導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 冶金安全論文>>正文

冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析

文檔作者：許海峰靳靜叢力群文檔來(lái)源：上海寶信軟件股份有限公司		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年06月06日
下載地址：點(diǎn)擊這里	文件大?。?2.47 MB 共5頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁(yè)]

本文件共5頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大?。?.47 MB 共5頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：釔合金化在鎂合金中的應(yīng)用

上一篇：鋁合金材料機(jī)械加工安全技術(shù)與事故防范措施

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析許海峰。等
冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析
Analysis of Information Security
of Industrial Control Systems in Metallurgical Industry
鑄冶嗚斯掰絲力群
(上海寶信軟件股份有限公司，上海201900)
摘要：介紹了工業(yè)控制系統(tǒng)(ICS)信息安全發(fā)展現(xiàn)狀，分析了冶金行業(yè)工業(yè)控制系統(tǒng)所面臨的信息安全威脅以及用戶(hù)所切實(shí)關(guān)注
的安全問(wèn)題。在現(xiàn)有安全技術(shù)和解決方案的基礎(chǔ)上，提出了適用于冶金行業(yè)的智能立體防御體系，并給出了智能立體防御體系的詳
細(xì)方案和試驗(yàn)案例。最后介紹了寶信軟件工業(yè)控制系統(tǒng)信息安全實(shí)驗(yàn)室的建設(shè)情況及未來(lái)技術(shù)研究方向。
關(guān)鍵詞：冶金行業(yè)工業(yè)控制系統(tǒng)(ICS) 工業(yè)化和信息化信息安全智能立體防御體系
中圖分類(lèi)號(hào)：TH86；1耽7 文獻(xiàn)標(biāo)志碼：A DOI：10．16086／j．cnki．issnl000—0380．201509001
Abstract：The developing status of information security of industrial control system(ICS)in metallurgical indus町is introduced。the
information security threats that the industrial control systems in metallurgical industry are facing currently and the security issues that users
concern about are analyzed．On the basis of existing security technologies and solutions，the intelligent three—dimensional defense system which
is suitable for metallurgical industry is proposed，and the detail strategy of this system and test P-．月ISeS ale presented．Finally the construction
situation and山e direction of technology l'eseal_ch in future of the ICS Information Security Laboratory of Baosight Software are introduced．
Keywords：Metallurgical industry Industrial control system Industrialization and informatization Information security
Intelligent three-dimensional defense system
0引言
隨著信息技術(shù)的發(fā)展，“工業(yè)4．0”、“互聯(lián)網(wǎng)+”
等先進(jìn)思想逐漸被應(yīng)用于工業(yè)控制系統(tǒng)(industrial
control systems，ICS)中，企業(yè)信息化建設(shè)必然要求更
大范圍的工控系統(tǒng)網(wǎng)絡(luò)互聯(lián)互通，工業(yè)控制系統(tǒng)將面
臨廣泛的外部安全威脅。2010年，“震網(wǎng)”病毒事件為
世人敲響了工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全的警鐘；在相繼發(fā)
現(xiàn)了Duqu病毒、火焰病毒等同樣針對(duì)工控系統(tǒng)的病
毒之后，2014年春，Havex病毒在能源行業(yè)大規(guī)模爆
發(fā)，呈現(xiàn)出強(qiáng)烈的行業(yè)橫向蔓延趨勢(shì)。近年來(lái)，世界范
圍內(nèi)工業(yè)控制系統(tǒng)發(fā)生的信息安全事件數(shù)量呈幾何倍
數(shù)上升態(tài)勢(shì)，世界各國(guó)都給予了高度重視。
我國(guó)工信部于2011年10月下發(fā)了協(xié)[2011]451號(hào)
文“關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知”。
2013年，工信部信(2013]317號(hào)文工業(yè)化和信息化深度
融合專(zhuān)項(xiàng)行動(dòng)計(jì)劃又提出“落實(shí)451號(hào)文，加強(qiáng)重點(diǎn)領(lǐng)
域工業(yè)控制系統(tǒng)的信息安全檢查、監(jiān)管和測(cè)評(píng)，實(shí)施安
全風(fēng)險(xiǎn)和漏洞通報(bào)制度”。同時(shí)，我國(guó)的工業(yè)控制系統(tǒng)
收稿日期：2015—08—20。
第一作者許海峰(1974一)，男，1992年畢業(yè)于復(fù)旦大學(xué)計(jì)算杌科學(xué)
專(zhuān)業(yè)，獲學(xué)士學(xué)位，高級(jí)工程師；主要從事工業(yè)控制系統(tǒng)集成及工控網(wǎng)絡(luò)
安全方面的研究。
《自動(dòng)化儀表》第36卷第9期2015年9月
網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)也正在開(kāi)展標(biāo)準(zhǔn)編制工作。其中，國(guó)
家標(biāo)準(zhǔn)GB／T 30976—2014(5E業(yè)控制系統(tǒng)信息安全》H1
的第一、第二部分已于2014年12月發(fā)布。
針對(duì)工業(yè)控制系統(tǒng)對(duì)信息安全的需求，必須盡早
建立適用于行業(yè)的全流程安全防護(hù)體系，特別要重點(diǎn)
關(guān)注工控系統(tǒng)自身安全并研究各種新的防護(hù)技術(shù)。本
文主要針對(duì)冶金行業(yè)的特點(diǎn)，結(jié)合寶鋼工業(yè)控制系統(tǒng)
信息安全建設(shè)的經(jīng)驗(yàn)，分享在工業(yè)控制系統(tǒng)信息安全
方面的一些想法和方案。
1 工業(yè)控制系統(tǒng)信息安全現(xiàn)狀
1．1工業(yè)控制安全威脅
工業(yè)控制安全的威脅主要有以下四類(lèi)。
①個(gè)人黑客：個(gè)人黑客是最普遍的一種網(wǎng)絡(luò)攻擊
制造者。他們的能力有高有低，動(dòng)機(jī)有的是為了賺錢(qián)，
有的只是好奇，各種個(gè)人黑客情況千差萬(wàn)別，對(duì)工控網(wǎng)
絡(luò)造成的威脅也各不相同。
②民間組織：隨著網(wǎng)絡(luò)技術(shù)的發(fā)展、個(gè)人黑客數(shù)量
的增多，民間組織逐漸成為實(shí)施工控網(wǎng)絡(luò)攻擊的主流
制造者。2014年新發(fā)現(xiàn)的Havex病毒，即由民間組織
“蜻蜒”(或“活力熊”)所制造。
③國(guó)家政府：國(guó)家政府是工控網(wǎng)絡(luò)攻擊的始作俑
1
萬(wàn)方數(shù)據(jù)
冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析許海峰，等
者。世界上第一個(gè)工控網(wǎng)絡(luò)病毒“震網(wǎng)”病毒，即是出于
政府之手。至今在許多工控網(wǎng)絡(luò)攻擊方法中，還能看到
震網(wǎng)病毒的影子。以政府為背景的黑客組織，開(kāi)發(fā)出了
震網(wǎng)、毒區(qū)、火焰等病毒，是工業(yè)控制系統(tǒng)最大的威脅。
④員工誤操作：在工控安全事件中，員工誤操作雖
然不是蓄意破壞，也占了事故來(lái)源的很大一部分比例，
必須引起重視。員工誤操作的原因有：通用的操作系
統(tǒng)導(dǎo)致在調(diào)試、運(yùn)維過(guò)程中帶入病毒、蠕蟲(chóng)等；黑客組
織攻擊控制系統(tǒng)廠商的官方網(wǎng)站，將木馬文件嵌入供
客戶(hù)下載的軟件升級(jí)包，員工升級(jí)軟件導(dǎo)致病毒蔓延；
此外，還有騙取用戶(hù)密碼的釣魚(yú)式攻擊等多種方法，都
是員工易于上當(dāng)受騙的攻擊手段。
1．2工業(yè)控制系統(tǒng)信息安全防護(hù)體系現(xiàn)狀
總的來(lái)說(shuō)，國(guó)內(nèi)外工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)理念演
變可以劃分為三個(gè)階段，如圖1所示。
——————營(yíng)蘭i三一磊竺略鬲蘭晤鬲——i——一——．一羔竺，三廠鋈翌—竺塑●銎竺磊—竺磊—墨磊—i．／；聲：，型；=云-垡喜五塑茲磊羔堡葡翟蒙堡荔鬲墮薔函!器iii!蓑西—1i“一舀
物理隔離的變
種，網(wǎng)關(guān)、網(wǎng)閘、
單向隔離，隔離背
后是脆弱的，現(xiàn)代
高端持續(xù)性攻擊都
是針對(duì)隔離系統(tǒng)的
由傳統(tǒng)信息安全
廠商提出，大多數(shù)項(xiàng)
目演變?yōu)樾畔踩a(chǎn)
品的簡(jiǎn)單堆砌，不能
完全適應(yīng)工業(yè)網(wǎng)絡(luò)安
全的特點(diǎn)
適應(yīng)工業(yè)控制網(wǎng)
絡(luò)的特點(diǎn)，通過(guò)基礎(chǔ)
硬件刨新來(lái)實(shí)現(xiàn)．低
延時(shí)，高可靠性，可
定制化，持續(xù)更新，
簡(jiǎn)單化的實(shí)施和操作
等
圖1 工業(yè)控制系統(tǒng)信息安全發(fā)展的三個(gè)階段
Fig．1 Three developing phases of ICS information security
第一個(gè)階段是以隔離為手段的安全防護(hù)理念。在
我國(guó)“工業(yè)化”、“信息化”兩化融合的伊始，隔離就成
為了企業(yè)用戶(hù)、集成商、供應(yīng)商應(yīng)對(duì)工控系統(tǒng)網(wǎng)絡(luò)安全
的“庇護(hù)傘”。工業(yè)控制系統(tǒng)是一個(gè)“信息孤島”成為
了行業(yè)內(nèi)根深蒂固的思想，直至2010年“震網(wǎng)”病毒
爆發(fā)，人們才開(kāi)始意識(shí)到隔離在整個(gè)工控系統(tǒng)網(wǎng)絡(luò)安
全防護(hù)中只是一種手段，并非解決一切問(wèn)題的方法。
第二個(gè)階段是縱深防御的安全防護(hù)體系。這個(gè)理
念從信息安全領(lǐng)域自然延伸，自有其在網(wǎng)絡(luò)安全防護(hù)
上的功效與成果，但是在實(shí)際的工控系統(tǒng)網(wǎng)絡(luò)安全防
護(hù)實(shí)施過(guò)程中，設(shè)備供應(yīng)商、安全供應(yīng)商并未解決實(shí)際
問(wèn)題，為工廠用戶(hù)所建立的縱深防御體系往往會(huì)變成
一個(gè)簡(jiǎn)單的信息安全產(chǎn)品的堆砌。工業(yè)控制網(wǎng)需要盡
可能少的故障點(diǎn)，而部署了大量的信息安全產(chǎn)品后，故
障點(diǎn)不減反增，反而會(huì)帶來(lái)一系列問(wèn)題。
第三階段是工業(yè)控制系統(tǒng)內(nèi)部生長(zhǎng)的智能立體防
御體系。根據(jù)工業(yè)控制網(wǎng)絡(luò)自身特點(diǎn)，智能立體的防御
體系需要關(guān)注三點(diǎn)。第一，故障點(diǎn)盡可能要少。這是工
控系統(tǒng)與生俱來(lái)的需求，因此，安全設(shè)備也要符合工控
設(shè)備的特點(diǎn)。除了盡量避免多層部署外，安全設(shè)備在保
護(hù)工控系統(tǒng)正常生產(chǎn)運(yùn)行的同時(shí)還要保證即使斷電、設(shè)
備更新也不會(huì)對(duì)系統(tǒng)產(chǎn)生任何影響。第二，防御體系
要有可持續(xù)性。適應(yīng)工業(yè)控制網(wǎng)絡(luò)特點(diǎn)的持續(xù)性防御
體系可以通過(guò)基礎(chǔ)硬件的創(chuàng)新來(lái)實(shí)現(xiàn)，使安全防護(hù)滿
足低延時(shí)、高可靠、可定制化、可持續(xù)更新、操作與實(shí)施
的簡(jiǎn)易化等特性。第三，主要解決存量系統(tǒng)問(wèn)題。解
決與人民生產(chǎn)生活息息相關(guān)的、直面安全威脅的存量
在裝系統(tǒng)的問(wèn)題是工業(yè)信息安全防護(hù)體系的關(guān)鍵。
2 冶金行業(yè)工業(yè)控制系統(tǒng)信息安全問(wèn)題
冶金行業(yè)是自動(dòng)化程度較高的行業(yè)。隨著信息化
和工業(yè)化的深度融合，也使得針對(duì)工業(yè)控制系統(tǒng)的病
毒和木馬攻擊呈現(xiàn)出攻擊來(lái)源復(fù)雜化、攻擊目的多樣
化以及攻擊過(guò)程持續(xù)化的特征。經(jīng)過(guò)分析，冶金行業(yè)
可能面臨的安全風(fēng)險(xiǎn)如下。
①?lài)?yán)重漏洞難以及時(shí)處理，系統(tǒng)安全風(fēng)險(xiǎn)巨大。
當(dāng)前主流的冶金工業(yè)控制系統(tǒng)普遍存在安全漏洞，且
多為能夠造成遠(yuǎn)程攻擊、越權(quán)執(zhí)行的嚴(yán)重威脅類(lèi)漏洞；
而且近兩年漏洞的數(shù)量呈快速增長(zhǎng)的趨勢(shì)。工業(yè)控制
系統(tǒng)存在通信協(xié)議種類(lèi)繁多、系統(tǒng)軟件難以及時(shí)升級(jí)、
設(shè)備使用周期長(zhǎng)以及系統(tǒng)補(bǔ)丁兼容性差、發(fā)布周期長(zhǎng)
等現(xiàn)實(shí)問(wèn)題，造成工業(yè)控制系統(tǒng)的補(bǔ)丁管理困難，難以
及時(shí)處理威脅嚴(yán)重的漏洞。許多工控軟件健壯性較
差，智能運(yùn)行在操作系統(tǒng)的某個(gè)特定版本上，一旦升
級(jí)，補(bǔ)丁升級(jí)很有可能導(dǎo)致原工控系統(tǒng)無(wú)法使用。
②工業(yè)控制系統(tǒng)協(xié)議缺乏足夠的安全性考慮，易
被攻擊者利用。專(zhuān)有的工業(yè)控制通信協(xié)議或規(guī)約在設(shè)
計(jì)時(shí)通常只強(qiáng)調(diào)通信的實(shí)時(shí)性和可用性，對(duì)安全性普
遍考慮不足，比如缺少足夠強(qiáng)度的認(rèn)證、加密、授權(quán)等。
尤其是工業(yè)控制系統(tǒng)中的無(wú)線通信協(xié)議，更容易遭受
第三者的竊聽(tīng)和欺騙性攻擊。為保證數(shù)據(jù)傳輸?shù)膶?shí)時(shí)
性，Modbus／TCP、OPC Classic、IEC 60870-5-104、DNP
3．0、IEC-61850．MMS、Profinet、EtllerNet／IP等工控協(xié)議
多采用明文傳輸，易于劫持和修改。
③缺乏違規(guī)操作、越權(quán)訪問(wèn)行為審計(jì)能力。操作
管理人員的技術(shù)水平和安全意識(shí)差別較大，容易發(fā)生
越權(quán)訪問(wèn)、違規(guī)操作，給生產(chǎn)系統(tǒng)埋下極大的安全隱
患。事實(shí)上，國(guó)內(nèi)冶金行業(yè)ICS相對(duì)封閉的環(huán)境，也使
得來(lái)自系統(tǒng)內(nèi)部人員在應(yīng)用系統(tǒng)層面的誤操作、違規(guī)
操作或故意的破壞性操作成為工業(yè)控制系統(tǒng)所面臨的
主要安全風(fēng)險(xiǎn)。因此，對(duì)生產(chǎn)網(wǎng)絡(luò)的訪問(wèn)行為、特定控
制協(xié)議內(nèi)容和數(shù)據(jù)庫(kù)數(shù)據(jù)的真實(shí)性、完整性進(jìn)行監(jiān)控、
管理與審計(jì)是非常必要的。
2 PROCESS AUTOMATION INSTRUMENTATION VoL 36 No．9 September 2015
萬(wàn)方數(shù)據(jù)
冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析許海峰。等
④沒(méi)有足夠的安全政策、管理制度，人員安全意識(shí)
缺乏。冶金行業(yè)工業(yè)控制系統(tǒng)在設(shè)計(jì)時(shí)多考慮系統(tǒng)的
可用性，普遍對(duì)安全性問(wèn)題的考慮不足，缺乏完善的工
業(yè)控制系統(tǒng)安全政策、管理制度以及對(duì)人員的安全意識(shí)
培養(yǎng)。在工控系統(tǒng)中常會(huì)接人個(gè)人PC、服務(wù)器、控制終
端、各類(lèi)安全設(shè)備，其中某一個(gè)或者某一種設(shè)備都會(huì)構(gòu)
成工控系統(tǒng)安全威脅。特別是在開(kāi)發(fā)調(diào)試、定修等環(huán)節(jié)
中對(duì)人員及傳輸介質(zhì)的管理薄弱，導(dǎo)致病毒、木馬等在
工業(yè)控制系統(tǒng)內(nèi)的傳播，為系統(tǒng)運(yùn)行埋下隱患。
綜上所述，冶金行業(yè)信息化、自動(dòng)化系統(tǒng)雖然有
L0～L，的縱向劃分，也有各個(gè)工藝工序間的橫向分
隔，但是由于設(shè)備種類(lèi)多樣性、傳輸協(xié)議特殊性、系統(tǒng)
復(fù)雜性、網(wǎng)絡(luò)復(fù)雜性、系統(tǒng)生命周期長(zhǎng)、現(xiàn)場(chǎng)人員難以
管理等特點(diǎn)，工業(yè)控制系統(tǒng)信息安全問(wèn)題比較嚴(yán)重。
這也需要整合各種安全技術(shù)，通過(guò)形成完善的安全防
御體系(防御手段的組織化、體系化)才可能有效杜絕
工業(yè)控制系統(tǒng)信息安全問(wèn)題。
3智能立體防御體系
根據(jù)冶金行業(yè)特點(diǎn)，企業(yè)自動(dòng)化、信息系統(tǒng)可由下
至上劃分為L(zhǎng)o—L5六個(gè)層次。2。1，如圖2所示。圖2
中，L3、L4屬于傳統(tǒng)IT信息安全的范疇，無(wú)論是規(guī)范政
策、技術(shù)手段、評(píng)估和驗(yàn)收手段都比較成熟。隨著信息
技術(shù)的發(fā)展、云技術(shù)在企業(yè)中的應(yīng)用，產(chǎn)生了云系統(tǒng)信
息安全的問(wèn)題；智能設(shè)備的接人及物聯(lián)網(wǎng)技術(shù)大發(fā)展
引起了底層控制系統(tǒng)信息安全的問(wèn)題。云信息安全和
控制系統(tǒng)信息安全都是安全領(lǐng)域全新的范疇。
}。馴lj．’： ”棗瑟；二茁i··≮、=? j鋤’j㈡
圖2 冶金行業(yè)自動(dòng)化、信息化信息安全層次劃分示意圖
Fig．2 The information security hierarchy of automation
and informatization of metallurgical industry
《自動(dòng)化儀表》第36卷第9期2015年9月
建設(shè)具有冶金行業(yè)特色的工業(yè)控制系統(tǒng)，需最大
限度滿足GB／T 30976—2014工業(yè)控制系統(tǒng)信息安全
的規(guī)范要求，同時(shí)結(jié)合IT信息安全建設(shè)的相關(guān)經(jīng)驗(yàn)。
由于工控網(wǎng)絡(luò)及其應(yīng)用擴(kuò)展范圍非常廣闊，隨著網(wǎng)絡(luò)
規(guī)模的擴(kuò)大及應(yīng)用的增加，網(wǎng)絡(luò)的脆弱性也會(huì)不斷增
加，一勞永逸地解決安全問(wèn)題是不現(xiàn)實(shí)的。同時(shí)由于
信息安全風(fēng)險(xiǎn)的不斷變化，未來(lái)勢(shì)必將增加新的安全
防護(hù)措施，所以方案在設(shè)計(jì)時(shí)將充分考慮到安全設(shè)備
的可擴(kuò)展性。
針對(duì)冶金行業(yè)工業(yè)控特點(diǎn)和組網(wǎng)需求，需要在系
統(tǒng)全生命周期中提供工業(yè)信息安全解決方案。方案主
要包含對(duì)工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估和漏洞分
析、工業(yè)控制系統(tǒng)智能立體保護(hù)系統(tǒng)及工業(yè)控制系統(tǒng)
檢測(cè)審計(jì)平臺(tái)三個(gè)方面。
3．1 3-業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估和漏洞分析
根據(jù)不同工控系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)、功能應(yīng)用、通信協(xié)
議等，為用戶(hù)定制系統(tǒng)的漏洞風(fēng)險(xiǎn)檢測(cè)與評(píng)估方法。
工業(yè)控制網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)評(píng)估可以有效地幫助客戶(hù)識(shí)
別、控制、降低或消除影響工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全風(fēng)
險(xiǎn)，同時(shí)具有模糊測(cè)試、未知協(xié)議分析測(cè)試、基于漏洞
庫(kù)的設(shè)備漏洞驗(yàn)證等功能。此外，還包括了設(shè)備漏洞
挖掘工具箱、系統(tǒng)風(fēng)險(xiǎn)評(píng)估工具箱、插件開(kāi)發(fā)環(huán)境和工
具包等一系列測(cè)試、檢測(cè)、分析、評(píng)估工具。主要技術(shù)
手段如下。
①設(shè)備漏洞檢測(cè)：設(shè)備檢測(cè)在工控系統(tǒng)的規(guī)劃、
設(shè)計(jì)階段就能夠開(kāi)展，在系統(tǒng)上線之前就能及時(shí)發(fā)現(xiàn)
隱患與漏洞，對(duì)上線后的存量系統(tǒng)仍可以開(kāi)展設(shè)備、系
統(tǒng)的安全檢測(cè)，以對(duì)其進(jìn)行深層次的安全風(fēng)險(xiǎn)評(píng)估。
設(shè)備檢測(cè)必須覆蓋主要的工控協(xié)議，包括通用的
Modbus、OPC等協(xié)議以及主流廠商私有的通信協(xié)議，
同時(shí)需要支持多種總線、對(duì)未知協(xié)議的檢測(cè)與漏洞挖
掘，最大程度為工控系統(tǒng)、工控設(shè)備提供豐富的檢測(cè)
手段。
②網(wǎng)絡(luò)檢測(cè)：對(duì)工控系統(tǒng)進(jìn)行工控網(wǎng)絡(luò)流量的在
線實(shí)時(shí)過(guò)濾與異常數(shù)據(jù)攔截。自動(dòng)學(xué)習(xí)網(wǎng)絡(luò)行為、自
動(dòng)生成防御策略，能適應(yīng)自動(dòng)化控制人員操作特點(diǎn)，進(jìn)
行一鍵式安全部署，可在層邊界部署入侵檢測(cè)裝置，實(shí)
時(shí)監(jiān)測(cè)入侵行為，事后安全審計(jì)。
風(fēng)險(xiǎn)評(píng)估和漏洞分析針對(duì)工控設(shè)備、工控網(wǎng)絡(luò)以
及流程系統(tǒng)都擁有完善而可靠的評(píng)估手段和標(biāo)準(zhǔn)，完
全符合國(guó)家相關(guān)標(biāo)準(zhǔn)，可以對(duì)客戶(hù)控制系統(tǒng)中存在的
風(fēng)險(xiǎn)漏洞進(jìn)行挖掘與診斷，并同時(shí)提供客觀、有效的補(bǔ)
償性措施建議以及整體系統(tǒng)評(píng)分，幫助提高工控系統(tǒng)
的安全性以及穩(wěn)定性。
3
萬(wàn)方數(shù)據(jù)
冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析許海峰，等
3．2工業(yè)控制系統(tǒng)智能立體保護(hù)系統(tǒng)
結(jié)合冶金行業(yè)特點(diǎn)，可以通過(guò)多層次的隔離防護(hù)
措施、全面的監(jiān)控手段、立體的防御技術(shù)，實(shí)現(xiàn)對(duì)工業(yè)
控制系統(tǒng)的整體安全防護(hù)，從而保障整個(gè)工業(yè)控制系
統(tǒng)安全穩(wěn)定運(yùn)行。在管理層與數(shù)采監(jiān)控層之問(wèn)，主要
進(jìn)行身份鑒別、訪問(wèn)控制、入侵檢測(cè)、行為審計(jì)、病毒過(guò)
濾等安全防護(hù)；在數(shù)采監(jiān)控層和PLC系統(tǒng)層之間，主
要基于工業(yè)控制通信協(xié)議進(jìn)行訪問(wèn)控制。以煉鋼廠工
業(yè)控制系統(tǒng)為例，進(jìn)行了“智能立體防護(hù)，統(tǒng)一平臺(tái)管
理”的設(shè)計(jì)，其拓?fù)鋱D如圖3所示。
圖3 某煉鋼廠工業(yè)控制系統(tǒng)信息安全解決方案
Fig．3 The solutions of ICS information security in certain iron&amp;amp;steel works
第一層，采取傳統(tǒng)信息安全的手段，用于保護(hù)整個(gè)
企業(yè)防御Internet的安全威脅，或是與整個(gè)企業(yè)集團(tuán)信
息化網(wǎng)絡(luò)相隔離。第二層，采用具有協(xié)議解析、端口控
制、分區(qū)隔離功能的防火墻，保證各區(qū)域網(wǎng)絡(luò)不受其他
區(qū)域影響。第三層，應(yīng)用系統(tǒng)加固、終端防護(hù)等技術(shù)手
段，免除各類(lèi)人機(jī)交互終端對(duì)工控系統(tǒng)的安全威脅。
第四層，分布式安全組件則用于保護(hù)諸如PLC或DCS
等關(guān)鍵設(shè)備；在選用底層控制設(shè)備時(shí)，也需考慮使用漏
洞較少、設(shè)備本身具有防護(hù)能力的控制設(shè)備。主要技
術(shù)手段如下。
①智能訪問(wèn)控制：工業(yè)控制系統(tǒng)的主機(jī)、控制器設(shè)
備都應(yīng)具備訪問(wèn)控制功能。通過(guò)設(shè)定邊界防護(hù)策略，
如利用白名單方式的工業(yè)防火墻的深度包解析等技
術(shù)，實(shí)現(xiàn)訪問(wèn)控制和網(wǎng)絡(luò)邊界的隔離防護(hù)。
②主機(jī)應(yīng)用防護(hù)：需要對(duì)控制系統(tǒng)操作主機(jī)或數(shù)
據(jù)服務(wù)器進(jìn)行計(jì)算環(huán)境的完整性保護(hù)，對(duì)進(jìn)程進(jìn)行安
全識(shí)別和管控，例如使用可信計(jì)算等技術(shù)實(shí)現(xiàn)進(jìn)程白
名單管控；工業(yè)控制系統(tǒng)主機(jī)需進(jìn)行移動(dòng)存儲(chǔ)設(shè)備應(yīng)
用管控，對(duì)必要的u盤(pán)等設(shè)備授權(quán)使用，未經(jīng)授權(quán)的
設(shè)備將無(wú)法使用，并生成安全審計(jì)記錄。
③防惡意代碼：檢測(cè)和發(fā)現(xiàn)工業(yè)控制系統(tǒng)中的惡
意代碼，可使用特征掃描、防病毒軟件、可信計(jì)算技術(shù)
4 PROCESS AUTOMATION INSTRUMENTATION V01．36 No．9 September 2015
萬(wàn)方數(shù)據(jù)
冶金行業(yè)工業(yè)控制信息安全系統(tǒng)淺析許海峰。等
進(jìn)程管控(新技術(shù))等方式實(shí)現(xiàn)。
3．3工業(yè)控制系統(tǒng)監(jiān)測(cè)審計(jì)平臺(tái)
監(jiān)測(cè)審計(jì)平臺(tái)是針對(duì)工業(yè)控制網(wǎng)絡(luò)設(shè)計(jì)的實(shí)時(shí)告
警系統(tǒng)，通過(guò)特定的安全策略快速識(shí)別出系統(tǒng)中存在
的非法操作、異常事件、外部攻擊并實(shí)時(shí)告警。平臺(tái)采
用旁路部署，在實(shí)現(xiàn)安全監(jiān)視的同時(shí)，完全不影響現(xiàn)有
系統(tǒng)的生產(chǎn)運(yùn)行，可廣泛應(yīng)用于各類(lèi)網(wǎng)絡(luò)應(yīng)用環(huán)境。
監(jiān)測(cè)審計(jì)終端在網(wǎng)絡(luò)中分布部署、統(tǒng)一管理，可實(shí)現(xiàn)數(shù)
據(jù)的共享和大數(shù)據(jù)的分析。主要技術(shù)手段如下。
①可視化監(jiān)測(cè)：可以直觀清晰地展示系統(tǒng)拓?fù)浣Y(jié)
構(gòu)，對(duì)網(wǎng)絡(luò)數(shù)據(jù)、事件進(jìn)行實(shí)時(shí)監(jiān)視、實(shí)時(shí)告警，幫助用
戶(hù)掌握網(wǎng)絡(luò)運(yùn)行狀況。對(duì)網(wǎng)絡(luò)中的活動(dòng)進(jìn)行行為審計(jì)
和內(nèi)容審計(jì)生成完整記錄便于追溯。
③安全數(shù)據(jù)庫(kù)：通過(guò)長(zhǎng)期監(jiān)測(cè)分析，可根據(jù)設(shè)備、
行業(yè)進(jìn)行安全數(shù)據(jù)庫(kù)的完善。工控網(wǎng)絡(luò)安全數(shù)據(jù)庫(kù)需
要覆蓋主流廠商設(shè)備、各行各業(yè)系統(tǒng)，并至少包括有設(shè)
備安全漏洞庫(kù)、網(wǎng)絡(luò)結(jié)構(gòu)模型庫(kù)、設(shè)備風(fēng)險(xiǎn)統(tǒng)計(jì)庫(kù)等數(shù)
據(jù)庫(kù)，以大數(shù)據(jù)的理念全面、高效地支持工控網(wǎng)絡(luò)安全
的實(shí)時(shí)智能防護(hù)與威脅態(tài)勢(shì)感知。
接連接筆記本調(diào)試，病毒入侵很高。利用可信計(jì)算技
術(shù)、操作系統(tǒng)進(jìn)程分析和管理技術(shù)，實(shí)現(xiàn)Windows桌面
系統(tǒng)從XP系列以上的終端防護(hù)。在主機(jī)應(yīng)用防護(hù)
中，對(duì)于工控進(jìn)程的兼容性一直是安全產(chǎn)品的開(kāi)發(fā)難
點(diǎn)，基于特征庫(kù)的安全軟件一般會(huì)將工控軟件識(shí)別為
非法進(jìn)程或安全威脅，甚至?xí)`殺或誤攔截一些重要
工控進(jìn)程，這樣導(dǎo)致很多常規(guī)IrI’安全軟件無(wú)法在工控
系統(tǒng)中使用，如何精確識(shí)別工控進(jìn)程的可信性和完整
性是工控主機(jī)應(yīng)用防護(hù)產(chǎn)品的研究方向。和工控設(shè)備
廠家合作，對(duì)工控設(shè)備和軟件進(jìn)行白名單完善，原廠認(rèn)
證后的白名單更完善更具權(quán)威性，保證相關(guān)系統(tǒng)可靠
安全地運(yùn)行。
③工業(yè)控制系統(tǒng)信息安全培訓(xùn)。企業(yè)需為員工提
供專(zhuān)業(yè)工控系統(tǒng)安全培訓(xùn)，宣傳貫徹工業(yè)信息安全理
念，提升相關(guān)人員專(zhuān)業(yè)技術(shù)技能。工業(yè)信息安全不僅
要通過(guò)技術(shù)來(lái)解決，更應(yīng)從各級(jí)管理層到工廠工人灌
輸工業(yè)安全的意識(shí)。工業(yè)信息安全是一個(gè)持續(xù)執(zhí)行的
流程，需要在整個(gè)工廠的生命周期內(nèi)考慮，必須采用適
當(dāng)?shù)慕M織與系統(tǒng)的技術(shù)措施實(shí)現(xiàn)，并定期回顧和升級(jí)。
4 未來(lái)的研究方向5結(jié)束語(yǔ)
針對(duì)工業(yè)控制系統(tǒng)安全的重要性及相關(guān)研究相對(duì)
不足的現(xiàn)實(shí)情況，重點(diǎn)開(kāi)展工業(yè)控制系統(tǒng)的協(xié)議安全
性分析、相關(guān)漏洞的統(tǒng)計(jì)分析以及智能立體防御體系、
終端防護(hù)方案的研究，期望據(jù)此能夠有效地降低工業(yè)
控制系統(tǒng)所面臨的安全威脅。由于工業(yè)控制系統(tǒng)數(shù)量
種類(lèi)繁多，網(wǎng)絡(luò)結(jié)構(gòu)各異，未來(lái)仍需在以下幾方面持續(xù)
研究。
①控制系統(tǒng)安全漏洞數(shù)據(jù)庫(kù)。搭建工業(yè)安全實(shí)驗(yàn)
室平臺(tái)，構(gòu)建自主可控、高可信度、大規(guī)模、開(kāi)放式、增
長(zhǎng)式實(shí)驗(yàn)平臺(tái)，覆蓋主流控制系統(tǒng)，針對(duì)主流控制系統(tǒng)
的通信協(xié)議及產(chǎn)品。通過(guò)漏洞挖掘工具的掌握。不斷
積累各個(gè)控制產(chǎn)品漏洞，形成較完備的設(shè)備安全漏洞
數(shù)據(jù)庫(kù)。針對(duì)冶金行業(yè)不同工藝單元的典型控制系統(tǒng)
網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，形成成熟的工控網(wǎng)絡(luò)安全實(shí)施規(guī)范，并
作為行業(yè)規(guī)范推廣。
②工控系統(tǒng)終端防護(hù)。工業(yè)控制系統(tǒng)終端通常安
全防護(hù)較薄弱，可插接可移動(dòng)設(shè)備，現(xiàn)場(chǎng)工程師可能直
《自動(dòng)化儀表》
堤迎賜鎬，
當(dāng)下，冶金行業(yè)工控信息安全防護(hù)意識(shí)正逐漸提
高，照搬國(guó)外或其他行業(yè)工控系統(tǒng)安全標(biāo)準(zhǔn)在冶金行
業(yè)并不適用。憑借寶鋼現(xiàn)有基礎(chǔ)設(shè)施規(guī)模和先進(jìn)性及
工業(yè)信息安全的相關(guān)項(xiàng)目在寶鋼的實(shí)驗(yàn)性實(shí)施，寶鋼
應(yīng)義不容辭地承擔(dān)引領(lǐng)冶金行業(yè)工控網(wǎng)絡(luò)安全的技術(shù)
創(chuàng)新和標(biāo)準(zhǔn)制定的任務(wù)。工控網(wǎng)絡(luò)安全防護(hù)理念的進(jìn)
步也將不只停留在技術(shù)人員的研究中，而是切切實(shí)實(shí)
為行業(yè)應(yīng)用所接受，最終突破傳統(tǒng)信息安全理念，真正
為冶金行業(yè)產(chǎn)業(yè)升級(jí)保駕護(hù)航。
參考文獻(xiàn)
[1]國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)．GB／T
30976—2014工業(yè)控制系統(tǒng)信息安全[S]．2014．
[2]NIST．Special Publication 800—82 Guide to industrial control
systems(ICS)盼clJrity[S]．2015．
[3]國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)．GB／T
22239-2008信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S]．2008．
[4]國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)．GB／T
22240—2008信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南[S]．2008．
，1．1ib●，'，''''’'●，’lI■●，l，''，，''''’l'’’’'l’’]lb：lb，'，'''，''，’，’’''，，●'，，'●●
郵發(fā)代號(hào)：4一塒。2015年定價(jià)：墻．∞元．全年價(jià)：216．00元：國(guó)外代號(hào)：M 721
次迎釕囪，旋迎室黃建議，歡迎喜和各垂廣告
《自動(dòng)化儀表》第36卷第9期2015年9月、．’-¨¨-，，)
，
‘
萬(wàn)方數(shù)據(jù)

網(wǎng)友評(píng)論 more

冶金安全論文最新內(nèi)容

10-08