冶金工业控制系统计算机网络安全防护技术研究

陈晓刚

(河南经贸职业学院 计算机工程学院，河南郑州 450018)

冶金工业生产包括选矿、烧结、水冶等多个复杂环节，生产过程中会产生辐射、噪音、高温、粉尘等有害因素，受环境、设备等条件限制，有些工序和环节仅靠人力无法完成[1]，需要应用自动化控制系统。在冶金工业自动化控制系统中，计算机网络技术有着“中枢神经”作用，通过网线和交换机将各生产工序及设备之间有效联结，实现自动化控制[2]。

但冶金工业控制系统的计算机网络技术受工况、计算机网络软硬件存在的漏洞、操作人员安全意识等因素影响，仍存在一些安全隐患[3]，可能会导致系统出现数据传输混乱、设备工作异常等网络安全问题[4]。因此，需要设计合理的计算机网络安全防护方案，有效避免网络安全问题，促进生产安全进行。

1 冶金工控系统计算机网络

近年来，工业以太网因自身优势，在实际生产中得到广泛应用，但也存在一些安全问题，需要引起足够的重视[5]。

1.1 冶金工控系统计算机网络架构

常见的冶金工业控制系统计算机网络架构主要由操作与监测系统、分布式控制系统和采集系统组成，如图1所示。架构结构清晰，逻辑通顺，容易掌握。各系统及系统内各设备的IP地址设置为同一网段，然后通过网络总线相互连接，共同完成生产控制[6]。

图1 冶金工业控制系统计算机网络架构

1)监测与操作系统，包括人机界面和数据库两部分。人机界面通常包括计算机上位机软件、触摸屏等。借助人机界面，操作人员可实现远程操作各类生产设备，在线监测各系统传来的环境参数，实时掌握人员及设备工作状况。数据库则提供决策支持、生产调度、信息管理等功能。

2)采集系统，由采集器和传感器组成。采集器将各类传感器感知到的温度、压力、距离等信号通过网络传输到监测与操作系统。

3)分布式控制系统，控制形式有传动控制、运动控制等。控制器包括PLC、电机控制器等可以发出控制指令的设备，执行器负责完成操作任务，如电机、吊装机构等[7]。

各系统通过现场网络总线相互连接，组建成一个完整的工控系统[8]。

1.2 冶金工控系统计算机网络安全隐患

计算机网络应用范围在冶金工控系统中不断扩展，其存在的安全隐患也日益显现。计算机网络安全风险通常具有较强的破坏性、隐蔽性和突发性，需引起足够重视[9]。不考虑人为操作影响，冶金工控系统中计算机网络安全隐患主要包括系统与环境两种。

1)系统安全隐患。计算机网络系统的不完善易导致网络通信安全问题，通常表现为两方面：一是硬件损坏，如交换机、网线等网络硬件设备存在问题，会导致联网失败、数据丢失等；二是软件设计不合理，功能不完善[10]。

2)环境安全隐患，包括内部环境隐患和外部环境隐患。内部环境主要指在开放性网络环境中，尤其与互联网连接时，极易发生黑客攻击和病毒感染等问题[11]。目前常用的网络安全方案，如加密和数字签名认证、基于访问控制的防火墙等技术，均无法从根本上适应计算机网络攻防的动态性和攻防不对称性，导致网络面对外来入侵时极其被动[12]。外部环境主要指高温、高湿、粉尘等恶劣环境，可能会导致网络设备性能降低，强电磁干扰引起的数据通信问题[13]。

2 冶金工控系统计算机网络安全防护体系

2.1 主动防护体系IMS模型

现阶段，大部分冶金工业控制系统的计算机网络安全技术仍处于被动防御状态，单纯依靠防火墙、密码、病毒检测等传统技术无法完全解决计算机网络攻防不对称、技术迭代频繁的问题[14]。计算机网络主动防护体系因具有较强的实时性、自适应性和动态对抗性，已成为网络安全技术的重点研究方向。

针对系统、环境等带来的计算机网络安全隐患，基于入侵监测系统(Intrusion Monitoring System，IMS)模型，建立了一套适用于冶金工控系统的网络安全主动防护体系，以及时发现网络中的异常行为，自动完成对攻击的决策，具有主动防护能力。IMS模型如图2所示。

图2 IMS模型

入侵监测包括异常监测与滥用监测2种模型。异常监测不仅实时记录系统当前操作，还定时更新历史行为库。通过比较当前操作与历史行为，并根据两者偏差及时做出智能决策加以应对。滥用监测又称基于规则的入侵监测，网络中每次黑客攻击都会在规则库中留下与之唯一对应的记录，对当前事件利用规则匹配从规则库中挖掘出最有效的防护行为。

一些非常规的、经过伪装的黑客或病毒入侵具有较强的迷惑性，计算机网络通常没有任何防卫经验[15]。基于神经网络强大的数据处理与学习能力，异常监测技术可以用来处理未知的潜在风险。神经网络结构如图3所示，根据逆向传播方式，组建为一种多层前馈网络。

图3 神经网络结构

异常监测寻找最优防护决策流程如图4所示。神经网络采用梯度算法，通过不断迭代、比较当前操作与历史行为的误差，对当前计算机网络的运行状态给出异常程度判断，最后输出一种代价最低、效果最优的处理入侵方式。

滥用监测基于数据挖掘技术，其运行模式如图5所示，包括系统层、网络层和本地层。

图4 异常监测寻找最优防护决策流程

图5 滥用监测结构

本地层包括数据采集解析器和数据挖掘监测器，网络层包括报警优化器，系统层包括日志记录器和中心控制平台。数据采集解析器和数据挖掘监测器分布于各个局域网的关键节点，负责监视所在网段的网络数据，对入侵行为做出响应并发送报警信息至报警优化器。报警优化器位于广域网上，负责收集各局域网内监测引擎发出的警告信息，并将其存储至日志记录器。中心控制平台位于系统层，给管理员提供友好的控制界面。

异常监测采用自适应机制，可监测未知攻击，但对滥用攻击无能为力。滥用监测技术则弥补了异常监测的缺点，基于以往攻击建立了规则库，迅速应对已知攻击。IMS模型将上述两种方法结合，优势互补，有效提高了系统监测能力。

2.2 基于IMS的计算机网络安全防护体系

IMS具有主动防御、自适应、自学习等优点。以IMS为核心建立的计算机网络安全主动防护体系的逻辑结构如图6所示。

图6 基于IMS的计算机网络安全主动防护体系逻辑结构

主动防护体系监测知识机构根据态势库、目标库数据分析当前系统与环境安全态势，做出安全威胁评估，进行网络防护全局决策。实时全局响应根据全局决策内容，交由安全协同信息，通过分析安全隐患的种类分发至软件安全、内部环境安全或外部环境安全防护子系统处理。

针对软件功能异常问题，中心管理机记录下所有生产中因软件操作带来的安全隐患，并随时提醒编程人员更新软件，完善安全功能，必要时弹出危险警告或直接阻止错误指令下发。IMS系统通过分析黑客攻击或病毒感染等入侵信息，做出信息欺骗、电子取证、断开网络等主动防护措施。如果通过传感器反馈得知外部高温、高湿、粉尘等恶劣环境影响系统正常工作，则自动启动降温、干燥、除尘等设备以维护外部环境安全。

由图6看出，基于IMS主动防护体系在逻辑上可抽象为知识层、信息层和数据层3个层次：数据层主要负责信息采集、监测等功能，没有复杂的数据分析与处理；而信息层与知识层各环节的关联融合则是该模型的核心所在，这有利于减小系统负荷、提高系统实时性。

3 基于IMS的计算机网络安全主动防护体系的实现与应用

3.1 计算机网络主动防护体系实例

基于IMS的主动防护体系已在某冶金工控系统计算机网络中得到应用，其网络拓扑结构如图7所示。路由器将该网络接入互联网，利用防火墙实现互联网与该网络间的物理隔离，在一定程度上避免恶意入侵。主动防护系统由中心管理机、IMS系统组成。每个子网设置一台IMS监测器，完成图6中IMS模块功能。同时，网络总线上也设有一台IMS监测器，用于监测互联网与局域网、局域网内部各子网之间的通信。这种方案的目的是防范系统中硬件的安全隐患，使各部分之间的网络通信均处于实时监测中。应用结果表明，因网线、交换机等设备损坏引起网络通信故障的可能性被降到最低。中心管理机负责各IMS监测器上传的监测信息，感知网络安全态势，并做出威胁评估和全局决策，同时实时维护目标库和态势库。

图7 主动防护体系应用实例

3.2 仿真应用

针对某湿法冶金工控系统计算机网络，有计划对网络进行DOS、R2L、U2R、Probing 4类攻击，攻击描述、实例及监测成功率见表1。

表1 4类攻击描述及实例

由表1看出：平均监测成功率达99.75%，且可长时间稳定工作。说明该体系具备了良好的网络入侵监测性能。

4 结论

计算机网络自身的安全问题使得冶金工业控制系统难免出现一定问题,基于IMS的计算机网络主动防护体系可以弥补计算机网络安全漏洞，及时应对各类安全风险，有效提升计算机网络安全防护的实时性、自适应性和动态对抗性，可在生产中加以应用。