工業(yè)4.0時(shí)代的工控網(wǎng)絡(luò)安全防護(hù)研究

宗健（重慶燃?xì)饧瘓F(tuán)股份有限公司，重慶400020）

工業(yè)4.0時(shí)代的工控網(wǎng)絡(luò)安全防護(hù)研究

宗?。ㄖ貞c燃?xì)饧瘓F(tuán)股份有限公司，重慶400020）

在工業(yè)4.0時(shí)代，工業(yè)化與信息化的兩化融合是必然趨勢(shì)，工控系統(tǒng)利用最新的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)來提高系統(tǒng)間的集成、互聯(lián)以及信息化管理水平。工控系統(tǒng)安全的重要性及其普遍安全防護(hù)措施不足的現(xiàn)實(shí)，使得加強(qiáng)工業(yè)控制系統(tǒng)的安全性來說無疑是一項(xiàng)相對(duì)艱巨的任務(wù)。本文提出的工控網(wǎng)絡(luò)安全“白環(huán)境”解決方案是以可信防護(hù)為核心、可視化管理為支撐、大數(shù)據(jù)分析為保障的全方位工控安全解決方案。

工業(yè)4.0；工控網(wǎng)絡(luò)安全防護(hù)；解決方案

隨著工業(yè)信息化的快速發(fā)展以及工業(yè)4.0時(shí)代的到來，工業(yè)化與信息化的融合趨勢(shì)越來越明顯，工業(yè)控制系統(tǒng)也在利用最新的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)來提高系統(tǒng)間的集成、互聯(lián)以及信息化管理水平。未來為了提高生產(chǎn)效率和效益，工控網(wǎng)絡(luò)會(huì)越來越開放，不可能完全的隔離，所以這就給工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)帶來了挑戰(zhàn)。

近年來，多個(gè)重要且關(guān)乎國(guó)計(jì)民生的行業(yè)，如電力、石油、石化、軍工等均遭受到了嚴(yán)峻的工業(yè)控制網(wǎng)絡(luò)安全威脅，對(duì)此如何解決工控安全問題已成為企業(yè)面臨的嚴(yán)峻挑戰(zhàn)，受到越來越多的工業(yè)企業(yè)的關(guān)注，并且得到了國(guó)家的高度重視。針對(duì)關(guān)乎國(guó)家經(jīng)濟(jì)命脈的重點(diǎn)行業(yè)，國(guó)家在鼓勵(lì)提高工業(yè)信息化的同時(shí)，將網(wǎng)絡(luò)安全問題提升到了國(guó)家戰(zhàn)略層面，要求各級(jí)政府部門和相關(guān)企業(yè)加大對(duì)于工控安全技術(shù)的研發(fā)力度，加速推進(jìn)相關(guān)技術(shù)和解決方案的完善以及相關(guān)政策標(biāo)準(zhǔn)的推出。

1　工控網(wǎng)絡(luò)安全防護(hù)分析及建議

在工業(yè)控制網(wǎng)絡(luò)安全領(lǐng)域，很多企業(yè)機(jī)構(gòu)根據(jù)內(nèi)部工業(yè)控制系統(tǒng)的運(yùn)行狀態(tài)，并結(jié)合整體的實(shí)時(shí)性、完整性和機(jī)密性的要求，對(duì)工業(yè)控制網(wǎng)絡(luò)安全產(chǎn)品提出了特定的需求。不同的行業(yè)領(lǐng)域內(nèi)部使用了不同的網(wǎng)絡(luò)數(shù)據(jù)通信協(xié)議和標(biāo)準(zhǔn)，最常見的協(xié)議和標(biāo)準(zhǔn)包括ModBus、OPC、IEC～104、MMS、DNP3等。因此，市場(chǎng)對(duì)工業(yè)控制網(wǎng)絡(luò)安全產(chǎn)品的需求不僅迫切，對(duì)于產(chǎn)品服務(wù)的豐富性、廣度、深度也有著顯著而實(shí)際的需求。此外不同行業(yè)根據(jù)其生產(chǎn)工藝和設(shè)備特點(diǎn)，會(huì)對(duì)工業(yè)控制網(wǎng)絡(luò)安全產(chǎn)品提出擴(kuò)展性、可審計(jì)性、保密性、易用性、通用性提出需求。

當(dāng)面臨攻擊者的持續(xù)關(guān)注時(shí)，任何疏漏都可能導(dǎo)致災(zāi)難。工業(yè)控制系統(tǒng)安全的重要性及其普遍安全防護(hù)措施不足的現(xiàn)實(shí)，使得加強(qiáng)工業(yè)控制系統(tǒng)的安全性來說無疑是一項(xiàng)相對(duì)艱巨的任務(wù)。本文提出以下針對(duì)工控網(wǎng)絡(luò)安全防護(hù)建議，期望能夠有效地降低工業(yè)控制系統(tǒng)所面臨的攻擊威脅：

1.1盡可能采用安全的通信協(xié)議及規(guī)范，并提供協(xié)議異常性檢測(cè)能力：源頭控制、檢測(cè)防護(hù)、

1.2建立針對(duì)工業(yè)控制系統(tǒng)的違規(guī)操作、越權(quán)訪問等行為的有效監(jiān)管：異常行為檢測(cè)、安全審計(jì)；

1.3建立完善的工業(yè)控制系統(tǒng)安全保障體系，加強(qiáng)安全運(yùn)維與管理：工業(yè)控制系統(tǒng)安全保障體系建設(shè)、安全運(yùn)維與管理、加強(qiáng)人員的安全意識(shí)培訓(xùn)和工作流程管理制度的落實(shí)等；

1.4加強(qiáng)針對(duì)工業(yè)控制系統(tǒng)的新型攻擊技術(shù)的防范研究。

2　工控網(wǎng)絡(luò)安全防護(hù)解決方案

工控系統(tǒng)部署后使用的生命周期都很長(zhǎng)，目前國(guó)內(nèi)大量運(yùn)行中的工控設(shè)備在當(dāng)初設(shè)計(jì)時(shí)多重視系統(tǒng)的功能實(shí)現(xiàn)，如何為這些工業(yè)控制系統(tǒng)提供適當(dāng)?shù)陌踩雷o(hù)、安全增強(qiáng)和運(yùn)維管理，同時(shí)保障生產(chǎn)安全、系統(tǒng)可靠性和可擴(kuò)展性無疑是當(dāng)前工控企業(yè)需要重點(diǎn)解決的問題。

2.1解決思路

以工控系統(tǒng)安全的視角，針對(duì)工控系統(tǒng)對(duì)可靠性、穩(wěn)定性、運(yùn)行連續(xù)性的嚴(yán)格要求，以及工控系統(tǒng)軟件和設(shè)備更新不頻繁，通信和數(shù)據(jù)較為特定的特點(diǎn)，建立工控系統(tǒng)安全生產(chǎn)運(yùn)行的“可信網(wǎng)絡(luò)白環(huán)境”以及“軟件應(yīng)用白名單”，構(gòu)筑工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全“白環(huán)境”，無需大量改造現(xiàn)有工控網(wǎng)絡(luò)和頻繁升級(jí)工控系統(tǒng)，技術(shù)可靠實(shí)用，可落地性強(qiáng)。

2.2實(shí)施方案

（1）網(wǎng)絡(luò)劃分

根據(jù)工控系統(tǒng)的業(yè)務(wù)與功能來評(píng)估計(jì)并劃分網(wǎng)絡(luò)區(qū)域，明確各網(wǎng)絡(luò)區(qū)域的邊界。網(wǎng)絡(luò)區(qū)域是一組物理或邏輯上的資產(chǎn)，基于重要性或事故影響，它們具有相同的安全需求。

（2）控制/數(shù)據(jù)業(yè)務(wù)流及協(xié)議識(shí)別

確定網(wǎng)絡(luò)域之間，工作組之間，上位機(jī)、下位機(jī)、服務(wù)器、客戶端、操作站、監(jiān)控站之間的控制及數(shù)據(jù)業(yè)務(wù)流的傳輸關(guān)系，應(yīng)用的協(xié)議等。

（3）建立可信網(wǎng)絡(luò)域

運(yùn)用可信邊界網(wǎng)關(guān)、可信區(qū)域網(wǎng)關(guān)對(duì)不同的網(wǎng)絡(luò)域進(jìn)行隔離，防護(hù)各域的網(wǎng)絡(luò)邊界。阻止來自辦公網(wǎng)絡(luò)的攻擊、病毒、木馬等感染入侵其它網(wǎng)絡(luò)域。抑制在某一個(gè)網(wǎng)絡(luò)域中的病毒木馬向其它網(wǎng)絡(luò)傳播擴(kuò)散，縮小安全問題影響范圍。

（4）配置可信主機(jī)及可信服務(wù)器

針對(duì)每臺(tái)終端配置軟件白名單，建立工作站、服務(wù)器的軟件工作“白環(huán)境”。對(duì)于白名單以外的軟件、進(jìn)程、通信等阻止運(yùn)行。對(duì)于白名單內(nèi)軟件的更新、修改、移動(dòng)、刪除等操作進(jìn)行審計(jì)或控制。

3　結(jié)語

本文提出的工控網(wǎng)絡(luò)安全解決方案是面向石油、石化、電力、燃?xì)?、冶金、化工、鐵路、城市軌道交通等工控行業(yè)及相關(guān)研究機(jī)構(gòu)推出的以可信防護(hù)為核心、可視化管理為支撐、大數(shù)據(jù)分析為保障的全方位工控安全解決方案。