工業控制系統信息安全防護措施

龍海軍　王希

摘? ?要：隨著中國制造2025的持續推進、制造業與互聯網融合的快速發展，工業控制系統（Industrial Control System）被更加廣泛地應用于能源、電力、水利、油氣、化工、冶金、制藥、食品和裝備制造等各個行業。近年來，工業控制系統從單機走向互聯，從封閉走向開放，從自動化走向智能化，生產力顯著提高，工業控制系統面臨著日益嚴峻的信息安全威脅，然而工業控制系統信息安全又事關經濟發展、社會穩定和國家安全，因此工業控制系統信息安全防護迫在眉睫。本文著重分析了工業控制系統信息安全所面臨的威脅的來源，結合在工程實際中積累的應用經驗，提出了對應的防范措施。

關鍵詞：工業控制系統? 信息安全

中圖分類號：TP309? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A? ? ? ? ? ? ? ? ? ? ? ?文章編號：1674-098X（2020）02（a）-0002-02

近年來，工業控制系統信息安全面臨越來越嚴峻的威脅，遭受的惡意攻擊也時有發生。

2000年，澳大利亞昆士蘭一名被解雇的工程師通過無線網絡侵入水廠控制系統，造成水處理廠發生46次控制設備異常事件，導致大量污水進入供水系統;2003年，美國俄亥俄州Davis-Besse核電站受到SQL Slammer蠕蟲病毒攻擊，導致該核電站不能正常運行;2006年，美國阿拉巴馬州的Browns Ferry核電站3號機組受到網絡攻擊，導致3號機組被迫關閉;2010年，網絡超級武器“Stuxnet”病毒入侵伊朗布什爾核電站的控制系統，威脅核反應堆的安全運行;2011年，“Dupu”病毒侵多過個工業控制系統收集數據，導致大量信息泄漏。

1? 工業控制系統信息安全面臨的主要威脅

工業控制系統信息安全面臨的威脅主要包括主觀威脅和客觀威脅。

主觀威脅主要是人為的、蓄意的攻擊，可能來自內部員工、商業間諜、網絡黑客、反社會的犯罪分子或恐怖分子、敵對勢力等。通過物理侵入或網絡侵入等手段，篡改或盜取系統運行數據，進而竊取關系國家安全和經濟狀況的重要信息，篡改程序、閾值、參數設置或者植入惡意軟件、病毒軟件導致系統不能正常工作甚至摧毀工業裝置。

客觀威脅主要指不是人為故意造成的，損害信息安全的威脅，通常包括工程技術人員失誤、設備缺陷故障和自然災害等。

2? 工業控制系統信息安全防護措施

工業控制系統信息安全防護應覆蓋全生命周期各個階段，同時要從管理和技術上分別采取防護措施。

2.1 管理方面采取的措施

在管理方面要設置一些技術手段，防止未經授權的人員接觸、登錄系統，篡改內容和竊取信息等。一般應采取的措施包括：（1）設置門禁系統和設備柜上鎖等手段控制人員與設備之間的物理接觸;（2）設置用戶策略，防止未授權人員登錄，篡改程序和竊取數據;（3）采用物理隔離方式杜絕外部訪問，如果不能物理隔離，則配置專門的防火墻控制未經授權的遠程訪問;（4）為系統內所有設備和開發工具安裝病毒防護軟件，及時升級病毒庫，保證病毒庫是最新版本;（5）建立項目文件管理體系，保證設計過程文件處于絕對安全受控狀態，杜絕未經授權的篡改和拷貝等。

2.2 技術方面采取的措施

2.2.1 網絡攻擊的應對措施

工業控制系統各層之間和系統與外部網絡之間都有物理連接，隨時傳輸大量的數據，針對這一現狀，可以在不改變工業控制系統基礎架構的前提下，通過配置與工業控制系統高度集成的信息安全組件提升系統的信息安全防護能力。具體的做法是：（1）在系統與外部網絡的連接處設置工業控制防火墻;（2）在系統的控制層（一層）、監測層（二層）之間，安裝工業控制防火墻;（3）在一層控制網與控制器之間增加工業控制防火墻。工業控制系統與外部網絡之間的工業控制防火墻，需要基于工業控制協議，與廠家合作定制開發;工業控制系統內部防火墻，需要作為控制系統的專用模塊，集成到控制系統中。

2.2.2 組態攻擊應對

當外部入侵跨越所有防護手段最終進入工業控制系統控制器時，如果僅僅使控制器停止工作，系統將立即啟動故障保護模式，切換到冗余控制器，不會對工業設備和過程造成損壞;如果導致篡改系統中輸入輸出數據，可以比較期望輸出與實際輸出（實際輸出可能遭受攻擊被篡改），通過偏差檢測到外部入侵。異常處理的程序如圖1所示。

針對重要的控制對象，還要采取防止攻擊/欺騙的邏輯設計，對檢測到的偏差進行判斷，當發現外部攻擊導致行為異常時，進入相應的保護程序。被控對象遭受攻擊判斷邏輯圖如圖2所示。

3? 結語

工業控制系統應用廣泛，開放需求越來越強烈，工業控制系統信息遭受攻擊的風險越來越大，工業控制系統信息安全防護就成為當前工業控制系統設計和實施必須考慮的問題。本文分析了工業控制系統信息安全面臨的主要威脅，就系統整個生命周期，從管理和技術兩個方面給出了具體的防護措施方案。該防護措施已經在之前的核電廠工程實踐中應用，被證明能夠在很大程度上保護系統信息安全，可以在類似工程項目中推廣應用，為同類項目提供參考。

參考文獻

[1] 工業控制系統信息安全 第1部分：評估規范[Z].2014.

[2] 工業控制系統信息安全 第2部分：驗收規范[Z].2014.

[3] 工業和信息化部.工業控制系統信息安全防護指南[Z].2016（6）：11.

[4] 楊建軍.工業控制系統信息安全標準化[Z].中國電子技術標準化研究院，2012（3）：20-23.

[5] 張嘩.信息安全新焦點—工業控制系統安全[Z].北京啟明星辰信息安全技術有限公司，2012（10）：46-48.