车间工控系统的网络安全防护措施

◆杨 冰 周玉前 谢 超

车间工控系统的网络安全防护措施

◆杨 冰 周玉前 谢 超

（上海航天精密机械研究所 上海 201600）

工控系统网络安全是企业工控系统建设的重要基础，工控系统安全漏洞会严重制约企业信息化发展。本文通过研究工控系统网络安全面临的威胁，阐述工控系统的网络安全要求，并提出针对车间生产环境下具体的、全面的工控系统网络安全防护措施。

工控系统；网络安全；防护

随着信息化和工业化的高速发展，计算机网络技术越来越多地被应用到工业控制系统（简称公开系统）中，工控系统从“信息孤岛”向网络化、集成化模式发展已成必然的趋势，在推动了工业化进程的同时，也带来了工业控制系统的网络安全问题。工业控制系统安全不仅是一个技术问题，更是一个管理问题，美国ICS-CERT报告显示，出现工控安全事件排在前三位的行业分布是：能源、关键制造业、交通，可以说，加强工控系统网络安全防护是工控系统建设的重要基础。

本文以生产车间工控系统安全防范作为切入点，详细阐述如何提高生产车间工控系统的网络安全。

1 工控系统网络安全形势分析

目前越来越多的工控系统暴露于互联网上，导致针对关键设施工控系统的安全漏洞快速增长，严重地制约了企业信息化和智能化的发展进程，而且国内工控系统在信息系统安全相关领域研究相对滞后，各方面设施刚刚起步，对于工控系统攻击事件的应对能力有限，对漏洞风险的研究不够全面，缺乏完善的网络安全防范措施。工控系统安全问题的包括关键基础设施安全、系统计算环境安全和工业网络安全。

尤其是军工企业，在面对市场化竞争的压力下，研究工控系统安全体系架构，可以从根本上解决工控系统缺乏安全性设计的先天缺陷并保证系统的本质安全。

2 工控系统的信息安全要求

工控系统已经不再是发展之初那种相对封闭和独立的系统了，其于传统IT信息安全的区别主要包含以下几点：

2.1 入侵攻击方式多样化

工控系统结构相对固定、形式多样化，但是接入的信息设备多、网络通信方式多样化。

2.2 有组织的攻击

入侵工控系统的漏洞多是高级漏洞，防范难度大，具有较大的破坏性，这类组织多是有详细的策划和科学的分工，攻击形式更加专业化BM算法的移动距离为好后缀机制和坏字符机制的最大值。

2.3 安全优先级

传统IT信息安全将保密性放在首位，防止信息盗取，而工控系统首要考虑的是系统部件的可用性，因为这直接影响到企业生产效益。

传统信息安全的系统更新频率和软件补丁方式不再适用于工控系统，在工业应用环境下，停机更新系统的成本很高。因此，需要应用一系列的网络安全防范措施来保护工控系统。

3 车间生产工控系统防护方案

根据场所实际情况，本文针对性地提出车间工业控制网络安全防护方案，如图1所示车间工控网络架构示意图。

该生产车间工业控制网络主要部署DNC服务器、MDC服务器以及生产数据备份服务器，并采用接入控制、服务器主机审计、非法外联、病毒木马防护、工控防火墙、工控安全审计系统、工控安全管理平台、工控风险智能感知系统、工控主机防护系统等技术手段对工控网进行安全防护。

图1 车间工控网络架构示意图

3.1 安全区划分

该工控网络按照功能和重要性等因素不同，划分为4个安全区，分别为数控加工区、计量测试区、工控服务器区以及安全管理区等4个安全区。

（1）数控加工区

数控加工区涵盖各个部门厂房内的数控机床。

（2）测试设备区

测试设备涵盖静力试验、拉伸试验、硬度试验、冲击试验、线缆测试、电阻测试、化学分析试验、无损检测、低差压铸造、热处理、焊接系统等多种类型的工控设备及其上位机。

（3）工控服务器区

在组网设计时，考虑到应用服务的安全，把应用服务器、数据服务器等集中部署在工控服务器区中，集中统一管理。

在安全管理区集中部署安全系统设备以及安全运维终端，感知工业控制网络安全防护系统设备的运行状态，收集、存储与分析安全告警事件，并结合自动生成的组网拓扑结构，进行安全事件关联分析与统一处置，提高安全管理的时效性与统一性，实现工控网安全的风险感知与集中管理功能。

其中，工控安全管理平台负责对工控安全监测与审计系统、工控防火墙等安全设备进行统一配置隔离。工控风险智能感知系统通过终端探测器主动感知工业控制网内存在的安全风险，配合安全管理平台实现安全风险的有效管控。

在安全管理区部署工控漏洞发现与挖掘系统，在工控系统设备采购上线前，对工控安全系统采购上线前，对工控网络中运行的系统与控制器，在检修与离线状态下，可通过工控漏洞挖掘系统对被检测设备进行安全漏洞检查，不仅可实时发现存在的已知漏洞，还可对未知漏洞进行挖掘，以找到系统存在的安全漏洞风险，为后续加固提供数据支撑。

3.2 网络边界防护

在工控网络边界部署1台防火墙进行边界隔离与防护，设置采用双向最小授权策略设置访问规则。限制工艺设计人员、工艺管理人员、车间操作人员的用户终端以及安全隔离与信息单向导入系统对工控业务系统服务器的非授权访问，严格设置源IP地址、目的IP地址、通信端口和通信协议等白名单策略；严格限制工控网络中各类终端和服务器对安全隔离与单向导入系统中的采集服务器的非授权访问。

3.3 区域访问控制

在工控网络核心交换机下方部署一台工控防火墙，集中管控数控机床和工控设备，设置通用访问策略，尽量控制最小授权访问，并采用白名单机制。

工控安全管理区和工控服务器区内的设备采用交换机划分到不同的VLAN中，同时在交换机上设置访问控制策略限制服务器VLAN之间的访问；工业生产区的数控机床、工业控制设备按照设备类型、功能特点划分为不同的VLAN，通过三层路由交换机访问控制列表限定各个车间/测试间的设备VLAN只能访问指定的工控业务系统服务器，除非白名单策略允许，一般禁止各个车间/测试间的工控设备VLAN之间相互访问。

数控加工区设置在同一虚拟局域网中，统一接入到汇聚交换机，然后在工控防火墙上划分专门安全域，设置IP地址、端口以及nc文件等白名单策略对数控机床进行集中防护。

3.就业市场不规范，存在着不公平现象。近年来，随着贫富差距加大的趋势日趋严重，“拼爹”现象越来越盛行，人们普遍感到改变命运的渠道越来越窄，这一现象导致了许多平凡家庭出身和贫困家庭出身的大学毕业生在找工作时受到不公平的对待，是否是城乡性质的户口对毕业生的就业有着很大影响。蓝皮书中数据显示，截止 2013 年 9 月底， 来自城市家庭的本科毕业生的就业率是87.7%，而来自农村家庭的本科毕业生的就业率则只有 69.5%。

测试设备区内，工控设备上位机的上行通信数据以各类型文件为主，下行通信主要为小流量的结构化数据，工控设备统一接入到汇聚交换机，然后在工控防火墙上划分工控设备安全域，在安全域内针对上下行数据的各自特征，设置对应的安全防护策略。

3.4 边界病毒防护

在企业内网与工业控制网络之间部署安全隔离与信息单向导入系统，安全隔离与信息单向导入系统集成了专业的第三方病毒查杀软件，实现了对跨域病毒、木马等恶意代码的防护。

对于包含病毒、木马的数据，安全隔离与信息单向导入系统会立即终止数据的单向同步，并清除病毒文件、进行日志告警。

安全隔离与信息单向导入系统的防病毒软件病毒库由系统管理员进行定期升级，同时保证能够对数据包的实时监控，防止病毒或恶意代码通过网络在企业内网、工业控制网络之间进行传播。

3.5 安全综合审计

在工控网核心交换机旁路部署1台工控安全审计系统，基于工业协议的深度解析，利用白名单与人工智能学习技术，基于集成的工业漏洞库，实现对工业网络中的各种应用行为、内容进行合规性检查与审计，同时也可细粒度地对违规操作、非法访问、各种入侵行为进行实时发现、审计与告警，配合工控防火墙的部署安全策略调整，实现对工业控制网络的安全防护。

在3个安全分区汇聚交换机分别旁路部署1台工控安全审计系统，详细记录过程控制系统和HMI对现场控制设备的操作过程，快速识别出处系统存在的非法操作、异常事件、外部攻击并实时告警，并且为安全防御提供策略建议。

3.6 工控安全设备管理

在安全管理区部署工控安全管理平台，用于统一管理、监管、保护工业控制网络安全的硬件平台产品。工控防火墙、工控安全审计系统等均直接纳入到安全监管平台中进行统一管理，实现统一策略配置管理等。

4 风险管理

在安全管理区部署工控风险职能感知系统管理平台实现全网攻击路径分析、网络结构安全性分析、网络行为分析、业务流程安全性分析、安全漏洞匹配，对用户工业控制网络执行全面安全分析，提供风险评估报告。

5 网络设备安全防护

为了防止数据在传输过程中发生泄漏或者被非法获取，数控接入部分的网络交换机采取以下安全防护措施：

5.1 设备安全

数控接入部分的网络交换机放置在数控车间的机柜中，数控车间有视频监控系统，机柜带有机械锁，要是由系统管理员保管。

5.2 身份鉴别

为交换机设置远程和本地登录设置符合要求的口令，口令设置大于等于10位，大小写字母、数字和特殊字符两者以上的组合。

远程和本地登录口令采用加密存储措施；闲置操作时间超过5分钟，断开连接。

5.3 设备接入控制

采用设备接入控制系统；同时将交换机端口与工控网络的MAC地址进行绑定，未使用的交换接口均采取逻辑关闭、物理断开等安全控制措施。

5.4 访问控制

将工控网络单独划分VLAN，并设置访问控制策略，限制各个工控网络VLAN只允许访问与自身业务关联的工控服务器，禁止对其他VLAN访问。

5.5 安全审计

为数控加工区域的网络交换机设置日志服务器，定期对交换机日志进行审计。

6 结束语

工控系统安全是关系企业战略发展的重大问题，在当前新形势下，如何建设工控系统，防护来自内部以及外部的恶意攻击等安全威胁，是网络信息安全领域面临的重大挑战，本文在详细分析了工控系统安全风险的基础上，从管理和技术两方面，提出了全面、详细的生产车间工控系统安全防护的具体实施方案。该方案可以有效提高制造型企业的工控系统安全，为企业建设工控安全体系提供有益参考。

[1]王文宇，刘玉红.工控系统安全威胁分析及防护研究[J].信息安全与通信保密，2012（2）：33-35.

[2]李佳玮，郝悍勇，李宁辉.工业控制系统信息安全防护[J].中国电力，2015，48（10）：139-143.

[3]张剑.工业控制系统网络安全[M].成都：电子科技大学出版社，2017：88-89．

[4]刘威，李冬，孙波.工业控制系统安全分析[J].信息网络安全，2012（08）：41-43.

[5]王孝良，崔保红，李思其，等.关于工控系统信息安全的思考与建议[J].信息网络安全，2012，18（11）：11-17.

[6]马颜军，张宇.大数据时代下的信息安全[J].网络安全技术与应用，2014（12）：140-144.