对工业控制网络安全脆弱性分析技术的研究分析

黄培松

（国能（泉州）热电有限公司，福建泉州，362000）

1 基于攻击图的工业控制网络安全脆弱性分析

现代信息技术对企业的影响越来越大，工业控制网络是工业数据通信与控制网络的简称，是基于现代信息技术发展下形成的自动控制领域的网络系统。工业控制网络、计算机网络技术、管理控制体系与自动控制技术紧密结合，是智慧电厂概念具体化的体现，这些能够满足企业管理过程当中对图像、数据、控制等信号的高速传输要求，为企业运行提高效率[1]，也是能源集团企业未来发展方向。我厂网络包含地调数据网、省调数据网、DCS 系统、SIS 系统、环保数据上传网络、办公网络机集团广域网，是典型的工业、自动化控制、办公、管理为一体的综合性网络。

作为当前网络安全领域的研究热点之一，网络脆弱性评价不同于一般性能评价技术。入侵检测、防火墙和病毒扫描等技术都是在攻击进行时或发生后的被动检测，而网络脆弱性评价是由黑客攻击和防范技术发展而来的，是一种在事前的主动探测，是针对攻击行为构建安全模型。另一方面，根据安全模型可以获得系统可能的行为和状态，以此为基础展开进一步的分析和计算，为完善系统安全策略提供帮助。

攻击图是通过物理的或者逻辑的方法相互相连的组件构成。为了生成攻击图，需要收集大量关于网络中与安全相关的信息，如主机配置、主机漏洞、网络拓扑、网络配置等，然后根据网络当中的攻击动作间的因果关系分析出潜在的攻击序列，发现工业控制网络在运行过程当中可能遭受的攻击路径或具有关联的攻击路径。以下将基于攻击图，从数据驱动分析，人在回路分析和协同共享进行分析。

1.1 数据驱动分析

传统的被动防御手段在工业控制网络安全防护上防御效果并不理想，而工业控制网络态势感知可以在掌握内部数据的同时，密切关注到组织以外的相关情报，所以态势感知能够在工业控制网络发生安全威胁时采取及时的应急措施，做出正确的应对处理方式，保障工业控制网络的安全。现在在工业控制网络运行中有不同的网络协议和总线设备，不同工业软件运行环境要求也不同，所选操作系统也有很大区别，对不同的私有协议，总线设备和操作系统做出整合具有很高的难度，还要对风险威胁做出预判，这就给工业控制网络安全带来了更大的威胁[2]。所以，想要保障工业控制网络安全，就不仅仅局限于威胁情报的采集，还要分享威胁情报，充分整合内外部数据，让态势感知系统发挥作用，只有这样，才能够在工业控制网络安全受到威胁时，及时采取应急方案，作出正确的数据处理，而态势感知想要发挥作用最重要的基础就是数据，只有正确的数据处理才能够保证态势感知后续工作的运行。

1.2 人在回路分析

人在回路即人机闭环系统，也称为人机互助系统，是机器学习，人工智能，机器智能可行的成长模式。通过人和机器的相互作用，建立仿真模型，在此过程中，主要是要依靠人脑进行态势感知，例如通过操作员输入指令后进行二次，三次的指令更正，在网络环境当中，能更加准确的理解复杂的任务。人在回路模型中，人起到核心作用，在工业控制网络运行时遭到危险或受到攻击，失去人脑参与，会弱化外部威胁情报的传输，工业控制网络只会被动防御，无法发挥态势感知的作用。所以人在回路分析中，人脑地位很高，作用很大，人脑完成态势感知才能够赋予工业控制网络感知数据收集和安全决策能力。人脑虽然具有十分重要的地位，但是管理也应当为相关人员提供必要的信息请报，操作员和安全管理员通过内部数据感知，设备状态，安全配置和网络流量，通过外部情报获取漏洞信息和突发事件，通过人脑感知分析后做出态势报告，才能形成与决策[3]。

1.3 协同共享分析

新时代网络它实现了计算与通信的融合，基于大数据人工智能的网络运维，减少了人为的差错；智能化监控有利于提高网络的安全防御水平。另一方面，虚拟化和定义能力及协议的互联网化、开放化也引入了新的安全风险，使网络有可能遭到更多的渗透和攻击，而工业互联网作为互联网发展的下一方向同样面临着极大的安全威胁，工业互联网的发展模糊了物理世界和虚拟世界的界限，由此引发的网络攻击往往会造成比过去更严重的影响。协同共享可以突破自身局限性，将威胁情报通过有效机制实现组织共享，进而整合组织力量，应对工业控制网络威胁，做出安全防御反应，提高安全能力，进而避免工业控制网络遭到破坏。协同共享分析，就是通过情报共享，整合组织力量，提升整体安全防御能力，以此来保障工业控制网络安全[4]。

2 工业控制网络安全防护方案

2.1 网络安全审计

现代科技技术和互联网为企业的发展带来了更多可能，在享受互联网技术带来便利的过程当中，也应当重视起信息安全和网络安全，所以加强工业控制网络安全防护十分重要，是保障工业企业网络安全和信息安全的重要环节。网络安全审计能够保障网络安全，促进网络健康有序发展，在工业控制网络当中，重视网络安全审计能够更直观的反映出工业控制网络的安全性，及时通知客户了解安全性的同时，通过网络安全审计还能够对工业控制网络中存在的安全漏洞提出建议，从而可以有效增强安全防护体系的安全系数和有效性，所以在构建工业控制网络的过程当中，一定要重视安全防护方案中的网络安全审计设计，通过网络安全审计设计实现全天监控，促进工业控制网络的安全运行，保障工业控制网络稳定性和运行效率[5]。

2.2 DCS 系统的推广应用

DCS（分散控制系统）是以微处理器为基础，采用控制功能分散、显示操作集中、兼顾分而自治和综合协调的设计原则的新一代仪表控制系统；其主要特征是它的集中管理和分散控制。由于其采用微型处理器，结合计算机、通讯、显示和控制4C 技术，具有分散控制，集中管理，分级管理，配置灵活，组态方便的特点，所以是现在较为常用的工业控制网络。DCS其最大的特点就是垂直整合能力强，能向下兼容多个不同网络协议、总线协议，并且可靠性极高，应用DCS 系统能够确保工业控制网络安全有序运行，其原因是DCS 是具有分布式微处理器的自动化控制数字运算器，可以将控制指令随时载入内存进行储存和执行，能够实现逻辑控制，模拟控制，多机通信等多种复杂功能，并保证在某模块出问题是，不影响整个系统运行，所以DCS 推广应用可以切实提高工业控制网络安全防范，应当将DCS 系统纳入到企业工作计划和方案当中，以此来保障网络的安全运行和企业业务的顺利实施[6]。

2.3 建立边界控制防护

想要切实提高工业控制网络的安全性，在提高安全防护措施的时候也应当重视，工业控制网络边界控制防护，在建立边界控制防护的过程当中，最重要的就是要建立生产管理层和过程监控层之间的安全防护。由于运行中所采用的工业控制网络，具有实时共享性，所以这也形成了网络脆弱性的原因之一，高度的共享性使工业控制网络存在更多的安全隐患和安全威胁，所以在享受网络带来的便利同时，应当对重要的生产资料采取网络防护措施。而通常工业控制网络当中采取的防护措施就是在互通传输之间设置单向导入设备，通过这样的安全防护，能够阻止管理网络对生产网络造成的攻击，而且单项导入设备能够准确有效的采集数据信息，保障合法的通过数据传输，所以在保障工业控制网络安全性的同时，也能够提高信息采集的准确率，保障网络运行的精确性[7]。

除此之外，在建立生产层和过程监控层的安全防护基础之上，还要建立过程监控层与现场控制层的安全防护，随着网络技术的不断发展，网络病毒也随之更新换代，网络病毒层出不穷，传播方式也愈加多样，所以想要真正的解决工业控制网络安全问题，就应当加强安全防护，引进专业设备、合法合规的隔离器，对于网络传输当中的数据传输加强控制，摒弃传统的病毒防护方式，通过设备更新换代，严控数据传输，严格隔离计算机病毒，严格防止非法入侵，同时合理运用网络代理模式，保障网络通信的完善性和安全性，在工业控制网络建设过程当中应当做好合理等级划分，以此来提高工业控制网络的安全系数，在此基础之上，还应当对现场微处理器加强安全防护，要提高工业控制网络的安全系数，在防火墙选择上，应当选择专业性较高的工业防火墙，精心挑选，严格设计访问控制系统，优化访问控制方案，通过工业防火墙建立数据访问黑白名单，为工业控制网络运行提供更加安全稳定的运行环境。

在加强工业控制网络安全性的同时，应当保障工业控制网络运行的效率，只有加强数据传输，数据采集和数据准确性，保障通信效率，才能够真正发挥工业控制网络的优势，不仅仅要在技术层面完善创新，还应当对专门的特定的IP 配备专业控制器，这样才能够增强安全系数，避免新型病毒的入侵，保障工业控制网络基础设施的安全，防止遭到破坏，实现工业控制网络智能化和共享控制平台的实现。