工業(yè)控制系統(tǒng)信息安全因素及防護(hù)策略的探索

張紅金，蹇彪，李繼安，崔艷娜，黃智

（1.工業(yè)和信息化部電子第五研究所，廣東 廣州 510610；2.安徽賽寶工業(yè)技術(shù)研究院有限公司，安徽 合肥 230000）

0 引言

隨著網(wǎng)絡(luò)信息時(shí)代的到來(lái)，我國(guó)工業(yè)模式發(fā)生了翻天覆地的變化，徹底地打破了 “信息孤島”模式，企業(yè)全面聯(lián)網(wǎng)，生產(chǎn)數(shù)據(jù)輕松地實(shí)現(xiàn)了匯總分析，不但提高了生產(chǎn)效率，還達(dá)到了節(jié)能減排的目的。信息化給工業(yè)帶來(lái)的有利變化是顯而易見(jiàn)的，但隨之而來(lái)的網(wǎng)絡(luò)安全問(wèn)題卻日益嚴(yán)重，并帶來(lái)了一系列的損失[1]。

隨著工業(yè)4.0、兩化深度融合、 “互聯(lián)網(wǎng)+”“中國(guó)制造2025”和 “智能制造”等戰(zhàn)略目標(biāo)的提出，工業(yè)化和信息化的融合發(fā)展不斷深入，工業(yè)控制系統(tǒng) （ICS:Industrial Control System）面臨的各類(lèi)安全問(wèn)題和風(fēng)險(xiǎn)愈發(fā)凸顯，同時(shí)我們要充分地認(rèn)識(shí)到加強(qiáng)ICS信息安全的重要性和緊迫性[2]。我國(guó)政府高度重視ICS的信息安全，國(guó)務(wù)院與工業(yè)和信息化部相繼下發(fā)了許多關(guān)于工業(yè)控制信息安全方面的通知文件，例如: 《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》 （工信部協(xié) 〔2011〕451號(hào)）、國(guó)務(wù)院 《關(guān)于大力推進(jìn)信息化發(fā)展和保障信息安全的若干意見(jiàn)》 （國(guó)發(fā) ［2012］23號(hào)）、2016年10月19日工業(yè)和信息化部發(fā)布的 《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》、2017年6月15日工業(yè)和信息化部發(fā)布的 《工業(yè)控制系統(tǒng)信息安全事件應(yīng)急管理工作指南》和2017年8月11日工業(yè)和信息化部發(fā)

布的 《工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估工作管理辦法》等。

工業(yè)信息安全是網(wǎng)絡(luò)強(qiáng)國(guó)戰(zhàn)略的重要組成部分，是保障國(guó)家總體安全的重要內(nèi)容，是推進(jìn) “互聯(lián)網(wǎng)+”行動(dòng)計(jì)劃和實(shí)施制造強(qiáng)國(guó)戰(zhàn)略的基礎(chǔ)條件，特別是近年來(lái)，隨著國(guó)家對(duì) “兩化”整合的深度推進(jìn)，ICS的信息安全已經(jīng)上升到國(guó)家的戰(zhàn)略安全層面。

1 工業(yè)控制系統(tǒng)的主要類(lèi)型及基本體系架構(gòu)

ICS是對(duì)工業(yè)生產(chǎn)過(guò)程安全 （Safety）、網(wǎng)絡(luò)安全 （Securitiy）和可靠運(yùn)行產(chǎn)生作用和影響的人員、硬件和軟件的集合[3]。常見(jiàn)的ICS有監(jiān)控與數(shù)據(jù)采集（SCADA:Supervisory Control And Data Acquisition）系統(tǒng)、分布式控制系統(tǒng) （DCS:Distributed Control System）、能源管理系統(tǒng) （EMS:Energy Management System）、自動(dòng)化系統(tǒng) （AS:Automatic System）、安全儀表系統(tǒng) （SIS:Safety Instrumented System）和其他一些小型控制系統(tǒng)裝置，如可編程邏輯控制器 （PLC）等[4]。

不同的企業(yè)，其ICS的體系架構(gòu)也不盡相同，但一般來(lái)說(shuō)，各個(gè)企業(yè)的ICS所囊括的基本體系架構(gòu)都大同小異[5]，基本的體系架構(gòu)如圖1所示。

圖1 ICS的體系架構(gòu)

2 工業(yè)控制系統(tǒng)信息安全現(xiàn)狀

隨著科學(xué)技術(shù)的發(fā)展，ICS目前已廣泛地應(yīng)用于核實(shí)施、鋼鐵、有色、化工、石油石化、電力、天然氣、先進(jìn)制造、水利樞紐、環(huán)境保護(hù)、鐵路、城市軌道交通和民航，以及城市供水供氣供熱等工業(yè)領(lǐng)域[6]，成為了國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，充當(dāng)著國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的 “大腦”和 “中樞神經(jīng)”角色。

2010年以來(lái)重大ICS信息安全事件如下所示。

2010年， “震網(wǎng)”病毒感染了全球超過(guò)45 000個(gè)網(wǎng)絡(luò)，并造成伊朗核電站推遲發(fā)電。此次事件讓全球都開(kāi)始意識(shí)到，ICS已經(jīng)成為了黑客攻擊的目標(biāo)。

2011年11月21日，美國(guó)伊利諾伊州城市供水SCADA系統(tǒng)遭黑客入侵，導(dǎo)致一個(gè)向數(shù)千戶家庭供水的水泵被毀。

2011年， “Duqu”病毒襲擊中東能源行業(yè)。

2012年5月28日， “Flame”病毒感染中東能源行業(yè)。

2013年10月，以色列北部城市Haifa的全國(guó)路網(wǎng)遭到了網(wǎng)絡(luò)攻擊，引發(fā)了該城市的主干路上的大規(guī)模的交通擁堵。

2014年6月，Havex惡意軟件入侵歐美能源控制系統(tǒng)，Havex病毒席卷了歐美1 000多家能源控制系統(tǒng)，對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施造成了重大的破壞。

2015年12月23日， “Black Energy”攻擊導(dǎo)致烏克蘭電網(wǎng)系統(tǒng)癱瘓，引發(fā)持續(xù)3 h的大面積停電事故，數(shù)百戶家庭供電被迫中斷。

2016年1月25日，以色列電力局遭受大規(guī)模網(wǎng)絡(luò)攻擊，迫使以色列官員不得不中止電力系統(tǒng)中大量計(jì)算機(jī)的正常運(yùn)行。

2016年5月，首例可在PLC之間傳播的蠕蟲(chóng)病毒被測(cè)試證實(shí)，該蠕蟲(chóng)病毒無(wú)需借助PC或其他系統(tǒng)，即可在PLC之間進(jìn)行傳播，進(jìn)而使被感染PLC拒絕服務(wù)、停止工作等。同時(shí)，這種蠕蟲(chóng)攻擊還可以被PLC產(chǎn)生的電波頻率和振幅所掩蓋，使得人們很難發(fā)現(xiàn)它的存在。

2016年10月，網(wǎng)絡(luò)攻擊導(dǎo)致美國(guó)東岸各大網(wǎng)站癱瘓，美國(guó)最主要的DNS服務(wù)商Dyn遭遇大規(guī)模的分布式拒絕服務(wù) （DDoS）攻擊，導(dǎo)致美國(guó)東海岸 Twitter、 Spotify、 Netflix、 AirBnb、 CNN 和華爾街日?qǐng)?bào)等數(shù)百家網(wǎng)站無(wú)法訪問(wèn)。

從ICS自身來(lái)看，隨著信息技術(shù)的發(fā)展，現(xiàn)代ICS正在逐漸地使用通用的TCP/IP標(biāo)準(zhǔn)協(xié)議、通用的操作系統(tǒng)，同業(yè)務(wù)系統(tǒng)等其他信息系統(tǒng)的連接也越來(lái)越多，ICS固有的安全漏洞和攻擊面日益增加[7]。據(jù)不完全統(tǒng)計(jì)，近年來(lái)發(fā)生的ICS安全事件主要以惡意入侵、攻擊為主，針對(duì)ICS的攻擊主要威脅其物理安全、功能安全和系統(tǒng)信息安全，以達(dá)到直接破壞控制器、通信設(shè)備的目的，除對(duì)ICS的直接惡意攻擊外，對(duì)于ICS的破壞主要來(lái)自于對(duì)ICS的非法入侵，篡改工業(yè)參數(shù)指令或入侵系統(tǒng)破壞生產(chǎn)設(shè)備和生產(chǎn)工藝、獲取商業(yè)信息、工業(yè)數(shù)據(jù)等也是近年來(lái)入侵ICS的常見(jiàn)現(xiàn)象。ICS往往缺乏或根本不具備防護(hù)能力，與此同時(shí)ICS每次出現(xiàn)安全事件都會(huì)給相關(guān)企業(yè)造成重大的經(jīng)濟(jì)損失，甚至直接威脅到國(guó)家的戰(zhàn)略安全[8]。

3 我國(guó)工業(yè)控制系統(tǒng)信息安全問(wèn)題產(chǎn)生的因素

由于ICS普遍缺乏有效的工業(yè)安全防御和數(shù)據(jù)通信保密措施，特別是隨著信息化的推動(dòng)和工業(yè)化進(jìn)程的加速，越來(lái)越多的計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)應(yīng)用于ICS中，工業(yè)控制網(wǎng)與公共網(wǎng)的連接給企業(yè)帶來(lái)了諸多的便利，但同時(shí)也減弱了控制系統(tǒng)與外界的隔離。通過(guò)對(duì)相關(guān)工控事件案例進(jìn)行分析，發(fā)現(xiàn)導(dǎo)致ICS的安全隱患問(wèn)題日益嚴(yán)峻的因素主要有以下4個(gè)方面。

3.1 信息化建設(shè)的發(fā)展因素

過(guò)程控制系統(tǒng) （DCS/PLC/PCS/RTU等）和SCADA系統(tǒng)廣泛地采用現(xiàn)代信息技術(shù)，Windows、Ethernet、現(xiàn)場(chǎng)總線技術(shù)和OPC等技術(shù)在工業(yè)設(shè)備中的應(yīng)用導(dǎo)致設(shè)備接口越來(lái)越開(kāi)放，使過(guò)程控制系統(tǒng)和SCADA系統(tǒng)等不再與外界隔離；另外，來(lái)自局域網(wǎng)、因特網(wǎng)、移動(dòng)U盤(pán)、維修人員便攜式電腦接入和其他因素導(dǎo)致的網(wǎng)絡(luò)安全問(wèn)題正在逐漸地在過(guò)程控制系統(tǒng)和SCADA系統(tǒng)中擴(kuò)散，直接影響了工業(yè)生產(chǎn)的穩(wěn)定性，對(duì)工業(yè)控制設(shè)備產(chǎn)生了威脅。

3.2 工業(yè)控制系統(tǒng)缺陷容易被攻擊的因素

ICS的設(shè)計(jì)開(kāi)發(fā)并未將系統(tǒng)防護(hù)、數(shù)據(jù)保密等安全指標(biāo)納入其中， 再者工業(yè)控制網(wǎng)絡(luò)中大量采用TCP/IP技術(shù)，而且ICS網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)連接，以太網(wǎng)技術(shù)的高速發(fā)展及其80%的市場(chǎng)占有率，防護(hù)措施的薄弱 （如TCP/IP協(xié)議缺陷、工業(yè)應(yīng)用漏洞和現(xiàn)場(chǎng)總線缺陷）導(dǎo)致攻擊者很容易通過(guò)企業(yè)網(wǎng)絡(luò)間接入侵ICS。

3.3 國(guó)產(chǎn)化程度因素

隨著ICS、網(wǎng)絡(luò)和協(xié)議的不斷發(fā)展和升級(jí)，不同的廠商對(duì)以太網(wǎng)技術(shù)也在加速推廣，而國(guó)內(nèi)重要控制系統(tǒng)有超過(guò)80%的系統(tǒng)都使用的是國(guó)外的產(chǎn)品和技術(shù)，核心的技術(shù)和元件均掌握在他人手里，這給國(guó)內(nèi)的工業(yè)網(wǎng)絡(luò)造成了巨大的安全隱患。

3.4 軟、硬件的漏洞因素

目前所使用的ICS絕大部分是多年前開(kāi)發(fā)的，由于早期的工業(yè)控制都是相對(duì)獨(dú)立的網(wǎng)絡(luò)環(huán)境，在產(chǎn)品設(shè)計(jì)和網(wǎng)絡(luò)部署時(shí)，只考慮了功能性和穩(wěn)定性，但是忽略了系統(tǒng)對(duì)網(wǎng)絡(luò)安全措施的需要。當(dāng)前互聯(lián)網(wǎng)的技術(shù)已進(jìn)入ICS的設(shè)計(jì)中，這一變化使ICS開(kāi)始面臨各種威脅，ICS中的各種通用協(xié)議、應(yīng)用軟件和硬件也暴露出了一些比較嚴(yán)重的漏洞和安全隱患，只要利用這些漏洞和隱患即可入侵ICS，獲得控制器和執(zhí)行器的控制權(quán)，進(jìn)而破壞整個(gè)系統(tǒng)。

國(guó)家信息安全漏洞共享平臺(tái) （CNVD:China National Vulnerability Database）統(tǒng)計(jì)了2000年1月份—2017年8月份ICS行業(yè)廠商漏洞數(shù)量及其占比 （如圖2所示）和ICS行業(yè)中高危、中危與低危漏洞等級(jí)占比 （如圖3所示），這些漏洞統(tǒng)計(jì)數(shù)據(jù)再一次給我們敲響了警鐘。而我國(guó)控制器設(shè)備則主要采用西門(mén)子 （SIEMENS）、研華 （Advantech）和施耐德 （Schneider）等公司的產(chǎn)品，因此這些控制器所具有的漏洞極易成為惡意攻擊的突破口。

圖2 ICS業(yè)廠商漏洞數(shù)量

圖3 ICS行業(yè)漏洞危險(xiǎn)等級(jí)

4 工業(yè)控制系統(tǒng)信息安全防護(hù)策略

通過(guò)對(duì)ICS的特點(diǎn)和系統(tǒng)安全現(xiàn)狀的分析，可以看出ICS不僅面臨著大多數(shù)傳統(tǒng)的信息系統(tǒng)所面臨的安全問(wèn)題，而且也存在自身獨(dú)特的安全需求。因此，提高整個(gè)ICS的物理安全、功能安全和信息安全必須從技術(shù)和管理兩個(gè)角度入手，雙重考慮[9]。

現(xiàn)以某有色金屬集團(tuán)控股有限公司 （以下簡(jiǎn)稱有色集團(tuán)）為例，闡述ICS信息安全防護(hù)的有效策略。該有色集團(tuán)涉及的業(yè)務(wù)主要為有色金屬、化工和裝備制造這3部分。

4.1 管理方面防護(hù)策略

4.1.1 成立工業(yè)控制系統(tǒng)信息安全協(xié)調(diào)小組

工業(yè)企業(yè)應(yīng)在疏理工控安全管理要素的基礎(chǔ)上，成立由有色集團(tuán)總裁為組長(zhǎng)、分管生產(chǎn)安全的副總裁為副組長(zhǎng)、各分公司總經(jīng)理為主要組員的ICS信息安全協(xié)調(diào)小組，如圖4所示。協(xié)調(diào)小組制定了集團(tuán)的工控安全總體目標(biāo)，確定了集團(tuán)工控安全工作責(zé)任，負(fù)責(zé)重大工控安全事件的處置，負(fù)責(zé)組織實(shí)施ICS全生命周期的安全防護(hù)體系的建設(shè)和管理。

圖4 工控安全協(xié)調(diào)小組的組織架構(gòu)示意圖

4.1.2 加大宣傳教育、加強(qiáng)培訓(xùn)

有色集團(tuán)協(xié)調(diào)小組制訂了宣傳教育方案、宣傳資料、培訓(xùn)計(jì)劃和培訓(xùn)教材，內(nèi)容覆蓋了網(wǎng)絡(luò)安全意識(shí)、教育、基本技能培訓(xùn)、專業(yè)技術(shù)和技能培訓(xùn)，注重全員網(wǎng)絡(luò)安全宣傳教育和培訓(xùn)，提高網(wǎng)絡(luò)安全意識(shí)，增強(qiáng)網(wǎng)絡(luò)安全基本防護(hù)技能。每月月末開(kāi)展工控安全管理人員和技術(shù)人員網(wǎng)絡(luò)安全專業(yè)、技能培訓(xùn)，每季季末對(duì)工控安全管理人員和技術(shù)人員進(jìn)行考核，考核不合格者直接調(diào)崗。

4.1.3落實(shí)工控安全責(zé)任制

有色集團(tuán)協(xié)調(diào)小組以管理制度的形式明確了信息中心、生產(chǎn)管理處和設(shè)備管理處的具體職責(zé)，指定了每個(gè)部門(mén)ICS安全的主要責(zé)任人。從ICS應(yīng)用安全的需求入手來(lái)細(xì)化管理制度，明確地確定專門(mén)負(fù)責(zé)應(yīng)用安全、網(wǎng)絡(luò)安全、物理安全、主機(jī)安全、數(shù)據(jù)安全、系統(tǒng)運(yùn)維和系統(tǒng)建設(shè)等人員的相關(guān)責(zé)任，并指定主要責(zé)任人。

4.2 技術(shù)方面的防護(hù)策略

有色集團(tuán)采用的是一種基于ERP、MES和PCS3層架構(gòu)的管控一體化ICS體系架構(gòu)，而運(yùn)行MES的信息網(wǎng)絡(luò)必須要實(shí)現(xiàn)與控制網(wǎng)絡(luò)之間的數(shù)據(jù)交換才能獲取低層生產(chǎn)的實(shí)時(shí)數(shù)據(jù)，這樣產(chǎn)生工控安全問(wèn)題的可能性還是比較高，尤其是控制網(wǎng)絡(luò)的安全是關(guān)系到有色集團(tuán)整個(gè)生產(chǎn)系統(tǒng)的 “絕對(duì)”安全的基石。

4.2.1 物理隔離

有色集團(tuán)的網(wǎng)絡(luò)物理隔離采用 “2+1”的3模塊架構(gòu)，內(nèi)置雙主機(jī)系統(tǒng)，隔離單元通過(guò)總線技術(shù)建立安全通道以安全地實(shí)現(xiàn)快速數(shù)據(jù)交換。網(wǎng)絡(luò)物理隔離提供的應(yīng)用專門(mén)針對(duì)控制網(wǎng)絡(luò)的安全防護(hù)，采用的是OPC通訊規(guī)范，只提供控制網(wǎng)絡(luò)常用通信功能，嚴(yán)禁提供通用互聯(lián)網(wǎng)功能，如此一來(lái)，便能夠更適合有色集團(tuán)控制網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)，以及控制網(wǎng)絡(luò)各獨(dú)立子系統(tǒng)之間的隔離。其主要優(yōu)勢(shì)表現(xiàn)為:

a）獨(dú)立的運(yùn)算單元和存儲(chǔ)單元， 各自運(yùn)行獨(dú)立的操作系統(tǒng)和應(yīng)用系統(tǒng)；

b）安全隔離區(qū)采用私有加密的數(shù)據(jù)交互技術(shù)，數(shù)據(jù)交換不依靠TCP/IP協(xié)議；

c）與信息層上傳數(shù)據(jù)時(shí)，可實(shí)現(xiàn)斷線緩存、續(xù)傳；

d）實(shí)時(shí)數(shù)據(jù)交換，延時(shí)時(shí)間小于1 ms。

4.2.2 防火墻技術(shù)

商用防火墻是目前網(wǎng)絡(luò)邊界上最常用的一種防護(hù)設(shè)備。其提供的主要功能包括訪問(wèn)控制、地址轉(zhuǎn)換、應(yīng)用代理、帶寬和流量控制、事件審核和警報(bào)等。商用防火墻誕生于傳統(tǒng)的信息網(wǎng)絡(luò)環(huán)境下，雖然經(jīng)過(guò)了多年的發(fā)展和完善，但其應(yīng)用環(huán)境還是局限于企業(yè)信息網(wǎng)絡(luò)，它對(duì)工業(yè)網(wǎng)絡(luò)環(huán)境還有諸多的不適應(yīng)。

國(guó)際市場(chǎng)上已經(jīng)出現(xiàn)了的一些專門(mén)用于保護(hù)工業(yè)網(wǎng)絡(luò)安全的產(chǎn)品，這些產(chǎn)品的生產(chǎn)商宣稱他們的產(chǎn)品可以對(duì)工業(yè)網(wǎng)絡(luò)中的控制設(shè)備或控制系統(tǒng)起到安全保護(hù)的作用，但近幾年連續(xù)爆出的工控安全事件卻一次次地給我們敲響了警鐘，讓我們對(duì)這些產(chǎn)品的安全性產(chǎn)生了質(zhì)疑。我國(guó)工業(yè)網(wǎng)絡(luò)正在迅速地普及過(guò)程中，工業(yè)網(wǎng)絡(luò)越來(lái)越多地接入到了互聯(lián)網(wǎng)中，僅依靠國(guó)外技術(shù)和產(chǎn)品來(lái)保護(hù)我們的工業(yè)網(wǎng)絡(luò)安全是不夠的，基于此，有色集團(tuán)選擇了具有自主產(chǎn)權(quán)的HC-ISG國(guó)產(chǎn)工業(yè)防火墻，該產(chǎn)品能夠針對(duì)工業(yè)通訊協(xié)議進(jìn)行深度過(guò)濾，將每個(gè)工業(yè)協(xié)議作為一個(gè)獨(dú)立的深度過(guò)濾模塊，以插件的方式按需加載到系統(tǒng)中，最大限度地滿足了工業(yè)現(xiàn)場(chǎng)的各種安全防護(hù)要求。

4.2.3 白名單技術(shù)

有色集團(tuán)工控安全系統(tǒng)在控制過(guò)程中采用的是白名單主動(dòng)防御技術(shù)，該技術(shù)通過(guò)提前計(jì)劃好的協(xié)議規(guī)則來(lái)限制網(wǎng)絡(luò)數(shù)據(jù)的交換，在控制網(wǎng)到信息網(wǎng)之間進(jìn)行動(dòng)態(tài)行為判斷。通過(guò)對(duì)約定協(xié)議的特征進(jìn)行分析和端口限制的方法，從根源上節(jié)制未知惡意軟件的運(yùn)行和傳播。

白名單技術(shù)的優(yōu)勢(shì)比較明顯，主要表現(xiàn)為:

a）能夠抵御 “零日”漏洞攻擊和其他有針對(duì)性的攻擊，在默認(rèn)情況下，任何未經(jīng)批準(zhǔn)的軟件、工具和進(jìn)程都不能在端點(diǎn)上運(yùn)行；

b）提供報(bào)警，可以檢測(cè)到惡意程序或文件并給出警示，讓安全人員立即采取行動(dòng)；

c）保持系統(tǒng)以最佳性能運(yùn)行，提高工作效率；

d）對(duì)正在運(yùn)行的應(yīng)用、工具和進(jìn)程，可提供對(duì)系統(tǒng)的全面可視性，如果相同的、未經(jīng)授權(quán)的程序試圖在多個(gè)端點(diǎn)運(yùn)行，該數(shù)據(jù)可用于追蹤攻擊者的路徑；

e）能夠幫助抵御高級(jí)內(nèi)存注入攻擊，該技術(shù)可以驗(yàn)證內(nèi)存中運(yùn)行的所有經(jīng)批準(zhǔn)的進(jìn)程并確保這些進(jìn)程在運(yùn)行時(shí)沒(méi)有被修改，從而抵御高級(jí)內(nèi)存漏洞被利用的風(fēng)險(xiǎn)。

4.2.4 虛擬專用網(wǎng)絡(luò)

有色集團(tuán)工控安全系統(tǒng)在數(shù)據(jù)傳輸過(guò)程中采用虛擬專用網(wǎng)絡(luò) （VPN:Virtual Private Network）技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密，搭建該虛擬專用網(wǎng)絡(luò)產(chǎn)品均采用加密及身份驗(yàn)證等安全技術(shù)，從根本上保證了連接的可靠性和傳輸數(shù)據(jù)的安全和保密性；利用ISP的設(shè)施和服務(wù)，完全掌握著網(wǎng)絡(luò)的控制權(quán)。在具體執(zhí)行的過(guò)程中，工控安全負(fù)責(zé)工作人員主要通過(guò)鑒別，控制訪問(wèn)到受信網(wǎng)絡(luò)；在未受信網(wǎng)絡(luò)上，維護(hù)受信數(shù)據(jù)的完整性；記錄的信息用于傳輸監(jiān)視、分析和入侵保護(hù)。

在VPN技術(shù)安全協(xié)議方面，采用的是互聯(lián)網(wǎng)安全協(xié)議IPsec，在工業(yè)控制環(huán)境中可進(jìn)行安全訪問(wèn)，最大程度地限制控制系統(tǒng)計(jì)算機(jī)主機(jī)和控制器的連接和訪問(wèn)，從而保證了安全性。

4.2.5 安全審計(jì)

有色集團(tuán)委托專家組對(duì)當(dāng)前的ICS進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，專家組在充分地了解了工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)、漏洞等具體情況后，整個(gè)系統(tǒng)的風(fēng)險(xiǎn)被評(píng)定為中危。針對(duì)專家組所給出的評(píng)定結(jié)論，協(xié)調(diào)小組采取了一系列增強(qiáng)措施，主要包括以下3個(gè)方面。

a）從技術(shù)和管理角度制定相關(guān)的制度和管理辦法，內(nèi)容涵蓋防火墻升級(jí)、操作系統(tǒng)和數(shù)據(jù)庫(kù)等；加強(qiáng)對(duì)系統(tǒng)訪問(wèn)的權(quán)限管理，硬性要求應(yīng)定時(shí)地對(duì)安全系統(tǒng)進(jìn)行補(bǔ)丁。

b）對(duì)系統(tǒng)各個(gè)組件的功能進(jìn)行嚴(yán)格的管理，包括禁用控制器或其他關(guān)鍵設(shè)備上的對(duì)外接口、修補(bǔ)已知的系統(tǒng)漏洞，確保將配置選項(xiàng)設(shè)定為最安全的設(shè)置。

c）對(duì)控制系統(tǒng)的管理人員和維修維護(hù)人員進(jìn)行安全意識(shí)培訓(xùn)，制定相關(guān)的培訓(xùn)計(jì)劃，確保員工熟悉并遵守制定的相關(guān)規(guī)程制度。

5 結(jié)束語(yǔ)

以太網(wǎng)技術(shù)在工業(yè)控制網(wǎng)絡(luò)中廣泛的應(yīng)用，使得現(xiàn)代工業(yè)網(wǎng)絡(luò)取得了突飛猛進(jìn)的發(fā)展，但同時(shí)也為企業(yè)的網(wǎng)絡(luò)安全工作帶來(lái)了嚴(yán)峻的考驗(yàn)。信息化前進(jìn)的步伐是要與安全管理的提高相輔相成的，我們?cè)诩哟笮畔踩芾淼耐瑫r(shí)，必須要加強(qiáng)工控設(shè)備安全的建設(shè)。隨著我國(guó)工業(yè)化和信息化的深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，未來(lái)的ICS將會(huì)融合更多的先進(jìn)的信息安全技術(shù)，如云計(jì)算、云安全等，必須持續(xù)加強(qiáng)對(duì)工業(yè)控制領(lǐng)域的整體安全部署，完善和提供整體的安全解決方案[10]。為此，我們必須將工業(yè)信息安全擺上戰(zhàn)略位置，提高思想重視程度，推進(jìn)落實(shí)各項(xiàng)工作，為國(guó)家的工業(yè)生產(chǎn)運(yùn)行提供安全的環(huán)境，為兩化深度融合提供安全的保障。