工控網(wǎng)絡(luò)安全檢測與防護(hù)體系研究

（中海油信息科技有限公司，廣東 深圳 518068）

0 引言

近年來，工控網(wǎng)絡(luò)安全事件頻發(fā)，網(wǎng)絡(luò)攻擊范圍持續(xù)擴(kuò)大，為了有效應(yīng)對日漸加劇的網(wǎng)絡(luò)安全問題，需要不斷創(chuàng)新與增強(qiáng)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)，全方位的保護(hù)工控網(wǎng)絡(luò)安全，以充分發(fā)揮工控系統(tǒng)在相關(guān)領(lǐng)域的應(yīng)用價值。文章針對多種工控網(wǎng)絡(luò)安全風(fēng)險建立的安全檢測與防護(hù)體系，能夠在不同環(huán)境下對多種業(yè)務(wù)實現(xiàn)實時監(jiān)測，并智能化、精細(xì)化的進(jìn)行流量分析，以更及時、準(zhǔn)確地發(fā)現(xiàn)與鎖定工控網(wǎng)絡(luò)安全事件，同步采取有效措施加以防護(hù)，對工控網(wǎng)絡(luò)實現(xiàn)一體化安全檢測與管控。

1 工控網(wǎng)絡(luò)特點和安全風(fēng)險

1.1 工控網(wǎng)絡(luò)特點

首先，工控網(wǎng)絡(luò)有助于互聯(lián)的系統(tǒng)之間、設(shè)備之間實現(xiàn)有效的信息傳遞，并且在信息溝通過程中保持良好互操作性。其次，工控網(wǎng)絡(luò)可和世界各地基于同相同標(biāo)準(zhǔn)建設(shè)的其他設(shè)備實現(xiàn)有序連接，具有良好的系統(tǒng)開放性[1]。再者，工控網(wǎng)絡(luò)能夠和同軸電纜、電力線、紅外線等諸多設(shè)備實現(xiàn)合作，并且其在多種不同的現(xiàn)場環(huán)境下具有良好的適應(yīng)性能。最后，工控網(wǎng)絡(luò)可在相對應(yīng)條件下提供實時通信，并且有時間管理功能，呈現(xiàn)突出的通信實時性特點。

1.2 工控網(wǎng)絡(luò)安全風(fēng)險

（1）面對不斷增強(qiáng)的開放互聯(lián)需求，其關(guān)鍵系統(tǒng)不具備相匹配的安全性能。隨著工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)快速發(fā)展，工業(yè)終端設(shè)備也越來越體現(xiàn)出開放性，特別是在大數(shù)據(jù)、云計算、人工智能等現(xiàn)代化科學(xué)技術(shù)應(yīng)用下，直接將傳統(tǒng)的物理隔離常規(guī)打破，這使得工業(yè)處理流程體現(xiàn)出更高的開放性，同時也面臨更多不確定性，同樣也進(jìn)一步加大了網(wǎng)絡(luò)安全風(fēng)險。目前，我國很多關(guān)鍵信息基礎(chǔ)設(shè)施無論是在產(chǎn)品還是在系統(tǒng)方面都可能存在或潛在一些缺陷、漏洞，并且目前所運(yùn)用的高端裝備、關(guān)鍵系統(tǒng)過于依賴國外產(chǎn)品，產(chǎn)品廠商基本都會參與到重大故障維護(hù)環(huán)節(jié)，還有產(chǎn)品設(shè)計了遠(yuǎn)程訪問端口等問題都蘊(yùn)含安全隱患[2]。綜合來講，目前工控網(wǎng)絡(luò)在關(guān)鍵系統(tǒng)與核心產(chǎn)品方面其安全性能都有待提高。

（2）面對隱蔽性風(fēng)險缺乏足夠的抵御能力。工控網(wǎng)絡(luò)建設(shè)安全防護(hù)現(xiàn)狀有兩種：一種是所分布的工控設(shè)備及所建立的工控系統(tǒng)處于接近“裸奔”狀態(tài)，沒有落實統(tǒng)一的安全防護(hù)措施，工控網(wǎng)絡(luò)中既有智能化設(shè)備、基礎(chǔ)軟件保持著較低的安全水平，一些設(shè)備處理能力較低，更新?lián)Q代速度慢，在設(shè)計環(huán)節(jié)缺乏前瞻性，并且所運(yùn)用的安全防護(hù)手段相對滯后[3]。另一種是當(dāng)前大多工控網(wǎng)絡(luò)在設(shè)置安全防護(hù)設(shè)備期間，依舊選用傳統(tǒng)安全防護(hù)模式，這種情況下不具備充足的安全防護(hù)性能。有較高的誤報率，并且安全網(wǎng)關(guān)以URL、IP 等相關(guān)黑名單為基礎(chǔ)加以控制，對未知內(nèi)容難以檢測。總之，目前工控網(wǎng)絡(luò)不具備強(qiáng)有力的安全防護(hù)體系，難以對隱蔽性攻擊加以預(yù)防和控制。

（3）無法有效實現(xiàn)應(yīng)急處理。目前我國很多領(lǐng)域建立的工控網(wǎng)絡(luò)系統(tǒng)在安全防護(hù)以及管理方面相對較為脆弱，并且很多應(yīng)用單位并未完善的針對網(wǎng)絡(luò)安全事件建立相應(yīng)應(yīng)急預(yù)案，缺乏完善的態(tài)勢監(jiān)測預(yù)警機(jī)制，不具備突出的應(yīng)急處理能力，所制定的安全管理制度存在諸多缺陷。

2 工控網(wǎng)絡(luò)安全檢測與防護(hù)體系

2.1 安全檢查

為了有效應(yīng)對工控網(wǎng)絡(luò)安全風(fēng)險，要結(jié)合工控網(wǎng)絡(luò)現(xiàn)狀，不斷研發(fā)更多安全檢測技術(shù)以及檢測方法，對多種內(nèi)嵌的網(wǎng)絡(luò)安全威脅實現(xiàn)及時發(fā)現(xiàn)，并對隱蔽性攻擊加強(qiáng)應(yīng)對，以維護(hù)工控網(wǎng)絡(luò)各項數(shù)據(jù)資源與基礎(chǔ)設(shè)備的安全。另外，要對工控協(xié)議解析庫實現(xiàn)完整構(gòu)建，對安全事件特征庫不斷補(bǔ)充與健全，保證網(wǎng)絡(luò)攻擊知識庫的豐富與完整，并能夠?qū)Χ喾N復(fù)雜環(huán)境和大量業(yè)務(wù)流量實現(xiàn)動態(tài)跟蹤、及時識別、準(zhǔn)確發(fā)現(xiàn)、深層次分析及系統(tǒng)化評估，針對工控網(wǎng)絡(luò)建立全方位的監(jiān)測體系，保證有關(guān)安全技術(shù)具備更高監(jiān)管性能。

當(dāng)前工控網(wǎng)絡(luò)運(yùn)行期間，通常實現(xiàn)分區(qū)管理，一般分為生產(chǎn)調(diào)度區(qū)、企業(yè)管理區(qū)。在企業(yè)管理區(qū)中又劃分成內(nèi)網(wǎng)和外網(wǎng)。外網(wǎng)主要強(qiáng)調(diào)完善的制定各種安全控制措施，對所有外界數(shù)據(jù)包實現(xiàn)充分過濾，對惡意代碼加大防范力度，對非法外聯(lián)行為以及入侵行為加大探測力度，著重強(qiáng)化網(wǎng)絡(luò)邊界防護(hù)與審計；內(nèi)網(wǎng)主要實現(xiàn)安全管控中心的建立，著重對門戶網(wǎng)站、郵件系統(tǒng)、OA 系統(tǒng)等內(nèi)網(wǎng)系統(tǒng)實現(xiàn)統(tǒng)一認(rèn)證、病毒查殺、漏洞檢測，安全存儲等[4]。而生產(chǎn)調(diào)度區(qū)又分成了過程控制層、現(xiàn)場控制層及生產(chǎn)管理層、現(xiàn)場控制層等。生產(chǎn)管理層是結(jié)合具體生產(chǎn)任務(wù)開展計劃安排，對相關(guān)數(shù)據(jù)實現(xiàn)管理，并實現(xiàn)存儲的設(shè)計等；現(xiàn)場控制層、過程控制層是全過程、實時的控制各種現(xiàn)場設(shè)備。在生產(chǎn)調(diào)度區(qū)當(dāng)中，每一層都針對性的加強(qiáng)病毒防護(hù)、入侵檢測、漏洞檢測，并對工控數(shù)據(jù)流加大保護(hù)力度。

為進(jìn)一步維護(hù)工控網(wǎng)絡(luò)系統(tǒng)的正常、有序運(yùn)轉(zhuǎn)，要結(jié)合系統(tǒng)內(nèi)部不同分區(qū)部署現(xiàn)狀，在不同區(qū)之間實現(xiàn)網(wǎng)絡(luò)隔離裝置的設(shè)置，設(shè)置期間著重增加安全監(jiān)測系統(tǒng)建設(shè)，確保所有網(wǎng)絡(luò)行為接受全方位、全周期的監(jiān)測，同步進(jìn)行數(shù)據(jù)存儲與分析，以更全方位的對隱蔽性威脅加以應(yīng)對和控制。相應(yīng)系統(tǒng)中分布有互聯(lián)網(wǎng)探針、工控探針。在生產(chǎn)調(diào)度區(qū)每個層匯聚交換機(jī)當(dāng)中，以分布式形式部署工控探針，并利用鏡像流量監(jiān)測每一層鏈路利用率、服務(wù)帶寬占用、業(yè)務(wù)分布情況等，在攻擊知識庫的構(gòu)建下可更有效、有針對性的誘捕、分析并存儲工控網(wǎng)絡(luò)惡意行為，著重對異常行為實現(xiàn)關(guān)鍵工控事件檢測，之后在安全監(jiān)測相關(guān)評估系統(tǒng)功能發(fā)揮下進(jìn)行信息匯總、分析，出具監(jiān)測報告。互聯(lián)網(wǎng)探針要分別設(shè)置在互聯(lián)網(wǎng)出口、入口，以此監(jiān)測并同步分析外部攻擊行為與探測行為，必要情況下加以反制。

2.2 防護(hù)體系

針對工控網(wǎng)絡(luò)構(gòu)建的安全防護(hù)體系，主要涉及規(guī)劃、建設(shè)、運(yùn)行、維護(hù)4個階段，同步基于本質(zhì)安全和運(yùn)行管控、管理制度、標(biāo)準(zhǔn)規(guī)范、技術(shù)防護(hù)這5個層面實現(xiàn)全面考慮。通過網(wǎng)絡(luò)安全防護(hù)體系的構(gòu)建，能夠在工控網(wǎng)絡(luò)整個安全防護(hù)生命周期當(dāng)中持續(xù)發(fā)揮作用，保持安全生產(chǎn)和運(yùn)行效率之間的平衡，并確保企業(yè)生產(chǎn)活動可以高效、安全的開展。在實現(xiàn)技術(shù)防護(hù)期間，主要對網(wǎng)絡(luò)、控制器、主機(jī)、應(yīng)用等實現(xiàn)綜合考量下選用安全審計措施、加密策略、訪問控制手段等，縱向制定技術(shù)防護(hù)機(jī)制。立足縱向?qū)用妫P(guān)注分區(qū)管控，強(qiáng)調(diào)重點防護(hù)。立足橫向?qū)用妫訌?qiáng)分層監(jiān)控，保持安全隔離；針對標(biāo)準(zhǔn)規(guī)范方面，使工控網(wǎng)絡(luò)在安全規(guī)劃、服務(wù)、建設(shè)、測試、質(zhì)量、管理、評估、運(yùn)維等方面具備科學(xué)、統(tǒng)一的標(biāo)準(zhǔn)規(guī)范；針對管理制度，需要由政府牽頭針對網(wǎng)絡(luò)安全建立相關(guān)組織管理體系，詳細(xì)制定管理政策、制度，按照一定周期組織監(jiān)督檢查活動，強(qiáng)化安全培訓(xùn)，結(jié)合實際情況安排應(yīng)急演練等。企業(yè)方需要針對網(wǎng)絡(luò)安全專門組建相關(guān)管理機(jī)構(gòu)，指定專業(yè)負(fù)責(zé)人，保證網(wǎng)絡(luò)安全有關(guān)要求可以全面落實，完善的構(gòu)建制度體系，確保各項生產(chǎn)制造活動可以規(guī)范、有序的開展；針對運(yùn)行管理方面，著重加強(qiáng)過程安全控制，針對整個工控網(wǎng)絡(luò)實現(xiàn)整體性運(yùn)行管理及防護(hù)體系的建立，以確保能夠提前預(yù)警網(wǎng)絡(luò)安全威脅，動態(tài)監(jiān)測并追蹤網(wǎng)絡(luò)攻擊流量，確保網(wǎng)絡(luò)安全事件能夠得到及時響應(yīng)；針對本質(zhì)安全，需確保安全防護(hù)體系內(nèi)部的基礎(chǔ)產(chǎn)品安全與可靠，如處理器、核心芯片、專用軟件等。針對基礎(chǔ)軟硬件，不僅要關(guān)注優(yōu)選供應(yīng)鏈，還要優(yōu)選具有更高可靠性、安全性的產(chǎn)品，使防護(hù)體系具有更堅實的基礎(chǔ)。

3 結(jié)束語

在新時期環(huán)境下，工控網(wǎng)絡(luò)攻擊體現(xiàn)出更突出的強(qiáng)持續(xù)、高隱蔽、嚴(yán)組織等特點，相關(guān)技術(shù)手段不斷創(chuàng)新，一旦相關(guān)工控系統(tǒng)及網(wǎng)絡(luò)出現(xiàn)安全問題，將嚴(yán)重影響經(jīng)濟(jì)社會與國家安全。本文結(jié)合工控網(wǎng)絡(luò)的特點及其多項安全風(fēng)險，提出針對工控網(wǎng)絡(luò)建立的安全檢測與防護(hù)體系，在相關(guān)體系建立下確保工控網(wǎng)絡(luò)從設(shè)計直至維護(hù)整個生命周期中都全面加強(qiáng)安全防護(hù)，在此基礎(chǔ)上使相關(guān)生產(chǎn)活動更加可靠、安全與高效。