一、网络攻击事件背景

10月7日，美国最大的水务公司American Water披露近期遭受了网络攻击，导致部分系统被迫关闭,水计费系统无法使用。American Water拥有6500多名员工，为14个州和18个军事设施的1400多万人提供供水和废水处理服务。该公司在10月3日检测到“其计算机网络及系统内部存在未经授权的活动”后，立即启动了事件响应机制，请来了第三方网络安全专家，以协助遏制和应对。

近年来，美国发生了几起备受瞩目的供水系统网络攻击，如2021年2月，黑客成功渗透了控制佛罗里达州奥尔德斯马市水处理设施的计算机系统，远程控制篡改上调了当地供水中氢氧化钠碱液的含量，试图毒害供水。幸好被及时发现，否则后果不堪设想。

美国水务公司的网络攻击事件再次提醒我们，水务行业面临的网络安全挑战日益严峻。随着我国水务行业对现代化数字技术的依赖程度不断提高，网络安全问题已成为不容忽视的重要议题。我们必须未雨绸缪，加强对水务工控系统安全的关注和重视，确保我国水务基础设施的安全稳固运行。

二、市政水务工控网络安全隐患分析

(1)通过调研某市水务集团水处理工控系统的网络拓扑及安全现状，发现网络安全隐患主要有以下方面：

• 有效安全隔离措施覆盖不全：

厂区工控网络通常需要与企业集团系统进行数据交换，有效的安全隔离措施覆盖不全，存在疏漏或策略未启用等。边界缺乏有效的防护手段，极易遭受来自互联网的不法攻击与病毒传播破坏。

• 上位机、服务器设备存在安全隐患：

上位机和服务器是厂区工控网络中的关键组件，负责数据采集、处理和存储。设备存在安全配置不当，或者未及时更新漏洞补丁的情况。例如，未加密的数据传输、默认的管理员密码、未关闭的不必要服务等都可能导致设备被攻破。同时对第三方接入设备缺乏管控能力。

• 未对异常行为进行安全审计：

工控系统未进行有效的安全审计，无法追踪异常行为，也无法在发生安全事件时提供必要的日志信息。

• 缺乏定期安全检测评估手段：

定期进行安全检测和风险评估是识别和修复安全漏洞的关键。缺乏这样的手段，系统的潜在风险可能长期未被识别，从而给攻击者提供了可乘之机。

(2)工控核心控制器缺乏防护

未部署工业控制领域专用防火墙。工控核心控制器是控制水处理、分配等关键功能的核心组件。如果这些核心组件没有得到保护，它们就可能成为攻击者的首要目标。一旦控制器被破坏，会对企业造成严重影响。

• 传统防火墙主要是针对通用网络协议进行审核和防护，不能对工业网络协议和应用数据的内容进行解析和检查。

• 传统防火墙基于黑名单机制，未及时应对新发现的系统和软件漏洞，以及面临不断更新的网络攻击手段和威胁需要不断升级，不符合工业现场特点。

(3)安全应急响应不及时：

• 缺乏应急预案：在面临安全事件时，没有事先制定的应急预案，可能会导致响应混乱、延迟，从而加剧安全事件的后果。

• 响应流程不明确：即使有应急预案，响应流程不明确，责任分工不清晰，也会导致在安全事件发生时无法迅速采取有效措施。

• 缺乏实时监控和预警系统：实时监控和预警系统能够在安全事件发生时立即发出警报，帮助安全团队快速响应。缺乏这样的系统，安全事件可能长时间未被察觉，从而错失最佳响应时间。

为了解决这些问题，水务工控网络需要实施全面的安全策略升级，包括定期的安全评估、精细化的安全防护措施、以及建立快速有效的应急响应机制。同时，还需要提高员工的安全意识和技能，确保在面对安全威胁时能够迅速采取行动。

三、解决方案

针对水务集团工控网络安全建设需求，我们提出构建水务工控系统网络安全纵深防御体系，在满足等保能力要求基础上，进一步提升水务工控网络安全防护能力。

方案根据水务行业现状，在不影响工控系统运行的前提下，设计部署适合企业实际需求的工控安全产品，通过划分安全区域、隔离控制系统、终端安全加固等，消除当前工业控制系统的安全隐患，杜绝通过网络传播信息安全威胁，实现水务集团工业控制系统安全风险管控有数、网络攻击主动防御及安全态势的直观可见。总体防护图下：

(1)安全风险评估

通过在公司集团部署工控漏洞扫描系统，定期对水务系统进行脆弱性扫描，可全面发现系统中存在的安全漏洞、安全配置问题、弱口令，收集系统不必要开放的账号、服务、端口，客观评估工控网络风险等级。能够精准多维度评估资产的安全风险，并给出详细的描述和解决方案，形成整体安全风险报告。

产品推荐：博智工控漏洞扫描系统

(2)安全区域边界

目前水厂已通过网闸与集团网进行隔离，保证集团生产管理层和水厂之间网络的安全隔离与数据交换。为解决核心设备的安全防护问题，本方案在水厂工业环网边界部署工控防火墙，基于工控协议深度解析、网络流量实时监测、安全策略智能优化等技术手段能够检测并阻断攻击者的非法访问、病毒传播和恶意攻击等行为。通过部署工控防火墙可以很好的实现对核心设备的事前安全防护、事中过滤检查和事后安全审计。

产品推荐：博智工控防火墙

(3)安全通信网络

水厂中心机房工业核心交换机已部署入侵检测系统，能够实时检测出网络入侵攻击行为。本方案在各水厂工业环网交换机增加部署工控安全审计系统，通过镜像的方式获取工控网络中流量数据，对工控协议（如ModbusTCP、OPC、DNP3、IEC104、S7等）的通信报文进行深度解析，能够实时检测出针对PLC、DCS、上位机等重要工控系统/设备的网络攻击、误常操作、非法设备接入以及蠕虫、病毒等恶意软件的传播等异常行为，实现对工控网络异常流量的检测与实时告警。

产品推荐：博智工控安全审计系统

(4)安全计算环境

在水厂的上位机、服务器等设备部署工控主机卫士，基于程序白名单、外设管控以及基线核查等功能，实现对病毒木马及其它恶意程序攻击行为的阻断、外设端口的管控、弱口令和配置缺陷的检测，提升主机安全防护能力。

产品推荐：博智工控主机卫士

(5)安全管理中心

通过在公司集团部署工业安全管理平台，对集团及各水厂安全设备进行威胁监测及集中管控。平台通过集中管理边界隔离类、流量检测类、终端防护类等安全设备，汇聚多源安全数据进行智能分析，实时监测网络中存在的网络攻击、异常行为，从而实时调整安防策略，实现安全策略的统一部署和安全事件的集中响应，提升安全事件处理效率，化“被动防御”为“主动运营”，实现企业安全可视化、自动化、智能化。

产品推荐：博智工业安全管理平台

(6)安全事件应急响应

在公司集团部署工业互联网安全事件应急响应平台，结合一体化便携式应急响应工具箱，配合完善的网络安全事件应急预案和响应流程。确保在发生网络安全事件时，能够实现应急事件的快速定位、智能引导、风险消除、安全加固、后总结，帮助企业快速恢复生产,有效减小和控制安全事件对企业造成的损失，提升水务企业对安全事件的应急处置能力。同时，加强数据备份机制，确保关键数据在系统故障或安全事件发生时能够迅速恢复。

产品推荐：博智工业互联网安全事件应急响应平台

(7)安全服务

博智聚焦工控安全，提供全面的安全服务支撑，包括漏洞挖掘、取证溯源、渗透测试、安全检查、威胁研判、应急处置、系统加固及安全咨询等。

四、总结

在城市水务系统数字化与智能化升级的大潮中，城市水务集团的工业控制系统面临着愈加复杂的网络安全风险挑战。博智安全助力水务行业，全面提高企业工控网络安全防护等级，为城市水务行业的稳固运行筑起坚实的安全防线。