工业控制网络安全态势感知探索

工业控制网络安全态势感知探索

李泳乐 ,何勃,刘铖,袁野

四川中烟工业有限责任公司成都卷烟厂   610066

摘要：近年来，社会进步迅速，我国的工业化建设的发展也有了改善。信息化在生产中运用更加普遍，企业自动化程度的提升，也促使工控网被大力推广。其中引入TCP/IP技术，进一步关联办公网络，也渐渐转变成开放系统。由于在前期设计方面缺少网络安全思考，因此在开放系统期间，安全隐患问题突出，需要进一步强化安全防御以确保生产正常。

关键词：工业控制；网络安全；态势感知探索

引言

随着工业控制系统与互联网的高度集成，工厂数字化、网络化、智能化的推进，工业控制系统的信息安全脆弱性也日趋明显，这直接影响到工业生产及相关信息的安全，甚至会威胁我国经济发展。因此，工业控制系统需要在技术措施、人才培养、管理机制等方面进行创新和优化，以提高工业控制系统网络信息安全防护的能力。研究和分析工业控制系统网络信息安全的风险、挑战及网络安全防护措施。

1工控网络结构与特点

工控五层网络结构。在当前工控网络的发展趋势下，工业网络逐步形成五层体系架构，自下而上分别是现场设备层、现场控制层、过程监控层、生产管理层、企业资源层。在当前信息化快速发展的趋势下，以企业资源层向下深入的高智能及高自动化生产模式，已成为各制造企业提升生产效率减少生产成本的重点关注领域。在此背景下，原先作为生产控制的关键的过程监控层（SCADA系统所在区域）需要逐步的打开封闭式的管理方式，更多的增加对于上层生产管理层的数据交互协调各生产流程之间的自动化水平，同时减少生产流水中的交接成本。而另一方面，在生产管理层的MES系统也需要与企业的财务数据及企业的ERP系统进行交互已提升企业在生产成本控制及企业的营收效益。在各层之间平凡交互的背景下，原来工业控制系统所依赖的物理隔离等“强边界”的方式已无法再保障现有生产网络的安全运行，工控网络的安全防护措施需要重新梳理，并进行整体布局。工控网特征。办公网络信息传输需确保其完整性和保密性，之后要确保信息的可用性，针对可用性所提出的标准较低。从工控网来分析，把可用性标准置于第一位。工业控制系统（ICS）对于数据传输的实时性要求比较高，数据传递滞后会影响设备运行的精度，发生偏差致使设备异常，有时造成事故增加损失。在可用性要求上，需针对ICS网络系统配置安全设备，防止网络中出现的异常通讯干扰信息传输的实时性。所以，应该针对不同领域进行安全部署，要先确保信息可用性。ICS有着自身结构特征，从系统结构来看，现场控制层一般是PLC与HMI，过程监控层需要操作员站及SCADA系统。如操作员站等终端设备在安全上即为安全边界，逻辑方面直联交换信息。终端设备的接口提供各类存储设备的方便接入，但也为恶意代码传播提供了便利。工业网络中引入更多的无线装置，很多和核心网络直连，在管控不严的情况下，可能会发生非法连接现象，继而影响到控制网络的安全。另外，PLC技术发展期间形成了大型PLC，具备更强大的功能，维护与异常诊断的过程往往会直连电脑，而这些电脑也可以连接到公网，基于以上情况进一步增加了恶意代码的传播及感染风险。另外工业网络通信协议有着私有性，部署传统防火墙会增加网络传输延时、通讯失败等现象，影响控制网络正常运行，难以符合可用性要求。

2工业控制系统网络中的安全风险分析

2.1网络平台漏洞问题

传统工业企业在发展过程中,大多以生产效率为基准,并未能针对企业固有的信息安全体系以及网络运行模式等,建立安全性、可靠性的防护框架。除此之外,网络建设过程中,平台体系以及相关资源的投入量相对较低,在安全标准方面也仅仅维系在网络可传输性以及可存储性之上,部分密码设置简单、网络硬件配置较低,致使计算机系统在使用过程中产生运行失效现象,增加网络安全问题的产生概率。

2.2信息管理漏洞问题

信息管理体系的建设及落实针对不同信息控件以及网络安全架构施行针对化处理,此过程中每项管理机制应当保证系统化作用到企业运行体系之内。但是从信息安全管控机制的实际运行模式而言,存在缺位问题。首先,部分企业针对网络安全管理制度的建设存在迟滞现象,未充分认识到企业网络安全管理的重要性,同时在部分制度建设方面存在缺失问题,无法落实到相应岗位或工作人员身上。其次,企业信息管理人员的专业性相对较低,并未经过系统性的培训,进而产生自身专业能力以及职业素养无法支撑繁杂的网络安全操作需求,特别是在高级黑客攻击下,防护机制无法起到实效性作用,加剧计算机网络运行的安全问题。

3工业控制系统网络安全防护措施

3.1完善管理制度体系

各企业应当严格按照“谁主管、谁负责；谁运营、谁负责”的原则，企业应开设针对工业控制系统安全管理的职能部门，由企业重要负责人作为责任人，设立首席网络安全官。

3.2边界防护

边界防护技术主要包括物理隔离装置网关、工业网闸、工业防火墙等。其中，物理隔离装置用于非网络方式实现单向数据传输；工业网闸是专门用于网络的安全隔离，使两网络之间不存在通信和逻辑连接，实现无协议隔离的数据交换；工业防火墙主要保护系统外部对系统内部网络的访问控制，具备专有协议的分析能力，也支持白名单技术，还具备抗DDoS攻击的功能，能够自动识别出常见的攻击类型，并具备识别动态开放协议端口的功能。

3.3入侵检测

入侵检测是对工业控制系统的合适位置布置入侵检测系统，记录系统遭受黑客、病毒、恶意代码等的攻击。对系统很多关键点的信息进行收集和分析，对控制系统的异常行为进行检测、监视和确认。

3.4加密认证

加密技术是在数据传送过程中为保护数据的安全性、秘密性而使用的密码技术。加密是将原始的明文信息转换成无法被别人读懂的代码，从而保护原始的信息到达最终目的地转换成可以读取的准确信息。加密技术主要通过加密器、解密器和密钥源实现。认证技术是在计算机网络中确认操作者身份，防止非法人员对系统进行主动攻击的一种技术。认证技术主要包括主体身份认证技术和消息认证技术。主体身份认证手段包括USBKey认证、动态口令认证、静态密码方式和生物识别技术。消息认证主要是指对消息及相关信息实现加密或签名变换进行的认证。

3.5监测与预警平台

在工业控制系统企业内部安装监测与预警平台，对运行的工业控制系统采集大量的信息数据，进行实时的监测，进行数据分析，根据异常数据进行预警响应。

3.6安全审计

工业控制系统中安全审计是对工业控制系统中的硬件和软件以及网络通信协议、数据和行为等信息进行记录和分析，对系统中的各类日志进行集中采集、管理和审计，对系统中的运行事件和用户的各类操作进行记录形成审计日志，提供给操作员维护和防范。

3.7加强企业信息安全管理和培训

企业应加强信息安全管理和培训和网络安全应急演练，提高网络信息安全保护的操作技能，以保障企业信息安全管理在企业内顺利有序地进行。此外还要加强工业控制系统安全防护人员的配备，配备安全管理员、系统管理员、安全审计员等职位，与相关人员签订保密协议，提高全体内部人员和相关外部人员的安全意识，提升网络安全防护人员安全防护技能。

结语

综上所述,工业控制系统借助一套完整、高效率的控制机制,关联处理基础部件与系统之间的关系,此类数字化、自动化、智能化的调控机制为不同控制功能及核心技术的研发提供承接体。在工业控制系统与IT系统不断融合的趋势下,需充分考虑各阶段的防护技术,深度分析不同运行模式产生的网络安全隐患,并作出对应的防护,从而提高系统运行的安全性。

参考文献

［1］申涛林.应高度重视新基建的网络安全风险防范［J］.中国新通信，2020，22（17）：65-66.

［2］苗涛，张志强，胡炳华.工业恶意软件的防范与治理［J］.智能建筑与智慧城市，2019（4）：31-33，36.

［3］于盟，张格，江浩.网络攻击技术发展及防范措施［J］.网络空间安全，2018，9（2）：56-59，75.