工控系統(tǒng)安全防護(hù)問(wèn)題對(duì)策研究

彭天彬

摘要：工業(yè)信息化的快速發(fā)展，使得傳統(tǒng)意義上的相對(duì)封閉的工業(yè)控制系統(tǒng)在應(yīng)對(duì)網(wǎng)絡(luò)攻擊、病毒侵害以及木馬攻擊的過(guò)程中變得脆弱而又不堪一擊。但是工業(yè)控制系統(tǒng)是工業(yè)化生產(chǎn)建設(shè)過(guò)程中的重要環(huán)節(jié)，也是中國(guó)國(guó)家基礎(chǔ)建設(shè)設(shè)施的重要構(gòu)成部分，一旦遭到外部攻擊造成系統(tǒng)或是設(shè)備受損必然會(huì)產(chǎn)生較大的影響和危害。針對(duì)工業(yè)控制的相關(guān)系統(tǒng)，還有對(duì)應(yīng)概念內(nèi)容結(jié)合現(xiàn)代化的信息技術(shù)應(yīng)用進(jìn)行分析，探究安全防護(hù)問(wèn)題并進(jìn)一步制定出相應(yīng)的對(duì)策。

關(guān)鍵詞：工控系統(tǒng);安全防護(hù);對(duì)策;問(wèn)題

引言：

近些年來(lái)隨著工業(yè)化發(fā)展水平的不斷提升，工控系統(tǒng)的應(yīng)用領(lǐng)域以及應(yīng)用規(guī)模也在不斷地?cái)U(kuò)大，同時(shí)在面對(duì)網(wǎng)絡(luò)信息化的發(fā)展的大背景，工業(yè)控制的安全等級(jí)也有了一定的提升。然而我們?nèi)匀徊荒芎鲆暰W(wǎng)絡(luò)信息在帶來(lái)便捷的同時(shí)所帶來(lái)的風(fēng)險(xiǎn)。對(duì)現(xiàn)階段的工控系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)的評(píng)估，并選擇科學(xué)合理的方式對(duì)其進(jìn)行預(yù)防和控制。能夠有效提升傳統(tǒng)工控系統(tǒng)的安全級(jí)別，將潛在問(wèn)題及時(shí)發(fā)現(xiàn)并消除。

一、工控系統(tǒng)所面臨的問(wèn)題

（一）應(yīng)用軟件的安全隱患

工業(yè)領(lǐng)域的軟件系統(tǒng)同行是更具有針對(duì)性的，由于其應(yīng)用范圍較窄，所以沒(méi)有及時(shí)地進(jìn)行系統(tǒng)的更新，導(dǎo)致在進(jìn)入到信息更為便捷的今天，對(duì)于一些惡意軟件以及病毒、木馬的防范幾乎為零[1]。而一些安全軟件在對(duì)這些病毒和木馬進(jìn)行識(shí)別時(shí)也會(huì)對(duì)原有的工控軟件和系統(tǒng)產(chǎn)生一定的影響。

（二）管理制度的漏洞

在管理過(guò)程中由于操作人員的自身安全意識(shí)不強(qiáng)，在進(jìn)行設(shè)備操作的過(guò)程中操作不當(dāng)或是隨意接入未經(jīng)殺毒的外接設(shè)備，給工控系統(tǒng)帶來(lái)巨大的隱患。而從企業(yè)角度出發(fā)，企業(yè)在進(jìn)行系統(tǒng)搭建的過(guò)程中將更多地關(guān)注點(diǎn)放在了對(duì)硬件和軟件的選購(gòu)和使用方面，但是在系統(tǒng)建成之后卻缺少對(duì)應(yīng)的安全使用制度及安全意識(shí)的培訓(xùn)。

（三）技術(shù)應(yīng)用的隱患

工業(yè)系統(tǒng)的應(yīng)用主要是由三個(gè)部分構(gòu)成：

1.系統(tǒng)平臺(tái)

工控系統(tǒng)的平臺(tái)由于應(yīng)用的相對(duì)性，所以在安全級(jí)別的設(shè)計(jì)方面本身就存在一定的安全漏洞，這一問(wèn)題會(huì)對(duì)整個(gè)工控系統(tǒng)的引用和部署產(chǎn)生影響，甚至對(duì)整個(gè)企業(yè)內(nèi)部的系統(tǒng)使用和硬件設(shè)備產(chǎn)生破壞。

2.工控系統(tǒng)軟件

在工控系統(tǒng)軟件中難免會(huì)存在安全漏洞，它的存在會(huì)給整個(gè)工控系統(tǒng)帶來(lái)影響和危害。而且在實(shí)際應(yīng)用過(guò)程中由于系統(tǒng)軟件與設(shè)備之間在應(yīng)用中還存在一定的差異性，這就導(dǎo)致在進(jìn)行防范的過(guò)程中無(wú)法采用統(tǒng)一的方式和策略，在后期的安全方案和引用方面也會(huì)增加難度和風(fēng)險(xiǎn)。

3.網(wǎng)絡(luò)協(xié)議

目前工控系統(tǒng)中所使用的幾類網(wǎng)絡(luò)協(xié)議都存在一定的安全漏洞，比如我們最長(zhǎng)用到的Windows系統(tǒng)，在使用過(guò)程中采用了OPC協(xié)議，除了系統(tǒng)自身所存在的安全漏洞之外，在使用該協(xié)議的過(guò)程中會(huì)為了便利性而舍去一定的安全防范措施，在用戶設(shè)置的過(guò)程中會(huì)采用同一組用戶名和密碼[2]。

二、針對(duì)工控系統(tǒng)的安全防護(hù)策略

（一）技術(shù)應(yīng)用

工控系統(tǒng)是通過(guò)一系列的技術(shù)應(yīng)用方式對(duì)工業(yè)生產(chǎn)的過(guò)程中所產(chǎn)生的信息進(jìn)行采集、分析、處理并匯總，從而方便管理人員進(jìn)行科學(xué)合理地控制和調(diào)動(dòng)，使管理更加自動(dòng)化、科學(xué)化。工業(yè)控制系統(tǒng)與其他的系統(tǒng)相比更加獨(dú)立也更具有針對(duì)性。但是目前工控系統(tǒng)所面對(duì)的問(wèn)題主要是來(lái)源于網(wǎng)絡(luò)、設(shè)備在防范方面的脆弱性以及操作過(guò)程中的疏漏。為了抵御這些問(wèn)題，在進(jìn)行工控系統(tǒng)改進(jìn)的過(guò)程中我們將以“縱深防御”為主，進(jìn)行系統(tǒng)化分離的方式來(lái)規(guī)避風(fēng)險(xiǎn)[13]。具體應(yīng)用的過(guò)程中即便系統(tǒng)中，某一個(gè)點(diǎn)位出現(xiàn)網(wǎng)絡(luò)安全問(wèn)題，也不會(huì)影響其他的設(shè)備運(yùn)行。同時(shí)管理人員能夠及時(shí)發(fā)現(xiàn)問(wèn)題并加以處理，確保整個(gè)工控系統(tǒng)地使用安全性。

（二）管理機(jī)制

要確保工控系統(tǒng)的應(yīng)用安全性，除了從軟硬件方面提升其抵御風(fēng)險(xiǎn)的能力之外，還應(yīng)當(dāng)從管理角度出發(fā)，制定對(duì)應(yīng)的安全操作防范流程，避免因人員操作不當(dāng)而產(chǎn)生的風(fēng)險(xiǎn)問(wèn)題。同時(shí)也能夠通過(guò)管理制度的落實(shí)降低漏洞的發(fā)生，減少安全隱患的出現(xiàn)。一般來(lái)說(shuō)對(duì)工控系統(tǒng)進(jìn)行安全管理，同時(shí)會(huì)從技術(shù)與管理兩個(gè)方面入手，安全技術(shù)的引用手段是工控系統(tǒng)的基礎(chǔ)構(gòu)建，而安全管理則是保障整個(gè)基礎(chǔ)構(gòu)建穩(wěn)步運(yùn)行的護(hù)身符。只有將安全管理工作落實(shí)到位，才能夠確保整個(gè)工控系統(tǒng)的穩(wěn)步運(yùn)行。當(dāng)然作為企業(yè)的管理者要做好安全管理工作還需要建立對(duì)應(yīng)的安全工作體系。通過(guò)結(jié)合行政部門、技術(shù)部門等多部門協(xié)作，構(gòu)建出一套更加正規(guī)、完善、完備的系統(tǒng)使用安全流程，作為后期工控系統(tǒng)實(shí)施和應(yīng)用的重要參考。同時(shí)結(jié)合工控系統(tǒng)地使用需求，包括系統(tǒng)使用的連續(xù)性、系統(tǒng)在受到侵?jǐn)_后的恢復(fù)能力以及遇到緊急問(wèn)題的處置機(jī)制等需要交由第三方專業(yè)機(jī)構(gòu)進(jìn)行評(píng)估和核定，對(duì)目前存在的問(wèn)題進(jìn)行檢查，確保方案制定的有效性和系統(tǒng)實(shí)施的可行性。

（三）安全培訓(xùn)

為了進(jìn)一步降低工控系統(tǒng)在使用過(guò)程中所存在的安全隱患，企業(yè)不僅僅需要對(duì)參與操作的工作人員進(jìn)行安全培訓(xùn)和專業(yè)指導(dǎo)，同時(shí)也要對(duì)企業(yè)內(nèi)部所有相關(guān)人員進(jìn)行安全防范工作的培訓(xùn)和意識(shí)建立。從每個(gè)人著手，確保不同人員在操作過(guò)程中都能夠嚴(yán)格依照操作規(guī)范和流程執(zhí)行。如此才能真正做到全員防范的目標(biāo)。當(dāng)然參與培訓(xùn)的安全管理人員以及考核人員的水平也會(huì)決定最終安全防護(hù)的措施使用的有效性，所以對(duì)管理人員進(jìn)行定期的技能培訓(xùn)和提升以及考核也是一項(xiàng)非常重要的工作。相關(guān)管理部門要確認(rèn)好培訓(xùn)對(duì)象的人員和數(shù)量，確保專機(jī)專用，同時(shí)在不同安全工作內(nèi)容下確定技能要求。對(duì)培訓(xùn)內(nèi)容進(jìn)行確認(rèn)，有計(jì)劃、有組織地進(jìn)行定期的培訓(xùn)。在完成培訓(xùn)之后需要針對(duì)性地進(jìn)行考核，通過(guò)考核反饋來(lái)了解考核對(duì)象對(duì)知識(shí)內(nèi)容的掌握情況，方便制定后期的培訓(xùn)計(jì)劃。

三、結(jié)束語(yǔ)

工控系統(tǒng)的應(yīng)用升級(jí)需要我們不斷地投入科技支持，逐步提升工控系統(tǒng)的安全性和穩(wěn)定性。當(dāng)然作為企業(yè)也應(yīng)當(dāng)與時(shí)俱進(jìn)與各大科研院所和高校聯(lián)合交流，進(jìn)行系統(tǒng)研發(fā)，從而有效提升系統(tǒng)應(yīng)用的安全可控性水平。

參考文獻(xiàn)

[1]李曉龍.工業(yè)控制系統(tǒng)信息安全面臨的緊迫問(wèn)題分析[J].自動(dòng)化博覽，2019，36（S2）：76-79.

[2]彭道剛，衛(wèi)濤，姚峻，張凱，夏飛.能源互聯(lián)網(wǎng)環(huán)境下分布式能源站的信息安全防護(hù)[J].中國(guó)電力，2019，52（10）：11-17+25.

[3]盧光明.我國(guó)工控安全現(xiàn)狀及面臨的挑戰(zhàn)[J].網(wǎng)絡(luò)空間安全，2018，9（03）：1-7.