趙赫

摘 要：隨著"中國(guó)制造2025"、"互聯(lián)網(wǎng)+"、"智能制造"戰(zhàn)略的逐步推進(jìn)，工業(yè)控制系統(tǒng)已成為國(guó)家工業(yè)發(fā)展的重要支柱，它的信息安全事關(guān)經(jīng)濟(jì)發(fā)展、社會(huì)穩(wěn)定和國(guó)家安全，因此針對(duì)其建立并健全相應(yīng)的信息安全防護(hù)系統(tǒng)尤為關(guān)鍵。本文主要就這一系統(tǒng)中所存在的信息安全隱患展開了探討，以制造業(yè)企業(yè)為例分析了工控系統(tǒng)信息安全方面的需求，結(jié)合國(guó)家相關(guān)要求，包括分級(jí)保護(hù)，防護(hù)指南等，提出安全方案。

關(guān)鍵詞：工業(yè)控制系統(tǒng)；信息安全；防護(hù)體系

當(dāng)前互聯(lián)網(wǎng)攻擊正逐步向各類聯(lián)網(wǎng)終端滲透。針對(duì)工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長(zhǎng)，“震網(wǎng)”（Stuxnet）病毒感染了全球超過45000個(gè)網(wǎng)絡(luò)，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切，針對(duì)當(dāng)前嚴(yán)峻的工業(yè)控制系統(tǒng)安全形勢(shì)，結(jié)合企業(yè)實(shí)際情況，構(gòu)建工控系統(tǒng)網(wǎng)絡(luò)安全架構(gòu)，確保工控系統(tǒng)安全可靠運(yùn)行。

一 工業(yè)控制系統(tǒng)基本概念

工業(yè)控制系統(tǒng)是指由計(jì)算機(jī)與工業(yè)過程控制部件組成的自動(dòng)控制系統(tǒng)。主要包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器（PLC）、遠(yuǎn)程終端（RTU）、智能電子設(shè)備（IED）等。由于現(xiàn)階段信息技術(shù)的飛躍性發(fā)展，通用開發(fā)標(biāo)準(zhǔn)與互聯(lián)網(wǎng)技術(shù)的廣泛使用，導(dǎo)致工控系統(tǒng)相應(yīng)的信息安全問題愈加明顯。

二 工業(yè)控制系統(tǒng)信息常見風(fēng)險(xiǎn)

1接口開放帶來的安全風(fēng)險(xiǎn)

由于數(shù)據(jù)采集、監(jiān)控和調(diào)試的需要，工業(yè)控制系統(tǒng)的終端設(shè)備都會(huì)配置網(wǎng)絡(luò)接口，但這種開放的接口很容易被人利用帶來安全隱患，一旦連接信息暴露，整個(gè)網(wǎng)絡(luò)就處于非常危險(xiǎn)的境地。

2工業(yè)控制系統(tǒng)遭遇病毒攻擊的風(fēng)險(xiǎn)

就企業(yè)工控系統(tǒng)而言，很多都沒有建立完整的防病毒體系，系統(tǒng)未全面安裝殺毒軟件，雖然企業(yè)利用技術(shù)手段對(duì)工控網(wǎng)和辦公網(wǎng)絡(luò)進(jìn)行隔離，但由于病毒傳播具有多樣性的特征，能夠通過多種渠道進(jìn)行傳播。比如是通過移動(dòng)介質(zhì)傳播病毒的方式，造成企業(yè)工控系統(tǒng)被病毒感染引發(fā)安全事件。

3管控體系不健全導(dǎo)致的安全風(fēng)險(xiǎn)

現(xiàn)階段，很多應(yīng)用了工業(yè)控制的企業(yè)管控體系都不健全，對(duì)終端設(shè)備缺乏適合的終端物理安全保護(hù)辦法，缺乏有效的邊界完整性檢查，存在未經(jīng)授權(quán)終端非法接入的風(fēng)險(xiǎn)，存在非法外聯(lián)的風(fēng)險(xiǎn)，對(duì)身份鑒別、訪問控制等缺乏相應(yīng)的手段及管理標(biāo)準(zhǔn)。

三 工業(yè)控制系統(tǒng)信息安全防護(hù)體系的構(gòu)建

工業(yè)控制依托信息安全防護(hù)總體思想，通過建立管理體系、技術(shù)體系、運(yùn)維體系等全面構(gòu)建工業(yè)控制安全防護(hù)體系，對(duì)工業(yè)控制系統(tǒng)形成全面保障。

1工業(yè)控制系統(tǒng)信息安全管理體系建立

工業(yè)控制系統(tǒng)信息安全管理體系是安全策略、組織、運(yùn)作、技術(shù)體系標(biāo)準(zhǔn)化、制度化后形成的一整套信息安全的管理規(guī)范。管理體系包含制度建設(shè)和培訓(xùn)機(jī)制等。首先應(yīng)建立安全保障機(jī)制領(lǐng)導(dǎo)小組，明確職責(zé)、強(qiáng)化組織，協(xié)調(diào)指導(dǎo)工業(yè)控制系統(tǒng)信息安全方面的規(guī)劃制定、體系和制度建立、計(jì)劃落實(shí)、技術(shù)保障、事故應(yīng)急處理、風(fēng)險(xiǎn)和事故評(píng)估等事宜。然后不斷完善及擴(kuò)充工業(yè)控制系統(tǒng)信息安全方面的保障制度，完善信息安全防護(hù)體系。

2工業(yè)控制系統(tǒng)信息安全技術(shù)防護(hù)體系

安全技術(shù)防護(hù)主要包括物理安全、網(wǎng)絡(luò)完全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個(gè)方面。具體的防護(hù)通過多種安全產(chǎn)品、多種安全設(shè)備、多種安全策略、多種安全技術(shù)的集中管理與合理組合，在技術(shù)層面上對(duì)各類攻擊和不安全因素進(jìn)行有效的防御、檢測(cè)、審計(jì)、控制等。

（1）物理安全防護(hù)

物理安全方面主要考慮核心工業(yè)控制軟硬件所在物理位置，相應(yīng)的訪問控制，視頻監(jiān)控、專人值守等物理安全防護(hù)措施，同時(shí)要考慮防雷擊、防盜、火災(zāi)與水災(zāi)等。如挑選具備防震以及防雨等有關(guān)能力的地點(diǎn)，在機(jī)房的每一個(gè)出入口均需要派出專人進(jìn)行值守或者考慮安裝電子門禁，在機(jī)房?jī)?nèi)安裝監(jiān)控報(bào)警裝置，拆除或封閉工業(yè)主機(jī)上不必要的USB、光驅(qū)、無線接口等。

（2）網(wǎng)絡(luò)安全防護(hù)

網(wǎng)絡(luò)方面主要有：網(wǎng)絡(luò)結(jié)構(gòu)、邊界安全、訪問體系、針對(duì)攻擊的防范、審計(jì)等?？梢圆捎萌缦率侄芜M(jìn)行防護(hù)：確保為關(guān)鍵網(wǎng)絡(luò)設(shè)備相應(yīng)的業(yè)務(wù)能力留有富余，進(jìn)而確保其在業(yè)務(wù)高峰期也能夠正常運(yùn)行；禁止沒有防護(hù)的工業(yè)控制網(wǎng)絡(luò)與互聯(lián)網(wǎng)連接于業(yè)務(wù)終端，通過工業(yè)防火墻、網(wǎng)閘等防護(hù)設(shè)備對(duì)工業(yè)控制網(wǎng)絡(luò)安全區(qū)域之間進(jìn)行邏輯隔離；依據(jù)重要程度寬帶優(yōu)先分配制度，進(jìn)而確保重要業(yè)務(wù)不被耽誤；禁止在VPN狀態(tài)下接入網(wǎng)絡(luò)。

（3）主機(jī)安全防護(hù)

主機(jī)安全應(yīng)從身份鑒別、訪問控制、安全審計(jì)、入侵防范、惡意代碼防范入手進(jìn)行安全防護(hù)。如在工業(yè)主機(jī)登錄、資源訪問等過程中使用身份認(rèn)證管理，對(duì)于關(guān)鍵系統(tǒng)的訪問采用多因素認(rèn)證。可采用數(shù)據(jù)單向訪問控制策略、對(duì)訪問時(shí)限進(jìn)行控制等加固遠(yuǎn)程訪問安全。加大審計(jì)的范圍和力度，保障審計(jì)記錄的真實(shí)完整性，做到事后可以追溯；對(duì)于非法攻擊等行為如發(fā)現(xiàn)、應(yīng)立即報(bào)告并進(jìn)行處理等方式降低安全風(fēng)險(xiǎn)。

（4）應(yīng)用安全防護(hù)

應(yīng)用方面應(yīng)采用加密方式訪問保障通信的完整性、保密性。增強(qiáng)登錄控制及審計(jì)功能，做到有效識(shí)別登錄人的身份，同時(shí)對(duì)登錄的操作進(jìn)行有效記錄，保證可追溯性。增強(qiáng)對(duì)訪問異常及次數(shù)的控制，制定安全策略，應(yīng)對(duì)不同異常情況。用戶口令一定要有復(fù)雜度要求，并需要定期更改。

（5）數(shù)據(jù)安全防護(hù)

數(shù)據(jù)安全防護(hù)是通過加密以及多種手段對(duì)數(shù)據(jù)進(jìn)行防護(hù)，通過這一系列的防護(hù)促進(jìn)數(shù)據(jù)安全保障工業(yè)控制系統(tǒng)信息安全，同時(shí)應(yīng)建立重要數(shù)據(jù)備份恢復(fù)機(jī)制，定期做應(yīng)急演練。

結(jié)論

工業(yè)控制系統(tǒng)信息安全建設(shè)是一項(xiàng)系統(tǒng)工程，需要做到安全策略和安全教育并重，安全技術(shù)和安全管理并施，從多方位、多角度全面建立起適應(yīng)企業(yè)發(fā)展的安全保障機(jī)制，全面保障企業(yè)工控系統(tǒng)安全可靠運(yùn)行。

參考文獻(xiàn)：

[1]GB/T22239-2016.信息安全技術(shù)：信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S].2016

[2]GB/T25070-2016.信息安全技術(shù)：信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求[S].2016

[3]杜偉奇，王平，王浩.工業(yè)控制系統(tǒng)中安全威脅分析與策略[J]重慶郵電學(xué)院學(xué)報(bào)（自然科學(xué)版），2005，（05）.

[4]李璇.淺談以太網(wǎng)在工業(yè)控制系統(tǒng)中的應(yīng)用[J].科技資訊，2009，（21）.

[5]GB/T20270-2016.信息安全技術(shù)：網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求[S].2016

[6]陳星，賈卓生.工業(yè)控制網(wǎng)絡(luò)的信息安全威脅與脆弱性分析與研究[J].計(jì)算機(jī)科學(xué)，2012，39（10）：188—190.