工業控制系統概述

　　?

　　工業控制系統，主要是由實時數據監測與采集過程控制組件和自動化控制組件組成，其組件包括通信接口技術、智能電子設備、遠程終端、可編程邏輯控制器、分布式控制系統、數據監控與采集系統等。目前，工業控制系統在各領域得到了廣泛應用，如生產企業、公用事業、水利、交通運輸、能源、電力和工業等，其被控對象涉及范圍較廣，如家用電器、家庭生活設施、儀器儀表、實驗裝置、交通工具、機械裝置和生產過程等。該系統作為國家信息系統和關鍵基礎實施的重要內容，能夠自動化調節、控制、指揮和監測工作過程，保證工業設施運行的安全性及可靠性。就現階段而言，嵌入式芯片或計算機是工業控制系統自動化的核心部件，其經過了專用機、通用機和Internet終端等階段，基本由受控工業過程、遠程終端和主控站這三部分組成。

　　工業控制系統的安全問題

　　工業控制系統在最初發展的幾十年里是完全獨立的，與企業管理系統是隔離的。但是隨著各行業企業對實現管理與控制的一體化需求的增加，工業控制系統和企業管理信息系統逐步實現了網絡化集成，管理信息網絡與生產控制網絡之間實現了數據交換，導致工業控制系統不再是一個獨立運行的系統，而要與管理系統甚至互聯網進行互通、互聯。

　　另外，工業控制系統的結構也在向工業以太網結構發展，開放性越來越強?；赥CP/IP協議以太網通訊技術在該領域得到廣泛應用。工業控制系統中大量使用了使用了通用PC服務器、PC終端、通用的操作系統和數據庫，這樣很容易遭到來自企業管理網或互聯網的病毒、木馬以及黑客的攻擊。

　　這里我們就不一一列舉典型案例了。

　　工業控制系統安全應對策略

　　一、安全軟件選擇與管理

　　(一)在工業主機上采用經過離線環境中充分驗證測試的防病毒軟件或應用程序白名單軟件，只允許經過工業企業自身授權和安全評估的軟件運行。

　　(二)建立防病毒和惡意軟件入侵管理機制，對工業控制系統及臨時接入的設備采取病毒查殺等安全預防措施。

　　二、配置和補丁管理

　　(一)做好工業控制網絡、工業主機和工業控制設備的安全配置，建立工業控制系統配置清單，定期進行配置審計。

　　(二)對重大配置變更制定變更計劃并進行影響分析，配置變更實施前進行嚴格安全測試。

　　(三)密切關注重大工控安全漏洞及其補丁發布，及時采取補丁升級措施。在補丁安裝前，需對補丁進行嚴格的安全評估和測試驗證。

　　三、 邊界安全防護

　　(一)分離工業控制系統的開發、測試和生產環境。

　　(二)通過工業控制網絡邊界防護設備對工業控制網絡與企業網或互聯網之間的邊界進行安全防護，禁止沒有防護的工業控制網絡與互聯網連接。

　　(三)通過工業防火墻、網閘等防護設備對工業控制網絡安全區域之間進行邏輯隔離安全防護。

　　四、物理和環境安全防護

　　(一)對重要工程師站、數據庫、服務器等核心工業控制軟硬件所在區域采取訪問控制、視頻監控、專人值守等物理安全防護措施。

　　(二)拆除或封閉工業主機上不必要的USB、光驅、無線等接口。若確需使用，通過主機外設安全管理技術手段實施嚴格訪問控制。

　　五、身份認證

　　(一)在工業主機登錄、應用服務資源訪問、工業云平臺訪問等過程中使用身份認證管理。對于關鍵設備、系統和平臺的訪問采用多因素認證。

　　(二)合理分類設置賬戶權限，以最小特權原則分配賬戶權限。

　　(三)強化工業控制設備、SCADA軟件、工業通信設備等的登錄賬戶及密碼，避免使用默認口令或弱口令，定期更新口令。

　　(四)加強對身份認證證書信息保護力度，禁止在不同系統和網絡環境下共享。

　　六、遠程訪問安全

　　(一)原則上嚴格禁止工業控制系統面向互聯網開通HTTP、FTP、Telnet等高風險通用網絡服務。

　　(二)確需遠程訪問的，采用數據單向訪問控制等策略進行安全加固，對訪問時限進行控制，并采用加標鎖定策略。

　　(三)確需遠程維護的，采用虛擬專用網絡(VPN)等遠程接入方式進行。

　　(四)保留工業控制系統的相關訪問日志，并對操作過程進行安全審計。

　　七、安全監測和應急預案演練

　　(一)在工業控制網絡部署網絡安全監測設備，及時發現、報告并處理網絡攻擊或異常行為。

　　(二)在重要工業控制設備前端部署具備工業協議深度包檢測功能的防護設備，限制違法操作。

　　(三)制定工控安全事件應急響應預案，當遭受安全威脅導致工業控制系統出現異?；蚬收蠒r，應立即采取緊急防護措施，防止事態擴大，并逐級報送直至屬地省級工業和信息化主管部門，同時注意保護現場，以便進行調查取證。

　　(四)定期對工業控制系統的應急響應預案進行演練，必要時對應急響應預案進行修訂。

　　八、資產安全

　　(一)建設工業控制系統資產清單，明確資產責任人，以及資產使用及處置規則。

　　(二)對關鍵主機設備、網絡設備、控制組件等進行冗余配置。

　　九、數據安全

　　(一)對靜態存儲和動態傳輸過程中的重要工業數據進行保護，根據風險評估結果對數據信息進行分級分類管理。

　　(二)定期備份關鍵業務數據。

　　(三)對測試數據進行保護。

　　十、供應鏈管理

　　(一)在選擇工業控制系統規劃、設計、建設、運維或評估等服務商時，優先考慮具備工控安全防護經驗的企事業單位，以合同等方式明確服務商應承擔的信息安全責任和義務。

　　(二)以保密協議的方式要求服務商做好保密工作，防范敏感信息外泄。

　　十一、落實責任

　　通過建立工控安全管理機制、成立信息安全協調小組等方式，明確工控安全管理責任人，落實工控安全責任制，部署工控安全防護措施。