国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

摘要：文章分析了冶金行業(yè)（煉鋼）高爐工業(yè)控制系統(tǒng)所面臨的網(wǎng)絡安全威脅以及用戶所切實關(guān)注的安全問題，并在現(xiàn)有安全技術(shù)和解決方案的基礎上，提出了適用于冶金行業(yè)（煉鋼）高爐防御體系。

關(guān)鍵詞：工業(yè)控制系統(tǒng)；工控網(wǎng)絡安全；安全防護體系

Abstract: Analyze the network security threats faced by the blastfurnace industrial control system of the metallurgical industry(steelmaking) and the security issues that users are really concerned about. Based on existing safety technologies and solutions, a blastfurnace defense system suitable for the metallurgical industry(steelmaking) is proposed.

Key words: Industrial control system; Industrial control network; Security protection system

1 前言

工業(yè)控制系統(tǒng)在發(fā)展之初是相對封閉和獨立的，傳統(tǒng)工業(yè)控制系統(tǒng)安全防護往往采用物理隔離等方式。隨著通信信息技術(shù)的發(fā)展和深入應用，工業(yè)控制系統(tǒng)正趨于使用通用協(xié)議（Modbus、OPC）、通用操作、通用軟硬件，以太網(wǎng)、無線設備的使用無處不在。在冶金行業(yè)（煉鋼）整個工業(yè)控制系統(tǒng)可與遠程端的數(shù)據(jù)采集網(wǎng)、生產(chǎn)管理網(wǎng)和辦公網(wǎng)實現(xiàn)信息互聯(lián)和數(shù)據(jù)交互。網(wǎng)絡蠕蟲、永恒之藍、震網(wǎng)（Stuxnet）等病毒的攻擊，工控系統(tǒng)漏洞的利用，互聯(lián)網(wǎng)、可移動存儲介質(zhì)、設備未經(jīng)授權(quán)的操作，大量密集無效數(shù)據(jù)的傳輸及人為因素等使得網(wǎng)絡安全問題直接延伸到工業(yè)控制系統(tǒng)，導致工業(yè)控制系統(tǒng)固有漏洞和攻擊面不斷增加，易引發(fā)工業(yè)生產(chǎn)的緊急停車、設備故障，或影響工控系統(tǒng)組件的可靠性和靈敏度，由此產(chǎn)生的安全事件或事故也日趨增多，給傳統(tǒng)工業(yè)控制系統(tǒng)防護體系帶來嚴峻挑戰(zhàn)，給工業(yè)控制系統(tǒng)網(wǎng)絡信息安全、公司生產(chǎn)經(jīng)營穩(wěn)順、健康持續(xù)發(fā)展等造成不可估量的影響。

2 冶金行業(yè)（煉鋼）高爐工業(yè)控制系統(tǒng)安全現(xiàn)狀

大多數(shù)冶金行業(yè)（煉鋼）高爐工業(yè)控制系統(tǒng)安全還是以管理為主的被動防御，管理體系和管理機制不夠完善，且在技術(shù)上缺乏主動感知防御的控制類安全產(chǎn)品，冶金行業(yè)（煉鋼）高爐的日常生產(chǎn)嚴重依賴于國外公司的工業(yè)控制系統(tǒng)和設備，這些都表明煉鋼高爐工業(yè)控制系統(tǒng)安全形勢十分嚴峻。

2.1 冶金行業(yè)（煉鋼）高爐工控網(wǎng)絡和控制系統(tǒng)情況

煉鋼過程的高爐是自動化程度和生產(chǎn)過程自動化要求最高的場景和關(guān)鍵的環(huán)節(jié)，生產(chǎn)全過程均采用自動化技術(shù)進行嚴格的控制和管理，具有大型化、連續(xù)化、自動化、高速化等特點。因此高爐的工業(yè)控制系統(tǒng)網(wǎng)絡的安全平穩(wěn)、安全運行是保證安全生產(chǎn)的前提。當前高爐自動化網(wǎng)絡結(jié)構(gòu)層次如下：

圖1 高爐自動化網(wǎng)絡結(jié)構(gòu)圖

其中L1、L2、L3屬于生產(chǎn)環(huán)境的工業(yè)控制網(wǎng)絡（以下簡稱：工控網(wǎng)絡）通常采用同一網(wǎng)段的以太網(wǎng)通訊連接，任何連接到網(wǎng)絡內(nèi)的工控終端（例如：PC、工程師站等）都能訪問網(wǎng)絡中的PLC或RTU，并對其進行操作、組態(tài)修改和發(fā)布。

通過對多家大型鋼鐵企業(yè)高爐工業(yè)控制系統(tǒng)研究，發(fā)現(xiàn)鋼鐵高爐工業(yè)控制系統(tǒng)主要設備包括可邏輯編程控制器（PLC）、組態(tài)軟件&數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）軟件、制造執(zhí)行系統(tǒng)（MES）等，其中大量使用諸如西門子等國外主流工控廠商工控設備。

2.2 冶金行業(yè)（鋼鐵）高爐工業(yè)控制系統(tǒng)網(wǎng)絡安全現(xiàn)狀

根據(jù)調(diào)研發(fā)現(xiàn)當前大多數(shù)鋼鐵高爐工控網(wǎng)絡無任何隔離防護設備，同時煉鋼高爐高度自動化和智能化，給煉鋼高爐的工控網(wǎng)絡增加了安全隱患，主要集中在以下幾個方面：

（1）外部攻擊

煉鋼高爐大量的采用IT技術(shù)，其使用的工業(yè)控制系統(tǒng)日益進入黑客的研究范圍。隨著黑客的攻擊技術(shù)不斷進步，攻擊的手段日趨多樣，對于他們來說，入侵到某個系統(tǒng)，實施惡意破壞已經(jīng)不再是問題。2014年，黑客入侵德國鋼鐵廠辦公網(wǎng)絡，利用該網(wǎng)絡進入到鋼鐵廠的生產(chǎn)網(wǎng)絡。對煉鋼高爐工控系統(tǒng)的控制組件進行攻擊，迫使整個生產(chǎn)線停止運轉(zhuǎn)，從而給鋼廠帶來了重大破壞，以及近幾年的震網(wǎng)、duqu、火焰、havex等病毒證明工控系統(tǒng)的網(wǎng)絡威脅日趨嚴峻。

（2）內(nèi)部威脅的加劇

據(jù)中國信息安全測評中心的調(diào)查結(jié)果顯示，網(wǎng)絡安全的主要威脅為內(nèi)部人員有意或無意的破壞，而不是來自外部黑客攻擊或病毒入侵。煉鋼高爐集成、互聯(lián)的各自動化系統(tǒng)普遍缺乏網(wǎng)絡檢測和防護機制，上位機與下位機通訊缺乏必要的身份鑒別和認證機制，只要能夠從協(xié)議層面跟下位機建立連接，就可以對下位機進行修改，普遍缺乏對系統(tǒng)最高權(quán)限的限制，高權(quán)限賬號往往具有掌控系統(tǒng)和數(shù)據(jù)的能力，因此，任意一種非法操作都會導致系統(tǒng)癱瘓。缺乏有效的審計和事后追溯的工具，也使責任劃分和威脅追蹤變得更加困難。

（3）應用軟件威脅

由外部提供的授權(quán)應用軟件無法保證提供完整的保護功能，因此后門、漏洞等問題都有可能出現(xiàn)。

（4）第三方維護人員的威脅

因為發(fā)展戰(zhàn)略、經(jīng)營規(guī)劃、資源投入等原因，會將非核心維護業(yè)務外包，維護人員的素質(zhì)和能力不可控。如何有效地對運維人員的操作進行授權(quán)和控制，執(zhí)行規(guī)范化的嚴格審計是煉鐵高爐工業(yè)控系統(tǒng)安全運行面臨的一個關(guān)鍵問題。

（5）多種病毒的泛濫

病毒可通過移動存儲設備（USB、硬盤等）、外來運維的電腦等進入工控網(wǎng)絡，當病毒感染一個設備就有可能利用高爐工控網(wǎng)絡進行大面積復制和擴散。這種大規(guī)模的傳播與復制，會極大地消耗網(wǎng)絡資源，造成網(wǎng)絡擁塞、網(wǎng)絡風暴甚至網(wǎng)絡癱瘓，成為影響工控網(wǎng)絡安全的主要因素之一。

（6）通信協(xié)議的安全性考慮不足

專用的工控通信協(xié)議或規(guī)約在設計之初一般只考慮通信的實時性和可用性，很少或根本沒有考慮安全性問題，例如缺乏強度足夠的認證、加密或授權(quán)措施等，特別是工控系統(tǒng)中的無線通信協(xié)議，更容易受到中間人的竊聽和欺騙性攻擊。為保證數(shù)據(jù)傳輸?shù)膶崟r性，Modbus/TCP、OPC、Profinet、EtherNet/IP等工控協(xié)議多采用明文傳輸，易于被劫持和修改。

3 冶金行業(yè)（煉鋼）高爐工業(yè)控制系統(tǒng)安全方案的實現(xiàn)

對高爐工業(yè)控制系統(tǒng)的檢測和防護是工控安全的防護核心，也是構(gòu)建整個工業(yè)控制系統(tǒng)防護體系的難點，對安全設備的性能和適應性要求極高。如果不從控制系統(tǒng)開始自下而上建立完整的檢測和防護體系，那么所謂工控系統(tǒng)安全將會形同虛設，猶如空中樓閣。因此我們提倡“自下而上”、“分區(qū)分域”、“整體保護”、“積極預防”、“動態(tài)管理”的安全防護策略，建立設備、行為以及軟件白名單等控制機制，實現(xiàn)對已知、未知威脅以及全局、局部安全態(tài)勢的感知，具備多種安全防護技術(shù)聯(lián)動和主動防御的能力，形成事前預警、事中組織和事后追溯的行為安全防護體系，其拓撲圖如圖2所示：

圖2 某公司高爐工控網(wǎng)絡安全解決方案圖

在L1層的工業(yè)控制系統(tǒng)PLC部署前控制器邊界防護模塊，實現(xiàn)橫向不同工藝段不同功能的工控終端（例如：工程師站、操作站等）的訪問限制或防護，縱向抑制來自其它工藝段的訪問或病毒的攻擊。同時工控環(huán)網(wǎng)中部署PLC完整性檢測系統(tǒng)，一旦在正常生產(chǎn)中的PLC組態(tài)程序遭遇非法修改，能夠及時告警，在必要的時刻恢復被修改的程序，以盡快恢復生產(chǎn)。

在L2層的匯聚交換機部署工控審計系統(tǒng)和入侵檢測系統(tǒng)，對L1和L2交互的數(shù)據(jù)進行記錄和分析，通過工控審計系統(tǒng)實現(xiàn)網(wǎng)絡數(shù)據(jù)傳輸可視化，基于對工業(yè)控制協(xié)議（如OPC、SiemensS7等）的通信報文進行深度解析，對工業(yè)協(xié)議的網(wǎng)絡攻擊、用戶違規(guī)操作、非法設備接入等進行實時監(jiān)測并報警，同時詳實記錄一切網(wǎng)絡通信行為，包括指令級的工業(yè)控制協(xié)議通信記錄，對工業(yè)控制系統(tǒng)的安全事故調(diào)查提供追溯依據(jù)。在工業(yè)入侵檢測設備中預置工控和網(wǎng)絡病毒、漏洞特征庫實現(xiàn)入侵行為的實時檢測和預警。同時在工控終端（例如：工程師站、操作員站）部署基于白名單的主機安全衛(wèi)士，限制非法移動設備的接入，限制非法程序的安裝、運行，對主機的行為進行嚴格的審計。

在L3和L4層應根據(jù)業(yè)務的特點合理部署網(wǎng)絡安全隔離設備（例如：工業(yè)防火墻、網(wǎng)閘）實現(xiàn)不同橫向的有效隔離和數(shù)據(jù)過濾，做到自下而上層級防控。同時部署工控安全管理平臺實現(xiàn)對所有安全設備的集中管控，對安全數(shù)據(jù)的集中分析，最終達到自下而上的整體防護。

4 結(jié)束語

目前，該工控安全防護體系在某公司鋼鐵高爐場景平穩(wěn)運行，也為客戶安全生產(chǎn)強有力的保障。縱觀冶金行業(yè)，由于近些年國內(nèi)外的安全教訓，國家的大力支持，我國冶金行業(yè)工控安全防護意識正逐步提升，工控防護方式和防護策略日趨成熟和標準化。冶金行業(yè)的高自動化、智能化的工廠作為我國關(guān)鍵基礎設施的重要組成部分，正朝著更高效、更安全的運行。

參考文獻：

[1] 王浩, 吳中福, 王平. 工業(yè)控制網(wǎng)絡安全模型研究[J]. 計算機科學, 2007, 34 (5) 96 - 98.

[2] 李國芳. 西門子PLC在中小型高爐噴煤技術(shù)自動控制設計中的應用[D]. 全國冶金自動化信息網(wǎng)2008年會論文集. 2008.

[3] 張瑩. 冶金技術(shù)在煉鐵高爐中的應用和發(fā)展[J]. 山東工業(yè)技術(shù), 2018 (5) 43.

摘自《自動化博覽》2020年2月刊