船閘自動化控制系統(tǒng)信息安全防護(hù)體系研究

劉相瑩，陳擁軍

（1.北京六方云信息技術(shù)有限公司，北京 100000；2.南京蘇潤科技發(fā)展有限公司，江蘇 南京 210000）

1 前言

船閘作為重要的水上交通樞紐，隨著水運(yùn)經(jīng)濟(jì)的發(fā)展，日益增加的過閘需求和實(shí)際能力推動了船閘自動化控制系統(tǒng)的發(fā)展。借助于先進(jìn)的控制技術(shù)、通信技術(shù)、傳感器技術(shù)以及監(jiān)控技術(shù)，逐步由船閘自動化向自動化船閘、智慧船閘發(fā)展，極大促進(jìn)了航區(qū)和流域水運(yùn)經(jīng)濟(jì)的發(fā)展。

船閘自動化控制系統(tǒng)在帶來效率提升和智能化的同時(shí)，由于數(shù)據(jù)開發(fā)帶來網(wǎng)絡(luò)架構(gòu)的變化、訪問和控制的雙向數(shù)據(jù)交換等需求，相對于傳統(tǒng)的運(yùn)行模式，必然會增加系統(tǒng)的設(shè)備安全和數(shù)據(jù)安全隱患。為了避免例如黑客入侵、勒索、蠕蟲等病毒的干擾，需要保障船閘的自動化控制系統(tǒng)和信息系統(tǒng)的安全符合國家相關(guān)規(guī)定。避免作為關(guān)鍵信息基礎(chǔ)設(shè)施的船閘樞紐作為達(dá)成其目的的攻擊目標(biāo)，導(dǎo)致系統(tǒng)宕機(jī)無法運(yùn)行。近年來，諸如伊朗“震網(wǎng)”病毒事件等工控系統(tǒng)信息安全事件頻繁發(fā)生，造成工業(yè)設(shè)施運(yùn)行異常，甚至造成工業(yè)配方資料失竊、停工停產(chǎn)等嚴(yán)重事故，因此船閘自動化控制系統(tǒng)信息安全防護(hù)體系建設(shè)勢在必行。

2 船閘自動化控制系統(tǒng)概述

2.1 船閘的主體構(gòu)成

船閘在物理建筑上分為上閘首工作閘門、上閘首輸水閥門、閘室、下閘首工作閘門、下閘首輸水閥門等，其主體的平面圖如圖1所示：

圖1 船閘的平面結(jié)構(gòu)圖

2.2 船閘運(yùn)行的控制方式

船閘高效、安全、可靠運(yùn)行，離不開船閘的運(yùn)行控制。目前，船閘運(yùn)行控制分為集中控制和分散控制兩種，集中控制是在監(jiān)控中心實(shí)現(xiàn)的程序運(yùn)行，分散控制是指運(yùn)行人員在上下游閘首操作臺上分別實(shí)現(xiàn)閘閥門的程序運(yùn)行，單向運(yùn)行及閘閥門的單側(cè)點(diǎn)動運(yùn)行。這兩種控制方式都是由船閘自動化控制系統(tǒng)完成的。脫離船閘自動化控制系統(tǒng)的手動應(yīng)急操作（如急停）是在測試和緊急情況下使用。正常過閘流程如圖2。

圖2 正常過閘流程圖

2.3 船閘自動化控制系統(tǒng)組成

船閘自動化控制系統(tǒng)是工業(yè)集中分散控制系統(tǒng)，操作和信息終端較多，集控中心監(jiān)控三級構(gòu)成。其網(wǎng)絡(luò)結(jié)構(gòu)可分為三層：

現(xiàn)場設(shè)備層：主要包括：電機(jī)拖動控制柜、操作臺、液壓泵站、以及外圍傳感器（水位計(jì)、閘/閥門開度儀、限位開關(guān)），以及其他輔助設(shè)備如交通燈、廣播和照明系統(tǒng)等。

現(xiàn)地控制層：主要包括：可編程控制器核心器件、計(jì)算機(jī)設(shè)備、工業(yè)交換機(jī)等?，F(xiàn)地控制層功能實(shí)現(xiàn)船閘就近控制，及時(shí)處理船閘運(yùn)行工況，同時(shí)還具備緊急突發(fā)情況下的應(yīng)急保障功能，還具備停航期間船閘的養(yǎng)護(hù)和維修功能。以確保船閘運(yùn)行安全暢通。

集中監(jiān)控層：包括由數(shù)據(jù)庫服務(wù)器、船閘中心工程師站、操作員站、集控操作臺、大屏幕顯示系統(tǒng)、網(wǎng)絡(luò)設(shè)備及打印機(jī)等組成。主要實(shí)現(xiàn)船閘正常運(yùn)行的“少人值守、高效過閘”的功能。同時(shí)具備對船閘運(yùn)行工況、設(shè)備狀態(tài)管理、巡察巡檢等數(shù)據(jù)統(tǒng)計(jì)分析并上傳至上一級管理單位。并對上一級管理單位發(fā)出的數(shù)據(jù)采集需求和遠(yuǎn)程控制需求給予準(zhǔn)確及時(shí)響應(yīng)。

3 船閘自動化控制系統(tǒng)信息安全風(fēng)險(xiǎn)

（1）系統(tǒng)網(wǎng)絡(luò)邊界缺乏控制隔離機(jī)制。船閘與樞紐管理處之間缺乏有效的隔離措施，，一旦有網(wǎng)絡(luò)攻擊，不能有效的阻斷和隔離，將難以遏制網(wǎng)絡(luò)攻擊擴(kuò)散造成嚴(yán)重的影響。

（2）數(shù)據(jù)傳輸缺少加密認(rèn)證措施。船閘的數(shù)據(jù)通過專線傳輸?shù)綐屑~管理處，在這個過程中存在網(wǎng)絡(luò)傳輸數(shù)據(jù)被竊聽和篡改的風(fēng)險(xiǎn)，應(yīng)采用安全可靠的加密算法對數(shù)據(jù)傳輸過程進(jìn)行密碼化處理。

（3）控制系統(tǒng)嚴(yán)重漏洞難以及時(shí)處理。由于目前市面上可編程控制器多是進(jìn)口品牌，存在安全隱患，容易被黑客利用，形成遠(yuǎn)程攻擊，同時(shí)面臨硬件版本和編程軟件難以在線升級、相關(guān)漏洞發(fā)布周期長等問題，難以及時(shí)處理威脅嚴(yán)重的漏洞。

（4）病毒與入侵行為防護(hù)能力不足。為了保證控制系統(tǒng)的可用性，操作員站、數(shù)據(jù)服務(wù)器等計(jì)算機(jī)終端設(shè)備未進(jìn)行安全防護(hù)，對U 盤等輸入存儲設(shè)備未進(jìn)行管理。病毒庫長期得不到更新，而且殺毒軟件對新病毒的處理總是滯后的，有時(shí)也會造成軟件誤殺。

（5）缺乏安全意識和數(shù)據(jù)安全等行為審計(jì)能力。相關(guān)操作人員未經(jīng)過相關(guān)安全教育和培訓(xùn)，導(dǎo)致發(fā)生錯誤操作，給自動化控制系統(tǒng)留下安全隱患。同時(shí)自動化控制系統(tǒng)在相對封閉網(wǎng)絡(luò)架構(gòu)下，空余網(wǎng)絡(luò)端口、未經(jīng)許可的輸入設(shè)備等接入給管理帶來非常大的困擾。另外，對系統(tǒng)中的數(shù)據(jù)存儲和轉(zhuǎn)發(fā)做不到可追溯，也是系統(tǒng)的主要安全風(fēng)險(xiǎn)之一。

（6）非常時(shí)期運(yùn)行維護(hù)的安全風(fēng)險(xiǎn)?？刂葡到y(tǒng)的網(wǎng)絡(luò)設(shè)備在硬件和軟件的安全性防護(hù)水平不一，需要第三方定期維護(hù)控制系統(tǒng)采用的控制器和設(shè)備的種類繁多，外來廠商人員的定期運(yùn)行維護(hù)成為一個潛在的安全風(fēng)險(xiǎn)點(diǎn)。雖然從管理上保障運(yùn)維過程的可管理，但是在沒有有效技術(shù)手段支撐的情況，本地管理人員很難監(jiān)測到外部人員的越權(quán)操作或者故意改變運(yùn)行邏輯的行為，在出現(xiàn)問題時(shí)，也很難追蹤定位。

（7）移動介質(zhì)缺乏有效管控。日常運(yùn)維工作中存在使用移動介質(zhì)拷貝數(shù)據(jù)及文件的操作。文件拷貝的介質(zhì)無法做到專盤專用。從已經(jīng)發(fā)生的安全事件看，移動介質(zhì)是一個重要的傳播惡意代碼到控制系統(tǒng)環(huán)境的路徑。

（8）控制系統(tǒng)安全制度不完善，缺乏安全意識。船閘針對業(yè)務(wù)系統(tǒng)制定了完善的管理制度、管理流程，但未制訂自動化控制系統(tǒng)的網(wǎng)絡(luò)安全和數(shù)據(jù)安全的相關(guān)操作流程、權(quán)限和制度，未形成有針對性的的安全管理制度體系。未對相關(guān)工作人員定期培訓(xùn)和持證上崗，導(dǎo)致人員安全意識薄弱成為導(dǎo)致安全風(fēng)險(xiǎn)的重要因素。

4 船閘自動化控制系統(tǒng)信息安全防護(hù)體系

船閘自動化控制系統(tǒng)信息安全防護(hù)設(shè)計(jì)在遵循船閘業(yè)務(wù)特點(diǎn)的前提下，力求滿足工控系統(tǒng)等保2.0 的安全要求，結(jié)合六方云在船閘自動化控制系統(tǒng)信息安全防護(hù)項(xiàng)目實(shí)踐，從“邊界防護(hù)、傳輸加密、本體保護(hù)、入侵檢測、行為審計(jì)、安全管控”等6 個方面進(jìn)行落地，從而實(shí)現(xiàn)“異常行為可監(jiān)測、安全威脅可防御、安全價(jià)值可呈現(xiàn)”。

4.1 邊界防護(hù)

在船閘監(jiān)控調(diào)度中心數(shù)據(jù)出口部署工業(yè)防火墻，采用邏輯隔離措施，實(shí)現(xiàn)邏輯隔離、報(bào)文過濾、訪問控制等功能，阻止網(wǎng)絡(luò)攻擊跨邊界擴(kuò)散滲透，有效保護(hù)自動化控制系統(tǒng)的安全。同時(shí)基于工業(yè)協(xié)議及操作行為白名單防護(hù)技術(shù)，建立工業(yè)協(xié)議及操作行為安全基線，阻止一切不可信的數(shù)據(jù)和操作行為，最大程度的防范已知與未知威脅。

4.2 傳輸加密

在樞紐管理處端同步部署工業(yè)防火墻，基于六方云工業(yè)防火墻IPSec 協(xié)議的VPN 技術(shù)，支持ESP 和AH協(xié)議，加密算法支持3DES、DES、AES，驗(yàn)證算法支持MD5、SHA1、SHA256，建立船閘到樞紐管理處之間的虛擬加密通道，有效保護(hù)船閘數(shù)據(jù)傳輸過程中的完整性及保密性需要，防止第三方設(shè)備非法入侵。

4.3 本體保護(hù)

（1）控制系統(tǒng)軟件保護(hù)?？刂葡到y(tǒng)對可用性、實(shí)時(shí)性要求較高，需部署通過國家有關(guān)機(jī)構(gòu)的安全檢測認(rèn)證的終端白名單防護(hù)軟件，基于應(yīng)用程序、網(wǎng)絡(luò)和操作行為白名單技術(shù),防范惡意軟件或惡意代碼的植入，同時(shí)使工作站主機(jī)免受病毒等各種非法攻擊，可以有效管控主機(jī)的USB 等外部端口。

（2）控制單元（PLC）保護(hù)。控制單元（PLC）作為船閘自動化控制系統(tǒng)最核心的設(shè)備，需要重點(diǎn)保護(hù)。結(jié)合控制單元（PLC）部署環(huán)境相對惡劣的特點(diǎn)，部署具有六方云網(wǎng)絡(luò)防護(hù)設(shè)備新型外觀專利的工業(yè)防火墻，具有工業(yè)級芯片和電子元器件、無風(fēng)扇、支持工業(yè)寬溫的一體化設(shè)計(jì)，基于工業(yè)協(xié)議如ModbusTCP/IP、Profinet 等的識別和深度解析，進(jìn)行指令級的細(xì)粒度管控。

（3）入侵檢測。在匯聚交換機(jī)旁路部署入侵檢測系統(tǒng)，采用六方云通信數(shù)據(jù)檢測方法專利技術(shù)，合理設(shè)置檢測規(guī)則，及時(shí)捕獲網(wǎng)絡(luò)異常行為、分析潛在威脅，及時(shí)發(fā)現(xiàn)、報(bào)告并處理包括病毒木馬、端口掃描、暴力破解、異常流量、協(xié)議包偽造等網(wǎng)絡(luò)攻擊或異常行為。

4.4 行為審計(jì)

在匯聚交換機(jī)旁路部署控制網(wǎng)絡(luò)審計(jì)系統(tǒng)，基于對工業(yè)協(xié)議深度解析與操作行為的安全審計(jì)，實(shí)時(shí)檢測控制系統(tǒng)中的未經(jīng)許可的IP 端口、未經(jīng)許可的設(shè)備、未經(jīng)許可人員的操作以及異常數(shù)據(jù)傳輸進(jìn)行記錄并實(shí)時(shí)報(bào)警，包括對系統(tǒng)一定時(shí)期內(nèi)符合標(biāo)準(zhǔn)工業(yè)協(xié)議的通信行為提供歷史記錄，保證可追溯性，為船閘自動化控制系統(tǒng)的安全調(diào)查提供依據(jù)。

4.5 安全管控

構(gòu)建安全管理中心，對部署的安全技術(shù)設(shè)備進(jìn)行集中管控，將分散的、孤立的安全設(shè)施整合成一個有機(jī)的整體，能夠協(xié)同工作，更好的發(fā)現(xiàn)問題、解決問題，從而實(shí)現(xiàn)安全管理的可持續(xù)運(yùn)營，提高安全防護(hù)體系的運(yùn)維效率。

圖3 船閘自動化控制系統(tǒng)安全防護(hù)體系示意圖

5 船閘自動化控制系統(tǒng)信息安全防護(hù)發(fā)展方向

隨著傳統(tǒng)水運(yùn)日趨數(shù)字化、網(wǎng)聯(lián)化，并且有物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能技術(shù)等新技術(shù)加持，未來船閘將更智慧。船閘自動化控制系統(tǒng)必將應(yīng)用工業(yè)互聯(lián)網(wǎng)等先進(jìn)技術(shù)，推動數(shù)字化轉(zhuǎn)型，促使自動化控制系統(tǒng)與調(diào)度系統(tǒng)、安防系統(tǒng)、廣播系統(tǒng)、地理信息系統(tǒng)（GIS）、航道監(jiān)管系統(tǒng)的深度融合，真正使船閘做到信息集中、資源共享、統(tǒng)一管理，航道管理更智能、更高效。系統(tǒng)的互連互通，數(shù)據(jù)共享，其面臨的安全風(fēng)險(xiǎn)將更復(fù)雜多樣?；谶@樣的現(xiàn)狀，未來船閘自動化控制系統(tǒng)信息安全防護(hù)可從以下幾個方面持續(xù)推進(jìn)：

（1）應(yīng)用態(tài)勢感知、AI 人工智能高級威脅檢測等新技術(shù)，構(gòu)建主動防御體系。隨著船閘控制系統(tǒng)信息安全防護(hù)體系的建立，以應(yīng)用環(huán)境的安全大數(shù)據(jù)為基礎(chǔ)，以控制與管理系統(tǒng)可用性、安全性監(jiān)控為主線，通過將多種安全數(shù)據(jù)、信息和情報(bào)進(jìn)行統(tǒng)一收集，由專業(yè)人員進(jìn)行分析、解釋、顯示和處置，主動、及時(shí)地發(fā)現(xiàn)安全問題，并調(diào)度資源解決問題，形成船閘的主動式信息安全防護(hù)新局面。

（2）提升控制系統(tǒng)數(shù)據(jù)安全保護(hù)能力，防范數(shù)據(jù)攻擊；采取數(shù)據(jù)融合等相關(guān)技術(shù)，提升數(shù)據(jù)融合處理和智能處理能力。

（3）強(qiáng)化安全運(yùn)維管理，加強(qiáng)對環(huán)境、資產(chǎn)、介質(zhì)、設(shè)備維護(hù)、配置等方面的管理，制定應(yīng)急預(yù)案并定期開展應(yīng)急演練，提高安全防護(hù)意識和應(yīng)急處理能力。

（4）加強(qiáng)控制網(wǎng)絡(luò)安全教育培訓(xùn)和人才培養(yǎng)，建立既具備信息安全技術(shù)能力，能夠正確的使用、配置、維護(hù)常規(guī)的安全設(shè)備，又具有自動化控制系統(tǒng)理論知識、實(shí)操能力、運(yùn)維能力的復(fù)合型人才隊(duì)伍。

6 結(jié)語

本文通過對船閘自動化控制系統(tǒng)的組成及現(xiàn)狀分析，指出其現(xiàn)階段面臨的信息安全風(fēng)險(xiǎn)，并根據(jù)這些風(fēng)險(xiǎn)和政策合規(guī)性要求，研究并提出了可行的信息安全防護(hù)思路，介紹了現(xiàn)階段的安全防護(hù)措施及技術(shù)，從技術(shù)角度構(gòu)建一套行之有效的信息安全防護(hù)體系，在實(shí)現(xiàn)OT 與IT 兩網(wǎng)融合的同時(shí)，確保系統(tǒng)網(wǎng)絡(luò)和數(shù)據(jù)的安全性。當(dāng)然，由于船閘自動化控制系統(tǒng)需面向未來智慧船閘的發(fā)展需要，很多信息安全防護(hù)手段還處在探索階段，還有待在以后的工作實(shí)踐中不斷總結(jié)和研究。