新信息时代下如何“软硬兼施”确保工业生产信息安全
发布时间：2020-08-18
摘要：本文通过分析传火电厂在新信息时代下的风险与机遇，提出技术上与人员管理上的新模式与新看法。
一、现代工控系统的发展趋势及问题
现代工控系统主要出现了两大方面的技术进步：一是为了保证生产高效运行、提高生产管理效率，国内众多行业大力推进工控系统自身的集成化、集中化管理。二是系统的互联互通性逐步加强，工控网络与办公网、互联网也存在千丝万缕的联系。
德国的工业4.0标准、美国的“工业互联网”和“先进制造业国家战略计划”、中国“互联网+”和“中国制造2025”等相继出台，对工控系统的通用性与开放性提出了更高的要求。未来工控系统将会趋向于自动化、智能化，系统之间的互联互通也更加紧密，面临的安全威胁也会越来越多。
据权威工业安全事件信息库RISI统计，截止到2016年初，全球已发生300余起针对工控系统的攻击事件，各行业分布如图一所示：
公开漏洞涉及的主要工控系统厂商分布如下：西门子：28%;施耐德10%;研华科技8%;通用电气7%;罗克韦尔5%;英维思5%;亚控科技4%;德国3S公司3%;艾默生3%;其他27%。
据统计，SCADA/HMI系统漏洞占比超过40%，PLC漏洞接近30%，DCS及OPC漏洞占到将近10%。
二、电力企业工控系统安全事件分析
通过对发电企业的研究，结合各类型工控系统信息安全事件历史统计情况，总结造成火电厂安全事件的主要故障类型如下：
作站采用通用操作系统，未安装补丁，大多数U盘使用没有管理起来，可能通过U盘传入病毒。
电厂高级管理者一般会关注生产现场的关键数据，生产网要把这些数据发布到办公网，双网连接处一定OPC协议，因为OPC是动态协商端口，OPC基于windows平台，server很容易被探测到，发布的数据没有限制。传统防火墙不支持OPC协议，只能做IP到IP的访问控制策略，工业防火墙可以做到只允许OPC协议通过。
远程运维依然存在，运维过程无审计和访问控制。
出现系统故障后，不清楚网络状况，不能判断是否有网络入侵行为、病毒、业务访问异常等问题，不能定位安全问题。
三、火电企业典型防范措施分析
面对严峻的工业控制系统安全形势，各火电企业均采取不同的防范手段，大唐南京电厂从以下两方面入手保证工业控制系统的安全运行。
内外网分开机制
大唐南京电厂采用内外网分离机制，减少了下列危险因素的发生：
通过外网造成的工业控制系统遭受攻击的风险;
交换机间的VLAN划分有效抵御了某一网段被攻击导致全网瘫痪的风险;
防火墙的边界准入控制将内外网进行了严格的分离;
堡垒机的运维审计统一登录管理对运维人员进行了有效的安全审计。
采用安全可靠的网络安全防护系统
在软件方面，首先应当建立安全扫描评估系统，及时发现全网全资产的安全漏洞，其次在终端应当建立终端安全管控系统，对针对终端的病毒攻击等进行安全隔离，最后应当建立全网态势感知系统，从而全局监控工控网和互联办公网的安全状态，能够做到对监测到的安全事件进行联动阻断和对已经发生的时间进行溯源分析。
在硬件方面，
首先边界应部署工控防火墙系统，能够对工控协议进行安全分析，解决工控边界的安全隔离，防火墙的建立只是为工控系统安装了一扇安全门，需要针对电厂工程控制系统自身情况设定防火墙的安全策略，以便更加有效率的处理工控信息，如静态IP绑定与SNAT策略的部署。
相关知识推荐：怎么选择期刊有利于论文顺利地发表
其次应当建立起自身的审计与风险评估系统。审计是指审计员对运维员的主机运维操作记录进行审计，可查看运维员的操作行为记录，作为事件追溯和事故分析的依据。在讨论在通过会话审计记录运维员对主机操作过程的会话日志。审计员可通过会话审计定位故障及追溯故障根源，会话审计支持在线播放以及下载后离线播放两种查看方式。
ATP网络战预警与处理
近年来APT 攻击的危害及隐蔽性越来越高，对于一些涉密部门更 是被攻击的重点目标。现在的检测工具如杀毒软件、防毒墙、IPS、IDS、防火墙 等设备都只能检测基于已知安全漏洞及恶意代码特征的部分攻击行为，无法检测 利用0day 进行渗透的攻击。工业网络需要可能发生的ATP网络战做好预警已经应急处理。工业网络需要使用包括沙箱、智能分析引擎、威胁情报等检测技术多维度预警来对可能发生的ATP攻击进行分析，并结合云端大数据分析，基于机器学习和深度挖掘等技术，实时共享最新安全威胁情报，快速预警新型恶意威胁。
工业控制系统漏洞扫描
工控漏洞检测是对工控网络环境中的活动设备进行设备漏洞探测。再先进的系统和防御策略都会有漏洞和过时的那一天，电厂需要通过指纹漏洞探测方法，在不影响工控系统正常运行的情况下，对设备进行厂商、类型、型号、漏洞情况等进行探测。根据探测到的数据进行分类型统计，直观展示当前网络环境中的设备使用情况、漏洞分布情况等，使用户能够直观的查看漏洞威胁，并采取有效地修复措施。通过对设备的多次扫描探测，对设备漏洞的修复情况进行监控追踪。只有定期检测实时更新才能保证技术和策略的时效性。
建立备份机制
发生网络安全事故后，快速恢复有效方法是利用已经建立的容灾备份机制，以便在系统被攻破时也可以维持安全生产。
做好工控系统管控工作
网络安全30%依靠安全设备的安全防护，70%依靠网络安全的管理。因此，必须做好软实力管理：
强化现场职工对工业控制系统网络安全的重视程度。
南京电厂定期举行网络安全培训，培训周期不少于每年，以便提高网络安全意识。
加强工控电脑使用管理
维修部一线职工应养成良好的内网使用习惯，保护好自身的账号密码，应将密码设置为8位以上带有大小写、数字加特殊字符。
对于运行一线的职工，要明确每位职工的工业控制系统安全的责任，养成对信息安全保护的好习惯，同时运行一线职工需要更加规范电脑的使用，封闭电脑不使用的U盘口，做到工作外设和生活外设严格分离，以避免工业病毒的入侵。
在采购电子产品时，应选择持有相应资质或国家有关机构认定的设备厂家，以避免通过供应链攻击导致的网络安全事故。
四、结论
信息时代不仅仅为大唐南京电厂带来了不小的挑战，同时也带来了一次革新的机遇。2017年，工信部发布《云计算发展三年行动计划(2017-2019年)》
一个全新的概念“政务云”被引入。这对于传统能源企业是技术革新的机遇，我们可以将生产信息实时上传云端，录入生产信息，经过云端电脑的分析与处理，可以准确的预测或提醒生产时的风险，如通云计算对温度与气压的实时变化，理论上可以对非计划性停机做出概率判断，这样可以帮助生产部门规避风险，达到利益最大化。——论文作者：樊屹兢
