工业控制系统安全管理和技术防护策略

关键词： 工业

随着信息化和物联网 (internet of things) 的不断发展, 使得工业控制系统 (ICS) 的应用专用控制协议在使用专属硬件后, 其系统的状态得到了很大的改观, 且IP协议在工业控制系统中的广泛应用, 一定程度上也降低了系统运用的成本。IP、TCP协议在ICS中的应用不但有有利之处, 也存在一些W32、W95病毒等安全问题, 这些问题对ICS的安全管理有一定的不利影响, 因此必须要运用相关的防护技术对其进行安全保护。

一、工业控制系统安全管理的现状

科技技术的快速发展, 使得ICS开始经历一场变革, 其逐渐开始向着网络化进行发展。由于工业控制系统的特殊性, 使得一些不法分子利用工业控制系统的楼梯而对系统进行破坏, 使得社会出现多起工业控制系统的安全事件。对于不断发生的ICS安全事件, 国内外都相应的制定出一些技术防范和防护标准, 我国在2009年已发出《关于加强工业控制系统信息安全管理的通知》, 其发布的目的是为了加强对ICS的安全管理, 使得其能够有一些防护技术对其进行保证。国内的一些信息安全企业根据分析ICS的网络结构, 研发出一些技术性的防护措施, 但这些防护技术都需要进行进一步的完善和改进。

二、工业控制系统安全管理中存在的漏洞

2.1通信协议漏洞。物联网和两化融合的快速发展为IP协议的应用提供了一个有利之处, 使得IP和TCP协议开始逐渐应用于工业控制网络中, 然而因网络控制的特殊性, 使得其带来了较多的通信协议方面的问题。由于通信网络没有对客户端访问记录权限进行授权加密, 使得IP客户端地址进行访问时无访问认证, 较容易的入侵到工业控制系统。

2.2操作系统漏洞。由于Windows系统的功能性比较多, 使得很多工业控制系统的技术人员都使用此种系统。Windows系统在经过一段时间后, 会出现一些操作系统上的漏洞, 这些漏洞是难以避免的, 且工业控制系统的操作站在使用此系统时也不会对其进行安全补丁程序, 因此使得很多工业控制系统的操作楼梯存在一些漏洞问题。

2.3应用软件漏洞。ICS中的应用软件种类繁多, 且这些应用软件也不是由同一开发者开发的, 因此使得这些应用软件具有较多的不可控性和危险性。应用软件各种各样的类型, 使得很难对其进行统一性的防护规范, 从而使得其在遇到安全问题时没有防护技术对其进行处理。当应用软件研发出向市场进行推广时, 是需要开发其的应用端口的, 黑客则利用端口的漏洞对其进行病毒处理, 使得系统在安装此软件时病毒自动入侵到控制系统中, 这在一定程度上影响了ICS的安全。

2.4安全策略和管理流程漏洞。较多的ICS为了追求系统的可用性, 而多忽略系统的安全管理性, 因此使得很多的ICS中的安全管理问题日益突出。工业控制系统控制节点是没有防护能力的, 在遇到恶意接入点时也无安全策略对其进行防治, 使得ICS极易被接入点控制。工业控制系统的安全管理流程中无具体的管理要求, 其具备的防护技术有效度比较低, 漏洞情况比较多, 使得黑客较易对系统进行入侵篡改。

2.5杀毒软件漏洞。为了使系统拥有一定的可用性, 很多的ICS都不会安装系统杀毒软件 (anti-virus software) , 目的是为了减少杀毒软件对工业控制系统的防御性, 以提高ICS的可行性, 但这种情况会使得一些系统病毒入侵到控制系统中, 影响了ICS的安全管理操作。即使有些工业控制系统安装了杀毒软件, 但由于系统病毒的不断发展性, 其就是安装了杀毒软件, 也无太多有效之处。

三、对工业控制系统安全管理的技术防护策略

3.1工业控制系统防火墙技术。防火墙技术 (Firewall) 是一种隔离控制技术, 可以对具有攻击性的IP网络设置访问屏障, 以拒绝其对工业控制系统的访问。工业控制系统防火墙技术可以对控制协议进行解析, 对Modbus和DNP3都可以进行深度解析, 使得其能够对OPC端口进行动态追踪, 以对重要寄存器和操作进行系统保护。IT系统防火墙多采用“白名单”和“黑名单”进行访问规程设置的, 工业控制系统则是采用“白名单”进行访问设置的, 其对白名单中的IP地址访问可以设置允许操作, 对非白名单中的TCP、IP接入点则自动拒绝访问操作。Firewall技术可以对网络访问自动进行记录统计, 在其系统出现异常操作时, 能够发出异常报警报告上报给防火墙管理员, 以防止非系统的可疑操作。使用工业控制系统防火墙技术的目的是为了在网络连接中建设一个Security Geteway, 以对不安全NFS协议操作进行拒绝, 且其也可以对经过认证的IP网络访问进行允许的FTP、Telnet操作, 使得出入ICS网络的访问操作可以进行审计和控制。

3.2工业控制系统数据库加密技术。工业控制系统数据库加密技术有三层控制层次, 这三种为物理层、OS层、DBMS层。物理层可以对ICS的系统保存数据进行存储的保障, 而DBMS层是通过控制存储过程来进行系统安全控制的。OS层可以对ICS系统数据进行根本上的保证, 可以防止非法的接入用户从文件、磁盘、以及客体复用等不易察觉的渠道中进入控制系统, 对ICS进行系统的篡改破坏。数据加密技术主要是通过DBMS进行安全控制的, DBMS不对ICS系统服务器产生负载, 且对网络IP中的传输可以实现加密处理, 以防止黑客在传输中的入侵破坏。对ICS进行DBMS数据加密是为了防止黑客对系统拷贝, 以使得ICS可以进行安全的数据管理, 同时DBMS数据加密技术对认证的用户是可以允许操作的, 其对未认证的IP客户端是可以拒绝操作的。

结语:

综上所述, 工业控制系统安全是一个新的安全领域, ICS的安全管理对系统的正常运行时非常重要的, 然而因一些系统漏洞使得工业控制系统在安全管理上有一些问题, 对于这些问题必须要使用相关的防护技术, 以保证工业控制系统的安全。

摘要：由于工业控制系统逐渐开始向IT化和通用化进行发展, 使得其在控制系统中出现了较多的安全管理问题, 这些问题影响了ICS的安全, 对此需要运用一些有效的技术防护措施和安全策略对其进行解决和保护。本文针对此主要对工业控制系统安全管理中存在的问题进行了详细分析, 并同时阐述了相关的技术防护策略。

关键词：工业控制系统,安全管理,技术防洪