工業控制SCADA系統安全性及防護措施

劉昕

摘要：SCADA系統是工業控制領域中的熱門技術，目前已得到廣泛應用。近年來，隨著對工控系統的攻擊快速增長，SCADA系統的安全性越來越被重視。本文主要針對工業控制SCADA系統，重點對其結構、硬件、軟件、通信、管理和操作方面進行安全性分析，提出了解決方案及防護措施，保障了系統網絡的安全性、完整性和可用性。

關鍵詞：工業控制；SCADA系統；威脅；安全性；措施隨著信息化技術的發展，我國冶金、電力、石化、水處理、鐵路和航空等行業的工業控制自動化系統得到了廣泛的應用。工業控制系統(ICS)是監控和數據采集系統(SCADA)、分布式控制系統(DCS)及其他小型控制系統的總稱[1]。SCADA系統是國家基礎工業的關鍵信息系統，關系到國民經濟和社會生活。

近年來，對工業控制系統的攻擊呈快速增長趨勢。據國外安全專家報告，2000年以來對工業控制系統的成功攻擊數量增長了近10倍，2002年上半年有70%的能源與電力公司至少經歷了一次網絡攻擊。世界各國政府和各種網絡信息安全機構已經注意到工業SCADA系統網絡的安全問題，紛紛開展了相關工作。

為了加強工控SCADA系統安全防護，保障系統網絡的機密性、完整性，同時滿足可用性，本文對工業控制SCADA系統進行安全性探討，并提出解決方案及防護措施。

1SCADA系統構成

SCADA系統用于數據采集與監控，對大規模遠距離地理分布的資產與設備進行集中式管理。SCADA控制中心根據從遠程站點收到的信息通過自動化或人工干預的方式，將調控命令通過網絡發送到RTU，RTU控制當地的操作[2]。典型的SCADA系統構成如圖1所示。

2SCADA安全性探討

2.1 結構

常用的SCADA架構的方式是基于DCS和FCS的結合。典型的DCS是多級主從關系，底層相互間進行信息傳遞必須經過主機，從而造成主機負荷過重，效率低下，主機一旦發生故障，整個系統就會“癱瘓”。FCS存在的主要問題：一是現場總線不統一，性價比差別較大，應用領域和層次區別較大。二是現場總線本身存在的技術問題。

目前的改進方法主要有：

⑴交換技術。采用以太網交換機，將共享的局域網進行有效的沖突域劃分技術，以減少CSMA/CD機制帶來的沖突問題和錯誤傳輸。

⑵高速以太網。提高以太網的通信速度，可以有效降低網絡的負荷。

⑶IEEE1588校時機制。

2.2 硬件

系統硬件的安全性主要是指控制器、IO卡件、服務器、網絡設備、儀器儀表和電纜及施工的質量。

控制器的常規性能主要體現為存儲容量、I/O點數、掃描速度、指令的功能與數量等方面；IO卡件的安全性表現為是否有隔離功能、自診斷功能和自保護功能等；服務器的性能主要為處理器、總線、內存、磁盤和I/0擴展等；通訊設備的主要性能為機架類型，支持的網絡類型、協議和標準；儀器儀表主要性能有精度、采集方式、防護級別等；電纜及施工主要是指電纜規格型號、抗干擾能力和鋪設方式等。

2.3 軟件

軟件安全性主要包括操作系統軟件、服務器系統軟件、SCADA軟件、第三方軟件、編制的應用軟件等。

2.4 通信

SCADA系統的通信安全性主要包括內部通信、外部通信和第三方通信的不穩定性和潛在的通信危險。SCADA網絡安全，通常是針對互聯網或企業內部網上網絡攻擊和病毒防范。

2.5 管理

安全管理主要包括制定、整理和實施保護系統的信息機密性、完整性和可用性的策略、標準、規程和指南；對數據分級、風險評估和風險分析等管理手段對威脅進行辨別；對系統缺陷進行評估，以便采取有效的安全控制手段等。

2.6 操作

SCDADA系統的操作分系統操作和指揮。要求系統的管理在分級操作的基礎上，明確操作責任、劃清工作界面和掌握安全性要害點。對系統管理人員要求了解哪些資源需要受到保護，哪些權限需要進行限制，存在哪些控制手段，對控制的潛在威脅和相應對策，實施有效控制的原則等。

3工控SCADA系統面臨的威脅

工控SCADA系統網絡的安全威脅主要來自外部威脅與內部威脅，其安全風險如下：

⑴大量的終端和現場設備，如PLC、RTU和IED可能存在漏洞，設備存在被惡意控制、中斷服務、數據被篡改等風險。

⑵通信網及規約上可能存在漏洞。

⑶TCP/IP網絡通訊技術、各類智能組件技術廣泛應用，SCADA系統面臨病毒、蠕蟲、木馬威脅等安全問題[3]。

4工控SCADA系統安全防護措施

4.1 定期危險點分析和評估

許多供電企業可能并沒有在定期的基礎上對SCADA系統和EMS系統的危險點進行危險性評估。除了這兩個系統，其他如企業內部信息網，WEB服務器，以及用戶信息管理系統也應納入評估范疇來尋找可能尚未發現的安全漏洞。

4.2 加強安全管理

如果只是采取了“純技術性”的解決方案而不進行密切的管理和監視，安全設備的有效率會大大降低。因此，對于安全性要求較高的公司，可以與網絡安全公司進行合作，或者在公司內設立網絡安全專職工程師崗位，專門進行網絡安全監視和事故預防。

“白名單”安全機制是一種安全管理規范，不僅應用于防火墻軟件的設置規則，也是在實際管理中要遵循的原則。

4.3 物理隔離

在工業控制領域，網絡物理隔離通常采用“2+1”的三模塊架構，內置雙主機系統，隔離單元通過總線技術建立安全通道以安全地實現快速數據交換[4]。隔離原理如下圖5所示。

4.4 建立安全服務體系

建立完善的安全服務體系，進行SCADA系統上線前的安全測評、上線后的安全風險評估、安全整改加固以及監控應急響應，保護分析對系統資源的非法訪問和網絡攻擊，并配備必要的應急設施和資源，統一調度，形成對重大安全事件快速響應的能力。

5結論

本文對SCADA系統安全性進行了全面的分析，介紹了在工業控制系統安全中采用的技術手段和方法措施，認識到，應將信息產業領域的安全政策和規程引入到SCADA和工業控制領域中，將SCADA系統和企業信息網作為一個整體來進行風險分析。

[參考文獻]

[1]郭春梅,畢學堯.對工業控制系統網絡安全的思考[J].信息安全與通信保密,2013(03):42-44.

[2]徐金偉.工業領域基礎設施SCADA系統簡介[J].計算機安全，2012(01):4-9.

[3]余勇,林為民.工業控制SCADA系統的信息安全防護體系研究[J].信息網絡安全,2012(05):80-83.

[4]魏欽志.工業控制系統安全現狀及安全策略分析[J].信息安全與技術,2013(03):23-26.