工控网络及信息安全的构建思路

李海星　谭少轩

摘要：工业数据通信与控制网络（以下简称“工控网络”）是近年来发展形成的自动控制的网络技术，是计算机网络、通信技术与自动控制技术结合的产物。工控系统在设计时没有考虑信息安全问题，控制软件、通信协议和管理系统先天存在漏洞和后门，在面对外部的网络攻击更加脆弱，本文通过对工控网络特点和网络安全风险分析，提出网络建设和安全保护的方法和措施，减小工控网络面对病毒攻击和恶意指令等风险，最终实现提升工控网络安全防护能力。

关键词：GPON;工业控制系统;网络安全防护

1.工业数据通信与控制网络现状

企业工控网络由于工控系统设计和工控网络孤岛建设的历史原因，工控网络结构复杂、业务之间数据独立、缺乏信息安全防护措施。

1）工控系统多以单机控制或独立运行，业务之间数据无法交互，随着工控系统向现场总线控制系统的演化，离散网络将阻碍企业生产智能化的发展，不利于生产大数据获取、集成、管理和分析。

2）以传统LAN模式构建的以太工控网络，受铜缆传输距离的限制，分散的工控终端难以按照设备类型划分区域，实现分区防护。网络结构复杂，实时性、易维性大打折扣。

3）工控设备多应用在高低温差大、湿度多变、油污、粉尘多的恶劣环境，不利于网络设备的稳定运行。

4）工控系统设计时未考虑信息安全问题。系统中运行的控制软件、通信协议和管理系统先天存在漏洞和后门，存在木马、病毒植入的安全风险。

2.建设目标及效果

通过工控网络和安全的建设，将各类工控终端连接在一起，在设备和通信安全的基础上打破业务之间的数据壁垒，实现工控设备远程集控、形成生产和试验数据资源共享环境，为智能化生产打造网络通信基础。

1）简化传统LAN网络结构，对工控终端的进行分类连接，分区管理，实现终端数据的流向控制和信息过滤。

2）降低恶劣环境对网络设备运行的影响程度，减少因存放环境造成的网络设备故障，提高接入网络的可靠性。

3）构建网络安全策略，加强访问控制管理、防范木马病毒传播、监控设备加工指令，实现网络安全状态监控和预警。

3.工业数据通信与控制网络及安全建设方案

3.1建设思路

针对工控网络需求特点，接入网可利用GPON网络中光纤超长传输距离和ODN无源设备的特点，简化网络结构、提高网络可靠性，通过终端分类和数据流向分析，在网络区域之间采取防护措施，防范病毒和恶意指令，实现工控设备安全、数据安全和计算环境安全。

3.1.1工控终端分类

通过对工控终端的功能和设备属性进行分析，将终端划分为工控设备、上位机和业务管理计算机。

1）工控设备：这类设备无法安装杀毒和其他防护软件，最容易受到病毒、木马、恶意指令的破坏。

2）上位机：操作工控设备的计算机，可对工控设备发出操作指令，一旦发送恶意指令代码，就能够篡改工控设备的加工参数，可直接破坏工控设备或在制产品。

3）业务管理计算机：主要用来查询、管理工控业务系统中的生产数据和管理数据。

3.1.2工控数量流向分析

通过对工控网络中数据类型的分析，可将数据划分为操作指令、生产和试验数据和管理数据，数据流向和存在风险如下。

1）操作指令由上位机发送至工控设备，或先上传至服务器后再发送至工控设备，存在恶意指令发送至工控设备的风险。

2）生产和试验数据通过工控设备上传至服务器，或经上位机处理分析后上传至服务器，由于工控设备的不可控性，存在病毒植入服务器的风险。

3）管理数据用于业务管理机，服务器存在数据访问控制的需求。

3.2建设方法

3.2.1网络物理链路建设

1）利用GPON网络覆盖面积广和接入密度高的优势，可将OLT设备全部安装在环境良好的机房内，生产现场采用FTTH的方式敷设网络，无源设备构成的ODN可避免因存放环境恶劣造成的电气故障。

2）通过将不同类别的工控终端接入不同的OLT设备，实现终端网络区域的划分，在OLT之间部署防毒墙、工业防火墙等设备，实现数据病毒、协议的过滤和访问控制的安全。

3）对于核心交换设备采用双节点虚拟聚合技术，链路采用E-Trunk等方式负载分担，可提高整个骨干网络的可靠性。

3.2.2网络结构划分

工控网络是一种设备高密度的非运营网络，在有限的空间内聚集了大量的工控设备和计算机终端。更注重网络的实时性、可靠性和易维护性。因此在工控网络建设时，网络选择二层星型网络拓扑结构。

依据工控终端分类，可将接入网划分为工控设备ODN、上位机ODN和业务管理ODN，服务器区依据功能划分为业务区和安全管理区，业务区提供工控和管理系统的业务服务，如TDM、DNC等，安全管理区提供网络安全服务，如防病毒、主机控制和审计等。

3.2.3网络安全建设

1）工控设备ODN边界部署防毒墙，避免带毒数据输至服务器，防护业务系统和数据安全。

2）工控设备ODN和上位机ODN边界部署工业防火墙，实现对非法指令的阻断、非工业协议的拦截，保障工控设备的操作指令安全。

3）服務器边界部署防火墙，防止非法用户的进入，实现服务器的访问安全。

4）安全管理区域部署IDS、主机控制、准入控制、综合审计、防病毒等安全系统，保障网络环境的计算安全。

4.总结

工控网络是当前制造企业信息集成系统和管理控制一体化系统发展的必然趋势和需求，与传统信息网络相比，工控网络对信息通信的实时性要求更高，要求在恶劣环境中也能保持稳定完整的数据传输，同时要防止恶意攻击、人为操作失误带来网络安全问题，确保自动化网络化生产工作的连续性。工控网络GPON技术的应用提供了一个较之传统以太网，传输实效、稳定更高的基础网络平台，同时也降低了网络建设、故障处理和维护的成本。经过分析GPON技术在工控网络的应用优势和工控网络安全建设的重要性，在建设工控网络充分利用GPON技术，可使网络质量和安全性进一步提升。

参考文献：

[1]郝瑞，王立军，GPON技术下全业务传输接入网的研究[J]。中国新通信，2014

作者简介：李海星，1987年，男，回族，河南，本科，工程师，研究方向：信息安全。