工控網(wǎng)與內(nèi)部網(wǎng)絡(luò)的設(shè)計和安全防護

◆張佳華

工控網(wǎng)與內(nèi)部網(wǎng)絡(luò)的設(shè)計和安全防護

◆張佳華

(上海復(fù)合材料科技有限公司 上海 201114)

進入21世紀(jì)以來，我國的工業(yè)生產(chǎn)和信息科技都獲得了飛速發(fā)展，工業(yè)化與信息化的相互融合，不但提高了企業(yè)的生產(chǎn)效率，而且有效保證了企業(yè)生產(chǎn)的安全性，工控網(wǎng)在企業(yè)發(fā)展過程中發(fā)揮著不可替代的重要作用。但是由于種種原因，我國的工控網(wǎng)設(shè)計和安全防護還存在一些問題和不足，制約了工控網(wǎng)的普及和發(fā)展。在這樣的時代背景下，對工控網(wǎng)的內(nèi)部網(wǎng)絡(luò)設(shè)計和安全問題進行系統(tǒng)全面地分析研究，發(fā)現(xiàn)其中的問題和不足，并提出一系列具有高度可行性的建議措施，就顯得尤為重要。

工控網(wǎng)；內(nèi)部網(wǎng)絡(luò)；安全防護

1 工控網(wǎng)的設(shè)計原則和目標(biāo)

1.1 工控網(wǎng)的設(shè)計原則

（1）工業(yè)以太網(wǎng)主干網(wǎng)絡(luò)有兩種結(jié)構(gòu)形式：一種是星型雙鏈路結(jié)構(gòu)；另一種是環(huán)網(wǎng)結(jié)構(gòu)，主干網(wǎng)中配置具有管理環(huán)網(wǎng)功能交換機，也可以稱之為以太網(wǎng)管理器。為了保證網(wǎng)絡(luò)通訊的穩(wěn)定性，避免其它因素的干擾，無論是交換機，還是路由器，都需要采用工業(yè)級別的以太網(wǎng)設(shè)備。

（2）工控網(wǎng)與管理網(wǎng)絡(luò)之間應(yīng)該設(shè)置一道防火墻，在有條件的情況下，可以采用雙機部署結(jié)構(gòu)，進而保證防火墻發(fā)揮出更好的職能作用。除此之外，防火墻應(yīng)該加裝一個DMZ分區(qū)，可以與MES連接在一起，進一步提高工控網(wǎng)的安全防護功能。防火墻在默認(rèn)狀態(tài)下是關(guān)閉的，只有在需要的時候才會啟動。

（3）使用設(shè)備需要有一個工業(yè)級別的以太網(wǎng)接口，與工控網(wǎng)之間建立良好的連接通道，線路應(yīng)該在千兆級別以上。在連接工控網(wǎng)時有兩個選擇：一個是連接在IT網(wǎng)絡(luò)的匯聚區(qū)域；另一個是連接在IT網(wǎng)絡(luò)的核心部位。

1.2 工控網(wǎng)的設(shè)計目標(biāo)

（1）除了做好工控網(wǎng)的網(wǎng)絡(luò)設(shè)計之外，網(wǎng)絡(luò)的安全防護也至關(guān)重要。工控網(wǎng)絡(luò)安全應(yīng)該以區(qū)域劃分、深度防御為基礎(chǔ)，利用軟件防護、防護設(shè)備部署、技術(shù)防護等多種手段保證工控網(wǎng)的網(wǎng)絡(luò)安全。

（2）在工控網(wǎng)設(shè)計時，必須保證網(wǎng)絡(luò)結(jié)構(gòu)的合理性和可行性，能夠與生產(chǎn)工藝很好地融合在一起。對工控網(wǎng)絡(luò)各個層級實施邏輯隔離，避免網(wǎng)絡(luò)病毒的傳播和擴散，形成縱深防御的安全防護。

（3）確保工控網(wǎng)絡(luò)能夠?qū)Σ《救肭肿龊迷敿?xì)完整的記錄，后期可以對病毒入侵進行全面系統(tǒng)地分析研究，進而制定一套完善合理的應(yīng)對措施。除此之外，還應(yīng)該確保工控網(wǎng)絡(luò)不會受到偽裝成合法訪問的病毒攻擊。

2 工控網(wǎng)的內(nèi)部網(wǎng)絡(luò)設(shè)計

2.1 通信協(xié)議的設(shè)計

在實際應(yīng)用過程中，工控網(wǎng)自動化控制系統(tǒng)的網(wǎng)絡(luò)聯(lián)通模塊一般分為兩個部分：一部分是管理機各個終端控制器以及與企業(yè)其它計算機的網(wǎng)絡(luò)聯(lián)通部分，一般采用TCP/IP協(xié)議；另一部分是計算機與底層PLC之間的通信，而每個企業(yè)所使用的PLC通信協(xié)議都是不一樣的。截至目前，已經(jīng)有很多現(xiàn)場總線類協(xié)議應(yīng)用到工業(yè)生產(chǎn)當(dāng)中，如果企業(yè)想采用通用的PLC設(shè)備實施數(shù)據(jù)的交換與傳輸，就必須在指定的鏈路層協(xié)議的基礎(chǔ)上進行上層協(xié)議制定，進而獲得更加靈活穩(wěn)定的通信協(xié)議。

在工控網(wǎng)的通信結(jié)構(gòu)設(shè)計過程中，往往會用到RS-232結(jié)構(gòu)來實現(xiàn)點與點之間的連接，如果工控網(wǎng)與現(xiàn)場設(shè)備之間的通信距離較長，則使用鏈路協(xié)議進行總線多站式連接方式，在設(shè)計通信協(xié)議時需要滿足三個基本要求：第一個是具有良好的穩(wěn)定性；第二個是結(jié)構(gòu)簡單，操作方便；第三個是具有傳輸層功能。

2.2 通信程序的結(jié)構(gòu)設(shè)計

通過以上分析，工控網(wǎng)根據(jù)距離不同，可以選擇RS-232連接方式和RS-485鏈路協(xié)議兩種連接方式，要想讓通信程序同時識別以上兩種連接方式，就需要設(shè)計一個完善合理的通信程序結(jié)構(gòu)，具體設(shè)計思路如下所示：首先對PLC通電，對通信端口和通信狀態(tài)進行初始化設(shè)置；然后當(dāng)端口處于準(zhǔn)備狀態(tài)時，啟動通信處理裝置；最后對網(wǎng)絡(luò)層分成兩種形式：第一種是網(wǎng)絡(luò)層處理層；另一種是數(shù)據(jù)處理應(yīng)得層，對網(wǎng)絡(luò)層接收到的數(shù)據(jù)進行拆解和打包，在原數(shù)據(jù)信息和發(fā)送信息的基礎(chǔ)上加入相應(yīng)的網(wǎng)絡(luò)信息，最終實現(xiàn)同時識別不同連接方式的功能。

3 工控網(wǎng)面臨的安全問題分析

3.1 結(jié)構(gòu)本身存在安全漏洞

在實際運作過程中，工控網(wǎng)絡(luò)系統(tǒng)的操作站、服務(wù)器普遍采用微軟系統(tǒng)，更新速度非常慢，很容易受到網(wǎng)絡(luò)病毒的攻擊。在現(xiàn)場設(shè)備與工控網(wǎng)進行數(shù)據(jù)聯(lián)通時，沒有對信息檢索者進行身份核實、沒有對信息傳輸規(guī)則進行篩選核實、沒有對數(shù)據(jù)信息進行加密傳輸，導(dǎo)致工控網(wǎng)絡(luò)系統(tǒng)直接暴露到紛亂復(fù)雜的網(wǎng)絡(luò)系統(tǒng)當(dāng)中。除此之外，工控網(wǎng)絡(luò)系統(tǒng)中的多個服務(wù)器之間缺乏檢測識別功能，例如MES服務(wù)器是負(fù)責(zé)執(zhí)行生產(chǎn)命令的，OPC服務(wù)器是實現(xiàn)監(jiān)督管理功能的，兩者之間缺乏必要的動態(tài)識別裝置，使得工控網(wǎng)絡(luò)系統(tǒng)的信息安全得不到保障。

3.2 信息傳輸存在泄露風(fēng)險

工控網(wǎng)絡(luò)系統(tǒng)采用TCP/IP協(xié)議，這種協(xié)議過于簡單，沒有合理完善的校驗程序，在現(xiàn)場設(shè)備與工控網(wǎng)絡(luò)采用NC代碼進行數(shù)據(jù)交換，很容易出現(xiàn)信息泄露的問題。在實際操作過程中，DNC服務(wù)器與辦公網(wǎng)絡(luò)是連接在一起的，很多數(shù)據(jù)都是采用FTP的形式進行交互的，導(dǎo)致網(wǎng)絡(luò)信息被滲透的可能性大大增加。工控網(wǎng)絡(luò)系統(tǒng)在運行過程中缺乏良好的維護，第三方只對網(wǎng)絡(luò)漏洞做出修訂和完善，沒有對維護過程做出統(tǒng)計分析，一旦出現(xiàn)數(shù)據(jù)泄露或者病毒入侵的現(xiàn)象，就會造成難以估量的損失。

3.3 運行過程面臨的安全威脅

在工控網(wǎng)絡(luò)系統(tǒng)運行過程中，生產(chǎn)網(wǎng)絡(luò)和辦公網(wǎng)絡(luò)是連接在一起的，雖然控制系統(tǒng)可以實現(xiàn)兩種服務(wù)器的控制功能，但是將主控系統(tǒng)和輔助控制系統(tǒng)建立在同一個網(wǎng)絡(luò)系統(tǒng)當(dāng)中，由此帶來的風(fēng)險就會大大增加。在軟件安裝、硬件調(diào)試過程中，如果出現(xiàn)人為操作失誤、參數(shù)修改的現(xiàn)象，很可能使工控網(wǎng)絡(luò)系統(tǒng)陷入癱瘓，給企業(yè)帶來重大經(jīng)濟損失。如今，部分工控網(wǎng)絡(luò)采用無線裝置進行數(shù)據(jù)傳輸，在數(shù)據(jù)信息接受不及時的情況下也會對人們的生產(chǎn)生活造成巨大的安全威脅。

4 工控網(wǎng)系統(tǒng)安全防護建議

4.1 規(guī)范工控網(wǎng)通信協(xié)議

在未來發(fā)展過程中，要想增強工控網(wǎng)絡(luò)系統(tǒng)的安全防護功能，就必須制定一套科學(xué)合理的網(wǎng)絡(luò)通信協(xié)議，并落實到實際行動當(dāng)中。建立一套完善的工控網(wǎng)絡(luò)系統(tǒng)安全保障體系，對工控網(wǎng)絡(luò)系統(tǒng)的運行進行全方位的監(jiān)督和管理，避免出現(xiàn)違規(guī)操作、越權(quán)訪問的現(xiàn)象；加大工控網(wǎng)絡(luò)系統(tǒng)通信協(xié)議的創(chuàng)新力度，設(shè)計出新型的通信協(xié)議，為網(wǎng)絡(luò)通訊安全提供堅實的保障。在后期使用過程中，應(yīng)該定期對工控網(wǎng)絡(luò)系統(tǒng)進行更新和維護，及時修補網(wǎng)絡(luò)漏洞，避免網(wǎng)絡(luò)病毒的入侵，操作人員應(yīng)該不斷提高安全防護意識，提高自身的技能水平，為工控網(wǎng)絡(luò)系統(tǒng)的正常運行做出更大的貢獻。

4.2 做好工控網(wǎng)絡(luò)防護工作

在以后的發(fā)展過程中，應(yīng)該采用多種方法和措施，全面做好工控網(wǎng)絡(luò)防護工作，具體做法如下所示：第一，旁路檢測。旁路檢測包括工控網(wǎng)絡(luò)流秩序分析診斷和工控異常檢測兩個部分，該方法不僅可以及時發(fā)現(xiàn)網(wǎng)絡(luò)病毒入侵等傳統(tǒng)問題，還可以對識別工控網(wǎng)絡(luò)系統(tǒng)的異常指令和操作，并向工作人員發(fā)出預(yù)警信號，進而第一時間做出完善的應(yīng)對措施；第二，串聯(lián)防護。串聯(lián)防護包括兩部分內(nèi)容：一個是工業(yè)防火墻，另一個是工業(yè)網(wǎng)閘，可以對兩個網(wǎng)絡(luò)系統(tǒng)之間實施有效的隔離防護，提高工控網(wǎng)絡(luò)的安全性。

5 總結(jié)

首先對工控網(wǎng)的網(wǎng)絡(luò)設(shè)計原則和目的進行簡單地闡述分析，從通信協(xié)議、通信結(jié)構(gòu)兩個角度出發(fā)，對工控網(wǎng)的內(nèi)部網(wǎng)絡(luò)設(shè)計進行分析研究；然后對工控網(wǎng)存在的安全問題進行系統(tǒng)全面地分析研究，發(fā)現(xiàn)結(jié)構(gòu)本身存在安全漏洞、信息傳輸存在泄露風(fēng)險、運行過程面臨安全威脅是導(dǎo)致工控網(wǎng)信息安全得不到保障的根本原因；最后提出在以后的發(fā)展過程中，應(yīng)該規(guī)范通信網(wǎng)絡(luò)協(xié)議，做好網(wǎng)絡(luò)防護工作，從多個方面共同入手，全面提高工控網(wǎng)的安全性能。

[1]吳康錦.工控網(wǎng)中的安全應(yīng)用[J].中國新通信，2013.

[2]王申雯.面向工控網(wǎng)與業(yè)務(wù)網(wǎng)信息交互的訪問控制技術(shù)研究[J].計算機安全，2014.

[3]桑圣潔.工控生產(chǎn)網(wǎng)網(wǎng)絡(luò)及應(yīng)用安全研究[J].計算機安全，2014.