工控系统安全防护问题对策分析

韩建乐 李辉

摘要：目前，我国的工业技术与信息技术逐渐的完善并不断的创新，传统意义上较为封闭并普遍认为安全的工业控制系统，正暴露在网络攻击、病毒、木马等传统网络安全威胁下。作为国家关键基础设施的重要部分，工控系统一旦受到攻击容易造成设备受损、产品质量下降等问题，影响国民经济和社会稳定，甚至危害国家安全。

关键词：工控系统；安全防护；问题；对策

以往病毒攻击主要力求网络影响范围，攻击的手段大多以通用软件的安全漏洞为突破口，而当前的许多网络攻击则充满目的性，特别强调对行业的专用软件实施攻击；另一方面，这些攻击虽然针对软件，但并不一定是利用软件本身的缺陷，安全是一个全方位的问题，攻击可能来自于任何一个角度。由于工业控制系统设备及通信规约的专有性以及系统的相对封闭性，从而通常黑客的攻防研究工作多集中在互联网或普通IT信息系统上，而很少关注工业控制系统。

1工业控制系统安全防护问题分析

1.1工业控制系统的技术隐患

工控系统的技术隐患主要包括系统操作平台、工控系统应用软件、工控系统网络协议三个部分。第一，系统平台。工控系统的操作平台本身具有一定的安全漏洞。利用操作系统的漏洞，可能直接影响所部署的工控系统，从而破坏或控制企业的工控系统。第二，工控应用软件。工控系统的所使用应用软件的程序漏洞的给工控系统带来最严重的危害。因为工控设备差异性和工控软件的应用行为不同，所以不容易采用同一的防范策略，第三，工控系统网络协议。工控系统所采用的PROFINET、OPC、DNP3、MODBUS、PROFIBUS、IEC-104等網络协议都存在安全漏洞。比如在MicrosoftWindows系统中采用的OPC协议，除了MicrosoftWindows这个操作系统的安全漏洞，一般情况下，OPC协议为了实现信息交互的便利性，OPC客户端在获得数据时会采取同一个用户名和同一个密码。

1.2管理和运维安全问题

（1）未设立专门的信息安全岗位，信息安全管理和维护由业务部门按照自己的理解进行管理和维护，同时信息安全制度不完善。（2）在日常运行维护过程中普遍存在诸如介质未采用有效的手段进行管理和防护，容易造成病毒入侵和敏感信息泄露的风险。 （3）存在账号共享、弱口令、未定期更改密码的问题，例如信号系统的用户权限普遍缺乏定期回顾检查，容易造成越权、权限滥用导致的安全事故。（4）安全防护应急预案存在事故预想不全面、内容不完整、相关要求缺乏可操作性等问题，缺少演练、培训和更新的相关内容，无法在真正的事故中及时响应和恢复系统。

2工业控制系统安全防护对策

2.1技术防护机制

工业控制系统是运用控制理论、计算机科学、仪器仪表灯技术，对生产过程的各种信息采集、分析、处理，并进行优化控制和合理的调度、管理，已达到提高生产效率的一种先进的现代工业系统。工业控制系统相对于其他的信息系统来说，它是一套独立的网络、独立的系统，从目前的工业控制系统的安全风险主要是来自网络的脆弱性、主机的脆弱性以及缺乏安全的操作规程和流程。工业控制系统的安全防护机制以建立“纵深防御”策略为主要思想，确保工业控制系统中即使某一点发生网络安全事故，工业生产也能正常运行。

2.2建立工控安全管控体系

成立信息安全领导、工作小组，完善管理制度建设，明确责任分工，信息部门加强技术监督，工控设备部门加强防范意识，在“两化”融合趋势下，打破传统专业分界壁垒，协同开展工作，进一步落实电力监控系统安全规范，严格执行外来人员、外接设备、外接介质管理，加强补丁、防病毒管理，并注重工控与信息安全的复合型技术人才培养。建立健全工控系统安全防护全生命周期管理体系，将信息安全防护渗透到可研、设计、施工、调试、运行等各阶段工作中，实现全方位、全过程的覆盖。在工控系统上线运行前或机组检修期间开展以漏洞扫描为主体的系统风险评估，通过安全运维服务工具就地对工控系统和网络进行安全扫描。包括操作系统漏洞扫描、组态软件漏洞扫描；机组主控DCS包含的DPU以及机组辅控PLC等控制器漏洞扫描。建立健全工控事件应急工作机制，预防为主、平战结合、快速反应、科学处置，加强风险监测，开展信息报送和通报，提高工控安全事件应急处置能力。

2.3安全培训

为了将安全隐患减少到最低，不仅需要对安全管理员进行专业性的安全技术培训，还需要加强对所有政府办公人员的安全知识的普及，安全管理员培训、考核管理规范安全管理员水平的高低和责任心强弱决定了安全防护具体实施的是否有效，因此对安全管理员定期培训并进行严格的考核上岗显得非常重要，主要内容包括：培训对象确定；基于管理员角色定义前提下的技能要求；培训内容；培训组织、时间安排；培训效果考核、评价；后续培训计划。普通员工安全基础知识培训管理规范普通员工侧重于基础知识和日常安全防范措施的实践性培训，主要内容包括：基本要求；培训内容；培训组织、时间安排；培训效果考核、评价；后续培训计划。

2.4部署工控防火墙

使用工控防火墙将各工控OPC和SIS接口机之间的链接进行逻辑隔离，工控防火墙在继承了传统防火墙的基础功能外，结合工控网络特点，可更深层次的防护工控网络中的攻击。采用透明模式部署，并开启故障旁路功能，不改变原有的网络拓扑，确保正常业务不受影响；通过对工控协议深度分析，制定相应的工控网络访问控制策略，有效防止网络内异常流量通过，保证网络安全。

2.5网络安全监测审计

在生产控制大区通信层环网、LCU子网旁路部署监测审计平台，对网络通信流量进行有效监视和威胁检测。对向工控网进行的生产数据非法收集、恶意攻击、数据篡改、违规操作进行告警和审计，为网络安全管理人员提供线索依据和事件还原功能，对违规操纵和网络攻击行为可实时告警。

2.6集中安全监管

安全监管平台对部署在整个工控系统的安全设备实现统一化安全监管和运维。实时收集现场安全设备信息、分析威胁情报信息，基于安全分析模型，实现全局的态势安全预警与策略动态响应，实时发送现场的安全告警信息。

3结语

过智能保护终端对工控系统现地层的关键LCU进行安全防护，对非法操作进行有效拦截；在网络边界部署智能工业防火墙，抵御来自外界伪基站接入渗透控制系统的风险；在主控层的工程师站、操作员站、OPC服务器以及SIS接口机上部署工控卫士，防止误操作和违规操作；对网络通信流量进行有效监视和威胁检测，对违规操纵和网络攻击行为实时告警；最后通过安全监管平台，对部署在整个工控系统的安全设备实现统一化安全监管和运维。

参考文献：

[1]徐新国.工控系统信息安全策略探讨[J].自动化博览.2017（11）.

[2]张晔.工控系统安全理念及解决方案[J].自动化博览.2017（11）.

（作者单位：德龙钢铁有限公司）