一(yī)、智慧水務簡介
智慧水務利用新一(yī)代信息技術，通過傳感器技術、網絡和移動系統與水務信息系統的結合，構建成智能感知(zhī)、智能仿真、智能診斷、智能預警、智能調度、智能處置、智能控制和智能服務全方位的水務管理系統。“智慧水務”是(shì)智慧城市建設的重要組成部分，旨在提升水務管理和服務的水平，爲城市的發展提供更好的支撐，有效提升城市智慧建設和宜居能力。
城市供水安全直接關系着人們的生命安全，是(shì)構建經濟繁榮、政治穩定的現代化城市的重要基礎。伴随着智慧水務的建設，城市供水系統網絡安全問題日益突出。
網絡安全已上升到國家安全戰略高度，習近平總書(shū)記在中央網絡安全和信息化領導小(xiǎo)組第一(yī)次會議(yì)中明确闡述了網絡安全對于國家的重要性。2017年6月1日《中華人民共和國網絡安全法》正式頒布實施，明确指出針對城市水務公共服務等關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。網絡安全是(shì)智慧水務健康、長久發展的重要保障。
二、智慧水務安全挑戰分析
智慧水務通過數采儀、無線網絡、水質水壓表等在線監測設備實時感知(zhī)城市供排水系統的運行狀态，并采用可視化的方式有機整合水務管理部門與供排水設施，形成"城市水務物聯網"，并可将海量水務信息進行及時分析與處理，并做出相(xiàng)應的處理結果輔助決策建議(yì)，以更加精細和動态的方式管理水務系統的整個生産、管理和服務流程，從而達到"智慧"的狀态。
智慧水務建設必然會打通生産運行體系、服務營銷體系、決策支持體系、綜合管理體系等城市水務環節，實現水務企業所有相(xiàng)關信息（水務管網基礎數據、水務管網運營數據、水務用戶信息、水務系統實時監測數據、采樣點水質數據、熱線信息、管線工程等）在網絡上的互相(xiàng)流轉與共享，從而實現真正意義上的水務信息的完全共享，最終實現城市水務行業的智慧運作。而這也就意味着城市水務賴以運行的工業控制網絡會直接與管理網、互聯網連通，面臨極大的安全風險。
（一(yī)）通信協議(yì)風險
自(zì)動化和信息化的高度融合和物聯網的發展使得ModBus協議(yì)、ProfiBus協議(yì)、OPC協議(yì)等工業協議(yì)廣泛應用于城市水務工業控制網絡，協議(yì)的公開(kāi)性導緻極易遭受攻擊，而傳統防火(huǒ)牆往往無法發現和防範出現的安全問題。
（二）工業設備風險
國内水務企業工業控制系統大量采用進口工業控制設備，而這些設備普遍存在漏洞，可利用漏洞進行腳本攻擊改變操作指令，進而影響生産正常進行。
（三）操作系統風險
城市水務工業控制系統的工業主機基本上都是(shì)Windows平台，爲保證過程控制系統的相(xiàng)對獨立性，同時考慮到系統的穩定運行，通常不會對操作系統安裝任何補丁，存在很大的安全隐患。
（四）安全策略和管理流程風險
追求可用性而犧牲安全性，是(shì)水務工業控制系統存在的普遍現象，缺乏完整有效的安全策略與管理流程也帶來了一(yī)定的威脅。例如移動存儲介質包括筆記本電腦、U盤等設備的随意使用和不嚴格的訪問控制策略。
（五）感染病毒風險
爲了保證工控應用軟件的可用性，許多工業主機通常不會安裝殺毒軟件，因爲殺毒軟件會造成工控應用軟件運行出現異常，而且工業主機緊張的資源配置也不能滿足殺毒軟件的運行需求，但(dàn)是(shì)工控環境的數據交互會導緻病毒進入工業主機，近兩年頻(pín)繁的勒索病毒攻擊也正是(shì)因此而起。
（六）安全監管風險
城市水務工業控制網絡普通缺乏工業安全審計設備和安全日志統計分析手段，無法實現對工業控制網絡的可感知(zhī)與可控制。
三、智慧水務安全應對措施
城市水務是(shì)國家關鍵基礎設施的重要組成部分，關系着廣大人民群衆的生命安全，必然會面臨國内外黑客組織的重點關注和攻擊。近年來，全球發生的多起針對水務行業工業控制系統的攻擊事(shì)件給人們敲響了警鍾。如何應對水務行業的工業控制系統網絡安全風險，是(shì)智慧水務建設過程中必須考慮和解決的現實問題。
智慧水務安全防護應貫穿采水、淨水、供水、排水等環節，綜合采用縱深防禦、大數據分析、協議(yì)深度解析、智能感知(zhī)、态勢監控等新技術新手段，形成貼合水務行業實際情況的應對措施。
（一(yī)）全環節态勢感知(zhī)
針對智慧水務工業控制網絡中安全防護手段衆多、安全信息雜(zá)亂、安全态勢不可見的現狀，建議(yì)以水務企業爲主體，建設涵蓋其下(xià)屬水源廠、淨水廠、泵站、管網等生産設施、覆蓋采水、淨水、給水、供水、排水等全環節的工控安全态勢感知(zhī)平台，實現對企業下(xià)屬企業全方位、全天候的網絡安全态勢感知(zhī)，及時發現各類網絡安全風險以及非法訪問事(shì)件，實現工業信息安全的閉環管理，全面提高水務企業工業安全防護的整體水平。
智慧水務工控安全态勢感知(zhī)平台引入大數據威脅情報分析技術，綜合底層海量數據采集及威脅情報分析能力，形成安全防護手段統籌協調、資源信息全面監控、态勢分析高度集中、運營數據智能分析實時預警、态勢呈現可見可控的綜合監控中心，采用被動掃描方式實現資産脆弱性識别和分析，實時主動感知(zhī)潛在的網絡安全風險，形成高價值、高可見、高實時的戰略性威脅情報，及時發現安全威脅、評估安全風險，按照(zhào)風險、威脅、事(shì)件等構建态勢要素及态勢模型，從計算環境、網絡邊界、業務流程等維度實現對智慧水務工業控制網絡全網安全态勢感知(zhī)的可視化。
（二）白名單主動防護
智慧水務工業控制系統主機存在運行資源有限、操作系統老舊(jiù)、補丁難以及時更新、無法部署殺毒軟件等現實情況，建議(yì)采用應用程序白名單技術建立主動防護機制，形成以白名單技術爲基礎、應用程序數據智能采集分析、惡意代碼識别阻斷、移動設備安全管控的主機安全防護體系，通過大數據采集和分析，智能學習并自(zì)動生成工業主機操作系統及工業應用軟件正常行爲模式的白名單基線，僅允許必要的系統進程及工業應用軟件運行，主動抵禦已知(zhī)未知(zhī)安全風險，實現對工業主機設備的全面安全加固，進行病毒防護、阻止惡意軟件攻擊、禁止非授權程序運行等。
（三）多邊界縱深防禦
智慧水務網絡邊界主要存在于辦公網、工業控制網絡、互聯網的内部以及這些網絡之間。目前辦公網與互聯網之間安全防護措施相(xiàng)對比較完善，但(dàn)是(shì)工業控制網絡内部及與其他網絡之間普遍缺乏安全防護措施，存在很大的安全隐患。
爲了保證智慧水務工業控制網絡的安全，建議(yì)對辦公網、工業控制網絡、互聯網進行合理安全區劃分，并對工業控制網絡進行細緻區域劃分，根據網絡情況及工業控制設備實際情況選擇合适的工業安全防護設備進行針對性安全保護，構建多邊界縱深防禦體系。
1. 安全分區規劃
根據網絡實際情況進行梳理，将與生産管理監控相(xiàng)關的設備剝離(lí)出來，形成獨立的管理層網絡，然後再将工業控制網絡按照(zhào)功能屬性進行網絡區域劃分，各網絡區域内部再根據不同工藝流程或生産任務進行安全域劃分，形成更爲細緻合理的安全區域。
2. 辦公網與工業網邊界防護
通過在辦公網與工業網絡邊界部署工業安全防護設備，并嚴格配置安全策略實現網絡之間數據安全交換，實現了辦公網與工業網之間的縱向隔離(lí)防護，确保辦公網與工業網之間不會互相(xiàng)影響。
3. 各網絡區域之間邊界防護
通過在各網絡區域入口部署工業安全防護設備，實現對工業專有協議深度解析，建立網絡通訊“白環境”，阻止區域間的越權訪問以及病毒、蠕蟲的擴散和入侵，将危險源控制在有限範圍内，有效防止安全威脅在區域之間串擾。
（四）全流量安全審計
針對智慧水務工業控制網絡中專用工業協議(yì)多、生産網絡運行情況缺乏監控、安全風險難以及時預警的現狀，建議(yì)建立以工業協議(yì)深度解析爲基礎、“持續監測數據聯動”爲核心理念、實時監測分析告警的網絡安全審計機制，對智慧水務工業控制網絡中的所有層面進行全面持續的監控，通過全面的數據感知(zhī)和分析，建立智慧水務安全數據庫，并結合威脅情報，實現對已知(zhī)威脅、高級威脅、APT攻擊的有效預防、發現、防禦和過程回溯。
通過安全審計實時監測智慧水務工業控制網絡中針對工業協議(yì)的惡意攻擊、誤操作、違規行爲、非法設備接入以及蠕蟲、病毒等惡意軟件的傳播，及時告警并聯動态勢感知(zhī)平台動态調整安全防護措施，避免發生安全事(shì)件。
