工控系统信息安全分析及改进

呼瑞鹏

摘 要：某电厂工业控制系统，主要包括DCS（分散式控制系统）、PLC（可编程控制器）、PI（企业信息化数据平台）以及MES（生产过程管理系统）等组成，随着公司的不断发展，各种信息化管理系统项目的应用。随着系统的功能越来越多，应用软件的规模越来越大，工业控制系统原有相对封闭的使用环境逐渐被打破，开放性和互联性越来越强，通过对公司工控系统危险点进行分析，从而进一步制定了防御措施，保障了公司工控系统的信息安全。

关键词：工控系统;信息;安全

引言

工控系统是指由计算机和工业过程控制部件组成的自动控制系统。某化工厂的自备电厂工控系统由DCS（分散控制系统）、PLC（可编程控制器）、PI（企业信息化数据平台）以及MES（生产过程管理系统）等组成，这样一个庞大的工控系统，其复杂性越高，系统信息安全或其错误将越难以检测。因此网络信息的安全可靠，是至关重要的。一旦工控系统的信息安全出现问题，不仅会导致系统停运造成经济损失，更可怕的是被黑客操控后给企业带来毁灭性的安全事故，甚至会影响到国家安全。

一：工控系统现状

某电厂工控系统原由DCS（分散控制系统）、PLC（可编程控制器）组成，虽然控制系统数目较多，但是其结构简单，信息环境完全封闭，横向的工控系统之间没有关联，纵向与公司的内网也无任何关联。信息安全的风险较小，因此工业控制信息系统在设计时并未将整体系统的信息安全防护进行重点设计。

随着公司的不断发展，各种信息化管理系统项目的应用。随着系统的功能越来越多，应用软件的规模越来越大，工业控制系统原有相对封闭的使用环境逐渐被打破，开放性和互联性越来越强，使得工业控制系统与各种业务系统的协作成为可能，工业设备、人、信息系统和数据的联系越来越紧密。因此提高信息系统的安全，已成为提高工控系统安全性最重要的问题。

二：工控系统信息系统危险点分析

工控系统的安全最主要的对象就是网络和主机的安全。通过对某电厂工控系统的检查发现：

1.移动介质管理（重点是USB）只有管理制度，没有有效的技术手段进行防护，APT恶意程序极易通过移动介质传播到生产控制网络。

2.输煤、水处理操作员、工程师站操作系统均采用Windows XP系统，操作系统与软件均不是正版的系统，系统漏洞极多，容易被利用攻击;没有有效的系统加固技术手段和病毒防护能力。

工控機的USB端口有部分仍未封堵，且未在系统中关闭不必要的端口。

3.除了主系统的DCS与应用层网络设置单向网闸隔离，不同的子系统之间都没有有效的隔离，其他网络互连时缺乏安全边界控制。

4.生产控制系统权限管理较弱，部分操作员站与工程师站的密码使用弱口令，缺少严格的授权管理和身份认证措施。针对电力监控系统，缺少必要的网络审计手段和针对工业级恶意代码的入侵检测系统，系统补丁未及时更新。

5.和利时的操作软件并未在企业版的杀毒软件环境中做过测试，因此无法确保杀毒软件对运行数据的影响，导致运行过程中进行杀毒具有极大的风险。

三：信息安全防御措施

随着攻击者专业程度越来越高，对电力工业控制系统及规约协议了解充分，攻击方式更加全面，技巧更加高明，内部安全风险缺少资产盘点，脆弱性难以实时评估，外部威胁应对不足。因此必须制定一套公司工控系统信息安全的防御系统， 通过提高本体安全、结构安全以及行为制度的规范性，形成一套工控系统的信息安全标准化制度，保障公司的工控系统安全运行。

1：加强移动介质在工控系统的检测，增加工控系统专用电脑，配备专业的杀毒软件，使用移动介质前，先在工控电脑中进行杀毒处理。对用户进行身份认证，限制非授权用户访问关键信息和代码。

2：购买正版的Windows操作系统和工控软件，避免系统漏洞或盗版软件影响工控系统的运行。

3：对工控系统不用的封口进行封堵，工控机不必要的端口进行关闭，工控机软件安装设置白名单准入机制防止非法访问。

4：各子系统之间增加信息安全设备，如防火墙、网络过滤单元、杀毒软件等，保障横向的子系统之间安全隔离。

5：建立在线监测数据挖掘系统，建立工控网络流量采集系统与网络流量收集及实时分析系统，监视并控制网络流量，有效防止DOS攻击和系统本身故障导致的数据风暴。

6：邀请专业的工控信息安全单位，对公司工控系统信息安全进行可靠性评估，及时发现问题，并予以解决。

结束语

工业控制系统信息安全问题需要最终用户、系统集成商和设备供应商共同解决，单靠任何一方都难以全面解决问题。对于公司正在运行的系统，应该分期分步开展工控信息安全升级，先从切断不必要的外部端口开始，对系统进行信息安全缺陷分析，切断危险扩散的路径入手，逐步提升工控系统的信息安全水平。

参考文献

[1]陈世和，火电厂控制系统信息安全主动防御技术[R/OL]，中国南方电网，2016

[2]刘伟，工控系统信息安全现状分析和应对措施[J/OL]，工业安全，2013