钢铁行业工业控制系统安全防护研究

前言：想要写出一篇引人入胜的文章？我们特意为您整理了钢铁行业工业控制系统安全防护研究范文，希望能给你带来灵感和参考，敬请阅读。

摘要:在两化融合的时代背景下，面对严峻的工控安全形势，为提高企业生产工作效率，加强企业工控安全防护能力，本文主要结合我国钢铁行业工业控制系统安全现状和相关政策法规，分析钢铁行业生产系统安全风险问题和需求，解决现阶段钢铁行业面临的工控安全问题并提出有针对性的安全防护措施。

关键词:钢铁行业;工业控制系统;风险分析;网络安全

0引言

工业互联网、“中国制造2025”等战略概念的提出，积极促进了我国生产制造模式的变革、产业组织创新和升级，使得传统工业行业的信息基础设施能够进行远程智能化监控，深度融合IT及信息技术的制造业智能化也得以广泛应用，而工业控制系统设计之初是为了完成各种实时控制功能，并没有优先考虑安全性问题，而内外部网络的互联互通也带来不小的安全风险和隐患。钢铁工业企业是典型的生产、资金、技术密集型企业，其生产连续性强，生产系统耦合性高。对于钢铁行业工业控制系统而言，产生安全威胁的因素也是多方面的，例如系统终端防护漏洞、系统配置和软件缺陷、协议漏洞、隐藏后门、非法外联、违规操作、弱密码等。如何有效地防范内外部入侵攻击，做好工业控制系统网络安全的防护工作，确保生产系统的稳定运行，是钢铁行业信息安全所亟待解决的问题。

1钢铁工控系统网络架构

钢铁行业企业信息化体系分为五级架构:一级基础自动化系统(BAS)，如一些现场的数据采集仪表、PLC等设备;二级过程控制系统(PCS)，包括各类相对独立的功能模块，如计量系统二级、扫描发货二级、设备管理二级系统等;三级车间级制造执行系统(MES)，负责计划排产、下达生产指令、仓储管理、质量管理、物流管理等;四级企业资源计划系统(ERP);五级企业间管理决策系统(DSS)。钢铁企业内部主要以炼铁、炼钢、热轧、冷轧等大工序为区域划分，或者以公辅类处理为综合区域的车间。组网方式一般采用星型或环网架构，称为实时控制网，负责控制器、操作站之间的过程控制实时通讯，环网内数采机、工作站、PLC等设备多使用以太网接口通讯，传输介质通常采用光纤或网线。工业主机通过双网卡与上下级网络通讯。在钢铁冶炼工业自动化过程中，高精度板厚控制器、炼钢智能控制系统、轧薄带智能系统、高炉控制系统、SCADA系统、PLC、DCS等普遍应用在生产控制系统;MES、ERP、CIMS也被广泛应用于企业管理运营，使企业的生产管理产生了革命化的转变。

2钢铁行业安全现状分析

2．1网络结构

钢铁生产控制系统每一条生产线通过光纤或网线连通到上行网络，操作层网络同上行网络间缺乏必要的边界防护措施，如果病毒从管理网侵入网络后，就可以长驱直入到生产现场，甚至直接威胁到PLC等设备的正常运行。另外，生产现场存在不同控制系统共用控制设备和网络设备的情况，各区域边界划分不清，存在安全风险，某条生产线出现问题，会很快传播到其他生产线进而来影响整个工控系统网络。

2．2操作主机

(1)操作系统漏洞风险。出于对程序运行的兼容性和稳定性等因素的考虑，现场有很多工业主机采用Windows操作系统，厂商在系统稳定运行之后不会去更新补丁，并处于裸机运行的状态，也因此留下安全隐患，容易受到恶意代码、蠕虫、病毒的攻击。(2)防病毒软件风险。为提高主机安全防护能力，一些用户仅仅是在主机上安装黑名单杀毒软件，但是存在较大的缺陷，原因在于需要不定期更新病毒库，这一点并不适用于工业场景，无法及时发现和查杀新型病毒或是在面对未知的程序文件产生误杀现象，导致每年都会爆发大规模的网络安全攻击事件。工控现场的主机开放TCP102、TCP135、TCP445等业务必要使用的端口。攻击者可利用操作系统漏洞轻松地控制上位机，给生产安全带来巨大风险，如2018—2019年勒索病毒事件利用的就是主机开放的445端口。

2．3网络入侵

工控系统网络中缺乏网络防入侵及流量审计相关措施，外界木马、病毒等一旦突破网络边界进入现场工控网络，系统不能在第一时间进行发现、记录等，不能对网络攻击及时发现、预警、处理等。

2．4外来设备

(1)维护设备风险。工业控制网络中存在大量工控设备，很多工控设备需要定期维护、升级等，这些操作大多会依赖第三方集成商甚至是国外厂商，基本会使用到第三方软件和相应硬件。这些软件和硬件的接入会直接威胁到工业控制网络。(2)外设风险。外设风险是目前工业控制网络系统中公认存在的最普遍最具威胁的风险。如“震网病毒”事件就是典型的依靠U盘将外界网络病毒携带进工业控制网络的典型案例。综合区域、烧结区域、炼铁区域、炼钢区域，包括碱洗退火工艺工控系统网络相关上位主机上存在使用U盘的使用痕迹。现场操作人员不规范使用U盘，或者使用相关USB端口为手机充电等。USB端口的管理需要使用技术手段进行管控，同时也要加强现场操作人员的安全管理意识。

2．5制度缺失

(1)管理制度风险。管理人员、运维人员的技术能力和安全意识参差不齐，容易发生越权访问、下达非法指令等行为，给生产系统带来隐患。因此，对内外部人员的操作访问行为进行监控、管理与审计是非常必要的。(2)安全意识风险。一般而言，工业控制系统相对互联网或传统企业IT网络较为封闭，在“震网病毒”事件发生之前少有黑客攻击工业控制网络。工业控制系统在设计之初往往忽略了系统本身的安全性问题，更没有制订完善的安全防护标准、管理制度，对人员的安全意识培养不重视，导致用户对危险源没有感知，出现网络安全事件没有应急处理能力。

2．6安全管理

(1)威胁发现不及时。目前主流的工业控制系统大多存在安全漏洞，如SQL注入、跨站脚本攻击XSS、网站挂马、弱用户认证、缓冲区溢出、CGI漏洞等，而且近年来公布的漏洞数量依然呈现增长趋势。工业控制系统私有协议种类繁多、系统软件升级难、设备使用周期较长且考虑可用性无法打补丁等问题，导致威胁漏洞处理不及时，系统补丁升级困难。(2)设备管理混乱及预警风险。工控网络中部署大量的安全设备和安全软件，这些设备或软件会来自不同厂商或集成商。如何对设备和软件进行集中管理、策略下发、状态监测，发挥各个设备的优势为整个生产网络提供漏洞监测、风险预警等最基本的技术支撑是管理者需要考虑的重要问题。此外，由于工控网络中设备数量及种类众多，导致资产统计不完整、不完全、不定时等，可能会造成资产管理混乱。(3)安全态势缺失。很多规模较大的生产控制系统没有对整个企业工控网络安全进行顶层设计。公司在技术层面上缺少对全网风险预警和对风险的实时感知能力，无法完成对攻击源的精准定位和研判，缺乏整体应急指挥能力、决策能力和应急处置能力。

3安全防护设计

本研究结合钢铁行业工控网络安全现状分析和等级保护要求，从管理中心、区域边界、通信网络、计算环境层面，构建钢铁行业工控系统事前预警、事中防御、事后溯源的安全防护体系。图1所示为安全防护系统布局。(1)数据安全交换与隔离。钢铁生产控制系统通讯协议均为工业专用协议，且因为前期并没有安全层面的考虑，导致许多生产数据，如用料成分、生产排程、材料试验数值等都是明文传输或是HEX类型的文件，通过报文监听手段就能轻易地获取传输内容，造成生产数据的外泄。所以需要在生产网与办公网之间增加双向物理隔离设备，数据包只以专有数据块方式静态地在内外网络间进行安全“摆渡”，切断了内外网络之间的直接连接，保证数据能够安全、可靠、稳定地交换。当内网与外网之间无信息交换时，数据交换单元、内网交换单元与外网处理单元，三者之间不存在任何物理连接。办公网若试图对生产网发起攻击时，可使攻击者对目标网络不可达，无法发现工控网资产。(2)边界访问控制。按照工艺划分安全域，主要分为炼铁区域、炼钢区域、综合区域等;可分别在各安全域网络边界位置桥接部署工业级防火墙，通过对工业协议的深度解析，综合运用工控威胁特征识别技术、机器自学习与可信白名单技术，在提供传统防火墙的逻辑隔离、访问控制等功能的同时，也可有效抵御各类针对工控系统的网络攻击和恶意破坏，为生产控制系统的稳定运行提供安全保障。(3)入侵检测与审计。在各安全域汇聚交换机位置旁路镜像部署流量审计或入侵检测类设备，作为工业防火墙的补充，通过内置的工控威胁特征库、病毒特征库等功能模块，对网络进行入侵攻击检测，提供动态保护。在病毒对网络系统造成危害前，及时检测到危险源，并产生报警事件，攻击事件发生后，能够给用户提供详细的攻击信息，便于后期调查取证和溯源。(4)主机安全加固。应在操作员站、工程师站、服务器等设备上安装白名单防护软件，通过白名单式管控技术，一键固化系统当前运行环境，阻断震网、Havex、沙虫、已知和未知病毒木马攻击，细粒度管控外设接口，切断移动介质传播病毒的途径。采用双因子认证、注册表保护、重要文件行为审计等功能，确保主机实现身份鉴别、访问控制、恶意代码防范等功能。(5)集中管理控制。建立一个安全管理中心，对业务系统、网络设备、安全设备、操作系统、数据库等相关系统日志、运行日志、告警日志进行采集、分析、储存;监控各设备的操作行为，实现账号集中授权管理、身份认证、深层次访问授权控制等功能，让内外部人员的操作处于可管控、可审计的状态下，预防非法操作带来的风险隐患;对生产网各类安全设备进行统一管理配置、策略下发。打破安全孤岛，帮助企业建立纵深防御体系来抵御网络中的威胁攻击。要通过大数据分析、机器学习等技术对工业互联网业务安全行为进行分析和建模，对威胁和攻击行为进行预测、响应和溯源，通过多维度可视化技术展示，使整体安全状态可感知，安全态势可预测。(6)规范管理制度。制定安全管理制度，指定专人负责管理制度的日常运营工作，包括制度存档、制度修订、制度维护、制度发布和制度销毁工作，并将相关责任落实到对应岗位人员;确立安全管理机构和安全管理人员，明确各岗位人员职责分工;建立完善的安全培训体系，包括工控网络安全意识培训、工控网络安全技术培训、设备安全使用培训等。

4结语

本文通过对钢铁行业工业控制系统安全现状的探讨与分析，深入到钢铁行业工控安全技术研究，挖掘实际生产业务场景下的安全需求，提出了一系列有针对性的安全防护策略。关键技术可广泛应用于钢铁行业含有工业控制系统的企业或集团，有助于提高钢铁行业整体的网络安全技术水平。最终达到威胁攻击可防御、安全配置可查询、网络通信行为可管理、风险隐患可控制、系统运行安全可信任。

作者:刘虹炎 于方元 曹磊 单位:江阴兴澄特种钢铁有限公司 上海金自天正信息技术有限公司 北京珞安科技有限责任公司