隔离网关pSafetyLink技术白皮书.doc

北京力控华康科技有限公司 Beijing ForceControl-Huacon Technology Co.,Ltd. 电话：01059835766 力控华康工业网络安全防护网关pSafetyLink技术白皮书 版本号 V 1.0 当前状态 草稿 发布日期 2011-8-8 作者 版权和所有权声明 北京力控华康科技有限公司对本白皮书持有版权并保留一切权利。未经许可，任何人不得以摘录、复印、剪切等手段复制本文档中的文字、图表、数据的部分和全部。否则，本公司将在适当情况下追究相应责任。 pSafetyLink为北京力控华康科技有限公司的注册商标。本白皮书中涉及的其它所有品牌和产品名称均为相关公司的商标或注册商标。 目 录 1. 概述 4 1.1. 工业网络安全形势 4 1.2. 常规网络安全产品的不足 4 2. pSafetyLink产品简介 6 3. 应用环境 6 3.1. 基于OPC的应用 7 3.2. 基于Modbus、DNP3的应用 8 4. 产品架构 8 4.1. 硬件架构 8 4.2. 软件架构 9 5. 主要技术 10 5.1. 安全技术 10 5.1.1. 内核安全技术 10 5.1.2. 网络隔离技术 10 5.1.3. 测点访问控制 10 5.1.4. 身份认证 11 5.2. 可靠性技术 11 5.3. 系统性能 11 6. 主要功能 12 6.1. 开发工具PSL-Config 12 6.2. 监视工具PSL-Monitor 13 6.3. 通信标准 13 7. 硬件平台 13 7.1. 隔离硬件结构 13 7.2. 硬件设计 14 7.3. 硬件优化 14 7.4. 生产流程控制 14 8. 产品规格 14 概述 工业网络安全形势 在现代工业企业的信息系统中，由各种DCS、PLC、测控设备、SCADA构成的过程控制系统位于底层车间，负责完成基本的生产控制。随着企业信息化建设的发展，迫切要求实现过程控制系统与上层管理信息系统之间互通、互联，完成经营管理层与车间执行层的双向信息流交互，使企业对生产情况保证实时反应，消除信息孤岛与断层现象。 为了获取现场的生产信息，许多企业采用拷盘或人力传递的方式传送信息，包括人工抄表，定期上报的方式。人工采集不仅极不方便也无法实时地采集到现场的数据，很难满足当今工业控制行业对生产控制和信息管理方面的要求，因此实现信息网络与控制网络的互通、互联已经是大势所趋。 但信息网络与控制网络实现互联时，如何保证过程控制网络的安全就变成了一个严峻的问题。特别是对于石油、石化、电力、钢铁、煤矿等生产行业，对连续生产的安全性和可靠性有着极高的要求，一旦实现了信息网络与控制网络之间的互联，就相当于将控制网络直接暴露给外网而面临被攻击的可能。 控制网络一旦受到了恶意攻击，感染了病毒、蠕虫，很可能导致整个控制网络瘫痪，网络中的主机崩溃，甚至造成重大安全事故。 另外，互联网攻击者可能会利用一些大型工程自动化软件的安全漏洞获取诸如发电厂、污水处理厂、天然气管道以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想。 因为生产控制网络中的计算机可以控制诸如发电机组、化学反应釜、供水管阀门、烘干设备器材甚至核电站的安全系统等大型工程化设备。黑客一旦控制该系统，就意味着可能利用被感染的控制中心系统切断整个城市的供电系统，恶意污染饮用水甚至是破坏核电站的正常运行。随着近些年来越来越多的工程系统内部网络接入到互联网当中，这种可能就越来越大。 常规网络安全产品的不足 目前工业自动化市场上还鲜有专门针对工业网络安全防护产品。因此自动化用户要么将单个的控制网络封闭起来，彻底与外网断开，同时也断绝了信息共享与交互；要么只能选用常规网安产品，如网络防火墙来解决问题。 但常规网安产品或者由于自身存在的缺陷与不足，不能满足工业网络较高的防护要求，或者因为不是专门针对工业网络设计，难以在工业场合应用。 网络防火墙是目前网络边界上最常用的一种防护设施。提供的主要功能有：包过滤、审核和报警机制、远程管理、NAT、代理、流量控制、统计分析和流量计费等。 防火墙本身虽然具有较强的抗攻击能力，但它是提供信息安全服务、实现网络和信息安全的一种基础设施，用于满足各种通用的网络应用。或者说，防火墙并不是专为工业网络应用设计的产品。因此防火墙在工业网络时存在