基于ＴＣＰ／ＩＰ协议的自动化网络安全问题

付蕴华

摘要:众所周知,如今电脑上因特网都要作TCP/IP协议设置,显然该协议成了当今地球村“人与人”之间的“牵手协议”。TCP/IP是制造自动化环境中主机之间传输数据与控制信息的一种可靠方法。TCP/IP已经使得制造工厂扩大了它们的自动化范围,本文论述了一些方法,采用这些方法对制造自动化网络安全问题的影响就可以降低到最低程度。

关键词:自动化网络TCP/IP管理控制系统集成计算机集成制造

0 引言

TCP/IP(Transmission Control Protocol/Internet Protocol的简写),中文译名为传输控制协议/互联网络协议,TCP/IP是Internet最基本的协议,简单地说,就是由底层的IP协议和TCP协议组成的。虽然IP和TCP这两个协议的功能不尽相同,也可以分开单独使用,但它们是在同一时期作为一个协议来设计的,并且在功能上也是互补的。只有两者结合,才能保证Internet在复杂的环境下正常运行。凡是要连接到Internet的计算机,都必须同时安装和使用这两个协议,因此在实际中常把这两个协议统称作TCP/IP协议。然而,TCP/IP不是没有缺点的,当TCP/IP用于制造自动化环境的时候,安全易损性问题就显得格外突出。TCP/IP协议的可靠性受到多方面因素的影响(例如网络负载),这对于网络完整性来说是重要的潜在危险。

1 网络安全的结构层次

1.1 物理安全 自然灾害,物理损坏,设备故障,意外事故。解决方案是:防护措施,安全制度,数据备份等。电磁泄漏,信息泄漏,干扰他人,受他人干扰,乘机而入,痕迹泄露。解决方案是:辐射防护,屏幕口令,隐藏销毁等。操作失误,意外疏漏。解决方案是:状态检测,报警确认,应急恢复等。计算机系统机房环境的安全。特点是:可控性强,损失也大。解决方案:加强机房管理,运行管理,安全组织和人事管理。

1.2 安全控制 微机操作系统的安全控制。主要用于保护存贮在硬盘上的信息和数据。网络接口模块的安全控制,主要包括:身份认证,客户权限设置与判别,审计日志等。网络互联设备的安全控制。主要通过网管软件或路由器配置实现。

1.3 安全服务对等实体认证服务;访问控制服务;数据保密服务;数据完整性服务;数据源点认证服务;禁止否认服务。

1.4 安全机制 加密机制;数字签名机制;访问控制机制;数据完整性机制;认证机制;信息流填充机制;路由控制机制;公证机制。

2 制定安全策略

制造自动化网络的安全策略应该以用法研究的结果为基础。安全策略至少应该包括下列这些问题。

2.1 利用制造信息资源所涉及到的所有的基本原理。

2.2 安全策略应该形成两种态度中的一个,或是自由的或是保守的。

2.3 特许利用来自制造自动化网络本身以外的信息资源的类型和方法。

2.4 特许利用来自制造自动化网络内的信息资源的类型和方法。

2.5 特许使用来自制造自动化网络内的外部地址的类型和方法。

3 对TCP/IP自动化网络的威胁

对自动化网络安全和完整性的威胁一般可以归纳成下列几类。

3.1 对特许用户的服务的否定 对制造自动化网络的最大威胁是对适时服务的否定。在制造自动化环境中,服务被否定的危险明显存在着:数据连接被拒绝,控制传输被拒绝,以及由于操作人员界面的存在,妨碍了对制造过程的积极管理。

3.2 对非特许用户的服务的实现 基于TCP和UDP这两者之上的较高层应用协议对缺少证明机制是敏感的。应用协议如果不实现某种类型的证明机制,了解该协议的任何主机都能够提出服务请求,包括把数据写进过程控制设备的请求。这种情况可能发生在反映生产系统结构的开发系统的环境中。在这种环境中,非特许的东西就能够扦入控制信号和指定点,直接进入制造系统。结果,操作人员的安全和生产质量就面临严重的危险。

3.3 通信的改变或截断 通信截断可能在许多方面被执行。对截断对话感兴趣的破坏者可能会利用某一个方法设置中继。一个中继破坏可能发生在网络中任何地方,甚至是距离制造自动化网络很远的位置。中继机器能够实时调节通信量或记录用于日后分析的报文包。中继机器也能够改变被传输的通信内容。

截断通信的第三种方法包括使用一种被动包监控器。包取样器能够以中继破坏的方式向破坏者提供被记录的网络信息。

4 通过网络设计对抗威胁

4.1 通过简单的IP路由选择实现网络分段 分段就是把一些网络主机分隔成实现独立网络通讯的功能上的子群,然后通过使用简单的路由器把它们互联起来。确保在分段设计中使用的IP路由器的正确结构是非常重要的。

4.2 采用路由器访问控制实现分段 大多数IP路由器支持访问控制的概念,而且能够把它应用到独立的主机或整个子网。当访问控制被加到子网层,则路由器被连接,从IP地址的特定范围到另一段都允许通信。使用访问控制的路由器必须被精心连接。如果访问控制应用到整个网络,它就会减少通过远距离基于中继的破坏使分段之间对话被截断的危险。

4.3 包过滤 包过滤扩展了访问控制的概念。当路由器增加了过滤性能以后,准确地知道网络操作中所使用的协议类型和通道数目是重要的。它在网络层截获网络数据包,根据防火墙的规则表,来检测攻击行为。包过滤防火墙一般作用在网络层(IP层),故也称网络层防火墙(Network Lev Firewall)或IP过滤器(IP filters)。数据包过滤(Packet Filtering)是指在网络层对数据包进行分析、选择。通过检查数据流中每一个数据包的源IP地址、目的IP地址、源端口号、目的端口号、协议类型等因素或它们的组合来确定是否允许该数据包通过。在网络层提供较低级别的安全防护和控制。

4.4 防火墙 所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。

5 结束语

通过分析基于TCP/IP制造自动化网络中期待的通信,考虑机构的安全策略,就有可能设计出一个使数据恶化和被窃取的危险降至最低程度的网络拓扑结构。在制造工厂和外部世界之间设置防火墙,在工厂内部实现分段网络、访问控制网络就能够提供网络管理者,防御无意的或有敌意的破坏。

参考文献:

[1]曹成,周健,周红,王明福.网络安全与对策.合肥工业大学学报(自然科学版).2007年09期.

[2]秦迎春.TCP/IP协议的隐患及防范.计算机安全.2005年03期.

[3]姚婕,朱磊明.TCP/IP协议脆弱性分析.安徽电子信息职业技术学院学报.2004年21期.

[4]陈鹏,傅丰林.TCP/IP协议安全性分析.电子科技.2005年07期.