工業控制系統信息安全防護體系的構建

趙赫

摘 要：隨著"中國制造2025"、"互聯網+"、"智能制造"戰略的逐步推進，工業控制系統已成為國家工業發展的重要支柱，它的信息安全事關經濟發展、社會穩定和國家安全，因此針對其建立并健全相應的信息安全防護系統尤為關鍵。本文主要就這一系統中所存在的信息安全隱患展開了探討，以制造業企業為例分析了工控系統信息安全方面的需求，結合國家相關要求，包括分級保護，防護指南等，提出安全方案。

關鍵詞：工業控制系統；信息安全；防護體系

當前互聯網攻擊正逐步向各類聯網終端滲透。針對工業控制系統（ICS）的病毒、木馬等攻擊行為大幅度增長，“震網”（Stuxnet）病毒感染了全球超過45000個網絡，給全球工業界控制系統的信息安全問題敲響了警鐘。工控系統信息安全的需求變得更加迫切，針對當前嚴峻的工業控制系統安全形勢，結合企業實際情況，構建工控系統網絡安全架構，確保工控系統安全可靠運行。

一 工業控制系統基本概念

工業控制系統是指由計算機與工業過程控制部件組成的自動控制系統。主要包括數據采集與監控系統（SCADA）、分布式控制系統（DCS）、可編程邏輯控制器（PLC）、遠程終端（RTU）、智能電子設備（IED）等。由于現階段信息技術的飛躍性發展，通用開發標準與互聯網技術的廣泛使用，導致工控系統相應的信息安全問題愈加明顯。

二 工業控制系統信息常見風險

1接口開放帶來的安全風險

由于數據采集、監控和調試的需要，工業控制系統的終端設備都會配置網絡接口，但這種開放的接口很容易被人利用帶來安全隱患，一旦連接信息暴露，整個網絡就處于非常危險的境地。

2工業控制系統遭遇病毒攻擊的風險

就企業工控系統而言，很多都沒有建立完整的防病毒體系，系統未全面安裝殺毒軟件，雖然企業利用技術手段對工控網和辦公網絡進行隔離，但由于病毒傳播具有多樣性的特征，能夠通過多種渠道進行傳播。比如是通過移動介質傳播病毒的方式，造成企業工控系統被病毒感染引發安全事件。

3管控體系不健全導致的安全風險

現階段，很多應用了工業控制的企業管控體系都不健全，對終端設備缺乏適合的終端物理安全保護辦法，缺乏有效的邊界完整性檢查，存在未經授權終端非法接入的風險，存在非法外聯的風險，對身份鑒別、訪問控制等缺乏相應的手段及管理標準。

三 工業控制系統信息安全防護體系的構建

工業控制依托信息安全防護總體思想，通過建立管理體系、技術體系、運維體系等全面構建工業控制安全防護體系，對工業控制系統形成全面保障。

1工業控制系統信息安全管理體系建立

工業控制系統信息安全管理體系是安全策略、組織、運作、技術體系標準化、制度化后形成的一整套信息安全的管理規范。管理體系包含制度建設和培訓機制等。首先應建立安全保障機制領導小組，明確職責、強化組織，協調指導工業控制系統信息安全方面的規劃制定、體系和制度建立、計劃落實、技術保障、事故應急處理、風險和事故評估等事宜。然后不斷完善及擴充工業控制系統信息安全方面的保障制度，完善信息安全防護體系。

2工業控制系統信息安全技術防護體系

安全技術防護主要包括物理安全、網絡完全、主機安全、應用安全、數據安全五個方面。具體的防護通過多種安全產品、多種安全設備、多種安全策略、多種安全技術的集中管理與合理組合，在技術層面上對各類攻擊和不安全因素進行有效的防御、檢測、審計、控制等。

（1）物理安全防護

物理安全方面主要考慮核心工業控制軟硬件所在物理位置，相應的訪問控制，視頻監控、專人值守等物理安全防護措施，同時要考慮防雷擊、防盜、火災與水災等。如挑選具備防震以及防雨等有關能力的地點，在機房的每一個出入口均需要派出專人進行值守或者考慮安裝電子門禁，在機房內安裝監控報警裝置，拆除或封閉工業主機上不必要的USB、光驅、無線接口等。

（2）網絡安全防護

網絡方面主要有：網絡結構、邊界安全、訪問體系、針對攻擊的防范、審計等。可以采用如下手段進行防護：確保為關鍵網絡設備相應的業務能力留有富余，進而確保其在業務高峰期也能夠正常運行；禁止沒有防護的工業控制網絡與互聯網連接于業務終端，通過工業防火墻、網閘等防護設備對工業控制網絡安全區域之間進行邏輯隔離；依據重要程度寬帶優先分配制度，進而確保重要業務不被耽誤；禁止在VPN狀態下接入網絡。

（3）主機安全防護

主機安全應從身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范入手進行安全防護。如在工業主機登錄、資源訪問等過程中使用身份認證管理，對于關鍵系統的訪問采用多因素認證。可采用數據單向訪問控制策略、對訪問時限進行控制等加固遠程訪問安全。加大審計的范圍和力度，保障審計記錄的真實完整性，做到事后可以追溯；對于非法攻擊等行為如發現、應立即報告并進行處理等方式降低安全風險。

（4）應用安全防護

應用方面應采用加密方式訪問保障通信的完整性、保密性。增強登錄控制及審計功能，做到有效識別登錄人的身份，同時對登錄的操作進行有效記錄，保證可追溯性。增強對訪問異常及次數的控制，制定安全策略，應對不同異常情況。用戶口令一定要有復雜度要求，并需要定期更改。

（5）數據安全防護

數據安全防護是通過加密以及多種手段對數據進行防護，通過這一系列的防護促進數據安全保障工業控制系統信息安全，同時應建立重要數據備份恢復機制，定期做應急演練。

結論

工業控制系統信息安全建設是一項系統工程，需要做到安全策略和安全教育并重，安全技術和安全管理并施，從多方位、多角度全面建立起適應企業發展的安全保障機制，全面保障企業工控系統安全可靠運行。

參考文獻：

[1]GB/T22239-2016.信息安全技術：信息系統安全等級保護基本要求[S].2016

[2]GB/T25070-2016.信息安全技術：信息系統等級保護安全設計技術要求[S].2016

[3]杜偉奇，王平，王浩.工業控制系統中安全威脅分析與策略[J]重慶郵電學院學報（自然科學版），2005，（05）.

[4]李璇.淺談以太網在工業控制系統中的應用[J].科技資訊，2009，（21）.

[5]GB/T20270-2016.信息安全技術：網絡基礎安全技術要求[S].2016

[6]陳星，賈卓生.工業控制網絡的信息安全威脅與脆弱性分析與研究[J].計算機科學，2012，39（10）：188—190.