基于煙草工控網(wǎng)絡安全防護策略與應用

貴州中煙工業(yè)有限責任公司畢節(jié)卷煙廠 卯鈺鴻 何亮

在“互聯(lián)網(wǎng)+”與中國制造2025等國家戰(zhàn)略方針的推進，支撐物聯(lián)網(wǎng)的高速發(fā)展，實現(xiàn)兩化深度融合，企業(yè)在穩(wěn)定發(fā)展的過程中對工業(yè)控制系統(tǒng)集中化和集成化管理較為重視，系統(tǒng)的互聯(lián)網(wǎng)互通性逐步加強，工業(yè)控制網(wǎng)絡與辦公網(wǎng)及外部互聯(lián)網(wǎng)等連接得到廣泛重視，為真正意義實現(xiàn)對多種類型工作的優(yōu)化，則應該了解各種病毒對工控系統(tǒng)的影響，不斷提升工業(yè)額控制系統(tǒng)的綜合水平，有效將問題解決。基于此，本文針對煙草企業(yè)工控網(wǎng)絡存在的問題展開分析，并結(jié)合PPDR模型建立提出網(wǎng)絡安全防護策略，結(jié)合AHP方法的運營確定信息安全風險與防護漏洞檢測對比，為后續(xù)的網(wǎng)絡防控提供更多幫助。

煙草企業(yè)在生產(chǎn)階段所包含的工作較多，在網(wǎng)絡支撐下雖然可以帶來一定幫助，但仍然受一定因素限制，導致網(wǎng)絡病毒的衍生，制約多種工作的有序進行。對PLC等工控設備的DOS共計，導致企業(yè)工控無法順利運行，甚至會面臨停產(chǎn)的威脅。其中，Wincc服務器作為受病毒影響較為嚴重的一個環(huán)節(jié)，一旦問題顯現(xiàn)無法與Wincc服務器連接，各個重點系統(tǒng)終端通信中斷，產(chǎn)檢生產(chǎn)問題不斷顯現(xiàn)。在工業(yè)穩(wěn)定發(fā)展的背景下，網(wǎng)絡已經(jīng)全面貫徹到工業(yè)生產(chǎn)當中，進而產(chǎn)生系統(tǒng)漏洞及多種病毒影響，不僅有現(xiàn)階段已經(jīng)顯現(xiàn)的病毒，同時還會有潛在風險，各種病毒潛在風險較多，威脅工業(yè)網(wǎng)絡完全。因此，煙草企業(yè)在發(fā)展階段應重視自身責任，在生產(chǎn)職責上優(yōu)化分析，明確網(wǎng)絡安全防控要點，支撐后續(xù)工作的順利進行，

1 煙草行業(yè)工業(yè)狀況分析

煙草行業(yè)作為國民經(jīng)濟重要支柱，煙草企業(yè)的安全穩(wěn)定運營較為重要。在煙草行業(yè)中，工業(yè)控制系統(tǒng)的運用需要得到廣泛重視，尤其是在工業(yè)化與信息化趨勢下，控制網(wǎng)絡與辦公網(wǎng)絡相互銜接，形成必然發(fā)展趨勢，并針對煙草行業(yè)工控網(wǎng)與辦公網(wǎng)的運行情況，保證管理效果，實現(xiàn)對各個連接的優(yōu)化控制，將現(xiàn)階段存在的網(wǎng)絡問題優(yōu)化處理，不斷提升整體防控效果。再加上現(xiàn)階段工控網(wǎng)絡對外風險防控措施不夠完善，多種病毒的攻擊無法承受，一旦病毒滲透到網(wǎng)絡當中，會直接進入到控制層，進而影響工業(yè)生產(chǎn)工作的順利進行。煙草企業(yè)工控王闊設備種類較多，在應對風險階段，需要服務器運行情況進行分析，并對現(xiàn)階段所使用的系統(tǒng)進行調(diào)整，保證工業(yè)生產(chǎn)工作的順利進行，針對系統(tǒng)運行現(xiàn)狀進行優(yōu)化控制，了解系統(tǒng)運行面臨的問題，通過工業(yè)控制系統(tǒng)協(xié)議和設計產(chǎn)品的優(yōu)化，以功能效果提升作為基礎(chǔ)，建立健全網(wǎng)絡防護策略。操作人員及安全管理人員在實踐操作中，缺乏技術(shù)操作及科學化管理的能力，在選擇防護手段的過程中，無法適用工控系統(tǒng)發(fā)展，進而導致整體防護的效果無法保證，應針對當前發(fā)展進行優(yōu)化，展現(xiàn)系統(tǒng)脆弱性的問題，提升自身運行的安全性，為后續(xù)安全防護及問題處理提供保障。

煙草恒業(yè)工控系統(tǒng)主要由SCADA數(shù)采系統(tǒng)和PLC系統(tǒng)組成，通過IFIX、Wincc服務器中控制層、監(jiān)控層及生產(chǎn)層三個層級系統(tǒng)管理構(gòu)成，以工業(yè)交換機組成制絲生產(chǎn)控制系統(tǒng)，而且環(huán)網(wǎng)上控制設備分解接入到工業(yè)交換機與IO服務器集中網(wǎng)絡當中，通過接入交換機與車間服務器，準確掌握系統(tǒng)運行情況，實現(xiàn)更為準確的展開數(shù)據(jù)交換，而且車間數(shù)據(jù)管理層作為ERP或MES系統(tǒng)提供數(shù)據(jù)，為煙草企業(yè)工控系統(tǒng)的優(yōu)化建立提供更多幫助。針對當前煙草行業(yè)較為常見的工業(yè)控制系統(tǒng)，在運行階段涉及內(nèi)容較為，應建立健全維護措施，如工控系統(tǒng)中Siemens和Rockwell和PLC系統(tǒng)占比約90%左右，一旦出現(xiàn)漏洞則會產(chǎn)生較為嚴重的影響，應針對當前系統(tǒng)運行情況建立ERP或MES系統(tǒng)實施連接，確保與互聯(lián)網(wǎng)可以共享信息，促使操作人員可以對病毒防控情況掌握充分，并定期的進行針對性病毒查殺，提升安全防護效果，滿足煙草企業(yè)工業(yè)運行需求。

2 網(wǎng)絡安全防護模型

網(wǎng)絡安全防護對信息要求較高，而且較為常見的就是PPDR模型建立（如圖1所示），在實踐運行階段防護效果一般，其主要將安全策略、防護、檢測等環(huán)節(jié)整合，在網(wǎng)絡安全整體控制與指導下進行優(yōu)化，合理的將防火墻、身份認證及加密工具融入到系統(tǒng)當中，利用漏洞掃描及工控專控防護系統(tǒng)，準確平湖安全系統(tǒng)的運行情況，實現(xiàn)更為準確的進行安全防控，保證系統(tǒng)運行效果。在防護階段，檢測和響應生成主體，保證系統(tǒng)動態(tài)監(jiān)控的安全性，在安全策略的驅(qū)使下對系統(tǒng)調(diào)整響應，促使系統(tǒng)始終處于安全運行狀態(tài)。

圖1 PPDR模型Fig.1 PPDR model

在PPDR模型系統(tǒng)運行階段，若滿足Pt>Dt+Rt，則系統(tǒng)病毒防控能力有所提升，同時會準確檢測入侵所帶來的影響，以多種舉措對目標所進行的程序停止，并及時發(fā)送信息給管理員，為安全防護及問題處理提供良好的機會。對于保護目標工作，Et越小，系統(tǒng)暴露時間越短，進而保證PPDR系統(tǒng)運行的安全性。因此，為構(gòu)建起網(wǎng)絡便捷防護壁壘，通過防火墻構(gòu)建融合安全防護體系，不斷提升安全防護能力，并針對系統(tǒng)運行所面臨的問題，實現(xiàn)更為準確的進行優(yōu)化控制，在始終對全過程準確防護，了解檢測的閉環(huán)，優(yōu)化系統(tǒng)運行方案，真正意義的實現(xiàn)系統(tǒng)防控與優(yōu)化。

3 煙草企業(yè)網(wǎng)絡安全防護措施

煙草企業(yè)網(wǎng)絡在受到攻擊的過程中，攻擊者也會遵循相關(guān)流程，如探測攻擊目標，尋找安全漏洞，隨后進行邊界突破與權(quán)限的獲取。對于此環(huán)節(jié)工作的開展與運用，應適當進行優(yōu)化與控制，并針對滲透情況進行落實，保證自身具備控制權(quán)的同時，對竊取信息進行詳細分析，不斷提升整體判定的效果，避免受影響過于嚴重產(chǎn)生一定的限制。與此同時，要想提升風險防控水平，應建立健全防護體系，對攻擊流程的全程防護，進而實現(xiàn)在事前階段對資產(chǎn)合理化控制，充分了解風險策略，實現(xiàn)對風險的準確評估，在始終通過最新威脅情報進行優(yōu)化控制，更加準確高效的處理多樣化問題，杜絕所產(chǎn)生的影響及限制，尤其是針對威脅情報對聯(lián)動防御的效果，應全面了解異常現(xiàn)象，對已經(jīng)發(fā)現(xiàn)的問題快速處理，防止實現(xiàn)擴大及多樣化問題的顯現(xiàn)。

3.1 風險預知

煙草企業(yè)在發(fā)展階段，自身企業(yè)資產(chǎn)及規(guī)模不斷擴大，為實現(xiàn)有效將現(xiàn)存問題處理，應做好相對較為全面的分析，實現(xiàn)更加有效對現(xiàn)存問題進行處理，尤其是針對主機操作系統(tǒng)問題，若資產(chǎn)管理程序存在風險，則會導致多種問題產(chǎn)生。為準確高效實現(xiàn)篩選與確定保護，應針對資產(chǎn)運行現(xiàn)狀進行優(yōu)化，通過資產(chǎn)發(fā)現(xiàn)保證安全策略的主要因素，真正意義的將所產(chǎn)生的問題解決，保證資產(chǎn)的安全性。通過資產(chǎn)發(fā)現(xiàn)可以保證安全策略的效果，并以安全策略為主要工作，將所產(chǎn)生的影響優(yōu)化解決，促進多種類型工作的有序進行。以數(shù)據(jù)包中應用版本信息為主，通過展示各個版本存在的漏洞，以網(wǎng)站請求中傳輸?shù)男畔ⅲ瑱z測是否對輸入信息進行限制，了解服務器的運行情況，判定漏洞的主要影響，以數(shù)據(jù)包的信息服務區(qū)不安全匹配的形式進行優(yōu)化，如數(shù)據(jù)庫錯誤及相應文件不規(guī)范等情況，通過進行合理的優(yōu)化與控制，準確高效將多種問題處理。

3.2 積極防御

網(wǎng)絡攻擊從初期的網(wǎng)絡層會延續(xù)到應用層，再加上Web層攻擊，攻擊手段較多而且會發(fā)生演進，要想完整的實現(xiàn)防御，應針對整體防火墻的運行情況進行優(yōu)化，了解IPS、WAF的防護能力，實現(xiàn)對各個層級的優(yōu)化方控制，避免出現(xiàn)短板影響防護效果。傳統(tǒng)安全設備之間缺少功能聯(lián)動，即便能夠聯(lián)動，也會因為缺乏對Web攻擊防護能力而產(chǎn)生力不從心的情況，各功能模塊聯(lián)動無法順利完成對供給鏈條的準確分析，應針對實際情況建立健全運行方式，有效對網(wǎng)絡安全形勢展開分析，實現(xiàn)模塊之間的聯(lián)動處理，幫助設備在防護中減少資源耗損，當通過整體分析確定攻擊行為后，可以實現(xiàn)直接在網(wǎng)絡層阻斷攻擊，實現(xiàn)更為準確高效對應用資源優(yōu)化控制。

3.3 檢測響應

網(wǎng)絡攻擊通常先實現(xiàn)對單點突破，隨后進行持續(xù)滲透，這種問題在解決的過程中，應了解當前防御現(xiàn)狀，進而通過分析網(wǎng)絡中的異常情況準確判斷，通過多種異常行為檢測方式發(fā)現(xiàn)網(wǎng)絡中失陷主機掐斷攻擊，避免隱患延續(xù)與爆發(fā)產(chǎn)生較為嚴重的影響。當安全事件發(fā)生時，應針對安全事件運行情況，提供相應策略配置模板，真正意義將方案解決，快速將問題處理，避免受問題影響導致事件擴散，造成較為嚴重的損失，無法真正意義上實現(xiàn)對問題優(yōu)化控制。

4 網(wǎng)絡安全防護系統(tǒng)的應用

在分析煙草企業(yè)工控系統(tǒng)運行階段，要想全面提升安全防護效果，應建立健全針對性舉措，對系統(tǒng)資產(chǎn)所包含的內(nèi)容進行分析，了解其資產(chǎn)價值，從而制定針對性監(jiān)控方案，以多種舉措建立防控系統(tǒng)，發(fā)揮一定的作用及優(yōu)勢。如表1所示為系統(tǒng)資產(chǎn)賦值。

表1 煙草企業(yè)車間系統(tǒng)資產(chǎn)賦值情況Tab.1 Assignment of system assets in the workshop of tobacco enterprises

通過在風險分析中結(jié)合資產(chǎn)價值，了解威脅發(fā)生的可能性，利用矩陣法實現(xiàn)對危險脆弱性及發(fā)生頻率進行對照分析，獲取安全時間發(fā)生的可能性，建立健全AHP方法風險評估要點，分析緊急事件發(fā)生的概率，對可能性及資產(chǎn)風險等級進行分析。而且對于防護系統(tǒng)的運用，應建立健全針對性處理方案，并通過工控專用審計設備、防火墻以及IDS4工具進行檢測，分別對漏洞進行全面檢測，這樣有助于更加合理的進行規(guī)范控制，實現(xiàn)對主機漏洞的優(yōu)化控制，尤其是針對服務器漏洞的檢查，準確得出煙草企業(yè)高危漏洞，為后續(xù)處理提供更多幫助。

經(jīng)過AHP方法的運用，可以準確對風險評估進行分析，確定信息安全風險定級與漏洞掃描工具，準確實現(xiàn)工控專用防火墻等工具檢測，了解檢測結(jié)果之間的差異，確保可以優(yōu)化選擇，為后續(xù)控制與處理提供幫助。通過對工控系統(tǒng)部署專用工具，將軟件系統(tǒng)防護效果展現(xiàn)，以管理網(wǎng)及生產(chǎn)網(wǎng)結(jié)合的方式，提升網(wǎng)絡邊界的安全性，準確對工控系統(tǒng)采取相應監(jiān)測模式，提升防護手段運用的效果，保證整個車間漏洞防護的針對性，為企業(yè)提供安全防護策略，保證系統(tǒng)運行的穩(wěn)定性。

5 結(jié)語

總而言之，對于煙草行業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡安全應用，以PPDR模型作為基礎(chǔ)建立網(wǎng)絡安全防護系統(tǒng)，結(jié)合AHP方法優(yōu)化運用，從威脅點及脆弱性進行風險評估，了解信息安全風險等級，采取工業(yè)專用工具進行檢測對比，了解檢測信息系統(tǒng)的運行情況，通過系統(tǒng)保護及多種方法進行優(yōu)化，對入侵嚴重性等級及全過程可查可控問題進行深入分析，在系統(tǒng)中呈現(xiàn)工控系統(tǒng)安全狀況，進而建立健全防護體系，保證工業(yè)控制系統(tǒng)的穩(wěn)定運行，真正意義的將所面臨的問題解決。