智能制造工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了智能制造工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：隨著兩化融合的不斷深入，傳統(tǒng)網(wǎng)絡(luò)安全威脅加速向工業(yè)控制系統(tǒng)滲透，智能制造領(lǐng)域工業(yè)控制系統(tǒng)“信息孤島”逐步被打破，信息安全問題日益突出。面對頻發(fā)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全事件，亟須研究、制定的適合業(yè)務(wù)特點(diǎn)的網(wǎng)絡(luò)安全防護(hù)措施，確保工業(yè)控制系統(tǒng)安全、穩(wěn)定運(yùn)行。本文結(jié)合智能制造領(lǐng)域工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全現(xiàn)狀，從威脅和脆弱性兩個方面就工業(yè)控制系統(tǒng)面臨的風(fēng)險進(jìn)行分析，同時結(jié)合智能制造領(lǐng)域工業(yè)控制系統(tǒng)網(wǎng)絡(luò)特點(diǎn)和國家相關(guān)網(wǎng)絡(luò)安全法律法規(guī)要求，提出一種基于縱深防御理念的工業(yè)控制系統(tǒng)安全防護(hù)措施，通過用戶生產(chǎn)現(xiàn)場功能性驗(yàn)證測試，該措施能夠幫助用戶有效識別并解決工業(yè)控制系統(tǒng)中存在的主要安全風(fēng)險，對同類型工業(yè)控制系統(tǒng)安全防護(hù)建設(shè)具有借鑒意義。

關(guān)鍵詞：智能制造；工業(yè)控制系統(tǒng)；網(wǎng)絡(luò)安全；縱深防御

近年來，智能制造生產(chǎn)網(wǎng)和企業(yè)網(wǎng)之間數(shù)據(jù)交互越來越頻繁，傳統(tǒng)的人工刻錄、數(shù)據(jù)拷貝的交換方式嚴(yán)重制約著智能制造企業(yè)生產(chǎn)效率的提升，生產(chǎn)網(wǎng)與企業(yè)網(wǎng)互聯(lián)互通需求迫切。但是，作為生產(chǎn)網(wǎng)重要組成部分的工業(yè)控制系統(tǒng)（以下簡稱“工控系統(tǒng)”），其安全防護(hù)嚴(yán)重不足，互聯(lián)互通進(jìn)一步增大系統(tǒng)暴露面，從而嚴(yán)重威脅工控系統(tǒng)安全穩(wěn)定運(yùn)行。同時，新一代信息技術(shù)的出現(xiàn)和大量應(yīng)用，工控系統(tǒng)日趨數(shù)字化、網(wǎng)絡(luò)化、智能化，工控生產(chǎn)網(wǎng)絡(luò)邊界日益模糊，網(wǎng)絡(luò)安全問題凸顯。

1工控系統(tǒng)網(wǎng)絡(luò)安全現(xiàn)狀

工控系統(tǒng)是智能制造企業(yè)關(guān)鍵基礎(chǔ)設(shè)施的“神經(jīng)中樞”，工控系統(tǒng)的安全穩(wěn)定運(yùn)行是企業(yè)生產(chǎn)業(yè)務(wù)正常開展的前提。近年來，隨著工業(yè)互聯(lián)的深入開展，針對工控系統(tǒng)的網(wǎng)絡(luò)攻擊呈逐年增加趨勢，潛在攻擊源不乏黑客組織、利益集團(tuán)甚至是國家層面發(fā)起的網(wǎng)絡(luò)戰(zhàn)，攻擊手段多樣，病毒、木馬等傳統(tǒng)網(wǎng)絡(luò)威脅持續(xù)向工控系統(tǒng)蔓延，勒索攻擊等新型攻擊模式不斷涌現(xiàn)，安全事件頻發(fā)，嚴(yán)重威脅工控系統(tǒng)安全穩(wěn)定運(yùn)行。通過對行業(yè)內(nèi)工控系統(tǒng)現(xiàn)場調(diào)研和問卷訪談，工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)方面普遍存在如下四方面問題：一是工控系統(tǒng)關(guān)鍵設(shè)備以國外品牌為主，核心技術(shù)受制于人。我國智能制造生產(chǎn)企業(yè)出于穩(wěn)定性、精確度考慮，其生產(chǎn)過程使用的工控系統(tǒng)組態(tài)軟件、控制器、檢測裝置等核心軟硬件大部分依賴國外產(chǎn)品，核心技術(shù)大多掌握在歐美及日本等發(fā)達(dá)國家廠商手中，存在“卡脖子”、后門利用等安全隱患。二是生產(chǎn)企業(yè)對工控系統(tǒng)安全問題重視不夠，安全意識薄弱。生產(chǎn)企業(yè)普遍存在重應(yīng)用、輕安全的情況，對工控系統(tǒng)網(wǎng)絡(luò)安全缺乏足夠認(rèn)識，信息安全管理制度不夠完善，缺少工控系統(tǒng)網(wǎng)絡(luò)安全專職人員，存在工控系統(tǒng)信息安全管理缺位、人員職責(zé)不明、網(wǎng)絡(luò)安全培訓(xùn)教育不到位等安全問題，一旦發(fā)生網(wǎng)絡(luò)安全事件，無法及時采取有效應(yīng)對措施。三是工控系統(tǒng)缺乏有效安全防護(hù)措施，安全防護(hù)長效機(jī)制難落實(shí)。工控系統(tǒng)在設(shè)計(jì)、研發(fā)、集成階段重點(diǎn)關(guān)注系統(tǒng)的可用性，未充分考慮安全問題，系統(tǒng)普遍存在弱口令、通信報文明文傳輸?shù)劝踩[患?，F(xiàn)有存量工控系統(tǒng)，出于兼容性考慮，輕易不敢打補(bǔ)丁或安裝防病毒軟件，大部分工控系統(tǒng)處于“裸奔”狀態(tài)。同時，工控系統(tǒng)網(wǎng)絡(luò)缺少監(jiān)測手段，無法為安全防護(hù)、應(yīng)急響應(yīng)、系統(tǒng)恢復(fù)等環(huán)節(jié)提供有效輸入，很大程度上制約安全防護(hù)能力的提升。四是暴露在互聯(lián)網(wǎng)上的工控設(shè)備與日俱增，安全隱患凸顯。全球暴露在互聯(lián)網(wǎng)上的工控系統(tǒng)及設(shè)備數(shù)量持續(xù)上升，工業(yè)信息安全風(fēng)險點(diǎn)不斷增加。國家工信安全中心監(jiān)測發(fā)現(xiàn)，2017年以來全球多個國家的IP地址對我國工控設(shè)備及系統(tǒng)發(fā)起過網(wǎng)絡(luò)探測與攻擊，對我國工業(yè)信息安全造成極大威脅[1]。針對頻發(fā)的工控安全事件，黨中央、國務(wù)院高度重視，分別在法律法規(guī)、政策、工作要求等方面積極部署并出臺了一系列安全政策。2016年10月17日工信部《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，要求工控系統(tǒng)開展信息安全防護(hù)工作[2]；2017年網(wǎng)信辦了《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》，要求開展關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作，工控系統(tǒng)作為生產(chǎn)企業(yè)智能制造的重要組成部分，需從技術(shù)手段上加強(qiáng)安全防護(hù)；2017年6月1日，《網(wǎng)絡(luò)安全法》正式實(shí)施，提出我國實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，進(jìn)一步明確網(wǎng)絡(luò)安全責(zé)任制；2019年全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T22239-2019）正式實(shí)施，提出對工控系統(tǒng)等5個擴(kuò)展要求實(shí)行網(wǎng)絡(luò)安全等級保護(hù)工作[3]。

2工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險分析

工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險是指由于工控系統(tǒng)自身存在脆弱性，潛在攻擊者通過適當(dāng)?shù)墓袈窂綄?dǎo)致工控系統(tǒng)發(fā)生安全事件的可能性以及由此產(chǎn)生的后果和影響。伴隨兩化融合的實(shí)施，智能制造行業(yè)工控系統(tǒng)發(fā)生信息安全事件的可能性增加，一旦生產(chǎn)網(wǎng)絡(luò)被攻陷，輕則影響工控系統(tǒng)穩(wěn)定運(yùn)行，重則會對國家利益、國計(jì)民生造成嚴(yán)重影響。下面從工控系統(tǒng)面對的威脅和自身脆弱性兩個方面對工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險進(jìn)行分析。

2.1工控系統(tǒng)網(wǎng)絡(luò)安全威脅

工控系統(tǒng)的安全威脅來自多個方面，主要包括外部非法目的的攻擊，如恐怖組織、工業(yè)間諜、惡意入侵者等；以及來自工業(yè)控制系統(tǒng)內(nèi)部正常運(yùn)行管理過程中出現(xiàn)的威脅，如系統(tǒng)復(fù)雜性、內(nèi)部人員失誤和事故等。內(nèi)部人員由于對目標(biāo)系統(tǒng)具有更為深刻的了解和更多的接觸機(jī)會，往往能夠不受限制的訪問系統(tǒng)進(jìn)行有意或無意的惡意操作，使系統(tǒng)及數(shù)據(jù)遭到破壞或泄露[3]。

2.2工控系統(tǒng)脆弱性

（1）設(shè)備脆弱性工控系統(tǒng)控制器大部分采用非自主可控的信息技術(shù)和產(chǎn)品進(jìn)行建設(shè)和運(yùn)行，不排除信息技術(shù)及產(chǎn)品存在后門可能，存在生產(chǎn)信息泄露風(fēng)險。另外，大部分控制器未關(guān)閉SSH、Telnet等不需要的通信協(xié)議，使得潛在攻擊者能夠利用控制器開放端口達(dá)到非法訪問的目的。（2）通信脆弱性工控系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)在設(shè)計(jì)之初僅考慮系統(tǒng)可用性，未進(jìn)行分區(qū)分層設(shè)計(jì)，存在“一點(diǎn)突破，全網(wǎng)皆失”的風(fēng)險；另外，工控系統(tǒng)設(shè)計(jì)之初僅考慮可用性，大部分通信協(xié)議采用明文傳輸，缺少必要的認(rèn)證、授權(quán)、加密等安全機(jī)制，存在非法劫持、篡改的風(fēng)險[4]。（3）終端脆弱性工控系統(tǒng)上位機(jī)大多采用windows操作系統(tǒng)且對穩(wěn)定性要求非常高，自運(yùn)行以來基本未進(jìn)行過系統(tǒng)更新及補(bǔ)丁升級操作，存在大量系統(tǒng)漏洞，一旦被違規(guī)利用后果不堪設(shè)想；加上未對U盤等移動存儲介質(zhì)管控，很容易發(fā)生通過U盤擺渡數(shù)據(jù)造成工控終端感染病毒并肆意傳播的安全事件。

3工控系統(tǒng)安全防護(hù)措施研究

針對工控系統(tǒng)安全防護(hù)，沒有通用方案能夠確保工控系統(tǒng)免于所有針對性的網(wǎng)絡(luò)攻擊，所以在工控安全防護(hù)措施研究上應(yīng)結(jié)合工控系統(tǒng)實(shí)際特點(diǎn)有針對性加強(qiáng)安全防護(hù)建設(shè)，通過采用多層安全控制的縱深防御理念，保證威脅來臨時對目標(biāo)工控系統(tǒng)產(chǎn)生的影響和后果最小。針對智能制造領(lǐng)域工控系統(tǒng)縱深防御規(guī)劃，建議從安全規(guī)劃、物理環(huán)境、網(wǎng)絡(luò)、終端、應(yīng)用、設(shè)備六個方面綜合考慮?？v深防御分層模型如圖1所示。（1）安全規(guī)劃建立有針對性的安全規(guī)劃是做好工控安全防護(hù)的第一步。在工控安全防護(hù)建設(shè)過程中應(yīng)事先定義安全防護(hù)策略及規(guī)范并嚴(yán)格執(zhí)行，同時根據(jù)系統(tǒng)變更情況及時更新和調(diào)整。安全規(guī)劃包含安全組織機(jī)構(gòu)設(shè)立、安全防護(hù)策略、安全意識宣貫、制定應(yīng)急處置計(jì)劃等內(nèi)容。（2）物理環(huán)境物理防護(hù)是工控系統(tǒng)安全穩(wěn)定運(yùn)行的第一道防線，生產(chǎn)企業(yè)應(yīng)通過機(jī)房鑰匙、門禁卡、生物指紋等措施限制內(nèi)部員工、第三方人員訪問控制室、重要控制設(shè)備、網(wǎng)絡(luò)區(qū)域的范圍。（3）網(wǎng)絡(luò)同物理安全限制對工控系統(tǒng)的物理區(qū)域和資產(chǎn)的授權(quán)訪問一樣，網(wǎng)絡(luò)安全限制對工控網(wǎng)絡(luò)邏輯區(qū)域的訪問。工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)的思路是應(yīng)用防火墻規(guī)則，設(shè)置訪問控制列表以及實(shí)施入侵檢測將網(wǎng)絡(luò)劃分成不同安全區(qū)域。通過嚴(yán)格控制和監(jiān)視穿越安全區(qū)域的流量，及時發(fā)現(xiàn)異常行為并有效處置。（4）終端終端安全防護(hù)主要包括補(bǔ)丁更新、惡意代碼防范、移除不再使用的應(yīng)用程序或服務(wù)、通過技術(shù)或物理手段限制USB、網(wǎng)口等物理端口的使用，確保終端計(jì)算環(huán)境安全可靠。（5）應(yīng)用應(yīng)用安全防護(hù)的目的在于阻止用戶未授權(quán)的應(yīng)用程序交互，通過應(yīng)用程序認(rèn)證、授權(quán)和審計(jì)三種安全機(jī)制實(shí)現(xiàn)。其中認(rèn)證用于校驗(yàn)應(yīng)用程序用戶身份，授權(quán)基于用戶身份分配適當(dāng)?shù)臋?quán)限，審計(jì)日志記錄用戶操作行為，便于事后追溯。另外，對于工控系統(tǒng)應(yīng)用程序，需做好上線前檢測、脆弱性檢查及補(bǔ)丁驗(yàn)證更新工作。（6）設(shè)備控制器設(shè)備安全涉及與工控系統(tǒng)可用性、完整性和機(jī)密性（AIC）三元組[5]有關(guān)的安全防護(hù)措施，包括補(bǔ)丁更新、設(shè)備加固、物理和邏輯訪問控制以及建立覆蓋設(shè)備采購、實(shí)施、維護(hù)、配置和變更管理、設(shè)備安全處置等環(huán)節(jié)的全生命周期管理程序。智能制造領(lǐng)域工控系統(tǒng)多以離散型控制系統(tǒng)為主，網(wǎng)絡(luò)架構(gòu)參考普度模型，主要包括生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層。結(jié)合現(xiàn)場實(shí)際調(diào)研，參照縱深防御、“一個中心、三重防護(hù)”思想設(shè)計(jì)安全防護(hù)架構(gòu)并對安全防護(hù)措施進(jìn)行客戶現(xiàn)場有效性驗(yàn)證，確保對現(xiàn)有控制系統(tǒng)運(yùn)行環(huán)境影響最小，網(wǎng)絡(luò)安全防護(hù)措施如圖2所示。

3.1網(wǎng)絡(luò)分區(qū)

針對工控生產(chǎn)網(wǎng)絡(luò)，嚴(yán)格遵循網(wǎng)絡(luò)分層、安全分區(qū)原則，將工控網(wǎng)絡(luò)根據(jù)業(yè)務(wù)功能劃分不同安全域，區(qū)域邊界部署基于流量白名單的工業(yè)防火墻，通過對安全域間流量深度解析，實(shí)現(xiàn)細(xì)顆粒度的訪問控制。工業(yè)防火墻基于自學(xué)習(xí)方式生成通信流量白名單基線，有效阻止白名單外的攻擊、病毒、木馬等入侵行為。同時通過隔離各安全域，抑制域內(nèi)病毒、木馬傳播擴(kuò)散，將安全影響降低到最小范圍。結(jié)合實(shí)際客戶現(xiàn)場網(wǎng)絡(luò)環(huán)境，工業(yè)防火墻采用冗余配置，通過透明模式串行部署在過程監(jiān)控層和生產(chǎn)管理層之間，有效杜絕因工業(yè)防火墻單點(diǎn)故障、軟件宕機(jī)等造成數(shù)據(jù)通信中斷、工控系統(tǒng)不可用等安全事件。

3.2安全監(jiān)測

在各生產(chǎn)線接入交換機(jī)側(cè)旁路部署工控安全監(jiān)測審計(jì)探針，用于過程監(jiān)控層和現(xiàn)場控制層以及生產(chǎn)管理層和過程監(jiān)控層之間網(wǎng)絡(luò)通信流量的監(jiān)測和審計(jì)。監(jiān)測與審計(jì)探針開啟基線自學(xué)習(xí)功能，通過對工控網(wǎng)絡(luò)通信協(xié)議深度解析，建立現(xiàn)場通信流量白名單基線，及時發(fā)現(xiàn)針對工控網(wǎng)絡(luò)的異常訪問、誤操作、第三方設(shè)備非法接入等違規(guī)行為。探針采用旁路部署模式，被動監(jiān)聽網(wǎng)絡(luò)流量，不影響工控系統(tǒng)正常運(yùn)行。在安全管理中心部署工控安全監(jiān)測審計(jì)系統(tǒng)，實(shí)時收集監(jiān)測審計(jì)探針異常告警及安全審計(jì)日志，洞察工控網(wǎng)絡(luò)異常通信行為。工控安全監(jiān)測審計(jì)系統(tǒng)通過全流量的實(shí)時解析，自動繪制網(wǎng)絡(luò)通信關(guān)系拓?fù)洌梢暬宫F(xiàn)工控系統(tǒng)網(wǎng)絡(luò)資產(chǎn)及通信行為，為工控系統(tǒng)安全事件事后審計(jì)、追溯分析提供有效數(shù)據(jù)支撐。

3.3終端防護(hù)

在工控網(wǎng)絡(luò)安全管理中心部署一套工控主機(jī)防護(hù)系統(tǒng)和防病毒服務(wù)器，在各工控操作終端部署客戶端，實(shí)現(xiàn)工控網(wǎng)絡(luò)終端安全加固。工控終端運(yùn)行軟件環(huán)境相對穩(wěn)定，通過部署基于進(jìn)程白名單理念的終端安全防護(hù)系統(tǒng)阻止惡意代碼執(zhí)行，杜絕類似“震網(wǎng)”病毒、“永恒之藍(lán)”等安全事件發(fā)生。通過安全策略的統(tǒng)一配置，有效消除工控系統(tǒng)終端帶著漏洞運(yùn)行、補(bǔ)丁更新不及時、USB外設(shè)端口隨意使用等安全隱患。針對生產(chǎn)現(xiàn)場重要控制器設(shè)備，在控制器前側(cè)串聯(lián)部署安全防護(hù)終端裝置，基于業(yè)務(wù)通信需要，配置最小訪問控制授權(quán)，阻斷針對PLC控制器的非法程序上傳、下載、未授權(quán)訪問等行為。

3.4集中管理

在安全管理中心部署一套工控運(yùn)維堡壘機(jī)系統(tǒng)，針對工控系統(tǒng)安全運(yùn)維提供全過程的安全審計(jì)，基于事前運(yùn)維資源和運(yùn)維用戶授權(quán)規(guī)劃、事中運(yùn)維過程實(shí)時在線監(jiān)控、事后運(yùn)維記錄安全審計(jì)確保工控系統(tǒng)自運(yùn)維或委托第三方運(yùn)維過程的安全、可控。在安全管理中心部署一套工控安全管理平臺，用于安全設(shè)備的統(tǒng)一管理。通過部署工控安全管理平臺，實(shí)現(xiàn)工控網(wǎng)絡(luò)安全設(shè)備統(tǒng)一策略管理及分發(fā)；同時針對工控網(wǎng)絡(luò)資產(chǎn)日志、異常告警等信息，傳統(tǒng)的逐點(diǎn)關(guān)注、人工排查的方式一方面不利于安全問題的及時發(fā)現(xiàn)，另一方面分散的日志或告警信息的關(guān)聯(lián)、分析對工控系統(tǒng)運(yùn)維人員提出了更高的要求，需要從技術(shù)層面解決網(wǎng)絡(luò)安全事件的識別、分析及追溯，本方案工控安全管理平臺基于大數(shù)據(jù)處理技術(shù)及關(guān)聯(lián)分析、行為分析引擎，實(shí)現(xiàn)告警信息的關(guān)聯(lián)分析，實(shí)時感知廠級工控系統(tǒng)網(wǎng)絡(luò)安全態(tài)勢。

4結(jié)語

隨著新一代信息技術(shù)（IT）與運(yùn)營技術(shù)（OT）的加速融合，工控系統(tǒng)愈加開放互聯(lián)，信息安全問題凸顯，網(wǎng)絡(luò)安全防護(hù)建設(shè)刻不容緩。為有效應(yīng)對工控系統(tǒng)面臨的各種安全威脅，智能制造領(lǐng)域生產(chǎn)企業(yè)須提高網(wǎng)絡(luò)安全認(rèn)識，從資產(chǎn)識別、監(jiān)測感知、威脅防護(hù)、處置恢復(fù)等視角構(gòu)建安全防護(hù)措施，持續(xù)提升工控系統(tǒng)安全防護(hù)能力。

參考文獻(xiàn)：

[1]劉冬，程曦，楊帥鋒，孫軍.加強(qiáng)我國工業(yè)信息安全的思考[J].信息安全與通信保密，2019（8）.

[2]王惠蒞，姚相振，任澤君.關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)體系研究[J].保密科學(xué)技術(shù)，2019（7）.

[3]孫凱，李琳.《信息安全技術(shù)工業(yè)控制系統(tǒng)安全管理基本要求》標(biāo)準(zhǔn)解讀[J].保密科學(xué)技術(shù)，2019，000（003）．

[4]屈婉瑩，魏為民，朱蘇榕.工業(yè)控制系統(tǒng)通信協(xié)議安全研究[C].2015年全國智能電網(wǎng)用戶端能源管理學(xué)術(shù)年會論文集,2015.

[5]彭勇，江常青，謝豐，等.工業(yè)控制系統(tǒng)信息安全研究進(jìn)展[J].清華大學(xué)學(xué)報，2012，052（010）.

[6]王正才，許道云，王曉峰.基于自動機(jī)并操作的多目標(biāo)AC-BM算法[J].計(jì)算機(jī)科學(xué)，2013（6）.

作者：韓正 單位：中核核信信息技術(shù)（北京）有限公司