卷煙工業控制網絡安全技術的研究應用

李昱曉 張杰

摘要：在卷煙工業控制網絡中能夠及時發現網絡中存在的病毒感染及其它問題，準確找到故障的發生點，是維護工業控制網絡安全的前提。本研究將在企業信息網和制絲車間工業網絡之間部署IT防火墻；在工業控制網絡信息層和控制層之間部署安全隔離網關；在每個子系統與工業環網之間部署工業網絡通信網關；在每臺可控的計算機上安裝防病毒軟件并及時更新病毒庫。

Abstract： In the cigarette industrial control network， it is possible to detect the presence of virus infections and other problems in the network in a timely manner. Accurately finding the point of failure is the prerequisite for maintaining the security of industrial control networks. This study will deploy an IT firewall between the enterprise information network and the manufacturing shop's industrial network； deploy security isolation gateways between the information layer and control layer of the industrial control network； and deploy industrial network communication gateways between each subsystem and the industrial ring network， install anti-virus software on each controllable computer and update the virus database.

關鍵詞：工業控制網絡；網絡安全；病毒防御

Key words： industrial control network；network security；virus protection

中圖分類號：TN915.08 文獻標識碼：A 文章編號：1006-4311（2018）27-0196-02

1 研究背景和意義

近十年來，隨著信息技術的迅猛發展，信息化在我們企業中的應用取得了飛速發展。互聯網技術的出現，使得工業控制網絡中大量采用通用TCP/IP 技術，ICS 網絡和企業管理網的聯系越來越緊密。另一方面，傳統工業控制系統采用專用的硬件、軟件和通信協議，設計上基本沒有考慮互聯互通所必須考慮的通信安全問題。企業管理網與工業控制網的防護功能都很弱，或者甚至幾乎沒有隔離功能。工控系統的開放使得其安全隱患問題日益嚴峻。系統中任何一點受到攻擊都有可能導致整個系統癱瘓。

Stuxnet病毒作為一個標志性的事件，敲響了工業控制網絡安全的警鐘。在國際上工業控制網絡被入侵和被破壞的一些典型案例，其造成的經濟損失數額十分巨大，可以說工業控制網絡的安全問題已經是網絡安全領域的焦點問題。

我廠制絲車間工業控制網絡運行四年期間共發生通訊中斷、網絡阻塞、實時數據庫數據采集丟失、控制失靈等網絡安全事件二十余起，曾造成整條制絲生產線無法啟動和中斷等嚴重影響生產事件。

研究工業控制網絡安全不僅體現了企業對高效生產、安全運行的重視，更體現了企業對國家經濟安全和人民生命財產安全的責任。

2 項目研究目的

研究目的主要有三部分：①初步建立卷煙工業控制網絡系統安全分區標準；②確立卷煙工業網絡控制系統安全模塊化選型思路；③建立卷煙工業控制網絡系統安全中央管理平臺。

提出有效的工業控制網絡安全總體保障框架。逐步建立起我廠工業控制系統可信、可控的安全保障體系，包括：在工業控制系統中建立安全可信的計算環境，具備病毒防御能力；對現場操作人員實現可信身份鑒別、訪問控制和行為審計，以確保關鍵主機設備能夠長期連續、穩定運行；建立可信的工業控制網絡邊界，對接入控制網絡的各種計算設備進行準入認證，確保非可信計算設備不能接入工業控制網；建立可信的工業控制網絡環境，對網絡中可信主體的各種行為進行深度檢查與審計，避免不合規的異常網絡行為對網絡中的生產設備造成不良影響。

建立“縱深防御”安全防御體制。將網絡劃分為不同的安全區，在安全區之間按照一定規則安裝網關安全設備。以此來保證監控各個區域間的通信，在沒有安全事故發生的時候也能自動查找安全隱患，當發現安全隱患時能夠自動排除，或者發出安全警報。

3 項目研究內容

為解決我廠工業控制網絡所面臨的安全隱患，計劃在工業控制網進行如下安全加固：①在企業信息網和制絲車間工業網絡之間部署IT防火墻；通過設備部署對企業生產網與工業網間進行邊界安全防護，對兩個網之間的數據交互進行嚴格審查、過濾，確保病毒、木馬及黑客攻擊行為不會由生產網侵入工控網，從而對生產造成威脅。②在工業控制網絡信息層和控制層之間部署工業網絡安全隔離網關；通過設備部署對信息層與控制層流量進行過濾，防止控制終端因為病毒等原因對控制層造成影響，保證生產指令下達、前段數據采集的可靠性。③在工業控制網絡不同的每個子系統與工業環網之間部署工業網絡通信網關；通過部署設備對各子系統間進行安全隔離。④在每臺可控的計算機上安裝終端防護軟件；通過在控制終端上安裝防護軟件，對終端的USB口進行控制，對終端上的文檔進行安全審計，既可以防止因U盤引起的交叉感染又可以防止數據泄密。

4 項目研究思路

由于業內針對煙草工業控制研究沒有相關可參考案例，為完成此次項目研究，我們組織專家深入車間生產線，對我廠現狀進行調研，通過對調研結果分析確定我廠工業控制系統目前存在的網絡安全隱患，有針對性進行安全開發。

4.1 調研

通過對我廠工業控制系統、網絡與應用環境以及目前安全管理現狀、安全管理與建設需要等的現場調研，了解了我廠工業控制系統目前存在的網絡安全隱患，為安全保障體系建設規劃提供依據，為可行工業控制網關等設備實施方案的制定提供依據。

4.1.1 調研范圍

主機：主要是工控網內監控中心相關服務器主機設備，以及所運行的操作系統、數據庫等；

應用：主要是工控網內監控中心所運行的應用系統；

網絡：主要是工控網內相關重要網絡設備；

機房環境：主要是了解工業控制系統部署環境；

生產設施：主要是了解工業控制系統生產線部署環境；

安全管理：主要是了解卷煙廠及制絲車間安全管理現狀及需求。

4.1.2 調研內容

制絲車間目前采取的安全控制措施主要有：

病毒、攻擊防護措施：中控絲計算機主機上安裝防病毒軟件，如發現病毒操作人員需要及時處理，如處理不了的，應及時告知計算機管理員進行維護處理，以防止病毒蔓延殃。不得使計算機被傳染病毒和主動性輸入病毒。每次使用無線網絡進行殺毒軟件的病毒庫升級時，需更新無線路由器安全設定的密碼，并嚴禁將密碼泄露出去。

密碼管理要求：目前主要基于賬戶/密碼的訪問控制策略。車間已明確要求計算機操作人員必須給自己的計算機操作系統帳號設置密碼，并且嚴格要求密碼長度6位以上，最好使用數字、字母和各種符號和大小寫搭配，嚴禁將密碼泄露給第三者，并且嚴禁安裝破解密碼的任何軟件。

訪問控制與網絡準入要求：①安全制度中已明確規定任何人不得將私人的計算機、筆記本電腦、帶智能功能的手機、MP3、等設備未經計算機管理員許可私自接入計算機網絡。②未經中控室計算機管理員的許可，嚴禁任何人將私人的光盤、VCD、軟盤，移動存儲器等在計算機設備上使用。③外來的計算機設備禁止接入車間工業以太網，如因工作需要接入網絡的必需報車間設備室批準，由車間設備室發給臨時IP地址；不經允許接入網絡的，一經發現要求其立即斷開網絡連接，并對責任人處以經濟罰款。④不得使用外來磁盤、U盤等，確實需要的，要經過掃毒處理，確認無病毒后方可使用。

資產管理方面：①安全制度中已明確規定任何人不準將車間的計算機設備的零件挪做他用，不準將車間內的計算機備件與他人、廠外、家庭交換使用。②對于非專業人員，不得善自打開機箱，拆卸、加裝計算機零件和附加設備，不得擅自格式化硬盤，或更改計算機配置參數，不得擅自刪除、更改、安裝程序和文件，不得帶電插拔輔連設備。

數據安全管理方面：①制絲車間已明確規定專業人員和數據錄入人員不允許對已錄入并提交系統的基礎數據進行修改、刪除，確因錄入錯誤，需要修改、刪除的，通知車間設備室，并進行備案。②專業人員和數據錄入人員要做好保密工作，不得把自己的口令和密碼告訴他人。③車間各級領導不得隨意干涉專業人員和數據錄入人員的正常工作，專業人員和數據錄入人員有權拒絕不準確的數據進入應用系統。④車間、部門的微機使用人員應做到按時正確的開機、關機，各項信息、指令、數據及時準確的輸入、傳遞和接收，各車間部門負責的相關數據要及時進行維護。⑤中控室計算機中的各種數據及報表應嚴格控制在車間內部，任何人不得泄露生產數據。

機房安全管理方面：制絲車間機房安裝門鎖，具有物理訪問控制措施，配備了消防器材、UPS電源等；機房、中控室溫度基本控制在28度，以確保計算機正常運行。

4.2 分析

本課題在進行研究設計時充分考慮與分析了企業實際網絡架構及安全需求，整體分析方法借鑒EA（Enterprise Architecture，即“企業架構”或“業務體系架構”）分析方法。EA當前是分析企業、工業控制網絡中最有效的辦法。

基于EA的分析規劃方法，以企業使命為驅動，從業務架構、信息架構、應用架構和技術架構四個方面，從上往下，深入分析企業的業務戰略、組織結構、角色定義和重要的業務流程等，深入分析支撐企業業務的數據和信息以及對應的應用系統，深入分析支撐業務、數據、應用服務部署的基礎設施（包括中間件、網絡、通信等軟硬件），全面透徹地分析企業IT架構在不同層面的脆弱性和所面臨的各種威脅與風險，在此基礎上，根據不同層面的安全防護需求和特點，為企業進行切合其實際要求的信息安全建設方案設計和規劃。

基于EA的分析方法的關鍵是根據企業實際業務過程，分析支撐業務過程的關鍵數據、應用和基礎設施，并明確相應的安全防護需求。

基于EA的分析方法，具體到工業控制系統網絡，將工業控制系統業務、數據、應用、基礎設施映射到工業控制應用、保護對象兩個維度，并增加安全要素，從三個維度對工業控制系統不同業務應用進行安全風險分析。

5 實施效果

該系統運行以來，減少了由于病毒而造成的中控服務器癱瘓現象，杜絕了由于中控服務器癱瘓而造成的生產采集數據丟失、生產指令無法下達，生產無法順利進行，有效地攔截了病毒得攻擊，中控系統的設備運行有效作業率得到較大的提高。中控系統病毒攻擊造成的服務器故障由原來的每月2次，降到目前每月零次。

構建了卷煙工業控制系統安全保障體系。運用可信計算領域研究成果及NIST、ANSI/ISA99標準，對我廠工業控制系統的整體安全保障思路、框架等進行研究分析，形成我廠工業控制系統安全可信保障體系框架。

搭建了煙草工業控制專用的可信主機防護系統。在工業控制系統中建立安全可信的計算環境，具備病毒自防御能力，能夠抵御已知和未知的病毒攻擊，對生產線操作人員實現可信身份鑒別、訪問控制和行為審計，以確保關鍵主機設備能夠長期連續、穩定運行。

研究了一套可信工業控制安全網關設備。安全網關設備功能增加了支持全面的工業控制協議，實現信息管理層和過程控制層之間的隔離防護，防止蠕蟲病毒等惡意代碼向過程控制層擴散，支持主流工業協議的深度過濾，如OPC、Modbus、DNP3等。