易进入生产控制网络，信息安全风险极高。

解决方案
安盟信息以“安全、可信、合规”及“满足化工企业安全要求”为目标，符合国家、行业网络安全监管要求为前提，结合炼油化工生产系统的特点，形成炼油化工安全技术体系、安全管理体系、仿真验证体系及安全运营体系。
构建生产经营与网络安全融合协同、强化全过程一体化管控、促进数字孪生创新应用、加快石化企业数字化转型。打造全面的工控安全感知、数据安全交换、实时决策分析、预测预警、精准管控及安全协同处理的智能化炼油化工工控安全体系，保障炼油化工企业的数字化、智慧化转型。

炼油化工企业工控安全体系依据国家法律法规、政策标准等打造可靠的四大信息安全体系，安盟信息炼油化工工控安全体系架构如下:

安盟信息石化化工工控安全体系架构

01/ 安全技术体系
安全技术体系是炼油化工企业工控安全纵深防御的具体体现，重点需要强化生产装置、公用工程、SIS网络等工控系统边界隔离强度，提升各生产子系统（生产装置、公用工程、SIS）工控网络、工控主机及生产数据的安全防护效果，加大与第三方外联机构安全数据交换的能力，提高化工企业生产系统及重要生产数据的安全性，增强工控系统整体安全防护能力。

02/ 安全管理体系
安全管理体系是炼油化工企业工控安全顶层策略方针和指导思想，指导企业建立完善的工控安全管理制度，规范日常操作及安全运维等。

03/ 仿真验证体系
仿真验证体系是炼油化工生产业务融合工控安全的关键，对新加入系统、设备，建设方案通过仿真生产环境严格验证，提早规避风险，并协助炼油化工企业进行应急演练、安全攻防、技术培训等工作开展。

04/ 安全运营体系
安全运营体系是炼油化工企业生产系统稳定运行的支撑和保障，全面提升生产控制网安全感知、风险实时预测、精准管控、协同处理的能力。


部署方案

炼油化工工控安全解决方案拓扑示意图

01/ 现场控制层安全
现场控制层安全由不同的生产装置去实现，并进行现场物理环境安全防护。通过工控安全整体方案设计，提供各生产装置的防护目标。

02/ 过程监控层安全
安全区域边界

1. 分别在各生产装置OPC到生产管理层、第三方外联边界部署工业安全隔离装置。
2. 分别在各生产装置到集中监控边界部署工业防火墙。提升外联安全接入区隔离强度，实现接近于物理隔离的高安全隔离目标。
3. 采用工业应用审计系统对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警；通过部署入侵检测系统实时监测工控网络异常流量，对异常的、入侵行为的数据进行检测和报警。对异常操作行为与数据进行实时检测和报警。

1. 在生产管理层操作员站、工程师站、服务器等部署工控主机卫士软件或机甲卫士系统。以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。
2. 同时部署数据库审计系统，对数据库访问行为、数据库风险操作、数据泄漏等进行精准识别与预警。
3. 采用工业应用审计系统、入侵检测对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警。对异常操作行为与数据进行实时检测和报警