工业控制系统安全浅谈.pdfVIP

工业控制系统安全 摘 要：随着“两化”融合的推进和以太网技术在工业控制系统中的大 量应用，进而引发的病毒和木马对SCADA系统的攻击事件频发，直接 影响公共基础设施的安全，其造成的损失可能非常巨大，甚至不可估 量。2010年10月发生在伊朗核电站的“震网”(Stuxnet)病毒，为工业生产 控制系统安全敲响了警钟。现在，国内外生产企业都把工业控制系统安 全防护建设提上了日程。而在工业控制系统中，工控网络存在着特殊 性，导致商用IT 网络的安全技术无法适应工业控制系统。本文将从工业 控制的角度，分析工业控制系统安全的特殊性，并提出解决工业控制系 统安全的一些建议。 关键词：工业控制；SCADA系统；安全防护 1. 工业控制系统介绍 1.1 工业控制系统 工业控制系统(Industrial Control Systems, ICS)，是由各种自动化控 制组件和实时数据采集、监测的过程控制组件共同构成。其组件包括数 据采集与监控系统(SCADA)、分布式控制系统(DCS)、可编程逻辑控制 器(PLC)、远程终端(RTU)、智能电子设备(IED)，以及确保各组件通信 的接口技术。广泛运用于石油、石化、冶金、电力、燃气、煤矿、烟草 以及市政等领域，用于控制关键生产设备的运行。这些领域中的工业控 制系统一旦遭到破坏，不仅会影响产业经济的持续发展，更会对国家安 全造成巨大的损害。 典型的ICS 控制过程通常由控制回路、HMI、远程诊断与维护工具三 部分组件共同完成，控制回路用以控制逻辑运算，HMI 执行信息交互， 远程诊断与维护工具确保ICS能够稳定持续运行。 1.2 工控网络的发展 现场总线技术作为传统的数据通讯方式广泛地应用在工业控制中。 经过多年的争论和斗争后，现场总线国际标准IEC–61158 放弃了其制 定单一现场总线标准的初衷，最终发布了包括10 种类型总线的国际标 准。因此，各大总线各具特点、不可互相替代的局面得到世界工控界的 认可。多种现场总线协议和标准的共存，意味着在各总线之间实现相互 操作、相互兼容的代价是高昂的，且困难的。 目前控制器甚至远程I/O支持以太网的功能越来越强，在有些控制 器和远程I/O模块中已经集成了Web服务器，从而允许信息层的用户也 可以和控制层的用户一样直接获取控制器和远程I/O模块中的当前状态 值。采用以太网架构和开放的软件系统的制造企业也被称为“数字工 厂” 。此外，通过Internet可以实现对工业生产过程的实时远程监控，将 实时生产数据与ERP系统以及实时的用户需求结合起来，使生产不只是 面向订单的生产，而是直接面向机会和市场的“ 电子制造”，从而使企业 能够适应经济全球化的要求。工控系统开放的同时，也减弱了控制系统 与外界的隔离，工控系统的安全隐患问题 日益严峻。系统中任何一点受 到攻击都有可能导致整个系统的瘫痪。 1.3 工业网络协议 TCP/IP等通用协议与开发标准引入工业控制系统，特别是物联 网、云计算、移动互联网等新兴技术，使得理论上绝对的物理隔离网络 正因为需求和业务模式的改变而不再切实可行。 目前，市场上具有以太网接口和TCP/IP协议的设备很多。以太网 技术的高速发展及它的80%的市场 占有率和现场总线的明显缺陷，促使 工控领域的各大厂商纷纷研发出适合自己工控产品且兼容性强的工业以 太网。其中应用较为广泛的工业以太网之一是德国西门子公司研发的 SIMATIC NET工业以太网；拥有丰富的工业应用经验的施耐德电气公 司，也推出了一系列完整、以TCP/IP 以太网为基础、对用户高度友好 的服务，专门用于工业控制领域。自1979 年以来， Modbus 就已成为 工业领域串行链路协议方面的事实标准，它已经在数以百万计的自动化 设备中作为通信协议得到了应用。由于它的成功应用，互联网社团给 Modbus 协议保留了TCP 502 端口作为专用端口。通过Modbus 消息可 以在TCP/IP 以太网和互联网上交换自动化数据，以及其它各种应用( 文 件交换、网页、电子邮件等等)。 其它知名的工控硬件厂商，也提供了 支持以太网接口的通信协议。如Rockwell支持的EtherNet/IP协议，GE 支持的SRTP TCP/IP、EGD、MODBUS TCP/IP协议，浙大中控、和 利时支持的OPC协议等。如今，在同一个网络上，无需任何接口就可以 有机地融合信息技术与自动化已成为现实。 2. 工业控