為保證能源和基礎(chǔ)設(shè)施行業(yè)控制系統(tǒng)的安全穩(wěn)定運(yùn)行，需要建立有針對性的安全防護(hù)體系。5月份，第11屆工業(yè)自動(dòng)化與標(biāo)準(zhǔn)化的研討會在北京舉行，會議探討了測控系統(tǒng)Security&Safety。

　　2012.5.22~23在北京舉行了第11屆工業(yè)自動(dòng)化與標(biāo)準(zhǔn)化的研討會，主題是測控系統(tǒng)Security&Safety，其中功能安全在往屆研討會中已經(jīng)深入研討過。第10屆研討會上，伯鈉法就指出中國在TC65中的貢獻(xiàn)就有IECB1010-2的新項(xiàng)目，包含了控制系統(tǒng)的安全要求和相關(guān)測試等。正如儀綜所歐陽勁松所長所說，工業(yè)領(lǐng)域的安全可分為三類，即功能安全(FunctionSafety)，物理安全(PhysicalSafety)和信息安全(Information Security)。作為信息安全，包含范圍很大，工業(yè)控制系統(tǒng)的信息安全只是其中的一部分。我們要在全面了解通用信息安全的同時(shí)，了解工業(yè)控制系統(tǒng)信息安全的個(gè)性要求。相關(guān)標(biāo)準(zhǔn)前者是ISO/IEC27000(27000為定義)，后者是IECB2443。通用信息安全的三個(gè)目標(biāo)依次為保密性、完整性和可用性，而工業(yè)控制系統(tǒng)信息安全的三個(gè)目標(biāo)優(yōu)先級服務(wù)則為可用性、完整性、保密性。IECB2443定名為“工業(yè)過程測量、控制和自動(dòng)化網(wǎng)絡(luò)與系統(tǒng)信息安全”，分4部分，即通用、信息安全程序、系統(tǒng)技術(shù)和部件技術(shù)，即涵蓄了對資產(chǎn)所有者(用戶業(yè)主)、系統(tǒng)集成商、部件制造商的要求。歐陽勁松所長還指出信息安全的評估和測試，事關(guān)國家安全，所以要把它放在國人的手中。類似于功能安全中SIL安全完整性等級，在IEC62443中引入信息安全保證等級(Security Assurance Level,SAL)的概念。考慮全生命周期的安全性，及出目標(biāo)(target)SAL、設(shè)計(jì)(design)SAL、達(dá)到(achieved)SAL和能力(capability)SAL，進(jìn)行評估和測試。

　　會上機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所副總工程師梅恪后由王玉敏代發(fā)言，詳細(xì)講解了“工業(yè)控制系統(tǒng)信息安全中國標(biāo)準(zhǔn)化發(fā)展思路，”指出2011年11月，在拉斯維加斯舉行的黑客大會上，演示了如何進(jìn)攻中國主要基礎(chǔ)行業(yè)正在使用的工控系統(tǒng)，并對信息安全領(lǐng)域情況、工業(yè)對信息安全的要求、標(biāo)準(zhǔn)化實(shí)施計(jì)劃、評估和驗(yàn)收進(jìn)行講解。最后舉實(shí)例進(jìn)行識別危險(xiǎn)源、給出數(shù)據(jù)統(tǒng)國、劃分區(qū)域、劃分管道、提出要求、采取措施、工程進(jìn)行實(shí)施、考慮組織管理措施、人員能力指施、最后進(jìn)行安全態(tài)勢分析等項(xiàng)的說明。

　　會上IEC/TC65新任秘書長如迪?比利亞迪對信息安全的標(biāo)準(zhǔn)化工作進(jìn)行了全方面深入的講演，為我們標(biāo)準(zhǔn)化工作志到了促進(jìn)作用。歐洲電氣電子行業(yè)機(jī)構(gòu)、TÜV南德意志大中華集團(tuán)對會議的有力支持也使用會議增色。會上還傳達(dá)了工信部協(xié)[2011]45號關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的文件精神，使大家對信息安全更加重視。

　　二、具體講演和展示：

　　會上除中國石化工程建設(shè)公司付總工程師林融屬于最終用戶講演的外，國內(nèi)外廠商十余家在兩天內(nèi)進(jìn)行了講解和演示，具體有菲尼克斯、ABB、CC-Link、霍尼韋爾、東土科技、多芬諾、施耐爾、西門子、貝加萊、E H、羅克韋爾、和利時(shí)等公司，他們提供了相關(guān)硬件、軟件和解決方案、工程經(jīng)驗(yàn)，都證明信息安全、功能安全、物理安全有著豐富的實(shí)踐經(jīng)驗(yàn)有待總結(jié)，市場廣闊、需求旺盛有待我們?nèi)ヒ龑?dǎo)，標(biāo)準(zhǔn)化工作更是適逢其時(shí)，順應(yīng)潮流。

　　會上羅克韋爾華镕以遠(yuǎn)程訪問工業(yè)自動(dòng)化和控制系統(tǒng)為例解釋了縱渾防御策略，指出信息安全實(shí)施步驟有8步;1，使用標(biāo)準(zhǔn)企業(yè)遠(yuǎn)程訪問方案，基于客戶機(jī)的形式，使用IP安保(IPsec)加密的虛擬個(gè)人網(wǎng)絡(luò)(VPN)技術(shù)，通過因特網(wǎng)安全地連接企業(yè)的邊界。VPN的建立需要對遠(yuǎn)程個(gè)人進(jìn)行遠(yuǎn)程難證撥入用戶服務(wù)(RADIUS)，這通常是由IT部門組織實(shí)施和管理。2，使用隔離區(qū)(DMZ)/防火墻中的訪問控制列表(ACL)，限制遠(yuǎn)程伙伴通過Epsec到工廠現(xiàn)場的訪問。通過隔離區(qū)連接到工廠現(xiàn)場，只能使用一種安全瀏覽器(HTTPS)。3，訪問一個(gè)安全瀏覽器(HTTPS)門戶應(yīng)用，它運(yùn)行于隔離區(qū)/防火墻上。這要求再次登錄/驗(yàn)證。4，在遠(yuǎn)程客戶機(jī)和工廠的隔離區(qū)HTTPS使用遠(yuǎn)程終端會話(如遠(yuǎn)程單方協(xié)議)。5，利用在防火墻上的侵入保護(hù)和檢測系統(tǒng)(IPS/IDS)，檢查進(jìn)出遠(yuǎn)程訪問服務(wù)器的數(shù)據(jù)流，防止攻擊和威脅，并適當(dāng)?shù)亟o予阻截。這對防止來自遠(yuǎn)程訪問設(shè)備穿越防火墻和影響遠(yuǎn)程訪問服務(wù)器的病毒和其他威脅是非常重要的。6，允許遠(yuǎn)程用戶執(zhí)行招待終端會話，訪問駐留在遠(yuǎn)程訪問服務(wù)器中的自動(dòng)化和控制應(yīng)用。需要應(yīng)用級的登錄/驗(yàn)證。7，執(zhí)行應(yīng)用安保功能，對訪問遠(yuǎn)程訪問服務(wù)器的用戶，限制其應(yīng)用功能(諸如只讀，非在線功能)。8，把遠(yuǎn)程訪問服務(wù)器分配到不同的虛擬局域網(wǎng)(VLAN)，并且讓所有在遠(yuǎn)程訪問服務(wù)器到制造區(qū)域之間的數(shù)據(jù)流通過防火墻，對這個(gè)數(shù)據(jù)流使用侵入檢測和保護(hù)服務(wù)，保護(hù)制造區(qū)域免受攻擊、免受蠕蟲和病毒的破壞。

　　并指出1~5步驟與IT部門關(guān)系密切，4~8步驟與生產(chǎn)部門關(guān)系密切。會上，其它家也提出信息安全縱深防御的技術(shù)，如施耐德提出濃度防御方法為與關(guān)鍵步驟：安全計(jì)劃、網(wǎng)絡(luò)分隔、邊界保護(hù)、網(wǎng)段分離、設(shè)備“淬火”、監(jiān)視更新，并且介紹了ConneXium工業(yè)以太網(wǎng)防火墻。支持VPN等，還介紹了受保護(hù)的自動(dòng)化系統(tǒng)如何防御威脅，做到“CyberSecurity”(網(wǎng)絡(luò)安全)。

　　北京東土科技股份有限公司薛百華就“測控網(wǎng)絡(luò)安全與工業(yè)以太網(wǎng)”為題，詳細(xì)介紹了該公司在工程實(shí)踐中如何實(shí)現(xiàn)網(wǎng)絡(luò)安全的經(jīng)驗(yàn)和體會，指出測控網(wǎng)絡(luò)的發(fā)展趨勢：1、從局域網(wǎng)、城域網(wǎng)到廣域網(wǎng);2、各種測控網(wǎng)絡(luò)互連成為趨勢。指出物理層面臨威脅，來自嵌入式智能裝置的功能缺陷，沒有設(shè)備認(rèn)證防范能力，來自應(yīng)用層軟件及操作系統(tǒng)的漏洞、惡意代碼等、POE面臨的安全威脅，鏈路層的安全威脅(MAC泛洪變異)等等。介紹了工業(yè)以太網(wǎng)面對威脅解決策略，如ACL-MAC地址白名單認(rèn)證;ACL-IP地址白名單認(rèn)證;基于白名單的組插數(shù)據(jù)傳輸做到自學(xué)習(xí)和凍結(jié)組播地址表;查地認(rèn)證的方式，做到加密認(rèn)證確認(rèn)報(bào)文;系統(tǒng)服務(wù)器認(rèn)證模式(IEEE802.1x RADIUS);被IEEE802.1AE阻止的ShadowHosts模式;Linksec模型;受IEEE802.1AE保護(hù)的幀格式等。還對工業(yè)網(wǎng)絡(luò)設(shè)備選擇提出了建議：選擇具有管理功能的工業(yè)以太網(wǎng)交換機(jī);選擇具有ACL訪問控制列表的功能;選擇具有組播控制的功能的交換機(jī);選擇具有本地認(rèn)證功能;選擇具有遠(yuǎn)程服務(wù)認(rèn)證功能等。

　　三、一個(gè)切實(shí)可行的工業(yè)網(wǎng)絡(luò)安全產(chǎn)品

　　在會上，青島多芬諾(TOFINO)是針對工業(yè)控制系統(tǒng)安全設(shè)計(jì)的防火墻，它是為了建立縱深防御的目標(biāo)應(yīng)運(yùn)而生動(dòng)安全產(chǎn)品。他解釋縱深防御策略時(shí)說，發(fā)現(xiàn)病毒，為時(shí)已晚即系統(tǒng)已遭受破壞了，只有防止病毒，蠕蟲等非法入侵，才是解決方法，也就是：即使在某一點(diǎn)發(fā)生網(wǎng)絡(luò)安全事故，也能保證工廠正常運(yùn)行;讓工廠操作人員能夠很迅速的找到問題，并進(jìn)行處理。TOFINO基于ANSI/ISA-99區(qū)域與管道防護(hù)，模型基礎(chǔ)上，做到每一個(gè)服務(wù)管道，防火墻只允許正確設(shè)備操作所必需的通信，即只允許特定的通信協(xié)議流通過，其它數(shù)據(jù)全部被過濾掉。

　　它采用區(qū)域隔離、通信管控、實(shí)時(shí)報(bào)警三個(gè)措施，TOF/NO解決方案包含的組件為多芬諾安全設(shè)備模塊TSA、組態(tài)軟件一中央管理平臺CMP、可裝載安全軟播件LSM。TSA為硬件模塊、設(shè)計(jì)使用壽命27年，外形類似I/0模塊和隔離器，環(huán)境溫度可0~60℃(TSA-220)或-40~70℃(TSA-100)，雙電源供電可為2-48V或9-32VDC。繼電器開關(guān)輸出，有銅和/或光纖網(wǎng)絡(luò)接口，有MUSIC2008-1或2009-1安全認(rèn)證。

　　CMP功能如下：組態(tài)TSA硬件，管理網(wǎng)絡(luò)配置，實(shí)時(shí)監(jiān)控報(bào)警，網(wǎng)絡(luò)通訊分析，LSM提供如下安全服務(wù)：防火墻，OPC通訊安全插件，Modbus通證安全播件，安全資產(chǎn)管理，事件報(bào)警記錄，VPN(虛擬個(gè)人網(wǎng)絡(luò))。LSM團(tuán)體操播件是下載到TSA里，它提供可定制的安全功能，滿足控制系統(tǒng)的要求，可滿足多種系統(tǒng)和現(xiàn)場總線通訊協(xié)議與模型(50多種)和安全防護(hù)要求，還可完成ESD/SIS安全系統(tǒng)的防護(hù)。

　　TOF/NO工業(yè)網(wǎng)絡(luò)安全解決方案實(shí)施步驟為：第一步，確定在何處放置TOF1NO安全設(shè)備來制造區(qū)級安全，相關(guān)模塊是“即播一即保護(hù)”，無需停機(jī)安全;第二步;確定需要那些可加載安全功能軟播件(LSMS)，以確定每個(gè)區(qū)域安全不同的要求;第三步，選擇一個(gè)服務(wù)器或工作站安全TOF/NO中央管理平臺。

　　具體應(yīng)用事例很多，如中石化齊魯石化公司，事先分析出原系統(tǒng)存在5個(gè)漏洞和物質(zhì)缺陷，如網(wǎng)絡(luò)連接采用控制系統(tǒng)經(jīng)過接口機(jī)直接連至辦公網(wǎng)的方式，中間無任何有效的隔離措施;又如控制系統(tǒng)現(xiàn)大部分都采用Windows平臺，不能安裝殺素養(yǎng)軟件及進(jìn)行系統(tǒng)補(bǔ)與更新;又如網(wǎng)絡(luò)中一旦出現(xiàn)問題，無法進(jìn)行原因事故和分析;越來越多的先進(jìn)控制應(yīng)用于現(xiàn)場控制，由于發(fā)進(jìn)控制一般由廠家提供現(xiàn)場服務(wù)，并且往常使用U盤等移動(dòng)介質(zhì)，APC服務(wù)器感染言不由衷素養(yǎng)的概率較大，APC服務(wù)器和控制系統(tǒng)之間無有效的隔離措施;也控制系統(tǒng)與辦公網(wǎng)絡(luò)間接口機(jī)采用雙網(wǎng)卡，此結(jié)構(gòu)無法保證控制系統(tǒng)的真正安全。

　　經(jīng)過改選后，網(wǎng)絡(luò)結(jié)構(gòu)的優(yōu)點(diǎn)如下：(1)將傳統(tǒng)網(wǎng)絡(luò)安全技術(shù)(VLAN劃分)與TOFINO工業(yè)網(wǎng)絡(luò)防火墻相結(jié)合，達(dá)到橫向(不同裝置系統(tǒng)之間和縱向信息網(wǎng)與控制網(wǎng)之間)全方位網(wǎng)絡(luò)安全隔離的效果。(2)利用TOFINO的實(shí)時(shí)報(bào)警和歷史記錄功能對網(wǎng)絡(luò)進(jìn)行實(shí)時(shí)監(jiān)控和歷史查詢。(3)OPC服務(wù)器或工程師站直接通過防火墻后連至數(shù)采網(wǎng)與接口機(jī)劃為同一個(gè)VLAN，提高網(wǎng)絡(luò)安全防護(hù)等級。(4)將APC先控站進(jìn)行隔離。(5)CMP能用簡單操作完成防火墻的配置，減少了網(wǎng)管人員的學(xué)習(xí)時(shí)間及配置時(shí)間和后期，網(wǎng)絡(luò)維護(hù)的工作量。其它還有國內(nèi)20多個(gè)工程實(shí)例，國外20多個(gè)工程實(shí)例。

   投稿郵箱：chuanbeiol@163.com   詳情請?jiān)L問川北在線：http://dstuf.com/