導(dǎo)航：安全管理網(wǎng)>> 安全管理>> 行業(yè)安全>> 其它行業(yè)>>正文

工業(yè)控制系統(tǒng)信息安全業(yè)務(wù)發(fā)展思路

文檔作者：朱毅明文檔來源：和利時(shí)集團(tuán)		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年06月06日
下載地址：點(diǎn)擊這里	文件大?。?656.33 KB 共2頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：656.33 KB 共2頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：網(wǎng)絡(luò)空間烽煙起工業(yè)安全幾多愁

上一篇：修理廠環(huán)境保護(hù)管理措施

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

工業(yè)控制系統(tǒng)信息安全
工業(yè)控制系統(tǒng)信息安全業(yè)務(wù)發(fā)展思路
和利時(shí)集團(tuán)朱毅明
1工控系統(tǒng)信息安全市場現(xiàn)狀
污染和人員傷亡,危險(xiǎn)性大,信息安全風(fēng)險(xiǎn)較大
目前工控系統(tǒng)信息安全市場現(xiàn)狀還處于“雷聲大,雨點(diǎn)小”
由于交通、電網(wǎng)、市政設(shè)施和管線,長輸油氣管線、水
的階段,主要存在以下問題:
利設(shè)施、礦山等行業(yè)采用的工業(yè)監(jiān)控系統(tǒng)地理分布廣泛,大部分
(1)商業(yè)模式不成熟,生態(tài)環(huán)境不完整
設(shè)備無人值守自動運(yùn)行,采用公網(wǎng)或無線傳輸,容易遭到攻擊,
(2)在工控系統(tǒng)信息安全改造升級和新建工控系統(tǒng)信息且直接影響社會安定,信息安全風(fēng)險(xiǎn)較大
安全采用的策略不盡相同
離散制造業(yè)在受到惡意攻擊主要是停產(chǎn)和廢品率升高造
(3)工控行業(yè)產(chǎn)品利潤空間較小,信息安全產(chǎn)品價(jià)格要成的經(jīng)濟(jì)損失
合理:
大型數(shù)控加工中心存儲的秘密數(shù)據(jù)存在泄漏的風(fēng)險(xiǎn)
(4)工控信息安全市場尚處于培育階段,長期的盈利模式
危險(xiǎn)的工業(yè)設(shè)施大多保留手動或非數(shù)字化的后備保護(hù)系
不夠清晰
統(tǒng),如果受到攻擊,經(jīng)濟(jì)損失不可避免,但惡性事故發(fā)生的風(fēng)險(xiǎn)
(5)僅僅依靠政策是很難保證工控系統(tǒng)信息安全市場的健不大。
康持續(xù)成長
對于中國用戶來說,面對工業(yè)控制系統(tǒng)信息安全建設(shè),目前
仍存在缺少信息安全專業(yè)人員,維護(hù)能力弱缺少維護(hù)經(jīng)費(fèi),特
2來自最終用戶的聲音
別是長期的服務(wù)采購費(fèi)用;沒有工控系統(tǒng)信息安全標(biāo)準(zhǔn)和設(shè)計(jì)規(guī)
從用戶角度來說,對于工業(yè)控制系統(tǒng)信息安全他們關(guān)心的范;缺少權(quán)威的認(rèn)證檢測機(jī)構(gòu)等現(xiàn)實(shí)問題
是對他們的生產(chǎn)過程造成的影響。惡意攻擊的最終目標(biāo)是實(shí)際
的工業(yè)設(shè)施或工藝裝備,所以,應(yīng)該面向具體的工業(yè)應(yīng)用開展
3工控系統(tǒng)信息安全產(chǎn)品
信息安全風(fēng)險(xiǎn)評估和安全分級,而不是面向工業(yè)控制系統(tǒng)設(shè)備
對于工業(yè)控制系統(tǒng)信息安全產(chǎn)品,必須要考慮到工業(yè)控制
本身。
系統(tǒng)本身的特點(diǎn),信息安全系統(tǒng)往往需要頻繁地在線升級,而
針對具體行業(yè)的特點(diǎn),分析如下
整個(gè)工控系統(tǒng)往往不允許停機(jī),無需停機(jī)而進(jìn)行升級對于要求
由于化工、石油、火電、核電、冶金等行業(yè)連續(xù)過程工高可靠性的用戶來說非常重要。工業(yè)控制系統(tǒng)信息安全產(chǎn)品
藝的特點(diǎn),一且中斷運(yùn)行,經(jīng)濟(jì)損失大,甚至可能造成嚴(yán)重環(huán)境般分為兩類:
 78 AUTOMATION PANORAMA 2014.10
(1)網(wǎng)絡(luò)安全增強(qiáng)型產(chǎn)品:外掛式,不需要修改現(xiàn)有工控
已知威脅檢測報(bào)警
系統(tǒng)的網(wǎng)絡(luò)協(xié)議、軟件和硬件,增加網(wǎng)絡(luò)信息安全設(shè)備,對于既
遠(yuǎn)程管理和升級
有工控系統(tǒng)是透明的。
而對于網(wǎng)絡(luò)安全過濾產(chǎn)品,網(wǎng)絡(luò)協(xié)議深度解析非常重要,
外部邊界網(wǎng)關(guān)、防火墻等
包括:
網(wǎng)絡(luò)安全審計(jì)系統(tǒng)
采用單端口還是多端口
網(wǎng)絡(luò)過濾設(shè)備
是否限制MAC、IP
加密傳輸設(shè)備
是否限制命令碼
病毒查殺、漏洞探查修復(fù)等
是否限制可訪問數(shù)據(jù)對象
(2)本質(zhì)信息安全型產(chǎn)品:嵌式,修改工控系統(tǒng)的網(wǎng)絡(luò)
網(wǎng)絡(luò)延遲
協(xié)議、軟件和硬件,從本質(zhì)上提升工控系統(tǒng)的信息安全性能。
信息安全的工業(yè)實(shí)時(shí)網(wǎng)絡(luò)協(xié)議
5“本質(zhì)信息安全”的工控系統(tǒng)
可信工業(yè)控制系統(tǒng)開發(fā)環(huán)境
工控系統(tǒng)要求分散部署,采用分布式控制模式,每一個(gè)控
IEC61131-3編譯器
制節(jié)點(diǎn)具備獨(dú)立工作的能力,采用的信息安全手段要支持去中心
下裝身份驗(yàn)證
化設(shè)計(jì),集中的信息安全管理設(shè)備可能不適用。由于工作環(huán)境惡
代碼加密
劣,工控系統(tǒng)采用的嵌入式處理器性能遠(yuǎn)低于IT系統(tǒng),很難支持
基于軟件的加密、解密、數(shù)字簽名等復(fù)雜的操作;工業(yè)現(xiàn)場在線
4工控系統(tǒng)網(wǎng)絡(luò)的特點(diǎn)
升級困難,要考慮試運(yùn)行和回退措施,清晰分離工控系統(tǒng)的信息
研究工業(yè)控制系統(tǒng)信息安全產(chǎn)品,工控系統(tǒng)網(wǎng)絡(luò)的特點(diǎn)安全保護(hù)和控制部分,盡量避免對控制部分的修改;由于PLC
也是必須考慮的。工控系統(tǒng)對外的網(wǎng)絡(luò)多采用標(biāo)準(zhǔn)的以太網(wǎng)、DCS等工控系統(tǒng)大多提供面向工藝用戶的可視化控制邏輯描述語
TCP/IP協(xié)議和開放的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)協(xié)議,部分在役工控言(梯形圖、功能塊圖、SAMA圖等),用戶可以自己編寫控制
系統(tǒng)沒有采用以太網(wǎng),而是采用令牌總線、令牌環(huán)、FDDI邏輯代碼,需要對編輯編譯、下裝、加載運(yùn)行的全過程進(jìn)行信
AN、 Controlnet或基于RS232/485串口的通訊協(xié)議。工控系息安全控制
統(tǒng)內(nèi)部網(wǎng)絡(luò)多采用私有協(xié)議,甚至不是TCP/IP,但數(shù)據(jù)流量
相對穩(wěn)定,網(wǎng)絡(luò)行為模式固定。 Profinet(irt)、EtherCAT
6工控系統(tǒng)信息安全服務(wù)
 POWERLINK等工業(yè)實(shí)時(shí)網(wǎng)絡(luò)協(xié)議是基于以太網(wǎng),但大多在標(biāo)準(zhǔn)
對于用戶來說,工控系統(tǒng)信息安全服務(wù)需要降低最終用戶的
的IEEE802.3以太網(wǎng)的基礎(chǔ)上進(jìn)行了修改,而且由于網(wǎng)絡(luò)循環(huán)周一次性投資,提供長期的工控系統(tǒng)信息安全服務(wù)。服務(wù)供應(yīng)商可
期ms級別,對網(wǎng)絡(luò)保護(hù)裝置造成的報(bào)文延遲非常敏感。此外,以考慮基于云計(jì)算技術(shù)的遠(yuǎn)程服務(wù):
工控系統(tǒng)網(wǎng)絡(luò)大多采用雙重冗余的結(jié)構(gòu),對于雙網(wǎng)提供的方式
歷史數(shù)據(jù)云存儲
也不盡相同。
運(yùn)行狀態(tài)判斷
這些特點(diǎn)對于工業(yè)控制系統(tǒng)信息安全產(chǎn)品也提出了新的需
異常事件分析
求。如對于工控系統(tǒng)邊界防護(hù)產(chǎn)品(單向網(wǎng)閘、網(wǎng)關(guān)、防火墻
漏洞探查和修補(bǔ)
等)需要考慮支持OPC、 MODBUS--TCP、IEC60870-5-104、
防護(hù)策略升級
IEC61850、DNP等開放的協(xié)議,在訪問控制、攻擊檢測、漏洞檢
遠(yuǎn)程故障處理
測、支持遠(yuǎn)程管理、提供升級服務(wù)等方面也需考慮其特點(diǎn)。對于
但我們也意識到工控系統(tǒng)信息安全服務(wù)當(dāng)前也存在著種種問
工控系統(tǒng)內(nèi)部網(wǎng)絡(luò)防護(hù)產(chǎn)品同樣如此,網(wǎng)絡(luò)安全審計(jì)產(chǎn)品需要考題亟待解決,包括:
慮以下方面:
公網(wǎng)網(wǎng)絡(luò)流量費(fèi)用
已知網(wǎng)絡(luò)協(xié)議:工控系統(tǒng)差異較大,需要支持非信息
如何保證遠(yuǎn)程端口的安全
安全專業(yè)人員的現(xiàn)場配置方式,如圖形化配置、腳本、配置表
用戶數(shù)據(jù)的安全
等等
初期建設(shè)費(fèi)用高,后期的盈利模式不夠清晰
未知網(wǎng)絡(luò)協(xié)議:自學(xué)習(xí)
本文整理自朱毅明在“第三屆工業(yè)控制系統(tǒng)信息安全峰
已知漏洞探查
會”上的大會報(bào)告)
 2014.10 AU/TOMATION PANORAMA 79

網(wǎng)友評論 more

其它行業(yè)最新內(nèi)容

03-14