引自：自动化在线

     【编辑简介】：本文针对企业流程工业的特点，同时结合工业控制系统网络结构和安全需求以及多芬诺工业防火墙提供的“测试”模式功能，提出工业控制系统信息安全的纵深防御策略，即参照国际行业标准ANSI/ISA-99。
     【摘要】：随着我国工业化和信息化的深度融合以及物联网的快速发展，SCADA、DCS、PLC等工业控制系统面临的信息安全问题日益严重。为保证能源和基础设施行业控制系统的安全稳定运行，需要建立有针对性的安全防护体系，创建“本质安全”的工业控制网。

     【关键词】：工业控制系统信息安全 SCADA网络 工业防火墙Stuxnet 纵深防御 DCS
一、 前言
       工信部协【2011】451号通知明确指出：“SCADA、DCS、PCS、PLC等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。对此，各地区、各部门、各单位务必高度重视，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。”
       本文分析了当前工业控制系统的安全漏洞，并结合工业控制系统的网络架构和多芬诺工业防火墙的“测试”模式功能，详细介绍了工业控制系统信息安全的纵深防御策略，致力于建立一个“本质安全”的工业控制网，从而解决了困扰各公司的控制系统信息安全隐患，保证了企业各装置控制系统的安全平稳运行。
二、 工业控制系统信息安全现状分析
       近十年来，随着信息技术的迅猛发展，信息化在我们企业中的应用取得了飞速发展，互联网技术的出现，使得工业控制网络中大量采用通用 TCP/IP 技术，ICS 网络和企业管理网的联系越来越紧密。另一方面，传统工业控制系统采用专用的硬件、软件和通信协议，设计上基本没有考虑互联互通所必须考虑的通信安全问题。企业管理网与工业控制网的防护功能都很弱或者甚至几乎没有隔离功能，因此在工控系统开放的同时，也减弱了控制系统与外界的隔离，工控系统的安全隐患问题日益严峻。系统中任何一点受到攻击都有可能导致整个系统的瘫痪。
2.1  工业控制系统的安全漏洞
       1、通信协议漏洞
       两化融合和物联网的发展使得TCP/IP协议和OPC协议等通用协议越来越广泛地应用在工业控制网络中，随之而来的通信协议漏洞问题也日益突出。例如，OPC Classic协议(OPC DA, OPC HAD和OPC A&E) 基于微软的DCOM协议，DCOM协议是在网络安全问题被广泛认识之前设计的，极易受到攻击，并且OPC通讯采用不固定的端口号，导致目前几乎无法使用传统的IT防火墙来确保其安全性。因此确保使用OPC通讯协议的工业控制系统的安全性和可靠性给工程师带来了极大的挑战。
      2、操作系统漏洞
      目前大多数工业控制系统的工程师站/操作站/HMI都是Windows平台的，为保证过程控制系统的相对独立性，同时考虑到系统的稳定运行，通常现场工程师在系统开车后不会对Windows平台安装任何补丁，但是存在的问题是，不安装补丁系统就存在被攻击的可能，从而埋下安全隐患。
      3、安全策略和管理流程漏洞
      追求可用性而牺牲安全，是很多工业控制系统存在的普遍现象，缺乏完整有效的安全策略与管理流程也给工业控制系统信息安全带来了一定的威胁。例如工业控制系统中移动存储介质包括笔记本电脑、U盘等设备的使用和不严格的访问控制策略。   
      4、杀毒软件漏洞
      为了保证工控应用软件的可用性，许多工控系统操作站通常不会安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，原因在于使用杀毒软件很关键的一点是，其病毒库需要不定期的经常更新，这一要求尤其不适合于工业控制环境。而且杀毒软件对新病毒的处理总是滞后的，导致每年都会爆发大规模的病毒攻击，特别是新病毒。
      5、应用软件漏洞
      由于应用软件多种多样，很难形成统一的防护规范以应对安全问题；另外当应用软件面向网络应用时，就必须开放其应用端口。因此常规的IT防火墙等安全设备很难保障其安全性。互联网攻击者很有可能会利用一些大型工程自动化软件的安全漏洞获取诸如污水处理厂、天然气管道以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想。
2.2  工业控制系统的安全防御措施要求
       一般来说，公司的IT部门人员了解信息安全相关知识，但并不了解过程控制系统。而且传统IT环境和工控系统环境之间存在着一些关键不同，例如，控制系统通常需要每周7天，每天24小时的长期运行。因此控制系统的特殊功能要求可能使原本合格的安全技术变得没有效果。所以，简单地将IT安全技术配置到工控系统中并不是高效可行的解决方案。
        国际行业标准ANSI/ISA-99明确指出目前工业控制领域普遍认可的安全防御措施要求如下：  

      即将具有相同功能和安全要求的控制设备划分到同一区域，区域之间执行管道通信，通过控制区域间管道中的通信内容来确保工业控制系统信息安全。
2.3   “纵深防御”策略
      “纵深防御”策略严格遵循ANSI/ISA-99标准，是提高工业控制系统信息安全的最佳选择。建立“纵深防御”的最有效方法是采用ANSI/ISA-99.02.01和IEC-63443标准的区级防护，将网络划分为不同的安全区，在安全区之间按照一定规则安装防火墙。
       建立“纵深防御”策略的两个主要目标：
      1、即使在某一点发生网络安全事故，也能保证装置或工厂的正常安全稳定运行
      对于现代计算机网络，我们认为最可怕的是病毒的急速扩散，它会瞬间令整个网络瘫痪，该防护目标在于当工业网络 的某个局部存在病毒感染或者其它不安全因素时，不会向其它 设备或网络扩散，从而保证装置或工厂的安全稳定运行。
      2、工厂操作人员能够及时准确的确认故障点，并排除问题
      怎样能够及时发现网络中存在的感染及其他问题，准确找到故障的发生点，是维护控制系统信息安全的前提。
三、 工业控制系统信息安全的纵深防御
3.1  工业系统网络结构及安全区域的划分
       从总体结构上来讲，工业系统网络可分为三个层次：企业管理层、数采信息层和控制层。企业管理层主要是办公自动化系统，一般使用通用以太网，可以从数采信息层提取有关生产数据用于制定综合管理决策。数采信息层主要是从控制层获取数据，完成各种控制、运行参数的监测、报警和趋势分析等功能。控制层负责通过组态设汁，完成数据采集、A/D转换、数字滤波、温度压力补偿、PID控制等各种功能。
      系统的每一个安全漏洞都会导致不同的后果，所以将它们单独隔离防护十分必要。对于额外的安全性和可靠性要求，在主要的安全区还可以根据操作功能进一步划分成子区。这样一旦发生信息安全事故，就能大大提高工厂生产安全运行的可靠性，同时降低由此带来的其他风险及清除费用。
      将企业系统结构划分成不同的区域可以帮助企业有效地建立“纵深防御”策略，参照ANSI/ISA-99标准，同时结合工业系统的安全需要，可以将工业系统网络划分为下列不同的安全区域，包括企业IT网络区域、过程信息/历史数据区域、管理/HMI区域、DCS/PLC控制区域和第三方控制系统区域，如安全仪表系统SIS等。