炼化企业MES系统实时数据采集安全方案分析.docxVIP

PAGE 1 PAGE 1 炼化企业MES系统实时数据采集安全方案分析  该文以Honeywell公司MES系统在石化企业的实施应用为背景，针对两网融合给掌握网带来的安全威逼，论文从当前的MES业务应用和信息技术发呈现状动身，分析了MES系统实时数据采集中的安全需求以及当前典型的安全防护产品，提出了石化企业MES系统实时数据采集的安全方案。  1研究背景  随着生产执行系统（简称MES）在我国炼油与化工企业的实施应用，大部分石化企业逐步实现了数据采集自动化、操作日志电子化、生产管理精细化、绩效考核标准化等目标，MES系统渐渐成为炼化企业生产运行不可或缺的信息平台，深受广阔生产管理人员的欢迎。另一方，MES系统的实施推进了管理网与生产网的两网融合，企业网络应用的范围不断扩大，网络越来越开放，安全问题也日加突出和严峻，各种安全问题诸如病毒攻击、网络入侵和数据泄露等已广泛引起各国政府和企业管理层的高度重视，尤其对对生产掌握系统的安全构成了重大威逼。  2011年9月，工信部下发了045号文件《关于加强工业掌握系统信息安全管理的通知》，明确要求工业掌握系统与公共网络连接时，必需设置防火墙、单向隔离等措施，确保系统自身安全，避免对工业生产带来重大损失。  2现状分析  2.1安全隐患突出  随着信息化的不断发展，基于PC架构的计算机应用越来越普及，Windows平台也广泛应用；MES系统管理实时数据的实时数据库、实时数据采集服务器（BUFFER机）、OPCServer机、DCS系统等均为Windows平台，这些平台相互之间存在TCP/IP协议的双向数据通讯，给病毒攻击带来了可能。  Honeywell公司MES中PHD的Buffer-Shadow架构体系（如图1）导致Buffer机必需开放1521、3100等网络通讯端口。尽管管理网与生产网之间有防火墙等网络安全设备，但由于通讯端口的开放，Buffer机也存在感染计算机病毒的可能。  OPCServer与Buffer通讯使用Microsoft的DCOM协议，OPCServer机须开放135远程访问端口（病毒经常攻击的端口）；在Buffer机中毒的状况下，OPCServer机（工程师站）很简单被病毒攻击，从而导致工业掌握系统（DCS等）反应滞后或死机，甚至感染病毒，给生产带来安全隐患。 图1MES系统BufferShadow结构图 这样的安全事故特别多。2010年9月伊朗的布什尔核电站受到针对工业掌握系统编写的破坏性Stuxnet震网病毒攻击，Stuxnet利用对Windows系统和西门子自动掌握系统的默认密码，绕过漏洞程序进行攻击。2011年11月黑客通过一台位于俄罗斯的电脑入侵了美国伊利诺伊州斯普林菲尔德市（Springfield）的公共供水网络系统，毁掉了一个向数千户家庭供水的水泵。  2.2主流的安全防护技术  目前，网络安全技术、入侵检测技术（IDS）、虚拟专用网络（VPN）、防病毒、防火墙等，均不能实现网络在OSI7层上的完全隔离，不能有效保证MES对DCS掌握系统不造成安全性风险。当前，业内主要是采用网络隔离技术解决两个不同安全域网络的互联问题，各国政府和跨国型企业都在大力研发和应用该技术。网络隔离技术经过长期的发展和应用，目前已经发展到了第五代。第一代隔离技术采取的是肯定的物理隔离，将不同网络从物理上隔开，从而产生了信息孤岛；第二代网络隔离技术采用的是硬件卡；第三代隔离技术采用将数据包进行转发;第四代网络隔离技术中引进了空气开关进行隔离;最新的第五代隔离技术采用的是安全通道隔离技术。第五代网络隔离技术使用专用通信硬件，采用私有安全协议来实现内部网络与外部网络的隔离和数据传递，这种方式解决了前几代隔离技术的不足，不但安全地将内部外部网络分别，同时还保证了两网之间数据传递的高效安全，已成为当前隔离技术的主流发展方向。这种数据传输技术的核心是采用信息摆渡，物理传输信道只是在传输进行时建立，信息传输时先由信息源所在区域一端传输到中间缓存区域，同时物理上断开中间缓存区域与信息目的地所在区域的网络连接，然后连通中间缓存区域与信息目的地所在区域的数据传输信道，将信息安全传输至目的区域，此时在信道上物理断开信息源所在区域与中间缓存区域的连接。这保证了在任意时刻，中间缓存区域只与一个区域安全相连。与防火墙技术相比，防火墙技术是在保证信息传输的状况下，尽力保证系统的安全性；而网络隔离技术正好与之相反，是在保证系统安全的状况下，实现与外部的数据交换，一旦出现担心全的情形则断开连接，网络隔离的任务是解决和防范当前信息系统存在中的各种安全隐患：操作系统漏洞、TCP/IP漏洞、应用协议漏洞