工業(yè)控制系統(tǒng)安全的分析與詳細說明(圖文)
發(fā)布時間:2012-06-11 11:46:35 作者:佚名
我要評論

本文從伊朗核電站的受美國的病毒說去.詳談工業(yè)控制系統(tǒng)中的安全問題
2010年10月發(fā)生在伊朗核電站的"震網(wǎng)"(Stuxnet)病毒,為工業(yè)生產(chǎn)控制系統(tǒng)安全敲響了警鐘。現(xiàn)在,國內(nèi)外生產(chǎn)企業(yè)都把工業(yè)控制系統(tǒng)安全防護建設提上了日程。本文在對工業(yè)控制系統(tǒng)特點和面臨的安全風險進行分析的基礎上,提出了工業(yè)控制系統(tǒng)安全體系架構(gòu),并對實現(xiàn)工業(yè)控制系統(tǒng)安全的核心產(chǎn)品--啟明星辰工控系統(tǒng)安全管理平臺進行了說明。
一、工業(yè)控制系統(tǒng)安全分析
工業(yè)控制系統(tǒng)(Industrial Control Systems,ICS),是由各種自動化控制組件和實時數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)、遠程終端(RTU)、智能電子設備(IED),以及確保各組件通信的接口技術(shù)。
典型的ICS控制過程通常由控制回路、HMI、遠程診斷與維護工具三部分組件共同完成,控制回路用以控制邏輯運算,HMI執(zhí)行信息交互,遠程診斷與維護工具確保ICS能夠穩(wěn)定持續(xù)運行。
1.1工業(yè)控制系統(tǒng)潛在的風險
1.操作系統(tǒng)的安全漏洞問題
由于考慮到工控軟件與操作系統(tǒng)補丁兼容性的問題,系統(tǒng)開車后一般不會對Windows平臺打補丁,導致系統(tǒng)帶著風險運行。
2.殺毒軟件安裝及升級更新問題
用于生產(chǎn)控制系統(tǒng)的Windows操作系統(tǒng)基于工控軟件與殺毒軟件的兼容性的考慮,通常不安裝殺毒軟件,給病毒與惡意代碼傳染與擴散留下了空間。
3.使用U盤、光盤導致的病毒傳播問題
由于在工控系統(tǒng)中的管理終端一般沒有技術(shù)措施對U盤和光盤使用進行有效的管理,導致外設的無序使用而引發(fā)的安全事件時有發(fā)生。
4.設備維修時筆記本電腦的隨便接入問題
工業(yè)控制系統(tǒng)的管理維護,沒有到達一定安全基線的筆記本電腦接入工業(yè)控制系統(tǒng),會對工業(yè)控制系統(tǒng)的安全造成很大的威脅。
5.存在工業(yè)控制系統(tǒng)被有意或無意控制的風險問題
如果對工業(yè)控制系統(tǒng)的操作行為沒有監(jiān)控和響應措施,工業(yè)控制系統(tǒng)中的異常行為或人為行為會給工業(yè)控制系統(tǒng)帶來很大的風險。
6.工業(yè)控制系統(tǒng)控制終端、服務器、網(wǎng)絡設備故障沒有及時發(fā)現(xiàn)而響應延遲的問題
對工業(yè)控制系統(tǒng)中IT基礎設施的運行狀態(tài)進行監(jiān)控,是工業(yè)工控系統(tǒng)穩(wěn)定運行的基礎。
1.2"兩化融合"給工控系統(tǒng)帶來的風險
工業(yè)控制系統(tǒng)最早和企業(yè)管理系統(tǒng)是隔離的,但近年來為了實現(xiàn)實時的數(shù)據(jù)采集與生產(chǎn)控制,滿足"兩化融合"的需求和管理的方便,通過邏輯隔離的方式,使工業(yè)控制系統(tǒng)和企業(yè)管理系統(tǒng)可以直接進行通信,而企業(yè)管理系統(tǒng)一般直接連接Internet,在這種情況下,工業(yè)控制系統(tǒng)接入的范圍不僅擴展到了企業(yè)網(wǎng),而且面臨著來自Internet的威脅。
同時,企業(yè)為了實現(xiàn)管理與控制的一體化,提高企業(yè)信息化合綜合自動化水平,實現(xiàn)生產(chǎn)和管理的高效率、高效益,引入了生產(chǎn)執(zhí)行系統(tǒng)MES,對工業(yè)控制系統(tǒng)和管理信息系統(tǒng)進行了集成,管理信息網(wǎng)絡與生產(chǎn)控制網(wǎng)絡之間實現(xiàn)了數(shù)據(jù)交換。導致生產(chǎn)控制系統(tǒng)不再是一個獨立運行的系統(tǒng),而要與管理系統(tǒng)甚至互聯(lián)網(wǎng)進行互通、互聯(lián)。
1.3工控系統(tǒng)采用通用軟硬件帶來的風險
工業(yè)控制系統(tǒng)向工業(yè)以太網(wǎng)結(jié)構(gòu)發(fā)展,開放性越來越強?;赥CP/IP以太網(wǎng)通訊的OPC技術(shù)在該領域得到廣泛應用。在工業(yè)控制系統(tǒng)中,由于工業(yè)系統(tǒng)集成和使用的便利性,大量使用了工業(yè)以太環(huán)網(wǎng)和OPC通信協(xié)議進行了工業(yè)控制系統(tǒng)的集成;同時,也大量的使用了PC服務器和終端產(chǎn)品,操作系統(tǒng)和數(shù)據(jù)庫也大量的使用了通用的系統(tǒng),很容易遭到來自企業(yè)管理網(wǎng)或互聯(lián)網(wǎng)的病毒、木馬、黑客的攻擊?
二、工業(yè)控制系統(tǒng)安全防護設計
通過以上對工業(yè)控制系統(tǒng)安全狀況分析,我們可以看到,工控系統(tǒng)采用通用平臺,加大了工控系統(tǒng)面臨的安全風險,而"兩化融合"和工控系統(tǒng)自身的缺陷造成的安全風險,主要從兩個方面進行安全防護。
通過"三層架構(gòu),二層防護"的體系架構(gòu),對工業(yè)企業(yè)信息系統(tǒng)進行分層、分域、分等級,從而對工控系統(tǒng)的操作行為進行嚴格的、排他性控制,確保對工控系統(tǒng)操作的唯一性。
通過工控系統(tǒng)安全管理平臺,確保HMI、管理機、控制服務工控通信設施安全可信。
2.1構(gòu)建"三層架構(gòu),二層防護"的安全體系
工業(yè)控制系統(tǒng)需要進行橫向分層、縱向分域、區(qū)域分等級進行安全防護,否則管理信息系統(tǒng)、生產(chǎn)執(zhí)行系統(tǒng)、工業(yè)控制系統(tǒng)處于同一網(wǎng)絡平面,層次不清,你中有我、我中有你。來自于管理信息系統(tǒng)的入侵或病毒行為很容易對工控系統(tǒng)造成損害,網(wǎng)絡風暴和拒絕式服務攻擊很容易消耗系統(tǒng)的資源,使得正常的服務功能無法進行。
2.1.1工控系統(tǒng)的三層架構(gòu)
一般工業(yè)企業(yè)的信息系統(tǒng),可以劃分為管理層、制造執(zhí)行層、工業(yè)控制層。在管理信層與制造執(zhí)行系統(tǒng)層之間,主要進行身份鑒別、訪問控制、檢測審計、鏈路冗余、內(nèi)容檢測等安全防護;在制造執(zhí)行系統(tǒng)層和工業(yè)控制系統(tǒng)層之間,主要避免管理層直接對工業(yè)控制層的訪問,保證制造執(zhí)行層對工業(yè)控制層的操作唯一性。工控系統(tǒng)三層架構(gòu)如下圖所示:

通過上圖可以看到,我們把工業(yè)企業(yè)信息系統(tǒng)劃分為三個層次,分別是計劃管理層、制造執(zhí)行層、工業(yè)控制層。
管理系統(tǒng)是指以ERP為代表的管理信息系統(tǒng)(MIS),其中包含了許多子系統(tǒng),如:生產(chǎn)管理、物質(zhì)管理、財務管理、質(zhì)量管理、車間管理、能源管理、銷售管理、人事管理、設備管理、技術(shù)管理、綜合管理等等,管理信息系統(tǒng)融信息服務、決策支持于一體。
制造執(zhí)行系統(tǒng)(MES)處于工業(yè)控制系統(tǒng)與管理系統(tǒng)之間,主要負責生產(chǎn)管理和調(diào)度執(zhí)行。通過MES,管理者可以及時掌握和了解生產(chǎn)工藝各流程的運行狀況和工藝參數(shù)的變化,實現(xiàn)對工藝的過程監(jiān)視與控制。
工業(yè)控制系統(tǒng)是由各種自動化控制組件和實時數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。主要完成加工作業(yè)、檢測和操控作業(yè)、作業(yè)管理等功能。
2.1.2工控系統(tǒng)的二層防護
1、管理層與MES層之間的安全防護
管理層與MES層之間的安全防護主要是為了避免管理信息系統(tǒng)域和MES(制造執(zhí)行)域之間數(shù)據(jù)交換面臨的各種威脅,具體表現(xiàn)為:避免非授權(quán)訪問和濫用(如業(yè)務操作人員越權(quán)操作其他業(yè)務系統(tǒng));對操作失誤、篡改數(shù)據(jù),抵賴行為的可控制、可追溯;避免終端違規(guī)操作;及時發(fā)現(xiàn)非法入侵行為;過濾惡意代碼(病毒蠕蟲)。
也就是說,管理層與MES層之間的安全防護,保證只有可信、合規(guī)的終端和服務器才可以在兩個區(qū)域之間進行安全的數(shù)據(jù)交換,同時,數(shù)據(jù)交換整個過程接受監(jiān)控、審計。管理層與MES層之間的安全防護如下圖所示:

2、MES層與工業(yè)控制層之間的安全防護
通過在MES層和生產(chǎn)控制層部署工業(yè)防火墻,可以阻止來自企業(yè)信息層的病毒傳播;阻擋來自企業(yè)信息層的非法入侵;管控OPC客戶端與服務器的通訊,實現(xiàn)以下目標:
區(qū)域隔離及通信管控:通過工業(yè)防火墻過濾MES層與生產(chǎn)控制層兩個區(qū)域網(wǎng)絡間的通信,那么網(wǎng)絡故障會被控制在最初發(fā)生的區(qū)域內(nèi),而不會影響到其它部分。
實時報警:任何非法的訪問,通過管理平臺產(chǎn)生實時報警信息,從而使故障問題會在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決。
MES層與工業(yè)控制層之間的安全防護如下圖所示:

2.1.3工控系統(tǒng)安全防護分域
安全域是指同一系統(tǒng)內(nèi)有相同的安全保護需求,相互信任,并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡,且相同的網(wǎng)絡安全域共享一樣的安全策略。
在管理層、制造執(zhí)行層、工業(yè)控制層中,進行管理系統(tǒng)安全子域的劃分,制造執(zhí)行安全子域的劃分、工業(yè)控制安全子域的劃分。安全域的合理劃分,使用每一個安全域都要明確的邊界,便于對安全域進行安全防護。對MES、ICS的安全域劃分如下圖所示:

如上圖所示,為了保證各個生產(chǎn)線的安全,對各個生產(chǎn)線進行了安全域劃分,同時在安全域之間進行了安全隔離防護。
2.1.4工控系統(tǒng)安全防護分等級
根據(jù)安全域在信息系統(tǒng)中的重要程度以及考慮風險威脅、安全需求、安全成本等因素,將其劃為不同的安全保護等級并采取相應的安全保護技術(shù)、管理措施,以保障信息的安全。
安全域的等級劃分要做到每個安全域的信息資產(chǎn)價值相近,具有相同或相近的安全等級、安全環(huán)境、安全策略等。安全域所涉及應用和資產(chǎn)的價值越高,面臨的威脅越大,那么它的安全保護等級也就越高。
2.2構(gòu)建工業(yè)控制系統(tǒng)安全管理平臺
工業(yè)控制系統(tǒng)和傳統(tǒng)信息系統(tǒng)具有大多數(shù)相同的安全問題,但同時也存在獨特的安全需求。工業(yè)控制系統(tǒng)最大的安全需求是唯一性和排它性,在某一特定的工業(yè)控制系統(tǒng)中,工業(yè)控制系統(tǒng)只需用唯一的工業(yè)應用程序和工業(yè)通信協(xié)議運行,其他一概不需要。
啟明星辰工業(yè)系統(tǒng)安全管理平臺為工業(yè)控制系統(tǒng)建立了一個相對可信的計算環(huán)境,對工控系統(tǒng)管理終端和網(wǎng)絡通信具有非常強的安全控制功能。工業(yè)控制系統(tǒng)安全管理平臺有兩部分組成,一部分是工業(yè)控制系統(tǒng)安全管理平臺,具有終端管理、網(wǎng)絡管理、行為監(jiān)控功能,另一部分是終端安全管理客戶端。
2.2.1管理平臺部分
工業(yè)控制系統(tǒng)的安全運行,主要需要保障工業(yè)控制系統(tǒng)相關(guān)信息系統(tǒng)基礎設施的安全,包括工業(yè)以太網(wǎng)網(wǎng)絡、操作終端、關(guān)系數(shù)據(jù)庫服務器、實時數(shù)據(jù)庫服務器、操作和應用系統(tǒng)等各類IT資源的安全,從工業(yè)控制系統(tǒng)安全的角度對工控系統(tǒng)的各類IT資源進行監(jiān)控(包括設備監(jiān)控、運行監(jiān)控與安全監(jiān)控),實現(xiàn)對安全事件的預警與響應,保障工業(yè)控制系統(tǒng)的安全穩(wěn)定運行。
具體而言,工業(yè)控制系統(tǒng)安全管理平臺功能如下:
1.能夠?qū)梅掌?、關(guān)系數(shù)據(jù)庫服務器、實時數(shù)據(jù)庫服務器、工業(yè)以太網(wǎng)設備運行狀態(tài)進行監(jiān)控,例如CPU、內(nèi)存、端口流量等等。
2.能夠?qū)Σ僮鹘K端外設、進程、桌面進行合規(guī)性在線和離線管理。
3.能夠?qū)Ω鲗舆吔鐢?shù)據(jù)交換情況進行監(jiān)控。
4.能夠?qū)I(yè)控制系統(tǒng)中的網(wǎng)絡操作行為進行審計。
5.能夠?qū)I(yè)控制系統(tǒng)日志進行關(guān)聯(lián)分析和審計。
6.能夠?qū)I(yè)控制系統(tǒng)中的異常事件進行預警響應。
7.能夠?qū)I(yè)企業(yè)信息系統(tǒng)進行虛擬安全域的劃分。
2.2.2工業(yè)控制系統(tǒng)終端安全管理部分
由于工業(yè)控制系統(tǒng)管理終端的安全防護技術(shù)措施十分薄弱,所以病毒、木馬、黑客等攻擊行為都利用這些安全弱點,在終端上發(fā)生、發(fā)起,并通過網(wǎng)絡感染或破壞其他系統(tǒng)。
工業(yè)控制系統(tǒng)終端最大特點是應用相對固定,終端主要安裝工業(yè)控制系統(tǒng)程序,所以,要防范傳統(tǒng)方式的病毒或木馬等惡意軟件,最直接的方式就是利用工業(yè)控制系統(tǒng)對終端應用程序的進程進行管理。
具體而言,工業(yè)控制系統(tǒng)安全管理平臺終端安全管理部分功能如下:
1.工業(yè)控制系統(tǒng)安全管理平臺客戶端軟件輕巧精煉,占用資源極少,能夠最大程度保證工業(yè)控制系統(tǒng)管理終端的穩(wěn)定性。
2.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有終端準入控制功能,可以防止沒有達到安全基線的筆記本對終端進行管理。
3.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有終端安全優(yōu)化與加固功能,能夠?qū)I(yè)控制系統(tǒng)終端進行安全優(yōu)化和加固,使終端安全水平達到一定的安全基線。
4.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有外設管理功能,對工業(yè)控制系統(tǒng)的外設進行管理,比如USB接口、光驅(qū)、網(wǎng)卡、串口等。
5.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有工業(yè)控制系統(tǒng)應用程序監(jiān)控功能,對終端中的工業(yè)控制系統(tǒng)軟件進行監(jiān)控和管理。
6.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有工業(yè)通信協(xié)議監(jiān)控功能。工業(yè)控制系統(tǒng)終端通信協(xié)議相對固定,客戶端能夠?qū)K端通信協(xié)議具有唯一性管理功能。
7.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有離線管理功能,工業(yè)控制系統(tǒng)終端有一部分無法進行在線管理,客戶端具有比較強大的離線自管理功能,可以完成對離線終端的管理。
8.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有強身份認證功能,客戶端具有使用工業(yè)控制系統(tǒng)在線終端和離線終端都具有強身份認證功能,從而防止工業(yè)控制系統(tǒng)被有意或無意被控制的風險。
三、總結(jié)
國內(nèi)外發(fā)生了多起由于工控系統(tǒng)安全問題而造成的生產(chǎn)安全事故。最鮮活的例子就是2010年10月發(fā)生在伊朗布什爾核電站的"震網(wǎng)"(Stuxnet)病毒,為整改工業(yè)生產(chǎn)控制系統(tǒng)安全敲響了警鐘。
為此,工信部在2011年10月下發(fā)了"關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知",要求各級政府和國有大型企業(yè)切實加強工業(yè)控制系統(tǒng)安全管理。工信部趙澤良司長也強調(diào),工業(yè)控制系統(tǒng)安全工作也到了非加強不可的時候,否則將影響到我國重要的生產(chǎn)設施的安全。
本文根據(jù)工業(yè)控制系統(tǒng)安全防護的特點,提出了對工業(yè)控制系統(tǒng)進行分層、分域、分等級,構(gòu)建"三層架構(gòu),二層防護"的工業(yè)控制系統(tǒng)安全體系架構(gòu)思想;通過分析工業(yè)控制系統(tǒng)面臨的風險,對作為工業(yè)控制系統(tǒng)安全防護的核心產(chǎn)品--工業(yè)控制系統(tǒng)安全管理平臺功能進行了說明。工控系統(tǒng)安全管理平臺,不僅是實現(xiàn)工業(yè)控制系統(tǒng)終端安全的產(chǎn)品,也是監(jiān)控工業(yè)控制系統(tǒng)IT基礎實施和操作行為的平臺。
一、工業(yè)控制系統(tǒng)安全分析
工業(yè)控制系統(tǒng)(Industrial Control Systems,ICS),是由各種自動化控制組件和實時數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)、遠程終端(RTU)、智能電子設備(IED),以及確保各組件通信的接口技術(shù)。
典型的ICS控制過程通常由控制回路、HMI、遠程診斷與維護工具三部分組件共同完成,控制回路用以控制邏輯運算,HMI執(zhí)行信息交互,遠程診斷與維護工具確保ICS能夠穩(wěn)定持續(xù)運行。
1.1工業(yè)控制系統(tǒng)潛在的風險
1.操作系統(tǒng)的安全漏洞問題
由于考慮到工控軟件與操作系統(tǒng)補丁兼容性的問題,系統(tǒng)開車后一般不會對Windows平臺打補丁,導致系統(tǒng)帶著風險運行。
2.殺毒軟件安裝及升級更新問題
用于生產(chǎn)控制系統(tǒng)的Windows操作系統(tǒng)基于工控軟件與殺毒軟件的兼容性的考慮,通常不安裝殺毒軟件,給病毒與惡意代碼傳染與擴散留下了空間。
3.使用U盤、光盤導致的病毒傳播問題
由于在工控系統(tǒng)中的管理終端一般沒有技術(shù)措施對U盤和光盤使用進行有效的管理,導致外設的無序使用而引發(fā)的安全事件時有發(fā)生。
4.設備維修時筆記本電腦的隨便接入問題
工業(yè)控制系統(tǒng)的管理維護,沒有到達一定安全基線的筆記本電腦接入工業(yè)控制系統(tǒng),會對工業(yè)控制系統(tǒng)的安全造成很大的威脅。
5.存在工業(yè)控制系統(tǒng)被有意或無意控制的風險問題
如果對工業(yè)控制系統(tǒng)的操作行為沒有監(jiān)控和響應措施,工業(yè)控制系統(tǒng)中的異常行為或人為行為會給工業(yè)控制系統(tǒng)帶來很大的風險。
6.工業(yè)控制系統(tǒng)控制終端、服務器、網(wǎng)絡設備故障沒有及時發(fā)現(xiàn)而響應延遲的問題
對工業(yè)控制系統(tǒng)中IT基礎設施的運行狀態(tài)進行監(jiān)控,是工業(yè)工控系統(tǒng)穩(wěn)定運行的基礎。
1.2"兩化融合"給工控系統(tǒng)帶來的風險
工業(yè)控制系統(tǒng)最早和企業(yè)管理系統(tǒng)是隔離的,但近年來為了實現(xiàn)實時的數(shù)據(jù)采集與生產(chǎn)控制,滿足"兩化融合"的需求和管理的方便,通過邏輯隔離的方式,使工業(yè)控制系統(tǒng)和企業(yè)管理系統(tǒng)可以直接進行通信,而企業(yè)管理系統(tǒng)一般直接連接Internet,在這種情況下,工業(yè)控制系統(tǒng)接入的范圍不僅擴展到了企業(yè)網(wǎng),而且面臨著來自Internet的威脅。
同時,企業(yè)為了實現(xiàn)管理與控制的一體化,提高企業(yè)信息化合綜合自動化水平,實現(xiàn)生產(chǎn)和管理的高效率、高效益,引入了生產(chǎn)執(zhí)行系統(tǒng)MES,對工業(yè)控制系統(tǒng)和管理信息系統(tǒng)進行了集成,管理信息網(wǎng)絡與生產(chǎn)控制網(wǎng)絡之間實現(xiàn)了數(shù)據(jù)交換。導致生產(chǎn)控制系統(tǒng)不再是一個獨立運行的系統(tǒng),而要與管理系統(tǒng)甚至互聯(lián)網(wǎng)進行互通、互聯(lián)。
1.3工控系統(tǒng)采用通用軟硬件帶來的風險
工業(yè)控制系統(tǒng)向工業(yè)以太網(wǎng)結(jié)構(gòu)發(fā)展,開放性越來越強?;赥CP/IP以太網(wǎng)通訊的OPC技術(shù)在該領域得到廣泛應用。在工業(yè)控制系統(tǒng)中,由于工業(yè)系統(tǒng)集成和使用的便利性,大量使用了工業(yè)以太環(huán)網(wǎng)和OPC通信協(xié)議進行了工業(yè)控制系統(tǒng)的集成;同時,也大量的使用了PC服務器和終端產(chǎn)品,操作系統(tǒng)和數(shù)據(jù)庫也大量的使用了通用的系統(tǒng),很容易遭到來自企業(yè)管理網(wǎng)或互聯(lián)網(wǎng)的病毒、木馬、黑客的攻擊?
二、工業(yè)控制系統(tǒng)安全防護設計
通過以上對工業(yè)控制系統(tǒng)安全狀況分析,我們可以看到,工控系統(tǒng)采用通用平臺,加大了工控系統(tǒng)面臨的安全風險,而"兩化融合"和工控系統(tǒng)自身的缺陷造成的安全風險,主要從兩個方面進行安全防護。
通過"三層架構(gòu),二層防護"的體系架構(gòu),對工業(yè)企業(yè)信息系統(tǒng)進行分層、分域、分等級,從而對工控系統(tǒng)的操作行為進行嚴格的、排他性控制,確保對工控系統(tǒng)操作的唯一性。
通過工控系統(tǒng)安全管理平臺,確保HMI、管理機、控制服務工控通信設施安全可信。
2.1構(gòu)建"三層架構(gòu),二層防護"的安全體系
工業(yè)控制系統(tǒng)需要進行橫向分層、縱向分域、區(qū)域分等級進行安全防護,否則管理信息系統(tǒng)、生產(chǎn)執(zhí)行系統(tǒng)、工業(yè)控制系統(tǒng)處于同一網(wǎng)絡平面,層次不清,你中有我、我中有你。來自于管理信息系統(tǒng)的入侵或病毒行為很容易對工控系統(tǒng)造成損害,網(wǎng)絡風暴和拒絕式服務攻擊很容易消耗系統(tǒng)的資源,使得正常的服務功能無法進行。
2.1.1工控系統(tǒng)的三層架構(gòu)
一般工業(yè)企業(yè)的信息系統(tǒng),可以劃分為管理層、制造執(zhí)行層、工業(yè)控制層。在管理信層與制造執(zhí)行系統(tǒng)層之間,主要進行身份鑒別、訪問控制、檢測審計、鏈路冗余、內(nèi)容檢測等安全防護;在制造執(zhí)行系統(tǒng)層和工業(yè)控制系統(tǒng)層之間,主要避免管理層直接對工業(yè)控制層的訪問,保證制造執(zhí)行層對工業(yè)控制層的操作唯一性。工控系統(tǒng)三層架構(gòu)如下圖所示:

通過上圖可以看到,我們把工業(yè)企業(yè)信息系統(tǒng)劃分為三個層次,分別是計劃管理層、制造執(zhí)行層、工業(yè)控制層。
管理系統(tǒng)是指以ERP為代表的管理信息系統(tǒng)(MIS),其中包含了許多子系統(tǒng),如:生產(chǎn)管理、物質(zhì)管理、財務管理、質(zhì)量管理、車間管理、能源管理、銷售管理、人事管理、設備管理、技術(shù)管理、綜合管理等等,管理信息系統(tǒng)融信息服務、決策支持于一體。
制造執(zhí)行系統(tǒng)(MES)處于工業(yè)控制系統(tǒng)與管理系統(tǒng)之間,主要負責生產(chǎn)管理和調(diào)度執(zhí)行。通過MES,管理者可以及時掌握和了解生產(chǎn)工藝各流程的運行狀況和工藝參數(shù)的變化,實現(xiàn)對工藝的過程監(jiān)視與控制。
工業(yè)控制系統(tǒng)是由各種自動化控制組件和實時數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。主要完成加工作業(yè)、檢測和操控作業(yè)、作業(yè)管理等功能。
2.1.2工控系統(tǒng)的二層防護
1、管理層與MES層之間的安全防護
管理層與MES層之間的安全防護主要是為了避免管理信息系統(tǒng)域和MES(制造執(zhí)行)域之間數(shù)據(jù)交換面臨的各種威脅,具體表現(xiàn)為:避免非授權(quán)訪問和濫用(如業(yè)務操作人員越權(quán)操作其他業(yè)務系統(tǒng));對操作失誤、篡改數(shù)據(jù),抵賴行為的可控制、可追溯;避免終端違規(guī)操作;及時發(fā)現(xiàn)非法入侵行為;過濾惡意代碼(病毒蠕蟲)。
也就是說,管理層與MES層之間的安全防護,保證只有可信、合規(guī)的終端和服務器才可以在兩個區(qū)域之間進行安全的數(shù)據(jù)交換,同時,數(shù)據(jù)交換整個過程接受監(jiān)控、審計。管理層與MES層之間的安全防護如下圖所示:

2、MES層與工業(yè)控制層之間的安全防護
通過在MES層和生產(chǎn)控制層部署工業(yè)防火墻,可以阻止來自企業(yè)信息層的病毒傳播;阻擋來自企業(yè)信息層的非法入侵;管控OPC客戶端與服務器的通訊,實現(xiàn)以下目標:
區(qū)域隔離及通信管控:通過工業(yè)防火墻過濾MES層與生產(chǎn)控制層兩個區(qū)域網(wǎng)絡間的通信,那么網(wǎng)絡故障會被控制在最初發(fā)生的區(qū)域內(nèi),而不會影響到其它部分。
實時報警:任何非法的訪問,通過管理平臺產(chǎn)生實時報警信息,從而使故障問題會在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決。
MES層與工業(yè)控制層之間的安全防護如下圖所示:

2.1.3工控系統(tǒng)安全防護分域
安全域是指同一系統(tǒng)內(nèi)有相同的安全保護需求,相互信任,并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡,且相同的網(wǎng)絡安全域共享一樣的安全策略。
在管理層、制造執(zhí)行層、工業(yè)控制層中,進行管理系統(tǒng)安全子域的劃分,制造執(zhí)行安全子域的劃分、工業(yè)控制安全子域的劃分。安全域的合理劃分,使用每一個安全域都要明確的邊界,便于對安全域進行安全防護。對MES、ICS的安全域劃分如下圖所示:

如上圖所示,為了保證各個生產(chǎn)線的安全,對各個生產(chǎn)線進行了安全域劃分,同時在安全域之間進行了安全隔離防護。
2.1.4工控系統(tǒng)安全防護分等級
根據(jù)安全域在信息系統(tǒng)中的重要程度以及考慮風險威脅、安全需求、安全成本等因素,將其劃為不同的安全保護等級并采取相應的安全保護技術(shù)、管理措施,以保障信息的安全。
安全域的等級劃分要做到每個安全域的信息資產(chǎn)價值相近,具有相同或相近的安全等級、安全環(huán)境、安全策略等。安全域所涉及應用和資產(chǎn)的價值越高,面臨的威脅越大,那么它的安全保護等級也就越高。
2.2構(gòu)建工業(yè)控制系統(tǒng)安全管理平臺
工業(yè)控制系統(tǒng)和傳統(tǒng)信息系統(tǒng)具有大多數(shù)相同的安全問題,但同時也存在獨特的安全需求。工業(yè)控制系統(tǒng)最大的安全需求是唯一性和排它性,在某一特定的工業(yè)控制系統(tǒng)中,工業(yè)控制系統(tǒng)只需用唯一的工業(yè)應用程序和工業(yè)通信協(xié)議運行,其他一概不需要。
啟明星辰工業(yè)系統(tǒng)安全管理平臺為工業(yè)控制系統(tǒng)建立了一個相對可信的計算環(huán)境,對工控系統(tǒng)管理終端和網(wǎng)絡通信具有非常強的安全控制功能。工業(yè)控制系統(tǒng)安全管理平臺有兩部分組成,一部分是工業(yè)控制系統(tǒng)安全管理平臺,具有終端管理、網(wǎng)絡管理、行為監(jiān)控功能,另一部分是終端安全管理客戶端。
2.2.1管理平臺部分
工業(yè)控制系統(tǒng)的安全運行,主要需要保障工業(yè)控制系統(tǒng)相關(guān)信息系統(tǒng)基礎設施的安全,包括工業(yè)以太網(wǎng)網(wǎng)絡、操作終端、關(guān)系數(shù)據(jù)庫服務器、實時數(shù)據(jù)庫服務器、操作和應用系統(tǒng)等各類IT資源的安全,從工業(yè)控制系統(tǒng)安全的角度對工控系統(tǒng)的各類IT資源進行監(jiān)控(包括設備監(jiān)控、運行監(jiān)控與安全監(jiān)控),實現(xiàn)對安全事件的預警與響應,保障工業(yè)控制系統(tǒng)的安全穩(wěn)定運行。
具體而言,工業(yè)控制系統(tǒng)安全管理平臺功能如下:
1.能夠?qū)梅掌?、關(guān)系數(shù)據(jù)庫服務器、實時數(shù)據(jù)庫服務器、工業(yè)以太網(wǎng)設備運行狀態(tài)進行監(jiān)控,例如CPU、內(nèi)存、端口流量等等。
2.能夠?qū)Σ僮鹘K端外設、進程、桌面進行合規(guī)性在線和離線管理。
3.能夠?qū)Ω鲗舆吔鐢?shù)據(jù)交換情況進行監(jiān)控。
4.能夠?qū)I(yè)控制系統(tǒng)中的網(wǎng)絡操作行為進行審計。
5.能夠?qū)I(yè)控制系統(tǒng)日志進行關(guān)聯(lián)分析和審計。
6.能夠?qū)I(yè)控制系統(tǒng)中的異常事件進行預警響應。
7.能夠?qū)I(yè)企業(yè)信息系統(tǒng)進行虛擬安全域的劃分。
2.2.2工業(yè)控制系統(tǒng)終端安全管理部分
由于工業(yè)控制系統(tǒng)管理終端的安全防護技術(shù)措施十分薄弱,所以病毒、木馬、黑客等攻擊行為都利用這些安全弱點,在終端上發(fā)生、發(fā)起,并通過網(wǎng)絡感染或破壞其他系統(tǒng)。
工業(yè)控制系統(tǒng)終端最大特點是應用相對固定,終端主要安裝工業(yè)控制系統(tǒng)程序,所以,要防范傳統(tǒng)方式的病毒或木馬等惡意軟件,最直接的方式就是利用工業(yè)控制系統(tǒng)對終端應用程序的進程進行管理。
具體而言,工業(yè)控制系統(tǒng)安全管理平臺終端安全管理部分功能如下:
1.工業(yè)控制系統(tǒng)安全管理平臺客戶端軟件輕巧精煉,占用資源極少,能夠最大程度保證工業(yè)控制系統(tǒng)管理終端的穩(wěn)定性。
2.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有終端準入控制功能,可以防止沒有達到安全基線的筆記本對終端進行管理。
3.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有終端安全優(yōu)化與加固功能,能夠?qū)I(yè)控制系統(tǒng)終端進行安全優(yōu)化和加固,使終端安全水平達到一定的安全基線。
4.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有外設管理功能,對工業(yè)控制系統(tǒng)的外設進行管理,比如USB接口、光驅(qū)、網(wǎng)卡、串口等。
5.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有工業(yè)控制系統(tǒng)應用程序監(jiān)控功能,對終端中的工業(yè)控制系統(tǒng)軟件進行監(jiān)控和管理。
6.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有工業(yè)通信協(xié)議監(jiān)控功能。工業(yè)控制系統(tǒng)終端通信協(xié)議相對固定,客戶端能夠?qū)K端通信協(xié)議具有唯一性管理功能。
7.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有離線管理功能,工業(yè)控制系統(tǒng)終端有一部分無法進行在線管理,客戶端具有比較強大的離線自管理功能,可以完成對離線終端的管理。
8.工業(yè)控制系統(tǒng)安全管理平臺客戶端具有強身份認證功能,客戶端具有使用工業(yè)控制系統(tǒng)在線終端和離線終端都具有強身份認證功能,從而防止工業(yè)控制系統(tǒng)被有意或無意被控制的風險。
三、總結(jié)
國內(nèi)外發(fā)生了多起由于工控系統(tǒng)安全問題而造成的生產(chǎn)安全事故。最鮮活的例子就是2010年10月發(fā)生在伊朗布什爾核電站的"震網(wǎng)"(Stuxnet)病毒,為整改工業(yè)生產(chǎn)控制系統(tǒng)安全敲響了警鐘。
為此,工信部在2011年10月下發(fā)了"關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知",要求各級政府和國有大型企業(yè)切實加強工業(yè)控制系統(tǒng)安全管理。工信部趙澤良司長也強調(diào),工業(yè)控制系統(tǒng)安全工作也到了非加強不可的時候,否則將影響到我國重要的生產(chǎn)設施的安全。
本文根據(jù)工業(yè)控制系統(tǒng)安全防護的特點,提出了對工業(yè)控制系統(tǒng)進行分層、分域、分等級,構(gòu)建"三層架構(gòu),二層防護"的工業(yè)控制系統(tǒng)安全體系架構(gòu)思想;通過分析工業(yè)控制系統(tǒng)面臨的風險,對作為工業(yè)控制系統(tǒng)安全防護的核心產(chǎn)品--工業(yè)控制系統(tǒng)安全管理平臺功能進行了說明。工控系統(tǒng)安全管理平臺,不僅是實現(xiàn)工業(yè)控制系統(tǒng)終端安全的產(chǎn)品,也是監(jiān)控工業(yè)控制系統(tǒng)IT基礎實施和操作行為的平臺。
相關(guān)文章
192.168.1.1進入路由器默認的用戶名和密碼是多少 常用路由默認密碼大全
本文把路由器常用的品牌的默認的密碼都發(fā)出來.供大家參考2012-05-28- 自從無線網(wǎng)絡誕生之日起,“安全”這個詞就始終如影隨形的伴隨在“無線”的身邊。攻與防如同親兄弟一樣,無論你加密手段多么的先進,不久之后就會有各種各樣的破解方式出現(xiàn)2008-10-08
- 在學校里面每個寢室使用一根線在上網(wǎng),如果有人在下載的話,導致網(wǎng)速變得很慢,有沒有什么辦法可以限制別人的網(wǎng)速,來限制下載速度呢。當然是可以的,下面筆者來教我們怎么2012-05-09
教你如何突破IE安全限制獲取iframe子框架內(nèi)的本地cookie(圖)
我的測試環(huán)境是: IE 7 (7.0.5730.13) 以下所有的內(nèi)容全部經(jīng)過我在IE7中測試,是真實有效的結(jié)果。 Iframe的限制: 因為iframe這個玩意比較特殊,所以瀏覽器對它2008-10-08- 視頻服務器都會提供大量的視頻資源,大部分都提供了在線觀看以及下載服務。對于流量要求比較高,而從服務器本身的部署來看,也有一些特別之處。我們從一個入侵實例來看看視2008-10-08
- 最佳的75個黑客安全工具 ,由于只有介紹,所以就不貼到工具版了,而來源的文章在結(jié)尾處的URL沒有處理好,所以我也就花了幾分鐘修復了一下2009-06-19
- 網(wǎng)絡安全是一門涉及計算機、網(wǎng)絡、通訊、密碼、信息安全、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科,涉及面極廣,而且不斷更新和發(fā)展2013-03-20
- 對于那些僅想在商店吃午餐或者喝咖啡的同時上會網(wǎng)的人來說,連接方便的Wi-Fi熱點地區(qū)正好是一個福音。不過如果用戶在使用免費公共Wi-Fi時不小心,陌生人就能夠窺探到用戶的2012-12-14
- 域名安全問題是非常重要的一個問題,關(guān)乎它的主要因素是什么呢?看看下面這七個技巧吧,可以確保你的賬戶的安全2016-06-01