工控系統(tǒng)信息安全的設計
前言：想要寫出一篇引人入勝的文章？我們特意為您整理了工控系統(tǒng)信息安全的設計范文，希望能給你帶來靈感和參考，敬請閱讀。
摘要：工業(yè)控制系統(tǒng)作為智能制造的神經(jīng)中樞，關系到中國制造2025強國戰(zhàn)略目標的實現(xiàn)。受限于國內(nèi)微電子工業(yè)的能力，芯片和操作系統(tǒng)無法安全可控。再加上網(wǎng)絡化、信息化，黑客攻擊手段更加復雜多樣。通過分析工控系統(tǒng)典型威脅、技術(shù)上的脆弱性及攻擊手段，給出了縱深防御的安全防御方案。該方案對邊界隔離、終端加固、內(nèi)核安全的設計進行詳細說明。該方案的實施能夠保障工業(yè)控制系統(tǒng)的信息安全。
關鍵詞：工業(yè)控制系統(tǒng)，信息安全，脆弱性，縱深防御，邊界隔離，終端加固，加密技術(shù)
1工控系統(tǒng)信息安全面臨的威脅及分析
由博萊斯福德（DillonBeresford）實驗得出工控系統(tǒng)非常脆弱，并很容易被利用。深究其威脅的根本原因：控制網(wǎng)、生產(chǎn)網(wǎng)、管理網(wǎng)、互聯(lián)網(wǎng)的連接，TCP／IP協(xié)議的普及，類Windows系統(tǒng)廣泛使用。
1．1技術(shù)對工控系統(tǒng)脆弱性影響
工控設備的脆弱性源于操作系統(tǒng)漏洞、開發(fā)工具漏洞、應用軟件設計不周、算法問題。硬件芯片依賴進口，硬件缺陷隱蔽性強，難以發(fā)現(xiàn)。工控通訊的脆弱性包括企業(yè)內(nèi)集成互聯(lián)、信息共享，工控系統(tǒng)由信息孤島向公共平臺延伸，意味著工控系統(tǒng)暴露在更大范圍、更加虛擬化的攻擊者面前。遠程運維Web訪問遠程監(jiān)控，暴露多、入口多，隨時都有被攻擊的可能。通訊協(xié)議采用通用開放的TCP／IP協(xié)議，開放了大量端口，為黑客進攻提供途徑。
1．2工控系統(tǒng)安全的攻擊手段
隨著技術(shù)的發(fā)展，攻擊手段越來越復雜多樣，攻擊者除了利用工具包、釣魚攻擊等傳統(tǒng)感染方式外，還采用了新型攻擊手段，如0day漏洞利用、變形木馬、隱蔽通道等。同時常用的攻擊手段還包括：暴力破解、重放攻擊、偽造證書、留后門、遠程指令、惡意代碼、反射dll注入、DNS欺騙、假冒數(shù)據(jù)、躲避入侵檢測、分布DOS攻擊等。
2縱深防御體系設計
以《信息系統(tǒng)安全等級保護基本要求》為依據(jù)，按照工業(yè)和信息化部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護指南》的具體辦法，采用內(nèi)外結(jié)合縱深防御、綜合防范的設計思路，建立從外到內(nèi)的邊界隔離、終端加固、內(nèi)核安全三重防御體系，從網(wǎng)絡、主機、應用、數(shù)據(jù)等層面加強防護，保障信息系統(tǒng)的保密性、完整性和可用性，指導工業(yè)企業(yè)開展工控安全防護工作。
2．1邊界隔離
區(qū)域邊界是工控系統(tǒng)主機環(huán)境與通信網(wǎng)絡之間完成聯(lián)接的部件。采用網(wǎng)絡分區(qū)隔離，DCS系統(tǒng)網(wǎng)絡相對獨立／內(nèi)部網(wǎng)絡劃分Vlan。由于各區(qū)域邊界在進入工控系統(tǒng)核心網(wǎng)絡有共同的出口，可在區(qū)域邊界部署工業(yè)防火墻、單向網(wǎng)關對用戶訪問時的網(wǎng)絡訪問控制、包過濾防護、入侵防范、安全審計、完整性防護、網(wǎng)絡設備自身保護等方面進行安全防護。利用防火墻和單向網(wǎng)關檢查數(shù)據(jù)包的傳輸方向、源地址、目的地址、端口、傳輸層協(xié)議、MAC地址、時間等，對網(wǎng)絡流量內(nèi)的OPC、Modbus等通用協(xié)議進行深度過濾解析，利用白名單與規(guī)則匹配方式進行安全防護，只有可信任的設備，才能接入到工控系統(tǒng)網(wǎng)絡，只有可信任的數(shù)據(jù)，才能在網(wǎng)絡上傳輸。對工控系統(tǒng)的異常流量、違規(guī)活動、網(wǎng)絡攻擊行為進行實時監(jiān)測，并在發(fā)現(xiàn)可疑或危險的活動時采取相應的安全措施，如告警、阻斷當前連接等。利用防火墻DOS防護功能，有效檢測常見的端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等。工控系統(tǒng)的連接訪問，進行身份認證，提供兩種或兩種以上的認證方式進行訪問控制，實現(xiàn)網(wǎng)絡連接的保密性、完整性和唯一性。
2．2終端加固
對工控系統(tǒng)的數(shù)據(jù)庫服務器、上位機（服務器、工作站）等設備，增加對終端設備加固。進行漏洞掃描、網(wǎng)絡入侵檢測，通過使用主機監(jiān)控與審計的資源，隔離限制特定進程對特定文件的訪問權(quán)限等操作，對服務器、終端采用安全操作系統(tǒng)，實時和定時防病毒檢測，安裝安全補丁，使用集中式的日志服務器管理系統(tǒng)日志，實現(xiàn)強身份鑒別、強制訪問控制、程序可信執(zhí)行保護、惡意代碼防護。漏洞掃描是指基于漏洞數(shù)據(jù)庫，通過掃描等手段對指定系統(tǒng)設備的的安全脆弱性進行檢測，了解網(wǎng)絡的安全設置和運行的應用服務，及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡風險等級，在被攻擊前進行防范。防火墻是被動的防御手段，那么漏洞掃描就是一種主動的防范措施，做到防患于未然。因此漏洞掃描和防火墻互相配合，能夠有效提高系統(tǒng)的安全性。網(wǎng)絡入侵檢測是對防火墻的有效補充，利用特征匹配或異常識別技術(shù)檢測攻擊，實時進行協(xié)議分析、網(wǎng)絡流量分析，違反安全策略的流量及時報警和防護，實現(xiàn)從事前警告、事中防護到事后取證?？衫萌肭直O(jiān)測系統(tǒng)實時記錄各種黑客攻擊（如緩沖區(qū)溢出、SQL注入、暴力猜測、拒絕服務、掃描探測、非授權(quán)訪問、蠕蟲病毒、僵尸網(wǎng)絡等）。主機監(jiān)控及審計系統(tǒng)具備軟硬件資產(chǎn)管理、行為管理、網(wǎng)絡訪問管理、安全漏洞管理、補丁分發(fā)管理、審計及報表等功能。對非法接入和違規(guī)外聯(lián)進行阻斷，并記錄審計日志和告警；使用黑白名單方式管理進程；關閉不需要的網(wǎng)絡端口，關閉不需要的網(wǎng)絡服務；關閉或拆除主機不需要的軟盤驅(qū)動、光盤驅(qū)動、USB接口、串行口等；根據(jù)需要限制單個用戶對系統(tǒng)資源的最大或最小使用限度。安裝防病毒系統(tǒng)，實時和定時檢測／清除病毒，并及時更新病毒代碼庫和病毒掃描引擎，更新前進行安全性和兼容性測試。各種防護設備的安全審計能夠及時發(fā)現(xiàn)各種違規(guī)行為、攻擊行為。此外使用日志服務器對網(wǎng)絡設備、服務器、數(shù)據(jù)庫、應用服務等通用計算機軟硬件系統(tǒng)以及各種特定業(yè)務系統(tǒng)在運行過程中產(chǎn)生的日志、狀態(tài)、操作等信息的采集，在實時分析的基礎上，監(jiān)測并發(fā)現(xiàn)各種異常事件，準確發(fā)出實時告警。審計系統(tǒng)同時提供對存儲的歷史日志數(shù)據(jù)進行數(shù)據(jù)挖掘和關聯(lián)分析，通過可視化的界面和報表向管理人員提供準確、詳盡的統(tǒng)計分析數(shù)據(jù)和異常分析報告，協(xié)助管理人員及時發(fā)現(xiàn)安全漏洞。
2．3內(nèi)核安全
內(nèi)核的信息安全是縱深防御的最核心部分，它將是信息安全保護的最后一道技術(shù)防護閘門，在其它防護手段失效的情況下，內(nèi)核信息安全設計將給整個系統(tǒng)提供一個強大的防護能力，防止關鍵數(shù)據(jù)被篡改、被偽造，以保護工控系統(tǒng)設備的安全。內(nèi)核安全主要包括數(shù)據(jù)加密保護、認證機制、通訊保護三部分。對工控系統(tǒng)的上位機、控制器、卡件的重要數(shù)據(jù)進行加密解密。只有符合條件的，經(jīng)過授權(quán)的機器以及用戶才能打開加密的文件，以防止重要數(shù)據(jù)失竊。采用國密算法，如SM1、SM2、SM3、SM4、祖沖之算法，實現(xiàn)加解密多樣性。即同一環(huán)網(wǎng)中的不同數(shù)據(jù)類型采用不同的密鑰算法和密鑰機制，上下層網(wǎng)絡之間采用不用的密鑰算法和密鑰機制。對上位機、控制器、卡件、應用、操作者身份進行認證確認。設備加入到工業(yè)控制系統(tǒng)前，需要進行認證。采用SM2、SM3進行數(shù)字簽字、密鑰交換、公鑰加密等處理，采用類似CA認證方式，將公鑰和公鑰的主人名字（也就是上位機、應用、用戶等）聯(lián)系在一起，加上企業(yè)的簽名，形成證書。證書由企業(yè)來簽發(fā)，私鑰就分發(fā)給上位機，每一個上位機、每一個控制器都需要一個私鑰，用來證明它的身份。對工控系統(tǒng)的上位機、控制器、卡件相互間通訊數(shù)據(jù)進行加密保護。通訊前進行認證，采用可靠的認證機制，保證通訊兩端都是合法的設備、應用和用戶。通訊中的加密采用SSL體制，使用SM3驗證數(shù)據(jù)的完整性，保證數(shù)據(jù)在發(fā)送之后和接收之前沒有被篡改，使用序列號來防止重放攻擊。
3結(jié)束語
隨著信息化與工業(yè)化融合的深度推進，關鍵基礎設施工控系統(tǒng)已進入工業(yè)4．0、工業(yè)互聯(lián)網(wǎng)、智能制造時代。當務之急，利用縱深防御體系思想，指導企業(yè)進一步優(yōu)化技術(shù)防護手段，健全工控信息安全標準體系，為工控系統(tǒng)提供可靠安全的運行環(huán)境。
參考文獻
［1］王小山，楊安,石志強，等．工業(yè)控制系統(tǒng)信息安全新趨勢［J］．信息網(wǎng)絡安全，2015（1）：6－11
［2］向人鵬．火力發(fā)電廠控制系統(tǒng)的縱深防御［J］．自動化博覽，2015（z2）
［3］周躍，鄢斌，谷會濤，等．計算機網(wǎng)絡安全威脅分析及防護體系架構(gòu)研究［J］．計算機安全，2013（12）：18－21
［4］何之棟，裘坤，鐘晨，等．工業(yè)控制系統(tǒng)信息安全問題研究［J］．工業(yè)控制計算機，2013，26（10）：1－4
［5］晏國勛．加密技術(shù)下的信息安全［J］．網(wǎng)絡安全技術(shù)與應用，2013（8）：100－104
作者：甘先榮 單位：國核自儀系統(tǒng)工程有限公司