信息化后的控制系統安全分析

鐘 遠 金 亮 劉瑞明

（中國石油呼和浩特石化公司，內蒙古 呼和浩特 010070）

曾經一段時間，這兩種網絡是異構的，分開的，獨立運行的，然而隨著工業化和信息化的浪潮席卷全國，這兩種網絡逐漸開始互連、融合。這樣一來，最大的好處就是信息資源共享，工業現場的實

圖1 典型的企業信息化系統示意圖

時過程數據可以隨時為任何一臺接入公司局域網的電腦所共享，這些寶貴的實時數據可以為工廠的管理和決策提供信息支持。但同樣安全風險也隨之而來，原來的過程控制網絡是獨立隔離的，現在卻通過公司辦公網與外網連通了，雖然采取了防火墻等一系列安全措施但被入侵被攻擊的可能性還是大大增加了，且過控網絡一旦被入侵攻擊，其危害更為嚴重，可能導致工廠所有自動化的設備停車，使整個生產陷入癱瘓，甚至造成傷亡事故，這對一個生產類企業來說，無疑是致命的。

有調查顯示在電力（包括輸配電、水力發電、火力發電、核電等）、供排水、石油/天然氣、化學、制造業等行業都發生過針對控制系統的信息安全事故。黑客論壇上關于控制系統弱點的聊天交流也在不斷增加。目前還沒有一份由獨立機構完成的關于控制系統所受到計算機攻擊的精確統計報告，但是我們至少可以得出一個結論：與傳統IT行業所暴露出來的問題一樣，隨著我國工業化和信息化的不斷深入，控制系統的信息安全事故也呈上升趨勢。

對信息化的過程控制系統如何保證它的安全可靠性呢？這是一個日益迫切的安全現實問題。個人認為這個問題需要企業多方的共同努力，解決思路大致可以分為思想管理和技術手段兩個方面，二者相輔相成。

思想管理方面，首先，公司領導和安全主管部門要對過程控制系統的潛在安全風險引起足夠的重視，給予相關基層單位（像儀表和自控部門）一定人力、資金和設備支持。

其次，自控部門的控制人員要加強和工藝人員的交流，熟悉工藝流程和現場環境，對控制對象的關鍵點和敏感點予以特別重視，制定安全可行的控制方案增強控制系統的抗入侵抗風險能力。

圖2 典型的企業信息化網絡結構示意圖

再次，系統控制人員要和公司IT人員要相互理解信任，通力協作，確保過程控制網絡的安全。外界普遍認為過程控制和IT有著行業文化隔閡。一般來說，公司的IT部門了解信息安全相關知識并且有相應的預算資金來處理此類問題，但是IT人員不了解過程控制系統。而負責操作和維護過程控制系統的人員對信息安全的了解以及可以應用于此項目的預算資金都比IT部門要少得多。另外，技術和行業文化的不同也使兩者之間存在巨大差異。但我個人認為這不是問題，在共同的安全威脅下，雙方更能增進理解，相互學習，悉心協作，共同筑好企業的安全防火墻。

在技術手段方面，要從信息系統網絡結構的特點出發，布置最為安全的防護策略。對大多數生產企業來說，正如圖1所示一般與過程控制系統緊密相連的是一個稱之為制造執行系統（Manufacturing Execution System，簡稱MES），像石化等有些行業稱之為生產運行系統，它是一個“技術+管理”的系統。MES系統位于企業信息化建設的中間層，向上支撐ERP，向下連接過程控制層PCS，起著承上啟下的作用。一般外界對控制網絡的入侵都得通過MES系統，畢竟如圖2所示只有MES網絡與控制網絡是直接相連的。

我們的生產控制網防護手段就從圖2和圖3所示的網絡結構特點入手，步步為營；

首先，做好BUFFER機安全設計

如圖3所示，BUFFER機是DCS等過程控制網絡與MES網絡的聯接點，它的安全對生產控制網絡的安全至關重要，作為Buffer Server的操作系統應從以下幾方面進行的安全設計，以確保生產網的穩定。

圖3 典型的MES數據采集網絡結構示意圖

(1)需要配備雙網卡，且與控制網絡連接的每個BUFFER機劃分單獨的VLAN；(2)安裝最新的操作系統補丁程序；(3)使用NTFS文件系統；(4)BUFFER服務器在生產環境中運行不能安裝成多操作系統；(5)禁用或刪除不是應用必須的默認帳號，及時清除不再使用的用戶帳號；(6)建立訪問控制權限；(7)刪除系統所有的不必要的文件共享，限制用戶對共享文件的訪問權限。

其次，建立專用的OPC服務器，避免從DCS操作站讀取數據，更嚴格禁止直接從DCS控制器提取數據；建立專用的OPC服務器可一方面減輕DCS的通訊負荷，另一方面可避免從DCS操作站或控制站讀取數據所帶來的安全隱患。本人所在的單位就發生過一次MES OPC服務器直接從 DCS控制器讀取數據引起的DCS控制器假死的事故，所以我們要引以為鑒。

再次，如圖3所示增加防火墻，建立DMZ區來保證過程控制網的安全。

在網絡中，非軍事區(DMZ)是指為不信任系統提供服務的孤立網段，其目的是把敏感的內部網絡和其他提供訪問服務的網絡分開，阻止內網和外網直接通信，以保證內網安全。DMZ網絡訪問控制策略可參考圖3所示各個網絡之間的訪問關系，可以確定以下六條訪問控制策略：(1)內網可以訪問外網。內網的用戶顯然需要自由地訪問外網。在這一策略中，防火墻需要進行源地址轉換。（2）內網可以訪問DMZ。此策略是為了方便內網用戶使用和管理DMZ中的服務器。（3）外網不能訪問內網。很顯然，內網中存放的是公司內部數據，這些數據不允許外網的用戶進行訪問。（4）外網可以訪問DMZ。DMZ中的服務器本身就是要給外界提供服務的，所以外網必須可以訪問DMZ。同時，外網訪問DMZ需要由防火墻完成對外地址到服務器實際地址的轉換。（5）DMZ不能訪問內網。很明顯，如果違背此策略，則當入侵者攻陷DMZ時，就可以進一步進攻到內網的重要數據。（6）DMZ不能訪問外網。此條策略也有例外，比如DMZ中放置郵件服務器時，就需要訪問外網，否則將不能正常工作。

綜上所述，過程控制系統的維護人員要不斷完善作業規章建設和加強自身的業務學習?？刂葡到y安全問題要制度和技術兩個方面同時著手，兩手都要硬。作業規程和制度的建設可以防范人為過失事故和隱患，技術的進步和力量在成熟規章的保證下更能發揮威力。尤其在這個日新月異的信息時代，控制人員必須密切關注行業動態，不但學習新的技術和標準，與時俱進，未雨綢繆才能確保控制系統安全可靠，為企業的安全平穩生產作做好保障。

[1]焦雪峰.西山煤礦總公司安全教育信息化建設研究[J].山西大學，2009（06）.

[2]王起全，王永柱.我國安全生產信息化現狀及發展方向分析，2010（09）.