久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

    1　數(shù)字安全概述

    1.1　數(shù)字安全現(xiàn)狀

    隨著計算機和網(wǎng)絡(luò)技術(shù)深入而廣泛的應用，現(xiàn)代計算機應用系統(tǒng)的功能日漸復雜，正在對社會各行各業(yè)產(chǎn)生巨大深遠的影響；但同時由于其開放性特點，使得安全問題越來越突出。即使對于相對封閉的電廠控制系統(tǒng)，由于可能存在多種第三方接口，外來未經(jīng)驗證的軟件的意外引入，以及操作系統(tǒng)本身存在的某些漏洞等原因，控制系統(tǒng)的安全管理越來越備受關(guān)注。除了大家所熟知的病毒、蠕蟲和木馬外，威脅控制系統(tǒng)安全的還有：

    （1）惡意軟件，它不同于病毒，可能不會對系統(tǒng)造成破壞性影響，但會侵占系統(tǒng)資源，降低系統(tǒng)的運行穩(wěn)定性。

    （2）未授權(quán)的訪問或者不適當?shù)陌踩L問授權(quán)機制，導致未驗證的第三方軟件的引入，產(chǎn)生潛在的安全威脅。

    （3）網(wǎng)絡(luò)的不當拓展，隨意接入第三方設(shè)備，安全訪問策略配置不當，都是系統(tǒng)安全的潛在威脅。

    （4）操作系統(tǒng)或者應用軟件本身的漏洞，這些漏洞會在使用中逐步被軟件設(shè)計者發(fā)現(xiàn)，然后發(fā)布補丁進行軟件更新，提升系統(tǒng)安全。

    （5）據(jù)有關(guān)統(tǒng)計，70%的安全威脅來自于外部。由此可見，工控系統(tǒng)的安全環(huán)境整治逐步惡化。2014年能源行業(yè)受到攻擊數(shù)占所有行業(yè)第一位^[1]。

    1.2　電廠DCS數(shù)字安全認知誤區(qū)

    雖然電廠DCS是控制發(fā)電機組安全、經(jīng)濟運行的中樞神經(jīng)，但業(yè)界對DCS數(shù)字安全認知是逐步深入的過程。典型的認知誤區(qū)如下：

    DCS已經(jīng)屏蔽了所有USB接口，不會感染病毒或攻擊；網(wǎng)閘、防火墻布置在DCS和SIS/MIS系統(tǒng)之間，與外界Internet或者辦公網(wǎng)絡(luò)隔離沒有感染攻擊途徑。

    殊不知即使硬件隔離、單向通訊等措施都無法保障DCS系統(tǒng)的數(shù)字安全，存在潛在風險。單元機組DCS與眾多PLC相互通訊，即使PLC主要用于輔助系統(tǒng)，但很多也是實時系統(tǒng)，同屬于I區(qū)。但DCS與PLC之間沒有相關(guān)隔離措施，與《電力監(jiān)控系統(tǒng)安全防護規(guī)定》不符。

    其次，由于品牌眾多，各個PLC廠家在系統(tǒng)架構(gòu)設(shè)計時對數(shù)字安全應對措施和能力不同；PLC往往由集成商分別購買硬件、人機接口軟件整合而成；計算機操作系統(tǒng)補丁無法及時更新；人機接口眾多，導致整個I區(qū)安全邊界廣泛；運行維護人員認知參差不齊、措施千差萬別，因此PLC是導致DCS潛在數(shù)字危險的最薄弱環(huán)節(jié)。

    而常見的Modbus、OPC、DNP、101、104等通訊協(xié)議均為考慮數(shù)字安全需求，對于病毒、攻擊均為透明，無法阻止病毒擴散。

    網(wǎng)閘、防火墻僅在DCS與MIS/SIS間起到了一定的防護作用，但本身也具有一定的局限性。而且對DCS側(cè)已經(jīng)存在的數(shù)字危險如病毒等束手無策。

    即使屏蔽所有計算機USB接口，在一定程度上降低數(shù)字風險，但數(shù)字危險有很多感染途徑和層次，包含操作系統(tǒng)、數(shù)據(jù)、通信、應用、運行、管理等多個層面。

    1.3　有重點、分階段實施

    理論上說，業(yè)主應該全面考慮整個電廠I區(qū)的數(shù)字安全，但I區(qū)范圍較廣，且實施數(shù)字安全必須要與控制系統(tǒng)原廠商合作，牽扯面較廣，因此切實可行、性價比高的方案是先實施電廠中樞神經(jīng)DCS的數(shù)字安全，然后逐步擴展到I區(qū)其它子系統(tǒng)。

    控制系統(tǒng)數(shù)字安全應該從兩個方面考慮，一是技術(shù)手段，采用有效的、穩(wěn)定的設(shè)備和技術(shù)方案來確保系統(tǒng)的運行正常，而另一方面是人的因素，系統(tǒng)安全的實現(xiàn)很大程度上也依賴安全管理制度和人員水平。本文僅從技術(shù)角度來說明數(shù)字安全。

    1.4　國際、國內(nèi)標準及縱深防御

    多家國際組織積極行動，目前已經(jīng)制訂了相關(guān)安全標準。其中最有影響力的，就是NERC（北美電力可靠性委員會 North American Electric Reliability Council）創(chuàng)建的CIP（關(guān)鍵基礎(chǔ)設(shè)施保護 Critical Infrastructure Protection）標準和IEC 62443/ISA 99（工業(yè)通訊網(wǎng)絡(luò)-網(wǎng)絡(luò)及系統(tǒng)安全）。ABB有多名專家參與起草制定包括這兩個標準在內(nèi)的多個國際標準。

    《電力監(jiān)控系統(tǒng)安全防護規(guī)定》自2014年9月1日起施行，確定了“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”16字方針。2004年12月20日原國家電力監(jiān)管委員會發(fā)布的《電力二次系統(tǒng)安全防護規(guī)定》（國家電力監(jiān)管委員會令第5號）同時廢止。

    GB/T30976-2014《工業(yè)控制系統(tǒng)信息安全》（2個部分）于2014年12月2日被批準為推薦性國家標準。

    這些標準詳細描述了工控系統(tǒng)在改善數(shù)字安全方面所必需采取的舉措，并提出了縱深防御的理念。而Symphony整體解決方案就是參考以上標準，并基于縱深防御理念防護控制系統(tǒng)安全。整套解決方案包括防病毒、白名單、入侵檢測、漏洞掃描、災難備份及恢復、安全事件管理及記錄等。

    2　Symphony整體解決方案

    Symphony整套安全防護方案由一組安全應用程序和服務組成，能夠強化和管理Symphony專家控制系統(tǒng)的系統(tǒng)安全，而不會中斷實時生產(chǎn)過程。從硬件上看，它包含了一臺工作站，作為系統(tǒng)安全管理站，所有的安全功能都運行在此獨立的計算機上，同時承擔對在同一網(wǎng)絡(luò)上的其它計算機的部署管理工作。從軟件上看，安全應用程序包含了以下功能軟件。

    2.1　病毒防護

    提供了一種非常獨特的方法來保護Symphony工作站免于遭受病毒、蠕蟲和木馬。ABB公司會定期提供經(jīng)過驗證的病毒庫，由安全可靠的媒介（比如只讀光盤）更新至系統(tǒng)安全管理站后，系統(tǒng)安全管理站會自動將其部署到網(wǎng)絡(luò)上的所有其它工作站，完成它們的病毒碼更新。

    （1）確?？蛻舳说陌踩?，有效查殺終端上的各類病毒、蠕蟲、惡意程序；

    （2）主動的病毒防護，防病毒客戶端根據(jù)漏洞可以阻擋未知蠕蟲病毒；

    （3）防病毒系統(tǒng)集成了探測清除模塊；

    （4）Windows平臺微軟安全補丁安裝狀態(tài)檢測和報警，并且提供詳細的報表；

    （5）能夠自動探測未受防病毒系統(tǒng)保護的計算機；

    （6）病毒爆發(fā)時的LockDown功能是指當出現(xiàn)中高威脅的病毒爆發(fā)時，通過修改防系統(tǒng)安全管理站的一個策略，并分發(fā)到客戶端后，客戶端在實施Lockdown策略時，絕對無法感染病毒、木馬和間諜軟件；

    （7）能夠自動探測外來電腦接入內(nèi)部網(wǎng)絡(luò)，并向管理員發(fā)出報警；

    （8）對網(wǎng)絡(luò)內(nèi)的應用服務進行全面防護，包括Unix/Linux服務器，從而切斷病毒在網(wǎng)絡(luò)內(nèi)的寄生和傳播；

    （9）通過分層的防病毒管理服務器實現(xiàn)分布式自動更新和分層分地域分權(quán)管理；

    （10）病毒爆發(fā)響應機制，通過端口鎖定、文件、文件夾鎖定和通知功能，使得在病毒爆發(fā)阻止和病毒爆發(fā)快速響應方面具有完善有效的技術(shù)手段，并結(jié)合完善的技術(shù)服務體系，確保病毒不會大規(guī)模爆發(fā)。

    2.2　入侵檢測IPS/IDS

    （1）絕大多數(shù)人首先會想到“防火墻”。防火墻得到了廣泛的部署，并被作為多層安全體系結(jié)構(gòu)的第一層防護，它主要是作為一個訪問控制設(shè)備，允許特定協(xié)議（例如 HTTP、DNS、SMTP）在一組源地址和目標地址之間傳遞。作為訪問策略增強的一個組成部分，防火墻一般是通過檢查數(shù)據(jù)包來制定流量決策。一般來說，它們并不能檢查數(shù)據(jù)包的全部內(nèi)容，因此，也無法檢測或攔截嵌入到普通流量中的惡意代碼。需要注意的是，路由器也是通過數(shù)據(jù)包過濾來實現(xiàn)防護功能，因此，它提供的也是一種不完善的保護。

    （2）雖然說基于防火墻和路由器的數(shù)據(jù)包過濾是全面數(shù)字安全拓撲結(jié)構(gòu)的必要組件，但僅靠它們是遠遠不夠的。

    （3）檢測異常網(wǎng)絡(luò)流量。發(fā)現(xiàn)新的弱點和新的威脅時，能夠有手段在Internet入口及網(wǎng)絡(luò)邊界阻止這些威脅，實時保護內(nèi)部網(wǎng)絡(luò)的安全。

    （4）深度數(shù)據(jù)包檢測以及無延遲特性，可在攻擊到達其目標前搶先將其攔截，可為整個網(wǎng)絡(luò)環(huán)境提供優(yōu)異的準確性和業(yè)務關(guān)鍵性能。

    （5）基于完整的攻擊分析方法，并引入了業(yè)界最為全面的網(wǎng)絡(luò)攻擊特征檢測、異常檢測以及拒絕服務攻擊檢測技術(shù)，除了可以防御已知攻擊，還可以防御未知的蠕蟲、攻擊和后門程序，抵御拒絕服務攻擊等。

    2.3　白名單

    提供了一種非常獨特的方法來保護Symphony工作站免于遭受病毒、蠕蟲和木馬。它采用在每臺終端工作站的核心層建立應有程序白名單，簡單高效地阻止任何未授權(quán)的可執(zhí)行程序的運行。如果可執(zhí)行程序不在白名單列表中，它就不能運行。

    2.4　漏洞掃描和補丁管理

    （1）負責發(fā)現(xiàn)操作系統(tǒng)和網(wǎng)絡(luò)漏洞，提示系統(tǒng)管理人員，經(jīng)確認后進行補丁軟件的分發(fā)。

    （2）只要能夠及時修補網(wǎng)絡(luò)內(nèi)部的各個安全漏洞，就能夠在面對任何安全威脅的時候從容不迫地解決問題。而傳統(tǒng)的安全產(chǎn)品（防病毒、防入侵等），只是去抵御安全威脅，卻忽視了資產(chǎn)的重要性和對漏洞的管理。

    2.5　災難備份及恢復

    按照縱深防御理念，對系統(tǒng)定期備份，并定期測試備份的質(zhì)量。Symphony系統(tǒng)有專門的備份工具，必要時異地備份。

    2.6　安全事故管理和記錄

    負責規(guī)范所有的事件和日志，它們來自系統(tǒng)內(nèi)的防火墻、入侵檢測軟件、惡意軟件防護應用、漏洞掃描、網(wǎng)絡(luò)設(shè)備、工作站和活動目錄。

    3　工程實施

    Symphony數(shù)字安全整體解決方案的實施，不僅包括以上所述各個組件的部署，還與用戶重新審查Symphony系統(tǒng)的安全策略和維護管理措施，主要內(nèi)容包括：

    （1）審查Symphony網(wǎng)絡(luò)連接情況，確定系統(tǒng)安全的防護邊界，提交審計報告；

    （2）在DCS操作員站、工程師站、歷史站等設(shè)備上做必要的設(shè)置；

    （3）審查Symphony的授權(quán)系統(tǒng)，與用戶確認這些授權(quán)是必要而且合理的；

    （4）部署安全中心組件，與用戶確認每臺操作站需要運行的程序和功能；

    （5）完善Symphony備份機制，建立異地備份；

    （6）與用戶討論建立系統(tǒng)安全維護制度；

    （7）將更新的病毒庫，定期以光盤形式給用戶發(fā)送安全補丁包。

    4　結(jié)語

    工控系統(tǒng)的數(shù)字安全是一個不斷完善的過程。ABB能夠隨時根據(jù)用戶需求對控制系統(tǒng)進行評估，形成一個安全行動計劃，來保護用戶的數(shù)字資產(chǎn)。同時，用戶加強安全業(yè)務意識，強化安全制度及執(zhí)行，也是確保數(shù)字資產(chǎn)安全的另一重要方面。


作者簡介

宋相儒（1978-），男，陜西咸陽人。畢業(yè)于華北電力大學熱工自動化專業(yè)?，F(xiàn)為北京ABB貝利工程有限公司業(yè)務拓展專員，主要研究方向為電廠熱工自動化及儀表。