前言：想要寫出一篇引人入勝的文章？我們特意為您整理了智能制造工業控制系統網絡安全防護范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：隨著兩化融合的不斷深入，傳統網絡安全威脅加速向工業控制系統滲透，智能制造領域工業控制系統“信息孤島”逐步被打破，信息安全問題日益突出。面對頻發的工業控制系統網絡安全事件，亟須研究、制定的適合業務特點的網絡安全防護措施，確保工業控制系統安全、穩定運行。本文結合智能制造領域工業控制系統網絡安全現狀，從威脅和脆弱性兩個方面就工業控制系統面臨的風險進行分析，同時結合智能制造領域工業控制系統網絡特點和國家相關網絡安全法律法規要求，提出一種基于縱深防御理念的工業控制系統安全防護措施，通過用戶生產現場功能性驗證測試，該措施能夠幫助用戶有效識別并解決工業控制系統中存在的主要安全風險，對同類型工業控制系統安全防護建設具有借鑒意義。

關鍵詞：智能制造；工業控制系統；網絡安全；縱深防御

近年來，智能制造生產網和企業網之間數據交互越來越頻繁，傳統的人工刻錄、數據拷貝的交換方式嚴重制約著智能制造企業生產效率的提升，生產網與企業網互聯互通需求迫切。但是，作為生產網重要組成部分的工業控制系統（以下簡稱“工控系統”），其安全防護嚴重不足，互聯互通進一步增大系統暴露面，從而嚴重威脅工控系統安全穩定運行。同時，新一代信息技術的出現和大量應用，工控系統日趨數字化、網絡化、智能化，工控生產網絡邊界日益模糊，網絡安全問題凸顯。

1工控系統網絡安全現狀

工控系統是智能制造企業關鍵基礎設施的“神經中樞”，工控系統的安全穩定運行是企業生產業務正常開展的前提。近年來，隨著工業互聯的深入開展，針對工控系統的網絡攻擊呈逐年增加趨勢，潛在攻擊源不乏黑客組織、利益集團甚至是國家層面發起的網絡戰，攻擊手段多樣，病毒、木馬等傳統網絡威脅持續向工控系統蔓延，勒索攻擊等新型攻擊模式不斷涌現，安全事件頻發，嚴重威脅工控系統安全穩定運行。通過對行業內工控系統現場調研和問卷訪談，工控系統網絡安全防護方面普遍存在如下四方面問題：一是工控系統關鍵設備以國外品牌為主，核心技術受制于人。我國智能制造生產企業出于穩定性、精確度考慮，其生產過程使用的工控系統組態軟件、控制器、檢測裝置等核心軟硬件大部分依賴國外產品，核心技術大多掌握在歐美及日本等發達國家廠商手中，存在“卡脖子”、后門利用等安全隱患。二是生產企業對工控系統安全問題重視不夠，安全意識薄弱。生產企業普遍存在重應用、輕安全的情況，對工控系統網絡安全缺乏足夠認識，信息安全管理制度不夠完善，缺少工控系統網絡安全專職人員，存在工控系統信息安全管理缺位、人員職責不明、網絡安全培訓教育不到位等安全問題，一旦發生網絡安全事件，無法及時采取有效應對措施。三是工控系統缺乏有效安全防護措施，安全防護長效機制難落實。工控系統在設計、研發、集成階段重點關注系統的可用性，未充分考慮安全問題，系統普遍存在弱口令、通信報文明文傳輸等安全隱患。現有存量工控系統，出于兼容性考慮，輕易不敢打補丁或安裝防病毒軟件，大部分工控系統處于“裸奔”狀態。同時，工控系統網絡缺少監測手段，無法為安全防護、應急響應、系統恢復等環節提供有效輸入，很大程度上制約安全防護能力的提升。四是暴露在互聯網上的工控設備與日俱增，安全隱患凸顯。全球暴露在互聯網上的工控系統及設備數量持續上升，工業信息安全風險點不斷增加。國家工信安全中心監測發現，2017年以來全球多個國家的IP地址對我國工控設備及系統發起過網絡探測與攻擊，對我國工業信息安全造成極大威脅[1]。針對頻發的工控安全事件，黨中央、國務院高度重視，分別在法律法規、政策、工作要求等方面積極部署并出臺了一系列安全政策。2016年10月17日工信部《工業控制系統信息安全防護指南》，要求工控系統開展信息安全防護工作[2]；2017年網信辦了《關鍵信息基礎設施安全保護條例（征求意見稿）》，要求開展關鍵信息基礎設施安全保護工作，工控系統作為生產企業智能制造的重要組成部分，需從技術手段上加強安全防護；2017年6月1日，《網絡安全法》正式實施，提出我國實行網絡安全等級保護制度，進一步明確網絡安全責任制；2019年全國信息安全標準化技術委員會《信息安全技術網絡安全等級保護基本要求》（GB/T22239-2019）正式實施，提出對工控系統等5個擴展要求實行網絡安全等級保護工作[3]。

2工控系統網絡安全風險分析

工控系統網絡安全風險是指由于工控系統自身存在脆弱性，潛在攻擊者通過適當的攻擊路徑導致工控系統發生安全事件的可能性以及由此產生的后果和影響。伴隨兩化融合的實施，智能制造行業工控系統發生信息安全事件的可能性增加，一旦生產網絡被攻陷，輕則影響工控系統穩定運行，重則會對國家利益、國計民生造成嚴重影響。下面從工控系統面對的威脅和自身脆弱性兩個方面對工控系統網絡安全風險進行分析。

2.1工控系統網絡安全威脅

工控系統的安全威脅來自多個方面，主要包括外部非法目的的攻擊，如恐怖組織、工業間諜、惡意入侵者等；以及來自工業控制系統內部正常運行管理過程中出現的威脅，如系統復雜性、內部人員失誤和事故等。內部人員由于對目標系統具有更為深刻的了解和更多的接觸機會，往往能夠不受限制的訪問系統進行有意或無意的惡意操作，使系統及數據遭到破壞或泄露[3]。

2.2工控系統脆弱性

（1）設備脆弱性工控系統控制器大部分采用非自主可控的信息技術和產品進行建設和運行，不排除信息技術及產品存在后門可能，存在生產信息泄露風險。另外，大部分控制器未關閉SSH、Telnet等不需要的通信協議，使得潛在攻擊者能夠利用控制器開放端口達到非法訪問的目的。（2）通信脆弱性工控系統網絡結構在設計之初僅考慮系統可用性，未進行分區分層設計，存在“一點突破，全網皆失”的風險；另外，工控系統設計之初僅考慮可用性，大部分通信協議采用明文傳輸，缺少必要的認證、授權、加密等安全機制，存在非法劫持、篡改的風險[4]。（3）終端脆弱性工控系統上位機大多采用windows操作系統且對穩定性要求非常高，自運行以來基本未進行過系統更新及補丁升級操作，存在大量系統漏洞，一旦被違規利用后果不堪設想；加上未對U盤等移動存儲介質管控，很容易發生通過U盤擺渡數據造成工控終端感染病毒并肆意傳播的安全事件。

3工控系統安全防護措施研究

針對工控系統安全防護，沒有通用方案能夠確保工控系統免于所有針對性的網絡攻擊，所以在工控安全防護措施研究上應結合工控系統實際特點有針對性加強安全防護建設，通過采用多層安全控制的縱深防御理念，保證威脅來臨時對目標工控系統產生的影響和后果最小。針對智能制造領域工控系統縱深防御規劃，建議從安全規劃、物理環境、網絡、終端、應用、設備六個方面綜合考慮。縱深防御分層模型如圖1所示。（1）安全規劃建立有針對性的安全規劃是做好工控安全防護的第一步。在工控安全防護建設過程中應事先定義安全防護策略及規范并嚴格執行，同時根據系統變更情況及時更新和調整。安全規劃包含安全組織機構設立、安全防護策略、安全意識宣貫、制定應急處置計劃等內容。（2）物理環境物理防護是工控系統安全穩定運行的第一道防線，生產企業應通過機房鑰匙、門禁卡、生物指紋等措施限制內部員工、第三方人員訪問控制室、重要控制設備、網絡區域的范圍。（3）網絡同物理安全限制對工控系統的物理區域和資產的授權訪問一樣，網絡安全限制對工控網絡邏輯區域的訪問。工控系統網絡安全防護的思路是應用防火墻規則，設置訪問控制列表以及實施入侵檢測將網絡劃分成不同安全區域。通過嚴格控制和監視穿越安全區域的流量，及時發現異常行為并有效處置。（4）終端終端安全防護主要包括補丁更新、惡意代碼防范、移除不再使用的應用程序或服務、通過技術或物理手段限制USB、網口等物理端口的使用，確保終端計算環境安全可靠。（5）應用應用安全防護的目的在于阻止用戶未授權的應用程序交互，通過應用程序認證、授權和審計三種安全機制實現。其中認證用于校驗應用程序用戶身份，授權基于用戶身份分配適當的權限，審計日志記錄用戶操作行為，便于事后追溯。另外，對于工控系統應用程序，需做好上線前檢測、脆弱性檢查及補丁驗證更新工作。（6）設備控制器設備安全涉及與工控系統可用性、完整性和機密性（AIC）三元組[5]有關的安全防護措施，包括補丁更新、設備加固、物理和邏輯訪問控制以及建立覆蓋設備采購、實施、維護、配置和變更管理、設備安全處置等環節的全生命周期管理程序。智能制造領域工控系統多以離散型控制系統為主，網絡架構參考普度模型，主要包括生產管理層、過程監控層、現場控制層和現場設備層。結合現場實際調研，參照縱深防御、“一個中心、三重防護”思想設計安全防護架構并對安全防護措施進行客戶現場有效性驗證，確保對現有控制系統運行環境影響最小，網絡安全防護措施如圖2所示。

3.1網絡分區

針對工控生產網絡，嚴格遵循網絡分層、安全分區原則，將工控網絡根據業務功能劃分不同安全域，區域邊界部署基于流量白名單的工業防火墻，通過對安全域間流量深度解析，實現細顆粒度的訪問控制。工業防火墻基于自學習方式生成通信流量白名單基線，有效阻止白名單外的攻擊、病毒、木馬等入侵行為。同時通過隔離各安全域，抑制域內病毒、木馬傳播擴散，將安全影響降低到最小范圍。結合實際客戶現場網絡環境，工業防火墻采用冗余配置，通過透明模式串行部署在過程監控層和生產管理層之間，有效杜絕因工業防火墻單點故障、軟件宕機等造成數據通信中斷、工控系統不可用等安全事件。

3.2安全監測

在各生產線接入交換機側旁路部署工控安全監測審計探針，用于過程監控層和現場控制層以及生產管理層和過程監控層之間網絡通信流量的監測和審計。監測與審計探針開啟基線自學習功能，通過對工控網絡通信協議深度解析，建立現場通信流量白名單基線，及時發現針對工控網絡的異常訪問、誤操作、第三方設備非法接入等違規行為。探針采用旁路部署模式，被動監聽網絡流量，不影響工控系統正常運行。在安全管理中心部署工控安全監測審計系統，實時收集監測審計探針異常告警及安全審計日志，洞察工控網絡異常通信行為。工控安全監測審計系統通過全流量的實時解析，自動繪制網絡通信關系拓撲，可視化展現工控系統網絡資產及通信行為，為工控系統安全事件事后審計、追溯分析提供有效數據支撐。

3.3終端防護

在工控網絡安全管理中心部署一套工控主機防護系統和防病毒服務器，在各工控操作終端部署客戶端，實現工控網絡終端安全加固。工控終端運行軟件環境相對穩定，通過部署基于進程白名單理念的終端安全防護系統阻止惡意代碼執行，杜絕類似“震網”病毒、“永恒之藍”等安全事件發生。通過安全策略的統一配置，有效消除工控系統終端帶著漏洞運行、補丁更新不及時、USB外設端口隨意使用等安全隱患。針對生產現場重要控制器設備，在控制器前側串聯部署安全防護終端裝置，基于業務通信需要，配置最小訪問控制授權，阻斷針對PLC控制器的非法程序上傳、下載、未授權訪問等行為。

3.4集中管理

在安全管理中心部署一套工控運維堡壘機系統，針對工控系統安全運維提供全過程的安全審計，基于事前運維資源和運維用戶授權規劃、事中運維過程實時在線監控、事后運維記錄安全審計確保工控系統自運維或委托第三方運維過程的安全、可控。在安全管理中心部署一套工控安全管理平臺，用于安全設備的統一管理。通過部署工控安全管理平臺，實現工控網絡安全設備統一策略管理及分發；同時針對工控網絡資產日志、異常告警等信息，傳統的逐點關注、人工排查的方式一方面不利于安全問題的及時發現，另一方面分散的日志或告警信息的關聯、分析對工控系統運維人員提出了更高的要求，需要從技術層面解決網絡安全事件的識別、分析及追溯，本方案工控安全管理平臺基于大數據處理技術及關聯分析、行為分析引擎，實現告警信息的關聯分析，實時感知廠級工控系統網絡安全態勢。

4結語

隨著新一代信息技術（IT）與運營技術（OT）的加速融合，工控系統愈加開放互聯，信息安全問題凸顯，網絡安全防護建設刻不容緩。為有效應對工控系統面臨的各種安全威脅，智能制造領域生產企業須提高網絡安全認識，從資產識別、監測感知、威脅防護、處置恢復等視角構建安全防護措施，持續提升工控系統安全防護能力。

參考文獻：

[1]劉冬，程曦，楊帥鋒，孫軍.加強我國工業信息安全的思考[J].信息安全與通信保密，2019（8）.

[2]王惠蒞，姚相振，任澤君.關鍵信息基礎設施安全防護體系研究[J].保密科學技術，2019（7）.

[3]孫凱，李琳.《信息安全技術工業控制系統安全管理基本要求》標準解讀[J].保密科學技術，2019，000（003）．

[4]屈婉瑩，魏為民，朱蘇榕.工業控制系統通信協議安全研究[C].2015年全國智能電網用戶端能源管理學術年會論文集,2015.

[5]彭勇，江常青，謝豐，等.工業控制系統信息安全研究進展[J].清華大學學報，2012，052（010）.

[6]王正才，許道云，王曉峰.基于自動機并操作的多目標AC-BM算法[J].計算機科學，2013（6）.

作者：韓正 單位：中核核信信息技術（北京）有限公司