陆月
中石化石油工程设计有限公司 山东省东营市 257026
摘要：随着人工智能、大数据、云计算等多种互联网信息技术广泛应用到工业领域，很多工控网络安全问题日 渐暴露出来，工控网络安全检测及防护体系也越来越受到社会的关注。通过分析工控网络特点及工控网络安全风险，着重对工控网络安全检测与防护体系进行研究，以更有效地应对工控网络安全风险。
关键词：工控网络；安全检测；防护体系
1、工业控制网络信息安全问题产生的原因
工业控制系统的安全属性主要包括以下两种：一是功能安全，另一种是信息安全。功能安全主要是通过对工业控制系统的安全管理达到设备和工厂安全功能的保护，以此让工业生产过程中按照预定的程序进行操作。信息安全则是通过建立保护系统保证工业控制系统避免出现非授权人修改网络参数、防止工业控制系统非法入侵以及非授权访问等安全现象的发生。随着我国工业控制系统的不断完善，尤其是5G技术在工业控制系统的应用，大大提高了工业控制网络信息的安全性。但是根据近些年发生的工业控制系统安全事件不难看出，我国工业控制仍然存在网络信息安全问题，剖析原因主要表现为以下方面：①工业控制系统网络安全管理不到位，网络安全管理人员安全意识淡薄。工业控制系统安全管理属于系统工程，其不仅要求工厂做好工业控制安全管理制度建设，而且还需要做好人员培训工作，提升相关人员的安全意识。但是根据调查，在网络安全管理上存在以下问题：一是工业控制系统安全制度缺失，导致工业控制系统岗位的责任意识不强。随着大数据工业架构的发展，工业控制系统的集约化现象比较突出，但是在实践管理中，工业控制岗位却没有将网络安全工作重视起来，他们认为只要保证物理安全和访问安全管理就可以，而忽视网络安全的建设。二是工业控制人员的网络安全意识比较淡薄，尤其是缺乏应急预案建设，导致在出现网络安全事故时不能第一时间采取有效的防范措施。②工业控制系统网络架构不完善，安全技术应用不合理。随着大数据技术在工业控制系统中的应用，工业控制系统由原来的封闭系统转化为开放性系统，这样一来导致传统工业控制架构出现诸多安全隐患。另外，随着5G技术的应用，通信协议和应用软件暴露出诸多安全漏洞问题。根据调查目前工业控制系统的漏洞2000多个，主要体现在控制器、工业协议、工业主机操作系统、工业应用软件等方面，如西门子、施耐德、研华、和利时、亚控等典型工控安全产品厂商。当然工业控制系统杀毒软件漏洞、平台配置漏洞等都是造成工业控制系统网络信息安全的重要原因。
2、网络安全防护对策
水电厂工控系统网络安全防护所采用的技术和措施必须保证其使用的实时性、可靠性和稳定性。从上文防护技术现状分析可看出，单一的防护技术已难以全面有效地保证其安全性，需要将安全防护理念融入设计、建设、运行维护等全生命周期的各个阶段。该工控系统网络安全从构建健壮的网络架构、采取主动防御措施及建立高效的管理制度等方面进行综合防护。
2.1构建健壮的网络架构
1）控制系统设计时，应按照国家标准《信息安全技术网络安全等级保护基本要求》（GB/T22239—2019），对安全等级为3级的控制系统在安全物联环境、安全通信网络、安全区域边界、安全计算环境、安全管理平台等方面的要求进行设计。2)不同安全区域边界的防护按照电力监控系统结构安全框架所示的“安全分区、网络专用、横向隔离、纵向认证”的要求进行结构优化和防护设备部署。在为生产控制大区和管理信息大区之间部署单向安全隔离装置，在生产大区的控制区（安全I区）和非控制区（安全II区）之间部署工业防火墙。
在安全I区的不同控制系统之间，若有信息交换则配置工业防火墙，单向安全隔离装置和工业防火墙应满足相关标准的要求。3）采用最小系统配置原则，关闭控制系统和就地智能设备中不必要的USB、光驱、网络及无线接口等，规范软、硬件设置在最安全方式，避免选择默认状态。4）优先采用自主可控的工控系统和安全防护设备，避免被“卡脖子”。
2.2采用主动防御措施
1）对上位机（操作员站、工程师站、历史站等）、操作系统和应用软件最小化安装，减少不必要的应用；采用工控主机防护软件对其底层系统进行安全加固和基线水平的提高；对文件、进程、注册表及服务进行有效的访问控制，实现权限最小化管理，并对所有系统活动和用户活动进行记录审计；管控软件采用进程白名单机制，阻止一切白名单外的应用和进程执行；全面监控主机的进程、网络端口和USB端口状态；删除、停用默认账户和多余的、过期的账户，避免共享账户的存在。2）在设备出厂及控制系统改造升级时，进行漏洞扫描和挖掘、风险评估和安全性测试。发现潜在的安全漏洞、隐患和风险，并及时进行整改。3）根据系统风险评估状况、工控系统结构和通信协议特点选择性部署入侵检测、安全审计和态势感知等安全防护设备和系统。以旁路方式接入，通过数据流镜像技术，主动采集工控系统的网络数据进行分析，实时查找网络的异常情况和攻击线索，监测网络的通信状况。及时发现网络攻击和病毒的异常传播，拦截所有可疑的数据包，保护系统不受攻击。
2.3建立完善管理制度
1）理清控制系统软、硬件资产和网络结构图，随时了解资产漏洞并进行修复。2）严格访问权限管理，对工程师站、操作员站、声光告警工作站、计算机监控服务器、历史数据服务器、场内通信服务器、调度通信服务器、数据库等核心工控软硬件所在区域，加强物理环境边界的访问控制和监视，确保只有授权人员才允许访问控制系统现场设备；加强控制系统的密码管理，对操作系统、应用软件和控制设备等密码定期更改。3）控制移动介质的使用，对所有接入的移动存储设备生成日志记录，防止病毒和恶意代码通过移动介质实现摆渡渗透、潜伏并利用系统漏洞实现攻击。对通过移动介质进行的软件升级、漏洞修复、病毒库更新等操作必须经过严格的测试和验证。4）启用实时数据备份功能，对关键的业务数据定期进行软备份，保障当主设备出现故障时冗余设备可以无扰动地切换并恢复数据。5）对控制系统使用者以外人员（供应商、维修维护人员等）进行安全意识培训和管理，以防止社会工程学攻击。6）加强员工网络安全意识和技能培训，制定应急预案并建立突发事件应急响应团队，规范突发事件管理和检测机制，确保能从突发事件中迅速恢复。对突发事件进行分析与预测，数据收集与总结，避免再次发生类似事件。
结语：在新时期环境下，工控网络攻击体现出更突出的强持续、高隐蔽、严组织等特点，相关技术手段不断创新，一旦相关工控系统及网络出现安全问题，将严重影响经济社会与国家安全。本文结合工控网络的特点及其多项安全风险，提出针对工控网络建立的安全检测与防护体系，在相关体系建立下确保工控网络从设计直至维护整个生命周期中都全面加强安全防护，在此基础上使相关生产活动更加可靠、安全与高效。
参考文献：
[1]刘晓曼，于广琛，吴雨霖.工控系统典型安全标准解读与思考[J].信息通信技术与政策，2019，2（2）：40-44.
[2]杨虎.工业控制网络的安全防护措施[J].科技与创新，2019（4）：112-113.
[3]闫飞.工业控制系统终端设备信息安全防护体系研究[J].仪器仪表用户，2019，26（1）：80-82.
[4]淮文军，王峰，陈夏裕，等.工业互联网环境下水务工控系统网络安全防护研究[J].电脑编程技巧与维护，2019（01） ： 157-157.