工業(yè)控制系統(tǒng)信息安全防護體系的構(gòu)建

趙赫

摘 要：隨著"中國制造2025"、"互聯(lián)網(wǎng)+"、"智能制造"戰(zhàn)略的逐步推進，工業(yè)控制系統(tǒng)已成為國家工業(yè)發(fā)展的重要支柱，它的信息安全事關經(jīng)濟發(fā)展、社會穩(wěn)定和國家安全，因此針對其建立并健全相應的信息安全防護系統(tǒng)尤為關鍵。本文主要就這一系統(tǒng)中所存在的信息安全隱患展開了探討，以制造業(yè)企業(yè)為例分析了工控系統(tǒng)信息安全方面的需求，結(jié)合國家相關要求，包括分級保護，防護指南等，提出安全方案。

關鍵詞：工業(yè)控制系統(tǒng)；信息安全；防護體系

當前互聯(lián)網(wǎng)攻擊正逐步向各類聯(lián)網(wǎng)終端滲透。針對工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長，“震網(wǎng)”（Stuxnet）病毒感染了全球超過45000個網(wǎng)絡，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切，針對當前嚴峻的工業(yè)控制系統(tǒng)安全形勢，結(jié)合企業(yè)實際情況，構(gòu)建工控系統(tǒng)網(wǎng)絡安全架構(gòu)，確保工控系統(tǒng)安全可靠運行。

一 工業(yè)控制系統(tǒng)基本概念

工業(yè)控制系統(tǒng)是指由計算機與工業(yè)過程控制部件組成的自動控制系統(tǒng)。主要包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器（PLC）、遠程終端（RTU）、智能電子設備（IED）等。由于現(xiàn)階段信息技術的飛躍性發(fā)展，通用開發(fā)標準與互聯(lián)網(wǎng)技術的廣泛使用，導致工控系統(tǒng)相應的信息安全問題愈加明顯。

二 工業(yè)控制系統(tǒng)信息常見風險

1接口開放帶來的安全風險

由于數(shù)據(jù)采集、監(jiān)控和調(diào)試的需要，工業(yè)控制系統(tǒng)的終端設備都會配置網(wǎng)絡接口，但這種開放的接口很容易被人利用帶來安全隱患，一旦連接信息暴露，整個網(wǎng)絡就處于非常危險的境地。

2工業(yè)控制系統(tǒng)遭遇病毒攻擊的風險

就企業(yè)工控系統(tǒng)而言，很多都沒有建立完整的防病毒體系，系統(tǒng)未全面安裝殺毒軟件，雖然企業(yè)利用技術手段對工控網(wǎng)和辦公網(wǎng)絡進行隔離，但由于病毒傳播具有多樣性的特征，能夠通過多種渠道進行傳播。比如是通過移動介質(zhì)傳播病毒的方式，造成企業(yè)工控系統(tǒng)被病毒感染引發(fā)安全事件。

3管控體系不健全導致的安全風險

現(xiàn)階段，很多應用了工業(yè)控制的企業(yè)管控體系都不健全，對終端設備缺乏適合的終端物理安全保護辦法，缺乏有效的邊界完整性檢查，存在未經(jīng)授權(quán)終端非法接入的風險，存在非法外聯(lián)的風險，對身份鑒別、訪問控制等缺乏相應的手段及管理標準。

三 工業(yè)控制系統(tǒng)信息安全防護體系的構(gòu)建

工業(yè)控制依托信息安全防護總體思想，通過建立管理體系、技術體系、運維體系等全面構(gòu)建工業(yè)控制安全防護體系，對工業(yè)控制系統(tǒng)形成全面保障。

1工業(yè)控制系統(tǒng)信息安全管理體系建立

工業(yè)控制系統(tǒng)信息安全管理體系是安全策略、組織、運作、技術體系標準化、制度化后形成的一整套信息安全的管理規(guī)范。管理體系包含制度建設和培訓機制等。首先應建立安全保障機制領導小組，明確職責、強化組織，協(xié)調(diào)指導工業(yè)控制系統(tǒng)信息安全方面的規(guī)劃制定、體系和制度建立、計劃落實、技術保障、事故應急處理、風險和事故評估等事宜。然后不斷完善及擴充工業(yè)控制系統(tǒng)信息安全方面的保障制度，完善信息安全防護體系。

2工業(yè)控制系統(tǒng)信息安全技術防護體系

安全技術防護主要包括物理安全、網(wǎng)絡完全、主機安全、應用安全、數(shù)據(jù)安全五個方面。具體的防護通過多種安全產(chǎn)品、多種安全設備、多種安全策略、多種安全技術的集中管理與合理組合，在技術層面上對各類攻擊和不安全因素進行有效的防御、檢測、審計、控制等。

（1）物理安全防護

物理安全方面主要考慮核心工業(yè)控制軟硬件所在物理位置，相應的訪問控制，視頻監(jiān)控、專人值守等物理安全防護措施，同時要考慮防雷擊、防盜、火災與水災等。如挑選具備防震以及防雨等有關能力的地點，在機房的每一個出入口均需要派出專人進行值守或者考慮安裝電子門禁，在機房內(nèi)安裝監(jiān)控報警裝置，拆除或封閉工業(yè)主機上不必要的USB、光驅(qū)、無線接口等。

（2）網(wǎng)絡安全防護

網(wǎng)絡方面主要有：網(wǎng)絡結(jié)構(gòu)、邊界安全、訪問體系、針對攻擊的防范、審計等?？梢圆捎萌缦率侄芜M行防護：確保為關鍵網(wǎng)絡設備相應的業(yè)務能力留有富余，進而確保其在業(yè)務高峰期也能夠正常運行；禁止沒有防護的工業(yè)控制網(wǎng)絡與互聯(lián)網(wǎng)連接于業(yè)務終端，通過工業(yè)防火墻、網(wǎng)閘等防護設備對工業(yè)控制網(wǎng)絡安全區(qū)域之間進行邏輯隔離；依據(jù)重要程度寬帶優(yōu)先分配制度，進而確保重要業(yè)務不被耽誤；禁止在VPN狀態(tài)下接入網(wǎng)絡。

（3）主機安全防護

主機安全應從身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范入手進行安全防護。如在工業(yè)主機登錄、資源訪問等過程中使用身份認證管理，對于關鍵系統(tǒng)的訪問采用多因素認證?？刹捎脭?shù)據(jù)單向訪問控制策略、對訪問時限進行控制等加固遠程訪問安全。加大審計的范圍和力度，保障審計記錄的真實完整性，做到事后可以追溯；對于非法攻擊等行為如發(fā)現(xiàn)、應立即報告并進行處理等方式降低安全風險。

（4）應用安全防護

應用方面應采用加密方式訪問保障通信的完整性、保密性。增強登錄控制及審計功能，做到有效識別登錄人的身份，同時對登錄的操作進行有效記錄，保證可追溯性。增強對訪問異常及次數(shù)的控制，制定安全策略，應對不同異常情況。用戶口令一定要有復雜度要求，并需要定期更改。

（5）數(shù)據(jù)安全防護

數(shù)據(jù)安全防護是通過加密以及多種手段對數(shù)據(jù)進行防護，通過這一系列的防護促進數(shù)據(jù)安全保障工業(yè)控制系統(tǒng)信息安全，同時應建立重要數(shù)據(jù)備份恢復機制，定期做應急演練。

結(jié)論

工業(yè)控制系統(tǒng)信息安全建設是一項系統(tǒng)工程，需要做到安全策略和安全教育并重，安全技術和安全管理并施，從多方位、多角度全面建立起適應企業(yè)發(fā)展的安全保障機制，全面保障企業(yè)工控系統(tǒng)安全可靠運行。

參考文獻：

[1]GB/T22239-2016.信息安全技術：信息系統(tǒng)安全等級保護基本要求[S].2016

[2]GB/T25070-2016.信息安全技術：信息系統(tǒng)等級保護安全設計技術要求[S].2016

[3]杜偉奇，王平，王浩.工業(yè)控制系統(tǒng)中安全威脅分析與策略[J]重慶郵電學院學報（自然科學版），2005，（05）.

[4]李璇.淺談以太網(wǎng)在工業(yè)控制系統(tǒng)中的應用[J].科技資訊，2009，（21）.

[5]GB/T20270-2016.信息安全技術：網(wǎng)絡基礎安全技術要求[S].2016

[6]陳星，賈卓生.工業(yè)控制網(wǎng)絡的信息安全威脅與脆弱性分析與研究[J].計算機科學，2012，39（10）：188—190.