工業(yè)控制系統(tǒng)的信息安全研究

常旭鵬

（太原重工軌道交通設(shè)備有限公司， 山西 太原 030032）

引言

工業(yè)控制系統(tǒng)（Industrial Control Systems，ICS）是由各種自動(dòng)化控制組件和實(shí)時(shí)數(shù)據(jù)采集、監(jiān)測(cè)的過程控制組件共同構(gòu)成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器（PLC）、遠(yuǎn)程終端（RTU）、智能電子設(shè)備（IED）以及確保各組件通信的接口技術(shù)。

1 工業(yè)控制系統(tǒng)潛在風(fēng)險(xiǎn)分析

信息化初步進(jìn)入工業(yè)領(lǐng)域時(shí)，工控系統(tǒng)僅僅是一種在生產(chǎn)一線運(yùn)行的局域網(wǎng)系統(tǒng)，其網(wǎng)絡(luò)結(jié)構(gòu)相對(duì)封閉且獨(dú)立成為一套控制體系，基本不會(huì)受到外部網(wǎng)絡(luò)攻擊行為的威脅。各種以太網(wǎng)技術(shù)和無線通信技術(shù)的快速發(fā)展，使得工控系統(tǒng)不再是信息孤島。隨著兩化融合工業(yè)體系的建立和普及，大型企業(yè)工業(yè)控制系統(tǒng)基本形成了工業(yè)生產(chǎn)管理層級(jí)、數(shù)據(jù)傳輸和控制層級(jí)、基礎(chǔ)自動(dòng)化控制層級(jí)的三層自動(dòng)化工控系統(tǒng)體系，甚至有些企業(yè)已經(jīng)借助了云端管理服務(wù)。當(dāng)工業(yè)控制系統(tǒng)通過企業(yè)內(nèi)部網(wǎng)絡(luò)與外部鏈接時(shí)，就為外部信息安全攻擊形成了一條潛在途徑，給企業(yè)工業(yè)控制系統(tǒng)信息安全帶來了極大的威脅。

時(shí)下操作系統(tǒng)大多采用windows操作系統(tǒng)和Unix操作系統(tǒng)，網(wǎng)絡(luò)通訊協(xié)議大多依附ISO中七層網(wǎng)絡(luò)協(xié)議中的TCP/IP協(xié)，這使得工控系統(tǒng)種的用戶端PC和服務(wù)器端PC非常容易受到病毒的侵害；同時(shí)，多渠道的網(wǎng)絡(luò)接入方式，為攻擊者提供了更多的網(wǎng)絡(luò)攻擊可能。攻擊者一旦進(jìn)入網(wǎng)絡(luò)，可在毫無阻礙的狀態(tài)下侵入工控系統(tǒng)核心，容易發(fā)生被攻擊或系統(tǒng)被控現(xiàn)象，對(duì)企業(yè)生產(chǎn)帶來不可估量的危害性結(jié)果。

在兩化融合蓬勃發(fā)展的今天，國(guó)內(nèi)大型成套設(shè)備的工業(yè)控制系統(tǒng)的中，無論工業(yè)設(shè)備還是網(wǎng)絡(luò)控制設(shè)備，大多采用了國(guó)外技術(shù)領(lǐng)先的設(shè)備。國(guó)外廠商在工業(yè)控制系統(tǒng)集成、調(diào)試和后續(xù)維護(hù)工作上，大多以網(wǎng)絡(luò)在線監(jiān)控、診斷、控制和遠(yuǎn)程代碼升級(jí)等方式實(shí)現(xiàn)。這些實(shí)現(xiàn)方式其實(shí)是一把雙刃劍，降本節(jié)能的同時(shí)也為企業(yè)工控信息安全帶來了巨大的隱患。外部攻擊者可以通過這些網(wǎng)絡(luò)接入方式，控制或改變、介入并控制工業(yè)控制系統(tǒng)，直接造成工控系統(tǒng)崩潰和癱瘓。

企業(yè)出于對(duì)系統(tǒng)穩(wěn)定性、可靠性考慮，許多企業(yè)仍然以采購(gòu)國(guó)外技術(shù)成熟的服務(wù)器供應(yīng)商作為工控系統(tǒng)的服務(wù)器。服務(wù)器系統(tǒng)環(huán)境通常也是微軟操作系統(tǒng)等國(guó)外系統(tǒng)核心。工控安全網(wǎng)絡(luò)環(huán)境路由器、交換機(jī)等也可能是國(guó)外先進(jìn)設(shè)備。這使得我國(guó)工業(yè)企業(yè)工控系統(tǒng)信息安全的日益完善受到了制約。

工業(yè)現(xiàn)場(chǎng)工控系統(tǒng)PC機(jī)通常和操作人員的辦公PC是同一臺(tái)計(jì)算機(jī)。日常操作通過U盤插拔和文件傳輸?shù)确绞剑菀鬃尣《?、木馬以此為載體進(jìn)入工控系統(tǒng)，從未威脅工控系統(tǒng)信息安全。

2 建設(shè)工業(yè)控制系統(tǒng)信息安全

限于網(wǎng)絡(luò)、設(shè)備、系統(tǒng)環(huán)境和系統(tǒng)操作等方面的制約，工控系統(tǒng)信息安全存在著不可避免的威脅。為了降低工控系統(tǒng)信息安全威脅，應(yīng)該從以下幾方面入手。

1）優(yōu)化工控安全網(wǎng)絡(luò)環(huán)境，建立工控安全防護(hù)系統(tǒng)。一方面，在工控網(wǎng)絡(luò)與企業(yè)管理網(wǎng)之間設(shè)立工業(yè)防火墻，并對(duì)工控網(wǎng)絡(luò)盡心虛擬化配置，將工控網(wǎng)絡(luò)與外部因特網(wǎng)最大化地隔離起來，僅保證有效的信息系統(tǒng)交互。另一方面，對(duì)工控網(wǎng)絡(luò)關(guān)鍵出入節(jié)點(diǎn)進(jìn)行監(jiān)聽，加強(qiáng)識(shí)別工控網(wǎng)絡(luò)威脅的預(yù)防。最終實(shí)現(xiàn)從國(guó)家到各省市到各企業(yè)的“一網(wǎng)一庫(kù)三平臺(tái)”建設(shè)。

2）國(guó)家提倡技術(shù)革新。實(shí)現(xiàn)工控系統(tǒng)中關(guān)鍵生產(chǎn)設(shè)備、網(wǎng)絡(luò)設(shè)備、工控設(shè)備的國(guó)產(chǎn)化，從而掌握關(guān)機(jī)設(shè)備和核心技術(shù)的自主研發(fā)和管控能力。從而減少工控系統(tǒng)中，為保證國(guó)外設(shè)備正常運(yùn)轉(zhuǎn)而預(yù)留的遠(yuǎn)程運(yùn)維接口所導(dǎo)致的工控系統(tǒng)暴漏在因特網(wǎng)環(huán)境中的威脅。同時(shí)，減少不可靠人員接觸工控安全系統(tǒng)的途徑，提高工控系統(tǒng)的安全等級(jí)。

3）國(guó)家建立工控安全貫標(biāo)體系，規(guī)范企業(yè)工控行為。通過國(guó)家工控安全部門，制定工控安全行業(yè)規(guī)范，推行工控系統(tǒng)行業(yè)標(biāo)準(zhǔn)化，可以讓企業(yè)工控安全系統(tǒng)得到系統(tǒng)的梳理診斷，并制定出具有企業(yè)工控安全系統(tǒng)特色的改進(jìn)措施和行為規(guī)范，從而保證工控系統(tǒng)安全運(yùn)行。

4）企業(yè)制定工控系統(tǒng)操作規(guī)范。企業(yè)制定工控系統(tǒng)操作規(guī)范，可以提高操作人員的操作水平，并且有助于工控安全新生力軍的快速投入，在極大程度上防范工控系統(tǒng)威脅，降低工控安全帶來的風(fēng)險(xiǎn)成本。