◆李云飛

操作系統(tǒng)、網(wǎng)絡(luò)體系與服務(wù)器技術(shù)

網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0工業(yè)控制系統(tǒng)安全測(cè)評(píng)實(shí)踐

◆李云飛

（江蘇君立華域安全測(cè)評(píng)有限公司 江蘇 211100）

本文主要基于《基于安全類(lèi)的基于類(lèi)的網(wǎng)絡(luò)安全技術(shù)的基本信息安全要求》的一般要求和行業(yè)要求，開(kāi)發(fā)了基于2.0級(jí)保護(hù)標(biāo)準(zhǔn)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全保護(hù)系統(tǒng)。結(jié)合P2DR和IATF安全模型對(duì)控制系統(tǒng)進(jìn)行擴(kuò)展的要求已分別開(kāi)發(fā)了三個(gè)主要系統(tǒng)，即安全管理系統(tǒng)，安全技術(shù)系統(tǒng)以及運(yùn)行和維護(hù)安全系統(tǒng)，從而確保了工業(yè)控制系統(tǒng)的穩(wěn)定可靠運(yùn)行。

網(wǎng)絡(luò)安全；等級(jí)保護(hù)2.0標(biāo)準(zhǔn)；工業(yè)控制；安全測(cè)評(píng)

自2019年5月13日起，公安部正式發(fā)布了三項(xiàng)標(biāo)準(zhǔn)，對(duì)網(wǎng)絡(luò)安全等級(jí)保護(hù)的新要求也達(dá)到了新的水平。同時(shí)，作為關(guān)鍵信息基礎(chǔ)設(shè)施的工業(yè)控制系統(tǒng)也被涵蓋在等級(jí)保護(hù)的范圍內(nèi)。在內(nèi)部，它分為一般要求和擴(kuò)展生產(chǎn)管理系統(tǒng)的要求。本文重點(diǎn)關(guān)注“保護(hù)網(wǎng)絡(luò)安全的信息安全技術(shù)的基本要求”的標(biāo)準(zhǔn)，結(jié)合工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全的現(xiàn)狀，對(duì)基于等級(jí)保護(hù)2.0的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全保護(hù)系統(tǒng)進(jìn)行研究。

1 測(cè)評(píng)工作方法與流程

根據(jù)國(guó)家法律法規(guī)、政策文件，評(píng)估工作采用一定的標(biāo)準(zhǔn)和方法，例如咨詢(xún)和調(diào)查，工具測(cè)試和手動(dòng)驗(yàn)證等。調(diào)查咨詢(xún)：將問(wèn)卷調(diào)查表發(fā)給被評(píng)估單位的員工，采訪被評(píng)估單位的負(fù)責(zé)人，部門(mén)和技術(shù)人員，閱讀被評(píng)估單位的信息安全和保密文件。手工驗(yàn)證：專(zhuān)業(yè)技術(shù)人員參照信息系統(tǒng)安全配置檢查標(biāo)準(zhǔn)進(jìn)行安全審核，以及信息系統(tǒng)和現(xiàn)有信息系統(tǒng)安全措施的確認(rèn)。工具發(fā)現(xiàn)：使用專(zhuān)業(yè)工具來(lái)檢查和檢測(cè)信息系統(tǒng)，例如漏洞掃描工具。

圖1 測(cè)評(píng)工作流程圖

2 測(cè)評(píng)工作內(nèi)容

所有評(píng)估工作主要在評(píng)估地點(diǎn)進(jìn)行。工作內(nèi)容包括：系統(tǒng)的基本情況，安全管理的情況，數(shù)據(jù)的備份和恢復(fù)，網(wǎng)絡(luò)邊界的安全性，對(duì)國(guó)外產(chǎn)品的依賴(lài)性，技術(shù)保護(hù)的情況，工業(yè)控制系統(tǒng)的物理環(huán)境的情況，工業(yè)系統(tǒng)信息技術(shù)的外包服務(wù)企業(yè)管理，檢查和評(píng)估信息安全的狀況和手段等。

工業(yè)控制網(wǎng)絡(luò)（如圖2）風(fēng)險(xiǎn)評(píng)估規(guī)范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估應(yīng)該是全面審查，全面計(jì)劃和持續(xù)運(yùn)營(yíng)的過(guò)程。根據(jù)系統(tǒng)的結(jié)構(gòu)，評(píng)估的要素和系統(tǒng)的生命周期，提出了評(píng)估范圍的要求。根據(jù)工控網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估規(guī)范的要求，明確企業(yè)管理系統(tǒng)的評(píng)估范圍。根據(jù)以往的資產(chǎn)研究和識(shí)別，了解到企業(yè)的企業(yè)管理系統(tǒng)沒(méi)有連接互聯(lián)網(wǎng)（有必要在檢查現(xiàn)場(chǎng)進(jìn)行檢查），有一個(gè)獨(dú)立的分布式控制系統(tǒng)（DCS），但沒(méi)有相互連接。

圖2 工業(yè)以太網(wǎng)絡(luò)

3 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全現(xiàn)狀分析

3.1 生產(chǎn)管理系統(tǒng)中存在漏洞。

據(jù)國(guó)家通信安全漏洞通信信息平臺(tái)的相關(guān)統(tǒng)計(jì)，現(xiàn)階段我國(guó)工業(yè)控制系統(tǒng)中大約有2000多個(gè)漏洞，其主要體現(xiàn)在西門(mén)子控制及其領(lǐng)域涉及的工業(yè)協(xié)議內(nèi)容中，除此之外，還體現(xiàn)在主機(jī)操作系統(tǒng)、工業(yè)應(yīng)用軟件等控制器等具有典型意義的工業(yè)制造方面內(nèi)容。而在安全設(shè)備的另一方面，中度風(fēng)險(xiǎn)和嚴(yán)重風(fēng)險(xiǎn)等相關(guān)的漏洞占95％以上。最常見(jiàn)的是緩沖區(qū)溢出，拒絕服務(wù)和其他類(lèi)型的漏洞，這些漏洞非常容易遭到不法利用，從而觸發(fā)安全事件。

3.2 無(wú)法檢測(cè)到工業(yè)控制網(wǎng)絡(luò)中的異常流量。

由于缺乏對(duì)工業(yè)控制系統(tǒng)中網(wǎng)絡(luò)流量，病毒，特洛伊木馬和其他惡意程序的監(jiān)視和審計(jì)，因此無(wú)法檢測(cè)到非法用戶(hù)操作，錯(cuò)誤操作和網(wǎng)絡(luò)上的DDoS攻擊。在深入分析時(shí)無(wú)法對(duì)異常流量進(jìn)行定位、追蹤和責(zé)任劃分。

3.3 工業(yè)主機(jī)上存在許多安全問(wèn)題。

工業(yè)場(chǎng)景中使用的工作站，工程師站和工業(yè)數(shù)據(jù)庫(kù)節(jié)點(diǎn)主要是Windows操作系統(tǒng)，Microsoft現(xiàn)已不再提供這些操作系統(tǒng)。

此類(lèi)工業(yè)主機(jī)中也往往缺少相應(yīng)的防病毒或是查殺病毒等軟件。即使其針對(duì)性的安裝了防病毒或是查殺病毒類(lèi)的軟件，也會(huì)因?yàn)楦鞣N系統(tǒng)的兼容性問(wèn)題而出現(xiàn)各種不兼容的現(xiàn)象。同時(shí)，由于各種操作系統(tǒng)以及需要定期更新病毒數(shù)據(jù)庫(kù)等原因，電腦上的病毒，查毒軟件也往往難以在工業(yè)主機(jī)上以標(biāo)準(zhǔn)的模式運(yùn)行著，因此其仍舊可能會(huì)出現(xiàn)安全問(wèn)題。另一方面，移動(dòng)數(shù)據(jù)載體的不規(guī)則使用，病毒攻擊、特洛伊木馬和其他惡意程序，使得諸如技術(shù)和公式泄漏的安全性問(wèn)題繼續(xù)出現(xiàn)。

3.4 用于管理和控制工業(yè)無(wú)線網(wǎng)絡(luò)的機(jī)制不夠完善。

在現(xiàn)階段中，隨著各種類(lèi)型的數(shù)字智能化工廠的不斷涌現(xiàn)，無(wú)線工業(yè)通信信息技術(shù)已經(jīng)被廣泛化的應(yīng)用于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域中。由于無(wú)線網(wǎng)絡(luò)是在生產(chǎn)車(chē)間中創(chuàng)建的，僅單一考慮了網(wǎng)絡(luò)機(jī)制中的生產(chǎn)服務(wù)效度性，而忽略了安全性。

3.5 運(yùn)行和維護(hù)機(jī)制不到位。

由于工業(yè)控制系統(tǒng)中的相關(guān)產(chǎn)品及其所附帶的品牌的來(lái)源地大多是國(guó)外，例如PLC（西門(mén)子、歐姆龍等），DCS（霍尼韋爾，艾默生）等，加之工業(yè)操作及應(yīng)用方面的軟件（IFIX，WINCC）具有易于使用以及制造成本低等方面特點(diǎn)，因此這些產(chǎn)品通常都設(shè)有遠(yuǎn)程操作和維護(hù)界面等系統(tǒng)功能，同時(shí)，也沒(méi)有適當(dāng)?shù)募夹g(shù)手段來(lái)記錄、分析和維護(hù)過(guò)程中的操作，經(jīng)常導(dǎo)致其找不到行為和內(nèi)容。

4 基于等級(jí)保護(hù) 2.0 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系設(shè)計(jì)

通過(guò)創(chuàng)建系統(tǒng)網(wǎng)絡(luò)的安全管理中心以及安全通信網(wǎng)絡(luò)、區(qū)域邊界和三重安全計(jì)算環(huán)境來(lái)創(chuàng)建深度具有強(qiáng)大保護(hù)技術(shù)功能的系統(tǒng)。最后，在通過(guò)緊密結(jié)合各種工業(yè)控制系統(tǒng)網(wǎng)絡(luò)技術(shù)的基礎(chǔ)上，實(shí)現(xiàn)相應(yīng)的系統(tǒng)安全管理和安全策略，從而有效地提供多個(gè)維度、多個(gè)層面的全方位化的網(wǎng)絡(luò)安全保護(hù)功能，創(chuàng)建了能夠?qū)崿F(xiàn)有效保護(hù)、綜合檢測(cè)、監(jiān)控、和快速響應(yīng)的安全保護(hù)系統(tǒng)。

總體安全體系結(jié)構(gòu)的設(shè)計(jì)如下：

（1）安全管理系統(tǒng)

1.安全管理系統(tǒng)。建立職能部門(mén)以管理工業(yè)網(wǎng)絡(luò)的安全性，創(chuàng)建安全觀察員，負(fù)責(zé)安全管理的各個(gè)方面，并定義每個(gè)負(fù)責(zé)人的職責(zé)，創(chuàng)建一個(gè)委員會(huì)或指導(dǎo)小組來(lái)管理和管理網(wǎng)絡(luò)安全，而高級(jí)經(jīng)理應(yīng)由一個(gè)部門(mén)領(lǐng)導(dǎo)任命或批準(zhǔn)管理人員，制定文件以明確職責(zé)，劃分安全管理組織各個(gè)部門(mén)和職位的工作和技能要求，任命專(zhuān)職人員來(lái)管理安全性，同時(shí)加強(qiáng)與供應(yīng)商、安全公司和組織的合作和溝通網(wǎng)絡(luò)安全的最新發(fā)展。

2.安全和人事管理機(jī)構(gòu)。

安全管理系統(tǒng)機(jī)構(gòu)及其人員管理系統(tǒng)的建設(shè)情況將能夠在很大程度上決定整個(gè)安全管理系統(tǒng)構(gòu)建的結(jié)果。在安全和人事管理機(jī)構(gòu)中的相關(guān)網(wǎng)絡(luò)安全管理團(tuán)隊(duì)小組可以由各個(gè)部門(mén)中的高級(jí)部門(mén)經(jīng)理和各種部門(mén)領(lǐng)導(dǎo)人員組成，并通過(guò)這個(gè)人員組成機(jī)構(gòu)負(fù)責(zé)協(xié)調(diào)和管理整個(gè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系的各個(gè)方面，其中主要包括人事機(jī)構(gòu)組成中的人才招聘、工作人員輪換、安全知識(shí)培訓(xùn)及教育管理等方面的內(nèi)容。

3.施工管理安全。

保護(hù)結(jié)構(gòu)的管理模式應(yīng)全面貫穿整個(gè)系統(tǒng)生命周期，其中主要包括：系統(tǒng)的評(píng)判及標(biāo)準(zhǔn)、構(gòu)建、系統(tǒng)全面性的安全評(píng)估和系統(tǒng)準(zhǔn)入注冊(cè)、系統(tǒng)防護(hù)安全計(jì)劃的科學(xué)制定、系統(tǒng)所用軟件的有效開(kāi)發(fā)和實(shí)施策略、系統(tǒng)的開(kāi)發(fā)及運(yùn)行質(zhì)量驗(yàn)收和測(cè)試以及服務(wù)提供商的選擇等。

4.安全運(yùn)維管理。

基本上，他們管理安全性并管理機(jī)房環(huán)境，資產(chǎn)，多媒體，漏洞，網(wǎng)絡(luò)，惡意代碼，配置，密碼等的維護(hù)、變更、備份和恢復(fù)，安全事件處理，緊急計(jì)劃，運(yùn)營(yíng)和服務(wù)外包，安全評(píng)估，安全增強(qiáng)管理，安全培訓(xùn)等。

（2）安全技術(shù)體系

1. 安全通信網(wǎng)絡(luò)設(shè)計(jì)

（1）網(wǎng)絡(luò)架構(gòu)。較為重要的網(wǎng)絡(luò)設(shè)備和計(jì)算機(jī)系統(tǒng)中的硬件可以通過(guò)采用冗余方式的系統(tǒng)架構(gòu)，合理共享安全域，并在不同區(qū)域之間執(zhí)行安全隔離。

（2）通訊傳輸。在整個(gè)通信的整體過(guò)程中完整性和機(jī)密性主要的進(jìn)行形式是通過(guò)加密的方式來(lái)實(shí)現(xiàn)。

（3）可靠的驗(yàn)證。此選項(xiàng)是可以提供選擇的，可以由國(guó)產(chǎn)化、本地化的系統(tǒng)核心處理器、操作系統(tǒng)和數(shù)據(jù)庫(kù)來(lái)進(jìn)行系統(tǒng)可靠性能的驗(yàn)證工作。

2.安全區(qū)的邊界

（1）邊境保護(hù)。通過(guò)使用系統(tǒng)中的防火墻和工業(yè)控制器二者的相關(guān)功能就可實(shí)現(xiàn)系統(tǒng)中不同安全域之間的非法訪問(wèn)和邏輯層次的系統(tǒng)隔離。通過(guò)實(shí)現(xiàn)網(wǎng)絡(luò)訪問(wèn)設(shè)備的合理部署，可以控制非法訪問(wèn)的系統(tǒng)狀態(tài)和非法終端覆蓋。在工業(yè)領(lǐng)域的無(wú)線網(wǎng)絡(luò)應(yīng)用模式中，通過(guò)有效地控制系統(tǒng)中的無(wú)線形式的接入點(diǎn)或是系統(tǒng)中無(wú)線連接端口的路由器上的終端配置設(shè)備中的上游端口（例如，訪問(wèn)防火墻端口），并使用系統(tǒng)中的工業(yè)防火墻這一防護(hù)裝置作為系統(tǒng)安全隔絕的邊界，從邏輯上將它們與網(wǎng)絡(luò)覆蓋范圍中的其他不同區(qū)域順利隔離開(kāi)來(lái)。

（2）訪問(wèn)控制。在工業(yè)防火墻中設(shè)置ACL訪問(wèn)控制，并根據(jù)源地址、目標(biāo)地址、工業(yè)控制協(xié)議、源端口和目標(biāo)數(shù)據(jù)包端口進(jìn)行業(yè)務(wù)驗(yàn)證，以確保數(shù)據(jù)安全傳輸。

（3）防止入侵。在工業(yè)網(wǎng)絡(luò)中繞過(guò)交換機(jī)，并使用監(jiān)視和控制設(shè)備來(lái)分析網(wǎng)絡(luò)上的實(shí)時(shí)數(shù)據(jù)流量。同時(shí)，黑名單和白名單規(guī)則庫(kù)用于實(shí)時(shí)監(jiān)視警報(bào)，以防止網(wǎng)絡(luò)攻擊和無(wú)效操作，對(duì)設(shè)備、蠕蟲(chóng)、病毒和其他惡意程序的未授權(quán)訪問(wèn)進(jìn)行實(shí)時(shí)警報(bào)和記錄。

（4）惡意代碼。使用防病毒墻中嵌入的工業(yè)防病毒數(shù)據(jù)庫(kù)來(lái)檢測(cè)網(wǎng)絡(luò)流量中的木馬或是其他對(duì)系統(tǒng)造成威脅的病毒和惡意代碼，進(jìn)行檢驗(yàn)并及時(shí)阻止它們。

（5）安全審計(jì)。在網(wǎng)絡(luò)的核心中部署了用于運(yùn)行和維護(hù)的堡壘機(jī)器，維護(hù)和服務(wù)人員記錄了運(yùn)行情況，在設(shè)備的遠(yuǎn)程運(yùn)行和維護(hù)過(guò)程中進(jìn)行了分析和審計(jì)，從而為以后的工作提供了追溯依據(jù)。同時(shí)，使用設(shè)備白名單中的自學(xué)習(xí)機(jī)制進(jìn)行監(jiān)視和審計(jì)，以審計(jì)和報(bào)告異常通信行為。

5 結(jié)語(yǔ)

通過(guò)分析工業(yè)控制系統(tǒng)的安全狀態(tài)，并結(jié)合等級(jí)保護(hù)標(biāo)準(zhǔn)2.0的一般要求和擴(kuò)展工業(yè)控制系統(tǒng)的要求，基于等級(jí)保護(hù)標(biāo)準(zhǔn)2.0（即中心3）開(kāi)發(fā)了工業(yè)網(wǎng)絡(luò)安全保護(hù)系統(tǒng)。正在構(gòu)建深度防御系統(tǒng)，它建立了三個(gè)主要的安全系統(tǒng)，即安全管理系統(tǒng)，安全技術(shù)系統(tǒng)和運(yùn)維安全系統(tǒng)，是工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全。

[1]趙峰，馬躍強(qiáng).基于等保2.0工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全技術(shù)防護(hù)方案的設(shè)計(jì)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（05）：109-111.

[2]郭樂(lè).網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0體系下的法院網(wǎng)絡(luò)安全管理及應(yīng)對(duì)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（05）：136-137.

[3]郭樂(lè).基于網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0版本的法院信息安全存在的隱患及要求[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（04）：150-151.

[4]王紅崗.工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全分析與管理策略探究[J].化工管理，2020（11）：93-94.