Разработка защищенной структуры сегмента сети предприятия на базе технологии VipNet

1. ДИАГНОСТИЧЕСКИЙ АНАЛИЗ ПРЕДМЕТНОЙ ОБЛАСТИ

В целях повышения уровня защищенности, как РВС ООО «Гаспром» в целом, так и для увеличения количества защищенных сегментов этой РВС, а именно сегмента Изобильненского филиала ЛПУМГ, есть необходимость повысить уровень сетевой безопасности с помощью программы VipNet.

Для повышения уровня сетевой защищенности выбран комплекс программного и программно-аппаратного обеспечения, который предназначен для объединения в единую защищенную виртуальную сеть произвольного числа рабочих станций, мобильных пользователей и локальных сетей и нацелен на решение двух важных задач информационной безопасности рассматриваемого сегмента сети предприятия, а именно:

3. Создание защищенной, доверенной среды передачи конфиденциальной информации с использованием публичных и выделенных каналов связи (Интернет, выделенные физические, спутниковые и беспроводные каналы связи), путем организации виртуальной частной сети (VPN).

4. Развертывание инфраструктуры открытых ключей (PKI) и организации Удостоверяющего Центра с целью интеграции механизмов электронно-цифровой подписи в прикладное программное обеспечение заказчика (системы документооборота и делопроизводства, электронную почту, банковское программное обеспечение, электронные торговые площадки и витрины). Поддерживается возможность взаимодействия с программным обеспечением PKI других отечественных производителей, например, ЗАО «Сигнал-КОМ» и ООО «Крипто-Про».

В настоящее время в состав комплекса ViPNet CUSTOM входит более 10 различных компонент и модулей, позволяющих реализовать множество сценариев защиты информации в современных мультисервисных сетях связи, что подходит для реализации средств сетевой безопасности именно в структуре данного предприятия, из-за сложности структуры РВС и того, что существующая система уже налажена и работает длительное время.

1.2 Общая характеристика предприятия. Изучение функциональной структуры предприятия

Изобильненское ЛПУМГ является основным производственным звеном в системе трубопроводного транспорта газа, главной задачей которого является выполнение установленных заданий по приемке и транспортировке газа от поставщиков, обеспечение бесперебойного снабжения газом потребителей на участке газопровода.

Организационная структура определяет состав и взаимосвязи подразделений ЛПУМГ в целях эффективного управления производством и базируется на рациональной организации труда работающих.

Служащие формируют аппарат управления ЛПУМГ, численность которого распределяется по уровням и подразделениям в соответствии с принятой структурой управления и объемом выполняемых функций в каждом конкретном случае.

Объем выполняемых функций регламентируется в положениях о подразделениях (службах, хозяйствах, группах и т.п.) и должностных инструкциях служащих , утверждаемых руководством ЛПУМГ.

Уровень централизации функций управления характеризует распределение выполняемых работ и соответственно численность служащих между вышестоящим предприятием и ЛПУМГ, между аппаратом руководства ЛПУМГ и его службами (хозяйствами, группами и т.п.). Если конкретная функция (или вид работ) полностью централизована на уровне вышестоящего предприятия, то численность по ней в составе ЛПУМГ не предусматривается. Аналогично, если какие-то виды работ (функции) полностью выполняются специализированными сторонними организациями, подразделения и исполнители по этим работам в составе ЛПУМГ отсутствуют.

ЛПУМГ возглавляет начальник, который подчиняется первому руководителю вышестоящего предприятия.

Организационно-управленческая структура предприятия представлена на рисунке 1.1.

В структуру ЛПУМГ входят:

руководство ЛПУМГ и аппарат при нем;

диспетчерская служба;

газокомпрессорная;

линейно-эксплуатационная служба;

служба энерговодоснабжения;

служба контрольно-измерительных приборов и средств автоматики (автоматизированных систем управления, автоматики и телемеханики);

служба защиты от коррозии;

служба связи (связи и телемеханики ).

В составе служб могут выделяться участки по профилю работ или характеру обслуживаемого оборудования, средств или приборов (по эксплуатации средств защиты от коррозии, по обслуживанию газораспределительных станций, по обслуживанию постоянно работающей электростанции и т.п.). При производственной необходимости некоторые участки могут выводиться в непосредственное подчинение руководства ЛПУМГ: начальника или его заместителя.

Рисунок 1.1 - Организационно-управленческая структура предприятия

1.4 Анализ структуры существующей информационной системы и службы АСУ

Как уровневая подсистема, автоматизированная система (АСУ) включает компоненты следующих функциональных подсистем:

- подсистемы оперативно-диспетчерского управления;

- подсистемы автоматизированного управления энергообеспечением;

- подсистемы экологического мониторинга;

- подсистемы информационной безопасности (систему защиту информации (СЗИ) АСУ ТП магистрального газопровода (МГ) «Россия-Турция» - СЗИ АСУ ТП МГ «Россия-Турция»).

Эти подсистемы являются «сквозными», то есть распределенными по всем уровням АСУ ТП МГ «Россия-Турция». В АСУ ТП входят компоненты, соответствующие ее уровню.

Основное назначение создания АСУ ТП КС:

- обеспечение комплексного автоматизированного контроля и анализа процесса компримирования газа, режимов работы основного и вспомогательного оборудования КС;

- обеспечение дистанционного управления основным и вспомогательным оборудованием КС;

- обеспечение оптимального регулирования режимов работы КС;

- обеспечение автоматической защиты основного и вспомогательного оборудования КС;

- обеспечение интеграции АСУ ТП КС в АСУ ТП МГ «Россия-Турция», в том числе эффективного технического и информационного взаимодействия с уровнем АСУ ТП Изобильненского ЛПУМГ;

- повышение надежности работы и эффективности использования основного и вспомогательного оборудования КС;

- снижение затрат ручного труда оперативного и обслуживающего персонала.

1.5 Описание процесса деятельности с точки зрения защищенного информационного обмена

Компрессорная станция (КС) «Ставропольская» предназначена для компримирования и охлаждения газа с целью его транспортировки до следующей КС. КС компримирует газ до определенного давления.

Технологическая схема КС предусматривает один цех, оснащенный следующим основным и вспомогательным оборудованием.

К основному оборудованию относятся:

- Газоперекачивающие аппараты (ГПА) типа ГПА-12/16 «Урал» единичной мощности несколько МВт производства НПО «Искра» г. Пермь;

- блок аппаратов воздушного охлаждения (АВО), включающий шесть аппаратов поставки фирмы «Нуово Пиньоне» (Италия);

- установка очистки газа (установки циклонных пылеуловителей) с емкостями для сбора конденсата;

- установка подготовки топливного и импульсного газа (индивидуальная);

- крановая обвязка и коммуникации, осуществляющие подключение цеха к МГ, условно выделяемые в узел подключения;

- общецеховые краны (байпасные, рециркуляционные) и коллектора.

Кроме основного оборудования компрессорный цех (КЦ) оснащен вспомогательным оборудованием (склад горюче-смазочных материалов (ГСМ) с насосами и блоками резервуаров, склад метанола, компрессорная сжатого воздуха, системы приточной и аварийно-вытяжной вентиляции), а также оборудованием, относящимся к подсистеме энергообеспечения (объекты тепло-, водо- и электроснабжения, канализационно-очистные сооружения).

В состав АСУ ТП КС входят установки автоматического пожаротушения, пожарообнаружения и контроля загазованности ГПА.

В составе АСУ ТП КС предусматривается контроль и управление кранами линейной части с АРМ диспетчера через локальную технологическую станцию (СЛТ).

Основными аспектами деятельности эксплуатационного персонала КС «Ставропольской» (диспетчерская служба, служба контрольно-измерительных приборов и автоматики (КИПиА), служба газокомпрессорной станции (ГКС), служба энергетики) являются:

- контроль и анализ процесса компримирования газа в КЦ;

- контроль состояния основного и вспомогательного оборудования;

- регулирование процесса компримирования с целью поддержания параметров, обеспечивающих транспортировку газа по газопроводу в целом;

- управление основным оборудованием КЦ (газоперекачивающие агрегаты, основные краны, АВО, установка подготовки импульсного и топливного газа (УПТИГ), установка очистки газа);

- управление вспомогательным оборудованием КЦ;

- управление линейной частью газопровода «Россия - Турция» в рамках Изобильненского ЛПУМГ и кранами газоизмерительной станции (ГИС);

- контроль энергообеспечения и управление оборудованием энергообеспечения;

- обеспечение защиты оборудования КЦ от разрушения;

- контроль и учет потребления газа на собственные нужды КЦ, в т.ч. газа на компримирование;

- обеспечение своевременного ремонта и техобслуживания основного и вспомогательного технологического оборудования;

- обеспечение контроля, замены, модернизации метрологического оборудования;

- контроль экологического состояния в регионе КС;

- обеспечение безопасности протекания технологических процессов и деятельности персонала;

- ведение учета и отчетности функционирования КЦ и осуществляемых мероприятий;

- автоматическая передача регламентированного набора информации на уровень Изобильненского ЛПУМГ.

АСУ ТП КС предназначена для частичной или полной автоматизации перечисленных функций с целью повышения их эффективности.

Подсистема оперативно-диспетчерского управления обеспечивает большую часть функций АСУ ТП КС и, в первую очередь, функции контроля и управления. Управление основным технологическим оборудованием осуществляется системой автоматического управления и регулирования компрессорным цехом, в дальнейшем САУ и РКЦ.

Подсистема автоматизированного управления энергообеспечением осуществляет контроль и учет потребления электро-, водо- и теплоресурсов, контроль и управление объектами электро-, водо- и теплоснабжения, а также канализационно-очистными сооружениями.

Подсистема экологического мониторинга обеспечивает контроль экологического состояния в регионе КС.

Оперативное управление КС осуществляется сменным инженером с АРМ сменного инженера КС, расположенного в производственно-энергетическом блоке (ПЭБ).

Часть функций управления (основные цеховые краны и ГПА, останов цеха) и общецехового регулирования реализована от диспетчерского пульта (ДП) Изобильненского ЛПУМГ. При этом реализуется механизм управления, обеспечивающий в каждый момент времени управление от одного пульта, с передачей прав управления автоматически (при отказах управляющего пульта) и по запросу оператора. Функции дистанционного управления объектами КС распределяются между уровнями ЛПУМГ и КС в рамках организационных решений по регламенту оперативно-диспетчерского управления.

Основным пунктом концентрации функций контроля и управления работой КС является АРМ сменного инженера КС на всех этапах эксплуатации. Команды управления, приходящие с уровня АСУ ТП ЛПУМГ, фиксируются на АРМ сменного инженера КС.

С уровня АСУ ТП ЛПУМГ на уровень АСУ ТП КС передаются необходимые граничные параметры режима работы цеха для их реализации.

Команды на установки, принадлежащие системе энергообеспечения, передаются как с АРМ энергетика, так и с АРМ диспетчера. При этом должен разрабатывается регламент и соответствующий механизм распределения прав управления. Резервирование контроля и управления энергетическим оборудованием введено в связи с работой энергетических служб в одну смену. Диспетчерская служба работает круглосуточно.

Основные принципы реализации дистанционного управления соответствуют требованиям нормативного документа «Отраслевая система оперативно диспетчерского управления (ОСОДУ) ЕСГ России. Общесистемные технические требования» На основании Технического проекта заказчик утвердил регламент диспетчерского управления, основанный на использовании средств АСУ ТП МГ.

Контроль режимов работы и состояния КЦ и его элементов осуществляется путем сбора информации по всем автоматизируемым технологическим узлам, обработки и анализа собранной информации, отображения ее на АРМ диспетчера КС.

Состав отображаемой информации определяется исходя из достаточности для принятия оперативных решений по управлению объектами КЦ.

Состав, глубина и периодичность архивирования информации обеспечивают возможность анализа функционирования оборудования КЦ, в том числе анализа аварийных ситуаций.

Состав информации на информационном сервере SCADA, поступающей путем сбора и вводимой с клавиатуры АРМ диспетчера, обеспечивает формирование выходных документов уровня ДП КС «Ставропольская».

1.6 Структура и состав защищаемой системы и структуры АСУ

АСУ ТП КС включает компоненты нескольких функциональных подсистем. Все подсистемы объединяются в общую информационную сеть для организации управления и контроля технологическими процессами всех технологических объектов. Информационная сеть закольцована и строится по технологии Industrial Ethernet.

Все автоматизируемые технологические узлы общецехового основного и вспомогательного оборудования автоматизируется с помощью соответствующей САУ, реализованной на платформе SIMATIC S7 производства фирмы Siemens, с подключением выносных или встроенных СЛТ (реализация на модулях ЕТ200М) или «внешних» САУ:

САУ РКЦ - регулятор КЦ с подключением САУ ГПА;

САУ установки подготовки топливного и импульсного газа (УПТИГ) (с подключением СЛТ УПТИГ), СЛТ узла отчистки газа (УОГ) и расходомера для расчета расхода газа на собственные нужды;

САУ аппаратов воздушного охлаждения (АВО) газа (с подключением внешней САУ АВО);

САУ узла подключения(УП) КЦ (САУ УП) (с подключенной СЛТ УП);

САУ технологических кранов площадки КС и компрессорной сжатого воздуха (САУ КЦ) с подключенной «внешней» САУ пожаротушения, пожарообнаружения и контроля загазованности;

САУ ПЭБ, контролирующая ГСМ (СЛТ ГСМ), комплексную трансформаторную подстанцию ПЭБ (СЛТ ПЭБ), станцию катодной защиты “Парсек”, ГИС (САУ ГИС);

САУ вспомогательного оборудования, контролирующая склад метанола (СЛТ СМ), водоснабжение (СЛТ ВОС), канализационно-очистные сооружения (СЛТ KOC), катодную трансформаторную подстанцию АВО (СЛТ КТП АВО), субподсистему автоматизированной системы комплексного учета электроэнергии (АСКУЭ) коммерческого учета и контроля расхода электроэнергии;

«Внешняя» САУ электростанции собственных нужд (ЭСН), подключаемая к сети Ethernet и имеющая свой пульт управления;

САУ артскважин (САУ АС);

«Внешняя» САУ ГИС подключается через собственный пульт управления (компьютер) по протоколу.

Взаимосвязи между СЛТ и САУ SIMATIC осуществляются по протоколу Profibus DP, связь с «внешними» САУ - по протоколу Modbus.

Основным модулем любой САУ, а также регулятора КЦ, служит программируемый логический контроллер SIMATIC. Применение данной серии контроллеров обусловлено следующими их характеристиками:

широкий спектр модулей ввода-вывода и центральных процессоров для максимальной адаптации к требованиям решаемой задачи;

высокая гибкость, благодаря мощной поддержке распределенных структур управления и интенсивного сетевого обмена данными;

возможность дальнейшего увеличения функциональных возможностей по мере развития производства;

работа с естественным охлаждением;

простота обслуживания.

Если алгоритмы управления становятся более сложными и требуют применения дополнительного оборудования, контроллер позволяет легко нарастить свои возможности установкой дополнительного набора модулей.

Управление на уровне ДП КС предусмотрено с АРМ диспетчера (резервированного), АРМ энергетика (управление оборудованием, подведомственным АСУ). Предусмотрен механизм делегирования прав управления между АРМ.

Резервированный сервер SCADA обеспечивает хранение и ведение базы данных реального времени.

Сервер SCADA называется главным информационным сервером. Главный сервер играет роль сервера интерфейса процесса системы SCADA. Он организует и осуществляет процесс связи с системами автоматизации (с программируемыми логическими контроллерами), которые непосредственно подключены к локальной вычислительной сети (LAN). Этот сервер обеспечивает получение и контроль за получением данных о процессе, обработку данных об объекте, краткосрочное архивирование действительных данных и случайных событий. Текущие величины, их состояние и параметры вводятся в ориентированную на объект картину процесса. Для отдельного Сервера архивирования предусмотрено долгосрочное архивирование данных с временным хранением результатов.

Главные информационные серверы полностью зарезервированы. Главные серверы подключаются к локальной вычислительной сети и связываются с другими рабочими станциями распределенной сети с использованием протокола TCP/IP.

Клавиатура, монитор и мышь главного сервера требуются только для установки системы, проведения технического обслуживания системы и поиска в ней неисправностей в случае их возникновения и не требуются при нормальной работе системы SCADA.

Сервер архивирования содержит архивные данные. Обмен с уровнем ДП ЛПУМГ осуществляется через коммуникационный сервер.

Блок экстренного аварийного останова (БЭАО) резервирует функции аварийного останова цеха и перекрытия газопровода. БЭАО представляет распределенное программно-аппаратное устройство, осуществляющее управляющие воздействия на распределенное по промплощадке КЦ основное оборудование технологического процесса через узлы БЭАО, расположенные в шкафах автоматики. Локальные узлы БЭАО контролируют оборудование, участвующее в экстренном аварийном останове. Связь пультов БЭАО с распределенными блоками осуществляется по физическим каналам связи.

Для реализации функций на панели БЭАО предусмотрены кнопки. Для реализации экстренного аварийного останова цеха предусмотрена дополнительная кнопка.

Независимые блоки ЭАО обеспечивают аппаратное дублирование следующих функций САУ и СЛТ оборудования, задействованного в функциях БЭАО.

Ядром подсистемы оперативно-диспетчерского управления АСУ ТП КС является совокупность программно-технических средств, обеспечивающих реализацию всех информационных и управляющих функций в части основного технологического оборудования. Ядро включает:

систему автоматического управления и регулирования основным оборудованием компрессорного цеха (САУ и РКЦ);

блок и пульты экстренного останова цеха;

сервер SCADA;

АРМ диспетчера;

ЛВС АСУ ТП КС (Industrial Ethernet).

Структура АСУ ТП КС основана на применении единой информационной сети. Для построения сети используется стекловолоконный кабель для Industrial Ethernet (Fiber Optic Cable - FOC). Сеть строится по технологии Fast Ethernet (100 Мбит/с). К общей сети подсоединяются все устройства САУ, разработанные на платформе SIMATIC S7, информационный сервер SCADA, коммуникационный сервер, все оперативные АРМ.

Для подключения к сети отдельных устройств используются Оптические коммутирующие модули. Для организации резервируемой связи между двумя кольцами выделяется две пары модулей, включенных в разные кольца. На этих модулях с помощью переключателей активизируются функции резерва.

Выбор конкретного типа и количества модулей определяется проектом построения единой информационной сети.

Компоненты подсистемы автоматизированной системы управления энергообеспечением (АСУ Э) на уровне АСУ ТП КС выделяются только функционально (контроль и управление энергооборудованием, объектами водо- и теплоснабжения, канализационно-очистными сооружениями). При реализации АСУ Э используются те же средства, что и при реализации компонентов непосредственно АСУ ТП КС.

Функции нижнего уровня (сбор и первичная обработка параметров процесса, прием и реализация дистанционных команд управления технологическим оборудованием) выполняются СЛТ.

САУ ЭСН поставляется комплектно с технологической частью ЭСН.

Локальные и «внешние» САУ подключаются к САУ, реализованным на платформе SIMATIC S7. На уровне SIMATIC S7 осуществляется обработка информации для передачи по сети Ethernet и реализация необходимых алгоритмов управления и защиты объектов энергообеспечения.

Далее информация по сети Industrial Ethernet поступает в общую базу данных реального времени на сервере SCADA и общую архивную базу данных на архивном сервере.

Визуализация информации по энергетическому оборудованию и все функции АСУ Э реализованы на АРМ энергетика. Информация по энергооборудованию также отражается на АРМ диспетчера, АРМ специалистов.

Команды управления на энергооборудование, оборудование водо- и теплоснабжения и оборудование КОС передаются с АРМ энергетика, подключенного к общей сети Industrial Ethernet и резервированного. На уровень ДП ЛПУ информация АСУ Э передается в составе общих потоков информации через коммуникационный сервер.

Подсистема производственно-экологического мониторинга (ПЭМ) состоит из информационно-измерительной сети, включающей:

автоматические посты контроля загазованности (ПКЗ);

передвижные экологические лаборатории;

посты контроля уровня подземных вод (ПКПВ);

автоматические метеопосты;

технические средства контроля выбросов ГПА (поставляются в составе ГПА);

АРМ пункта сбора данных на КС.

ПКЗ, ПКПВ подключаются к АРМ пункта сбора данных при помощи выделенных каналов передачи данных. Автоматические метеопосты подключаются к контрольным пунктам СЛТМ.

АРМ пункта сбора данных подключается по шине Ethernet к ЛВС АСУ ТП КС.

Структура существующей АСУ КС «Ставропольская» представлена на рисунке 2.1.

Рисунок 2.1 - Схема существующей АСУ ТП

1.7 Процессы реализующие прикладные задачи

Прикладные задачи на уровне АСУ ТП КС обеспечивают автоматизируемые функции системы. Прикладные задачи реализуются на уровне САУ (САУ, разработанные на платформе SIMATIC и цехового регулятора) и на уровне АРМ диспетчера КС. На уровне САУ реализуются задачи, функционирующие в режиме реального времени и задачи, связанные с управлением и регулированием. На АРМ диспетчера КС функционируют задачи в режиме off-line, задачи формирования и просмотра документов, графиков, таблиц, визуализации технологических, диагностических данных, подачи команд управления и отслеживания их выполнения, сигнализации аварийных событий и т.д. Задачи, решаемые на АРМ диспетчера, реализуются в среде SCADA WinCC или вне ее с обеспечением интерфейса с базой данных.

Существует ряд «сквозных» задач (аварийные остановы цеха, параметризация и другие), выполнение которых распределяется между АРМ и САУ.

Результаты решения и процесс выполнения прикладных задач, инициируемых с оперативных АРМ и выполняемых в САУ, визуализируются на видеокадрах АРМ.

Математическое обеспечение прикладных задач АСУ ТП КС согласовано с другими уровнями АСУ ТП МГ, что обеспечивается:

использованием единых моделей расчета режимов работы объектов, соответствующих документу «ОНТП 51-1-85. Общесоюзные нормы технологического проектирования. Магистральные газопроводы». М., Мингазпром, 1985;

использованием единой нормативно-справочной информации;

использованием верхним уровнем управления результатов нижнего уровня;

использованием уставок, передаваемых с верхнего уровня при производстве расчетов на нижнем уровне;

соблюдением очередности и временной последовательности задач, составляющих единую технологическую цепочку.

Уравнения, описывающие оборудование КС, представляются в стационарном варианте, поскольку процессы динамики компримирования газа проходят на порядок быстрей, чем в линейной части, и нет необходимости рассматривать развитие нестационарного процесса во времени в проточной части нагнетателя. Модель нагнетателя включает напорные, мощностные, температурные и КПД-характеристики, а также способы описания технологических ограничений в соответствии с нормативными документами ОАО «Газпром» (ОНТП-51-1-85. Магистральные газопроводы).

Алгоритмы, функционирующие в режиме off-line, имеют интерфейс с базой данных для получения значений фактического режима. В режиме off-line предусмотрена возможность проведения вариантных расчетов с сохранением результатов.

1.8 Обоснование актуальности разработки

В связи с выводами, проделанными в ходе анализа системы, в которой были выявлены узкие звенья защиты, циркулирующей в сегменте сети информации, предложено их защитить с помощью технологии сетевой защиты на базе программы VipNet Custom. Для чего был проведен предварительный анализ возможности внедрения данной программы в сегменты РВС,

Выводы

2.1 Разработка защищенной структуры сегмента сети предприятия на базе технологии VipNet

2.1.1 Структура защищенной РВС на базе программы VipNet для Изобильненского филиала ЛПУМГ

В ходе работы над дипломным проектом, учитывая структуру РВС ООО «Газпром», предложена следующая общая структура защищенной распределенной вычислительной сети.

2.1.2 Структура межведомственного взаимодействия на базе программы VipNet для Изобильненского филиала ЛПУМГ

Для реализации такой структуры была разработана в общем виде, защищенная структура межведомственного взаимодействия с любым количеством других сетей ViPNet, в соответствии с заданными связями между отдельными узлами этих сетей, которая показана на рисунке 2.

Преимуществом такой структуры является то, что нет необходимости перенастраивать конфигурацию РВС, так как возможности ПО позволяют, без вмешательства в аппаратную и программную часть сети, выполнять следующие необходимые для реализации разработанной защищенной структуры следующее:

1. добавить или удалить сетевой узел (Клиент\Координатор);

2. добавить или удалить связи между сетевыми узлами;

3. создать, изменить, удалить ключевую и справочную информацию;

4. изменить полномочия абонентов.

Возможности представляющиеся технологией ViPNet для построения VPN.

С помощью технологии ViPNet также были реализованы функции межсетевого экрана как для открытых соединений, так и для защищенных, системы обнаружения вторжений (IDS), IM-клиента, почтовой службы (защищенной от спама и несанкционированного доступа), назначения виртуальных адресов видимости.

2.2 Решение для защиты сегмента сети преприятия на базе выбранного комплекса ViPNet