黃培松

（國能（泉州）熱電有限公司，福建泉州，362000）

1 基于攻擊圖的工業(yè)控制網(wǎng)絡(luò)安全脆弱性分析

現(xiàn)代信息技術(shù)對企業(yè)的影響越來越大，工業(yè)控制網(wǎng)絡(luò)是工業(yè)數(shù)據(jù)通信與控制網(wǎng)絡(luò)的簡稱，是基于現(xiàn)代信息技術(shù)發(fā)展下形成的自動控制領(lǐng)域的網(wǎng)絡(luò)系統(tǒng)。工業(yè)控制網(wǎng)絡(luò)、計算機(jī)網(wǎng)絡(luò)技術(shù)、管理控制體系與自動控制技術(shù)緊密結(jié)合，是智慧電廠概念具體化的體現(xiàn)，這些能夠滿足企業(yè)管理過程當(dāng)中對圖像、數(shù)據(jù)、控制等信號的高速傳輸要求，為企業(yè)運(yùn)行提高效率[1]，也是能源集團(tuán)企業(yè)未來發(fā)展方向。我廠網(wǎng)絡(luò)包含地調(diào)數(shù)據(jù)網(wǎng)、省調(diào)數(shù)據(jù)網(wǎng)、DCS 系統(tǒng)、SIS 系統(tǒng)、環(huán)保數(shù)據(jù)上傳網(wǎng)絡(luò)、辦公網(wǎng)絡(luò)機(jī)集團(tuán)廣域網(wǎng)，是典型的工業(yè)、自動化控制、辦公、管理為一體的綜合性網(wǎng)絡(luò)。

作為當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域的研究熱點(diǎn)之一，網(wǎng)絡(luò)脆弱性評價不同于一般性能評價技術(shù)。入侵檢測、防火墻和病毒掃描等技術(shù)都是在攻擊進(jìn)行時或發(fā)生后的被動檢測，而網(wǎng)絡(luò)脆弱性評價是由黑客攻擊和防范技術(shù)發(fā)展而來的，是一種在事前的主動探測，是針對攻擊行為構(gòu)建安全模型。另一方面，根據(jù)安全模型可以獲得系統(tǒng)可能的行為和狀態(tài)，以此為基礎(chǔ)展開進(jìn)一步的分析和計算，為完善系統(tǒng)安全策略提供幫助。

攻擊圖是通過物理的或者邏輯的方法相互相連的組件構(gòu)成。為了生成攻擊圖，需要收集大量關(guān)于網(wǎng)絡(luò)中與安全相關(guān)的信息，如主機(jī)配置、主機(jī)漏洞、網(wǎng)絡(luò)拓?fù)洹⒕W(wǎng)絡(luò)配置等，然后根據(jù)網(wǎng)絡(luò)當(dāng)中的攻擊動作間的因果關(guān)系分析出潛在的攻擊序列，發(fā)現(xiàn)工業(yè)控制網(wǎng)絡(luò)在運(yùn)行過程當(dāng)中可能遭受的攻擊路徑或具有關(guān)聯(lián)的攻擊路徑。以下將基于攻擊圖，從數(shù)據(jù)驅(qū)動分析，人在回路分析和協(xié)同共享進(jìn)行分析。

1.1 數(shù)據(jù)驅(qū)動分析

傳統(tǒng)的被動防御手段在工業(yè)控制網(wǎng)絡(luò)安全防護(hù)上防御效果并不理想，而工業(yè)控制網(wǎng)絡(luò)態(tài)勢感知可以在掌握內(nèi)部數(shù)據(jù)的同時，密切關(guān)注到組織以外的相關(guān)情報，所以態(tài)勢感知能夠在工業(yè)控制網(wǎng)絡(luò)發(fā)生安全威脅時采取及時的應(yīng)急措施，做出正確的應(yīng)對處理方式，保障工業(yè)控制網(wǎng)絡(luò)的安全?，F(xiàn)在在工業(yè)控制網(wǎng)絡(luò)運(yùn)行中有不同的網(wǎng)絡(luò)協(xié)議和總線設(shè)備，不同工業(yè)軟件運(yùn)行環(huán)境要求也不同，所選操作系統(tǒng)也有很大區(qū)別，對不同的私有協(xié)議，總線設(shè)備和操作系統(tǒng)做出整合具有很高的難度，還要對風(fēng)險威脅做出預(yù)判，這就給工業(yè)控制網(wǎng)絡(luò)安全帶來了更大的威脅[2]。所以，想要保障工業(yè)控制網(wǎng)絡(luò)安全，就不僅僅局限于威脅情報的采集，還要分享威脅情報，充分整合內(nèi)外部數(shù)據(jù)，讓態(tài)勢感知系統(tǒng)發(fā)揮作用，只有這樣，才能夠在工業(yè)控制網(wǎng)絡(luò)安全受到威脅時，及時采取應(yīng)急方案，作出正確的數(shù)據(jù)處理，而態(tài)勢感知想要發(fā)揮作用最重要的基礎(chǔ)就是數(shù)據(jù)，只有正確的數(shù)據(jù)處理才能夠保證態(tài)勢感知后續(xù)工作的運(yùn)行。

1.2 人在回路分析

人在回路即人機(jī)閉環(huán)系統(tǒng)，也稱為人機(jī)互助系統(tǒng)，是機(jī)器學(xué)習(xí)，人工智能，機(jī)器智能可行的成長模式。通過人和機(jī)器的相互作用，建立仿真模型，在此過程中，主要是要依靠人腦進(jìn)行態(tài)勢感知，例如通過操作員輸入指令后進(jìn)行二次，三次的指令更正，在網(wǎng)絡(luò)環(huán)境當(dāng)中，能更加準(zhǔn)確的理解復(fù)雜的任務(wù)。人在回路模型中，人起到核心作用，在工業(yè)控制網(wǎng)絡(luò)運(yùn)行時遭到危險或受到攻擊，失去人腦參與，會弱化外部威脅情報的傳輸，工業(yè)控制網(wǎng)絡(luò)只會被動防御，無法發(fā)揮態(tài)勢感知的作用。所以人在回路分析中，人腦地位很高，作用很大，人腦完成態(tài)勢感知才能夠賦予工業(yè)控制網(wǎng)絡(luò)感知數(shù)據(jù)收集和安全決策能力。人腦雖然具有十分重要的地位，但是管理也應(yīng)當(dāng)為相關(guān)人員提供必要的信息請報，操作員和安全管理員通過內(nèi)部數(shù)據(jù)感知，設(shè)備狀態(tài)，安全配置和網(wǎng)絡(luò)流量，通過外部情報獲取漏洞信息和突發(fā)事件，通過人腦感知分析后做出態(tài)勢報告，才能形成與決策[3]。

1.3 協(xié)同共享分析

新時代網(wǎng)絡(luò)它實(shí)現(xiàn)了計算與通信的融合，基于大數(shù)據(jù)人工智能的網(wǎng)絡(luò)運(yùn)維，減少了人為的差錯；智能化監(jiān)控有利于提高網(wǎng)絡(luò)的安全防御水平。另一方面，虛擬化和定義能力及協(xié)議的互聯(lián)網(wǎng)化、開放化也引入了新的安全風(fēng)險，使網(wǎng)絡(luò)有可能遭到更多的滲透和攻擊，而工業(yè)互聯(lián)網(wǎng)作為互聯(lián)網(wǎng)發(fā)展的下一方向同樣面臨著極大的安全威脅，工業(yè)互聯(lián)網(wǎng)的發(fā)展模糊了物理世界和虛擬世界的界限，由此引發(fā)的網(wǎng)絡(luò)攻擊往往會造成比過去更嚴(yán)重的影響。協(xié)同共享可以突破自身局限性，將威脅情報通過有效機(jī)制實(shí)現(xiàn)組織共享，進(jìn)而整合組織力量，應(yīng)對工業(yè)控制網(wǎng)絡(luò)威脅，做出安全防御反應(yīng)，提高安全能力，進(jìn)而避免工業(yè)控制網(wǎng)絡(luò)遭到破壞。協(xié)同共享分析，就是通過情報共享，整合組織力量，提升整體安全防御能力，以此來保障工業(yè)控制網(wǎng)絡(luò)安全[4]。

2 工業(yè)控制網(wǎng)絡(luò)安全防護(hù)方案

2.1 網(wǎng)絡(luò)安全審計

現(xiàn)代科技技術(shù)和互聯(lián)網(wǎng)為企業(yè)的發(fā)展帶來了更多可能，在享受互聯(lián)網(wǎng)技術(shù)帶來便利的過程當(dāng)中，也應(yīng)當(dāng)重視起信息安全和網(wǎng)絡(luò)安全，所以加強(qiáng)工業(yè)控制網(wǎng)絡(luò)安全防護(hù)十分重要，是保障工業(yè)企業(yè)網(wǎng)絡(luò)安全和信息安全的重要環(huán)節(jié)。網(wǎng)絡(luò)安全審計能夠保障網(wǎng)絡(luò)安全，促進(jìn)網(wǎng)絡(luò)健康有序發(fā)展，在工業(yè)控制網(wǎng)絡(luò)當(dāng)中，重視網(wǎng)絡(luò)安全審計能夠更直觀的反映出工業(yè)控制網(wǎng)絡(luò)的安全性，及時通知客戶了解安全性的同時，通過網(wǎng)絡(luò)安全審計還能夠?qū)I(yè)控制網(wǎng)絡(luò)中存在的安全漏洞提出建議，從而可以有效增強(qiáng)安全防護(hù)體系的安全系數(shù)和有效性，所以在構(gòu)建工業(yè)控制網(wǎng)絡(luò)的過程當(dāng)中，一定要重視安全防護(hù)方案中的網(wǎng)絡(luò)安全審計設(shè)計，通過網(wǎng)絡(luò)安全審計設(shè)計實(shí)現(xiàn)全天監(jiān)控，促進(jìn)工業(yè)控制網(wǎng)絡(luò)的安全運(yùn)行，保障工業(yè)控制網(wǎng)絡(luò)穩(wěn)定性和運(yùn)行效率[5]。

2.2 DCS 系統(tǒng)的推廣應(yīng)用

DCS（分散控制系統(tǒng)）是以微處理器為基礎(chǔ)，采用控制功能分散、顯示操作集中、兼顧分而自治和綜合協(xié)調(diào)的設(shè)計原則的新一代儀表控制系統(tǒng)；其主要特征是它的集中管理和分散控制。由于其采用微型處理器，結(jié)合計算機(jī)、通訊、顯示和控制4C 技術(shù)，具有分散控制，集中管理，分級管理，配置靈活，組態(tài)方便的特點(diǎn)，所以是現(xiàn)在較為常用的工業(yè)控制網(wǎng)絡(luò)。DCS其最大的特點(diǎn)就是垂直整合能力強(qiáng)，能向下兼容多個不同網(wǎng)絡(luò)協(xié)議、總線協(xié)議，并且可靠性極高，應(yīng)用DCS 系統(tǒng)能夠確保工業(yè)控制網(wǎng)絡(luò)安全有序運(yùn)行，其原因是DCS 是具有分布式微處理器的自動化控制數(shù)字運(yùn)算器，可以將控制指令隨時載入內(nèi)存進(jìn)行儲存和執(zhí)行，能夠?qū)崿F(xiàn)邏輯控制，模擬控制，多機(jī)通信等多種復(fù)雜功能，并保證在某模塊出問題是，不影響整個系統(tǒng)運(yùn)行，所以DCS 推廣應(yīng)用可以切實(shí)提高工業(yè)控制網(wǎng)絡(luò)安全防范，應(yīng)當(dāng)將DCS 系統(tǒng)納入到企業(yè)工作計劃和方案當(dāng)中，以此來保障網(wǎng)絡(luò)的安全運(yùn)行和企業(yè)業(yè)務(wù)的順利實(shí)施[6]。

2.3 建立邊界控制防護(hù)

想要切實(shí)提高工業(yè)控制網(wǎng)絡(luò)的安全性，在提高安全防護(hù)措施的時候也應(yīng)當(dāng)重視，工業(yè)控制網(wǎng)絡(luò)邊界控制防護(hù)，在建立邊界控制防護(hù)的過程當(dāng)中，最重要的就是要建立生產(chǎn)管理層和過程監(jiān)控層之間的安全防護(hù)。由于運(yùn)行中所采用的工業(yè)控制網(wǎng)絡(luò)，具有實(shí)時共享性，所以這也形成了網(wǎng)絡(luò)脆弱性的原因之一，高度的共享性使工業(yè)控制網(wǎng)絡(luò)存在更多的安全隱患和安全威脅，所以在享受網(wǎng)絡(luò)帶來的便利同時，應(yīng)當(dāng)對重要的生產(chǎn)資料采取網(wǎng)絡(luò)防護(hù)措施。而通常工業(yè)控制網(wǎng)絡(luò)當(dāng)中采取的防護(hù)措施就是在互通傳輸之間設(shè)置單向?qū)朐O(shè)備，通過這樣的安全防護(hù)，能夠阻止管理網(wǎng)絡(luò)對生產(chǎn)網(wǎng)絡(luò)造成的攻擊，而且單項(xiàng)導(dǎo)入設(shè)備能夠準(zhǔn)確有效的采集數(shù)據(jù)信息，保障合法的通過數(shù)據(jù)傳輸，所以在保障工業(yè)控制網(wǎng)絡(luò)安全性的同時，也能夠提高信息采集的準(zhǔn)確率，保障網(wǎng)絡(luò)運(yùn)行的精確性[7]。

除此之外，在建立生產(chǎn)層和過程監(jiān)控層的安全防護(hù)基礎(chǔ)之上，還要建立過程監(jiān)控層與現(xiàn)場控制層的安全防護(hù)，隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)病毒也隨之更新?lián)Q代，網(wǎng)絡(luò)病毒層出不窮，傳播方式也愈加多樣，所以想要真正的解決工業(yè)控制網(wǎng)絡(luò)安全問題，就應(yīng)當(dāng)加強(qiáng)安全防護(hù)，引進(jìn)專業(yè)設(shè)備、合法合規(guī)的隔離器，對于網(wǎng)絡(luò)傳輸當(dāng)中的數(shù)據(jù)傳輸加強(qiáng)控制，摒棄傳統(tǒng)的病毒防護(hù)方式，通過設(shè)備更新?lián)Q代，嚴(yán)控數(shù)據(jù)傳輸，嚴(yán)格隔離計算機(jī)病毒，嚴(yán)格防止非法入侵，同時合理運(yùn)用網(wǎng)絡(luò)代理模式，保障網(wǎng)絡(luò)通信的完善性和安全性，在工業(yè)控制網(wǎng)絡(luò)建設(shè)過程當(dāng)中應(yīng)當(dāng)做好合理等級劃分，以此來提高工業(yè)控制網(wǎng)絡(luò)的安全系數(shù)，在此基礎(chǔ)之上，還應(yīng)當(dāng)對現(xiàn)場微處理器加強(qiáng)安全防護(hù)，要提高工業(yè)控制網(wǎng)絡(luò)的安全系數(shù)，在防火墻選擇上，應(yīng)當(dāng)選擇專業(yè)性較高的工業(yè)防火墻，精心挑選，嚴(yán)格設(shè)計訪問控制系統(tǒng)，優(yōu)化訪問控制方案，通過工業(yè)防火墻建立數(shù)據(jù)訪問黑白名單，為工業(yè)控制網(wǎng)絡(luò)運(yùn)行提供更加安全穩(wěn)定的運(yùn)行環(huán)境。

在加強(qiáng)工業(yè)控制網(wǎng)絡(luò)安全性的同時，應(yīng)當(dāng)保障工業(yè)控制網(wǎng)絡(luò)運(yùn)行的效率，只有加強(qiáng)數(shù)據(jù)傳輸，數(shù)據(jù)采集和數(shù)據(jù)準(zhǔn)確性，保障通信效率，才能夠真正發(fā)揮工業(yè)控制網(wǎng)絡(luò)的優(yōu)勢，不僅僅要在技術(shù)層面完善創(chuàng)新，還應(yīng)當(dāng)對專門的特定的IP 配備專業(yè)控制器，這樣才能夠增強(qiáng)安全系數(shù)，避免新型病毒的入侵，保障工業(yè)控制網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全，防止遭到破壞，實(shí)現(xiàn)工業(yè)控制網(wǎng)絡(luò)智能化和共享控制平臺的實(shí)現(xiàn)。