久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

摘要：文章分析了冶金行業（煉鋼）高爐工業控制系統所面臨的網絡安全威脅以及用戶所切實關注的安全問題，并在現有安全技術和解決方案的基礎上，提出了適用于冶金行業（煉鋼）高爐防御體系。

關鍵詞：工業控制系統；工控網絡安全；安全防護體系

Abstract: Analyze the network security threats faced by the blastfurnace industrial control system of the metallurgical industry(steelmaking) and the security issues that users are really concerned about. Based on existing safety technologies and solutions, a blastfurnace defense system suitable for the metallurgical industry(steelmaking) is proposed.

Key words: Industrial control system; Industrial control network; Security protection system

1 前言

工業控制系統在發展之初是相對封閉和獨立的，傳統工業控制系統安全防護往往采用物理隔離等方式。隨著通信信息技術的發展和深入應用，工業控制系統正趨于使用通用協議（Modbus、OPC）、通用操作、通用軟硬件，以太網、無線設備的使用無處不在。在冶金行業（煉鋼）整個工業控制系統可與遠程端的數據采集網、生產管理網和辦公網實現信息互聯和數據交互。網絡蠕蟲、永恒之藍、震網（Stuxnet）等病毒的攻擊，工控系統漏洞的利用，互聯網、可移動存儲介質、設備未經授權的操作，大量密集無效數據的傳輸及人為因素等使得網絡安全問題直接延伸到工業控制系統，導致工業控制系統固有漏洞和攻擊面不斷增加，易引發工業生產的緊急停車、設備故障，或影響工控系統組件的可靠性和靈敏度，由此產生的安全事件或事故也日趨增多，給傳統工業控制系統防護體系帶來嚴峻挑戰，給工業控制系統網絡信息安全、公司生產經營穩順、健康持續發展等造成不可估量的影響。

2 冶金行業（煉鋼）高爐工業控制系統安全現狀

大多數冶金行業（煉鋼）高爐工業控制系統安全還是以管理為主的被動防御，管理體系和管理機制不夠完善，且在技術上缺乏主動感知防御的控制類安全產品，冶金行業（煉鋼）高爐的日常生產嚴重依賴于國外公司的工業控制系統和設備，這些都表明煉鋼高爐工業控制系統安全形勢十分嚴峻。

2.1 冶金行業（煉鋼）高爐工控網絡和控制系統情況

煉鋼過程的高爐是自動化程度和生產過程自動化要求最高的場景和關鍵的環節，生產全過程均采用自動化技術進行嚴格的控制和管理，具有大型化、連續化、自動化、高速化等特點。因此高爐的工業控制系統網絡的安全平穩、安全運行是保證安全生產的前提。當前高爐自動化網絡結構層次如下：

圖1 高爐自動化網絡結構圖

其中L1、L2、L3屬于生產環境的工業控制網絡（以下簡稱：工控網絡）通常采用同一網段的以太網通訊連接，任何連接到網絡內的工控終端（例如：PC、工程師站等）都能訪問網絡中的PLC或RTU，并對其進行操作、組態修改和發布。

通過對多家大型鋼鐵企業高爐工業控制系統研究，發現鋼鐵高爐工業控制系統主要設備包括可邏輯編程控制器（PLC）、組態軟件&數據采集與監控系統（SCADA）軟件、制造執行系統（MES）等，其中大量使用諸如西門子等國外主流工控廠商工控設備。

2.2 冶金行業（鋼鐵）高爐工業控制系統網絡安全現狀

根據調研發現當前大多數鋼鐵高爐工控網絡無任何隔離防護設備，同時煉鋼高爐高度自動化和智能化，給煉鋼高爐的工控網絡增加了安全隱患，主要集中在以下幾個方面：

（1）外部攻擊

煉鋼高爐大量的采用IT技術，其使用的工業控制系統日益進入黑客的研究范圍。隨著黑客的攻擊技術不斷進步，攻擊的手段日趨多樣，對于他們來說，入侵到某個系統，實施惡意破壞已經不再是問題。2014年，黑客入侵德國鋼鐵廠辦公網絡，利用該網絡進入到鋼鐵廠的生產網絡。對煉鋼高爐工控系統的控制組件進行攻擊，迫使整個生產線停止運轉，從而給鋼廠帶來了重大破壞，以及近幾年的震網、duqu、火焰、havex等病毒證明工控系統的網絡威脅日趨嚴峻。

（2）內部威脅的加劇

據中國信息安全測評中心的調查結果顯示，網絡安全的主要威脅為內部人員有意或無意的破壞，而不是來自外部黑客攻擊或病毒入侵。煉鋼高爐集成、互聯的各自動化系統普遍缺乏網絡檢測和防護機制，上位機與下位機通訊缺乏必要的身份鑒別和認證機制，只要能夠從協議層面跟下位機建立連接，就可以對下位機進行修改，普遍缺乏對系統最高權限的限制，高權限賬號往往具有掌控系統和數據的能力，因此，任意一種非法操作都會導致系統癱瘓。缺乏有效的審計和事后追溯的工具，也使責任劃分和威脅追蹤變得更加困難。

（3）應用軟件威脅

由外部提供的授權應用軟件無法保證提供完整的保護功能，因此后門、漏洞等問題都有可能出現。

（4）第三方維護人員的威脅

因為發展戰略、經營規劃、資源投入等原因，會將非核心維護業務外包，維護人員的素質和能力不可控。如何有效地對運維人員的操作進行授權和控制，執行規范化的嚴格審計是煉鐵高爐工業控系統安全運行面臨的一個關鍵問題。

（5）多種病毒的泛濫

病毒可通過移動存儲設備（USB、硬盤等）、外來運維的電腦等進入工控網絡，當病毒感染一個設備就有可能利用高爐工控網絡進行大面積復制和擴散。這種大規模的傳播與復制，會極大地消耗網絡資源，造成網絡擁塞、網絡風暴甚至網絡癱瘓，成為影響工控網絡安全的主要因素之一。

（6）通信協議的安全性考慮不足

專用的工控通信協議或規約在設計之初一般只考慮通信的實時性和可用性，很少或根本沒有考慮安全性問題，例如缺乏強度足夠的認證、加密或授權措施等，特別是工控系統中的無線通信協議，更容易受到中間人的竊聽和欺騙性攻擊。為保證數據傳輸的實時性，Modbus/TCP、OPC、Profinet、EtherNet/IP等工控協議多采用明文傳輸，易于被劫持和修改。

3 冶金行業（煉鋼）高爐工業控制系統安全方案的實現

對高爐工業控制系統的檢測和防護是工控安全的防護核心，也是構建整個工業控制系統防護體系的難點，對安全設備的性能和適應性要求極高。如果不從控制系統開始自下而上建立完整的檢測和防護體系，那么所謂工控系統安全將會形同虛設，猶如空中樓閣。因此我們提倡“自下而上”、“分區分域”、“整體保護”、“積極預防”、“動態管理”的安全防護策略，建立設備、行為以及軟件白名單等控制機制，實現對已知、未知威脅以及全局、局部安全態勢的感知，具備多種安全防護技術聯動和主動防御的能力，形成事前預警、事中組織和事后追溯的行為安全防護體系，其拓撲圖如圖2所示：

圖2 某公司高爐工控網絡安全解決方案圖

在L1層的工業控制系統PLC部署前控制器邊界防護模塊，實現橫向不同工藝段不同功能的工控終端（例如：工程師站、操作站等）的訪問限制或防護，縱向抑制來自其它工藝段的訪問或病毒的攻擊。同時工控環網中部署PLC完整性檢測系統，一旦在正常生產中的PLC組態程序遭遇非法修改，能夠及時告警，在必要的時刻恢復被修改的程序，以盡快恢復生產。

在L2層的匯聚交換機部署工控審計系統和入侵檢測系統，對L1和L2交互的數據進行記錄和分析，通過工控審計系統實現網絡數據傳輸可視化，基于對工業控制協議（如OPC、SiemensS7等）的通信報文進行深度解析，對工業協議的網絡攻擊、用戶違規操作、非法設備接入等進行實時監測并報警，同時詳實記錄一切網絡通信行為，包括指令級的工業控制協議通信記錄，對工業控制系統的安全事故調查提供追溯依據。在工業入侵檢測設備中預置工控和網絡病毒、漏洞特征庫實現入侵行為的實時檢測和預警。同時在工控終端（例如：工程師站、操作員站）部署基于白名單的主機安全衛士，限制非法移動設備的接入，限制非法程序的安裝、運行，對主機的行為進行嚴格的審計。

在L3和L4層應根據業務的特點合理部署網絡安全隔離設備（例如：工業防火墻、網閘）實現不同橫向的有效隔離和數據過濾，做到自下而上層級防控。同時部署工控安全管理平臺實現對所有安全設備的集中管控，對安全數據的集中分析，最終達到自下而上的整體防護。

4 結束語

目前，該工控安全防護體系在某公司鋼鐵高爐場景平穩運行，也為客戶安全生產強有力的保障。縱觀冶金行業，由于近些年國內外的安全教訓，國家的大力支持，我國冶金行業工控安全防護意識正逐步提升，工控防護方式和防護策略日趨成熟和標準化。冶金行業的高自動化、智能化的工廠作為我國關鍵基礎設施的重要組成部分，正朝著更高效、更安全的運行。

參考文獻：

[1] 王浩, 吳中福, 王平. 工業控制網絡安全模型研究[J]. 計算機科學, 2007, 34 (5) 96 - 98.

[2] 李國芳. 西門子PLC在中小型高爐噴煤技術自動控制設計中的應用[D]. 全國冶金自動化信息網2008年會論文集. 2008.

[3] 張瑩. 冶金技術在煉鐵高爐中的應用和發展[J]. 山東工業技術, 2018 (5) 43.

摘自《自動化博覽》2020年2月刊