工业控制网络信息安全隐患分析与解决

《工业控制网络信息安全隐患分析与解决》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、工业控制网络信息安全隐患分析与解决摘要：两化融合和物联网的快速发展，使工业控制系统面临的安全问题日益严重。为保证能源和关键性基础设施行业控制系统的安全稳定运行，需要建立有针对性的安全防护体系，创建“本质安全”的工业网络。本文根据工厂信息化的特点，结合工业控制网络的常见架构，分析了信息化时代工业网络存在的安全隐患，并详细阐述了参照ANSI/ISA-99安全标准，如何使用多芬诺工业防火墙的纵深防御策略来全方位保障工业网络信息安全。关键词：工业网络信息安全；多芬诺；工业防火墙；纵深防御伴随两化融合和物联网的快速发展，我国关键性基础设施和能源行业广泛使用的SCADA、DCS、PLC等工业控制系

2、统越来越多地采用计算机和网络技术，如Ethernet、TCP/IP以及OPC等，极大地推动了工业生产，但同时也使工业控制系统接口越来越开放，控制系统面临的信息安全问题也日益严重。2010年10月，肆虐伊朗的Stuxnet病毒造成伊朗布什尔核电站推迟发电。事件经媒体披露后迅速引发了各国政府与安全机构的广泛关注。Stuxnet病毒通过移动介质、西门子项目文件等方式进行传播，可以说是计算机病毒界革命性创新，“工业病毒”时代已经来临。为此工信部协[2011]451号文件明确指出要切实加强工业控制系统信息安全管理。1工业网络信息安全现状分析二十世纪九十年代以前的大多数控制系统一般都采用专用的硬件

3、、软件和通信协议，有自己独立的操作系统，系统之间的互联要求也不高，因此几乎不存在网络安全风险。多年来企业更多关注的是管理网络的安全问题，许多企业对控制系统安全存在认识上的误区：认为控制系统没有直接连接互联网、黑客或病毒不了解控制系统，无法攻击控制系统，因此控制系统是安全的。而实际情况是，企业的许多控制网络都是“敞开的”，系统之间没有有效的隔离。同时黑客和病毒的入侵途径又是多种多样的，因此尽管企业网内部安装了一些网络安全防护产品，施行了各类网络安全技术，但随着信息化的推动和工业化进程的加速，工厂信息网络、移动存储介质、因特网以及其它因素导致的信息安全问题正逐渐向控制系统扩散，直接影响了工

4、厂生产控制的稳定与安全[1]。近几年来，国内、外许多企业的DCS控制系统已经有中病毒或遭黑客攻击的现象，给安全生产带来了极大的隐患。2工业网络的信息安全漏洞信息化时代的来临使工业控制系统暴漏出一些信息安全漏洞。2.1通信协议漏洞两化融合和物联网的发展使得OPC协议等通用协议越来越广泛地应用在工业控制网络中，随之而来的通信协议漏洞问题也日益突出。例如，OPCClassic协议基于微软的DCOM协议，DCOM协议是在网络安全问题被广泛认识之前设计的，极易受到攻击。2.2操作系统漏洞目前大多数工业控制系统的工程师站/操作站/HMI都是Windows平台的，为保证过程控制系统的相对独立性，同时

5、考虑到系统的稳定运行，现场工程师在系统开车后通常不会对Windows平台安装任何补丁，从而埋下安全隐患。2.3安全策略和管理流程漏洞追求可用性而牺牲安全，是很多工业控制系统存在的普遍现象，缺乏完整有效的安全策略与管理流程也给工业控制系统信息安全带来了一定的威胁。例如工业控制系统中移动存储介质包括笔记本电脑、U盘等设备的使用和不严格的访问控制策略。2.4杀毒软件漏洞为了保证工控应用软件的可用性，许多工控系统操作站通常不会安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，原因在于杀毒软件的病毒库需要不定期的经常更新，这一要求尤其不适合于工业控制环境。而且杀毒软件对新病毒的处理

6、总是滞后的，导致每年都会爆发大规模的病毒攻击，特别是新病毒。2.5应用软件漏洞由于应用软件多种多样，很难形成统一的防护规范以应对安全问题；另外当应用软件面向网络应用时，就必须开放其应用端口。互联网攻击者很有可能会利用一些大型工程自动化软件的安全漏洞获取诸如污水处理厂以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想[2]。1工业控制网络的常见拓扑结构和安全隐患分析为了更全面的说明问题，本文将工业控制网络中常见的三种结构结合在一起，并分析网络中存在的安全隐患。3.1工业网络的常见结构综合各工业企业网络现状，工业网络通常由信息网、数采网和控制网组成，如图1所示。

7、信息网一般使用通用以太网，可以从数采网提取有关的生产数据，实现基于生产过程数据的MES应用。数采网主要是从控制网获取数据。控制网负责控制器、操作站及工程师站之间过程控制数据实时通讯。图1工业系统网络的常见结构网络结构图说明：a.控制网由PLC、DCS和现场设备（ModbusRTU）构成，分别通过三种不同的方式和数采网相连。其中，PLC和DCS为上层数采网提供OPC接口，PLC的OPCServer通过Buffer机和数采网相连；DCS的OPCSe