0  引言

      工业控制系统包括过程控制、数据采集系统(sCaDa)，分布式控制系统,程序逻辑控制(PLC以及其他控制系统等，口前已应用于电力、水力、石化、医药、食品以及汽车、航天等工业领域，成为国家关键基础设施的重要组成部分，关系到国家的战略安全。为此，《国家信息化安全标准化“十一五”规划》特别将制定工CS的安全标准作为“十一五”期间信息安全标准化工作的重点。

      由于传统工业控制系统的计算资源（包括CPU和存储器）有限，在设计时只考虑到效率和实时相关的特性，控制系统网络安全并未作为一个主要的指标考虑。然而，随着技术的发展、信息化推动、工业化进程的加速，越来越多的计算机技术和网络通信技术应用于工业控制系统，比如用通用的计算机设备和数据通信设备取代专用的控制和通信设备，嵌入式技术、PCS、EPR等企业信息自动化的应用以及企业信息网络与Internet互连等。在这些技术应用的同时，带来了控制网络的安全问题，如病毒、信息泄漏和篡改、系统不能使用等。同时，现代工业控制网络系统（ICS:induSTrial control system）已成为国家关键基础设施的重要组成部分，关系到国家的战略安全。因此，如何保障工业控制网络系统的安全性是当务之急。

1  工业控制系统安全分析

1.1 ICS的威胁分析

       工业控制系统面临的威胁是多样化的：

       一方面，敌对政府、恐怖组织、商业间谍、内部不法人员、外部非法入侵者等对系统虎视眈眈。国家关键基础所依赖的很多重要信息系统从技术特征上讲是ICS，而不是传统上我们熟悉的TCP／IP网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击目标，攻击后果极其严重。另一方面，系统复杂性、人为事故、操作失误、设备故障和自然灾害等也会对ICS造成破坏。在现代计算机和网络技术融合进ICS后，传统ICP／IP网络上常见的安全问题已经纷纷出现在ICS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响工作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的主要原因和途径。

       内部人员、外部非法入侵者等对系统虎视耽耽。国家关键基础所依赖的很多重要信息系统从技术特征上讲是iCS，而不是传统上我们熟悉的TCP/IP网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击日标，攻击后果极其严重。

       另一方而，系统复杂性、人为事故、操作失误、设备故障和自然灾害等也会对工CS造成破坏。在现代计算机和网络技术融合进工CS后，传统工网络上常见的安全问题已经纷纷出现在工CS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响上作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的卞要原因和途径。

1.2 ICS的脆弱性分析

       (1)策略和实施存在缺陷

       上业控制系统的脆弱性通常是由于缺少完整而合理的策略文档或有效的实施过程而引起的，安全策略文档和管理支持是系统安全的基础，有效的安全策略在系统中的强制实施是减少系统而临的安全风险的前提。

       (2)平台弱点

       由于工Cs终端的安全防护技术措施十分薄弱，所以病毒、木马、黑客等攻击行为都利用这些安全弱点，在终端上发生、发起，并通过网络感染或破坏其他系统。事实是所有的入侵攻击都是从终端上发起的，黑客利用被攻击系统的漏洞窃取超级用户权限，肆意进行破坏。注入病毒也是从终端发起的，病毒程序利用操作系统对执行代码不检查一致性弱点，将病毒代码嵌入到执行代码程序，实现病毒传播。更为严重的是对合法的用户没有进行严格的访问控制，可以进行越权访问，造成不安全事故。

       (3)网络弱点

       ICS的网络弱点一般来源于软件的漏洞、错误配置或者ICS网管理的失误。另外，ICS与其他网络连接时缺乏安全边界控制，也是常见的安全隐患。通过基于“深层防御”思路的网络设计、网络通信加密、网络流量控制、物理访问控制等措施，ICS的网络弱点可以有效避免。

1.3 可能的安全事件

       可能导致ICs安全事件的因素有:

       （1）控制系统发生拒绝服务;

       （2）病毒感染：恶意或非恶意的个体引入病毒，从而引起不必要的系统死机和数据的侵蚀。

       （3）较弱的或未受控制的物理安全机制：未授权的个体非法物理进入系统，从而获取信息。

       （4）自然灾难引起的系统失败：自然灾难引起的系统部分或全部的中断，比如地震、火灾、洪水以及别的不可预知事件。

       （5）拒绝服务：未授权的个体实施攻击，使系统组件暂时对合法用户的服务失效。

       （6）访问特权的获取：无特权用户实施恶意攻击，获取系统特殊权限，从而达到其目的。

       （7）操作人员的操作错误：合法用户无恶意的错误操作，通常是由于缺乏相应的知识或粗心造成的。

2  一种针对ICS的主动式安全方案

       在土机及其计算环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。系统由安全管理平台和安全终端两大模块组成。

       安全管理平台:负责其所在网络中各终端的安全策略的制定、维护和分发;严格管理模式:只允许终端安装和使用与业务相关的应用软件，禁比一切娱乐软件、聊天软件、理财软件等的安装和使用。

      安全终端:安全控制系统最突出的特点是终端应用相对固定，要防范传统方式的病毒或木马等恶意软件，最直接的方式就是在应用加载之前对其进行真实性和完整性检查，但是随着攻击方式的不断改进，这种安全控制措施强度已经变得不够，因为类似rootkit这类攻击会对操作系统底层代码和系统服务产生破坏，因此对操作系统静态和动态内容也必须要进行有效的可信检查。

      现阶段木马的卞要运行方式为向宿卞进程插入非法动态库，达到隐藏木马进程本身的日的，基于这一原理，利用HOOK  AP工技术“钩住”系统中所有创建进程以及动态库调用过程，达到监控系统中所有可执行文件加载情况。通过完整性校验，判定某一可执行模块的加载是否合法，实现对木马、病毒等恶意代码的卞动防御，判断的依据是由管理平台制定并下发的可信应用自名单。

3  结论

      目前，土业控制系统的网络安全体系在很大程度上是由通用信息安全技术在土业控制系统具体环境的实施下演化而来，土业控制系统面临着通用信息系统所具有的大多安全问题，同时也存在独特的安全需求。

      本文中我们针对土业控制系统的安全特点，结合完整性度量技术，提出了在土业控制系统中的一种土动式安全模型，有效避免了土业控制系统安全策略实施的困难性和平台的安全脆弱性，不仅能够防范已知病毒和木马，而且对未知的恶意代码具有免疫能力，能够保证土业控制系统业务的连续性。