DCS系統(tǒng)網(wǎng)絡(luò)安全防護(hù)策略

孫強(qiáng)

（中國石油大慶石化公司煉油廠，黑龍江大慶163711）

某石化生產(chǎn)裝置DCS通過OPC接口連接到MES的緩沖服務(wù)器上，再通過緩沖服務(wù)器連到HONEYWELL的實時數(shù)據(jù)庫PHD上，PHD為MES上層模塊提供基礎(chǔ)數(shù)據(jù)，實現(xiàn)了MES信息網(wǎng)絡(luò)與DCS控制網(wǎng)絡(luò)之間的數(shù)據(jù)交換。DCS從封閉到開放，病毒入侵、黑客攻擊等風(fēng)險增加。目前流行的IT商業(yè)防火墻、防病毒等技術(shù)主要集中在MES信息層面上防護(hù)。根據(jù)工信部《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》的要求對本套DCS開展工控安全防護(hù)工作［1］。

1 DCS漏洞掃描及病毒檢查

某裝置在大檢修期間對DCS進(jìn)行漏洞掃描及病毒排查。對DCS操作站及服務(wù)器的主機(jī)硬盤進(jìn)行全盤備份，保留原盤，對備份硬盤進(jìn)行檢查測試［2］。操作系統(tǒng)見表1，系統(tǒng)網(wǎng)絡(luò)見圖1。

表1各主機(jī)操作系統(tǒng)

圖1 DCS網(wǎng)絡(luò)

利用Nessus掃描工具和系統(tǒng)自帶的殺毒軟件掃描服務(wù)器及操作員站主機(jī)，掃描到3個conficker病毒［3］。此病毒利用微軟SVCHOST服務(wù)漏洞來感染計算機(jī)并進(jìn)行傳播，也能通過移動存儲介質(zhì)（如U盤）或利用文件共享功能在局域網(wǎng)中傳播。

針對conficker病毒，安裝微軟補(bǔ)丁KB971029，修復(fù)MS08-067漏洞。

2 DCS系統(tǒng)網(wǎng)絡(luò)風(fēng)險識別

服務(wù)器一旦受到病毒感染或攻擊，會對整個系統(tǒng)運(yùn)行安全造成威脅［4］。DCS安全防護(hù)見圖2。

圖2 DCS安全防護(hù)

縱向看，DCS與MES網(wǎng)上數(shù)據(jù)交換鏈路間沒有防護(hù)設(shè)備，可能遭受上層網(wǎng)絡(luò)的病毒攻擊。

橫向看，系統(tǒng)防病毒軟件升級遲緩，一旦DCS感染病毒會很快擴(kuò)散，造成局域網(wǎng)絡(luò)全面感染。

3 網(wǎng)絡(luò)安全防護(hù)解決方案

在DCS與上層MES數(shù)據(jù)通訊鏈路中增設(shè)Guard工業(yè)防火墻，防火墻內(nèi)置多種工業(yè)協(xié)議和常規(guī)控制網(wǎng)絡(luò)模型，可對OPC等通訊提供深度檢查和管控；采用無IP工業(yè)隔離技術(shù)，令攻擊者無法發(fā)現(xiàn)目標(biāo)。防火墻具有安全審計功能，可記錄用戶操作行為，現(xiàn)場安裝不用更改原網(wǎng)絡(luò)，上電后將防火墻設(shè)置為出廠透明模式，通過中央管理平臺進(jìn)行規(guī)則配置組態(tài)，完成后將防火墻切換至運(yùn)行模式方可生效。安全管理平臺接收來自中央管理平臺的所有事件和日志信息，通過SMP安全管理平臺可查詢?nèi)罩痉治?、可信日志分析、報警管理等?］。

DCS生產(chǎn)商分發(fā)補(bǔ)丁程序相對緩慢，很少提示重大風(fēng)險，很難及時應(yīng)對風(fēng)險及威脅，采用無補(bǔ)丁的主機(jī)病毒防護(hù)方案尤其重要。

將InTrust工控可信計算芯片安裝在DCS操作站、服務(wù)器主板的PCI槽上，并安裝可信客戶端軟件，增設(shè)1臺可信服務(wù)器，允許可信進(jìn)程運(yùn)行，阻斷其余進(jìn)程，生成可信白名單。對于插入主機(jī)的USB設(shè)備采取授權(quán)準(zhǔn)入模式，提升各主機(jī)防御病毒和黑客非法入侵能力。

嚴(yán)格執(zhí)行機(jī)房管理制度，僅授權(quán)人員可進(jìn)入。定期巡檢機(jī)房設(shè)備并記錄運(yùn)行情況。對操作站、服務(wù)器主機(jī)不必要的外設(shè)接口進(jìn)行封堵或拆除，用USB鎖封堵USB端口，拆除光驅(qū)。

設(shè)置DCS登錄密碼，在DCS上按使用權(quán)限設(shè)置賬戶，各自設(shè)置獨立的密碼，防止誤操作。

修改組態(tài)審批完成后需及時備份。定期對DCS硬盤備份，并登記造冊妥善保管。

4 結(jié)束語

目前該防護(hù)系統(tǒng)已過通過測試并正式投用，滿足DCS主機(jī)病毒防護(hù)、USB安全管理、安全審計、安全管理及異常監(jiān)測等方面的需求，確保DCS免受上層管理網(wǎng)帶來的病毒及網(wǎng)絡(luò)攻擊。