SCADA 系统信息安全技术.docVIP

Technology  技术纵横  文献标识码：B 文章编号：1003-0492(2013)02-0098-03 中图分类号：TP393.08 SCADA系统信息安全技术 The Information Security Technology of the SCADA System 吴亚凤（中国劳动关系学院，北京 100048） 授权人员和系统不被阻止；防止对工业控制系统的非法或有害入 摘要：本文通过对SCADA系统结构的分析和与传统IT系统的对比，总结了 当今SCADA系统在信息安全方面面临的主要风险，提出SCADA系统信息 安全的分层防护理念，并且重点探讨了SCADA内部信息安全保护技术。 关键词：SCADA；信息安全；分层防护 Abstract: This paper analyzes the structure of the SCADA system, and compares the traditional IT systems with the SCADA system. This paper summarizes the main information security risks of the current SCADA systems, proposes the concept of layered protection of the information security of the SCADA system, and focus on SCADA internal information security technology. Key words: SCADA; Information security; Layered protection 1　问题的提出 当今的SCADA(Supervisory Control And Data Acquisition)系统 已经成为电力、石化、市政、管网、交通运输等各个领域的控制 神经中枢，它运行的安全与否直接决定了其被控装置能否正常运 行。而随着2010年10月发生在伊朗核电站的“震网”(Stuxnet)病 毒事件，以往被认为SCADA系统是专用系统难于受外部侵入的观 念被打破，SCADA信息安全问题被推向了有史以来最为严峻的地 步，工信部随后发451号通知，明确提出工业控制系统信息安全面 临的严峻形势，要求加强工业控制系统信息安全管理工作。 在IEC62443中针对工业控制系统对信息安全的定义是[1]：保 护系统所采取的措施；由建立和维护保护系统的措施所得到的系 统状态；能够免于对系统资源的非授权访问和非授权或意外的变 更、破坏或者损失；基于计算机系统的能力，能够保证非授权人 员和系统既无法修改软件及其数据也无法访问系统功能，却保证 侵，或者干扰其正确和计划的操作。 针对SCADA系统的信息安全防范内容就是防止有意或者无 意、非授权的对系统进行访问、修改或者破坏。 2　SCADA系统与IT系统 一个最基本的SCADA系统一般由以下几个部分组成： 数据服务器：它为SCADA系统提供各种数据服务，包 括：实时数据库和实时数据服务、历史数据服务、报警管理服 务、日志服务、用户和授权管理等。 客户监控站：它提供给操作人员一个人机交互的界面 （HMI），使得操作人员在其上完成对现场被控对象的各种监视 和操作任务。 通讯站（前端机）：通讯站是SCADA与现场单元之间的交互 接口，按照其协议不同，又可分为很多种类。 其他站点：包括计算站、WEB服务站、移动接入设备（如手 持终端、便携机、ipad）等。 现场单元：指的是直接与被控物理装置连接的设备单元， 包括但不限于：可编程逻辑控制器（ PLC ）、集散控制系统 （DCS）、远程测控终端（RTU）、智能电子设备（IED）等。 网络：SCADA系统的网络是最为复杂的，一般包括：连接各 个现场设备的现场总线网络，连接数据服务器、通讯站与现场设 备的控制网络，连接SCADA系统的各类服务器、监控站、工程师 站和打印机等节点的系统网络，连接其他站点（如手持终端、便 携机、ipad）的远程接入网络，以及用于连接企业上层管控系统 （如MES、ERP）的管理网络。 在一些比较大型的SCADA系统中，又有分级的概念，如城铁 SCADA系统中分为变电所、车站、控制中心三级。在上一级上可  98  AUTOMATION PANORAMA 2013.2  2期.indd  98  2013-2-28  14:04:48 以监控下一级的全部设备，在上一级系统里有下一级的全部数据 库以及各项服务。 早期的SCADA系统一般是由设备制造商封闭开发的，它有 如下特点：采用专有通讯网络、专有操作系统、甚至专有的操作 站硬件、专