方 遒，王蔚庭

（1.北京聯(lián)合大學(xué)機(jī)器人學(xué)院，北京 100101；2.北京創(chuàng)時(shí)特科技有限公司，北京 100029）

0 引言

隨著《中國(guó)制造2025》計(jì)劃實(shí)施、工業(yè)化與信息化深度融合，工業(yè)控制網(wǎng)絡(luò)的信息安全壓力日益突出。無線網(wǎng)絡(luò)固有的優(yōu)點(diǎn)，使得有更多的智能手機(jī)終端、平板電腦等經(jīng)由無線網(wǎng)絡(luò)接入到工業(yè)現(xiàn)場(chǎng)設(shè)備，實(shí)現(xiàn)移動(dòng)監(jiān)控、設(shè)備管理等功能，以滿足對(duì)工作質(zhì)量與效率、對(duì)突發(fā)事件響應(yīng)速度提高等要求，但也有可能比有線網(wǎng)絡(luò)帶來更多的安全隱患。

本論文以某污水處理廠“無線WIFI網(wǎng)絡(luò)環(huán)境下基于信息安全的移動(dòng)監(jiān)控系統(tǒng)”實(shí)際開發(fā)項(xiàng)目為背景，依托工廠原有的工業(yè)有線、無線WIFI網(wǎng)絡(luò)，進(jìn)行系統(tǒng)的規(guī)劃設(shè)計(jì)，選擇適當(dāng)?shù)男畔踩夹g(shù)和管理手段，特別在無線網(wǎng)絡(luò)局部，采取縱深防御策略的信息安全防護(hù)措施，構(gòu)建一個(gè)經(jīng)濟(jì)合理，同時(shí)兼顧信息安全的工業(yè)無線移動(dòng)監(jiān)控系統(tǒng)。

1 工業(yè)無線監(jiān)控系統(tǒng)

無線監(jiān)控系統(tǒng)拓?fù)浣Y(jié)構(gòu)如圖1所示，主要包括監(jiān)控服務(wù)器、工業(yè)有線網(wǎng)絡(luò)系統(tǒng)、工業(yè)無線網(wǎng)絡(luò)系統(tǒng)、移動(dòng)監(jiān)控軟件系統(tǒng)、信息安全防護(hù)設(shè)備五部分。系統(tǒng)軟件結(jié)構(gòu)如圖2所示，包括標(biāo)準(zhǔn)監(jiān)控組態(tài)軟件和移動(dòng)監(jiān)控軟件系統(tǒng)兩部分，移動(dòng)監(jiān)控軟件系統(tǒng)包括網(wǎng)關(guān)服務(wù)器軟件和移動(dòng)監(jiān)控軟件兩部分，分別安裝在監(jiān)控服務(wù)器和智能手機(jī)終端上；監(jiān)控組態(tài)軟件安裝在監(jiān)控服務(wù)器上。

圖1 系統(tǒng)拓?fù)浣Y(jié)構(gòu)圖

監(jiān)控組態(tài)軟件完成對(duì)污水處理廠現(xiàn)場(chǎng)控制設(shè)備的數(shù)據(jù)采集、設(shè)備監(jiān)控。網(wǎng)關(guān)服務(wù)器軟件一方面通過OPC通訊，實(shí)現(xiàn)與監(jiān)控組態(tài)軟件的數(shù)據(jù)交互，進(jìn)而實(shí)現(xiàn)與現(xiàn)場(chǎng)設(shè)備的數(shù)據(jù)交互，另一方面，通過無線WIFI網(wǎng)絡(luò)、有線網(wǎng)絡(luò)與智能手機(jī)終端基于WIFI進(jìn)行通訊，實(shí)現(xiàn)智能手機(jī)終端與工業(yè)控制現(xiàn)場(chǎng)設(shè)備的數(shù)據(jù)交互，達(dá)到通過智能手機(jī)終端對(duì)污水處理設(shè)備移動(dòng)監(jiān)控的目的。對(duì)于有線不易接入的場(chǎng)合，可采用無線WIFI網(wǎng)絡(luò)便利組成網(wǎng)絡(luò)，及接入原有線網(wǎng)絡(luò)，并進(jìn)行移動(dòng)監(jiān)控。

圖2 無線監(jiān)控系統(tǒng)軟件結(jié)構(gòu)

移動(dòng)監(jiān)控軟件系統(tǒng)是自主開發(fā)，監(jiān)控組態(tài)軟件采用第三方標(biāo)準(zhǔn)軟件。網(wǎng)關(guān)服務(wù)器軟件和移動(dòng)監(jiān)控軟件均包括軟件功能實(shí)現(xiàn)和信息安全實(shí)現(xiàn)兩部分，軟件功能實(shí)現(xiàn)部分能完成手機(jī)端與網(wǎng)關(guān)服務(wù)器軟件之間的通訊、數(shù)據(jù)交互的移動(dòng)監(jiān)控功能，信息安全實(shí)現(xiàn)部分采用信息安全技術(shù)設(shè)計(jì)，吸收了信息安全產(chǎn)品的設(shè)計(jì)思想、開發(fā)技術(shù)、技術(shù)架構(gòu)來實(shí)現(xiàn)。本論文著重對(duì)無線WIFI網(wǎng)絡(luò)下的網(wǎng)關(guān)服務(wù)器軟件和移動(dòng)監(jiān)控軟件開發(fā)中所采取的信息安全技術(shù)進(jìn)行重點(diǎn)描述，而對(duì)軟件功能開發(fā)實(shí)現(xiàn)做簡(jiǎn)要描述；此外，通過采取縱深防御策略的工程化防護(hù)措施，來增強(qiáng)系統(tǒng)信息安全防護(hù)能力。

2 無線監(jiān)控系統(tǒng)安全性分析

對(duì)無線網(wǎng)絡(luò)來說，在整個(gè)應(yīng)用的安全鏈條中，包含諸多容易被攻破的薄弱環(huán)節(jié)，都可能成為整個(gè)防御體系的薄弱點(diǎn)，讓攻擊者有機(jī)可乘。

2.1 邊界攻擊威脅

主要是來自無線網(wǎng)絡(luò)的攻擊擴(kuò)展到有線網(wǎng)絡(luò)，并可能對(duì)整個(gè)控制系統(tǒng)造成損害。

2.2 無線網(wǎng)絡(luò)受到的攻擊威脅

WIFI安全性主要包括訪問控制和加密兩大部分，WIFI面臨的主要攻擊威脅形式包括：

1）信息嗅探竊聽威脅：攻擊者采取手段對(duì)偵測(cè)到的AP發(fā)起網(wǎng)絡(luò)攻擊。

2）身份驗(yàn)證欺騙：攻擊者利用合法用戶身份侵入網(wǎng)絡(luò)，如攻擊者取代網(wǎng)關(guān)，通知閥門器按期指令打開或關(guān)閉。

3）拒絕服務(wù)攻擊：攻擊者進(jìn)行泛洪攻擊，造成通訊阻塞。

4）人為因素攻擊：入侵者獲得接入用戶名和密碼，進(jìn)而攻擊無線網(wǎng)絡(luò)。

5）WIFI密碼破解：WPA2利用先進(jìn)加密標(biāo)準(zhǔn)（AES）來進(jìn)行加密，提供了最高等級(jí)的安全保護(hù)，與其他的最優(yōu)實(shí)踐結(jié)合起來，可大大降低被攻破風(fēng)險(xiǎn)。

2.3 信息安全防護(hù)技術(shù)分析

現(xiàn)行工控系統(tǒng)信息安全是基于IEC62443所描述的“區(qū)域與管道防護(hù)模型”，在監(jiān)控層和控制層采取的主要防護(hù)措施，包括在主交換機(jī)節(jié)點(diǎn)以旁路鏡像方式部署工控網(wǎng)絡(luò)審計(jì)設(shè)備，以及在邊界部署防火墻設(shè)備來進(jìn)行網(wǎng)絡(luò)監(jiān)測(cè)和防護(hù)。

對(duì)比目前大多數(shù)的工控防火墻設(shè)備，對(duì)工控協(xié)議深度解析通常只支持MODBUS TCP、OPC，而本污水處理廠的移動(dòng)監(jiān)控項(xiàng)目采用專有通訊協(xié)議，在無線和有線網(wǎng)絡(luò)邊界采用工控防火墻和IT防火墻差別不大，所以選用價(jià)格相對(duì)低廉的IT防火墻產(chǎn)品來做邊界防護(hù)。

工控審計(jì)產(chǎn)品對(duì)工控網(wǎng)絡(luò)有很好的流量、協(xié)議分析和監(jiān)測(cè)預(yù)警能力，但孤立部署一臺(tái)審計(jì)設(shè)備涉及到維護(hù)的復(fù)雜性等諸多問題，性價(jià)比不高，但可以在自主開發(fā)的移動(dòng)監(jiān)控軟件系統(tǒng)中，引入《GB/T 20945-2013信息系統(tǒng)安全審計(jì)產(chǎn)品技術(shù)要求和測(cè)試評(píng)價(jià)方法》（下簡(jiǎn)稱《GB/T 20945-2013》）規(guī)范部分技術(shù)要求來對(duì)移動(dòng)監(jiān)控系統(tǒng)進(jìn)行信息安全設(shè)計(jì)，如用戶管理的三權(quán)分立技術(shù)、流量和協(xié)議審計(jì)及統(tǒng)計(jì)技術(shù)、登錄認(rèn)證技術(shù)等，來構(gòu)建一個(gè)經(jīng)濟(jì)合理，兼顧信息安全的工業(yè)無線安全監(jiān)控系統(tǒng)。

3 無線監(jiān)控系統(tǒng)信息安全設(shè)計(jì)和防護(hù)

3.1 移動(dòng)監(jiān)控軟件系統(tǒng)信息安全設(shè)計(jì)

3.1.1 網(wǎng)關(guān)服務(wù)器軟件信息安全功能設(shè)計(jì)

根據(jù)《GB/T 20945-2013》規(guī)范和無線WIFI通訊安全要求，信息安全的設(shè)計(jì)包括：1）在原有通訊模塊基礎(chǔ)上，增加加解密模塊；2）新增安全功能模塊，包括安全管理模塊、黑白名單管理、監(jiān)控模塊、報(bào)警模塊、認(rèn)證模塊等。安全網(wǎng)關(guān)服務(wù)器軟件功能模圖如圖3所示。

安全管理模塊：按三權(quán)分立原則，建立信息安全管理體系。系統(tǒng)管理員：包括增刪安全管理員賬戶等。安全管理員：負(fù)責(zé)客戶端用戶登陸賬號(hào)、訪問閾值、運(yùn)行密碼等管理。運(yùn)行管理員負(fù)責(zé)軟件運(yùn)行操作和技術(shù)工作。

圖3 網(wǎng)關(guān)服務(wù)器軟件功能模圖

黑白名單管理：將設(shè)定的各移動(dòng)手機(jī)客戶端登陸賬號(hào)、訪問頻度閾值、運(yùn)行密鑰進(jìn)行管理，并保存到設(shè)備白名單庫；驗(yàn)證模塊將拒絕登陸服務(wù)的客戶端設(shè)備等加入到黑名單庫。

監(jiān)控模塊：監(jiān)控服務(wù)器網(wǎng)卡數(shù)據(jù)包抓取及分析處理。

認(rèn)證模塊：對(duì)連接到網(wǎng)關(guān)服務(wù)器的客戶端設(shè)備登陸賬戶進(jìn)行效驗(yàn)，如連續(xù)三次失敗，將在延遲時(shí)間內(nèi)才能登陸，累積超過3次后，將拒絕該客戶端設(shè)備登錄，并加入到黑名單庫，及通過報(bào)警模塊報(bào)警。

加解密模塊：對(duì)發(fā)往客戶端及來自客戶端的數(shù)據(jù)，按密鑰要求進(jìn)行加密和解密。

報(bào)警模塊：將來自監(jiān)控模塊、驗(yàn)證模塊、認(rèn)證模塊等報(bào)警信息，在UI界面進(jìn)行報(bào)警顯示。

3.1.2 網(wǎng)關(guān)服務(wù)器軟件信息安全設(shè)計(jì)的開發(fā)實(shí)現(xiàn)

網(wǎng)關(guān)服務(wù)器軟件的主程序流程如圖4所示。

在主程序進(jìn)程創(chuàng)建監(jiān)控模塊線程，采用Winpcap（Windows packet capture）技術(shù)捕獲監(jiān)控服務(wù)器網(wǎng)卡上的數(shù)據(jù)幀數(shù)據(jù)，包括源目的MAC、IP、端口號(hào)、傳輸層協(xié)議等數(shù)據(jù)，監(jiān)測(cè)客戶端與網(wǎng)關(guān)服務(wù)器端建立連接、通訊頻度等指紋信息，做通訊頻度閾值等分析，與白名單基線庫中數(shù)據(jù)進(jìn)行比對(duì)，不一致或非白名單指紋數(shù)據(jù)，則更新黑名單庫及通知報(bào)警，供主線程程序丟棄對(duì)應(yīng)接受數(shù)據(jù)和報(bào)警處理。

在主程序進(jìn)程創(chuàng)建認(rèn)證模塊線程，完成認(rèn)證模塊安全監(jiān)控功能。

主程序進(jìn)程創(chuàng)建管理模塊處理子進(jìn)程，創(chuàng)建運(yùn)行線程，在單獨(dú)的操作界面下，負(fù)責(zé)系統(tǒng)管理員和安全管理員的維護(hù)和管理工作。

網(wǎng)關(guān)服務(wù)器軟件的主要實(shí)現(xiàn)步驟如下：

1）系統(tǒng)功能初始化，包括初始化黑白名單庫；

2）創(chuàng)建管理模塊子進(jìn)程，進(jìn)行安全管理員操作處理；

3）啟動(dòng)監(jiān)控模塊線程，及進(jìn)行Winpcap數(shù)據(jù)幀抓取處理；

圖4 網(wǎng)關(guān)服務(wù)器軟件主程序流程

4）啟動(dòng)認(rèn)證模塊線程，及進(jìn)行認(rèn)證功能處理；

5）通訊處化：創(chuàng)建套接字、啟動(dòng)套接字監(jiān)聽；

6）接收客戶端請(qǐng)求連接，數(shù)據(jù)接收及數(shù)據(jù)解密處理；

7）根據(jù)黑白名單庫指紋信息對(duì)接收數(shù)據(jù)處理，及送網(wǎng)關(guān)通訊模塊處理；

8）服務(wù)器應(yīng)答處理，接收來自網(wǎng)關(guān)通訊模塊數(shù)據(jù)，經(jīng)數(shù)據(jù)加密后，發(fā)回客戶端；

9）如果停止服務(wù)器，則對(duì)應(yīng)的進(jìn)程、線程結(jié)束。

3.1.3 移動(dòng)監(jiān)控軟件信息安全功能設(shè)計(jì)

移動(dòng)監(jiān)控軟件的安全功能設(shè)計(jì)，是圍繞網(wǎng)關(guān)服務(wù)器軟件的信息安全功能設(shè)計(jì)展開，包括：1）通訊模塊中增加通訊協(xié)議加解密模塊；2）增加安全模塊：包括對(duì)與網(wǎng)關(guān)服務(wù)端進(jìn)行通訊頻度、強(qiáng)登陸密碼設(shè)置、增加客戶端的MAC、IP地址設(shè)置等。安全移動(dòng)監(jiān)控軟件功能模圖如圖5所示。

圖5 安全移動(dòng)監(jiān)控軟件功能框圖

3.1.4 移動(dòng)監(jiān)控軟件信息安全設(shè)計(jì)的開發(fā)實(shí)現(xiàn)

移動(dòng)監(jiān)控軟件與網(wǎng)關(guān)服務(wù)器端采用了基于TCP/IP的Socket通信，在與網(wǎng)關(guān)服務(wù)器端建立Socket通信連接后，即按照配置要求的通訊頻度、IP/MAC地址、密鑰數(shù)據(jù)報(bào)文等要求與網(wǎng)關(guān)服務(wù)器通訊，同時(shí)采取強(qiáng)密碼進(jìn)行登陸。移動(dòng)監(jiān)控軟件的主程序流程如圖6所示。

圖6 移動(dòng)監(jiān)控軟件主程序流程

3.1.5 系統(tǒng)軟硬件開發(fā)平臺(tái)

安全移動(dòng)監(jiān)控軟件：安裝在智能手機(jī)終端上，基于安卓4.0以上操作系統(tǒng)，采用JAVA語言實(shí)現(xiàn)，開發(fā)平臺(tái)基于Eclipse。

安全網(wǎng)關(guān)服務(wù)器端軟件：基于WINDOWS 2008 SERVER，VC++6.0或VC++.NET實(shí)現(xiàn)。

3.2 信息安全防護(hù)工程化措施

3.2.1 邊界工程化防護(hù)措施

在工業(yè)有線與無線網(wǎng)絡(luò)邊界增加IT防火墻，根據(jù)網(wǎng)絡(luò)情況進(jìn)行網(wǎng)絡(luò)白名單配置和其他安全性設(shè)置等。對(duì)于更高安全要求，需部署入侵檢測(cè)系統(tǒng)等。

3.2.2 無線設(shè)備工程化防護(hù)措施

安全配置：進(jìn)行安全配置，如隱藏SSID，關(guān)閉DHCP，關(guān)閉WPS功能，設(shè)置WEP強(qiáng)密鑰等。啟用非法AP監(jiān)測(cè)功能，進(jìn)行AES加密認(rèn)證等。

限制發(fā)射功率：把信號(hào)可能收斂在信任的范圍之內(nèi)。

密碼政策：最少10個(gè)字符組合，由大小寫字母、數(shù)字、特殊字母組合等。

3.2.3 信息安全管理制度

建立完善的安全管理制度，建立專職信息安全崗位并進(jìn)行培訓(xùn)，不斷增強(qiáng)信息安全意識(shí)。

4 結(jié)論

通過在監(jiān)控軟件系統(tǒng)采用信息安全技術(shù)設(shè)計(jì)，建立了信息安全管理體系，可對(duì)來自無線WIFI網(wǎng)絡(luò)的大部分攻擊進(jìn)行監(jiān)測(cè)、防護(hù)和預(yù)警，包括拒絕服務(wù)等攻擊、非白名單的通訊訪問、非安全登錄等監(jiān)測(cè)和預(yù)警，并通過專有通訊協(xié)議、密文通訊等設(shè)計(jì)，大大加強(qiáng)了無線監(jiān)控軟件系統(tǒng)的信息安全，同時(shí)，輔以工程化的信息安全防護(hù)措施和管理手段，共同來構(gòu)建一個(gè)經(jīng)濟(jì)合理，兼顧信息安全的工業(yè)無線監(jiān)控系統(tǒng)。本論文對(duì)其他的如藍(lán)牙、ISA100.11a、WirelessHART等無線網(wǎng)絡(luò)的信息安全防護(hù)有同樣的借鑒意義。