1 工業系統網絡安全現狀

　　工業控制系統的原始設計是以高可靠性， 高實時性，高控制性為目標進行設計安裝和運行的。其中影響系統安全性最大隱患莫過于內部和外部干擾。隨著計算網絡技術在工業控制系統普及和發展，工業控制系統包括（DCS、PLC、TCS、SCADA）系統網絡已經普及到工業產業的所有領域，其工控系統網絡及其所承載的數據流、人機交互UI等空間載體所構成工控系統所造成的安全威脅呈現隱蔽性高、危害性大乃至會影響到國家安全的特點。

　　目前，國內外的工控制系統制造企業，對其工控系統安全性設計、制造、運行和維護，缺乏統一的設計標準和相關管理規定；同時，由于其工程實施和系統使用偏重于控制系統功能的實現，對工控安全意識的淡薄和輕視，給國內已經部署的工控系統造成了很大的安全隱患。

　　主要表現在：

　　1、缺乏網絡技術常識、設計、施工和使用中只注重系統功能的實現，未考慮其安全的需要和整體規劃。

　　2、缺乏工控安全意識，研發、設計、施工、運行和維護中，嚴重缺乏對安全的控制和執行基本的安全管理規定。

　　3、工控安全的體系建設處于摸索和成長階段，其相關標準和管理規定未盡完善。

　　這就要求我們不斷的探索工控安全領域的未知，汲取經驗和教訓，在探索中求得共識，在發展中取得進步。

　　2 工控安全研究的內容和背景

　　2.1 背景及意義

　　工控安全，從世界范圍看， 作為信息產業發展的領導者，美國很早就十分重視工控安全。2009年頒布《保護工業控制系統戰略》，涵蓋能源、電力、交通等14個行業工控系統的安全。而美國國家標準與技術研究院、能源局則分別發布了《工業控制系統安全指南》（SP800-82 2013年推出最新修訂版本）[NIST]、《改進SCADA網絡安全的21項措施》等相關的工控安全建設標準指南或最佳實踐文檔。同時其國內的傳統信息安全廠商賽門鐵克、MCAFEE、思科以及傳統工控廠商羅克韋爾、通用電氣以及一些新興的專業安全廠商在工控的安全防護及產品服務提供方面也都展開了深入研究、實踐及產業化工作，并總體上處于領先的地位。

　　在歐洲則以德國西門子、法國施耐德電氣為代表的工業控制系統提供商為主；而工控系統的信息化、智能化以及所帶來安全問題的解決離不開工控廠商的支持，自然西門子等企業的市場和技術優勢也將奠定未來很長一段時間內在工控安全領域的領先地位。

　　在專業的工控安全廠商方面，加拿大Tofino（多芬諾）公司曾以其業內著名的工控系統防火墻成為業內領先的工控系統信息安全的專業廠商，其產品在石化等多個行業應用廣泛。科諾康公司（Codenomicon）則以其用于漏洞發現的fuzzing 測試工具而在工控系統安全領域擁有重要的地位。

　　在國內：自從工信部451號文發布之后，國內各行各業都對工控安全的認識提高到一個新的高度。電力、石化、交通、制造、煙草等多個行業，陸續制定了相應的指導性文件，來指導相應行業的安全檢查與整改活動。國家標準相關的組織TC260、TC124等標準組也已經啟動了相應標準的研究制定工作，最新的網絡安全等級保護2.0對工控安全定級部分增加了明文規定。

　　在工控安全領域，一批致力于工控網絡安全系統設備國內提供商，在設備研發上做出了巨大的努力。國內的相關組織和行業機構也正在為工控安全制定相應的指導性文件。

　　在國內相關行業中，供電及發電行業由于其行業的特點和重要性，在工控安全領域起步早，且已經形成初步體系，但具體應用案例尚未形成群體優勢。在石油、化工、鋼鐵、煤礦、公共事業中的鐵路、地鐵、供水、供氣、供熱等涉及工控系統的行業，雖然起步晚，但其應用規模和應用范圍相比電力行業具有明顯的優勢。

　　上述這些行業中，工控安全的重要性是不言而喻的。其行業的重要性、網絡互聯的規模、信息共享的需要又造成了行業間工控系統信息安全應用的不平衡。

　　北京能源集團有限責任公司，為了穩妥的推進工控的安全和建設，選取必要的現實場景，對國內的工控安全設備進行必要的實地驗證。依據集團京能集團辦字[2106]311號文件《關于合作建設工控系統信息安全實驗基地的批復》和中國信息協會信息安全專業委員會《關于開展CIES工控系統信息安全實驗基地方案測試工作的通知》；2016年4月9日中國信息協會信息安全專業委員會和北京華源熱力管網有限公司共同成立的“CIES工控系統信息安全實驗基地”在京舉行了揭牌儀式。

　　2017年夏季，共有四個國內廠家的工控安全產品，在該實驗基地分別進行了測試和驗證，使大家對工控安全設備及其軟件系統功能等方面，有了一個比較深入的認識。無論是設備制造商和參加測試單位，對工控安全系統的認識得到了顯著的提高。在當前的背景下，具有現實的意義

　　2.2 集中控制系統安全所面臨的問題

　　不言而喻，工控集中控制系統相比于非集中控制系統的優勢是非常明顯的，隨著國內的DCS、SCADA等系統的大規模工業化應用，人們發現，在一些特定的領域和條件下，將分散的DCS、SCADA等系統通過網絡互聯，并將其控制權集中到一個控制中心，是一個非常有意義的選擇；其最大的特點是可以集中運行人員的技術優勢，多數據源的集合和統計分析實現對工控系統優化控制和調度；提高系統運行安全性和經濟性。特別是在國家電網大力推廣‘泛在物聯網建設’的大背景下，不可避免的向工控安全提出了挑戰；從目前的實際情況分析，有如下幾個方面問題：

　　1、工控的安全具有失控風險

　　我們大家知道，工控安全在現今條件下，其安全維護人員面臨嚴重的缺位；人們只是關心系統正常運行和維護，對于其隱蔽性很強的安全威脅，對人員的技術素質要求高。企業很難為其提供必要的崗位和合理的薪資。

　　2、工控安全設備和系統尚在探索和不斷完善階段

　　由于，工控系統的特殊性，一般認為，現今互聯網普及的安全設備無法完全復制到工控；其安全分區理念所形成的那堵墻，如同一個高懸的大壩將整個工控與互聯進行了‘物理隔離’。使得一大批安全產品研發企業前仆后繼去參加這“最后的盛宴”。走了很多的彎路，至今也無法形成一群體共識。

　　3、工控相關管理規定、制度和標準的缺失

　　工控安全最缺乏的是沒有一個具有針對性的管理制度或規定，盡管行業管理部門相繼推出一些指導性文件，但其可執行度差，是不爭的事實；其相關指導性意見，涵蓋面大，有些具體措施又難于執行，企業因此付出的成本又很高，造成工控安全工作，至今沒有形成規模性的部署，沒有為大家普遍接受。

　　3 工業集中控制系統安全的實踐

　　工業集中控制系統不同于一般的相對獨立的DCS、SCADA系統，其最大的特點是網絡節點多，網絡層級多；冗余性要求高。

　　一般的DCS系統，其網絡架構相對簡單，一個網絡IP段就可完全滿足其實際的需要。其網絡核心不外乎兩個冗余核心交換機組成的上位監控管理層和下位數據傳輸控制層；也有一些系統采用了環網或雙環網技術組成了DCS控制系統網絡架構；如圖：

　　Scada系統的網絡架構，一般遵循比較普遍的星形網絡架構體系；通過雙網冗余滿足對上位監控管理層安全需求；其它下位數據采集和控制層（PLC或RTU）自成網絡體系和控制體系，通過網絡專線或數據加密認證傳輸實現組網。如圖：

　　從圖中我們可以看到，DCS系統網絡與SCADA系統比較相對簡單，但冗余性高；DCS系統網絡節點少，SCADA系統網路節點多；DCS系統一般無需路由器或防火墻配置；SCADA系統一般需要路由器和防火墻配置；嚴格意義講SCADA系統就是一種集中控制與數據采集系統；

　　如何將多個DCS系統或是多個SCADA系統構架成一個集中控制系統，其安全如何保障，是在我們面前的課題：

　　3.1 構建DCS系統集控網絡所必備的條件

　　多個DCS系統構建一個集中控制網絡架構體系，必須具備如下幾個條件；

　　1、各個DCS系統必須進行網絡IP地址的統一規劃，要求在DCS系統設計時，設計單位或設備提供商和業主單位就必須有一個統一的要求；否則，事后調整時，是一件耗時、耗人、耗資源得不償失的事。

　　2、在DCS系統與集中控制系統間網絡通訊線路，為了保證其有效冗余，要求其采用專有線路，并采用不同的路徑。集中控制中心網絡的冗余等級與dcs系統保持一致。

　　3、必須在集中控制系統網絡與各DCS系統間增加網絡路由設備，以實現其網絡間相互訪問，不產地址沖突，便于集控系統的統一部署。

　　3.2 工業集中控制系統所必須的安全設備

　　工業集中控制系統網絡的特點，要求我們必須在集中控制網絡與各DCS系統間增加防火墻（工業防火墻），其主要目的是為了在保證集中控制網絡與各DCS系統間正常通訊的前提下，通過其路由和策略的配置，實現各DCS網絡系統間，不因各自的網絡故障和安全風險波及到集控或其它DCS系統網絡。對于各獨立的DCS系統網絡和集控網絡，目前的做法是，通過各網絡交換機的鏡像功能，部署探針設備，將其網絡數據進行采集和分析；實現對其各個DCS系統網絡的監視。某些情況下，當控制數據需要上傳到管理的時候，按照國家現有的要求，一般設置隔離網閘，實現對工控與管理的單向隔離。

　　3.3 工業集中控制系統所必須的安全策略

　　3.3.1 工控防火墻的安全策略：

　　作為工控網絡邊界安全設備，其安全策略規劃和配置合理是確保邊界安全的關鍵，一般工業級防火墻應具有如下功能：

　　1、防火墻兼具路由功能，客觀上可以實現了對ip地址訪問進行路由限制；一般的規則是只允許集中控制網絡設備與各DCS系統可控的設備實現路由訪問，但各DCS系統間，不能通過集中控制網絡進行相互訪問。

　　2、工業防火墻在集中控制網絡與Dcs系統網絡通訊時，具有典型的病毒傳輸攔截功能和網絡攻擊行為過濾功能；

　　3、防火墻在集中控制網絡與Dcs系統網絡通訊時進行通訊協議和端口限制；一般情況下，可采用白名單或黑名單進行控制。

　　4、防火墻在集中控制網絡與Dcs系統網絡通訊時對IP源、目地址進行限制；可采用白名單或黑名單進行控制。

　　3.3.2 網絡探針的安全策略：

　　與防火墻的主動防御不同，網絡探針完成的被動防御；通過網絡鏡像數據的解析分析，在病毒層，通訊協議和端口，以及源、目的IP地址，通過白名單或黑名單實現對過網數據的實時分析；當發現問題時，以報警或報告的方式通知維護人員。

　　3.3.3 單向隔離網閘的安全策略：

　　單向隔離網閘的安全策略比較簡單，只是包括其網閘源側IP源、目的及端口號；網閘目的側ip源、目地及端口號；

　　3.3.4 工控安全集中管理平臺：

　　考慮到工業集中控制系統安全設備多，部署地域不集中。部署安全集中管控設備用于實現對整個集中控制網絡安全空間的安全設備和管理是十分必要的。目前，工業態勢感知安全產品和橫空出世，也契合工控領域安全管理的實際需要；包括工控集控系統安全設備的管理功能；工業安全集中管理平臺應可以遠程管理部署其網絡中的探針設備和防火墻，統一登陸管理各設備的參設配置和系統日志查詢功能；發現資產和可利用率分析功能；

　　1、各探針和防火墻的非正常數據處理和展示功能；態勢分析和統計報表功能；

　　2、集控安全設備自身的管理功能，網絡拓撲和設備運行狀態分析功能；

　　3.3.5 單向隔離網閘

　　單向隔離網閘是工控與管理的邊界防護設備，其具有數據單向傳輸1bit回位的特征；一般情況下，采用其標準配置即可。

　　3.4 實例分析

　　下圖：為某企業集中監控系統拓撲圖。

　　從圖中我們可以看出，該集中監控系統分為兩部分：一是基于三套DCS系統的集中控制部分；二是基于98套PLC系統的SCADA系統集中監控部分；現分別說明；

　　3.4.1 DCS集中控制系統架構：

　　該集中控制網絡系統由兩臺核心交換機組成冗余雙網，配備6臺操作員站和一臺工程師站實現對下屬一套本地、兩套異地的DCS系統的集中控制；每套DCS系統由兩臺上位核心交換機和下位數臺數據采集控制設備組成冗余雙網；每套DCS系統配備了操作員站和工程師站；

　　SCADA系統作為單網系統，為了保證實現與DCS系統實現數據交互通過防火墻與集中控制系統網絡實現互聯；三套DCS系統分通過本地雙絞線、聯通和移動SDH光纖、自建遠程雙環網分別通過兩臺工業防火墻實現與集中控制網路的冗余連接。

　　每套DCS系統的兩臺核心交換機上部署了一套網絡鏡像探針設備；其數據傳輸回路借用了B網進行傳輸。集中控制系統探針由一套網絡鏡像探針設備與SCADA核心網絡設備共用。

　　3.4.2 SCADA集中控制系統架構

　　SCADA集中控制系統由上位核心交換機組成單網，其下位由不同區域98套PLC系統組成，每套PLC配備一臺IPsecVPN防火墻，通過聯通4M匯聚網絡與SCADA IPsecVPN防火墻實現隧道連接；另外五套DCS系統通過單條網絡光纖專線與SCADA IPsecVPN防火墻實現連接實現DCS數據向SCADA系統傳送；將另外一套數據干線數據采集系統（SCADA）的數據通過單環網實現與SCADA IPsecVPN防火墻實現連接，實現SCADA系統間的數據傳送。；

　　在SCADA網絡上，通過接口服務器與一臺單向隔離網閘實現向上級單位MES進行單向數據傳送。

　　3.4.3 工控安全集中管理平臺架構

　　實現將兩臺工控防火墻和4臺網絡探針設備的數據，通過借用DCS系統B網和專用網絡，將安全設備和數據匯聚到一個虛擬專網，在專網上部署一套工業安全集中管理平臺；用于對安全設備的管理和數據趨勢分析。

　　4 結論

　　工控安全是關系國計民生的重大戰略問題，在當今形勢下，如何對工控行防護，防止來自內部、外部的安全威脅和惡意攻擊，是工控安全領域面臨的重大挑戰。本文在CIES工控實驗基地所取得成果的基礎上，以三套DCS系統進行集中控制位核心，將SCADA系統與其它系統混合構建一套數據監控系統。應用計算機及網絡技術手段實現工控安全系統的部署。

　　工控的安全保障，任重而道遠；工控安全的實踐使我們對其整體建設思路和后續發展方向有了一個清晰的認識；為今后類似系統的建設提供了依據。對于進一步增強工控安全，建立健全的安全防護體系，具有重大的推動作用。