隨著計算機和網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是信息化與工業(yè)化深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接，病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴散，工業(yè)控制系統(tǒng)信息安全問題日益突出。2010年發(fā)生的“震網(wǎng)”病毒事件，充分反映出工業(yè)控制系統(tǒng)信息安全面臨著嚴峻的形勢。對此，各地區(qū)、各部門、各單位務(wù)必高度重視，增強風險意識、責任意識和緊迫感，切實加強工業(yè)控制系統(tǒng)信息安全管理。”
本文分析了當前工業(yè)控制系統(tǒng)的安全漏洞，并結(jié)合工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)架構(gòu)和多芬諾工業(yè)防火墻的“測試”模式功能，詳細介紹了工業(yè)控制系統(tǒng)信息安全的縱深防御策略，致力于建立一個“本質(zhì)安全”的工業(yè)控制網(wǎng)，從而解決了困擾各公司的控制系統(tǒng)信息安全隱患，保證了企業(yè)各裝置控制系統(tǒng)的安全平穩(wěn)運行。
一、工業(yè)控制系統(tǒng)信息安全現(xiàn)狀分析
近十年來，隨著信息技術(shù)的迅猛發(fā)展，信息化在我們企業(yè)中的應(yīng)用取得了飛速發(fā)展，互聯(lián)網(wǎng)技術(shù)的出現(xiàn)，使得工業(yè)控制網(wǎng)絡(luò)中大量采用通用TCP/IP技術(shù)，ICS網(wǎng)絡(luò)和企業(yè)管理網(wǎng)的聯(lián)系越來越緊密。另一方面，傳統(tǒng)工業(yè)控制系統(tǒng)采用專用的硬件、軟件和通信協(xié)議，設(shè)計上基本沒有考慮互聯(lián)互通所必須考慮的通信安全問題。企業(yè)管理網(wǎng)與工業(yè)控制網(wǎng)的防護功能都很弱或者甚至幾乎沒有隔離功能，因此在工控系統(tǒng)開放的同時，也減弱了控制系統(tǒng)與外界的隔離，工控系統(tǒng)的安全隱患問題日益嚴峻。系統(tǒng)中任何一點受到攻擊都有可能導致整個系統(tǒng)的癱瘓。
1.1工業(yè)控制系統(tǒng)的安全漏洞
1、通信協(xié)議漏洞
兩化融合和物聯(lián)網(wǎng)的發(fā)展使得TCP/IP協(xié)議和OPC協(xié)議等通用協(xié)議越來越廣泛地應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中，隨之而來的通信協(xié)議漏洞問題也日益突出。
例如，OPC Classic協(xié)議(OPCDA,OPCHAD和OPC A&E) 基于微軟的DCOM協(xié)議，DCOM協(xié)議是在網(wǎng)絡(luò)安全問題被廣泛認識之前設(shè)計的，極易受到攻擊，并且OPC通訊采用不固定的端口號，導致目前幾乎無法使用傳統(tǒng)的IT防火墻來確保其安全性。因此確保使用OPC通訊協(xié)議的工業(yè)控制系統(tǒng)的安全性和可靠性給工程師帶來了極大的挑戰(zhàn)。
2、操作系統(tǒng)漏洞
目前大多數(shù)工業(yè)控制系統(tǒng)的工程師站/操作站/HMI都是Windows平臺的，為保證過程控制系統(tǒng)的相對獨立性，同時考慮到系統(tǒng)的穩(wěn)定運行，通?，F(xiàn)場工程師在系統(tǒng)開車后不會對Windows平臺安裝任何補丁，但是存在的問題是，不安裝補丁系統(tǒng)就存在被攻擊的可能，從而埋下安全隱患。
3、安全策略和管理流程漏洞
追求可用性而犧牲安全，是很多工業(yè)控制系統(tǒng)存在的普遍現(xiàn)象，缺乏完整有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信息安全帶來了一定的威脅。例如工業(yè)控制系統(tǒng)中移動存儲介質(zhì)包括筆記本電腦、U盤等設(shè)備的使用和不嚴格的訪問控制策略。
4、殺毒軟件漏洞
為了保證工控應(yīng)用軟件的可用性，許多工控系統(tǒng)操作站通常不會安裝殺毒軟件。即使安裝了殺毒軟件，在使用過程中也有很大的局限性，原因在于使用殺毒軟件很關(guān)鍵的一點是，其病毒庫需要不定期的經(jīng)常更新，這一要求尤其不適合于工業(yè)控制環(huán)境。而且殺毒軟件對新病毒的處理總是滯后的，導致每年都會爆發(fā)大規(guī)模的病毒攻擊，特別是新病毒。
5、應(yīng)用軟件漏洞
由于應(yīng)用軟件多種多樣，很難形成統(tǒng)一的防護規(guī)范以應(yīng)對安全問題;另外當應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時，就必須開放其應(yīng)用端口。因此常規(guī)的IT防火墻等安全設(shè)備很難保障其安全性?；ヂ?lián)網(wǎng)攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞獲取諸如污水處理廠、天然氣管道以及其他大型設(shè)備的控制權(quán)，一旦這些控制權(quán)被不良意圖黑客所掌握，那么后果不堪設(shè)想。
1.2工業(yè)控制系統(tǒng)的安全防御措施要求
一般來說，公司的IT部門人員了解信息安全相關(guān)知識，但并不了解過程控制系統(tǒng)。而且傳統(tǒng)IT環(huán)境和工控系統(tǒng)環(huán)境之間存在著一些關(guān)鍵不同，例如，控制系統(tǒng)通常需要每周7天，每天24小時的長期運行。因此控制系統(tǒng)的特殊功能要求可能使原本合格的安全技術(shù)變得沒有效果。所以，簡單地將IT安全技術(shù)配置到工控系統(tǒng)中并不是高效可行的解決方案。
國際行業(yè)標準ANSI/ISA-99明確指出目前工業(yè)控制領(lǐng)域普遍認可的安全防御措施要求如下：
即將具有相同功能和安全要求的控制設(shè)備劃分到同一區(qū)域，區(qū)域之間執(zhí)行管道通信，通過控制區(qū)域間管道中的通信內(nèi)容來確保工業(yè)控制系統(tǒng)信息安全。
1.3“縱深防御”策略
目前，以西門子為首的工業(yè)控制系統(tǒng)信息安全產(chǎn)品和服務(wù)提供商，普遍提倡在工業(yè)控制系統(tǒng)信息安全解決方案中采用“縱深防御”的策略。圖1為西門子安全工控系統(tǒng)的“縱深防御”示意圖。從圖中不難看出，西門子基于縱深防御的安全工控系統(tǒng)的特點在于，在外部世界的威脅和工控網(wǎng)絡(luò)之間建立盡可能多層次的防護，通過部署多層次、具有不同針對性的防護措施，保護關(guān)鍵的工業(yè)自動化控制過程與應(yīng)用的安全。
圖1-西門子安全工控系統(tǒng)的“縱深防御”
雖然不同提供商“縱深防御”策略的內(nèi)容各有不同，但基本上都嚴格遵循ANSI/ISA-99標準，是提高工業(yè)控制系統(tǒng)信息安全的最佳選擇。建立“縱深防御”的最有效方法是采用ANSI/ISA-99.02.01和IEC-63443標準的區(qū)級防護，將網(wǎng)絡(luò)劃分為不同的安全區(qū)，在安全區(qū)之間按照一定規(guī)則安裝防火墻。
建立“縱深防御”策略的兩個主要目標：
1、即使在某一點發(fā)生網(wǎng)絡(luò)安全事故，也能保證裝置或工廠的正常安全穩(wěn)定運行對于現(xiàn)代計算機網(wǎng)絡(luò)，我們認為最可怕的是病毒的急速擴散，它會瞬間令整個網(wǎng)絡(luò)癱瘓，該防護目標在于當工業(yè)網(wǎng)絡(luò)的某個局部存在病毒感染或者其它不安全因素時，不會向其它設(shè)備或網(wǎng)絡(luò)擴散，從而保證裝置或工廠的安全穩(wěn)定運行。
2、工廠操作人員能夠及時準確的確認故障點，并排除問題怎樣能夠及時發(fā)現(xiàn)網(wǎng)絡(luò)中存在的感染及其他問題，準確找到故障的發(fā)生點，是維護控制系統(tǒng)信息安全的前提。
二、工業(yè)控制系統(tǒng)信息安全的縱深防御
2.1工業(yè)系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)及安全區(qū)域的劃分
從總體結(jié)構(gòu)上來講，工業(yè)系統(tǒng)網(wǎng)絡(luò)可分為三個層次：企業(yè)管理層、數(shù)采信息層和控制層。企業(yè)管理層主要是辦公自動化系統(tǒng)，一般使用通用以太網(wǎng)，可以從數(shù)采信息層提取有關(guān)生產(chǎn)數(shù)據(jù)用于制定綜合管理決策。數(shù)采信息層主要是從控制層獲取數(shù)據(jù)，完成各種控制、運行參數(shù)的監(jiān)測、報警和趨勢分析等功能?？刂茖迂撠熗ㄟ^組態(tài)設(shè)汁，完成數(shù)據(jù)采集、A/D轉(zhuǎn)換、數(shù)字濾波、溫度壓力補償、PID控制等各種功能。
系統(tǒng)的每一個安全漏洞都會導致不同的后果，所以將它們單獨隔離防護十分必要。對于額外的安全性和可靠性要求，在主要的安全區(qū)還可以根據(jù)操作功能進一步劃分成子區(qū)。這樣一旦發(fā)生信息安全事故，就能大大提高工廠生產(chǎn)安全運行的可靠性，同時降低由此帶來的其他風險及清除費用。
將企業(yè)系統(tǒng)結(jié)構(gòu)劃分成不同的區(qū)域可以幫助企業(yè)有效地建立“縱深防御”策略，參照ANSI/ISA-99標準，同時結(jié)合工業(yè)系統(tǒng)的安全需要，可以將工業(yè)系統(tǒng)網(wǎng)絡(luò)劃分為下列不同的安全區(qū)域，如圖2所示：
圖2-工業(yè)系統(tǒng)網(wǎng)絡(luò)安全區(qū)域的劃分
2.2基于縱深防御策略的工業(yè)控制系統(tǒng)信息安全
針對企業(yè)流程工業(yè)的特點，同時結(jié)合工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)，基于縱深防御策略，創(chuàng)建“本質(zhì)安全”的工業(yè)控制網(wǎng)絡(luò)需要以下五個層面的安全防護，如圖3所示：
圖3-工業(yè)控制系統(tǒng)信息安全的縱深防御
1、企業(yè)管理層和數(shù)采監(jiān)控層之間的安全防護
在企業(yè)管理層和數(shù)采監(jiān)控層之間加入防火墻，一方面提升了網(wǎng)絡(luò)的區(qū)域劃分，另一方面更重要的是只允許兩個網(wǎng)絡(luò)之間合法的數(shù)據(jù)交換，阻擋企業(yè)管理層對數(shù)采監(jiān)控層的未經(jīng)授權(quán)的非法訪問，同時也防止管理層網(wǎng)絡(luò)的病毒感染擴散到數(shù)采網(wǎng)絡(luò)。
考慮到企業(yè)管理層一般采用通用以太網(wǎng)，要求較高的通訊速率和帶寬等因素，對此部位的安全防護建議使用常規(guī)的IT防火墻。
2、數(shù)采監(jiān)控層和控制層之間的安全防護
該部位通常使用OPC通訊協(xié)議，由于OPC通訊采用不固定的端口號，使用傳統(tǒng)的IT防火墻進行防護時，不得不開放大規(guī)模范圍內(nèi)的端口號。在這種情況下，防火墻提供的安全保障被降至最低。
因此，在數(shù)采監(jiān)控層和控制層之間應(yīng)安裝專業(yè)的工業(yè)防火墻，解決OPC通訊采用動態(tài)端口帶來的安全防護瓶頸問題，阻止病毒和任何其它的非法訪問，這樣來自防護區(qū)域內(nèi)的病毒感染就不會擴散到其他網(wǎng)絡(luò)，提升網(wǎng)絡(luò)區(qū)域劃分能力的同時從本質(zhì)上保證了網(wǎng)絡(luò)通訊安全。
3、保護關(guān)鍵控制器
考慮到和控制器之間的通訊一般都采用制造商專有工業(yè)通訊協(xié)議，或者其它工業(yè)通信標準如Modbus等。由于常規(guī)的IT防火墻和網(wǎng)閘等安全防護產(chǎn)品都不支持工業(yè)通訊協(xié)議，因此，對關(guān)鍵的控制器的保護應(yīng)使用專業(yè)的工業(yè)防火墻。一方面對防火墻進行規(guī)則組態(tài)時只允許制造商專有協(xié)議通過，阻擋來自操作站的任何非法訪問;另一方面可以對網(wǎng)絡(luò)通訊流量進行管控，可以指定只有某個專有操作站才能訪問指定的控制器;第三方面也可以管控局部網(wǎng)絡(luò)的通訊速率，防止控制器遭受網(wǎng)絡(luò)風暴及其它攻擊的影響，從而避免控制器死機。
4、隔離工程師站，保護APC先控站
對于網(wǎng)絡(luò)中存在的工程師站和APC先控站，考慮到工程師站和APC節(jié)點在項目實施階段通常需要接入第三方設(shè)備(U盤、筆記本電腦等)，而且是在整個控制系統(tǒng)開車的情況下實施，受到病毒攻擊和入侵的概率很大，存在較高的安全隱患。
在工程師站和APC先控站前端增加工業(yè)防火墻，可以將工程師站和APC節(jié)點單獨隔離，防止病毒擴散，保證了網(wǎng)絡(luò)的通訊安全。
5、和第三方控制系統(tǒng)之間的安全防護
使用工業(yè)防火墻將SIS安全儀表系統(tǒng)等第三方控制系統(tǒng)和網(wǎng)絡(luò)進行隔離后，主要是為了確保兩個區(qū)域之間數(shù)據(jù)交換的安全，管控通訊數(shù)據(jù)，保證只有合法可信的、經(jīng)過授權(quán)的訪問和通訊才能通過網(wǎng)絡(luò)通信管道。同時也提升了網(wǎng)絡(luò)安全區(qū)域劃分能力，有效地阻止了病毒感染的擴散。
2.3報警管理平臺
報警管理平臺的功能包括集成系統(tǒng)中所有的事件和報警信息，并對報警信息進行等級劃分。提供實時畫面顯示、歷史數(shù)據(jù)存儲、報警確認、報警細目查詢、歷史數(shù)據(jù)查詢等功能。報警管理平臺還負責捕獲現(xiàn)場所有安裝有工業(yè)防火墻的通訊信道中的攻擊，并詳細顯示攻擊來自哪里、使用何種通信協(xié)議、攻擊目標是誰，以總攬大局的方式為工廠網(wǎng)絡(luò)故障的及時排查、分析提供了可靠依據(jù)。
2.4“測試”模式
系統(tǒng)工程師可以利用多芬諾工業(yè)防火墻提供的“測試”模式功能，在真正部署防火墻之前，在真實工廠操作環(huán)境中對防火墻規(guī)則進行測試。通過分析確認每一條報警信息，實現(xiàn)全面的控制功能，從而確保工控需求的完整性和可靠性。
三、總結(jié)
工業(yè)控制系統(tǒng)信息安全問題已迫在眉睫，本文針對企業(yè)流程工業(yè)的特點，同時結(jié)合工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)和安全需求以及多芬諾工業(yè)防火墻提供的“測試”模式功能，提出工業(yè)控制系統(tǒng)信息安全的縱深防御策略，即參照國際行業(yè)標準ANSI/ISA-99，將工業(yè)系統(tǒng)網(wǎng)絡(luò)劃分為不同的安全區(qū)域，在區(qū)域之間執(zhí)行管道通信，從而通過管控區(qū)域間管道中的通信內(nèi)容，實現(xiàn)保證工廠控制網(wǎng)絡(luò)安全穩(wěn)定運行的三個目標：通訊可控、區(qū)域隔離和報警追蹤，進而全方位地保障工業(yè)控制系統(tǒng)信息安全。
（轉(zhuǎn)載）
