轨道交通制造企业的工业控制系统信息安全问题及对策.pdfVIP

行业声音 32 · 自动化博览·工业控制系统信息安全专刊 轨道交通制造企业的工业 控制系统信息安全问题及对策 1　引言 中车戚墅堰机车有限公司（以下简称戚墅堰公司或 公司）是一家典型的轨道交通制造企业，主营内燃机车 新造及修理业务。作为国家重要的轨道交通装备制造企 业，戚墅堰公司承担着国家内燃机车的制造任务，为自 身创造利润，也为国家的内燃机车走向世界付出努力。 在不断优化生产结构，提高生产力的同时，戚墅堰公司 开展了两化深度融合、智能制造工作，引进了一大批国 内外先进的数控设备和技术，如德国西门子的数控车 床、数控磨床，日本马扎克的数控加工中心等。公司发 现企业管理网与工业控制网之间的数据交互越来越多， 管理网与工业控制网之间完全隔离已不再可能；国外厂 商对数控设备的远程和现场运维存在着数据泄露的安全 隐患；传统IT系统面临的信息安全问题，正在不断延伸 到工业控制系统中。此外，2010年“震网”病毒入侵 伊朗核电站、2011年大庆石化炼油厂装置控制系统感 染Conficker病毒、2015年乌克兰电网遭到攻击等国内 外的一系列工业控制系统信息安全事件也给公司敲响了 警钟。基于此，戚墅堰公司针对企业自身特点，对工业 控制系统信息安全问题进行了识别和分析并制定了相应 的对策。 2　工业控制系统信息安全问题和风险 分析 工业控制系统是由各种自动化控制组件和实时数 据采集、监测的过程控制组件共同构成。其组件包括数 ★杜兰 中车戚墅堰机车有限公司 据采集与监控系统、分布式控制系统、可编程逻辑控制 器、远程终端、智能电子设备，以及确保各组件通信的 接口技术。工业控制系统与传统IT系统的环境和应用场 景存在着许多不同，例如，工业控制系统资源有限，与 物理世界存在交互关系，对稳定性、可用性和实时性要 求极高，生命周期长等。这些都导致企业无法将成熟的 IT信息安全技术直接应用于工业控制系统的信息安全保 护。工业控制系统信息安全问题主要有： （1）智能制造带来的安全风险问题。开展智能制 造的工作过程中通常需要进行生产过程的实时数据采集 和系统控制，企业会通过逻辑隔离的方式实现工业控制 系统与企业管理系统之间的连接和数据交换，有时系统 间还需要集成。企业管理网和工业控制网之间、工业控 制网络区域间如果没有进行有效的分区、隔离、异常监 测、访问控制等防护措施，很容易造成一点发生病毒或 攻击，影响全部车间甚至整个企业网络。 （2）设备维修时笔记本电脑接入问题。工业控制 系统进行运行维护时经常会接入笔记本电脑，没有达到 一定安全基线的笔记本接入工业控制系统后会有很大的 安全隐患。第三方人员（尤其是国外人员）在运维高精 类机床等数控设备时可能会造成重要数据信息的泄露， 对企业甚至是国家造成巨大损失。并且，相关人员的操 作没有进行审计记录，一旦发生安全事件后很难取证。 （3）使用U盘、光盘导致病毒传播问题。工控系 统中的管理终端一般都没有技术措施进行外设的有效 管理，U盘和光盘的无序使用会引发数控等设备被感染 病毒或恶意代码，进而严重影响生产的产量、质量及 效率。 Inside Industry 自动化博览·工业控制系统信息安全专刊 · 33 （4）操作系统的安全漏洞问题。目前大多数工业 控制系统的工程师站、操作站、HMI都是Windows操 作系统，考虑到工控软件与操作系统补丁的兼容性问 题，工控系统开车后基本上不会对操作系统安装任何补 丁，操作系统存在的漏洞不能及时弥补，容易被攻击。 （5）杀毒软件安装及升级更新问题。为了保证工 控软件的可用性，许多工控系统操作站通常不会安装杀 毒软件。即使安装了杀毒软件，在使用过程中也基本不 会进行更新，因为有些更新可能会违反控制系统的设定 规则，造成控制系统无法正常运行。所以，工业控制系 统抵御外界攻击的能力较弱。 （6）通讯协议漏洞问题。OPC协议在工业控制系 统中广泛使用，而OPC协议是基于微软的DCOM协议， DCOM协议是在网络安全问题被广泛认识之前设计的， 极易受到攻击。另外，OPC协议通讯采用不固定的端口 号，导致目前几乎无法使用传统的IT防火墙来确保其安 全性。 （7）工业无线网络的安全风险问题。无线网络在 工业现场大量使用，黑客可以通过无线网络进行入侵， 进而从生产控制服务器窃取资料，甚至可以通过生产控 制系统入侵到企业管理系统进而窃取商业秘密数据。 3　工业控制系统信息安全问题对策 针对工业控制系统存在的安全问题和风险，戚墅堰公 司采取了积极的应对措施，对工业控制网络进行安全区域 划分，对工业控制系统进行安全防护，目标是建立起企业 的工业控制系统信息安全保障体系（如图1所示），减少 企业的信息安全事件，保障商业秘密不外泄。 图1 戚墅堰公司工业控制系统信息安全保障体系 3.1　工业控制网