導航：安全管理網>> 安全論文>> 綜合安全論文>>正文

工業控制系統安全狀況分析

文檔作者：谷俊濤文檔來源：黑龍江省電子信息產品監督檢驗院		點擊數：	更新時間： 2021年06月05日
下載地址：點擊這里	文件大小： 1.49 MB 共3頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：1.49 MB 共3頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：工業控制軟件功能安全的實現方法和評估

上一篇：如何做好隱患排查工作

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

機械工程師
凇ECHANlCAL ENGINEER
工業控制系統安全狀況分析
谷俊濤
(黑龍江省電子信息產品監督檢驗院，哈爾濱150090)
摘要：首先介紹了近年來工業控制系統在重計民生上舉足輕重的作用，在關鍵工控系統領域發生惡意攻擊事件將對國
家、社會和經濟的繁榮穩定產生巨大的負面影響。接著介紹工業控制系統基礎體系架構和安全現狀．通過對工控系統自身
威脅檢測和安全防護狀況的分析，最后根據工控系統目前面臨的特殊i青況，提出了針對工業控制系統加強威脅檢測和安全
防范措施的可行性建議。
關鍵詞：工控系統：網絡安全：威脅檢測
中圖分類號：TB 1 15 文獻標志碼：A 文章編號：1002—2333(2016)07—0166—03
0引言
隨著信息化和工業化的不斷深入交融，工業控制系
統在眾多行業的關鍵基礎設施中都得到了廣泛的應用，
在電力、能源、化工、生物工程、航天、金融以及智能機械
等行業都具有巨大的應用空間。而且這些工業控制系統
越來越多地采用標準、通用的通信協議及軟硬件系統，甚
至有些工控系統也能以某種方式連接到互聯網等公共網絡
中【-1。這使得工業控制系統也難免面臨木馬、病毒、黑客入
侵、拒絕服務等傳統的信息安全威脅，而且由于工業控制
系統多被應用在支撐國家安全、國計民生、經濟發展等核
心領域，當其發生安全事故后，將對社會和經濟的發展帶
來重大的損失。
1工業控制系統的安全狀況
J．J工控系統體系架構簡介
工業控制系統(ICS—Industrial Control System)是由
計算機設備與工業過程控制部件組成的自動控制系統。
國際自動化協會(ISA)與IEC／TC65／WG在整合后發布的
IEC 62443{工業過程測量、控制和自動化網絡與系統信
圖1工業控制系統基礎架構圖
息安全》中給出了工業控制系統的明確定義，即：“工業控
制系統是包括制造和加工廠站和設施、建筑環境控制系
統、地理位置上具有分散操作性質的公共事業設施(如電
力、天然氣)、石油生產以及管線等進行自動化或遠程控
制的系統。”
在一般情況下工業控制系統所包含的相關子系統以
滑輪的功能，結合實際情況和產品工況，用鏈條代替滑輪
來實現對膠管的支撐功能，見圖5。
2．5得出方案
把圖5的功能組件模型轉化到具體方案中，把膠管換成
耐磨的樹脂膠管，直接由膠管進行導向和定位，門架視野得
到明顯改善。從圖6中可以看出，滑輪4取消，膠管5和鏈條3疊
加布置，消除了膠管帶來的有害因素。這樣膠管節省出約40
圖7 四膠管和鏈條疊加使用實例
mm的橫向空間，增加
操作者的視野范圍。
3結語
裁剪方法在該
門架的應用，推進了
叉車門架在視野分析
上的進一步研究，通
過單膠管單鏈條的疊
加，進一步應用到雙
膠管雙鏈條的疊加，四膠管和鏈條的疊JJu(見圖7)。四膠
管和鏈條的疊加，省去了外掛卷管器，在增加叉車門架視
野的基礎上降低了叉車的制造成本。TRIZ倉J新理論作為
創新方法的一種，為我們進行質量攻關、產品改進、專利
申報、新產品研發提供了積極作用，不斷由淺入深地學習
創新方法的理論體系，可以開闊我們的思維模式，更加容
易地尋找到解決實際問題的創新方法，提高產品在市場
上的實際價值。
[參考文獻]
[1]陸植．叉車設計[M]．北京：機械工業出版社，1991．
[2]創新方法研究會．創新方法教程[M]．北京：高等教育出版社，
2012．
[3]機械設計手冊編委會．機械設計手冊[M]．北京：機械工業出版
社。2004． (編輯黃荻)
作者簡介：鐘繼萍(1963一)，女。高級工程師，從事機械設計工作。
收稿日期：2016—02一01
1 66 i 2016年第7期網址：www．jxgcs com電郵：hrbengineer@163 com
萬方數據
機械工程師
MECHANlCAL ENGINEER
及功能組件如圖1所示。
1)遙測遙控系統：數據采集與監控控制系統
(SCADA)，遠程測控單元(RTU)，邏輯控制或者程序控制
(PLC)，分布式過程控制系統(DCS)，網絡電子傳感，監視／
控制胗斷系統等。
2)相關信息系統，如圖形化界面、過程歷史庫、制造
執行系統(MEs)以及廠站信息管理系統。
工業控制系統以自身工業控制網絡為基礎，結合現
代計算機技術，實現了計算機系統向工業自動化控制領
域的延伸和發展；作為一系列組成元素(組件)的總稱，工
業控制系統這一稱呼涵蓋了可對工業流程安全性、可靠
性操作產生影響的一系列硬件和軟件。
J．2工業控制系統安全現狀
工控系統發展之初的幾十年，工業以太網與Intemet
通常是物理隔離的，因此傳統意義上，工業以太網并未被
納入到網絡安全和反病毒所考慮的領域。也沒有針對工
業以太網安全研制的IDS(入侵檢測系統)、VDS(網絡病
毒監控系統)等在線安全檢測系統。
工業以太網在技術上與商用以太網兼容，攻擊滲透
商用以太網的手段同樣可用于攻擊工業以太網，那么用
于商業以太網的IDS等在線安全檢測手段也同樣可用于
工業以太網，關鍵是基于工業以太網和相應攻擊滲透手
段的檢測規則，設備硬件上并沒有太大的變化。但工業控
制網絡并不只包含工業以太網，現場總線將數字化通信
從DCS中的工業以太網下移到了現場儀表[21。每一個現場
儀表，為了實現數字化通信，現場儀表必須是基于單片機
和嵌入式系統的智能儀表。每一個現場儀表上都運行著
嵌入式軟件。因此，數字化通信和軟件的下移，將導致攻
擊目標下移，傳統針對以太網的攻擊完全有可能發展成
為針對現場總線網絡和現場儀表的攻擊。
工控系統網絡應急響應小組(ICS—CERT)的通訊簡報
顯示，在2014年9月至2015年2月期間，共接到屬于2014財
務年度的安全事件報告245起。其中32％為能源行業，27％
為關鍵制造業，通信、供水、交通、醫療和政府設施各占
5％到6％的比例。約55％的攻擊涉及glJAPT攻擊，出于軍
事偵察、商業間諜或各種其他原因，分別由內部人員、黑
客活動組織和網絡罪犯發起，但由于缺乏標志性數據，許
多起事件的始作俑者仍然未知。
黑客對工業控制系統的攻擊主要包括ICS／SCADA聯
網設備的利用、未授權訪問、魚叉式釣魚攻擊工、網絡刺
探、對物理隔絕設備進行惡意軟件感染、水坑攻擊、SQL注
入、系統和設備零日漏洞的利用等。由于目標工業控制網
絡缺乏威脅監視和檢測能力，許多攻擊的方式和途徑未
知，更無線索可尋。但通過全網的流量監控，統計出網絡
掃描在訪問媒介中占到22％，魚叉式釣魚占到17％。ICS—
CERT通過分析發現，絕大部分攻擊事件都是第三方機構
或資產所有者和研究人員所提交。因此，可預判還有許多
入侵行為和安全事件并沒有上報。
工業控制系統存在的安全問題主要有以下幾個方面：
1)操作系統不能及時更新，易產生安全漏洞。由于當
前主流的微軟Windows系統具有成本較低，便于掌握使用
等優點，因此大部分的工業控制系統都選擇使用這一系統
平臺。但是使用該系統也存在一定的問題，為了維護系統
的穩定性和正常的網絡通信，就需要專門的管理人員對系
統進行升級維護，但目前的工控系統在安裝完成之后幾乎
沒有管理員再對其進行管理維護，這將不可避免地產生各
種各樣的安全漏洞，使得修復工作變得異常困難。
2)系統的硬件設施安全l生能較低。這主要體現在工控
系統的現場控制站以及控制設備上：現在多數的現場控制
站都使用兼容機結構，這比使用服務器以及工控機在成本
上便宜很多，但與之對應的可靠性就不能得到有效保證。
再者當前的控制專用設備在進行設計的時候忽略了安全
性的問題，一些控制器由于缺乏對進行通信的數據包格式
和大小方面的嚴格檢查，這就為攻擊者向控制器發送一些
畸形數據包提供了可乘之機，一旦攻擊者發送成功將會使
工控機停止工作，造成的損失是非常巨大的。
3)系統抵御計算機病毒入侵的能力較差。工業控制
系統的重要作用對系統的可靠性也提出了極高的要求，
一些防病毒的產品在安裝到系統中之前，必須要進行嚴
格的測試，還對這些防病毒產品的功能進行了限制，從而
防止因為資源消耗過多對工控系統的性能造成影響。然
而，現在許多工控系統的管理人員為了方便業務，并沒有
在系統中安裝必要的防病毒產品，或者在安裝之后沒有
開啟全病毒庫的掃描模式，造成的后果就是工控系統抵
御計算機病毒入侵的能力很差。
4)針對系統管理制度上的問題。工控系統安全來自
管理制度上的威脅主要是：現在工控系統的使用方缺乏
移動存儲介質在管理方面的規定，或者缺乏規定的強硬
制定力度，沒有系統的監管手段。尤其是在一些需要進行
物理隔離的工控系統中，計算機病毒的主要傳播媒介就
是移動存儲介質，這點可以從伊朗在2010年產生的“震
網”病毒和后來爆發的“火焰”病毒中得到顯著的體現。信
息技術的飛速發展以及企業自身管理需求的不斷提高，
對工業控制系統和企業的管理系統帶來了巨大影響。在
最初的時候，企業的工控系統和企業的管理系統是相互
隔離的。現在由于“兩化融合”，這兩個系統之間可以直接
通信，或者連接到互聯網。在這個背景下，工控系統受到
的威脅一方面來自企業的內部，另一方面來自于互聯網。
來自互聯網的威脅主要體現在：a．紛繁復雜的網絡結構。
在工業控制系統中使用的控制通信協議是多種多樣的，
但在進行網絡管理時都是采用單一的TCP3P協議，這就
使得網絡的管理人員在對網絡進行管理分配時有很大的
困難。b．不能實時升級更新的網絡防護設備。在許多的工
控系統中主流的通信協議是使用微軟開發的DCOM協
議，該協議在進行通信時端口號是不固定的，這就使得傳
統意義上的網絡防護設備像防火墻和網閘等不能保證系
統的安全性。c．網絡攻擊帶來的威脅。在“兩化融合”的推
動作用下，工業控制系統已經可以連接到互聯網中，這必
網址：WWW．jxgcs．com電郵：hrbengineer@163．corn 2016年第7期l 1 67
萬方數據
機械工程師
MECHANICAL ENGlNEER
將受到互聯網中的各種網絡攻擊[2-'fJ。
2工控系統的安全防護措施
從市場競爭情況來看，目前國內尚未出現市場化的
解決方案及產品，但可看出有兩方面的勢力可進入相關
領域市場。一方面從傳統的產業供應鏈環節解決安全問
題，傳統工控系統的供應鏈體系大多由上游的器件生產
商、系統供應商、工控機供應商等廠商組成，但是其缺乏
信息安全領域的研發基礎，對信息安全的積累不足。另一
方面通過傳統的信息安全廠商研發相關安全產品來解決
工控安全問題，但是傳統的信息安全廠商多以軟件研發
為其主要核心研發方向，對硬件的研發基礎不足，不能很
好地契合工控安全的場景。在短時間內仍無法提供穩定
高效的安全產品及解決方案。
圖2工控網絡安全中心部署結構圖
I匪圃匭匭囹圈I I圓圈豳I
l歸納統計J l 桀笙髓
f圈圜圓圈lf囤|f圓圈圜圜1
I 讎璜女睫八分布式控科JI基礎任務
根據目前工控系統面臨的情況和現有技術手段的局
限，可以優先研發建立基于通用協議數據傳輸的工業控
制安全監控預警平臺。通過將多協議工控總線旁路數據
采集探頭部署到各個監控節點，將采集到的信息傳輸到
工控總線數據融合的狀態監測和安全預警系統主機上，
就可以全面監控、預警工業控制網絡中的各節點安全態
勢。而在遇到較為復雜和嚴重的安全事件時，可以通過在
企業內部架設的工控網絡私有云平臺將事件進行綜合分
析，最終將多路信息匯集到安全管理中心，可以對整個工
控網絡進行全面布控與管理，并可進行安全事故的源頭
追溯及事件還原。當出現重大安全事件時，專業的信息安
全工程師團隊的遠程云分析直至具有高度機動性的現場
分析服務。
本方案主要前端安全設備產品包括：多協議工控總
線數據采集探頭、工控總線數據融合的狀態監測和安全
預警系統主機、工控網絡私有云平臺、安全管理中一E,SOC
等四部分。每個部分均可以根據用戶不同的實際安全需
求有針對性地部署在網絡前端。在一定范圍內擴容建設
更大規模的惡意代碼和信息安全分析中心，用以解決用
戶處的設備和人員分析能力無法解決的問題。而且本方
案屬于旁路接入，不會影響工控系統本身的實時、穩定等
基礎特性。
針對不同的用戶需求，分別提供不同的解決方案。
1)簡化方案。針對網絡規模適中，可以開放一定網絡
權限的用戶，可以根據其主要的安全需求部署單臺網絡
預警主機及探頭設備，通過后端提供的區域安全云支撐
體系完成惡意代碼的分析和處置工作。
2)集成方案。針對網絡規模較大，需要監控節點較多
的大型網絡用戶，可采用將分布式探針設備、預警主機、
工控網絡私有云平臺、安全事件管理中心設備共同部署
在用戶網絡中，以此實現對于復雜網絡的實時監控和本
地化的集中統計管理。同時，用戶的數據可以通過SOC反
饋給區域安全云，獲得更為深入的數據分析結果。
網絡拓撲和系統架構如圖2～圖3所示。
3結語
國家的相關部門高層已經注意到了工業控制系統在
安全性能上的不足以及遭受的攻擊威脅，近兩年網絡安
全已經提升到國家安全戰略的高度，并在政策、標準、技
術、方案等方面采取了積極的應對措施。襲擊工控網絡的
惡意代碼一旦沾染信息武器的性質，就會對重要工控企
業的正常運轉產生嚴重的干擾甚至造成不可挽回的損
失，核心工控系統遭受攻擊的背后通常帶有大國競爭與
博弈色彩。工業控制系統的總體安全狀況不容樂觀。另
外，我國的關鍵基礎設施領域，大量采用國外的工控系統
和設備，因而面臨更嚴重的安全威脅，提升工控系統威脅
檢測能力和安全防護質量已刻不容緩。
[參考文獻]
[1]劉威，李冬，孫波．工業控制系統安全分析[C]／／第27次全國計算
機安全學術交流會論文集，2012．
[2]余勇，林為民．工業控制SCADA系統的信息安全防護體系研究
[J]．信息網絡安全，2012(5)：74—77．
[3]郭斌，於志文，張大慶，等．機會物聯及其安全性探討[J]-信息
網絡安全，2012(5)：68—69．
[4]賈東耀，王仁煌．工業控制網絡結構的發展趨勢[J]工業儀表
與自動化裝置，2002(5)：12—14．
[5]李發根，鐘笛．數字簽名綜述[J]．信息網絡安全，201 1(12)：1-8．
[6]STOUFFER K。FALCO J．Guide to Industrial Control Systems
(Ics)security：sP一800—82r2[R]．NIST，201 1．
[7]任偉．密碼學與現代密碼學研究[J]信息網絡安全，2011(8)：
(編輯啟迪)
作者簡介：谷俊濤(1979一)，男，高級工程師，研究方向為網絡信息安全。
收稿日期：2016—03—12

網友評論 more

綜合安全論文最新內容

04-10