工控系統信息安全分析及改進

呼瑞鵬

摘 要：某電廠工業控制系統，主要包括DCS（分散式控制系統）、PLC（可編程控制器）、PI（企業信息化數據平臺）以及MES（生產過程管理系統）等組成，隨著公司的不斷發展，各種信息化管理系統項目的應用。隨著系統的功能越來越多，應用軟件的規模越來越大，工業控制系統原有相對封閉的使用環境逐漸被打破，開放性和互聯性越來越強，通過對公司工控系統危險點進行分析，從而進一步制定了防御措施，保障了公司工控系統的信息安全。

關鍵詞：工控系統;信息;安全

引言

工控系統是指由計算機和工業過程控制部件組成的自動控制系統。某化工廠的自備電廠工控系統由DCS（分散控制系統）、PLC（可編程控制器）、PI（企業信息化數據平臺）以及MES（生產過程管理系統）等組成，這樣一個龐大的工控系統，其復雜性越高，系統信息安全或其錯誤將越難以檢測。因此網絡信息的安全可靠，是至關重要的。一旦工控系統的信息安全出現問題，不僅會導致系統停運造成經濟損失，更可怕的是被黑客操控后給企業帶來毀滅性的安全事故，甚至會影響到國家安全。

一：工控系統現狀

某電廠工控系統原由DCS（分散控制系統）、PLC（可編程控制器）組成，雖然控制系統數目較多，但是其結構簡單，信息環境完全封閉，橫向的工控系統之間沒有關聯，縱向與公司的內網也無任何關聯。信息安全的風險較小，因此工業控制信息系統在設計時并未將整體系統的信息安全防護進行重點設計。

隨著公司的不斷發展，各種信息化管理系統項目的應用。隨著系統的功能越來越多，應用軟件的規模越來越大，工業控制系統原有相對封閉的使用環境逐漸被打破，開放性和互聯性越來越強，使得工業控制系統與各種業務系統的協作成為可能，工業設備、人、信息系統和數據的聯系越來越緊密。因此提高信息系統的安全，已成為提高工控系統安全性最重要的問題。

二：工控系統信息系統危險點分析

工控系統的安全最主要的對象就是網絡和主機的安全。通過對某電廠工控系統的檢查發現：

1.移動介質管理（重點是USB）只有管理制度，沒有有效的技術手段進行防護，APT惡意程序極易通過移動介質傳播到生產控制網絡。

2.輸煤、水處理操作員、工程師站操作系統均采用Windows XP系統，操作系統與軟件均不是正版的系統，系統漏洞極多，容易被利用攻擊;沒有有效的系統加固技術手段和病毒防護能力。

工控機的USB端口有部分仍未封堵，且未在系統中關閉不必要的端口。

3.除了主系統的DCS與應用層網絡設置單向網閘隔離，不同的子系統之間都沒有有效的隔離，其他網絡互連時缺乏安全邊界控制。

4.生產控制系統權限管理較弱，部分操作員站與工程師站的密碼使用弱口令，缺少嚴格的授權管理和身份認證措施。針對電力監控系統，缺少必要的網絡審計手段和針對工業級惡意代碼的入侵檢測系統，系統補丁未及時更新。

5.和利時的操作軟件并未在企業版的殺毒軟件環境中做過測試，因此無法確保殺毒軟件對運行數據的影響，導致運行過程中進行殺毒具有極大的風險。

三：信息安全防御措施

隨著攻擊者專業程度越來越高，對電力工業控制系統及規約協議了解充分，攻擊方式更加全面，技巧更加高明，內部安全風險缺少資產盤點，脆弱性難以實時評估，外部威脅應對不足。因此必須制定一套公司工控系統信息安全的防御系統， 通過提高本體安全、結構安全以及行為制度的規范性，形成一套工控系統的信息安全標準化制度，保障公司的工控系統安全運行。

1：加強移動介質在工控系統的檢測，增加工控系統專用電腦，配備專業的殺毒軟件，使用移動介質前，先在工控電腦中進行殺毒處理。對用戶進行身份認證，限制非授權用戶訪問關鍵信息和代碼。

2：購買正版的Windows操作系統和工控軟件，避免系統漏洞或盜版軟件影響工控系統的運行。

3：對工控系統不用的封口進行封堵，工控機不必要的端口進行關閉，工控機軟件安裝設置白名單準入機制防止非法訪問。

4：各子系統之間增加信息安全設備，如防火墻、網絡過濾單元、殺毒軟件等，保障橫向的子系統之間安全隔離。

5：建立在線監測數據挖掘系統，建立工控網絡流量采集系統與網絡流量收集及實時分析系統，監視并控制網絡流量，有效防止DOS攻擊和系統本身故障導致的數據風暴。

6：邀請專業的工控信息安全單位，對公司工控系統信息安全進行可靠性評估，及時發現問題，并予以解決。

結束語

工業控制系統信息安全問題需要最終用戶、系統集成商和設備供應商共同解決，單靠任何一方都難以全面解決問題。對于公司正在運行的系統，應該分期分步開展工控信息安全升級，先從切斷不必要的外部端口開始，對系統進行信息安全缺陷分析，切斷危險擴散的路徑入手，逐步提升工控系統的信息安全水平。

參考文獻

[1]陳世和，火電廠控制系統信息安全主動防御技術[R/OL]，中國南方電網，2016

[2]劉偉，工控系統信息安全現狀分析和應對措施[J/OL]，工業安全，2013