重鋼工業(yè)控制系統(tǒng)信息安全
前言：想要寫出一篇引人入勝的文章？我們特意為您整理了重鋼工業(yè)控制系統(tǒng)信息安全范文，希望能給你帶來靈感和參考，敬請閱讀。
0引言
2013年以來，重鋼集團作為重慶市的大型重工業(yè)企業(yè)工控信息安全試點，進行了積極的探索和實踐。研究工控系統(tǒng)信息安全問題，制定工控系統(tǒng)信息安全實施指南，建立重鋼ICS工控信息安全的模擬試驗中心，進行控制系統(tǒng)信息安全的模擬試驗，采取措施提高重鋼控制系統(tǒng)的安全防御能力，以保證重鋼集團控制系統(tǒng)的信息安全和安全生產，盡到自己的社會責任。
1工控系統(tǒng)信息安全問題的由來
工業(yè)控制系統(tǒng)（industrycontrolsystem，以下簡稱ICS）信息安全問題的核心是通信協(xié)議缺陷問題。工控協(xié)議安全問題可分為兩類：
1.1ICS設計時固有的安全缺失
傳統(tǒng)的ICS采用專用的硬件、軟件和通信協(xié)議，設計上注重效率、實時性、可靠性，為此放棄了諸如認證、授權和加密等需要附加開銷的安全特征和功能，一般采用封閉式的網(wǎng)絡架構來保證系統(tǒng)安全。工業(yè)控制網(wǎng)的防護功能都很弱，幾乎沒有隔離功能。由于ICS的相對封閉性，一直不是網(wǎng)絡攻防研究關注的重點。
1.2ICS開放發(fā)展而繼承的安全缺失
目前，幾乎所有的ICS廠商都提出了企業(yè)全自動化的解決方案，ICS通信協(xié)議已經(jīng)演化為在通用計算機\操作系統(tǒng)上實現(xiàn)，并運行在工業(yè)以太網(wǎng)上，TCP/IP協(xié)議自身存在的安全問題不可避免地會影響到相應的應用層工控協(xié)議。潛在地將這些有漏洞的協(xié)議暴露給攻擊者。隨著工業(yè)信息化及物聯(lián)網(wǎng)技術的高速發(fā)展，企業(yè)自動化、信息化聯(lián)網(wǎng)融合，以往相對封閉的ICS逐漸采用通用的通信協(xié)議、硬軟件系統(tǒng)，甚至可以通過實時數(shù)據(jù)采集網(wǎng)、MES、ERP網(wǎng)絡連接到企業(yè)OA及互聯(lián)網(wǎng)等公共網(wǎng)絡。傳統(tǒng)信息網(wǎng)絡所面臨的病毒、木馬、入侵攻擊、拒絕服務等安全威脅也正在向ICS擴散。因此在ICS對企業(yè)信息化系統(tǒng)開放，使企業(yè)生產經(jīng)營獲取巨大好處的同時，也減弱了ICS與外界的隔離，“兩化融合”使ICS信息安全隱患問題日益嚴峻。
2重鋼ICS信息安全問題的探索
2.1重鋼企業(yè)系統(tǒng)架構
重鋼新區(qū)的建設是以大幅提升工藝技術和控制、管理水平，以科技創(chuàng)新和裝備大型化推進流程再造為依據(jù)，降本增效、節(jié)能減排為目的來完成的。各主要工藝環(huán)節(jié)、生產線都實現(xiàn)了全流程智能化管控。依據(jù)“產銷一體化”的思想，重鋼在各產線上集成,實現(xiàn)“兩化”深度融合，形成了一個龐大而復雜的網(wǎng)絡拓撲結構。
2.2生產管控系統(tǒng)分級
管控系統(tǒng)按控制功能和邏輯分為4級網(wǎng)絡：L4（企業(yè)資源計劃ERP）、L3（生產管理級MES）、L2（過程控制級PCS）、L1（基礎自動化級BAS）。重鋼新區(qū)L1控制系統(tǒng)有：浙大中控、新華DCS、西門子PLC、GEPLC、MOX、施耐德和羅克威爾控制系統(tǒng)等。各主要生產環(huán)節(jié)L1獨立，L2互聯(lián)，L3和ERP是全流程整體構建。
2.3重鋼企業(yè)網(wǎng)絡架
重鋼新區(qū)網(wǎng)絡系統(tǒng)共分為4個層次：Internet和專線區(qū)，主干網(wǎng)區(qū)域，服務器區(qū)域，L2/L3通信專網(wǎng)區(qū)。
（1）主干網(wǎng)區(qū)域包括全廠無線覆蓋（用于各網(wǎng)絡點的補充接入備用）和辦公終端接入，主干網(wǎng)區(qū)域與Internet和專線區(qū)之間通過防火墻隔離，并部署行為管理系統(tǒng)；
（2）主干網(wǎng)區(qū)域與服務器區(qū)域之間通過防火墻隔離；
（3）L2與L3之間由布置在L2網(wǎng)絡的防火墻和L3側的數(shù)據(jù)交換平臺隔離；
（4）L2和L1之間通過L2級主機雙網(wǎng)卡方式進行邏輯隔離，各生產線L2和L1遍布整個新區(qū)，有多種控制系統(tǒng)。
（5）OA與ERP和MES服務器之間沒有隔離。在L2以下沒有防火墻，現(xiàn)有的安全措施不能保證ICS的安全。
2.4ICS安全漏洞
經(jīng)過分析討論，我們認為重鋼管控系統(tǒng)ICS可能存在以下安全問題：
（1）通信協(xié)議漏洞基于TCP/IP的工業(yè)以太網(wǎng)、PROIBUS,MODBUS等總線通信協(xié)議，L1級與L2級之間通信采用的OPC協(xié)議，都有明顯的安全漏洞。
（2）操作系統(tǒng)漏洞：ICS的HMI上Windows操作系統(tǒng)補丁問題。
（3）安全策略和管理流程問題：安全策略與管理流程、人員信息安全意識缺乏，移動設備的使用及不嚴格的訪問控制策略。
（4）殺毒軟件問題：由于殺毒軟件可能查殺ICS的部分軟件，且其病毒庫需要不定期的更新，故此，ICS操作站\工程師站基本未安裝殺毒軟件。
3重鋼工控系統(tǒng)信息安全措施
對重鋼來說，ICS信息安全性研究是一個新領域，對此，需要重點研究ICS自身的脆弱性（漏洞）情況及系統(tǒng)間通信規(guī)約的安全性問題，對ICS系統(tǒng)進行安全測試，同時制定ICS的設備安全管理措施。
3.1制定ICS信息安全實施指南
根據(jù)國際行業(yè)標準ANSI/ISA-99及IT安防等級，重鋼與重慶郵電大學合作，制定出適合國內實際的《工業(yè)控制系統(tǒng)信息安全實施指南》（草案）。指南就ICS和IT系統(tǒng)的差異，ICS系統(tǒng)潛在的脆弱性，風險因素，ICS網(wǎng)絡隔離技術，安全事故緣由，ICS系統(tǒng)安全程序開發(fā)與部署，管理控制，運維控制，技術控制等多方面進行具體的規(guī)范，并提出ICS的縱深防御戰(zhàn)略的主要規(guī)則。并提出ICS的縱深防御戰(zhàn)略的主要規(guī)則。ICS的縱深防御戰(zhàn)略：
（1）在ICS從應用設計開始的整個生命周期內解決安全問題；
（2）實施多層的網(wǎng)絡拓撲結構；
（3）提供企業(yè)網(wǎng)和ICS的網(wǎng)絡邏輯隔離；
（4）ICS設備測試后封鎖未使用過的端口和服務，確保其不會影響ICS的運行；
（5）限制物理訪問ICS網(wǎng)絡和設備；
（6）限制ICS用戶使用特權，(權、責、人對應）；
（7）在ICS網(wǎng)絡和企業(yè)網(wǎng)絡分別使用單獨的身份驗證機制；
（8）使用入侵檢測軟件、防病毒軟件等，實現(xiàn)防御工控系統(tǒng)中的入侵及破壞；
（9）在工控系統(tǒng)的數(shù)據(jù)存儲和通信中使用安全技術，例如加密技術；
（10）在安裝ICS之前，利用測試系統(tǒng)測試完所有補丁并盡快部署安全補丁；
（11）在工控系統(tǒng)的關鍵區(qū)域跟蹤和監(jiān)測審計蹤跡。
3.2建立重鋼ICS信息安全模擬試驗中心
由于重鋼新區(qū)企業(yè)網(wǎng)絡架構異常復雜，要解決信息安全問題，必須對企業(yè)網(wǎng)絡及ICS進行信息安全測試，在此基礎上對系統(tǒng)進行加固。為避免攻擊等測試手段對正在生產運行的系統(tǒng)產生不可控制的惡劣影響，必須建立一個ICS信息安全的模擬試驗中心。為此，采用模擬在線運行的重鋼企業(yè)網(wǎng)絡的方式，構建重鋼ICS信息安全的模擬試驗中心。這個中心也是重鋼電子的軟件開發(fā)模擬平臺和信息安全攻防演練平臺。
3.3模擬系統(tǒng)信息安全的測試診斷
重鋼模擬系統(tǒng)安全測試，主要進行漏洞檢測和滲透測試，形成ICS安全評估報告。重鋼ICS安全問題主要集中在安全管理、ICS與網(wǎng)絡系統(tǒng)三個方面，高危漏洞占很大比重。
（1）骨干網(wǎng)作為內外網(wǎng)數(shù)據(jù)交換的節(jié)點，抗病毒能力弱、有明顯的攻擊路徑；
（2）生產管理系統(tǒng)中因為網(wǎng)絡架構、程序設計和安全管理等方面的因素，存在諸多高風險安全漏洞；
（3）L1的PLC與監(jiān)控層之間無安全隔離，ICS與L2之間僅有雙網(wǎng)卡邏輯隔離，OA和ERP、MES的網(wǎng)絡拓撲沒有分級和隔離。對外部攻擊沒有防御手段。雖然各部分ICS(L1）相對獨立，但整個系統(tǒng)還是存在諸多不安全風險因素，主要有系統(tǒng)層缺陷、滲透攻擊、緩沖區(qū)溢出、口令破解及接口、企業(yè)網(wǎng)內部威脅五個方面。通過對安全測試結果進行分析，我們認為攻擊者最容易采用的攻擊途徑是：現(xiàn)場無線網(wǎng)絡、辦公網(wǎng)—HMI遠程網(wǎng)頁—HMI服務器、U盤或筆記本電腦在ICS接入。病毒最容易侵入地方是：外網(wǎng)、所有操作終端、調試接入的筆記本電腦。
3.4提高重鋼管控系統(tǒng)安防能力的措施
在原有網(wǎng)絡安全防御的基礎上根據(jù)ICS信息安全的要求和模擬測試的結果，我們采取一系列措施來提高重鋼管控系統(tǒng)的措施。
3.5安全管理措施
參照《工業(yè)控制系統(tǒng)信息安全實施指南》（草案），修訂《重鋼股份公司計算機信息網(wǎng)絡管理制度》，針對內部網(wǎng)絡容易出現(xiàn)的安全問題提出具體要求，重點突出網(wǎng)絡安全接入控制和資源共享規(guī)范；檢查所有ICS操作員\工程師站，封鎖USB口，重新清理所有終端，建立完整的操作權限和密碼體系。封鎖大部分骨干網(wǎng)區(qū)的無線接入，增加現(xiàn)場無線設備的加密級別。
3.6系統(tǒng)加固措施
3.6.1互聯(lián)網(wǎng)出口安全防護第一層：防火墻——在原來配置的防火墻上，清理端口，精確開放內部服務器服務端口，限制主要網(wǎng)絡木馬病毒入侵端口通訊；第二層：行為管理系統(tǒng)——對內外通訊的流量進行整形和帶寬控制，控制互聯(lián)網(wǎng)訪問權限，減少非法的互聯(lián)網(wǎng)資源訪問，同時對敏感信息進行控制和記錄；第三層：防病毒系統(tǒng)——部署瑞星防毒墻對進出內網(wǎng)的網(wǎng)絡流量進行掃描過濾，查殺占據(jù)絕大部分的HTTP、FTP、SMTP等協(xié)議流量，凈化內網(wǎng)網(wǎng)絡環(huán)境；
3.6.2內網(wǎng)（以太網(wǎng)）安全部署企業(yè)版殺毒系統(tǒng)、EAD準入控制系統(tǒng)(終端安裝)，進行交換機加固，增加DHCP嗅探功能，拒絕非法DHCP服務器分配IP地址，廣播風暴抑制。
3.6.3工業(yè)以太網(wǎng)安全L1級安全隔離應考慮ICS的特點：
（1）PLC與監(jiān)控層及過程控制級一般采用OPC通訊，端口不固定。因此，安全隔離設備應能進行動態(tài)端口監(jiān)控和防御。
（2）工控系統(tǒng)實時性高，要求通信速度快。因此，為保證所處理的流量較少，網(wǎng)絡延時小，實時性好，安全隔離設備應布置在被保護設備的上游和控制網(wǎng)絡的邊緣。圖3安全防御技術措施實施簡圖經(jīng)過多方比較，現(xiàn)采用數(shù)據(jù)采集隔離平臺和智能保護平臺。在PLC采用終端保護，在L1監(jiān)控層實現(xiàn)L1區(qū)域保護，在PCS與MES、ERP和OA之間形成邊界保護。接著考慮增加L1外掛監(jiān)測審計平臺和漏洞挖掘檢測平臺。
3.6.4數(shù)據(jù)采集隔離平臺在L1的OPC服務器和實時數(shù)據(jù)庫采集站之間實現(xiàn)數(shù)據(jù)隔離，采用數(shù)據(jù)隔離網(wǎng)關+綜合管理平臺實現(xiàn)：動態(tài)端口控制，白名單主動防御，實時深度解析采集數(shù)據(jù)，實時報警阻斷。
3.6.5智能保護平臺快速識別ICS系統(tǒng)中的非法操作、異常事件及外部攻擊并及時告警和阻斷非法數(shù)據(jù)包。多重防御機制：將IP地址與MAC地址綁定，防止內部IP地址被非法盜用；白名單防御機制：對網(wǎng)絡中所有不符合白名單的安全數(shù)據(jù)和行為特征進行阻斷和告警，消除未知漏洞危害；黑名單防御機制：根據(jù)已知漏洞庫，對網(wǎng)絡中所有異常數(shù)據(jù)和行為進行阻斷和告警，消除已知漏洞危害。邊界保護：布置在L1邊界，監(jiān)控L1網(wǎng)絡中的保護節(jié)點和網(wǎng)絡結構，配置信息以及安全事件。區(qū)域保護：布置在L1級ICS內部邊界，防御來自工業(yè)以太網(wǎng)以外及ICS內部其他區(qū)域的威脅。終端保護：布置在終端節(jié)點，防御來自外部、內部其他區(qū)域及終端的威脅。綜合管理平臺：通過對所在工控網(wǎng)絡環(huán)境的分析，自動組合一套規(guī)則與策略的部署方案；可將合適的白名單規(guī)則與漏洞防護策略下發(fā)部署到不同的智能保護平臺。
4結束語
經(jīng)過多方共同努力，重鋼集團現(xiàn)已建成一個較為完整的企業(yè)信息安全的模擬試驗中心；制定出適用于國內實際的有待驗證的工控系統(tǒng)信息安全實施指南；對重鋼工控系統(tǒng)信息安全狀況有了一個較為清晰的認知；通過采取積極的安全防御加固措施，極大的提高整個企業(yè)ICS安全；也看清了以后的方向。重鋼工控信息安全體系的研究和完善還任重道遠，我們將繼續(xù)深入研究，為我國的工控信息安全體系的建設盡微薄之力。
作者：陳開華 單位：重慶鋼鐵集團公司電子有限責任公司
