工业控制系统信息安全保护体系研究和探讨.docVIP

工业控制系统信息安全保护体系研究和探讨 　　【 摘 要 】 通过对贵州省某国有企业的工业控制系统开展信息安全风险测评工作，掌握其工业控制系统基本情况，查找突出问题和薄弱环节，分析面临的安全威胁和风险，评估安全防护水平，从该企业的安全现状着手，提出针对性地防范对策和改进措施，促进安全防护能力和水平提升，研究与探讨工业控制系统信息安全保护体系。 　　【 关键词 】 工业控制系统；防火墙；漏洞；信息安全保护体系 　　1 引言 　　本文通过对贵州省某国有企业的工业控制系统开展信息安全风险测评工作，掌握其安全现状，以该企业工业控制系统为例研究与探讨工业控制系统信息安全保护体系。 　　2 企业工业控制系统安全现状 　　目前该企业主要采用浙大中控分布式控制系统（DCS）4套、西门子可编程控制系统（PLC）2套、自主研发数据采集系统1套、就地测控设备（仪表）53台、应用软件国内4套（浙大中控）国外2套（西门子STEP6.5及WinCC2.0）、工程师站7台、操作员站及其它38台。用于生产现场物料计量数据采集的电子秤自动称重系统为自主研发，关键生产流程采用浙大中控DCS系统进行控制，在运行DCS系统共计4套，目前均独立运行。其它一些小型控制系统较多采用西门子PLC系统构建。 　　该企业工业控制系统网络连接采取物理隔离的方式，不与互连网连接；各工业控制系统针对各车间需求独立运行，相互间无连接，分别负责温度、压力、传送与提升的监测与控制。 　　3 存在的主要安全问题 　　该企业的工业控制系统在信息安全管理体系、物理环境安全、技术安全等方面都存在薄弱环节和风险。 　　在信息安全管理体系方面：在管理安全工作中虽有相应制度的建立，但是制度不完善，记录不完整，管理安全风险属于中等。 　　物理环境安全方面：分布式控制系统（DCS）主要安装在各车间控制室，采集数据与控制设备的仪器仪表安置在车间里，控制室对物理环境控制采取了一定措施，但不完善，还缺少相关的环境监测与控制的设备，某些车间物理环境恶劣，对仪器仪表抗腐蚀抗高温的要求高，其物理环境安全风险较高。 　　技术安全方面：存在操作系统的安全漏洞问题、防病毒软件安装及升级更新问题安全策略配置问题.使用移动介质导致的病毒传播问题。设备维修时笔记本电脑的随便接入问题、工业控制系统被有意或无意控制的风险问题、缺乏自动监控系统及未建立相关的监控管理体系。 　　软硬件对国外的依赖程度方面：企业工业控制系统的主要设备与软件都采用国外产品，现缺少国外产品的升级更新服务，系统对国外依赖程度高。 　　其亟待解决的主要问题：对移动存储介质的使用和管理不够完善，控制室的主要设施与物理环境有安全隐患，工业控制系统的操作系统、组态软件未安装补丁程序，存在系统漏洞，有被震网病毒程序攻击的威胁。 　　4 设计基于纵深防御策略的工业控制系统信息安全保护体系 　　针对该企业生产特点并结合工业控制系统的网络结构，基于纵深防御策略，为今后各层间互连设计五个层面的安全防护。 　　（1）企业管理层和数采监控层之间的安全防护。该企业的企业管理层的ERP系统需要与制造执行层的数据采集监控系统相连，直接互连会带来较高的安全风险，需在层间加入防火墙，一方面提升了网络的区域划分，另一方面更重要的是只允许两个网络之间合法的数据交换，阻挡企业管理层对制造执行层的未经授权的非法访问，同时也防止管理层网络的病毒感染扩散到制造执行层网络。 　　（2）制造执行层和工业控制层之间的安全防护。针对该企业的工业以太网应用的是OPC通讯协议，需在制造执行层和工业控制层之间之间安装专业的工业防火墙再加上网闸，解决OPC通讯采用动态端口带来的安全防护瓶颈问题，同时还可保障制造执行层和工业控制层间的单向传输，阻止病毒和任何其它的非法访问，提升网络区域划分能力的同时从本质上保证了网络通讯安全。 　　（3）保护关键控制器。由于常规的IT防火墙和网闸等安全防护产品都不支持工业通讯协议，因此，对该企业工业控制系统中各PLC的保护可采用专业的工业防火墙。一方面对防火墙进行规则组态时只允许制造商专有协议通过，阻挡来自操作员站的任何非法访问；另一方面可以对网络通讯流量进行管控，可以指定只有某个专有操作站才能访问指定的控制器；第三方面也可以管控局部网络的通讯速率，防止控制器遭受网络风暴及其它攻击的影响，从而避免控制器死机。 　　（4）隔离工程师站，保护操作员站。对于网络中存在的工程师站和操作员站，考虑到工程师站和操作员站在项目实施阶段通常需要接入第三方设备（移动介质、数码设备及笔记本电脑等），而且是在整个控制系统运行情况下实施，受到病毒攻击和入侵的概率很大，存在较高的安全隐患。通过在工程师站和操作员站前端部署工业防火墙，可以将工程师站和操作员站单独隔离，防止病毒扩