就目前所整理的安全問題來看，其中呈現(xiàn)出事件頻發(fā)、上報數(shù)量逐年增多的特點，說明技術(shù)的發(fā)展給了網(wǎng)絡問題滋生的條件，但所面臨的問題并非難治之癥，需要在合理分析現(xiàn)有問題的前提下，就其中可改善的部分給定完善意見，從而更好的抵御外來網(wǎng)絡干擾。通過給出解決思路能夠更好的踐行服務國民生活和提升生活質(zhì)量的需求，因此要求技術(shù)人員要深化個人專業(yè)能力，針對性的構(gòu)建安全防御體系。

　　1 工業(yè)控制網(wǎng)絡的安全問題分析

　　1.1 當前工業(yè)控制網(wǎng)絡安全問題的基本特點結(jié)合大量數(shù)據(jù)信息可以看出，目前工業(yè)控制網(wǎng)絡的安全性較低，在信息化逐漸深入的狀態(tài)下，安全事件頻發(fā)在預料之中，但相較于普通互聯(lián)網(wǎng)安全問題，以工業(yè)控制網(wǎng)絡為背景的問題對于經(jīng)濟發(fā)展的打擊需要著重考量，若持續(xù)較長的時間，會導致經(jīng)濟效益甚至是人員安全均受到一定的損失，不利于我國開展經(jīng)濟建設(shè)活動 [1]。而分析現(xiàn)有工控網(wǎng)絡問題需要結(jié)合其所展現(xiàn)的基本特點，生產(chǎn)網(wǎng)和辦公網(wǎng)組成網(wǎng)絡體系，其中生產(chǎn)網(wǎng)遭受網(wǎng)絡攻擊對于現(xiàn)實經(jīng)濟效益的影響更為明顯，因此需要確定安全問題的具體特征。就生產(chǎn)網(wǎng)中所面臨的問題來看，其中涵蓋黑客惡意攻擊、工控機中毒、終端控制系統(tǒng)漏洞等不利事件，嚴重影響工控網(wǎng)絡系統(tǒng)的安全性。由此可見，需要針對工控網(wǎng)絡保護中的薄弱環(huán)節(jié)展開研討。

　　1.2 工業(yè)控制網(wǎng)絡保護的薄弱環(huán)節(jié) 1.2.1 保護力度不足由于多數(shù)管理者片面的認為在外部網(wǎng)絡與工控網(wǎng)絡中建立物理隔離系統(tǒng)即可保障安全，因而將管理和技術(shù)作用的重點聚焦到與工控網(wǎng)絡相連的外部網(wǎng)絡上，忽視了自身安全問題的研究，使得目前所構(gòu)建的保護系統(tǒng)仍存在諸多問題，而就保護力度這一層面呈現(xiàn)出結(jié)構(gòu)、設(shè)備、行為、技術(shù)等要素重視程度不高的問題。具體體現(xiàn)在以下幾點 ：(1)結(jié)構(gòu)方面 ：缺少風險評估的措施，沒能就網(wǎng)絡邊界保護給出對應的管理舉措，使得相關(guān)企業(yè)所設(shè)置的生產(chǎn)控制網(wǎng)與信息網(wǎng)直接相連，有些生產(chǎn)網(wǎng)甚至可通過 VPN 直接訪問，外部用戶能夠獲取到 SCADA 系統(tǒng)中的數(shù)據(jù)信息，即便是設(shè)置了防火墻，但管理信息網(wǎng)與工控網(wǎng)處在同一網(wǎng)段，不利于保護系統(tǒng)的數(shù)據(jù)安全 ;(2)設(shè)備方面 ：由于技術(shù)的限制，我國目前在工控網(wǎng)安全系統(tǒng)中所使用的設(shè)備來源于國外，其中涉及到設(shè)備缺陷和協(xié)議問題，容易出現(xiàn)漏洞難以修復的不良影響，無法實現(xiàn)自主管控，因此一定程度上抑制了組件的可靠性產(chǎn)出，使得工控網(wǎng)系統(tǒng)缺乏風險管理能力 ;(3)行為方面 ：在此方面主要表現(xiàn)為缺少設(shè)置安全審計的作業(yè)，存在著 IP 公用的情況，無法在第一時間發(fā)現(xiàn)系統(tǒng)中所出現(xiàn)的異常行為，說明所設(shè)計的保護防御體系不具備監(jiān)控與審計的能力 ;(4)技術(shù)實現(xiàn)方面 ：上文提到設(shè)備多來源于國外，自然在控制系統(tǒng)管理方面缺乏自主自控能力，無法針對其中的服務設(shè)計可信計算模式 [2]。

　　1.2.2 保護體系理論缺失信息網(wǎng)與工控網(wǎng)之間存在著管理上的差別，但部分人員直接將信息網(wǎng)的安全防護理論應用于工控網(wǎng)中，沒能認清二者之間的差異，因此所設(shè)定的保護系統(tǒng)不具備科學理論的支持。首先，兩類網(wǎng)絡機制在保護需求方面存在差異，工控網(wǎng)面對的是各類控制系統(tǒng)，工作目標是避免業(yè)務數(shù)據(jù)和控制系統(tǒng)遭受破壞，而信息網(wǎng)面對的是業(yè)務系統(tǒng)，其管理目標是不被攻擊者竊取關(guān)鍵信息 [3]。其次，業(yè)務請求響應時間上不同，工控網(wǎng)響應時間短，一般要求在毫秒級，而信息網(wǎng)為百毫秒級。最后，更新周期不同，工控網(wǎng)要保證不間斷運轉(zhuǎn)，不能隨意設(shè)置重啟或停機的操作，難以實現(xiàn)更新作業(yè)，而信息網(wǎng)需要及時更新安全補丁，具備更新周期短的特點。因此，完全套用信息網(wǎng)系統(tǒng)保護理論不足以應對工控網(wǎng)的安全問題。

　　1.2.3 設(shè)備資產(chǎn)監(jiān)管程度不夠相關(guān)企業(yè)在開展設(shè)備監(jiān)管的環(huán)節(jié)，對于其中所包含的類型和數(shù)量的認知不夠清晰，使得所構(gòu)建的資產(chǎn)視圖并不具備現(xiàn)實作用，出現(xiàn)設(shè)備變更等也難以形成對應的報告，無從考證設(shè)備重置的狀態(tài)。并且部分企業(yè)所構(gòu)建的業(yè)務系統(tǒng)中缺少對終端設(shè)備接入的管理措施，為外部網(wǎng)絡攻擊提供跳板，對于全面掌控能力的提升是種抑制。因此，所形成的網(wǎng)絡不具備及時感知安全問題的能力，自然難以對攻擊事件作出反應，給出反制的方案 [4]。

　　2 工業(yè)控制網(wǎng)絡安全問題的解決思路

　　2.1 準確分析工控網(wǎng)絡的特點工業(yè)控制安全防御體系特點研究需要基于其所應對的作業(yè)項目以及其安全保護需求來看。由于信息網(wǎng)絡與工業(yè)控制網(wǎng)絡所具備的安全保護需求有所差別，因此不能將信息網(wǎng)絡中所采用的體系直接應用于此，需要準確分析工控網(wǎng)安全防御體系所具備的特點。首先對于工控網(wǎng)而言，其區(qū)別與信息網(wǎng)絡可隨時予以更新的特點，能夠?qū)�業(yè)務請求的響應時間控制在毫秒級的范圍內(nèi)，所采用的加密等安全保護機制，應當滿足響應時間以及通信協(xié)議的相關(guān)要求。對于 OPC 協(xié)議而言，如果按照信息網(wǎng)絡處理方式施行加密機制的辦法，使得業(yè)務相應時間予以提升，擴展為之前的 5~8 倍，則可能會影響到工控網(wǎng)運行的穩(wěn)定性和安全性能，因而對于工控網(wǎng)來講，要保證其協(xié)議報文的完整程度，并考量傳輸兩端身份的合法性。其次界定網(wǎng)絡環(huán)境使其具備清晰明確的特點，面對信息網(wǎng)絡所具備的互通互聯(lián)特性，使得在此種網(wǎng)絡基礎(chǔ)上開展操作行為、連接終端設(shè)備等，不存在明確的局限內(nèi)容，因此網(wǎng)絡編制也不夠明確，使得在開展安全保護作業(yè)的過程中，所面臨的網(wǎng)絡環(huán)境更為復雜，提升了控制的難度。而工業(yè)控制網(wǎng)絡，其所具備的特點是邊界較為清晰可信，使得終端設(shè)備連接通信協(xié)議以及其他操作行為均可在可控的網(wǎng)絡環(huán)境內(nèi)開展，通過一定的措施明確了上述操作行為的邊界范圍，所形成的研究對象更為有限。最后結(jié)合工控網(wǎng)的基本特點，在設(shè)計安全防御體系的過程中，要充分考量其所使用的免疫學理論是否適用于所建項目。

　　2.2 全面推行先進的管理理念對于安全管理理念的升級要立足于現(xiàn)階段工控網(wǎng)所遭受的攻擊類型，對于封閉的網(wǎng)絡同樣要提升管理意識，由于惡意病毒等可攻擊現(xiàn)有內(nèi)部封閉網(wǎng)絡，因此為其設(shè)設(shè)置防御系統(tǒng)十分必要。并且，對于生產(chǎn)網(wǎng)和辦公網(wǎng)要采取不同的機制，生產(chǎn)網(wǎng)設(shè)置白名單，辦公網(wǎng)設(shè)置黑名單，不同的機制下，所提供的數(shù)據(jù)才能夠被合理應用。而對于生產(chǎn)網(wǎng)和辦公網(wǎng)而言，其所構(gòu)建的系統(tǒng)特質(zhì)也要有所區(qū)別，辦公網(wǎng)的構(gòu)建是為了更好的聯(lián)系不同區(qū)域，完成信息數(shù)據(jù)傳輸和人員交互的任務，因此要設(shè)定符合廣域網(wǎng)的系統(tǒng)，生產(chǎn)網(wǎng)是連接安全網(wǎng)關(guān)，將小局域網(wǎng)予以連接，因此要滿足局域網(wǎng)布控的要求，避免出現(xiàn)病毒等擴散至其他區(qū)域的情況。

　　2.3 設(shè)置專業(yè)的工控防火墻通過配置專業(yè)專用的防火墻能夠支撐網(wǎng)絡協(xié)議識別并過濾掉其中通訊協(xié)議的數(shù)據(jù)信息，利用內(nèi)置自動化過濾模塊的方式，充分彌補原有防火墻難以完成過濾任務的缺口，準確應用 OPC 協(xié)議等，就工控網(wǎng)安全設(shè)置可行性的措施。為達到深度包解析的效果，應用相應的解析檢測技術(shù)和應用層通訊追蹤技術(shù)能夠?qū)⒐た鼐W(wǎng)協(xié)議解析到指令層，起到阻斷、攔截非法指令、協(xié)議的作用，有效防護關(guān)鍵控制器，提升整體的安全性能 [5]。

　　2.4 設(shè)計安全防御系統(tǒng)

　　2.4.1 劃分防御區(qū)域一般將安全防御體系劃分成三個可行區(qū)域，其中包括終端設(shè)備、傳輸信道和網(wǎng)絡邊界，不同的區(qū)域發(fā)揮出應用的效能。就網(wǎng)絡邊界而言，其所起到的作用是劃定工控網(wǎng)的網(wǎng)絡構(gòu)建范圍，避免不屬于此邊界范圍的外部攻擊行為作用于內(nèi)部系統(tǒng)，通過傳輸信道的監(jiān)控作用，對所傳輸?shù)臄?shù)據(jù)信息予以監(jiān)管，能夠及時發(fā)現(xiàn)當中所包含的異常行為，并給出響應 [6]。最終，在終端設(shè)備的宏觀調(diào)調(diào)控下，監(jiān)控運行狀況，將可疑終端設(shè)備等阻斷在邊界外，所形成的區(qū)域模型圖如圖 1 所示。

　　通過分析該防御體系區(qū)域模型可以發(fā)現(xiàn)，要想完善工控網(wǎng)要確保具備明確的邊界，并將其分為人機交互和數(shù)據(jù)傳輸接口兩大類。其中，人機交互接口是指用戶與工控網(wǎng)產(chǎn)生交互外設(shè)類型，例如鼠標等，應當管理審計機制和行為，從而使得操作指令和業(yè)務數(shù)據(jù)等在滿足對應程序訪問要求的前提下運行，保證數(shù)據(jù)信息的安全。而數(shù)據(jù)傳輸接口指的是產(chǎn)生數(shù)據(jù)交換行為的其他區(qū)域網(wǎng)絡與系統(tǒng)所構(gòu)建的外設(shè)接口類型，例如 USB 接口，此類接口仍需要實施管控措施，例如設(shè)置檢測機制、封閉不必要接口等，合理管控數(shù)據(jù)傳輸接口。

　　2.4.2 設(shè)置防御體系結(jié)構(gòu)防御體系結(jié)構(gòu)是在防御屬性的要求下創(chuàng)建，其中包含安全機制、安全服務和網(wǎng)絡協(xié)議，不同的協(xié)議層次均包括相應的安全管理機制 [7]。應用層、網(wǎng)絡層、傳輸層、鏈路層和物理層構(gòu)成了網(wǎng)絡協(xié)議，而安全服務能夠?qū)崿F(xiàn)內(nèi)容識別、設(shè)備鑒別、行為審計等操作，對于提升防御效能的作用不言而喻，有效保證網(wǎng)絡中傳輸?shù)臄?shù)據(jù)信息保持完整性，及時響應異常情況。而不同的網(wǎng)絡層次可提供不同的服務，需要針對其中的差別設(shè)置針對性的配置方案。例如，在物理層，可實現(xiàn)邊界保護和容錯容侵，而傳輸層能夠起到保持數(shù)據(jù)完成性和識別內(nèi)容的作用。安全機制的構(gòu)建要與安全服務產(chǎn)生對應關(guān)系，即其中所包含的技術(shù)措施要能夠?qū)崿F(xiàn)相應的服務內(nèi)容。通過建立冗余備份、攻擊阻斷、事件分析與展示、協(xié)議深度解析、數(shù)據(jù)安全訪問與保護、接入控制和區(qū)域劃分與隔離機制達到一對一或者一對多的關(guān)系，進而實現(xiàn)安全防護。本文以構(gòu)建區(qū)域隔離與劃分機制為例，闡釋其中所涵蓋的對應關(guān)系。在工控網(wǎng)中，信息互聯(lián)互通是行使效用的一項基本任務，其屬于信息網(wǎng)絡的基本特征，但工控網(wǎng)要在此基礎(chǔ)上加上能夠支撐業(yè)務流轉(zhuǎn)與運行的技術(shù)，保證其按照安全穩(wěn)定的需求運行，因此要切實管控網(wǎng)絡邊界問題，使其具備可控的特征。而所構(gòu)建的區(qū)域隔離與劃分機制是合理分區(qū)的結(jié)果，就其內(nèi)部各部分功能的不同采取相應的隔離措施，不同功能區(qū)得以劃分，實現(xiàn)內(nèi)部與外部的合理分界，提升工控網(wǎng)防御能力，為其他機制的構(gòu)建做好鋪墊 [8]。除了區(qū)域隔離與劃分對應邊界保護的需求外，其他安全服務與機制間的對應關(guān)系是 ：設(shè)備鑒別——接入控制機制、數(shù)據(jù)完整性——數(shù)據(jù)安全訪問與保護機制、內(nèi)容識別——協(xié)議深度解析機制、行為審計——事件分析與展示機制、容錯容侵——攻擊阻斷和冗余備份機制。由此可見，完整的防御體系結(jié)構(gòu)要具備“5+6+7”的功能。

　　2.4.3 建立防御體系框架通過大量研究結(jié)果表明，生物體的免疫系統(tǒng)與工控網(wǎng)安全保護之間的關(guān)系較為密切，其中存在較多的相似點，因此可基于生物體免疫系統(tǒng)的形態(tài)創(chuàng)建防御體系框架。在建立安全防御體系的環(huán)節(jié)，要滿足其具備其他區(qū)域與網(wǎng)絡的出口，設(shè)定科學的訪問控制辦法，隔離內(nèi)外部區(qū)域，構(gòu)建資產(chǎn)管控體系，針對設(shè)備資產(chǎn)的可信度予以評測，只有滿足可信度標準的設(shè)備資產(chǎn)方可進入到內(nèi)部系統(tǒng)中，保證交互行為的可控與安全，所提供的交互行為更加可信，避免出現(xiàn)因蓄意攻擊而導致系統(tǒng)安全性受損的問題。可疑信息要被及時發(fā)現(xiàn)并作出相應是接入感知機制構(gòu)建的現(xiàn)實意義，聯(lián)系異常行為監(jiān)測功能保證異常行為和可疑終端能夠被第一時間發(fā)現(xiàn)，確保各項業(yè)務在安全訪問的環(huán)境下進行作業(yè)。防御體系框架中除了以上所述的結(jié)構(gòu)外，還需要增設(shè)檢測網(wǎng)絡環(huán)境變化的自適應機制以及排除異�；謴筒呗缘龋�所形成的框架如圖 2 所示。

　　2.4.4 生產(chǎn)網(wǎng)網(wǎng)絡結(jié)構(gòu)的設(shè)想首先，要確定工控網(wǎng)的自動化網(wǎng)絡安全控制結(jié)構(gòu)，其中包含企業(yè)網(wǎng)、監(jiān)視網(wǎng)和控制網(wǎng)，以上所述的三層網(wǎng)絡具備一定的獨立性，安全網(wǎng)起到“橋梁”的作用，能夠?qū)崿F(xiàn)數(shù)據(jù)采集、儲存、傳輸、監(jiān)視、展示等作用，為日常辦公提供數(shù)據(jù)信息支持，分析監(jiān)視層和控制層級，防止出現(xiàn)病毒擴散影響其他控制系統(tǒng)結(jié)構(gòu)的問題，降低損失。其次，準確按照管理模式和特點設(shè)定結(jié)構(gòu)圖，在其中設(shè)置好井站、中心站和作業(yè)區(qū)等的布局形態(tài)。就井站而言，應用以太網(wǎng)交換機作為連接其他場站的結(jié)構(gòu)，將 DSC、PLC 等組建成控制網(wǎng)，并確保中心站和網(wǎng)關(guān)緊密相連，利用白名單的防火墻功能，設(shè)定可通過的網(wǎng)絡協(xié)議，例如 ：雙向語音對講等，過濾 ModBus 協(xié)議，實現(xiàn)高效與安全兼顧的目標。中心站設(shè)想是在其所從場站接收的生產(chǎn)數(shù)據(jù)所確定，起到連接生產(chǎn)系統(tǒng)和工控機的作用，一般將工控機設(shè)置在安全防護客戶端，保證服務器和工控機能夠使與其相連的作業(yè)區(qū)所傳輸?shù)臄?shù)據(jù)信息更具有應用價值，同時也要運用白名單的防火墻功能，過濾 OPC 協(xié)議，僅能通過生產(chǎn)視頻監(jiān)控端口等。其他結(jié)構(gòu)間無需設(shè)置工控防火墻，利用一體化的安全防護平臺，將通過審計的數(shù)據(jù)上傳到辦公網(wǎng)絡上，保證其能準確利用。由此可見，此種生產(chǎn)網(wǎng)絡安全防護結(jié)構(gòu)的具備即便是控制終端等被惡意利用也無法提供訪問服務或者阻止錯誤指令的優(yōu)勢，其既能夠使 OPC 協(xié)議通過，避免出現(xiàn)病毒擴散的問題，體現(xiàn)出對工控網(wǎng)安全問題的管控結(jié)果。

　　參考文獻

　　[1] 李藝 . 工業(yè)控制網(wǎng)絡安全防御體系及關(guān)鍵技術(shù)研究 [D]. 華北電力大學 ( 北京 ),2017.

　　[2] 馮凱 . 工業(yè)控制網(wǎng)絡入侵檢測系統(tǒng)的設(shè)計與實現(xiàn) [D]. 鄭州大學 ,2018.

　　[3] 王禹賀 . 工業(yè)控制網(wǎng)絡安全評估方法研究 [D]. 哈爾濱理工大學 ,2019.

　　[4] 蔣寧 . 面向數(shù)字化車間工業(yè)控制網(wǎng)絡的信息安全技術(shù)研究 [D]. 中國科學院大學 ( 中國科學院沈陽計算技術(shù)研究所 ),2019.

　　《初探工業(yè)控制網(wǎng)絡的安全問題與策略研討》來源：《電子測試》，作者：瞿宇辰

轉(zhuǎn)載請注明來自：http://www.jinnzone.com/jisuanjiwangluolw/72217.html