縱觀我國工業、能源、交通、水利以及市政等國家關鍵基礎設施建設，DCS、PLC等工業控制系統得以廣泛應用，隨著我國兩化融合的深入發展，信息化的快速發展大大提高了公司的運營效率，但TCP/IP、Ethernet等通用技術和通用產品被大量引入工業領域，也將越來越多的信息安全問題擺在了我們面前。
另一方面，長久以來，企業更多關注的是物理安全，信息化發展所需的信息安全防護技術卻相對滯后，近幾年來因控制系統感染病毒而引起裝置停車和其它風險事故的案例屢有發生，給企業造成了巨大的經濟損失。Stuxnet病毒的爆發更是給企業和組織敲響了警鐘，工信部協[2011]451號通知明確指出要切實加強工業控制系統信息安全管理的要求。本文以石化行業為例，就工業控制系統信息安全存在的隱患，及其縱深防御架構體系進行簡要探討。
1 工業控制系統面臨的信息安全漏洞
1.1 通信協議漏洞
兩化融合和物聯網的發展使得TCP/IP協議和OPC協議等通用協議越來越廣泛地應用在工業控制網絡中，隨之而來的通信協議漏洞問題也日益突出。
例如，OPC Classic協議（OPC DA, OPC HAD和OPC A&E） 基于微軟的DCOM協議，DCOM協議是在網絡安全問題被廣泛認識之前設計的，極易受到攻擊， 并且OPC通訊采用不固定的動態端口號，在通訊過程中可能會用到1024-65535中的任一端口，這就導致使用傳統基于端口或IP地址的IT防火墻無法確保其安全性。因此確保使用OPC通訊協議的工業控制系統的安全性和可靠性成為工程師的一個安全技術難題。
1.2 操作系統漏洞
目前大多數工業控制系統的工程師站/操作站/HMI都是基于Windows平臺的，為保證過程控制系統的相對獨立性，同時考慮到系統的穩定運行，通常現場工程師在系統開車后不會對Windows平臺安裝任何補丁，這樣導致了操作系統系統存在被攻擊的可能，從而埋下了安全隱患。
1.3 殺毒軟件漏洞
為了保證工控應用軟件的可用性，許多工控系統操作站通常不會安裝殺毒軟件。即使安裝了殺毒軟件，在使用過程中也有很大的局限性，原因在于使用殺毒軟件很關鍵的一點是，其病毒庫需要不定期的經常更新，這一要求尤其不適合于工業控制環境。而且殺毒軟件對新病毒的處理總是滯后的，導致每年都會爆發大規模的病毒攻擊，特別是新病毒。
1.4 應用軟件漏洞
由于應用軟件多種多樣，很難形成統一的防護規范以應對安全問題；另外當軟件面向網絡應用時，就必須開放其網絡端口。因此常規的IT防火墻等安全設備很難保障其安全性。互聯網攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞獲取諸如污水處理廠、天然氣管道以及其它大型設備的控制權，一旦這些控制權被不良意圖黑客所掌握，那么后果不堪設想。
1.5 安全策略和管理流程漏洞
追求可用性而犧牲安全，是工業控制系統存在的普遍現象，工業控制系統中移動存儲介質包括筆記本電腦、U盤等設備的使用缺乏完整有效的安全策略與管理流程也給工業控制系統信息安全帶來了一定的威脅。
2 石化行業控制系統信息安全現狀分析
目前，實時數據庫系統在石化企業生產經營管理中得到越來越廣泛的應用，通用通訊協議和操作系統也幾乎覆蓋了所有的工業控制系統。根據業務功能的不同，石化行業工控系統網絡一般分為三部分：控制層、數采層和管理信息層，如圖1所示。
圖1 石化行業工控系統網絡結構 ▲
在信息安全方面，石化企業工控系統目前存在的安全問題主要有：
（1）系統終端自身免疫力不足。目前工業計算機操作系統大多采用Windows操作系統，一般不允許安裝操作系統的安全補丁和防病毒軟件，這些先天限制，使得工業計算機的操作系統存在很多已知或未知的漏洞無法解決，一旦發生針對性的網絡攻擊或病毒感染則會造成無法想象的后果；即便安裝殺毒軟件也僅能對部分病毒或攻擊有所抑制，但病毒庫存在滯后，也不能從根本上進行防護。另一方面，項目實施和后期維護中頻繁使用U盤、筆記本電腦等外置設備，并且是在整個系統開車情況下實施，也存在較高的安全隱患。
（2）工業網絡扁平化現象突出。雖然大多數石化企業通過Buffer數采機或OPC Server的雙網卡結構對數采網與控制網進行了隔離，部分惡意程序不能直接攻擊到控制網絡，但對于能夠利用Windows系統漏洞的網絡蠕蟲及病毒等，這種配置并沒有作用，病毒仍會在數采網和控制網之間互相傳播。
（3）系統缺乏信息安全監控措施，網絡攻擊事件無法追蹤。現有網絡如果遭受病毒和黑客攻擊，維護人員無法進行故障點查詢和原因分析，并采取應急響應措施，一些小的安全問題直至發展成大的安全事故才會被發現和解決。
3 基于縱深防御的工業控制系統信息安全解決方案
3.1 系統終端安全
鑒于工業應用的特殊性，工業控制系統的操作站、應用站等終端難以采用傳統的打補丁、殺毒軟件的方式應用層出不窮的操作系統漏洞、計算機后門程序、病毒、數據掃描、密鑰數據塊攻擊等多元化的風險及威脅。有別于傳統的安全技術， 可信計算首先構建一個信任根，再建立一條信任鏈，從信任根開始到硬件平臺，到操作系統，再到應用，一級認證一級，一級信任一級，從而把這種信任擴展到整個計算機系統，以提高系統整體的安全性。
如圖2所示， InTrust工控可信計算安全平臺首創可信計算在工控領域的創新應用，擁有“白名單”模式的智能可信度量系統，并可以通過度量信息實現對程序進程的全面管控，從根本上解決工控系統終端病毒感染、惡意代碼進程啟動、操作系統內核漏洞隱患。
▲ 圖2 采用InTrust 工控可信計算安全平臺提高工控系統終端安全的部署示意圖
3.2 網絡安全
國際行業標準ANSI/ISA-99、IEC62443指出工業控制系統網絡安全要點如表1所示。
參照國際行業標準，同時結合石化行業網絡結構特點以及信息安全需要，可以將其工控網絡劃分為控制網、數采網、工程師站、APC先控站、關鍵控制器等5個區域。
下一步就是實現區域之間網絡通訊的訪問控制。工業防火墻是目前業界比較認可，市場應用最廣的一種網絡安全防護產品。以Guard工業防火墻為例，其采用工業協議深度包檢查（DPI）技術，支持OPC、Modbus TCP等常見工業協議，遠遠超過了端口級別的訪問控制，能提供更加有效的工業協議應用層防護。另外Guard工業防火墻采用無IP連接技術，同時能隱藏后端保護設備的IP地址，令攻擊者無從發現攻擊目標，更不用談發起攻擊。
如圖3所示，在數采網和控制網之間、工程師站前端、APC先控站前端以及關鍵控制器前端部署Guard工業防火墻，可有效防止蠕蟲、木馬等非法病毒在網絡上傳播擴散；隔離工程師站，避免因工程師站感染而導致的病毒擴散；保護APC先控站和關鍵控制器；從網絡層面構建工控系統運行的安全環境。
▲ 圖3 工業防火墻在石化行業工業網絡安全防護中的應用
3.3 智能審計記錄分析
工控安全管理平臺SMP是專門針對工控網絡行為審計記錄的智能分析管理軟件，具備強大的審計日志存儲查詢功能，可以對海量的審計數據進行實時監控和網絡行為態勢分析，使系統安全運維人員能夠通過實時日志展示畫面隨時監控正在發生的不同級別審計日志和報警信息，也可以通過安全管理平臺的條件查詢、統計、篩選、圖表展示和態勢分析算法模型等強大的功能迅速得出網絡健康狀況，最終自動獲得詳細的統計分析報告和事件處置方式建議，實現系統安全運維管理的實時性、完整性、自動化、智能化。
整體“縱深防御”工業控制系統信息安全部署結構如圖4所示。
▲ 圖4 終端加固、網絡安全、智能監控石化行業縱深防御工業控制系統信息安全防護架構
4 結語
石油化工等關鍵基礎設施和能源行業關系國計民生，在我國兩化融合深入發展的同時，如何確保工控系統信息安全是石化行業信息化建設重要的一部分。
本文以縱深防御的工業信息安全防護理念為核心，在充分了解石化行業網絡結構和安全現狀的基礎上，對石化行業工控系統信息安全需求進行了認真分析，從終端安全、網絡安全和智能監控三方面出發，通過部署InTrust工控可信計算安全平臺、Guard工業防火墻以及工控安全管理平臺SMP，實現了石化行業工業控制系統信息安全的縱深防御，能切實有效地保護工控系統遠離木馬、蠕蟲、黑客等各種威脅和攻擊，保障企業生產安全穩定運行。