【gd55光大在老品牌】工业自动化系统的的安全防护

工业控制系统（IndustrialControlSystems,ICS），是由各种自动化掌控组件和动态数据采集、监测的过程控制组件联合包含。其组件还包括数据采集与监控系统（SCADA）、分布式控制系统（DCS）、可编程逻辑控制器（PLC）、远程终端（RTU）、智能电子设备（IED），以及保证各组件通信的接口技术。典型的ICS掌控过程一般来说由掌控电路、HMI、远程临床与确保工具三部分组件共同完成，掌控电路借以掌控逻辑运算，HMI继续执行信息交互，远程临床与确保工具保证ICS需要平稳持续运营。

　　1.1工业控制系统潜在的风险　　（1）操作系统的安全漏洞问题　　由于考虑到工控软件与操作系统补丁兼容性的问题，系统驾车后一般会对Windows平台打补丁，导致系统带着风险运营。　　（2）杀毒软件加装及升级改版问题　　用作生产控制系统的Windows操作系统基于工控软件与杀毒软件的兼容性的考虑到，一般来说不加装杀毒软件，给病毒与恶意代码传染与蔓延留给了空间。（3）用于U盘、光盘造成的病毒传播问题　　由于在工控系统中的管理终端一般没技术措施对U盘和光盘用于展开有效地的管理，造成外设的无序用于而引起的安全事件时有发生。

　　（4）设备修理时笔记本电脑的随意终端问题　　工业控制系统的管理确保，没抵达一定安全性基线的笔记本电脑终端工业控制系统，不会对工业控制系统的安全性导致相当大的威胁。　　（5）不存在工业控制系统被无意或有意掌控的风险问题　　如果对工业控制系统的操作者不道德没监控和号召措施，工业控制系统中的出现异常不道德或人为不道德不会给工业控制系统带给相当大的风险。　　（6）工业控制系统掌控终端、服务器、网络设备故障没及时发现而号召延后的问题　　对工业控制系统中IT基础设施的运营状态展开监控，是工业工控系统平稳运营的基础。

　　1.2两化融合给工控系统带给的风险　　工业控制系统最先和企业管理系统是隔绝的，但近年来为了构建动态的数据采集与生产掌控，符合两化融合的市场需求和管理的便利，通过逻辑隔绝的方式，使工业控制系统和企业管理系统可以必要展开通信，而企业管理系统一般必要相连Internet，在这种情况下，工业控制系统终端的范围不仅扩展到了企业网，而且面对着来自Internet的威胁。同时，企业为了构建管理与掌控的一体化，提升企业信息化通综合自动化水平，构建生产和管理的高效率、高效益，引进了生产继续执行系统MES，对工业控制系统和管理信息系统展开了构建，管理信息网络与生产掌控网络之间构建了数据交换。造成生产控制系统仍然是一个独立国家运营的系统，而要与管理系统甚至互联网展开互通、网络。

　　1.3工控系统使用标准化软硬件带给的风险　　工业控制系统向工业以太网结构发展，开放性更加强劲。基于TCP/IP以太网通讯的OPC技术在该领域获得广泛应用。在工业控制系统中，由于工业系统集成和用于的便利性，大量用于了工业以太环网和OPC通信协议展开了工业控制系统的构建；同时，也大量的用于了PC服务器和终端产品，操作系统和数据库也大量的用于了标准化的系统，很更容易遭来自企业管理网或互联网的病毒、木马、黑客的反击?二、工业控制系统安全性防水设计。

通过以上对工业控制系统安全性状况分析，我们可以看见，工控系统使用标准化平台，增大了工控系统面对的安全性风险，而两化融合和工控系统自身的缺失导致的安全性风险，主要从两个方面展开安全性防水。通过三层架构，二层防水的体系架构，对工业企业信息系统展开分层、分域、分等级，从而对工控系统的操作者不道德展开严苛的、排他性掌控，保证对工控系统操作者的唯一性。

通过工控系统安全管理平台，保证HMI、管理机、掌控服务工控通信设施安全性可靠。　　2.1建构三层架构，二层防水的安全性体系　　工业控制系统必须展开纵向分层、横向分域、区域分等级展开安全性防水，否则管理信息系统、生产继续执行系统、工业控制系统正处于同一网络平面，层次不明，你中有我、我中有你。

来自于管理信息系统的侵略或病毒不道德很更容易对工控系统导致伤害，网络风暴和拒绝接受式服务反击很更容易消耗系统的资源，使得长时间的服务功能无法展开。　　2.1.1工控系统的三层架构　　一般工业企业的信息系统，可以区分为管理层、生产执行层、工业掌控层。在管理信层与制造执行系统层之间，主要展开身份辨别、访问控制、检测审核、链路校验、内容检测等安全性防水；在制造执行系统层和工业控制系统层之间，主要防止管理层必要对工业掌控层的采访，确保生产执行层对工业掌控层的操作者唯一性。工控系统三层架构如下图右图：　　近些年，业内明确提出了深度防卫策略[1，6-7]来对一个典型的ICS系统展开网络安全防水，主要还包括以下内容：　　1)为ICS系统构建多层的网络拓扑结构，在最安全性和可信的层继续执行最严苛的　　2)在企业网络和ICS网络间获取逻辑隔绝(即在两个网络间配备状态检测防火墙)。

　　3)配备DMZ网络结构(即制止企业网络和ICS网络的必要通信)。　　4)保证关键的部件是校验的，并且部署在校验网络上。

　　5)在经过测试需要保证不影响ICS操作者的情况下，禁令ICS设备并未用于的端口和服务。　　6)严苛容许物理设备终端ICS网络。　　7)创建基于角色的访问控制规则，根据最小化特权的原则配备每个角色的权力。　　8)考虑到对ICS网络和企业网络的用户使用独立国家的鉴权机制。

　　9)在技术不切实际的情况下构建安全控制，如防病毒软件、文件完整性检查软件，以制止、找到和增加恶意软件的转入和传播。　　10)在ICS数据的存储和通信中，应用于加密等安全性技术。

　　11)在现场环境中，必需在测试系统上测试所有的补丁，然后再行加装到ICS系统并配备安全性的补丁。

本文来源：gd55光大在老品牌-www.tiantiandiao.com