淺談工業(yè)控制系統(tǒng)網(wǎng)絡安全防護

徐潤澤

摘 要 近年來，工業(yè)行業(yè)中的計算機技術的應用越來越廣泛，雖然給工業(yè)行業(yè)的發(fā)展帶來了很大的促進作用，但在工業(yè)控制系統(tǒng)中因網(wǎng)絡引發(fā)的安全事故發(fā)生率也在增長，因此加強網(wǎng)絡安全防護對于工業(yè)控制系統(tǒng)的正常運行非常重要。文章首先分析了現(xiàn)階段工業(yè)控制系統(tǒng)中網(wǎng)絡安全的現(xiàn)狀，并闡述了工業(yè)控制系統(tǒng)網(wǎng)絡的安全需求，進而探討了工業(yè)控制系統(tǒng)網(wǎng)絡安全防護的建設，以期為先關的工作人員提供有價值參考。

關鍵詞 工業(yè)控制系統(tǒng);網(wǎng)絡安全：安全防護;技術;措施

前言

隨著工業(yè)控制系統(tǒng)與互聯(lián)網(wǎng)的高度融合，工業(yè)控制系統(tǒng)也受到了網(wǎng)絡安全的諸多方面的威脅，不僅直接影響了工業(yè)生產(chǎn)以及相關信息的安全，同時也對我們國家的經(jīng)濟發(fā)展甚至國家的安全造成了嚴重的威脅。因此只有通過加強工業(yè)控制系統(tǒng)網(wǎng)絡安全防護建設，提高工業(yè)控制系統(tǒng)運行的穩(wěn)定性和安全性，才能有效的降低網(wǎng)絡安全事故對工業(yè)控制系統(tǒng)的影響。

1 工業(yè)控制系統(tǒng)網(wǎng)絡安全現(xiàn)狀分析

近年來我國工業(yè)控制系統(tǒng)安全事故頻發(fā)，對于我們國家的各方面安全、經(jīng)濟的發(fā)展以及社會的穩(wěn)定都有很大的影響，雖然也在工業(yè)控制系統(tǒng)網(wǎng)絡安全方面給予了一定的完善措施，但其現(xiàn)狀仍不容樂觀，具體表現(xiàn)在以下幾方面的問題：①對于一些網(wǎng)絡安全隱患無法做到徹底根除。在我國工業(yè)控制體統(tǒng)中的設備存在著嚴重的漏洞后門問題，對于一些硬件的漏洞不僅要花費較高的修復成本，同時修復的難度也非常大，這就導致工業(yè)控制系統(tǒng)中一些網(wǎng)絡安全隱患無法做到徹底根除。②工業(yè)控制系統(tǒng)的網(wǎng)絡安全難以深入。在我國有一部分廠家的工業(yè)控制系統(tǒng)都是采用一站式的控制模式，這對于工業(yè)控制系統(tǒng)的網(wǎng)絡安全的檢測、檢測以及控制和防范等都造成了很大的制約，導致相關的網(wǎng)絡安全防護無法深入進行。③工業(yè)控制系統(tǒng)網(wǎng)絡安全技術體系落后。由于我國在工業(yè)控制系統(tǒng)的研發(fā)方面起步晚，相關的技術以及設備等還不夠成熟，缺乏工業(yè)控制系統(tǒng)高端產(chǎn)品的自主研發(fā)，與此同時，在一些工業(yè)控制系統(tǒng)的網(wǎng)絡安全防護方面的先進技術也多數(shù)受制于人，對于目前日益發(fā)展的國情這種技不如人、受制于人的局面對于我國各方面的發(fā)展都具有嚴重的制約，尤其是工業(yè)控制系統(tǒng)的網(wǎng)絡安全問題，如果提高網(wǎng)絡安全防護是目前的首要工作[1]。

2 工業(yè)控制系統(tǒng)網(wǎng)絡的安全需求

與傳統(tǒng)信息系統(tǒng)相比工業(yè)控制系統(tǒng)的網(wǎng)絡安全具有一定的特殊性，其主要表現(xiàn)在以下幾方面的特性需求：①工業(yè)控制系統(tǒng)網(wǎng)絡的邊界防護需求。網(wǎng)絡的邊界防護對于工業(yè)控制系統(tǒng)的網(wǎng)絡安全具有重要的作用，但是在現(xiàn)階段的工程控制系統(tǒng)中對于網(wǎng)絡邊界防護并沒有做到實際的要求標準，導致工業(yè)控制系統(tǒng)中各項業(yè)務系統(tǒng)都存在一定的安全隱患。②工業(yè)控制系統(tǒng)網(wǎng)絡安全的遠程訪問防護需求。在工業(yè)控制系統(tǒng)中遠程維護是其主要系統(tǒng)維護方式之一，但是這些遠程維護的通道都是各個供應商來提供，如果沒有做好相關的遠程訪問防護很容易在進行遠程維護的過程中受到惡意入侵的威脅。③工業(yè)控制系統(tǒng)中網(wǎng)絡監(jiān)測與審計需求。在進行工業(yè)控制系統(tǒng)的生產(chǎn)過程中，需要進行一定的網(wǎng)絡監(jiān)測與審計工作，由于該工作涉及到大量的網(wǎng)絡監(jiān)測與審計的軟件，而部分生產(chǎn)廠商缺乏這些設備導致不能有效進行生產(chǎn)過程中的數(shù)據(jù)監(jiān)測工作，同時對于出現(xiàn)問題和故障后也不能及時的做好審計工作，給工業(yè)控制系統(tǒng)的網(wǎng)絡安全埋下一定的隱患。④工業(yè)控制系統(tǒng)中網(wǎng)絡操作系統(tǒng)漏洞管理需求。在工業(yè)控制系統(tǒng)的控制網(wǎng)絡生產(chǎn)過程中最常使用的操作系統(tǒng)是微軟以及Linux操作系統(tǒng)，由于控制網(wǎng)絡對于控制系統(tǒng)的要求非常高，在進行操作系統(tǒng)漏洞的升級工作方面有著非常大的難度，導致操作系統(tǒng)會出現(xiàn)更多的安全漏洞[2]。⑤工業(yè)控制系統(tǒng)網(wǎng)絡惡意代碼風險防范需求。在工業(yè)控制操作系統(tǒng)中通常需要安裝相應的殺毒軟件來進行一定的安全防護，但是如果沒有安裝或者安裝的殺毒軟件無法滿足相關的安全防護需求，就會導致工業(yè)控制系統(tǒng)被一些惡意代碼進行攻擊破壞，從而影響工業(yè)控制系統(tǒng)的整體運行，嚴重還可能造成經(jīng)濟的損失和人員傷亡。

3 工業(yè)控制系統(tǒng)網(wǎng)絡安全防護建設

3.1 工業(yè)控制系統(tǒng)的三層架構

工業(yè)控制系統(tǒng)的三層架構主要分為以下三層：①計劃管理層：計劃管理層是為了讓相關的工作人員在制定工作計劃等工作上更加便捷，提高工作效率，通常情況下計劃管理層需要連接管理服務器。②制造管理層：制造管理層與計劃管理層相同點在于都需要連接上相應的管理服務器，除此以外制造管理層還要在每個防火墻上連接上專屬的計算機系統(tǒng)。③工業(yè)控制層：工業(yè)控制層是這三層里面最為復雜的，不僅僅要像上面兩層一樣連接相應的管理服務器以及終端，同時對于各個監(jiān)控終端也要做好相互連接的工作[3]。在對第一層和第二層進行訪問時，可以采用實名制的方法進行訪問，這樣可以有效的提升網(wǎng)絡安全系數(shù)，提高網(wǎng)絡安全保障。另外必須對整個工業(yè)控制系統(tǒng)進行全面的網(wǎng)絡數(shù)據(jù)監(jiān)測工作，這樣可以最大限度地避免惡意病毒或者軟件代碼等對工業(yè)控制系統(tǒng)進行攻擊，給工業(yè)系統(tǒng)的網(wǎng)絡安全造成威脅，從而保障工業(yè)控制系統(tǒng)中各層都能正常的完成自身的工作內(nèi)容。工業(yè)控制系統(tǒng)的分層式結構不僅可以有效提升工業(yè)控制系統(tǒng)的網(wǎng)絡安全，有效降低因為網(wǎng)絡導致的工業(yè)控制系統(tǒng)出現(xiàn)的安全問題，同時對于工業(yè)控制系統(tǒng)的整體性能也有很大的提升。

3.2 工業(yè)控制系統(tǒng)網(wǎng)絡安全防護相關技術

在進行工業(yè)控制系統(tǒng)網(wǎng)絡安全防護的過程中，一些防護技術的應用對于網(wǎng)絡安全防護具有重要的作用，以下列舉幾個在工業(yè)控制系統(tǒng)網(wǎng)絡安全防護中比較關鍵的網(wǎng)絡安全防護技術：①惡意代碼防護技術：在工程控制系統(tǒng)的網(wǎng)絡安全防護中惡意代碼防護技術是最近也是最關鍵的一門技術，在傳統(tǒng)的網(wǎng)絡安全防護中通常采用的黑名單查殺病毒模式會導致一些誤殺誤刪等問題的發(fā)生，另外這種防護模式對于普通的系統(tǒng)來說會有嚴重的傷害。在現(xiàn)階段采用的白名單查殺病毒模式相對于之前的模式就有了很大的提高，不僅有效降低了誤殺誤刪的問題發(fā)生率，同時也不會對工業(yè)控制系統(tǒng)產(chǎn)生負面影響。②主機外設管理技術：部分工作人員在使用工業(yè)控制系統(tǒng)的過程中常常會講一些U盤、手機、筆記本電腦等設備連接到系統(tǒng)的主機上，這樣會導致一些木馬病毒或者計算機病毒等入侵工業(yè)控制系統(tǒng)，給系統(tǒng)的運行造成影響。所以必須完善相關的主機外設管理制度，同時加強對系統(tǒng)的監(jiān)控力度，避免因連接外部設備給工業(yè)控制系統(tǒng)網(wǎng)絡安全造成威脅。③漏洞發(fā)掘和安全監(jiān)測：網(wǎng)絡漏洞對于工業(yè)控制系統(tǒng)的影響后果非常嚴重，所以不能僅僅局限在漏洞出現(xiàn)后的補救措施，要采取主動尋找漏洞的策略來進行漏洞的發(fā)掘，從而能最大限度地發(fā)現(xiàn)漏洞并及時采取措施避免情況的惡化，在流量檢測方面需要選用專業(yè)能力較強的工作人員來進行分析，另外對于系統(tǒng)整體的防護方面，發(fā)現(xiàn)問題要及時分析產(chǎn)生的根源并采取有效的解決措施，這樣可以大大降低漏洞對于系統(tǒng)的影響程度[4]。

3.3 工業(yè)控制系統(tǒng)網(wǎng)絡安全防護措施

在工業(yè)控制系統(tǒng)中對于一些相對重要的設備以及網(wǎng)絡區(qū)域等可以采取相應的措施進行與外界環(huán)境的隔離處理，具體可以采取以下措施進行：①工業(yè)安全網(wǎng)隔離法：在工業(yè)控制系統(tǒng)中對于孔子系統(tǒng)以及數(shù)采機就可以采用這種隔離方法進行隔離，通過這種隔離方法不僅可以保證系統(tǒng)正常的完成數(shù)據(jù)采集、物理格局以及網(wǎng)關等重要的工作任務，與此同時可以有效降低因網(wǎng)絡安全造成的故障問題發(fā)生率。②“2+1”物理隔離法：在工業(yè)控制系統(tǒng)中數(shù)采機與控制系統(tǒng)的構架之間通常是采用這種隔離方法進行隔離的，通過該方法隔離后沒有私密密碼的數(shù)據(jù)就無法進入到控制系統(tǒng)，有效防止外來入侵，提升了控制系統(tǒng)整體的安全系數(shù)[5]。③防火墻隔離：在工業(yè)控制系統(tǒng)網(wǎng)絡安全防護中不僅僅要防止網(wǎng)絡因其的安全事故的發(fā)生，同時也要保障數(shù)采機能夠順利地通過外網(wǎng)獲取信息，因此可以采用防火墻的方法來對工業(yè)數(shù)據(jù)進行篩選，從而可以保障工業(yè)控制系統(tǒng)中所有訂單訪問對象都是合法的，對于一些不合法的訪問直接拒絕，這樣會保證工業(yè)控制系統(tǒng)隨時保持在一個安全戒備的運行狀態(tài)中。

4 結束語

綜上所述，網(wǎng)絡安全問題對于工業(yè)控制系統(tǒng)的影響非常嚴重，通過采用相關的網(wǎng)絡安全防護技術，以及采用各種隔離方法進行網(wǎng)絡區(qū)域以及設備的隔離等可以有效降低網(wǎng)絡安全問題對工業(yè)控制系統(tǒng)的威脅，同時也能夠實現(xiàn)各個操作系統(tǒng)的正常運行，同時加強對工業(yè)控網(wǎng)絡的各方面數(shù)據(jù)的監(jiān)測，可以有效提升工業(yè)控制系統(tǒng)運行過程中的穩(wěn)定性和安全性。

參考文獻

[1] 徐海洲.基于軟件定義網(wǎng)絡的工業(yè)控制系統(tǒng)信息安全防護設計及實現(xiàn)[D].武漢：華中科技大學，2019.

[2] 馬祥厚，劉曉壘.工業(yè)控制系統(tǒng)網(wǎng)絡安全防護體系研究[J].信息系統(tǒng)工程，2018，（8）：77.

[3] 傅一帆，霍玉鮮.網(wǎng)絡安全等級保護工業(yè)控制系統(tǒng)安全防護技術體系設計[J].警察技術，2017，（5）：19-22.

[4] 朱世順，劉行.新形勢下電力工業(yè)控制系統(tǒng)網(wǎng)絡安全防護保障體系研究[J].保密科學技術，2017，（5）：62-64.

[5] 謝豐.工業(yè)控制系統(tǒng)網(wǎng)絡攻擊與安全防護思考[J].保密科學技術，2016，（9）：18-21.