威努特工业控制系统网络安全基于协议的工控网络系统防护浅

《威努特工业控制系统网络安全基于协议的工控网络系统防护浅》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于OPC协议的工控网络系统防护浅析1.协议概述提到OPC协议，大家想到最多的就是OPCClassic3.0，实际上现在OPC协议有两个大类，一种是基于微软COM/DCOM技术的“Classic”，另一种是基于Webservice的OPCUA。前者在DCOM协议之上，诞生较早，已广泛应用在各种工业控制系统现场，成为工业自动化领域的事实标准。后者与前者比出生较晚，但在设计时考虑了安全因素，有了加密机制，不过目前应用范围较小。本文主要讨论的是前者在工控系统中的防护。微软的DCOM协议是在网络安全问题被广泛认识之前设计的，而基于DCOM协议的OPCClassic基本没有增加任何安全相关的

2、特性，几乎所有著名的工业自动化软件(包括HMI软件、先进控制与优化软件、监控平台软件、综合集成软件等)都是基于windows平台开发,都采用或部分采用了OPC技术，所以对使用OPC协议进行通信的工控系统进行防护也变得复杂和困难。2.动态端口与大多数应用层协议不同，OPC的基础协议DCOM协议使用动态端口机制，在真正建立数据连接之前通讯双方还需要协商需要使用的端口。示例图如下：图1OPC动态端口协商过程上图中，OPC客户端使用5568作为源端口首先向OPC服务器的135端口发起连接，连接成功后再经过OPC服务器分配新端口1118，并通过接口ISystemActivator的方法Rem

3、oteCreateInstance的应答报文返回给客户端，之后客户端使用5569作为源端口向服务器的1118端口发起新的连接用来后面的真正数据的传输。1.面临的安全威胁基于OPC协议的工控网络系统面临各种各样的威胁。在“两网”融合的大背景下，工业控制系统的隔离性被打破，面临来自网络的威胁空前加剧。无用端口的开放、工业软件依赖的操作系统本身存在的安全漏洞、工业协议本身安全性的缺失等等都将给工业控制网络带来巨大的安全隐患。在真正接入到企业管理网、互联网之前，基于OPC协议的工业控制系统必须加入相应的安全设备进行防护，才能提高自身网络的安全。由于OPC协议不同于传统的IT应用层协议，对O

4、PC协议的解析深度决定了安全产品在工业控制系统安全防护中的真正作用。1.防护方案简介1.1.传统IT系统防火墙如果在基于OPC协议的工业控制系统中安装传统IT系统防火墙(以下简称：传统防火墙)进行防护，由于传统防火墙不支持OPC协议的任何解析，为了能够保证OPC业务的正常使用，不得不开放OPC服务器的所有可开放端口，而OPC服务器可以分配的端口号范围很广-如果OPC服务器安装在WindowsServer2008，超过16000个端口号都可能被使用，早期的Windows版本则超过了48000个端口号。图2传统防火墙部署示意图上图中传统防火墙安装在企业管理网和生产控制网的边界进行防护，

5、由于OPC服务器可能使用任何可使用的端口来进行真正的数据连接，而具体使用的端口号在响应客户端请求的应答报文中。传统防火墙无法识别出OPC服务器具体使用的端口号，为确保OPC客户端可以正常连接OPC服务器，防火墙需要配置全部端口可访问，这样的传统防火墙形同虚设，生产控制网的门口大开，几乎完全暴露在攻击者面前。1.1.端口防护工业防火墙区别与传统防火墙，近年来发展起来的专门用于防护工业控制现场的工业级防火墙基本支持了OPC的深度解析，但依据解析深度的不同，在OPC协议为基础的网络中，工业防火墙的防护能力也有所不同。对OPC进行简单解析的工业防火墙可以跟踪OPC连接建立的动态端口，最小化

6、的开放工业控制网络的端口。如下图：图3端口防护级工业防火墙部署示意图端口防护级工业防火墙同样部署在企业生产网和生产控制网的边界，此时配置策略只需要配置开放OPC服务器的135端口，当OPC客户端与服务器建立连接时，端口防护级防火墙跟踪并解析OPC服务器与OPC客户端协商出来的动态端口，然后自动将动态端口加入到防火墙的开放端口中，从而最小化开放生产控制网的端口，与传统防火墙相比，防护能力有了进一步提升。1.1.指令防护工业防火墙端口防护工业防火墙相比传统防火墙虽然提升了防护能力，但攻击者仍然可以通过建立的数据通道发送恶意的OPC操作指令，所以仅仅做到动态端口跟踪还无法保证基于OPC协

7、议的工业控制系统的安全。所以对OPC协议的进一步解析，催生了指令级防护工业防火墙，这也是目前市面上主流的工业防火墙。OPC协议的深度解析要求也加入到了工业防火墙国家标准的草稿中(此标准尚未正式发布)。下图是指令级防护工业防火墙的典型部署：图4指令级防护工业防火墙部署图部署在企业管理网和生产控制网边界处的指令级工业防火墙，深度解析OPC协议到指令级别，不仅可以跟踪OPC服务器和OPC客户端之间协商的动态端口，最小化开放生产控制网的端口，还对OPC客户端与OPC服务器之间