前言：尋找寫作靈感？中文期刊網用心挑選的工業控制系統網絡安全防護體系解析，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。

摘要：近年來，隨著工業化和信息化的深度融合與發展，SCADA、DCS、PLC等工業控制系統面臨的網絡安全問題日益嚴重。根據國內企業工業控制系統的安全防護需求，總結了工業控制系統網絡安全防護面臨的問題，針對如何建立工業控制系統網絡安全防護體系進行了分析與闡述，供業界參考。

關鍵詞：工業控制系統；網絡安全管理；網絡安全防護體系

1工業控制系統網絡安全現狀分析

當前工業控制系統已成為國內外敵對勢力重點攻擊的目標，“震網”、“火焰”、“烏克蘭電站”等安全事件表明網絡攻擊已經具備國家級網絡戰形態，其破壞性已延伸至關系國計民生的關鍵信息基礎設施，工業控制系統的安全防護無論對于企業還是對于國家，都已經上升到無比重要的地步。目前，國內企業工業控制系統在工控安全管理過程中存在的突出問題有：對網絡安全工作認知不足、重視不夠、工作領導機構不健全、責任部門不明確、責任制未有效落實，存在職能交叉、多頭管理、重要管理制度缺乏、執行不嚴等問題，同時工業控制系統普遍缺乏專業的安全人員，工控網絡安全專項教育和培訓開展不足。在工控安全技術方面存在的突出問題有：企業工控網絡內部缺乏有效的安全隔離措施，普遍使用交換機劃分VLAN或采用傳統防火墻，無法有效隔離工業病毒和攻擊；工控主機未采取防病毒措施或安裝的殺毒軟件沒有及時更新病毒庫；上位機操作系統版本普遍較低，存在大量的漏洞，普遍缺乏漏洞檢測、安全生產加固工作開展不及時或未定期開展；普遍缺乏必要的技術手段對網絡行為和操作行為進行監控和審計；普遍采用國外品牌的工業控制系統，自主可控程度較低。

2工業控制系統網絡安全防護體系設計

工業控制系統網絡安全防護體系要在企業整體的網絡安全決策下，建立工控安全組織體系、工控安全管理體系、工控安全技術體系以及工控安全運營體系，其中，工控安全組織體系和管理體系的建立是有效推進工控安全工作的前提和基礎，而工控安全技術體系以及運營體系則是不斷支撐工控安全防護有效落地以及持續改進的重要因素和措施。

2.1工業控制系統網絡安全組織體系設計

2.1.1工控安全組織體系建設

工業控制系統的安全組織體系在不同層級的職責也各不相同，參照國內企業典型組織架構，建議建立企業總部、二級公司到生產企業的三級工作機制，優化工控安全管理統籌協調機制，做到責任體系責任明確，層次清晰、橫向到邊、縱向到底。1）企業總部層面：建立多部門聯合的工控安全聯合工作小組，包括生產、網絡安全、信息化等主管部門，負責把握企業工控安全總體工作方針和方向，做出工控安全重大決策，明確企業工控安全防護原則和標準，開展監督和檢查工作。2）二級公司層面：設立專業的工控安全管理部門，切實加強組織領導，落實工控安全責任，實現二級公司自身的工控安全管理的統籌協調、監督檢查、責任考核等職能；組建專業的工控安全管理和技術運營隊伍，輔以工控安全綜合運營平臺來監控和運營全企業的工控安全任務。3）生產企業層面：根據企業規模以及監管部門要求設置工控安全專職人員，并與生產、信息化、自動化等專業人員聯合行動，落實生產企業工控安全具體事宜。

2.1.2工控安全人員管理

企業需要設計良好的工控安全崗位職責，加強工控安全團隊建設，保障工控安全防護體系的落地，包括以下幾方面。1）安全管理崗位職責：各級單位領導應設立相應的安全管理崗位職責，明確工控安全的第一負責人，對重大工控安全事項負有決策、指導和監督義務。2）安全技術崗位職責：工控安全技術人員主要負責日常的設備巡檢和維護、安全監控和趨勢分析、滲透測試和技術評估、突發安全事件的應急處置、安全技術方案的規劃和修訂、安全配置和安全補丁、安全產品的選型等相關工作。3）普通員工安全職責：各級單位的普通員工也應明確自身崗位的網絡安全職責，增強安全意識。

2.2工業控制系統網絡安全管理體系設計

2.2.1工控安全風險管理

工業控制系統的網絡安全建設和運行是以安全風險管理為基礎，通過識別工業控制系統的相關資產，明確需要保護的對象，并對其進行風險評估以識別相應的風險并對風險優先級進行排序；制定風險處置計劃為工控安全項目的規劃以及安全運行提供指導和輸入，并在實施風險處置計劃時進行監控，建立循環可控的工控安全風險控制體系，主要包括信息資產識別、風險評估、風險處置和風險監控等等。

2.2.2工控安全制度管理

明確工控安全管理制度范圍，制定工業控制系統的安全方針與安全策略，并依據風險處置計劃制定和完善各安全領域相關程序、制度、管理辦法、規范、細則、指南、記錄和表單等體系文件。結合企業網絡安全以及生產安全要求，以生產業務為出發點，制定具有企業特色的工控安全管理制度。

2.2.3工控安全合規管理

根據上級監管要求、企業安全管理制度和策略以及業務特點建立工控安全控制要求，設定安全合規指標，作為合規檢查依據；定期檢查信息系統符合安全規范的情況，可采用掃描、滲透測試、配置檢查和專業審計工具等手段；管理層應定期檢查有關安全方針、策略和程序是否被正確有效實施，是否符合當前企業的整體安全戰略。

2.3工業控制系統網絡安全技術體系設計

2.3.1網絡結構安全設計

通過區域劃分來理順企業管理系統和工業控制系統之間的訪問關系，以及工業控制系統內部綜合自動化系統之間的訪問關系，建立清晰的安全防護邊界，實現有效隔離，使網絡層次更加清晰。根據生產企業不同業務需求其網絡分層方式也不同，一般可按照如下方式劃分。1）控制區：根據業務系統的重要性和上位機操作對執行設備的影響程度將控制區劃分為監控區和監測區，重點保護生產控制以及直接影響生產（組態軟件、PLC）的系統。2）生產執行區：生產執行系統位于經營管理層與自動化層之間，起著承上啟下的作用，一般部署在二級公司，根據實際需要進行隔離。3）辦公區：主要有決策支持系統、ERP、OA、CRM、知識管理和綜合統計系統等。4）合理設計邊界防護措施：通過網絡與邊界的防護控制，增強各區域網絡的訪問管理與控制力度，合理分離管理系統和控制系統，以及增強控制系統內部的安全防護，邊界防護措施包括邊界防護設備部署、邊界防護設備的集中管理、企業監督考核平臺建設和生產單位自查自檢工具化。

2.3.2監控評估安全設計

工控系統的監控評估是針對由外部攻擊和內部誤操作甚至惡意操作行為引起的安全問題進行監控評估，通過對通信流量的檢測、操作行為的控制與審計等一系列保護措施保障工控網絡內的行為的安全可信。1）監測審計：在生產企業的監測區和監控區內部署監測審計設備，達到通過合理設置檢測規則，檢測網絡數據包的惡意代碼或漏洞攻擊的跡象，分析潛在威脅并進行安全審計。監測審計設備需具備入侵檢測、應用程序白名單和日志審計等功能。2）威脅評估：在生產執行區和控制區內部署威脅評估設備，準確地識別工控網絡中的各類工控系統、設備、軟件以及其他運行中的服務器、數據庫和網絡設備，智能生成網絡拓撲，結合專業的工控漏洞庫、設備庫、威脅特征庫和全網威脅評分系統，周期性地開展威脅評估，進行詳細的漏洞分析，清晰定義各類設備和整體網絡的安全風險，輸出評估可量化的報告。3）漏洞挖掘：生產運維人員需要基于已知漏洞檢測和未知漏洞挖掘相結合的方式，能夠對工業控制設備（例如PLC）、工業控制系統（例如DCS，SCA-DA）、工業控制網絡中的安全保護設備（例如工控防火墻，網關），以及工控軟件（例如WinCC）的漏洞情況（包括已知漏洞和未知漏洞）全面了解，實現為主動安全防御決策提供依據的目標。

2.3.3設施安全防護設計

1）主機安全防護：通過部署主機安全防護軟件和，加強主機惡意代碼防范能力，優化安全配置，更新安全補丁，實現不同操作系統（WindowsXP、Win-dowsServer2008等）主機的安全防護，避免不同監控軟件（如iFix、Rsview）漏洞被利用的情況發生，使系統管理人員全面掌握主機的防護狀態。2）控制設備防護：PLC、電力監控分站、綜合保護裝置等具備現場控制的裝置統稱為控制器，控制器屬于工控系統的最后一道防線，也是最重要的防線。在監控區內上位機和控制器之間部署安全防護裝置，并結合黑白名單的技術。在控制設備接入網絡的接口處部署邏輯隔離裝置，實現就報文的快速處理。在控制區內部署防護平臺，根據具體控制器的業務情況實現流量的智能學習和防護策略的智能優化。3）移動介質安全防護：對于生產監控區和監測區主機上因管理和維護需要，不得不保留的USB端口（例如加密狗USB端口），應該通過專用USB線和USB適配設備實現對移動介質的純硬件防護，避免在主機上安裝軟件而影響主機專業應用系統程序運行。

2.3.4工控安全運營平臺設計

工控系統網絡安全防護體系為各生產業務的穩定運行提供了技術保障，為了能夠讓技術防護措施發揮最大效用，更好地支撐企業工業控制系統的統一安全監管，需要對安全防護設備實現統一管理與集成展示、安全管理的監督檢查與考核、工業控制系統的總體威脅感知與預警，建設集中運營管控的支撐平臺。安全運營支撐平臺包括安全設備統一管控、安全運維考核管理和工控系統威脅感知三大部分，做到技術與管理的有機結合，達到工控系統持續安全運行的目標。

2.4工控安全運營體系設計

2.4.1工控項目安全管理

工業控制系統項目安全管理覆蓋項目的可研、立項、實施以及上線運行等過程，遵循“同步規劃、同步建設、同步運行”原則，以保障項目實施過程以及自動化系統自身的安全性，以實現在工業控制系統網絡安全運行體系的源頭來有效控制工業控制系統安全風險目標。

2.4.2工控安全運行管理

安全運行管理主要涉及到日常進行的安全運維工作，主要通過規范日常的安全工作提高日常安全運行水平，保證網絡安全風險處于可控水平。安全運行工作主要是通過人員管理、用戶管理、工業控制系統管理、安全監控、供應鏈管理、物理與環境安全管理等環節實行安全控制。

2.4.3工控安全事件和應急響應管理

應急響應與業務連續管理通過合理的應急管理流程和業務連續性管理計劃快速發現事件和處理事件，對事件快速的響應并按照事件的輕重緩急安排響應工作，并盡可能快速處置，保障工業控制系統的安全運行，并能夠應對重大的工業控制系統安全事故，保障生產業務的連續性。

2.4.4工控安全供應鏈管理

制定嚴格的供應鏈管理流程，保證工業控制系統供應商以及安全產品、安全服務滿足國家以及企業的安全要求，包含應對由于系統制造商、采購商、運輸服務商等多個主體，信息傳遞過程較長，渠道較多，使其面臨著信息泄露、惡意篡改、供應中斷與產品質量參差不齊等安全威脅。

3總結分析

工控安全是一個系統工程，是一個整體的概念，單獨的安全組件只能提供部分的安全功能，無論缺少哪一個安全組件都不能構成完整的工控安全系統，因此必須保證網絡設備、控制器、上位機和其他組件的整體安全性。同時工控安全又具有動態性。工控安全體系設計的最終目標是幫助企業具備不斷提升工控安全管控的能力，以應對不斷變化的內外部安全威脅。為了保障企業工控系統網絡安全體系建設能夠順利實施，必須要考慮并通過各方努力滿足以下關鍵成功因素的要求，具體包括以下幾點。

3.1統一規劃統一部署

工控安全的實施需要建立在對工控安全有高度認識的基礎上，且需要有專業的技術團隊，宜由企業總部來做統一規劃、建設和運營，以保證項目的順利實施。

3.2生產業務驅動

工控系統網絡安全的最終目標是為業務的開展提供支持和保障，因此任務的實施一定要從業務的角度出發，不可僅僅看作是技術的任務。在實施時必須時刻考慮到業務的需求，在安全性和業務開展的便利性之間找到平衡點，同時提高業務部門對網絡安全工作的理解和認識，在工控安全建設過程中獲得業務部門的支持與配合，共同推動工控安全建設的開展，真正地實現工控系統安全為生產業務服務。

3.3有效的實施管理和監控

工控安全體系建設實施涉及到企業眾多部門，涉及面廣，影響大，這對于工控安全體系建設是一個巨大的挑戰。為了獲取建設的最大收益，并最大程度降低風險，需要落實強有力的實施管理和監控措施，在跟蹤總體計劃的同時，合理安排各任務的進度和資源，強化對各任務/子任務的管理和監控，對于重點任務應投入專門的安全人員全程參與，及時掌握任務的實施情況，并根據企業信息化以及數字化建設的情況及時進行調整。

3.4長期可靠的合作伙伴

工控系統網絡安全任務的實施涵蓋范圍很廣，涉及到許多專業的技術和產品，需要廣泛借鑒工控安全相關國際標準和最佳實踐理念，又要充分結合企業工控系統對網絡安全的特定需求，選擇專業的合作伙伴對于保證工控系統網絡安全建設能夠成功實施是十分重要的。

3.5企業高層的支持

工控系統網絡安全任務通常情況下會涉及到企業各生產管理部門的參與、配合乃至利益關系，因此在實施過中需要企業高層的支持甚至是參與協調各部門的關系，建立跨部門的協作機制，以保證項目的順利實施。

作者:秦艷飛 單位:中糧集團有限公司