隔离网关pSafetyLink技术白皮书.doc

《隔离网关pSafetyLink技术白皮书.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、北京力控华康科技有限公司BeijingForceControl-HuaconTechnologyCo.,Ltd.电话：010-59835788传真：010-59835766http://www.huacon.com.cn力控华康工业网络安全防护网关pSafetyLink技术白皮书版本号V1.0当前状态草稿发布日期2011-8-8作者版权和所有权声明北京力控华康科技有限公司对本白皮书持有版权并保留一切权利。未经许可，任何人不得以摘录、复印、剪切等手段复制本文档中的文字、图表、数据的部分和全部。否则，本公司将在适当情况下追究相应责任。商标声

2、明pSafetyLink为北京力控华康科技有限公司的注册商标。本白皮书中涉及的其它所有品牌和产品名称均为相关公司的商标或注册商标。目录1.概述41.1.工业网络安全形势41.2.常规网络安全产品的不足42.pSafetyLink产品简介63.应用环境63.1.基于OPC的应用73.2.基于Modbus、DNP3的应用84.产品架构84.1.硬件架构84.2.软件架构95.主要技术105.1.安全技术105.1.1.内核安全技术105.1.2.网络隔离技术105.1.3.测点访问控制105.1.4.身份认证115.2.可靠性技术115.3

3、.系统性能116.主要功能126.1.开发工具PSL-Config126.2.监视工具PSL-Monitor136.3.通信标准137.硬件平台137.1.隔离硬件结构137.2.硬件设计147.3.硬件优化147.4.生产流程控制148.产品规格141.概述1.1.工业网络安全形势在现代工业企业的信息系统中，由各种DCS、PLC、测控设备、SCADA构成的过程控制系统位于底层车间，负责完成基本的生产控制。随着企业信息化建设的发展，迫切要求实现过程控制系统与上层管理信息系统之间互通、互联，完成经营管理层与车间执行层的双向信息流交互，使企

4、业对生产情况保证实时反应，消除信息孤岛与断层现象。为了获取现场的生产信息，许多企业采用拷盘或人力传递的方式传送信息，包括人工抄表，定期上报的方式。人工采集不仅极不方便也无法实时地采集到现场的数据，很难满足当今工业控制行业对生产控制和信息管理方面的要求，因此实现信息网络与控制网络的互通、互联已经是大势所趋。但信息网络与控制网络实现互联时，如何保证过程控制网络的安全就变成了一个严峻的问题。特别是对于石油、石化、电力、钢铁、煤矿等生产行业，对连续生产的安全性和可靠性有着极高的要求，一旦实现了信息网络与控制网络之间的互联，就相当于将控制网络直接

5、暴露给外网而面临被攻击的可能。控制网络一旦受到了恶意攻击，感染了病毒、蠕虫，很可能导致整个控制网络瘫痪，网络中的主机崩溃，甚至造成重大安全事故。另外，互联网攻击者可能会利用一些大型工程自动化软件的安全漏洞获取诸如发电厂、污水处理厂、天然气管道以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想。因为生产控制网络中的计算机可以控制诸如发电机组、化学反应釜、供水管阀门、烘干设备器材甚至核电站的安全系统等大型工程化设备。黑客一旦控制该系统，就意味着可能利用被感染的控制中心系统切断整个城市的供电系统，恶意污染饮用水甚至

6、是破坏核电站的正常运行。随着近些年来越来越多的工程系统内部网络接入到互联网当中，这种可能就越来越大。1.2.常规网络安全产品的不足目前工业自动化市场上还鲜有专门针对工业网络安全的防护产品。因此自动化用户要么将单个的控制网络封闭起来，彻底与外网断开，同时也断绝了信息共享与交互；要么只能选用常规网安产品，如网络防火墙来解决问题。但常规网安产品或者由于自身存在的缺陷与不足，不能满足工业网络较高的防护要求，或者因为不是专门针对工业网络设计，难以在工业场合应用。例如，网络防火墙是目前网络边界上最常用的一种防护设施。提供的主要功能有：包过滤、审核和

7、报警机制、远程管理、NAT、代理、流量控制、统计分析和流量计费等。防火墙本身虽然具有较强的抗攻击能力，但它是提供信息安全服务、实现网络和信息安全的一种基础设施，用于满足各种通用的网络应用。或者说，防火墙并不是专为工业网络应用设计的产品。因此防火墙在防护工业网络时存在较多缺陷。通过防火墙将控制网络与信息网络串联在一起时，要求被控制网络与信息网络间的通信数据必须经过防火墙，同是要求防火墙具有安全性、完整性和异步性。安全性要求防火墙本身不受威胁，也不存在漏洞；完整性要求防火墙能对通过防火墙的所有对象及其内容进行全面审查，不能遗漏；异步性要求防

8、火墙必须对进入防火墙的数据进行严格审查，审查通过后才能放出，否则抛弃，禁止放出任何未经审查完的数据。而目前技术上很难保证防火墙具有安全性，完整性和异步性，更难保证所有进出网络的数据都经过防火墙。因此，防火墙