工业控制系统信息安全防护.pdf

全风险实时监控、定期巡检和维护等。

2．1各层通信协议的风险

信息化和工业化融合的深入开展及物联网技3ICS信息安全防护体系

术的推广。使得TCP／IP和0PC(OLEforProcess

Contro1．用于过程控制标准的对象连接与嵌入)针对ICS各层中出现的信息安全风险．建立

等通用协议广泛应用于I控系统中。而工业控制纵深防御体系．从技术和管理2个层面对ICS进

协议的识别能力未必尽如人意，可能面临被窃听行防护．最大限度地保障系统安全。

或伪造篡改的风险。故各自动控制单元间缺乏稳3．1技术层面

定可靠的安全通信机制．由此引发的通信协议漏技术层面可从以下5点来防护，如图2所示。

洞问题不容忽视如在数采监控层和过程控制层图内编号与下面对应。

之间采用的大都是基于分布式组件对象模型(1)常规的IT防火墙。在企业管理层和数据

(distrihutedcomponentobjeatmodel，DCOM)编程采集监控层之间安装防火墙设置相关策略。因

规范的OPC接口．而OPC通信中所使用的端口号为企业管理层采用的是通用以太网，对于通信速

大都是不固定的．故无法采用传统的IT防火墙防率和带宽有较高要求．所以在此部位的安全防护

护保障其安全性使用常规的IT防火墙即可部署IT防火墙后，2

2．2操作系统的风险个网络层之间只允许合法的数据交换．企业管理

目前．大多数工业控制系统备层中的工程师层对数据采集监控层未经授权的非法访问将被防

站、操作员站、人机界面(HumanMachineInterface，火墙拦截．也可防止上层网络的病毒感染扩散至

HMI)采用的操作系统大都是Windows平台，限于下层网络

系统的稳定性及独立性要求，在系统开车后，现(2)专业的工业防火墙。由于数据采集监控

场工程师不会再轻易更新平台补丁。如果确实需层和过程控制层之间通常采用0PC协议通信．若

要更新．也必须先在测试环境下进行一系列严格用传统的IT防火墙进行防护．必须开放一系列的

的测试．保证部署在现场环境中不影响工控软件端口号．此时防火墙的安全保障性能极低故应

与操作系统的兼容性因此．这种打补丁时问上部署专业的工业防火墙．有效拦截病毒以及其他

的滞后可能引发严重等级安全漏洞．从而埋下安非法访问．如此，来自防护区域内的病毒就很难

全隐患感染扩散至其他网络．有