安全分區解決方案

文/Sabine Mühlenkamp

智能生命周期管理能夠保證過程自動化的最大安全性——流程企業越來越關注網絡安全的話題。長期以來，僅靠殺毒軟件、防火墻和密碼已經不足以防止網絡黑客的攻擊了，企業需要定制化的安全保護方案來保障網絡安全。因此，B&R 公司重新修改了自己研發的生命周期管理軟件Aprol過程控制系統。

流程工業網絡安全面臨的最大風險來自不安全的保護密碼、沒有進行軟件更新或者被病毒污染的U 盤。合適的保護對策能減少這類事件的發生，但也增加了一些風險。因為現代化的工業控制系統廣泛使用的是標準軟件，即CTOS 現場的商品軟件，這種軟件提高了受到網絡攻擊的風險。因此，企業必須采取適當的防護措施來大程度降低這種風險。

雖然殺毒軟件、防火墻和密碼一直是流程工業日常工作中的一部分，但這些不足以保護過程控制系統免受網絡攻擊。更重要的是，企業要在流程設備規劃設計的早期階段就進行風險評估，并制定全面的安全防護方案。這一安全保護方案與流程設備的工藝流程、基礎設施、當地的安全條件等因素有著密切的關聯。此時，沒有一套現成的標準型網絡安全保護方案成為了最大的挑戰。另外，安全保護系統還必須定期更新升級，這對于流程企業也并非一件易事。

除了發行新版本軟件和安全補丁外，B&R 公司每個月都提供操作系統的軟件更新

定期更新以修復薄弱環節

B&R 公司認為在流程設備規劃設計階段，在網絡安全戰略制定中設置生命周期管理至關重要。定期的安裝補丁程序、固件更新、BIOS 更新和安全認證可以很快地修復安全漏洞。

除了通常發行的主版本軟件和補丁軟件之外，B&R 公司每個月還提供操作系統的軟件更新，這使得用戶的控制系統能夠滿足許多網絡的安全保護戰略要求。

B&R 公司發布Aprol 軟件已經4 年時間，一旦新版軟件開發成功，先前版本軟件的狀態立即從“活動狀態”改換為“經典狀態”。在軟件更新后，B&R 公司都會提供Linux 操作系統的安全更新。B&R 公司每年都會為當前版本的軟件提供一些新功能，在隨后的軟件使用受限階段中，B&R 公司也將不再進行更新。

此外，企業需要安裝補丁程序來維護現有的系統軟件。當前的最新補丁程序都是針對特定版本編寫的，其中包括了所有可用的錯誤修復程序。而發布補丁程序的時間間隔取決于需要被修復的錯誤的嚴重程度。

在規劃設計安全保護區時，首先將設備劃分為若干自動化單元，然后通過安全保護措施將其整合成安全保護區

始終保證安全

B&R 公司每個月都為Lunix操作系統提供底層的軟件更新。在發布Suse Linux Enterprise Server 多模式操作系統的更新軟件之前，B&R 公司對這些更新內容進行了大量測試。對于每年發布一次的Build 版本，每個月都要進行14 次更新，然后每6 個月更新4 次。這些都可以在AutoYaSTDVD 的幫助下完成，以ISO 映像文件的格式下載下來。

這樣做帶給用戶的好處是，用戶始終可以收到最新版本的軟件，同時也可以確保操作系統的安全，定期地補充一些新功能非常重要。

分布式可以抵御網絡威脅

另外，B&R 公司還進一步開發了用戶管理軟件Aprol。現在，每一個多進程服務器上都有自己符合LDAP 輕量目錄訪問協議的389 個目錄服務。這樣就可以輕松建立自給自足的、帶有安全保護單元的分布式操作系統，并能保障整個系統的連續性。

為了保護大型流程設備免受網絡風險的影響，通常都會將這些大型流程設備劃分在若干“安全保護區”中。如果這種基礎結構中的某個區域受到了網絡攻擊，則其他區域內的設備仍可以安全運行。一個安全保護區由一個或者多個自動化單元組成，只有經授權許可的人員才能訪問這些區域。進入這些區域的人員和儀器設備都必須經過身份驗證和授權，這就限制了可能發生的安全威脅，減少了危險帶來損失的同時，也提高了流程設備的可用性。在規劃設計安全保護區時，首先將設備劃分為若干自動化單元，即過程單元，然后通過安全保護措施將其整合成安全保護區，即安全單元。

自動化單元包括了與生產相關的區域、分區、子區域或者子系統等，有著自主運行功能，并且可以在一定時間段內無需與系統其它部分連接而自動運行的設備。在這些區域中，網絡通信都是在本區域內進行的。

靈活的結構

Aprol 多進程服務器體系支持分布式的控制方式。一個這樣的服務器系統包含了自主操作所需的所有軟件系統，例如可視化、編排、趨勢、報警和報告系統。

數據的分類歸檔也可以在每一個區域中完成，這就意味著可以長期將整個系統中的某一個單元隔離出去。Aprol多進程服務器系統靈活的客戶端/服務器架構最多可以支持64 個安全保護單元。

為保證網絡安全，這一解決方案為每一個運行服務器都配備了符合LDAP 輕量目錄訪問協議的專用服務。操作員的身份驗證可在專用的389 目錄服務器中進行設置，并復制到運行服務器的本地服務器中。這樣就可以在斷開連接后，也可以由操作員在某一個安全保護區中進行操作。用戶得到一個自主運行的安全保護單元的同時，也保證了工程設計工作的一致性。

此外，Aprol 系統還可以在計算機上完成任意數量控制器的模擬。這也就意味著，用戶可以在每一種控制器配置遷移到實際應用的硬件之前，就在安全保護區內進行廣泛的安全測試了。