工业控制综合系统信息安全.docx

工业控制系统信息安全
一、 工业控制系统安全分析
　　工业控制系统(Industrial Control Systems, ICS)，是由多种自动化控制组件和实时数据采集、监测过程控制组件共同组成。其组件包含数据采集和监控系统(SCADA)、分布式控制系统(DCS)、可编程逻辑控制器(PLC)、远程终端(RTU)、智能电子设备(IED)，和确保各组件通信接口技术。
　　经典ICS 控制过程通常由控制回路、HMI、远程诊疗和维护工具三部分组件共同完成，控制回路用以控制逻辑运算，HMI 实施信息交互，远程诊疗和维护工具确保ICS能够稳定连续运行。
　　1.1 工业控制系统潜在风险
　　1 操作系统安全漏洞问题
　　因为考虑到工控软件和操作系统补丁兼容性问题，系统开车后通常不会对Windows平台打补丁，造成系统带着风险运行。
　　2. 杀毒软件安装及升级更新问题
　　用于生产控制系统Windows操作系统基于工控软件和杀毒软件兼容性考虑，通常不安装杀毒软件，给病毒和恶意代码传染和扩散留下了空间。
　　3. 使用U盘、光盘造成病毒传输问题。
　　因为在工控系统中管理终端通常没有技术方法对U盘和光盘使用进行有效管理，造成外设无序使用而引发安全事件时有发生。
　　4. 设备维修时笔记本电脑随便接入问题
　　工业控制系统管理维护，没有抵达一定安全基线笔记本电脑接入工业控制系统，会对工业控制系统安全造成很大威胁。
　　5. 存在工业控制系统被有意或无意控制风险问题
　　假如对工业控制系统操作行为没有监控和响应方法，工业控制系统中异常行为或人为行为会给工业控制系统带来很大风险。
　　6. 工业控制系统控制终端、服务器、网络设备故障没有立即发觉而响应延迟问题
　　对工业控制系统中IT基础设施运行状态进行监控，是工业工控系统稳定运行基础。
　　1.2 “两化融合”给工控系统带来风险
　　工业控制系统最早和企业管理系统是隔离，但多年来为了实现实时数据采集和生产控制，满足“两化融合”需求和管理方便，经过逻辑隔离方法，使工业控制系统和企业管理系统能够直接进行通信，而企业管理系统通常直接连接Internet，在这种情况下，工业控制系统接入范围不仅扩展到了企业网，而且面临着来自Internet威胁。
　　同时，企业为了实现管理和控制一体化，提升企业信息化合综合自动化水平，实现生产和管理高效率、高效益，引入了生产实施系统MES ，对工业控制系统和管理信息系统进行了集成，管理信息网络和生产控制网络之间实现了数据交换。造成生产控制系统不再是一个独立运行系统，而要和管理系统甚至互联网进行互通、互联。
　　1.3 工控系统采取通用软硬件带来风险
　　工业控制系统向工业以太网结构发展，开放性越来越强。基于TCP/IP以太网通讯OPC技术在该领域得到广泛应用在工业控制系统中，因为工业系统集成和使用便利性，大量使用了工业以太环网和OPC通信协议进行了工业控制系统集成;同时，也大量使用了PC服务器和终端产品，操作系统和数据库也大量使用了通用系统，很轻易遭到来自企业管理网或互联网病毒、木马、黑客攻击。Ø
2、MES层和工业控制层之间安全防护
　　经过在MES层和生产控制层布署工业防火墙，能够阻止来自企业信息层病毒传输; 阻挡来自企业信息层非法入侵;管控OPC用户端和服务器通讯，实现以下目标：
　　Ø 区域隔离及通信管控：经过工业防火墙过滤MES层和生产控制层两个区域网络间通信，那么网络故障会被控制在最初发生区域内，而不会影响到其它部分。
　　Ø 实时报警：任何非法访问，经过管理平台产生实时报警信息，从而使故障问题会在原始发生区域被快速发觉和处理。
　　MES层和工业控制层之间安全防护以下图所表示：

　　2.1.3 工控系统安全防护分域
　　安全域是指同一系统内有相同安全保护需求，相互信任，并含有相同安全访问控制和边界控制策略子网或网络，且相同网络安全域共享一样安全策略。
　　在管理层、制造实施层、工业控制层中，进行管理系统安全子域划分，制造实施安全子域划分、工业控制安全子域划分。 安全域合理划分，使用每一个安全域全部要明确边界，便于对安全域进行安全防护。对MES、ICS安全域划分以下图所表示：

　　如上图所表示，为了确保各个生产线安全，对各个生产线进行了安全域划分，同时在安全域之间进行了安全隔离防护。
　　2.1.4 工控系统安全防护分等级
　　依据安全域在信息系统中关键程度和考虑风险威胁、安全需求、安全成本等原因，将其划为不一样安全保护等级并采取对应安全保护技术、管理方法，以保障信息安全。
　　安全域等级划分要做到每个安全域信息资产价值相近，含有相同或相近安全等级、安全环境、安全策略等。安全域所包含应用和资产价值越高，面临威胁越大，那么它安全保护等级也就越高。
二、工业控制系统安全防护设计
　　经过以上对工业控制系统安全情况分析，我们能够看到，工控系统采取通用平台，加大了工控系统面临安全风险，而“两化融合”和工控系统本身缺点造成安全风险，关键从两个方面进行安全防护。
　　Ø 经过“三层架构，二层防护”体系架构，对工业企业信息系统进行分层、分域、分等级，从而对工控系统操作行为进行严格、排她性控制，确保对工控系统操作唯一性。
　　Ø 经过工控系统安全管理平台，确保HMI、管理机、控制服务工控通信设施安全可信。
　　2.1 构建“三层架构，二层防护”安全体系
　　工业控制系统需要进行横向分层、纵向分域、区域分等级进行安全防护，不然管理信息系统、生产实施系统、工业控制系统处于同一网络平面，层次不清，你中有我、我中有你。来自于管理信息系统入侵或病毒行为很轻易对工控系统造成损害，网络风暴和拒绝式服务攻击很轻易消耗系统资源，使得正常服务功效无法进行。
　　2.1.1 工控系统三层架构
　　通常工业企业信息系统，能够划分为管理层、制造实施层、工业控制层。在管理信层和制造实施系统层之间，关键进行身份判别、访问控制、检测审计、链路冗余、内容检测等安全防护;在制造实施系统层和工业控制系统层之间，关键避免管理层直接对工业控制层访问，确保制造实施层对工业控制层操作唯一性。工控系统三层架构以下图所表示：

　　经过上图能够看到，我们把工业企业信息系统划分为三个层次，分别是计划管理层、制造实施层、工业控制层。
　　管理系统是指以ERP为代表管理信息系统(MIS)，其中包含了很多子系统，如：生产管理、物质管理、财务管理、质量管理、车间管理、能源管理、销售管理、人事管理、设备管理、技术管理、综合管理等等，管理信息系统融信息服务、决议支持于一体。
　　制造实施系统(MES)处于工业控制系统和管理系统之间，关键负责生产管理和调度实施。经过MES，管理者能够立即掌握和了解生产工艺各步骤运行情况和工艺参数改变，实现对工艺过程监视和控制。
　　工业控制系统是由多种自动化控制组件和实时数据采集、监测过程控制组件共同组成。关键完成加工作业、检测和操控作业、作业管理等功效。
　　2.1.2 工控系统二层防护
　　1、管理层和MES层之间安全防护
　　管理层和MES层之间安全防护关键是为了避免管理信息系统域和MES(制造实施)域之间数据交换面临多种威胁，具体表现为：避免非授权访问和滥用(如业务操作人员越权操作其它业务系统);对操作失误、篡改数据，抵赖行为可控制、可追溯;避免终端违规操作;立即发觉非法入侵行为;过滤恶意代码(病毒蠕虫)。
　　也就是说，管理层和MES层之间安全防护，确保只有可信、合规终端和服务器才能够在两个区域之间进行安全数据交换，同时，数据交换整个过程接收监控、审计。管理层和MES层之间安全防护以下图所表示：

　2.2 构建工业控制系统安全管理平台
　　工业控制系统和传统信息系统含有大多数相同安全问题，但同时也存在独特安全需求。工业控制系统最大安全需求是唯一性和排它性，在某一特定工业控制系统中，工业控制系统只需用唯一工业应用程序和工业通信协议运行，其它一概不需要。
　　启明星辰工业系统安全管理平台为工业控制系统建立了一个相对可信计算环境，对工控系统管理终端和网络通信含有很强安全控制功效。工业控制系统安全管理平台有两部分组成，一部分是工业控制系统安全管理平台，含有终端管理、网络管理、行为监控功效，另一部分是终端安全管理用户端。
　　2.2.1 管理平台部分
　　工业控制系统安全运行，关键需要保障工业控制系统相关信息系统基础设施安全，包含工业以太网网络、操作终端、关系数据库服务器、实时数据库服务器、操作和应用系统等各类IT资源安全，从工业控制系统安全角度对工控系统各类IT资源进行监控(包含设备监控、运行监控和安全监控)，实现对安全事件预警和响应，保障工业控制系统安全稳定运行。
　　具体而言，工业控制系统安全管理平台功效以下：
　　1. 能够对应用服务器、关系数据库服务器、实时数据库服务器、工业以太网设备运行状态进行监控，比如CPU、内存、端口流量等等。
　　2. 能够对操作终端外设、进程、桌面进行合规性在线和离线管理。
　　3. 能够对各层边界数据交换情况进行监控。
　　4. 能够对工业控制系统中网络操作行为进行审计。
　　5. 能够对工业控制系统日志进行关联分析和审计。
　　6. 能够对工业控制系统中异常事件进行预警响应。
　　7. 能够对工业企业信息系统进行虚拟安全域划分。
　　2.2.2 工业控制系统终端安全管理部分
　　因为工业控制系统管理终端安全防护技术方法十分微弱，所以病毒、木马、黑客等攻击行为全部利用这些安全弱点，在终端上发生、提议，并经过网络感染或破坏其它系统。
　　工业控制系统终端最大特点是应用相对固定，终端关键安装工业控制系统程序，所以，要防范传统方法病毒或木马等恶意软件，最直接方法就是利用工业控制系统对终端应用程序进程进行管理。
　　具体而言，工业控制系统安全管理平台终端安全管理部分功效以下：
　　1. 工业控制系统安全管理平台用户端软件轻巧精炼，占用资源极少，能够最大程度确保工业控制系统管理终端稳定性。
　　2. 工业控制系统安全管理平台用户端含有终端准入控制功效，能够预防没有达成安全基线笔记本对终端进行管理。
　　3. 工业控制系统安全管理平台用户端含有终端安全优化和加固功效，能够对工业控制系统终端进行安全优化和加固，使终端安全水平达成一定安全基线。
　　4. 工业控制系统安全管理平台用户端含有外设管理功效，对工业控制系统外设进行管理，比如USB接口、光驱、网卡、串口等。
　　5. 工业控制系统安全管理平台用户端含有工业控制系统应用程序监控功效，对终端中工业控制系统软件进行监控和管理。
　　6. 工业控制系统安全管理平台用户端含有工业通信协议监控功效。工业控制系统终端通信协议相对固定，用户端能够对终端通信协议含有唯一性管理功效。
　　7. 工业控制系统安全管理平台用户端含有离线管理功效，工业控制系统终端有一部分无法进行在线管理，用户端含有比较强大离线自管理功效，能够完成对离线终端管理。
　　8. 工业控制系统安全管理平台用户端含有强身份认证功效，用户端含有使用工业控制系统在线终端和离线终端全部含有强身份认证功效，从而预防工业控制系统被有意或无意被控制风险。
　　三、总结
　　中国外发生了多起因为工控系统安全问题而造成生产安全事故。最鲜活例子就是10月发生在伊朗布什尔核电站“震网”(Stuxnet)病毒，为整改工业生产控制系统安全敲响了警钟。
　　为此，工信部在10月下发了“相关加强工业控制系统信息安全管理通知”，要求各级政府和国有大型企业切实加强工业控制系统安全管理。工信部赵泽良司长也强调，工业控制系统安全工作也到了非加强不可时候，不然将影响到中国关键生产设施安全。
　　本文依据工业控制系统安全防护特点，提出了对工业控制系统进行分层、分域、分等级，构建“三层架构，二层防护”工业控制系统安全体系架构思想;经过分析工业控制系统面临风险，对作为工业控制系统安全防护关键产品——工业控制系统安全管理平台功效进行了说明。工控系统安全管理平台，不仅是实现工业控制系统终端安全产品，也是监控工业控制系统IT基础实施和操作行为平台。(启明星辰 张晔)