導航：安全管理網>> 安全論文>> 冶金安全論文>>正文

冶金行業工業控制信息安全系統淺析

文檔作者：許海峰靳靜叢力群文檔來源：上海寶信軟件股份有限公司		點擊數：	更新時間： 2021年06月06日
下載地址：點擊這里	文件大小： 2.47 MB 共5頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共5頁]

本文件共5頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：2.47 MB 共5頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：釔合金化在鎂合金中的應用

上一篇：鋁合金材料機械加工安全技術與事故防范措施

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

冶金行業工業控制信息安全系統淺析許海峰。等
冶金行業工業控制信息安全系統淺析
Analysis of Information Security
of Industrial Control Systems in Metallurgical Industry
鑄冶嗚斯掰絲力群
(上海寶信軟件股份有限公司，上海201900)
摘要：介紹了工業控制系統(ICS)信息安全發展現狀，分析了冶金行業工業控制系統所面臨的信息安全威脅以及用戶所切實關注
的安全問題。在現有安全技術和解決方案的基礎上，提出了適用于冶金行業的智能立體防御體系，并給出了智能立體防御體系的詳
細方案和試驗案例。最后介紹了寶信軟件工業控制系統信息安全實驗室的建設情況及未來技術研究方向。
關鍵詞：冶金行業工業控制系統(ICS) 工業化和信息化信息安全智能立體防御體系
中圖分類號：TH86；1耽7 文獻標志碼：A DOI：10．16086／j．cnki．issnl000—0380．201509001
Abstract：The developing status of information security of industrial control system(ICS)in metallurgical indus町is introduced。the
information security threats that the industrial control systems in metallurgical industry are facing currently and the security issues that users
concern about are analyzed．On the basis of existing security technologies and solutions，the intelligent three—dimensional defense system which
is suitable for metallurgical industry is proposed，and the detail strategy of this system and test P-．月ISeS ale presented．Finally the construction
situation and山e direction of technology l'eseal_ch in future of the ICS Information Security Laboratory of Baosight Software are introduced．
Keywords：Metallurgical industry Industrial control system Industrialization and informatization Information security
Intelligent three-dimensional defense system
0引言
隨著信息技術的發展，“工業4．0”、“互聯網+”
等先進思想逐漸被應用于工業控制系統(industrial
control systems，ICS)中，企業信息化建設必然要求更
大范圍的工控系統網絡互聯互通，工業控制系統將面
臨廣泛的外部安全威脅。2010年，“震網”病毒事件為
世人敲響了工業控制系統網絡安全的警鐘；在相繼發
現了Duqu病毒、火焰病毒等同樣針對工控系統的病
毒之后，2014年春，Havex病毒在能源行業大規模爆
發，呈現出強烈的行業橫向蔓延趨勢。近年來，世界范
圍內工業控制系統發生的信息安全事件數量呈幾何倍
數上升態勢，世界各國都給予了高度重視。
我國工信部于2011年10月下發了協[2011]451號
文“關于加強工業控制系統信息安全管理的通知”。
2013年，工信部信(2013]317號文工業化和信息化深度
融合專項行動計劃又提出“落實451號文，加強重點領
域工業控制系統的信息安全檢查、監管和測評，實施安
全風險和漏洞通報制度”。同時，我國的工業控制系統
收稿日期：2015—08—20。
第一作者許海峰(1974一)，男，1992年畢業于復旦大學計算杌科學
專業，獲學士學位，高級工程師；主要從事工業控制系統集成及工控網絡
安全方面的研究。
《自動化儀表》第36卷第9期2015年9月
網絡安全相關標準也正在開展標準編制工作。其中，國
家標準GB／T 30976—2014(5E業控制系統信息安全》H1
的第一、第二部分已于2014年12月發布。
針對工業控制系統對信息安全的需求，必須盡早
建立適用于行業的全流程安全防護體系，特別要重點
關注工控系統自身安全并研究各種新的防護技術。本
文主要針對冶金行業的特點，結合寶鋼工業控制系統
信息安全建設的經驗，分享在工業控制系統信息安全
方面的一些想法和方案。
1 工業控制系統信息安全現狀
1．1工業控制安全威脅
工業控制安全的威脅主要有以下四類。
①個人黑客：個人黑客是最普遍的一種網絡攻擊
制造者。他們的能力有高有低，動機有的是為了賺錢，
有的只是好奇，各種個人黑客情況千差萬別，對工控網
絡造成的威脅也各不相同。
②民間組織：隨著網絡技術的發展、個人黑客數量
的增多，民間組織逐漸成為實施工控網絡攻擊的主流
制造者。2014年新發現的Havex病毒，即由民間組織
“蜻蜒”(或“活力熊”)所制造。
③國家政府：國家政府是工控網絡攻擊的始作俑
1
萬方數據
冶金行業工業控制信息安全系統淺析許海峰，等
者。世界上第一個工控網絡病毒“震網”病毒，即是出于
政府之手。至今在許多工控網絡攻擊方法中，還能看到
震網病毒的影子。以政府為背景的黑客組織，開發出了
震網、毒區、火焰等病毒，是工業控制系統最大的威脅。
④員工誤操作：在工控安全事件中，員工誤操作雖
然不是蓄意破壞，也占了事故來源的很大一部分比例，
必須引起重視。員工誤操作的原因有：通用的操作系
統導致在調試、運維過程中帶入病毒、蠕蟲等；黑客組
織攻擊控制系統廠商的官方網站，將木馬文件嵌入供
客戶下載的軟件升級包，員工升級軟件導致病毒蔓延；
此外，還有騙取用戶密碼的釣魚式攻擊等多種方法，都
是員工易于上當受騙的攻擊手段。
1．2工業控制系統信息安全防護體系現狀
總的來說，國內外工控系統網絡安全防護理念演
變可以劃分為三個階段，如圖1所示。
——————營蘭i三一磊竺略鬲蘭晤鬲——i——一——．一羔竺，三廠鋈翌—竺塑●銎竺磊—竺磊—墨磊—i．／；聲：，型；=云-垡喜五塑茲磊羔堡葡翟蒙堡荔鬲墮薔函!器iii!蓑西—1i“一舀
物理隔離的變
種，網關、網閘、
單向隔離，隔離背
后是脆弱的，現代
高端持續性攻擊都
是針對隔離系統的
由傳統信息安全
廠商提出，大多數項
目演變為信息安全產
品的簡單堆砌，不能
完全適應工業網絡安
全的特點
適應工業控制網
絡的特點，通過基礎
硬件刨新來實現．低
延時，高可靠性，可
定制化，持續更新，
簡單化的實施和操作
等
圖1 工業控制系統信息安全發展的三個階段
Fig．1 Three developing phases of ICS information security
第一個階段是以隔離為手段的安全防護理念。在
我國“工業化”、“信息化”兩化融合的伊始，隔離就成
為了企業用戶、集成商、供應商應對工控系統網絡安全
的“庇護傘”。工業控制系統是一個“信息孤島”成為
了行業內根深蒂固的思想，直至2010年“震網”病毒
爆發，人們才開始意識到隔離在整個工控系統網絡安
全防護中只是一種手段，并非解決一切問題的方法。
第二個階段是縱深防御的安全防護體系。這個理
念從信息安全領域自然延伸，自有其在網絡安全防護
上的功效與成果，但是在實際的工控系統網絡安全防
護實施過程中，設備供應商、安全供應商并未解決實際
問題，為工廠用戶所建立的縱深防御體系往往會變成
一個簡單的信息安全產品的堆砌。工業控制網需要盡
可能少的故障點，而部署了大量的信息安全產品后，故
障點不減反增，反而會帶來一系列問題。
第三階段是工業控制系統內部生長的智能立體防
御體系。根據工業控制網絡自身特點，智能立體的防御
體系需要關注三點。第一，故障點盡可能要少。這是工
控系統與生俱來的需求，因此，安全設備也要符合工控
設備的特點。除了盡量避免多層部署外，安全設備在保
護工控系統正常生產運行的同時還要保證即使斷電、設
備更新也不會對系統產生任何影響。第二，防御體系
要有可持續性。適應工業控制網絡特點的持續性防御
體系可以通過基礎硬件的創新來實現，使安全防護滿
足低延時、高可靠、可定制化、可持續更新、操作與實施
的簡易化等特性。第三，主要解決存量系統問題。解
決與人民生產生活息息相關的、直面安全威脅的存量
在裝系統的問題是工業信息安全防護體系的關鍵。
2 冶金行業工業控制系統信息安全問題
冶金行業是自動化程度較高的行業。隨著信息化
和工業化的深度融合，也使得針對工業控制系統的病
毒和木馬攻擊呈現出攻擊來源復雜化、攻擊目的多樣
化以及攻擊過程持續化的特征。經過分析，冶金行業
可能面臨的安全風險如下。
①嚴重漏洞難以及時處理，系統安全風險巨大。
當前主流的冶金工業控制系統普遍存在安全漏洞，且
多為能夠造成遠程攻擊、越權執行的嚴重威脅類漏洞；
而且近兩年漏洞的數量呈快速增長的趨勢。工業控制
系統存在通信協議種類繁多、系統軟件難以及時升級、
設備使用周期長以及系統補丁兼容性差、發布周期長
等現實問題，造成工業控制系統的補丁管理困難，難以
及時處理威脅嚴重的漏洞。許多工控軟件健壯性較
差，智能運行在操作系統的某個特定版本上，一旦升
級，補丁升級很有可能導致原工控系統無法使用。
②工業控制系統協議缺乏足夠的安全性考慮，易
被攻擊者利用。專有的工業控制通信協議或規約在設
計時通常只強調通信的實時性和可用性，對安全性普
遍考慮不足，比如缺少足夠強度的認證、加密、授權等。
尤其是工業控制系統中的無線通信協議，更容易遭受
第三者的竊聽和欺騙性攻擊。為保證數據傳輸的實時
性，Modbus／TCP、OPC Classic、IEC 60870-5-104、DNP
3．0、IEC-61850．MMS、Profinet、EtllerNet／IP等工控協議
多采用明文傳輸，易于劫持和修改。
③缺乏違規操作、越權訪問行為審計能力。操作
管理人員的技術水平和安全意識差別較大，容易發生
越權訪問、違規操作，給生產系統埋下極大的安全隱
患。事實上，國內冶金行業ICS相對封閉的環境，也使
得來自系統內部人員在應用系統層面的誤操作、違規
操作或故意的破壞性操作成為工業控制系統所面臨的
主要安全風險。因此，對生產網絡的訪問行為、特定控
制協議內容和數據庫數據的真實性、完整性進行監控、
管理與審計是非常必要的。
2 PROCESS AUTOMATION INSTRUMENTATION VoL 36 No．9 September 2015
萬方數據
冶金行業工業控制信息安全系統淺析許海峰。等
④沒有足夠的安全政策、管理制度，人員安全意識
缺乏。冶金行業工業控制系統在設計時多考慮系統的
可用性，普遍對安全性問題的考慮不足，缺乏完善的工
業控制系統安全政策、管理制度以及對人員的安全意識
培養。在工控系統中常會接人個人PC、服務器、控制終
端、各類安全設備，其中某一個或者某一種設備都會構
成工控系統安全威脅。特別是在開發調試、定修等環節
中對人員及傳輸介質的管理薄弱，導致病毒、木馬等在
工業控制系統內的傳播，為系統運行埋下隱患。
綜上所述，冶金行業信息化、自動化系統雖然有
L0～L，的縱向劃分，也有各個工藝工序間的橫向分
隔，但是由于設備種類多樣性、傳輸協議特殊性、系統
復雜性、網絡復雜性、系統生命周期長、現場人員難以
管理等特點，工業控制系統信息安全問題比較嚴重。
這也需要整合各種安全技術，通過形成完善的安全防
御體系(防御手段的組織化、體系化)才可能有效杜絕
工業控制系統信息安全問題。
3智能立體防御體系
根據冶金行業特點，企業自動化、信息系統可由下
至上劃分為Lo—L5六個層次。2。1，如圖2所示。圖2
中，L3、L4屬于傳統IT信息安全的范疇，無論是規范政
策、技術手段、評估和驗收手段都比較成熟。隨著信息
技術的發展、云技術在企業中的應用，產生了云系統信
息安全的問題；智能設備的接人及物聯網技術大發展
引起了底層控制系統信息安全的問題。云信息安全和
控制系統信息安全都是安全領域全新的范疇。
}。馴lj．’： ”棗瑟；二茁i··≮、=? j鋤’j㈡
圖2 冶金行業自動化、信息化信息安全層次劃分示意圖
Fig．2 The information security hierarchy of automation
and informatization of metallurgical industry
《自動化儀表》第36卷第9期2015年9月
建設具有冶金行業特色的工業控制系統，需最大
限度滿足GB／T 30976—2014工業控制系統信息安全
的規范要求，同時結合IT信息安全建設的相關經驗。
由于工控網絡及其應用擴展范圍非常廣闊，隨著網絡
規模的擴大及應用的增加，網絡的脆弱性也會不斷增
加，一勞永逸地解決安全問題是不現實的。同時由于
信息安全風險的不斷變化，未來勢必將增加新的安全
防護措施，所以方案在設計時將充分考慮到安全設備
的可擴展性。
針對冶金行業工業控特點和組網需求，需要在系
統全生命周期中提供工業信息安全解決方案。方案主
要包含對工業控制系統信息安全風險評估和漏洞分
析、工業控制系統智能立體保護系統及工業控制系統
檢測審計平臺三個方面。
3．1 3-業控制系統信息安全風險評估和漏洞分析
根據不同工控系統的網絡結構、功能應用、通信協
議等，為用戶定制系統的漏洞風險檢測與評估方法。
工業控制網絡系統風險評估可以有效地幫助客戶識
別、控制、降低或消除影響工業控制系統的網絡安全風
險，同時具有模糊測試、未知協議分析測試、基于漏洞
庫的設備漏洞驗證等功能。此外，還包括了設備漏洞
挖掘工具箱、系統風險評估工具箱、插件開發環境和工
具包等一系列測試、檢測、分析、評估工具。主要技術
手段如下。
①設備漏洞檢測：設備檢測在工控系統的規劃、
設計階段就能夠開展，在系統上線之前就能及時發現
隱患與漏洞，對上線后的存量系統仍可以開展設備、系
統的安全檢測，以對其進行深層次的安全風險評估。
設備檢測必須覆蓋主要的工控協議，包括通用的
Modbus、OPC等協議以及主流廠商私有的通信協議，
同時需要支持多種總線、對未知協議的檢測與漏洞挖
掘，最大程度為工控系統、工控設備提供豐富的檢測
手段。
②網絡檢測：對工控系統進行工控網絡流量的在
線實時過濾與異常數據攔截。自動學習網絡行為、自
動生成防御策略，能適應自動化控制人員操作特點，進
行一鍵式安全部署，可在層邊界部署入侵檢測裝置，實
時監測入侵行為，事后安全審計。
風險評估和漏洞分析針對工控設備、工控網絡以
及流程系統都擁有完善而可靠的評估手段和標準，完
全符合國家相關標準，可以對客戶控制系統中存在的
風險漏洞進行挖掘與診斷，并同時提供客觀、有效的補
償性措施建議以及整體系統評分，幫助提高工控系統
的安全性以及穩定性。
3
萬方數據
冶金行業工業控制信息安全系統淺析許海峰，等
3．2工業控制系統智能立體保護系統
結合冶金行業特點，可以通過多層次的隔離防護
措施、全面的監控手段、立體的防御技術，實現對工業
控制系統的整體安全防護，從而保障整個工業控制系
統安全穩定運行。在管理層與數采監控層之問，主要
進行身份鑒別、訪問控制、入侵檢測、行為審計、病毒過
濾等安全防護；在數采監控層和PLC系統層之間，主
要基于工業控制通信協議進行訪問控制。以煉鋼廠工
業控制系統為例，進行了“智能立體防護，統一平臺管
理”的設計，其拓撲圖如圖3所示。
圖3 某煉鋼廠工業控制系統信息安全解決方案
Fig．3 The solutions of ICS information security in certain iron&amp;amp;steel works
第一層，采取傳統信息安全的手段，用于保護整個
企業防御Internet的安全威脅，或是與整個企業集團信
息化網絡相隔離。第二層，采用具有協議解析、端口控
制、分區隔離功能的防火墻，保證各區域網絡不受其他
區域影響。第三層，應用系統加固、終端防護等技術手
段，免除各類人機交互終端對工控系統的安全威脅。
第四層，分布式安全組件則用于保護諸如PLC或DCS
等關鍵設備；在選用底層控制設備時，也需考慮使用漏
洞較少、設備本身具有防護能力的控制設備。主要技
術手段如下。
①智能訪問控制：工業控制系統的主機、控制器設
備都應具備訪問控制功能。通過設定邊界防護策略，
如利用白名單方式的工業防火墻的深度包解析等技
術，實現訪問控制和網絡邊界的隔離防護。
②主機應用防護：需要對控制系統操作主機或數
據服務器進行計算環境的完整性保護，對進程進行安
全識別和管控，例如使用可信計算等技術實現進程白
名單管控；工業控制系統主機需進行移動存儲設備應
用管控，對必要的u盤等設備授權使用，未經授權的
設備將無法使用，并生成安全審計記錄。
③防惡意代碼：檢測和發現工業控制系統中的惡
意代碼，可使用特征掃描、防病毒軟件、可信計算技術
4 PROCESS AUTOMATION INSTRUMENTATION V01．36 No．9 September 2015
萬方數據
冶金行業工業控制信息安全系統淺析許海峰。等
進程管控(新技術)等方式實現。
3．3工業控制系統監測審計平臺
監測審計平臺是針對工業控制網絡設計的實時告
警系統，通過特定的安全策略快速識別出系統中存在
的非法操作、異常事件、外部攻擊并實時告警。平臺采
用旁路部署，在實現安全監視的同時，完全不影響現有
系統的生產運行，可廣泛應用于各類網絡應用環境。
監測審計終端在網絡中分布部署、統一管理，可實現數
據的共享和大數據的分析。主要技術手段如下。
①可視化監測：可以直觀清晰地展示系統拓撲結
構，對網絡數據、事件進行實時監視、實時告警，幫助用
戶掌握網絡運行狀況。對網絡中的活動進行行為審計
和內容審計生成完整記錄便于追溯。
③安全數據庫：通過長期監測分析，可根據設備、
行業進行安全數據庫的完善。工控網絡安全數據庫需
要覆蓋主流廠商設備、各行各業系統，并至少包括有設
備安全漏洞庫、網絡結構模型庫、設備風險統計庫等數
據庫，以大數據的理念全面、高效地支持工控網絡安全
的實時智能防護與威脅態勢感知。
接連接筆記本調試，病毒入侵很高。利用可信計算技
術、操作系統進程分析和管理技術，實現Windows桌面
系統從XP系列以上的終端防護。在主機應用防護
中，對于工控進程的兼容性一直是安全產品的開發難
點，基于特征庫的安全軟件一般會將工控軟件識別為
非法進程或安全威脅，甚至會誤殺或誤攔截一些重要
工控進程，這樣導致很多常規IrI’安全軟件無法在工控
系統中使用，如何精確識別工控進程的可信性和完整
性是工控主機應用防護產品的研究方向。和工控設備
廠家合作，對工控設備和軟件進行白名單完善，原廠認
證后的白名單更完善更具權威性，保證相關系統可靠
安全地運行。
③工業控制系統信息安全培訓。企業需為員工提
供專業工控系統安全培訓，宣傳貫徹工業信息安全理
念，提升相關人員專業技術技能。工業信息安全不僅
要通過技術來解決，更應從各級管理層到工廠工人灌
輸工業安全的意識。工業信息安全是一個持續執行的
流程，需要在整個工廠的生命周期內考慮，必須采用適
當的組織與系統的技術措施實現，并定期回顧和升級。
4 未來的研究方向5結束語
針對工業控制系統安全的重要性及相關研究相對
不足的現實情況，重點開展工業控制系統的協議安全
性分析、相關漏洞的統計分析以及智能立體防御體系、
終端防護方案的研究，期望據此能夠有效地降低工業
控制系統所面臨的安全威脅。由于工業控制系統數量
種類繁多，網絡結構各異，未來仍需在以下幾方面持續
研究。
①控制系統安全漏洞數據庫。搭建工業安全實驗
室平臺，構建自主可控、高可信度、大規模、開放式、增
長式實驗平臺，覆蓋主流控制系統，針對主流控制系統
的通信協議及產品。通過漏洞挖掘工具的掌握。不斷
積累各個控制產品漏洞，形成較完備的設備安全漏洞
數據庫。針對冶金行業不同工藝單元的典型控制系統
網絡拓撲結構，形成成熟的工控網絡安全實施規范，并
作為行業規范推廣。
②工控系統終端防護。工業控制系統終端通常安
全防護較薄弱，可插接可移動設備，現場工程師可能直
《自動化儀表》
堤迎賜鎬，
當下，冶金行業工控信息安全防護意識正逐漸提
高，照搬國外或其他行業工控系統安全標準在冶金行
業并不適用。憑借寶鋼現有基礎設施規模和先進性及
工業信息安全的相關項目在寶鋼的實驗性實施，寶鋼
應義不容辭地承擔引領冶金行業工控網絡安全的技術
創新和標準制定的任務。工控網絡安全防護理念的進
步也將不只停留在技術人員的研究中，而是切切實實
為行業應用所接受，最終突破傳統信息安全理念，真正
為冶金行業產業升級保駕護航。
參考文獻
[1]國家質量監督檢驗檢疫總局，國家標準化管理委員會．GB／T
30976—2014工業控制系統信息安全[S]．2014．
[2]NIST．Special Publication 800—82 Guide to industrial control
systems(ICS)盼clJrity[S]．2015．
[3]國家質量監督檢驗檢疫總局，國家標準化管理委員會．GB／T
22239-2008信息系統安全等級保護基本要求[S]．2008．
[4]國家質量監督檢驗檢疫總局，國家標準化管理委員會．GB／T
22240—2008信息系統安全保護等級定級指南[S]．2008．
，1．1ib●，'，''''’'●，’lI■●，l，''，，''''’l'’’’'l’’]lb：lb，'，'''，''，’，’’''，，●'，，'●●
郵發代號：4一塒。2015年定價：墻．∞元．全年價：216．00元：國外代號：M 721
次迎釕囪，旋迎室黃建議，歡迎喜和各垂廣告
《自動化儀表》第36卷第9期2015年9月、．’-¨¨-，，)
，
‘
萬方數據

網友評論 more

冶金安全論文最新內容

04-26