工業(yè)控制系統(tǒng)信息安全防護體系的構(gòu)建

趙赫

摘 要：隨著"中國制造2025"、"互聯(lián)網(wǎng)+"、"智能制造"戰(zhàn)略的逐步推進，工業(yè)控制系統(tǒng)已成為國家工業(yè)發(fā)展的重要支柱，它的信息安全事關(guān)經(jīng)濟發(fā)展、社會穩(wěn)定和國家安全，因此針對其建立并健全相應(yīng)的信息安全防護系統(tǒng)尤為關(guān)鍵。本文主要就這一系統(tǒng)中所存在的信息安全隱患展開了探討，以制造業(yè)企業(yè)為例分析了工控系統(tǒng)信息安全方面的需求，結(jié)合國家相關(guān)要求，包括分級保護，防護指南等，提出安全方案。

關(guān)鍵詞：工業(yè)控制系統(tǒng)；信息安全；防護體系

當(dāng)前互聯(lián)網(wǎng)攻擊正逐步向各類聯(lián)網(wǎng)終端滲透。針對工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長，“震網(wǎng)”（Stuxnet）病毒感染了全球超過45000個網(wǎng)絡(luò)，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切，針對當(dāng)前嚴峻的工業(yè)控制系統(tǒng)安全形勢，結(jié)合企業(yè)實際情況，構(gòu)建工控系統(tǒng)網(wǎng)絡(luò)安全架構(gòu)，確保工控系統(tǒng)安全可靠運行。

一 工業(yè)控制系統(tǒng)基本概念

工業(yè)控制系統(tǒng)是指由計算機與工業(yè)過程控制部件組成的自動控制系統(tǒng)。主要包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器（PLC）、遠程終端（RTU）、智能電子設(shè)備（IED）等。由于現(xiàn)階段信息技術(shù)的飛躍性發(fā)展，通用開發(fā)標準與互聯(lián)網(wǎng)技術(shù)的廣泛使用，導(dǎo)致工控系統(tǒng)相應(yīng)的信息安全問題愈加明顯。

二 工業(yè)控制系統(tǒng)信息常見風(fēng)險

1接口開放帶來的安全風(fēng)險

由于數(shù)據(jù)采集、監(jiān)控和調(diào)試的需要，工業(yè)控制系統(tǒng)的終端設(shè)備都會配置網(wǎng)絡(luò)接口，但這種開放的接口很容易被人利用帶來安全隱患，一旦連接信息暴露，整個網(wǎng)絡(luò)就處于非常危險的境地。

2工業(yè)控制系統(tǒng)遭遇病毒攻擊的風(fēng)險

就企業(yè)工控系統(tǒng)而言，很多都沒有建立完整的防病毒體系，系統(tǒng)未全面安裝殺毒軟件，雖然企業(yè)利用技術(shù)手段對工控網(wǎng)和辦公網(wǎng)絡(luò)進行隔離，但由于病毒傳播具有多樣性的特征，能夠通過多種渠道進行傳播。比如是通過移動介質(zhì)傳播病毒的方式，造成企業(yè)工控系統(tǒng)被病毒感染引發(fā)安全事件。

3管控體系不健全導(dǎo)致的安全風(fēng)險

現(xiàn)階段，很多應(yīng)用了工業(yè)控制的企業(yè)管控體系都不健全，對終端設(shè)備缺乏適合的終端物理安全保護辦法，缺乏有效的邊界完整性檢查，存在未經(jīng)授權(quán)終端非法接入的風(fēng)險，存在非法外聯(lián)的風(fēng)險，對身份鑒別、訪問控制等缺乏相應(yīng)的手段及管理標準。

三 工業(yè)控制系統(tǒng)信息安全防護體系的構(gòu)建

工業(yè)控制依托信息安全防護總體思想，通過建立管理體系、技術(shù)體系、運維體系等全面構(gòu)建工業(yè)控制安全防護體系，對工業(yè)控制系統(tǒng)形成全面保障。

1工業(yè)控制系統(tǒng)信息安全管理體系建立

工業(yè)控制系統(tǒng)信息安全管理體系是安全策略、組織、運作、技術(shù)體系標準化、制度化后形成的一整套信息安全的管理規(guī)范。管理體系包含制度建設(shè)和培訓(xùn)機制等。首先應(yīng)建立安全保障機制領(lǐng)導(dǎo)小組，明確職責(zé)、強化組織，協(xié)調(diào)指導(dǎo)工業(yè)控制系統(tǒng)信息安全方面的規(guī)劃制定、體系和制度建立、計劃落實、技術(shù)保障、事故應(yīng)急處理、風(fēng)險和事故評估等事宜。然后不斷完善及擴充工業(yè)控制系統(tǒng)信息安全方面的保障制度，完善信息安全防護體系。

2工業(yè)控制系統(tǒng)信息安全技術(shù)防護體系

安全技術(shù)防護主要包括物理安全、網(wǎng)絡(luò)完全、主機安全、應(yīng)用安全、數(shù)據(jù)安全五個方面。具體的防護通過多種安全產(chǎn)品、多種安全設(shè)備、多種安全策略、多種安全技術(shù)的集中管理與合理組合，在技術(shù)層面上對各類攻擊和不安全因素進行有效的防御、檢測、審計、控制等。

（1）物理安全防護

物理安全方面主要考慮核心工業(yè)控制軟硬件所在物理位置，相應(yīng)的訪問控制，視頻監(jiān)控、專人值守等物理安全防護措施，同時要考慮防雷擊、防盜、火災(zāi)與水災(zāi)等。如挑選具備防震以及防雨等有關(guān)能力的地點，在機房的每一個出入口均需要派出專人進行值守或者考慮安裝電子門禁，在機房內(nèi)安裝監(jiān)控報警裝置，拆除或封閉工業(yè)主機上不必要的USB、光驅(qū)、無線接口等。

（2）網(wǎng)絡(luò)安全防護

網(wǎng)絡(luò)方面主要有：網(wǎng)絡(luò)結(jié)構(gòu)、邊界安全、訪問體系、針對攻擊的防范、審計等?？梢圆捎萌缦率侄芜M行防護：確保為關(guān)鍵網(wǎng)絡(luò)設(shè)備相應(yīng)的業(yè)務(wù)能力留有富余，進而確保其在業(yè)務(wù)高峰期也能夠正常運行；禁止沒有防護的工業(yè)控制網(wǎng)絡(luò)與互聯(lián)網(wǎng)連接于業(yè)務(wù)終端，通過工業(yè)防火墻、網(wǎng)閘等防護設(shè)備對工業(yè)控制網(wǎng)絡(luò)安全區(qū)域之間進行邏輯隔離；依據(jù)重要程度寬帶優(yōu)先分配制度，進而確保重要業(yè)務(wù)不被耽誤；禁止在VPN狀態(tài)下接入網(wǎng)絡(luò)。

（3）主機安全防護

主機安全應(yīng)從身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范入手進行安全防護。如在工業(yè)主機登錄、資源訪問等過程中使用身份認證管理，對于關(guān)鍵系統(tǒng)的訪問采用多因素認證?？刹捎脭?shù)據(jù)單向訪問控制策略、對訪問時限進行控制等加固遠程訪問安全。加大審計的范圍和力度，保障審計記錄的真實完整性，做到事后可以追溯；對于非法攻擊等行為如發(fā)現(xiàn)、應(yīng)立即報告并進行處理等方式降低安全風(fēng)險。

（4）應(yīng)用安全防護

應(yīng)用方面應(yīng)采用加密方式訪問保障通信的完整性、保密性。增強登錄控制及審計功能，做到有效識別登錄人的身份，同時對登錄的操作進行有效記錄，保證可追溯性。增強對訪問異常及次數(shù)的控制，制定安全策略，應(yīng)對不同異常情況。用戶口令一定要有復(fù)雜度要求，并需要定期更改。

（5）數(shù)據(jù)安全防護

數(shù)據(jù)安全防護是通過加密以及多種手段對數(shù)據(jù)進行防護，通過這一系列的防護促進數(shù)據(jù)安全保障工業(yè)控制系統(tǒng)信息安全，同時應(yīng)建立重要數(shù)據(jù)備份恢復(fù)機制，定期做應(yīng)急演練。

結(jié)論

工業(yè)控制系統(tǒng)信息安全建設(shè)是一項系統(tǒng)工程，需要做到安全策略和安全教育并重，安全技術(shù)和安全管理并施，從多方位、多角度全面建立起適應(yīng)企業(yè)發(fā)展的安全保障機制，全面保障企業(yè)工控系統(tǒng)安全可靠運行。

參考文獻：

[1]GB/T22239-2016.信息安全技術(shù)：信息系統(tǒng)安全等級保護基本要求[S].2016

[2]GB/T25070-2016.信息安全技術(shù)：信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求[S].2016

[3]杜偉奇，王平，王浩.工業(yè)控制系統(tǒng)中安全威脅分析與策略[J]重慶郵電學(xué)院學(xué)報（自然科學(xué)版），2005，（05）.

[4]李璇.淺談以太網(wǎng)在工業(yè)控制系統(tǒng)中的應(yīng)用[J].科技資訊，2009，（21）.

[5]GB/T20270-2016.信息安全技術(shù)：網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求[S].2016

[6]陳星，賈卓生.工業(yè)控制網(wǎng)絡(luò)的信息安全威脅與脆弱性分析與研究[J].計算機科學(xué)，2012，39（10）：188—190.