煙草商業(yè)物流工控安全體系建設(shè)探究

摘 要：隨著社會進(jìn)步和計(jì)算機(jī)技術(shù)的不斷發(fā)展，物流工控設(shè)備在煙草商業(yè)企業(yè)物流得到普遍應(yīng)用，在生產(chǎn)中發(fā)揮重要的“神經(jīng)中樞”作用，逐漸形成了相對完整的工控體系。文章首先對某市煙草商業(yè)企業(yè)物流工控網(wǎng)絡(luò)現(xiàn)狀進(jìn)行論述，其次分析其工控系統(tǒng)的安全風(fēng)險(xiǎn)，最后對存在的安全體系風(fēng)險(xiǎn)問題給出建設(shè)性意見。

關(guān)鍵詞：工控設(shè)備;煙草物流;安全體系

中圖分類號：F721;F252 文獻(xiàn)標(biāo)識碼：A文章編號：1005-6432（2022）08-0173-03

DOI：10.13939/j.cnki.zgsc.2022.08.173

當(dāng)前，全球正出現(xiàn)以信息網(wǎng)絡(luò)、智能制造、新能源和新材料為代表的新一輪技術(shù)創(chuàng)新浪潮，中國制造業(yè)也正處于“兩化融合”發(fā)展的關(guān)鍵階段和提升的重要時(shí)期。科技進(jìn)步帶來的更加開放的工業(yè)控制網(wǎng)絡(luò)，正面臨著來自網(wǎng)絡(luò)的嚴(yán)峻安全威脅。生產(chǎn)制造業(yè)面臨的工業(yè)控制網(wǎng)絡(luò)安全威脅，是全世界面臨的共同難題。為此各國開展深入合作，共同研究應(yīng)對措施。據(jù)統(tǒng)計(jì)，我國是受到網(wǎng)絡(luò)攻擊最多而且最為嚴(yán)重的國家之一，對網(wǎng)絡(luò)的數(shù)據(jù)安全極為重視。隨著工控網(wǎng)絡(luò)在制造業(yè)的普及，工控安全體系的研究及構(gòu)建迫在眉睫。

煙草行業(yè)內(nèi)的物流工控系統(tǒng)，需要將產(chǎn)品的信息化和工業(yè)化進(jìn)行高度的融合，其信息安全是頭等大事。自動化技術(shù)、計(jì)算機(jī)技術(shù)及互聯(lián)網(wǎng)技術(shù)的突飛猛進(jìn)，帶動了工控系統(tǒng)的管理需求，逐漸形成了工業(yè)管理與控制的協(xié)同一體化。信息化與工業(yè)化的高度融合，使得工控系統(tǒng)在硬件、軟件和協(xié)議上進(jìn)一步兼顧通用性。工控系統(tǒng)不再獨(dú)立運(yùn)行，其開放性進(jìn)一步增強(qiáng)。其接入的范圍不僅局限在企業(yè)網(wǎng)，而是擴(kuò)展到了互聯(lián)網(wǎng)。因而面臨著來自互聯(lián)網(wǎng)的信息安全威脅，同樣需要可靠的網(wǎng)絡(luò)安全防護(hù)體系。

1 煙草商業(yè)物流工控系統(tǒng)架構(gòu)

1.1 業(yè)務(wù)結(jié)構(gòu)

在煙草商業(yè)企業(yè)的物流組成部分中，主要有數(shù)據(jù)管理部分、物流管理部分、調(diào)度監(jiān)控部分和控制執(zhí)行部分，涵蓋了卷煙采購、出入庫、分類揀拾、出貨等各個(gè)環(huán)節(jié)。

1.2 物流工控網(wǎng)絡(luò)結(jié)構(gòu)

該煙草商業(yè)企業(yè)物流工控網(wǎng)絡(luò)結(jié)構(gòu)從功能層面劃分為辦公網(wǎng)和生產(chǎn)網(wǎng)。辦公網(wǎng)為數(shù)據(jù)管理系統(tǒng)工作網(wǎng)絡(luò)，包含供應(yīng)鏈管理、營銷大平臺、財(cái)務(wù)管理、物流管控、專賣管理系統(tǒng)等;生產(chǎn)網(wǎng)由物流管理層、數(shù)據(jù)交換平臺、控制總線網(wǎng)絡(luò)和設(shè)備總線組成。物流工控網(wǎng)絡(luò)從縱向來看，分為數(shù)據(jù)管理系統(tǒng)、數(shù)據(jù)交互平臺、控制總線網(wǎng)絡(luò)和設(shè)備總線。該企業(yè)的物流工控網(wǎng)絡(luò)結(jié)構(gòu)架構(gòu)如圖1所示。

從圖中看出，根據(jù)企業(yè)內(nèi)部數(shù)據(jù)流向來劃分主要有四個(gè)部分。第一部分的數(shù)據(jù)管理系統(tǒng)包括數(shù)據(jù)管理層和物流管理層，其中數(shù)據(jù)管理層主要包括了供應(yīng)鏈管理系統(tǒng)中的計(jì)劃管理、采購管理、營銷管理等，還包括結(jié)算統(tǒng)計(jì)、訂貨管理、財(cái)務(wù)管理、專賣管理、票據(jù)管理、客戶關(guān)系管理和決策支持等。物流管理層則主要負(fù)責(zé)倉儲管理、調(diào)度管理、分揀配貨、合單管理、設(shè)備管理、配送管理、綜合管理等。第二部分則是數(shù)據(jù)交換的平臺，主要以虛擬化服務(wù)器集群和工作站作為支撐，技術(shù)管理人員進(jìn)行管理和調(diào)度監(jiān)控，為上下層提供數(shù)據(jù)的分析和支持。第三部分是總線控制網(wǎng)絡(luò)，它是一個(gè)用于工業(yè)設(shè)備自動控制的開放式計(jì)算機(jī)內(nèi)部局域網(wǎng)系統(tǒng)，從控制總站為線路支持提供各種接口。第四部分為設(shè)備總線，其主要連接了各種變頻器、I/O、電子標(biāo)簽分揀機(jī)、自動分揀機(jī)、環(huán)穿車、堆垛機(jī)、傳輸、疊垛包裝等，完成了各種底層的倉儲備貨、分揀、包裝、標(biāo)簽打印等操作。

2 煙草商業(yè)物流工控系統(tǒng)現(xiàn)狀

2.1 國外物流工控系統(tǒng)現(xiàn)狀

根據(jù)美國工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組（ICS-CERT）發(fā)布的2013年年報(bào)統(tǒng)計(jì)，近幾年ICS-CERT接到的工控系統(tǒng)漏洞上報(bào)數(shù)量在不斷增加，其中在2013年接到的181個(gè)漏洞報(bào)告中，有177個(gè)被確認(rèn)是真實(shí)的工控系統(tǒng)漏洞，共涉及52個(gè)廠商。在這177個(gè)被確認(rèn)的漏洞中，87%的漏洞可以通過網(wǎng)絡(luò)遠(yuǎn)程被利用。在漏洞類型中，身份驗(yàn)證漏洞的數(shù)量最多。這些漏洞可能使具有初級水平的攻擊者通過互聯(lián)網(wǎng)獲得訪問工業(yè)控制設(shè)備的管理員權(quán)限。

根據(jù)美國ICS-CERT往年統(tǒng)計(jì)的工控信息安全事件數(shù)量可知，近幾年工業(yè)控制系統(tǒng)相關(guān)的信息安全事件正在呈快速增長的趨勢。在2013年的工控信息安全事件中，能源、制造業(yè)、市政等國家關(guān)鍵基礎(chǔ)設(shè)施受到的攻擊最為嚴(yán)重。這些信息安全事件涉及的主要攻擊方式包括水坑式攻擊、SQL注入攻擊和釣魚攻擊等。

2.2 國內(nèi)煙草商業(yè)物流工控系統(tǒng)現(xiàn)狀

根據(jù)綠盟科技公司的統(tǒng)計(jì)，2013年公開新增工業(yè)控制系統(tǒng)相關(guān)的漏洞共計(jì)78個(gè)，相對于前兩年有所放緩，軟件漏洞數(shù)量有所回落，但硬件漏洞數(shù)量繼續(xù)保持持續(xù)增長趨勢。對工控網(wǎng)絡(luò)攻擊行為已經(jīng)出現(xiàn)在多種工業(yè)領(lǐng)域中，比如軌道交通、石油化工、煙草、電力、醫(yī)療系統(tǒng)、制藥等。在某煙草企業(yè)，煙機(jī)經(jīng)常出現(xiàn)不明原因的停機(jī)，造成巨大的經(jīng)濟(jì)損失。企業(yè)人員經(jīng)過多次生產(chǎn)檢查都無濟(jì)于事，最后通過專業(yè)工控網(wǎng)絡(luò)安全廠商的漏洞挖掘檢測才找到了問題，定位原因?yàn)楣た鼐W(wǎng)絡(luò)攻擊導(dǎo)致。

我國也在積極探索漏洞挖掘與風(fēng)險(xiǎn)通報(bào)工作，2012年國務(wù)院的23號文與2011年工信部451號文都提出要建立漏洞通報(bào)與發(fā)布制度。2012年，工業(yè)和信息部啟動了工控系統(tǒng)信息安全風(fēng)險(xiǎn)發(fā)布工作。同年8月，下發(fā)了《工業(yè)和信息化部辦公廳關(guān)于開展工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)信息發(fā)布工作的通知》（工信廳協(xié)函〔2012〕629號），對工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)信息發(fā)布工作做出了具體安排。

為支持工控系統(tǒng)信息安全風(fēng)險(xiǎn)發(fā)布，工信部還組織相關(guān)機(jī)構(gòu)建立了工業(yè)控制系統(tǒng)信息安全仿真環(huán)境和測試實(shí)驗(yàn)室，初步具備了工業(yè)控制系統(tǒng)信息安全攻擊與防范體系防御演習(xí)以及漏洞檢測、挖掘及驗(yàn)證能力。同時(shí)，我國也鼓勵研究機(jī)構(gòu)、工控產(chǎn)品廠商、信息安全廠商和研究人員積極參與工控風(fēng)險(xiǎn)“可發(fā)現(xiàn)”的研究工作，積極向主管部門上報(bào)風(fēng)險(xiǎn)。

3 煙草商業(yè)物流工控系統(tǒng)安全需求與風(fēng)險(xiǎn)分析

在工業(yè)化和信息化兩化融合趨勢下，工業(yè)控制網(wǎng)絡(luò)與日常辦公網(wǎng)絡(luò)的連通是大勢所趨。工業(yè)企業(yè)通常采取安全措施對傳統(tǒng)網(wǎng)絡(luò)進(jìn)行安全防護(hù)，但對工業(yè)控制系統(tǒng)的信息安全重視程度不夠。同時(shí)，安全保護(hù)和管理的措施不足，安全漏洞風(fēng)險(xiǎn)大是常態(tài)。

作為國民經(jīng)濟(jì)的支柱產(chǎn)業(yè)之一，煙草工商企業(yè)中，煙草工業(yè)企業(yè)在工業(yè)生產(chǎn)領(lǐng)域，煙草商業(yè)企業(yè)在倉儲儲配領(lǐng)域都廣泛使用了工業(yè)控制系統(tǒng)。因此如何確保整個(gè)系統(tǒng)的安全和穩(wěn)定對于煙草行業(yè)而言是非常重要的。下面就煙草商業(yè)物流控制類系統(tǒng)如何進(jìn)行安全防護(hù)進(jìn)行分析。

就全國煙草商業(yè)企業(yè)物流領(lǐng)域工控網(wǎng)絡(luò)而言，基本上沒有有效的檢測和防范手段抵御外部對工控網(wǎng)絡(luò)的攻擊。網(wǎng)絡(luò)層面，外部威脅源一旦進(jìn)入公司的辦公網(wǎng)絡(luò)，則可以此為跳板連接到工控網(wǎng)絡(luò)的現(xiàn)場控制層網(wǎng)絡(luò)，直接影響工業(yè)生產(chǎn);系統(tǒng)和終端層面，由于大部分采用了通用的Windows操作系統(tǒng)，為保證工業(yè)軟件的穩(wěn)定運(yùn)行，在操作過程中往往不會及時(shí)進(jìn)行系統(tǒng)升級，甚至沒有安裝殺毒軟件，存在著大量的安全漏洞。

由此可見，煙草行業(yè)從生產(chǎn)到物流等環(huán)節(jié)都面臨著工業(yè)安全風(fēng)險(xiǎn)，單從煙草物流控制類系統(tǒng)來看，煙草商業(yè)物流主要有以下五方面的風(fēng)險(xiǎn)及安全需求。

3.1 生產(chǎn)管理執(zhí)行系統(tǒng)與物流控制系統(tǒng)的網(wǎng)絡(luò)系統(tǒng)隔離需求與風(fēng)險(xiǎn)分析

生產(chǎn)管理執(zhí)行系統(tǒng)通過網(wǎng)絡(luò)通信手段，進(jìn)行車間管理和將生產(chǎn)任務(wù)調(diào)度到各生產(chǎn)線執(zhí)行，控制跟蹤物料、人員、設(shè)備和庫存。此類系統(tǒng)生產(chǎn)執(zhí)行層作為管理網(wǎng)與工控系統(tǒng)直接相連的部分，為避免工控系統(tǒng)受到來自管理網(wǎng)的安全威脅，生產(chǎn)執(zhí)行層與監(jiān)督控制層之間的安全隔離十分必要。

3.2 安全域劃分網(wǎng)絡(luò)隔離需求與風(fēng)險(xiǎn)分析

在調(diào)度控制層中主要設(shè)備有操作員站、物流管理系統(tǒng)的服務(wù)器和客戶端以及調(diào)度控制系統(tǒng)的服務(wù)器和客戶端。如果調(diào)度控制層設(shè)備在同一網(wǎng)段內(nèi)，業(yè)務(wù)終端、操作站、服務(wù)器沒有安全防護(hù)，也不進(jìn)行區(qū)別對待，會存在較大安全風(fēng)險(xiǎn)。

3.3 監(jiān)控終端及服務(wù)器漏洞補(bǔ)丁合規(guī)檢查和防護(hù)需求與風(fēng)險(xiǎn)分析

操作站、服務(wù)器大多采用Windows系統(tǒng)，因?yàn)楦鞣N技術(shù)或管理原因長期不更新，存在大量漏洞。另外，各類操作站的外設(shè)管理以及安裝軟件合規(guī)性檢查等方面也都需進(jìn)行安全防護(hù)。

3.4 網(wǎng)絡(luò)實(shí)時(shí)監(jiān)測審計(jì)過濾需求與風(fēng)險(xiǎn)分析

在現(xiàn)場控制層主要設(shè)備包括控制輸送機(jī)、堆垛機(jī)等物流機(jī)械設(shè)備的PLC控制器以及運(yùn)輸物品AGV小車所接入的無線AP，接收來自監(jiān)督控制層的操作指令。監(jiān)控服務(wù)器、操作站服務(wù)器等很容易成為攻擊跳板，從而被用來惡意訪問其他設(shè)備。因此，需對這些設(shè)備的入侵或異常行為進(jìn)行實(shí)時(shí)監(jiān)測與過濾。

3.5 現(xiàn)場無線網(wǎng)絡(luò)安全需求風(fēng)險(xiǎn)分析

現(xiàn)場的無線AP被入侵后，很可能導(dǎo)致AGV小車的路線錯誤或運(yùn)輸物品錯誤。煙草商業(yè)企業(yè)通常對辦公網(wǎng)絡(luò)的信息安全進(jìn)行一定級別的等保防護(hù)措施，但由于技術(shù)水平和管理方面原因，往往對工業(yè)控制系統(tǒng)信息安全缺乏足夠的保護(hù)措施，導(dǎo)致工業(yè)控制網(wǎng)絡(luò)存在較大的安全漏洞和風(fēng)險(xiǎn)。

4 煙草商業(yè)物流工控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)策略

通常來講，工控系統(tǒng)物流控制類的安全域通常包括生產(chǎn)執(zhí)行域、監(jiān)督控制域和工控域。面對物流控制類工控系統(tǒng)不同分域、分區(qū)情況以及業(yè)務(wù)要求如何進(jìn)行相應(yīng)的安全防護(hù)。通過下面所述安全防護(hù)措施，能夠有效保障物流控制類系統(tǒng)安全運(yùn)轉(zhuǎn)。

其一，對生產(chǎn)管理執(zhí)行系統(tǒng)到物流控制系統(tǒng)進(jìn)行訪問控制，阻斷來自管理網(wǎng)的非法行為，避免工控系統(tǒng)受到來自管理網(wǎng)的安全威脅。其二，做好操作站到PLC、堆垛機(jī)的訪問控制。倉儲物流系統(tǒng)中最重要的設(shè)備就是堆垛機(jī)，實(shí)現(xiàn)操作站到PLC、堆垛機(jī)的訪問控制是一種實(shí)現(xiàn)堆垛機(jī)全過程信息數(shù)據(jù)管理的方式，該管理方式數(shù)據(jù)全面，覆蓋了堆垛機(jī)的全過程數(shù)據(jù)，可以實(shí)現(xiàn)堆垛機(jī)的信息化控制。其三，對物流控制類工控系統(tǒng)進(jìn)行實(shí)時(shí)異常流量監(jiān)測。由于工控網(wǎng)絡(luò)的穩(wěn)定、可靠和可控性由各方面的指標(biāo)組成，其中每個(gè)設(shè)備對外的請求數(shù)量、收到的請求數(shù)量和對外提供的服務(wù)都是可度量且可控的。對物流控制類工控系統(tǒng)進(jìn)行實(shí)時(shí)異常流量監(jiān)測，既可以旁路部署，又可以串入工控網(wǎng)絡(luò)的設(shè)備。對工控網(wǎng)絡(luò)的流量進(jìn)行實(shí)時(shí)采集和監(jiān)測，并利用智能學(xué)習(xí)引擎自學(xué)習(xí)工控網(wǎng)絡(luò)正常流量形成安全基線，以此為基線對工控網(wǎng)絡(luò)中的各個(gè)設(shè)備進(jìn)行實(shí)時(shí)監(jiān)測，對異常的流量進(jìn)行實(shí)時(shí)告警并記錄到告警日志中。如何解決全方面收集各工控系統(tǒng)中各個(gè)設(shè)備發(fā)送和收到的流量、如何建立安全基線、如何判定流量異常及流量異常后處理的問題。其四，對操作站的U盤及外設(shè)要進(jìn)行嚴(yán)格管控。U盤具有攜帶方便、存儲容量大、價(jià)格便宜等優(yōu)點(diǎn)，很多人喜歡把各種資料儲存在U盤里。病毒制造者不甘錯過這一傳播病毒的好機(jī)會，編制了種種病毒，給U盤使用者帶來了煩惱。對操作站的U盤及外設(shè)要進(jìn)行嚴(yán)格管控，減少病毒的感染。其五，及時(shí)發(fā)現(xiàn)工控系統(tǒng)操作員站、工程師站、服務(wù)器、組態(tài)軟件及PLC的漏洞，以便做出應(yīng)對。其六，對工控系統(tǒng)的操作員站、工程師站、路由器、交換機(jī)和組態(tài)軟件等設(shè)備進(jìn)行統(tǒng)一性能監(jiān)測、日志采集及集中管理。其七，對無線網(wǎng)絡(luò)安全進(jìn)行有效防護(hù)。其八，及時(shí)準(zhǔn)確地發(fā)現(xiàn)和修補(bǔ)工控漏洞。工業(yè)控制系統(tǒng)安全問題受到了廣泛關(guān)注，安全問題的核心就是漏洞，工業(yè)控制系統(tǒng)安全事件層出不窮使得工控系統(tǒng)存在大量的漏洞。要做好措施及時(shí)準(zhǔn)確地發(fā)現(xiàn)和修補(bǔ)工控漏洞。

綜上所述，煙草物流工控系統(tǒng)的安全防護(hù)刻不容緩，煙草行業(yè)物流控制工控系統(tǒng)安全防護(hù)解決方案，不僅能對系統(tǒng)進(jìn)行有效防護(hù)，更能在不影響正常業(yè)務(wù)的情況下完成部署，防護(hù)過程高效便捷。同時(shí)，還應(yīng)針對個(gè)性化安全需求，提供差異化的工控系統(tǒng)防護(hù)解決方案。

5 結(jié)論

現(xiàn)代企業(yè)的發(fā)展要跟上信息化、智能化的步伐。構(gòu)建完善物流工控網(wǎng)絡(luò)對每一家煙草商業(yè)物流來說是大勢所趨。不斷提升工控系統(tǒng)信息安全防護(hù)技術(shù)，建立高效、全面的工控網(wǎng)絡(luò)安全防護(hù)體系，減少或避免網(wǎng)絡(luò)安全事件對商業(yè)企業(yè)的破壞與故障，有效保障企業(yè)的正常運(yùn)行，對我國煙草行業(yè)發(fā)展具有積極作用。

參考文獻(xiàn)：

[1]洪軼群.煙草工業(yè)控制系統(tǒng)信息安全檢測技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（2）.

[2]賽永杰，馮戰(zhàn)巨.工業(yè)控制系統(tǒng)的信息安全[J].電子技術(shù)與軟件工程，2018（17）：207-209.

[3]陳雪鴻，楊帥鋒，孫巖.工業(yè)控制系統(tǒng)安全等級保護(hù)測評研究[J].信息安全研究，2020，6（3）：272-278.

[4]段沛鑫.淺談企業(yè)工業(yè)控制系統(tǒng)信息安全工作[J].電腦迷，2018（8）：48.

[5]秦艷飛.企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系研究[J].現(xiàn)代工業(yè)經(jīng)濟(jì)和信息化，2019，9（12）.

[6]王德吉.煙草行業(yè)工控安全防護(hù)建設(shè)方案[J].自動化博覽，2018，35（S2）：48-51.

[7]崔建華.“兩化融合”背景下煙草行業(yè)工控系統(tǒng)安全防護(hù)研究[J].科學(xué)與財(cái)富，2020（3）：344.

[8]徐國忠.石化企業(yè)工業(yè)控制系統(tǒng)信息安全分析與對策[J].石油化工自動化，2018，54（5）：52-55.

[9]郭江，陳服軍，張志華.水利工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)的問題與對策[J].中國水利水電科學(xué)研究院學(xué)報(bào)，2018，16（5）：466-471.

[10]宗志鋒.大數(shù)據(jù)背景下的水務(wù)行業(yè)工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)研究[J].信息安全與通信保密，2020（1）：104-109.

[作者簡介]方文華（1981—），男，陜西西安人，碩士研究生，工程師，研究方向：網(wǎng)絡(luò)安全、信息管理。

3709501186519