随着社会的发展进步、网络的渗透普及，一些新的破坏因素过去闻所未闻，开始蠢蠢欲动。美国油气管道公司Colonial勒索事件，给我们敲响了警钟。当前我国油气对外依存度逐年升高，油气管网安全关系国家安全，而生产安全技术、安防技术、网络安全防护是保障管网安全的利器尤为重要。安帝科技董事长周磊应《中国石油石化》杂志邀请，与各行业专家及企业代表共同就油气行业的网络安全防护进行深入探讨。

摸不着的“危险”

撕开冰山一角
在网络勒索浪潮下，没有一个幸存者。油气管道作为能源行业的基础设施，一旦遭到破坏将带来连锁性反应，更容易成为勒索软件组织的攻击目标。“石油管道，肯定是网络攻防对抗的前沿阵地，也是对手攻击的主要目标。”北京安帝科技有限公司董事长周磊说，“研究人员发现，能源行业是受工业控制系统（ICS)漏洞影响最大的行业之一。以色列工业网络安全公司CLAROTY 2020年下半年（2H)披露的ICS漏洞，比2018年下半年增加了74%。针对 Colonial Pipeline的勒索攻击，只是未来网络攻击的一个试探。当网络罪犯和外国对手寻找机会获得经济利益和投射权力时，国家的关键基础设施就很容易成为攻击的目标。”

我们的管网真的安全么？

没有绝对的安全
“对于工业网络风险的认知，人们还停留在传统以信息为中心的网络风险层面，这一点应当得到重视和改变。美国油气管道公司Colonial遭遇勒索攻击事件很好的说明了这一点。”周磊说。工业组织和关键基础设施运营商，必须管理具有重大潜在影响的风险。在讨论如何管理网络风险之前，明确工业网络风险至关重要。“这个定义需要从运营、业务影响、法律、财务和安全的角度来理解网络风险，没有任何利益相关方能够单独定义和管理网络风险。”周磊说。

专业网络安全人才缺失
对此，为多个关键信息基础设施行业提供网络安全解决方案和服务的北京安帝科技有限公司董事长周磊深有体会：“在接触到的一些企业中，因为网络安全投入不能直接立竿见影地出效益，甚至有些企业投入了一定资金后发现还会出现问题，就会有这样一种想法：我这个投入是不是划算，投入了还不是一样会遭到攻击吗。”在这种想法驱使下，就不用提如何从管理、培训等方面进行投入网络安全人才的培养了。工业控制系统存在的网络安全风险和问题，从侧面反映了我国企业里专业网络安全人才的缺乏。“只有拥有适当的人力，才能有效地支撑网络安全实践。”周磊说。

打造特色防御道路

主动防御
中国石油石化：从美国科洛尼尔管道遭遇勒索事 件中，对于管道网络安全建设，我们可以得到哪些启示？我们应该如何认识这种变化和启示？
周磊：要转变网络安全观。我们不能还立足于 “我是隔离的，对手攻不进来”这种思路中，一定要 有“像黑客一样思考，像工程师一样行动”的思维。
在这样的思维下构建企业级主动防御体系和能力，应对未知的新型网络攻击。在核心业务及网络环境的风险感知，以及新型勒索病毒的攻击防护层面, 可以釆用欺骗防御等非规则型的安全产品及能力, 实时感知勒索病毒的横向感染，快速响应、快速止损。利用欺骗防御体系诱捕感知的特性，提前实现分析发现，预防新型未知风险。

以制度为指导
中国石油石化：主动防御离不开政策引导。针对我国管网互联网安全“上下对不上”的问题，如何从制度方面引导企业加强管道网络安全？
周磊：对于我国油气管道网络安全能力建设，应当坚持总体国家安全观的指引，将其纳入国家能源战略的总体布局中综合考量，坚持能力导向、规划指引、预算保障、问责落实，建立健全油气管网的工业网络安全态势的监测、预警、响应、处置等综合能力。

“软”“硬”兼施
中国石油石化：行业应该在哪些方面加强管道网络安全建设？
周磊：建立行业体系化的网络安全防御能力。安全性是一个连续的过程，而不是一个简单的、孤立的工作。每个设计阶段都应包括一系列必须遵循的安全步骤，并将安全直接集成到解决方案的整个生命周期中。
为了达到最有效的安全，必须从一开始就将其贯穿于整个生命周期设计中。通过构建以健壮的安全体系结构为核心的系统，并与更广泛的组织的合规要求和治理工作进行集成融合，以实现更有效、更具费效比的安全方法。当前主要迫切解决的冋题，总体原则应该是消除存量威胁，遏制增量威胁，一是摸清工业资产底数，资产可见性问题的解决；二是威胁、漏洞、风险的态势要心中有数;三是基础的安全问题，如系统补丁、杀毒软件、外设管控、分区分域、隔离防护、准入控制、 登录认证等，基础的网络卫生要落实。

应急机制体系化
中国石油石化：未雨绸缪固然重要，但如果真的发生了网络勒索事件，我们怎样做才能减少损失呢？周磊：需要建设体系化应急响应机制。网络安全是相对的，不是绝对的。工业领域，网络空间与实体空间的影响后果会连通，这是重点。事后的应急响应，是化解、缓解网络安全事件连锁影响的关键手段。油气供应与电力的关系密切，油气短缺可能直接引发电力供应的紧张。这种连锁反应必须考虑到并下力气解决。我们要从组织、人员、机制、指控、协同层面，舆论引导、社会稳定等方面，建立健全体系的响应机制。
人们在享受着万物联网的“狂欢”背后，“危险”也会悄然来临。在经济和政治因素的交织下，网络安全防护就像一场没有硝烟的战争，如何打赢这场网络安全防护的保卫战，关键在于提升系统性安全防御。安帝科技矢志做国家工业网络安全坚定捍卫者，打造数字经济时代工业网络安全的坚实底座。

注：
本文内容均摘自《中国石油石化》杂志
1.《摸不着的“危险”》 作者：于洋 ……摘自《中国石油石化》第14页
2.《我们的管网安全么？》作者：于洋……摘自《中国石油石化》第18页
3.《打造特色防御道路》作者：于洋……摘自《打造特色社会防御道路》第23页