工业进程中的工控系统信息安全.docx

《工业进程中的工控系统信息安全.docx》由会员分享，可在线阅读，更多相关《工业进程中的工控系统信息安全.docx（5页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、工业4.0进程中的工控system信息安全2014-07-08 10:21孟雅辉、毕学尧发布时间：2014-07-07 作者：启明星辰摘要：中国应该尽快地构建自己的第四次工业革命纲领中国工业4.0,尽快地在工业领域特别是制造 业中构建起自己的CPS,在system各层面实现信息与物理实体的融合。辨清功能安全与信息安全一提到工业控制system （Industry Control System,以下简称为ICS）的信息安全，人们首先想到的就是 2010年伊朗布什尔核电站遭到的“震网病毒”攻击。工业生产system中相关安全事件层出不穷，不仅影响到企一业生产，而且直接影响到企业财产、人身安全 等国

2、计民生项目问题。如：2012年4月10日，深圳遭遇十年来最大范围停电事故，福田、罗湖、龙岗三个区停电两个小时，经济损 失达8个亿；2013年11月22 日，中石化输油储运公司潍坊分公司输油管线破裂，直接经济损失7.5亿元。而这些事件在自动化化人的眼中不属于信息安全项目问题，而是功能安全项目问题。在国际标准IEC62443 中描述，一个完整的安全工控system是由功能安全、物理安全和信息安全三部分组成，上述事故以及企 业生产环节中90%的事故都属于功能安全项目问题。在传统的信息安全定义中，主要强调保密性、完整性和可用性，在IEC62443中对工控信息安全主要强调 了五点，最重要的思想是强调保护

3、一个system所采用的额外措施，以防止对system的非授权访问及恶意 攻击。功能安全与信息安全两者边界清晰，但互相关联、相互影响、互相促进。功能安全的不完善会很容易被利 用，进而导致信息安全项目问题。信息安全项目问题的暴露会促进功能安全的完善。IEC62443中非常清 楚的阐述了传统的信息安全与ICS信息安全的区别，只有把这个本质看清楚了，才知道如何建设工控 system的信息安全工作，否则就容易偏离方向、班门弄斧。工业4.0悄然启动说起工控system的信息安全，必须看到工控system的发展，以德国的Industrie 4.0为代表的第四次工业 革命已经悄然而起。德国人认为第四次工业革

4、命是指：机械化+电气化+IT先进技术+lnternet先进技术。第四次工业革命就是第 三次工业革命的成果上再加上互联网先进技术。必须说明这里所要求的互联网是“Things and Services”的 互联网，Things可理解为物和事情；Services泛指一切服务。所以，第四次工业革命首先要建设“物事互 联网与“服务互联网”。这意味着有史以来第一次将资源、信息、物事、人和对这一切的服务进行互联。在 the Internet of Things and Services的支持下革新、改造整个工业及制造业。制造业中的智能数智机器、存储system和生产设施将融入the Internet of

5、Things and Services中，成为信息物理system (Cyber-Physical System, CPS)。中国应该尽快地构建自己的第四次工业革命纲领中国工业4.0,尽快地在工业领域特别是制造业中构建 起自己的CPS,在system各层面实现信息与物理实体的融合，应该用中国的智能数智产品、智能数智生 产流程主导中国的市场。找准风险落实防护定位 由工业4.0可以看出，工控system必将与信息化融合。普度大学很早就提出了自动化化的经典五层普度模型（如下图所示），这个模型其实把自动化化与信息化 已经关联在了一起。L5层:战略决策层L4层:经营管理层 L3层:生产执行后 L2层:过

6、程控制层L1层:现场设备层普度模普工控system的信息安全项目问题，在各层上都面临着来自不同方面的威胁，详尽如下图所示。企业网的 管控信息层面临来自互联网的攻击，也有企业内部恶意的攻击通过企业网进入工控网，一直到现场网络； 在控制层有system管控人员非法操作，最严重的要属第三方运维人员的对现场设备的操作；还有远程拨 号的攻击，有部分现场还有野外搭线的威胁。现场外包人员国际NISTSP800-82工业控制system安全指南中已经详尽描述了各种威胁来源，也从策略程序、整 体平台及网络等方面讲述了可能的风险和脆弱性。当然不同行业面临的威胁和风险重点不同，比如军工行业主要强调工控网和涉密网连接

7、时的信息保密；石 化强调DCSsystem生产的连续和非异常；电力强调SCADA调度system的不中断等等。总体上，明晰面临的风险才能进行有针对性的防护。信息安全防护的整体架构性必须要跟工业自动化化体 系保持一致，方可成为同一体系，因此在GT/T 26335-2010工业企业信息化集成system规范中提到了工 业企业信息化集成总体架构。无论是从普度模型还是工业企业信息化集成架构图中都可以看出，防护必须全方位考虑。例如，早在2005 年，电力system的二次防护解决方案中就提出了“纵向隔离、横向分区”的概念。虽然工业4.0己经非常确定工业system将会互联网、物联网化，但距离现在各行业的

8、实际情况还有一段时 间，但由于事关生产就无小事，不能轻举妄动。作为信息安全建设方，要深入研究工业网络中使用的协议， 以实现对工业网络的异常监测和防护，下表中列出部分通讯协议：主号通信协议名称主导厂商或组织1Jbdbus美三Xodicon公司（藐为蕤时德电气公司的一个品嶂）2CPC0PC基全会3Profibus德三三二子5运二tim） Rrofibug号户组织（P） Profibus三后4织 （PI）4Foundation Fieldbu美三FigherRoseRunt公司（现为Ewrgcn公司收购1藐法总线基金 会Fieldbus Foundatis：组织5Ethernet/二PODVAj (

9、Open DevicwNet Veidor Associatioa Control?et Zntemationala (CI)美三Rockwell公司6Control2set至三Rockywll公司Contromt 二ntmmtionai,M=UiDevic?et美三Hwn-Ermdley公司(现为Rocksrell 自力之收！W)0DVAi,5(OpenDevice?et Vendor Association；8Lon Woiks美mEchelcn公司LonRrks五探七世会9HART美三Roswzout公司三际HART协议基金会5KF10OC-Link三本三菱电tT (Mitsubishi

10、 Electric)公司GC-Link侨会11EtherCAT;-三耳喀EeckhcC 司EthwrC二.二”H三会12P-Net丹宓Process Data公司P-NE：用户控于！(iitexTiatiaial P-NET User Organisation APS)13RrldKF法三二公司 RrldFZF 现场总 线如织14Interbus德三Fhoenix Contact2x3 Interbus Club俱乐第15CANHRober Bosch公司自功化CAN用户和利道专侨会自动化化system建设方，则要深入借鉴信息安全的攻防知识、产品体系。网络安全终端安全主机和应用安全数据安全p_

11、异常流量|无线安全二防火墙UTM入侵检测VPN- -L上网行为管理入侵防御终端管理配置安全系统b应招防火窟 J应用性能监测口PKI 与GA堡垒机洞扫描数据库审计DLP/透明加密安全管理Web核查力= I,1业务安全监控应用性能管理网络行为分析身份与网络管理运维安全管控互联网行为管控日志审计安全指标评估安全风险评估安全运营管理平4A安全运维审计信息安全产品体系。安全评估加固类服务应用安全类服务等级保护 安全咨询类服务 类服务安全审计类服务综合类类服务xmM务X雄JR务 中电合中痔合ftffi事仔K 合a信息安全股务体系图,工业控制system信息安全关系国计民生，尤其是在当前国际形势严竣的情况下，小至一名从事自动化化 安全、信息安全工作的个人，大到一个企业，都应本着“本主创新、自主掌控”的原则，响应我们国家网络 安全领导小组提出的“向着网络基础设施基本普及、自主创新能力体系增强、信息经济全面发展、网络安全 保障有力的”目标不断前进。（启明星辰孟雅辉，网御星云毕学尧） 文章来源：启明星辰