工控网中的安全应用

《工控网中的安全应用》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、工控网中的安全应用工控网中的安全应用【摘要】在“数字工厂”、“数字平台”的只能化发展推动下，越来越多的企业面临工控网络和信息网络的连接管理应用，使得工控网自身安全问题逐渐凸显。例如不能即使更新操作系统、没有杀毒软件、使用为验证的通信协议、使用默认密码等。时间表明，来自工控网络自身的管理漏洞、信息网络、移动存储介质、英特网以及其他因素导致的网络安全问题正在逐渐在控制系统中扩散，直接影响工控网的安全性和稳定性。【关键词】云计算工控网安全策略随着信息化的不断深入，各种工业网络安全技术越来越受到重视,主要有安全管理、IT

2、安全防护技术和工业防火墙等。但是即使是全套的安全防护技术，0前也不能完全阻止工控网内病毒的入侵和攻击行为。有效加强工控网络的安全性，需要提升工控网的管理控制能力和其网络自身的安全防护能力。一、工控网安全问题在一般的工控网中，ERP、OA、EMS、LIMS等系统均处于办公网络中，办公网络通过防火墙等妥全设备直接与互联网连接，工控网络通过防火墙与办公网连接，防火墙开启有限的安全策略保障办公网与工控网监的数据传输。二、工控网安全部署2.11控网安全耳标要保证工控网络的安全稳定运行必须达到三个目标：(1)通讯可控。能够直

3、观的观察、监控、管理通信中的数据流，对通信终端严格控制，减少通信的物理链接及设备，这是首要达到的目标。对控制网络，仅仅只需耍保证制造商专有协议通过，对于其它通讯一律禁止，创造一个私有通信网络环境。(2)区域隔离。对于工控网络而言，其自身不能够创造病毒、攻击。所有病毒及攻击来源于外部网络环境，对于工控网络按照特定区域划分，重点保障生产控制的稳定性和安全性。即使所在的控制局部网络出现问题，也需要保证装置或工程的安全稳定运行。通过安全设备部署，为控制系统创造一个相对独立、安全的网络环境。（3）报警追踪。能够及时发现网络

4、中存在的病毒感染及其它问题，能够准确找到故障的发生点，将网络安全问题消灭在萌芽中，同吋通过对报警吋间记录存储，为已经发生过的安全事件提供分析依据。2.21控网安全部署2.2.1防火墙策略部署工业以太网作为上层信息管理网的数据平台，将尽可能多的生产装置上实时数据采集到实时数据库中并经防火墙传送数据至MES和ERP：具体接口连接为工业以太网、防火墙、DMZ屮间区域防护和MES数据采集服务器等。由于MES和ERP与商用Internet相连，为保证工业以太网的切实安全，采用DMZ隔离区，内网和外网的缓冲，中间防护策略。将

5、上层信息管理网需要访问的实吋数据库容错服务器置于DMZ层，使來自上层的信息管理网只能通过外部防火墙访问到实吋数据库服务器，而不能通过内部防火墙至工业以太网。这样来自Internet的攻击将要通过外部防火墙、堡垒主机和内部防火墙等三道相互独立的防线才能到达工业以太网，使攻击难度大大加强，相应内部网络的安全性也就大大加强。2.2.2入侵检测部署入侵检测作为有效过滤外来攻击或病毒传播的手段，同时也能够及时发现工控网络中所存在的问题。1、实时性：尽快发现网络攻击或者攻击的企图，预先阻止进一步的攻击活动，把损失控制在最小限

6、度。实时入侵检测可以避免常规情况下，管理员对系统H志进行审计以辨别入侵行为时的低效和延迟。实时监控及拦截意外攻击行为。2、可扩展性：在新的攻击类型出现吋，入侵检测系统能够检测到新的攻击行为。入侵检测系统的整体功能设计上，具有可扩展的结构，以便系统结构木身能够适应未來可能出现的扩展要求。3、事件记录：对于检测到的入侵事件必须具备完善的日志记录和日志审计功能。4、安全性：入侵检测系统不会向其宿主计算机系统以及其所属的计算机环境中引入新的安全问题及安全隐患。2.2.3云桌面部署云桌面的部署包括两个方面：工控网络内部云桌

7、面和工控网外云桌面。通过工控网云桌面部署减少工控网络内外访问物理设备，减少工控网内被攻击的可能性。同吋，在工控网内部署云桌面可以加强工控网内的桌面安全管理，避免部署PC终端给工控网络带來的管理问题和安全问题。同吋加强工控网络内部办公部署的灵活性。1、集中运维管理。工控网络内部设备配置不尽相同，管理人员难以对其管理和控制。PC机硬件的多样化以及用户的个性化需求也不尽相同，而传统工控网络内部用户可访问资源难以控制，通过部署云桌面，根据用户口身特性，控制其访问资源，达到访问安全控制的目的。云桌面的部署将所有硬件资源（除

8、显示设备、键盘鼠标），统一管理，减少移动存储等外来设备对工控网络造成的影响。同时云服务中心能够记录用户在正常或非正常使用活动中的各种操作记录，通过日志审计及时发现存在的问题。2、实现数据保护与防泄密。防止因终端设备的硬件或软件故障而导致对正常业务的影响，确保文件丢失或系统崩溃吋能够进行快速恢复，以及防止何终端设备因失窃而带来的潜在风险。降低或避免敏感业务数据通过网络传输过