工业控制网络纵深防御解决方案概要1.doc

工业控制网络纵深防御解决方案 目 录 1．工业控制网络安全概述 3 1.1本报告编制原则 3 1.2工业控制网络安全概述 3 2．西门子Stuxnet控制系统病毒的新警示 4 3．目前工厂控制系统网络防护分析 5 3.1工厂网络情况概述 5 3.2目前工业控制网络安全存在的问题 5 3.2.1操作系统安全漏洞 5 3.2.2病毒与恶意代码 6 3.2.3拒绝服务攻击-网络风暴 6 3.2.4黑客入侵与应用软件安全漏洞 6 3.3目前的防护措施 7 3.4保证控制网络安全必须达到的两个目标 9 3.5 ANSI/ISA-99区域防护概念解析 9 4．Tofino工业网络安全解决方案 11 4.1 Tofino安全解决方案构成 12 4.2 Tofino安全解决方案达到的目标 13 4.3过程控制系统DCS区域安全分析 14 4.4针对石化企业的Tofino解决方案 15 4.4.1 工业OPC通信防护 15 4.4.1.1方案架构图 17 4.4.1.2 OPC Classic Enforcer防护原理 18 4.4.1.3 Tofino OPC通讯防护配置清单（单个OPC连接） 20 4.4.2 操作站层面防护 21 4.4.2.1方案架构图 22 4.4.2.2 操作站层防护部署及原理 22 4.4.2.3 操作站层通讯防护配置清单（单个防护区域） 23 5．项目费用概算 25 1．工业控制网络安全概述 1.1本报告编制原则 本报告编制依据《中华人民共和国计算机信息系统安全保护条例》《》ANSI/ISA-99控制系统网络安全指引》面向石化企业信息化的特点，结合MES以及现场控制系统的实际应用，针对控制网络安全问题进行分析与阐述，并提供适合企业特点的安全方案。 1.2工业控制网络安全概述 过去十年间，世界范围内的过程控制系统（DCS/PLC/PCS等）及SCADA系统广泛采用信息技术，Windows?, Ethernet? 及 TCP/IP，现场总线技术，OPC等技术的应用使工业设备接口越来越开放，减弱了控制系统及SCADA系统等与外界的隔离。但是，越来越多的案例表明，来自商业网络、因特网以及其它因素导致的网络安全问题正逐渐在控制系统及SCADA系统中扩散，直接影响了工业稳定生产及人身安全。 2003年1月，Slammer蠕虫病毒入侵大量工厂网络，直到防火墙将其截获，人们依然认为系统是安全的。 2005年8月13日美国佳士拿汽车工厂的控制系统通过维修人员的笔记本电脑感染病毒，虽然已安装了IT防火墙，病毒就在几秒钟之内从一个車间感染到另一个車间，从而最终导致停工。 2006年10月一部被感染的笔记本电脑(维修用的),让黑客入侵访问了在美国宾夕法尼亚州的哈里斯堡水处理厂的计算机系统。 2010年10月，肆虐伊朗国内的“超级工厂病毒”Stuxnet病毒已经造成伊朗布什尔核电站推迟发电，并对伊朗国内工业造成大面积影响。 通过专家对大量工业网络安全案例的分析证明，网络攻击频发的原因正在于此——不完善的网络安全设计，配置不当的防火墙以及VPN tunnels、双网卡服务器及网络共享等。 2．西门子Stuxnet控制系统病毒的新警示 Stuxnet是一种计算机蠕虫病毒，通过Windows操作系统此前不为人知的的漏洞感染计算机，同时该病毒针对具有西门子WINCC平台的控制系统以及Step7文件进行攻击，由于该病毒能够修改WINCC平台数据库变量，在Step7程序中插入代码以及功能块，即能够对控制系统发动攻击，故部分专家定义Stuxnet为“超级工厂病毒”。这是目前第一个针对工控系统展开攻击的计算机病毒，目前已经对伊朗国内工业控制系统产生极大影响，Stuxnet可以说是计算机病毒界革命性创新，给我们控制系统网络安全带来新警示。 ◆控制系统网络是可以被攻击 PC+Windows的技术架构现已成为控制系统操作站(HMI)的主流，任何一个版本的Windows自发布以来都在不停的发布漏洞补丁，为保证过程控制系统相对的独立性，现场工程师通常在系统开车后不会对Windows平台打任何补丁，更为重要的是打过补丁的操作系统没有经过制造商测试，存在安全运行风险。但是与之相矛盾的是，系统不打补丁就会存在被攻击的漏洞，即使是普通常见病毒也会遭受感染，可能造成Windows平台乃至控制网络的瘫痪。 3.2.2病毒与恶意代码 基于Windows平台的PC广泛应用，病毒也随之而泛滥。全球范围内，每年都会发生数次大规模的病毒爆发。目前全球已发现数万种病毒，并且还在以每天数十余种的速度增长。这些恶意代码具有更强的传播能力和破坏性。例如蠕虫，从广义定义来说也是一种病毒，但和传统病毒相比最大不同在于自我复制过程。它能够通过端口扫描等操作过程自动和被攻击对象建立连接，