煙草商業(yè)物流工控安全體系建設探究

摘 要：隨著社會進步和計算機技術(shù)的不斷發(fā)展，物流工控設備在煙草商業(yè)企業(yè)物流得到普遍應用，在生產(chǎn)中發(fā)揮重要的“神經(jīng)中樞”作用，逐漸形成了相對完整的工控體系。文章首先對某市煙草商業(yè)企業(yè)物流工控網(wǎng)絡現(xiàn)狀進行論述，其次分析其工控系統(tǒng)的安全風險，最后對存在的安全體系風險問題給出建設性意見。

關(guān)鍵詞：工控設備;煙草物流;安全體系

中圖分類號：F721;F252 文獻標識碼：A文章編號：1005-6432（2022）08-0173-03

DOI：10.13939/j.cnki.zgsc.2022.08.173

當前，全球正出現(xiàn)以信息網(wǎng)絡、智能制造、新能源和新材料為代表的新一輪技術(shù)創(chuàng)新浪潮，中國制造業(yè)也正處于“兩化融合”發(fā)展的關(guān)鍵階段和提升的重要時期。科技進步帶來的更加開放的工業(yè)控制網(wǎng)絡，正面臨著來自網(wǎng)絡的嚴峻安全威脅。生產(chǎn)制造業(yè)面臨的工業(yè)控制網(wǎng)絡安全威脅，是全世界面臨的共同難題。為此各國開展深入合作，共同研究應對措施。據(jù)統(tǒng)計，我國是受到網(wǎng)絡攻擊最多而且最為嚴重的國家之一，對網(wǎng)絡的數(shù)據(jù)安全極為重視。隨著工控網(wǎng)絡在制造業(yè)的普及，工控安全體系的研究及構(gòu)建迫在眉睫。

煙草行業(yè)內(nèi)的物流工控系統(tǒng)，需要將產(chǎn)品的信息化和工業(yè)化進行高度的融合，其信息安全是頭等大事。自動化技術(shù)、計算機技術(shù)及互聯(lián)網(wǎng)技術(shù)的突飛猛進，帶動了工控系統(tǒng)的管理需求，逐漸形成了工業(yè)管理與控制的協(xié)同一體化。信息化與工業(yè)化的高度融合，使得工控系統(tǒng)在硬件、軟件和協(xié)議上進一步兼顧通用性。工控系統(tǒng)不再獨立運行，其開放性進一步增強。其接入的范圍不僅局限在企業(yè)網(wǎng)，而是擴展到了互聯(lián)網(wǎng)。因而面臨著來自互聯(lián)網(wǎng)的信息安全威脅，同樣需要可靠的網(wǎng)絡安全防護體系。

1 煙草商業(yè)物流工控系統(tǒng)架構(gòu)

1.1 業(yè)務結(jié)構(gòu)

在煙草商業(yè)企業(yè)的物流組成部分中，主要有數(shù)據(jù)管理部分、物流管理部分、調(diào)度監(jiān)控部分和控制執(zhí)行部分，涵蓋了卷煙采購、出入庫、分類揀拾、出貨等各個環(huán)節(jié)。

1.2 物流工控網(wǎng)絡結(jié)構(gòu)

該煙草商業(yè)企業(yè)物流工控網(wǎng)絡結(jié)構(gòu)從功能層面劃分為辦公網(wǎng)和生產(chǎn)網(wǎng)。辦公網(wǎng)為數(shù)據(jù)管理系統(tǒng)工作網(wǎng)絡，包含供應鏈管理、營銷大平臺、財務管理、物流管控、專賣管理系統(tǒng)等;生產(chǎn)網(wǎng)由物流管理層、數(shù)據(jù)交換平臺、控制總線網(wǎng)絡和設備總線組成。物流工控網(wǎng)絡從縱向來看，分為數(shù)據(jù)管理系統(tǒng)、數(shù)據(jù)交互平臺、控制總線網(wǎng)絡和設備總線。該企業(yè)的物流工控網(wǎng)絡結(jié)構(gòu)架構(gòu)如圖1所示。

從圖中看出，根據(jù)企業(yè)內(nèi)部數(shù)據(jù)流向來劃分主要有四個部分。第一部分的數(shù)據(jù)管理系統(tǒng)包括數(shù)據(jù)管理層和物流管理層，其中數(shù)據(jù)管理層主要包括了供應鏈管理系統(tǒng)中的計劃管理、采購管理、營銷管理等，還包括結(jié)算統(tǒng)計、訂貨管理、財務管理、專賣管理、票據(jù)管理、客戶關(guān)系管理和決策支持等。物流管理層則主要負責倉儲管理、調(diào)度管理、分揀配貨、合單管理、設備管理、配送管理、綜合管理等。第二部分則是數(shù)據(jù)交換的平臺，主要以虛擬化服務器集群和工作站作為支撐，技術(shù)管理人員進行管理和調(diào)度監(jiān)控，為上下層提供數(shù)據(jù)的分析和支持。第三部分是總線控制網(wǎng)絡，它是一個用于工業(yè)設備自動控制的開放式計算機內(nèi)部局域網(wǎng)系統(tǒng)，從控制總站為線路支持提供各種接口。第四部分為設備總線，其主要連接了各種變頻器、I/O、電子標簽分揀機、自動分揀機、環(huán)穿車、堆垛機、傳輸、疊垛包裝等，完成了各種底層的倉儲備貨、分揀、包裝、標簽打印等操作。

2 煙草商業(yè)物流工控系統(tǒng)現(xiàn)狀

2.1 國外物流工控系統(tǒng)現(xiàn)狀

根據(jù)美國工業(yè)控制系統(tǒng)網(wǎng)絡應急響應小組（ICS-CERT）發(fā)布的2013年年報統(tǒng)計，近幾年ICS-CERT接到的工控系統(tǒng)漏洞上報數(shù)量在不斷增加，其中在2013年接到的181個漏洞報告中，有177個被確認是真實的工控系統(tǒng)漏洞，共涉及52個廠商。在這177個被確認的漏洞中，87%的漏洞可以通過網(wǎng)絡遠程被利用。在漏洞類型中，身份驗證漏洞的數(shù)量最多。這些漏洞可能使具有初級水平的攻擊者通過互聯(lián)網(wǎng)獲得訪問工業(yè)控制設備的管理員權(quán)限。

根據(jù)美國ICS-CERT往年統(tǒng)計的工控信息安全事件數(shù)量可知，近幾年工業(yè)控制系統(tǒng)相關(guān)的信息安全事件正在呈快速增長的趨勢。在2013年的工控信息安全事件中，能源、制造業(yè)、市政等國家關(guān)鍵基礎設施受到的攻擊最為嚴重。這些信息安全事件涉及的主要攻擊方式包括水坑式攻擊、SQL注入攻擊和釣魚攻擊等。

2.2 國內(nèi)煙草商業(yè)物流工控系統(tǒng)現(xiàn)狀

根據(jù)綠盟科技公司的統(tǒng)計，2013年公開新增工業(yè)控制系統(tǒng)相關(guān)的漏洞共計78個，相對于前兩年有所放緩，軟件漏洞數(shù)量有所回落，但硬件漏洞數(shù)量繼續(xù)保持持續(xù)增長趨勢。對工控網(wǎng)絡攻擊行為已經(jīng)出現(xiàn)在多種工業(yè)領域中，比如軌道交通、石油化工、煙草、電力、醫(yī)療系統(tǒng)、制藥等。在某煙草企業(yè)，煙機經(jīng)常出現(xiàn)不明原因的停機，造成巨大的經(jīng)濟損失。企業(yè)人員經(jīng)過多次生產(chǎn)檢查都無濟于事，最后通過專業(yè)工控網(wǎng)絡安全廠商的漏洞挖掘檢測才找到了問題，定位原因為工控網(wǎng)絡攻擊導致。

我國也在積極探索漏洞挖掘與風險通報工作，2012年國務院的23號文與2011年工信部451號文都提出要建立漏洞通報與發(fā)布制度。2012年，工業(yè)和信息部啟動了工控系統(tǒng)信息安全風險發(fā)布工作。同年8月，下發(fā)了《工業(yè)和信息化部辦公廳關(guān)于開展工業(yè)控制系統(tǒng)信息安全風險信息發(fā)布工作的通知》（工信廳協(xié)函〔2012〕629號），對工業(yè)控制系統(tǒng)信息安全風險信息發(fā)布工作做出了具體安排。

為支持工控系統(tǒng)信息安全風險發(fā)布，工信部還組織相關(guān)機構(gòu)建立了工業(yè)控制系統(tǒng)信息安全仿真環(huán)境和測試實驗室，初步具備了工業(yè)控制系統(tǒng)信息安全攻擊與防范體系防御演習以及漏洞檢測、挖掘及驗證能力。同時，我國也鼓勵研究機構(gòu)、工控產(chǎn)品廠商、信息安全廠商和研究人員積極參與工控風險“可發(fā)現(xiàn)”的研究工作，積極向主管部門上報風險。

3 煙草商業(yè)物流工控系統(tǒng)安全需求與風險分析

在工業(yè)化和信息化兩化融合趨勢下，工業(yè)控制網(wǎng)絡與日常辦公網(wǎng)絡的連通是大勢所趨。工業(yè)企業(yè)通常采取安全措施對傳統(tǒng)網(wǎng)絡進行安全防護，但對工業(yè)控制系統(tǒng)的信息安全重視程度不夠。同時，安全保護和管理的措施不足，安全漏洞風險大是常態(tài)。

作為國民經(jīng)濟的支柱產(chǎn)業(yè)之一，煙草工商企業(yè)中，煙草工業(yè)企業(yè)在工業(yè)生產(chǎn)領域，煙草商業(yè)企業(yè)在倉儲儲配領域都廣泛使用了工業(yè)控制系統(tǒng)。因此如何確保整個系統(tǒng)的安全和穩(wěn)定對于煙草行業(yè)而言是非常重要的。下面就煙草商業(yè)物流控制類系統(tǒng)如何進行安全防護進行分析。

就全國煙草商業(yè)企業(yè)物流領域工控網(wǎng)絡而言，基本上沒有有效的檢測和防范手段抵御外部對工控網(wǎng)絡的攻擊。網(wǎng)絡層面，外部威脅源一旦進入公司的辦公網(wǎng)絡，則可以此為跳板連接到工控網(wǎng)絡的現(xiàn)場控制層網(wǎng)絡，直接影響工業(yè)生產(chǎn);系統(tǒng)和終端層面，由于大部分采用了通用的Windows操作系統(tǒng)，為保證工業(yè)軟件的穩(wěn)定運行，在操作過程中往往不會及時進行系統(tǒng)升級，甚至沒有安裝殺毒軟件，存在著大量的安全漏洞。

由此可見，煙草行業(yè)從生產(chǎn)到物流等環(huán)節(jié)都面臨著工業(yè)安全風險，單從煙草物流控制類系統(tǒng)來看，煙草商業(yè)物流主要有以下五方面的風險及安全需求。

3.1 生產(chǎn)管理執(zhí)行系統(tǒng)與物流控制系統(tǒng)的網(wǎng)絡系統(tǒng)隔離需求與風險分析

生產(chǎn)管理執(zhí)行系統(tǒng)通過網(wǎng)絡通信手段，進行車間管理和將生產(chǎn)任務調(diào)度到各生產(chǎn)線執(zhí)行，控制跟蹤物料、人員、設備和庫存。此類系統(tǒng)生產(chǎn)執(zhí)行層作為管理網(wǎng)與工控系統(tǒng)直接相連的部分，為避免工控系統(tǒng)受到來自管理網(wǎng)的安全威脅，生產(chǎn)執(zhí)行層與監(jiān)督控制層之間的安全隔離十分必要。

3.2 安全域劃分網(wǎng)絡隔離需求與風險分析

在調(diào)度控制層中主要設備有操作員站、物流管理系統(tǒng)的服務器和客戶端以及調(diào)度控制系統(tǒng)的服務器和客戶端。如果調(diào)度控制層設備在同一網(wǎng)段內(nèi)，業(yè)務終端、操作站、服務器沒有安全防護，也不進行區(qū)別對待，會存在較大安全風險。

3.3 監(jiān)控終端及服務器漏洞補丁合規(guī)檢查和防護需求與風險分析

操作站、服務器大多采用Windows系統(tǒng)，因為各種技術(shù)或管理原因長期不更新，存在大量漏洞。另外，各類操作站的外設管理以及安裝軟件合規(guī)性檢查等方面也都需進行安全防護。

3.4 網(wǎng)絡實時監(jiān)測審計過濾需求與風險分析

在現(xiàn)場控制層主要設備包括控制輸送機、堆垛機等物流機械設備的PLC控制器以及運輸物品AGV小車所接入的無線AP，接收來自監(jiān)督控制層的操作指令。監(jiān)控服務器、操作站服務器等很容易成為攻擊跳板，從而被用來惡意訪問其他設備。因此，需對這些設備的入侵或異常行為進行實時監(jiān)測與過濾。

3.5 現(xiàn)場無線網(wǎng)絡安全需求風險分析

現(xiàn)場的無線AP被入侵后，很可能導致AGV小車的路線錯誤或運輸物品錯誤。煙草商業(yè)企業(yè)通常對辦公網(wǎng)絡的信息安全進行一定級別的等保防護措施，但由于技術(shù)水平和管理方面原因，往往對工業(yè)控制系統(tǒng)信息安全缺乏足夠的保護措施，導致工業(yè)控制網(wǎng)絡存在較大的安全漏洞和風險。

4 煙草商業(yè)物流工控系統(tǒng)網(wǎng)絡安全建設策略

通常來講，工控系統(tǒng)物流控制類的安全域通常包括生產(chǎn)執(zhí)行域、監(jiān)督控制域和工控域。面對物流控制類工控系統(tǒng)不同分域、分區(qū)情況以及業(yè)務要求如何進行相應的安全防護。通過下面所述安全防護措施，能夠有效保障物流控制類系統(tǒng)安全運轉(zhuǎn)。

其一，對生產(chǎn)管理執(zhí)行系統(tǒng)到物流控制系統(tǒng)進行訪問控制，阻斷來自管理網(wǎng)的非法行為，避免工控系統(tǒng)受到來自管理網(wǎng)的安全威脅。其二，做好操作站到PLC、堆垛機的訪問控制。倉儲物流系統(tǒng)中最重要的設備就是堆垛機，實現(xiàn)操作站到PLC、堆垛機的訪問控制是一種實現(xiàn)堆垛機全過程信息數(shù)據(jù)管理的方式，該管理方式數(shù)據(jù)全面，覆蓋了堆垛機的全過程數(shù)據(jù)，可以實現(xiàn)堆垛機的信息化控制。其三，對物流控制類工控系統(tǒng)進行實時異常流量監(jiān)測。由于工控網(wǎng)絡的穩(wěn)定、可靠和可控性由各方面的指標組成，其中每個設備對外的請求數(shù)量、收到的請求數(shù)量和對外提供的服務都是可度量且可控的。對物流控制類工控系統(tǒng)進行實時異常流量監(jiān)測，既可以旁路部署，又可以串入工控網(wǎng)絡的設備。對工控網(wǎng)絡的流量進行實時采集和監(jiān)測，并利用智能學習引擎自學習工控網(wǎng)絡正常流量形成安全基線，以此為基線對工控網(wǎng)絡中的各個設備進行實時監(jiān)測，對異常的流量進行實時告警并記錄到告警日志中。如何解決全方面收集各工控系統(tǒng)中各個設備發(fā)送和收到的流量、如何建立安全基線、如何判定流量異常及流量異常后處理的問題。其四，對操作站的U盤及外設要進行嚴格管控。U盤具有攜帶方便、存儲容量大、價格便宜等優(yōu)點，很多人喜歡把各種資料儲存在U盤里。病毒制造者不甘錯過這一傳播病毒的好機會，編制了種種病毒，給U盤使用者帶來了煩惱。對操作站的U盤及外設要進行嚴格管控，減少病毒的感染。其五，及時發(fā)現(xiàn)工控系統(tǒng)操作員站、工程師站、服務器、組態(tài)軟件及PLC的漏洞，以便做出應對。其六，對工控系統(tǒng)的操作員站、工程師站、路由器、交換機和組態(tài)軟件等設備進行統(tǒng)一性能監(jiān)測、日志采集及集中管理。其七，對無線網(wǎng)絡安全進行有效防護。其八，及時準確地發(fā)現(xiàn)和修補工控漏洞。工業(yè)控制系統(tǒng)安全問題受到了廣泛關(guān)注，安全問題的核心就是漏洞，工業(yè)控制系統(tǒng)安全事件層出不窮使得工控系統(tǒng)存在大量的漏洞。要做好措施及時準確地發(fā)現(xiàn)和修補工控漏洞。

綜上所述，煙草物流工控系統(tǒng)的安全防護刻不容緩，煙草行業(yè)物流控制工控系統(tǒng)安全防護解決方案，不僅能對系統(tǒng)進行有效防護，更能在不影響正常業(yè)務的情況下完成部署，防護過程高效便捷。同時，還應針對個性化安全需求，提供差異化的工控系統(tǒng)防護解決方案。

5 結(jié)論

現(xiàn)代企業(yè)的發(fā)展要跟上信息化、智能化的步伐。構(gòu)建完善物流工控網(wǎng)絡對每一家煙草商業(yè)物流來說是大勢所趨。不斷提升工控系統(tǒng)信息安全防護技術(shù)，建立高效、全面的工控網(wǎng)絡安全防護體系，減少或避免網(wǎng)絡安全事件對商業(yè)企業(yè)的破壞與故障，有效保障企業(yè)的正常運行，對我國煙草行業(yè)發(fā)展具有積極作用。

參考文獻：

[1]洪軼群.煙草工業(yè)控制系統(tǒng)信息安全檢測技術(shù)研究[J].網(wǎng)絡安全技術(shù)與應用，2020（2）.

[2]賽永杰，馮戰(zhàn)巨.工業(yè)控制系統(tǒng)的信息安全[J].電子技術(shù)與軟件工程，2018（17）：207-209.

[3]陳雪鴻，楊帥鋒，孫巖.工業(yè)控制系統(tǒng)安全等級保護測評研究[J].信息安全研究，2020，6（3）：272-278.

[4]段沛鑫.淺談企業(yè)工業(yè)控制系統(tǒng)信息安全工作[J].電腦迷，2018（8）：48.

[5]秦艷飛.企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡安全防護體系研究[J].現(xiàn)代工業(yè)經(jīng)濟和信息化，2019，9（12）.

[6]王德吉.煙草行業(yè)工控安全防護建設方案[J].自動化博覽，2018，35（S2）：48-51.

[7]崔建華.“兩化融合”背景下煙草行業(yè)工控系統(tǒng)安全防護研究[J].科學與財富，2020（3）：344.

[8]徐國忠.石化企業(yè)工業(yè)控制系統(tǒng)信息安全分析與對策[J].石油化工自動化，2018，54（5）：52-55.

[9]郭江，陳服軍，張志華.水利工控系統(tǒng)網(wǎng)絡安全防護的問題與對策[J].中國水利水電科學研究院學報，2018，16（5）：466-471.

[10]宗志鋒.大數(shù)據(jù)背景下的水務行業(yè)工控系統(tǒng)網(wǎng)絡安全防護研究[J].信息安全與通信保密，2020（1）：104-109.

[作者簡介]方文華（1981—），男，陜西西安人，碩士研究生，工程師，研究方向：網(wǎng)絡安全、信息管理。

3709501186519