当水厂越来越“智慧”，如何守住城市供水安全底线？

城市供水系统是保障城市运行的关键基础设施，从水源地取水、净水厂处理，到泵站加压输送、管网调度，其背后是一套工业控制系统支撑的生产运行体系，直接关系取水、制水、输水等关键环节的连续稳定运行。

随着智慧水务建设的推进，物联网、大数据、云计算等技术加速融入水务生产与管理，实现了对水务全过程的智能感知与优化调度。但与此同时，越来越多现场设备、控制系统与业务系统实现互联互通，水务工控网络由相对封闭走向开放，安全边界日趋复杂。

一旦水务工控系统遭受网络攻击，可能导致取水泵停转、加药系统失控、管网调度紊乱等严重后果，直接影响城市供水安全。因此，在保障智慧水务高效运行的同时，构建安全可靠的工业控制系统安全防护体系，已成为城市供水数字化建设中亟待解决的重要课题。

自从“智慧水务”的理念提出以来，物联网、云计算、大数据、移动互联网为代表的新一代信息技术的大量应用，推动了智慧供水的建设，智慧水务系统建立了“一个网络、一个平台、一个中心、一个窗口”的“四个一”运营管理体系结构，使城镇水务的生产、销售、服务、管理各个环节得到有效整合。

图1智慧水务系统架构

智慧水务系统集成了大量的传感器、控制器、通信设备等，这些设备在带来高效便捷的同时，也增加了系统的安全风险。一方面，网络攻击者可能利用系统漏洞进行恶意攻击，导致系统瘫痪、数据泄露等严重后果；另一方面，工业设备自身的漏洞和老化问题也可能引发安全事故。智慧水务系统面临的安全风险挑战主要包括以下几个方面：

勒索病毒、挖矿病毒以及黑客等威胁：随着智慧水务系统的发展，其暴露面增大，网络安全威胁日益严重。攻击者可能利用病毒、恶意软件等手段对系统进行攻击，导致系统瘫痪、数据泄露等严重后果。

弱密码和身份验证：如果系统使用弱密码或者缺乏足够的身份验证措施，攻击者可能通过猜测密码或者使用暴力破解工具来获取系统访问权限。

僵尸网络和分布式拒绝服务（DDoS）攻击：攻击者可能通过控制大量受感染的设备对系统发起DDoS攻击，导致系统瘫痪。

国内水务企业工业控制系统大量采用进口工业控制设备，这些设备普遍存在漏洞，可能被攻击者利用进行脚本攻击改变操作指令，进而影响生产正常进行。

随着使用年限的增加，水务系统中的设备和系统可能面临老化问题，导致性能下降、故障频发，增加系统风险。

城市水务工业控制系统的工业主机通常是Windows平台，通常不会对操作系统安装任何补丁，存在很大的安全隐患。攻击者可以利用这些漏洞来入侵系统或者执行恶意代码。

泵站/净水厂控制系统存在大量漏洞和后门，攻击者可以利用这些漏洞来执行恶意操作或窃取数据。

追求可用性而牺牲安全性是水务工业控制系统存在的普遍现象，缺乏完整有效的安全管控措施、缺乏工业安全审计设备和安全日志统计分析手段，无法实现对工业控制网络的可感知与可控制。

城市供水系统是一个复杂而关键的基础设施网络，旨在将水从水源地（如河流、湖泊、水库或地下水）输送到家庭、商业和工业用户。由水源地、水处理、泵站、输水管网、配水管网、储存设施、水质监测、控制系统等组成。为了保障城市供水系统的安全，建议从以下四个方面进行智慧水务系统的安全能力提升。

部署工业防火墙：在智慧水务系统的关键区域和边界处部署工业防火墙，实现不同业务功能网络的物理隔离，确保网络数据的安全传输。

加强网络安全监控：实时监测恶意流量、恶意脚本、网络攻击等，及时发现并应对网络安全威胁。

强化密码管理：加强密码管理，及时更改密码，避免使用容易被破解的密码，确保系统账号安全。

部署安全审计系统：在控制中心、各闸泵站、各监测站部署工控安全监测与审计系统、日志审计与分析系统，对工业网络访问行为、系统操作行为等进行持续监测和审计，确保安全威胁行为被及时发现和处理。

实施主机安全防护：在操作站、工程师站等上位机及服务器上部署工控主机安全防护系统，以白名单形式实现身份鉴别、防病毒、端口管控等安全防护，为主机系统安全运行提供必要的安全保障。

完善安全管理中心：部署统一安全管理平台/态势分析与安全运营管理平台，监控分析自身资产，把控威胁；部署工控漏洞扫描系统，摸清家底，认清威胁。

建立标准流程和规范：制定办公及生产网络各种安全操作的标准流程和相关规范，确保运维操作的规范性和安全性。

提升人员安全意识：加强人员工控网络安全意识培训，提高安全理念，确保人员操作符合安全要求。

实施操作管控：对维护人员操作进行管控，避免非法、非授权安装与使用等不安全行为，确保系统安全稳定运行。

系统更新：定期对智慧水务系统进行更新和升级，确保系统能够及时应对新的网络安全威胁。

软件升级：对水务系统软件进行定期升级和更换，确保软件的安全性和稳定性。

城市自来水工控系统作为城市供水系统的主要组成部分，其生产过程中产生大量关于水质、水量、设备状态等的数据是智慧水务系统的重要输入，为智慧水务的决策分析提供基础。自来水工控系统通过数据采集和传输技术，将实时数据传递给智慧水务的各业务应用系统。同时，智慧水务的业务应用系统也可以通过远程控制指令，对自来水工控系统进行操作和调整。

城市自来水工控系统的网络安全防护主要针对城市自来水取水、过滤、加氯、送水等工艺流程中用于监视和控制，考虑到市政自来水工控系统的特性，从安全技术、安全管理、安全运维出发，多维度建设自来水工控系统整体安全，并遵循纵深防御原则、集中管理原则、适度防护原则、技术管理并重原则、动态调整原则、自主可控原则。威努特提出基于“白名单”机制的自来水工控系统网络安全“白环境”解决方案，通过对工控网络流量、工控主机状态等进行监控，收集并分析工控网络数据及软件运行状态，建立工控系统正常工作环境下的安全状态基线和模型，进而构筑自来水工控系统安全“白环境”防护理念。

图2 自来水工控系统网络安全“白环境”解决方案

首先，在每个自来水厂网络边界、加压泵站网络边界、取水泵站网络边界部署工业防火墙/工业互联防火墙，通过技术手段实现安全区域边界的“白环境”，实现访问控制白名单固化、工业协议白名单固化、业务白名单固化。

图3 边界白名单防护

其次，针对现场工业主机及调度中心生产管理主机部署工控主机卫士，建立工控主机安全计算环境 “白名单”，实现应用锁定、系统锁定、外设锁定、网络锁定，协同统一安全管理平台建立工控主机的安全管理中心、安全状态监测中心。

图4 主机安全四重锁定

针对重要工业主机、办公网终端部署主机防勒索系统，通过勒索行为监测，精准识别勒索病毒、保护系统资源不被破坏、保护主机重要数据不被篡改。

图5 主机勒索行为监测

再次，在重要网络节点部署工控安全监测与审计系统，实时监测生产系统内关键网络节点的业务流量，建立安全通信网络“白环境”，实现工控网络异常流量监测、异常行为监测。

图6 工业网络异常行为监测

同时，在网络核心节点部署入侵检测系统，实时检测网络流量中的病毒、蠕虫、木马、间谍软件、注入攻击等网络攻击，及时发现工业网络的安全威胁并实时告警入侵行为。

图7 工业网络威胁攻击检测

在自来水集团调度中心生产管理网、自来水厂过程监控层建设安全管理中心，部署工控漏洞扫描系统、安全运维管理系统、日志审计与分析系统，数据库审计系统等设备，实现工业资产漏洞无损探测、安全运维、数据库行为审计、日志审计分析等能力提升。同时，将采集的漏洞资产数据及审计数据统一发送到态势分析与安全运营管理平台进行二次分析展示。

图8 工业网络资产脆弱性探测

图9 工业网络资产日志分析

部署态势分析与安全运营管理平台，全方位感知自来水系统网络安全态势，实现资产管理、风险展示、业务可视、合规分析等，做到业务安全监测、态势分析以及攻击溯源能力提升建设，最终建立可靠的安全运营机制。

图10 工业网络安全态势展示

基于工业安全“白环境”理念及工业安全设备防护部署，威努特通过强化各工业控制子系统的网络、主机、环境及数据的安全防护，结合管理制度、组织人员、系统建设、系统运维等管理支撑，实现自来水工控系统安全能力提升，增强整体安全防御能力，保障自来水企业安全生产稳定运行。

根据某省实施乡村振兴战略的要求和省水利厅加快农村供水体制改革创新,推进城乡供水一体化的工作部署,力争全市规模化自来水覆盖率达95%,建成与当地经济发展水平相一致的供水系统。某水投集团公司通过投资城乡供水一体化项目，完成净水厂、加压泵站、模块化水处理设施的信息化、自动化、智慧化系统建设，实现由水源地到用户终端的全程实时监测监控，将“传统水务”向“智慧水务”迈进。

按照该市水源网络配置总体布局及城乡供水一体化项目总体规划要求，威努特供水基于“白环境”技术理念，按照“一个中心，三重防护”原则，构建边界隔离“白环境”、网络异常检测“白环境”、主机安全免疫“白环境”能力，通过工业互联墙、工控主机卫士、入侵检测系统、工控安全监测与审计系统、日志审计与分析系统、安全运维管理系统、统一安全管理平台等产品的落地，实现全面助力水务工作精细化管理，达到降低漏损、统一调度、快速反应和集约管理的目的，保障供水安全，实现城乡供水系统高效、可靠、安全运转，并通过等保三级测评，满足等保安全政策合规要求。

图11 某市智慧水务安全项目案例

该项目的落地，在城市水务系统的工控安全建设方面实现了试点标杆效果，为全国各地的城市供水控制系统的安全防护建设提供参考模板，在保障水务生产系统安全、可靠、稳定运行，帮助水务运行单位建立可信、可管、可控的工控安全防护技术体系，提升水务工控生产系统信息化水平，提高水务工控系统安全生产管理能力，助力水务部门实现智慧水务工作目标的推进。

智慧水务是城市供水系统发展的重要方向，而工业安全则是智慧水务系统稳定运行的保障，威努特自来水工控系统安全解决方案通过全工控网络边界安全建设、工控网络通信安全建设、工控主机安全建设和安全管理中心建设等手段，为城市供水系统提供了全方位的安全保障。未来，随着技术的不断进步和应用的不断深化，威努特将继续致力于智慧水务安全领域的研究和创新，为城市供水系统的安全稳定运行贡献力量。