工业无线网络环境下移动监控的信息安全威胁与防护

方 遒，王蔚庭

（1.北京联合大学机器人学院，北京 100101；2.北京创时特科技有限公司，北京 100029）

0 引言

随着《中国制造2025》计划实施、工业化与信息化深度融合，工业控制网络的信息安全压力日益突出。无线网络固有的优点，使得有更多的智能手机终端、平板电脑等经由无线网络接入到工业现场设备，实现移动监控、设备管理等功能，以满足对工作质量与效率、对突发事件响应速度提高等要求，但也有可能比有线网络带来更多的安全隐患。

本论文以某污水处理厂“无线WIFI网络环境下基于信息安全的移动监控系统”实际开发项目为背景，依托工厂原有的工业有线、无线WIFI网络，进行系统的规划设计，选择适当的信息安全技术和管理手段，特别在无线网络局部，采取纵深防御策略的信息安全防护措施，构建一个经济合理，同时兼顾信息安全的工业无线移动监控系统。

1 工业无线监控系统

无线监控系统拓扑结构如图1所示，主要包括监控服务器、工业有线网络系统、工业无线网络系统、移动监控软件系统、信息安全防护设备五部分。系统软件结构如图2所示，包括标准监控组态软件和移动监控软件系统两部分，移动监控软件系统包括网关服务器软件和移动监控软件两部分，分别安装在监控服务器和智能手机终端上；监控组态软件安装在监控服务器上。

图1 系统拓扑结构图

监控组态软件完成对污水处理厂现场控制设备的数据采集、设备监控。网关服务器软件一方面通过OPC通讯，实现与监控组态软件的数据交互，进而实现与现场设备的数据交互，另一方面，通过无线WIFI网络、有线网络与智能手机终端基于WIFI进行通讯，实现智能手机终端与工业控制现场设备的数据交互，达到通过智能手机终端对污水处理设备移动监控的目的。对于有线不易接入的场合，可采用无线WIFI网络便利组成网络，及接入原有线网络，并进行移动监控。

图2 无线监控系统软件结构

移动监控软件系统是自主开发，监控组态软件采用第三方标准软件。网关服务器软件和移动监控软件均包括软件功能实现和信息安全实现两部分，软件功能实现部分能完成手机端与网关服务器软件之间的通讯、数据交互的移动监控功能，信息安全实现部分采用信息安全技术设计，吸收了信息安全产品的设计思想、开发技术、技术架构来实现。本论文着重对无线WIFI网络下的网关服务器软件和移动监控软件开发中所采取的信息安全技术进行重点描述，而对软件功能开发实现做简要描述；此外，通过采取纵深防御策略的工程化防护措施，来增强系统信息安全防护能力。

2 无线监控系统安全性分析

对无线网络来说，在整个应用的安全链条中，包含诸多容易被攻破的薄弱环节，都可能成为整个防御体系的薄弱点，让攻击者有机可乘。

2.1 边界攻击威胁

主要是来自无线网络的攻击扩展到有线网络，并可能对整个控制系统造成损害。

2.2 无线网络受到的攻击威胁

WIFI安全性主要包括访问控制和加密两大部分，WIFI面临的主要攻击威胁形式包括：

1）信息嗅探窃听威胁：攻击者采取手段对侦测到的AP发起网络攻击。

2）身份验证欺骗：攻击者利用合法用户身份侵入网络，如攻击者取代网关，通知阀门器按期指令打开或关闭。

3）拒绝服务攻击：攻击者进行泛洪攻击，造成通讯阻塞。

4）人为因素攻击：入侵者获得接入用户名和密码，进而攻击无线网络。

5）WIFI密码破解：WPA2利用先进加密标准（AES）来进行加密，提供了最高等级的安全保护，与其他的最优实践结合起来，可大大降低被攻破风险。

2.3 信息安全防护技术分析

现行工控系统信息安全是基于IEC62443所描述的“区域与管道防护模型”，在监控层和控制层采取的主要防护措施，包括在主交换机节点以旁路镜像方式部署工控网络审计设备，以及在边界部署防火墙设备来进行网络监测和防护。

对比目前大多数的工控防火墙设备，对工控协议深度解析通常只支持MODBUS TCP、OPC，而本污水处理厂的移动监控项目采用专有通讯协议，在无线和有线网络边界采用工控防火墙和IT防火墙差别不大，所以选用价格相对低廉的IT防火墙产品来做边界防护。

工控审计产品对工控网络有很好的流量、协议分析和监测预警能力，但孤立部署一台审计设备涉及到维护的复杂性等诸多问题，性价比不高，但可以在自主开发的移动监控软件系统中，引入《GB/T 20945-2013信息系统安全审计产品技术要求和测试评价方法》（下简称《GB/T 20945-2013》）规范部分技术要求来对移动监控系统进行信息安全设计，如用户管理的三权分立技术、流量和协议审计及统计技术、登录认证技术等，来构建一个经济合理，兼顾信息安全的工业无线安全监控系统。

3 无线监控系统信息安全设计和防护

3.1 移动监控软件系统信息安全设计

3.1.1 网关服务器软件信息安全功能设计

根据《GB/T 20945-2013》规范和无线WIFI通讯安全要求，信息安全的设计包括：1）在原有通讯模块基础上，增加加解密模块；2）新增安全功能模块，包括安全管理模块、黑白名单管理、监控模块、报警模块、认证模块等。安全网关服务器软件功能模图如图3所示。

安全管理模块：按三权分立原则，建立信息安全管理体系。系统管理员：包括增删安全管理员账户等。安全管理员：负责客户端用户登陆账号、访问阈值、运行密码等管理。运行管理员负责软件运行操作和技术工作。

图3 网关服务器软件功能模图

黑白名单管理：将设定的各移动手机客户端登陆账号、访问频度阈值、运行密钥进行管理，并保存到设备白名单库；验证模块将拒绝登陆服务的客户端设备等加入到黑名单库。

监控模块：监控服务器网卡数据包抓取及分析处理。

认证模块：对连接到网关服务器的客户端设备登陆账户进行效验，如连续三次失败，将在延迟时间内才能登陆，累积超过3次后，将拒绝该客户端设备登录，并加入到黑名单库，及通过报警模块报警。

加解密模块：对发往客户端及来自客户端的数据，按密钥要求进行加密和解密。

报警模块：将来自监控模块、验证模块、认证模块等报警信息，在UI界面进行报警显示。

3.1.2 网关服务器软件信息安全设计的开发实现

网关服务器软件的主程序流程如图4所示。

在主程序进程创建监控模块线程，采用Winpcap（Windows packet capture）技术捕获监控服务器网卡上的数据帧数据，包括源目的MAC、IP、端口号、传输层协议等数据，监测客户端与网关服务器端建立连接、通讯频度等指纹信息，做通讯频度阈值等分析，与白名单基线库中数据进行比对，不一致或非白名单指纹数据，则更新黑名单库及通知报警，供主线程程序丢弃对应接受数据和报警处理。

在主程序进程创建认证模块线程，完成认证模块安全监控功能。

主程序进程创建管理模块处理子进程，创建运行线程，在单独的操作界面下，负责系统管理员和安全管理员的维护和管理工作。

网关服务器软件的主要实现步骤如下：

1）系统功能初始化，包括初始化黑白名单库；

2）创建管理模块子进程，进行安全管理员操作处理；

3）启动监控模块线程，及进行Winpcap数据帧抓取处理；

图4 网关服务器软件主程序流程

4）启动认证模块线程，及进行认证功能处理；

5）通讯处化：创建套接字、启动套接字监听；

6）接收客户端请求连接，数据接收及数据解密处理；

7）根据黑白名单库指纹信息对接收数据处理，及送网关通讯模块处理；

8）服务器应答处理，接收来自网关通讯模块数据，经数据加密后，发回客户端；

9）如果停止服务器，则对应的进程、线程结束。

3.1.3 移动监控软件信息安全功能设计

移动监控软件的安全功能设计，是围绕网关服务器软件的信息安全功能设计展开，包括：1）通讯模块中增加通讯协议加解密模块；2）增加安全模块：包括对与网关服务端进行通讯频度、强登陆密码设置、增加客户端的MAC、IP地址设置等。安全移动监控软件功能模图如图5所示。

图5 安全移动监控软件功能框图

3.1.4 移动监控软件信息安全设计的开发实现

移动监控软件与网关服务器端采用了基于TCP/IP的Socket通信，在与网关服务器端建立Socket通信连接后，即按照配置要求的通讯频度、IP/MAC地址、密钥数据报文等要求与网关服务器通讯，同时采取强密码进行登陆。移动监控软件的主程序流程如图6所示。

图6 移动监控软件主程序流程

3.1.5 系统软硬件开发平台

安全移动监控软件：安装在智能手机终端上，基于安卓4.0以上操作系统，采用JAVA语言实现，开发平台基于Eclipse。

安全网关服务器端软件：基于WINDOWS 2008 SERVER，VC++6.0或VC++.NET实现。

3.2 信息安全防护工程化措施

3.2.1 边界工程化防护措施

在工业有线与无线网络边界增加IT防火墙，根据网络情况进行网络白名单配置和其他安全性设置等。对于更高安全要求，需部署入侵检测系统等。

3.2.2 无线设备工程化防护措施

安全配置：进行安全配置，如隐藏SSID，关闭DHCP，关闭WPS功能，设置WEP强密钥等。启用非法AP监测功能，进行AES加密认证等。

限制发射功率：把信号可能收敛在信任的范围之内。

密码政策：最少10个字符组合，由大小写字母、数字、特殊字母组合等。

3.2.3 信息安全管理制度

建立完善的安全管理制度，建立专职信息安全岗位并进行培训，不断增强信息安全意识。

4 结论

通过在监控软件系统采用信息安全技术设计，建立了信息安全管理体系，可对来自无线WIFI网络的大部分攻击进行监测、防护和预警，包括拒绝服务等攻击、非白名单的通讯访问、非安全登录等监测和预警，并通过专有通讯协议、密文通讯等设计，大大加强了无线监控软件系统的信息安全，同时，辅以工程化的信息安全防护措施和管理手段，共同来构建一个经济合理，兼顾信息安全的工业无线监控系统。本论文对其他的如蓝牙、ISA100.11a、WirelessHART等无线网络的信息安全防护有同样的借鉴意义。