1　引言

由于工业控制系统安全事故频发及逐年上升，工业控制系统信息安全的严峻形势引起了国内外的高度关注。工业控制系统信息安全涉及石油、化工、电力、核设施、交通、冶金、水处理、生产制造等行业，直接关系到国家关键基础设施和国民经济，因此，工业控制系统信息安全已经上升至国家层面，是国家网络安全的重要组成部分。

工业控制系统信息安技术，作为工业控制系统信息安全的重中之重，正吸引着全球工业控制系统产品制造商、用户、工程公司、相关职能部门的目光。积极探求现有的工业控制系统信息安技术，努力开发新的工业控制系统信息安全技术，必然成为大势所趋。理解和掌握这些工业控制系统信息安全技术，才能为工业控制系统信息安全提供有效的解决方案。

2　现有的工业控制系统信息安全技术

现有的工业控制系统信息安全技术有多种，包括鉴别与授权技术，过滤、阻止、访问控制技术，编码技术与数据确认技术，管理、审计、测量、监控和检测技术，物理安全控制技术等。

2.1　鉴别与授权技术

鉴别与授权，是工业控制系统访问控制的最基本要求。鉴别，用于验证用户所声称的身份，验证用户身份的过程或装置，通常是允许进行信息系统资源访问的先决条件。授权，是批准进入系统访问系统资源的权利或允许。

鉴别与授权技术包括基于角色的授权工具、口令鉴别、物理/令牌鉴别、智能卡鉴别、生物鉴别、基于位置的鉴别、设备至设备的鉴别等。

（1）基于角色的授权工具

根据工业控制系统用户的角色或职责，分配不同的访问权限，如操作人员权限、维护人员权限、管理人员权限、工程人员权限等。

目前的工业控制系统均配置这种基于角色的授权工具。

（2）口令鉴别

口令鉴别是工业控制系统最简单、最常用的鉴别技术。

在工业控制系统中，口令能够用于限制授权用户请求的服务和功能。

（3）物理/令牌鉴别

物理/令牌鉴别与口令鉴别相似，只是用户在请求访问时必须有安全令牌或智能卡。

（4）智能卡鉴别

智能卡鉴别与令牌鉴别相似，只是它能提供更多的功能。

（5）生物鉴别

生物鉴别通过请求用户独特的生物特征来确定真实性。

常用的生物鉴别有指纹仪、掌形仪、眼睛识别、面部识别、声音识别等。

（6） 基于位置的鉴别

基于位置的鉴别技术是通过设备或请求访问用户的空间位置来确定真实性。

这种鉴别技术通常要求系统配有GPS技术，因此，目前这种技术应用较少见。

（7） 设备至设备的鉴别

设备至设备的鉴别确保在两个设备之间数据传送发生的恶意改变能得到识别。

这种鉴别技术通常与编码技术一起部署。

2.2　过滤、阻止、访问控制技术

访问控制技术是过滤和阻止技术，用于指导和调节已授权的设备或系统的信息流量。

过滤、阻止、访问控制技术包括工业防火墙技术、基于主机的防火墙技术、虚拟网络技术等。

（1）工业防火墙技术

工业防火墙是工业控制系统信息安全必须配置的设备。工业防火墙技术是工业控制系统信息安全技术的基础。

工业控制系统防火墙技术可以实现区域管控，划分控制系统安全区域，对安全区域实现隔离保护，保护合法用户访问网络资源；同时，可以对控制协议进行深度解析，解析Modbus、DNP3等应用层异常数据流量，并对OPC端口进行动态追踪，对关键寄存器和操作进行保护。

工业防火墙技术包括数据包过滤技术、状态包检测技术和代理服务技术。

数据包过滤防火墙适用于工业控制，早期市场中已普遍使用，但其缺陷也慢慢显现出来。

状态包检测防火墙适用于工业控制，在目前市场中正在推广应用，其优越性也开始显现。

代理服务网关防火墙不太适用于工业控制，但也有不计较延时情况的应用。

（2）基于主机的防火墙技术

基于主机的防火墙技术是部署在工作站或控制器的软件解决方案，用于控制进出特定设备的流量。

这种基于主机的防火墙技术具有与工业防火墙类似的能力，包括状态包检测。目前这种技术偶尔用于非关键的工作站。

（3）虚拟网络技术

虚拟局域网将物理网络分成几个更小的逻辑网络，以增加性能、提高可管理性、以及简化网络设计。

这种技术在控制系统中运用较多。

2.3　编码技术与数据确认技术

编码技术是为了确保信息仅对授权访问的信息数据的编码与解码的过程。数据确认技术可以保护用于工业过程的信息的准确性和完整性。

编码技术与数据确认技术包括对称密钥编码技术、公钥编码与密钥分配技术、虚拟专用网络技术等。

（1）对称密钥编码技术

对称密钥编码需要将明码文本转换成密码文本，且在加密和解密均用同一把密钥。

目前常见的对称密钥算法有三重数据加密标准(3DES)和高级加密标准(AES)。AES常见的有AES12、AES192或AES256。

（2）公钥编码与密钥分配技术

与对称密钥编码不同的是，公钥编码使用一对不同而有关联的密钥（也称公私钥对）。

这类公钥鉴别通常部署在传输层安全（如SSL）、虚拟公网技术（如IPsec）等。

（3） 虚拟专用网络技术

虚拟专用网（VPN）技术是一种采用加密、认证等安全机制，在公共网络基础设施上建立安全、独占、自治的逻辑网络技术。它不仅可以保护网络的边界安全，同时也是一种网络互连的方式。

目前，SSL VPN已广泛应用于控制系统。

2.4　管理、审计、测量、监控和检测技术

审计、监控和检测技术提供分析信息安全漏洞、检测可能损害、以及辩证分析损害事件的能力。

管理、审计、测量、监控和检测技术包括日志审核工具、病毒与恶意代码检测系统、入侵检测与入侵防护技术、漏洞扫描技术、辩论与分析工具。

（1）日志审核工具

日志审核工具是为系统管理员管理系统日志的工具，能够发现并记录信息安全事件发生的迹象、文件以及攻击入口等。

目前市场上也出现一些日志审核工具，如大多数操作系统都有维修日志文件等。

（2）病毒与恶意代码检测系统

病毒与恶意代码检测系统是一种主动检测非正常活动的代理机制。

病毒与恶意代码检测系统通常部署在工作站、服务器和边界。

（3）入侵检测与入侵防护技术

入侵检测是通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种安全技术。

入侵防护是一种主动的、智能的入侵检测、防范、阻止系统，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报。

目前，入侵检测与入侵防护技术已在控制系统中开始采用。

（4）漏洞扫描技术

漏洞扫描技术是一种检测系统和网络漏洞的方式，这种方式通常用在企业系统网络遭到破坏恶意入侵者进入控制系统时进行检测。

漏洞扫描技术通常由漏洞库、扫描引擎、本地管理权限代理和报告机制组成。

由于工业控制系统漏洞库比较有限，因此其漏洞扫描技术应用并不多。

（5）辩论与分析工具

辩论与分析工具用于基本的网络活动，分析非正常的网络流量，以帮助信息安全研究人员和控制系统管理员。

2.5　物理安全控制技术

物理安全控制采用一些物理措施，以限制对工业控制系统信息资产的物理访问。

物理安全控制技术包括物理保护、人员安全等。

（1）物理保护

工业控制系统物理保护通常指的是安全防范系统，包括访问监视系统和访问限制系统。

访问监视系统包括摄像机、传感器等识别系统。访问限制系统包括围栏、门、门禁、保安等。

（2）人员安全

工业控制系统人员安全通常指的是减少人为的失误、盗窃、欺骗、或有意/无意滥用信息资产的可能性和风险。

这些人员安全通常包括雇佣方针、公司方针与实践、任用条款等。

3　新发展的工业控制系统信息安全技术

随着工业控制系统信息安全深入研究与发展，新的信息安全技术必然会层出不穷。

目前市场上出现的工业控制系统信息安全技术有工业控制系统加固技术和信息安全工厂技术，现简单分析如下，供大家参考。

3.1　工业控制系统加固技术

工业控制系统频繁遭受攻击，人们自然会想到工业控制系统加固技术。

在国外，有自动化产品制造商已经完成对PLC控制系统的加固设计，并很快将投放市场。

3.1.1　工业控制系统加固技术产生背景

由于大部分工业控制系统信息安全事件均来自控制系统本身，如控制器操作系统有漏洞、I/O模块与接线存在隐患、电源部分不可靠等。因此，工业控制系统加固有很大的空间。

3.1.2　工业控制系统加固技术设计

通过对底板、I/O模块、电源部分以及PLC控制器加固，为控制系统信息安全提供更好的防护。其设计特点分析如下：

（1）底板

采用快速I/O通信和电磁连接，免去I/O接插线，增加信息安全和电气隔离；

采用4GB黑色织物通信，能够提供1ms的扫描时间，不管I/O点数和用户运用程序；

采用金属构造，光纤星形网络可支持20km跨度，提供分布和运用灵活性的最高等级。

（2）I/O模块

采用虚拟接线系列(VMS)，使用三种I/O模块类型，即通用模拟量、通用开关量输入和通用开关量输出；

采用通用总线模块，支持PROFIBUS、DeviceNet、工业以太网和现场基金总线。

（3）控制器

采用一个通用控制器，针对所有控制模式；

采用冗余连接，减少过程中断；

控制器底板配置先进诊断技术，提高运行时间，增加资产使用率，并给出分析报告；

采用冗余层次和嵌入式信息安全，提供安全运作。配有SIL3密码黑色织物臂安全处理器，其实时操作系统信息安全性评估已达EAL6+。

（4）电源部分

采用安全电源解决方案，包括电源和UPS部件设计，为用户加强安全。

3.2　信息安全工厂技术

最近，信息安全工厂（SecurePlant）作为工业信息安全技术新名词，引起各位专业同行的高度关注。

信息安全工厂是一个针对工业控制系统全面信息安全管理解决方案，由横河电气、思科和壳牌三家公司共同提出。

3.2.1　信息安全工厂技术产生背景

鉴于大多数公司在全球运作，每个工厂都面对信息安全的挑战，每个工厂也采用不同的应对方式，从而导致每个工厂的信息安全等级不同，缺乏一个统一的标准。

3.2.2　信息安全工厂技术设计

这种信息安全工厂解决方案设计由以下几点组成：

（1）补丁和抗病毒设计

这种设计，为控制系统提供操作系统补丁和防病毒模式文件。

通过现有公司全球网络，供应商认证的视窗信息安全补丁和病毒签名文件由安全中心（SecureCenter）向每个工厂的安全现场（SecureSite）分发。

（2）实时和主动监视设计

这种设计，为控制系统提供实时和主动监视。

这种实时和主动监视能力使得工厂信息安全集中化管理得以实现。

（3）帮助桌面设计

这种设计，为管理这种解决方案提供帮助桌面运作。

通过供应商的合作，为用户提供24/7/365帮助桌面，管理解决方案相应的事件。

4　结束语

通过上面的分析和探讨可知，工业控制系统信息安全技术是一门相对较成熟的技术。熟练掌握和运用这些技术，才能有效解决工业控制系统信息安全事件频发，保证工业控制系统正常运行，为国民经济建设和发展保驾护航。

同时，我们也应该认识到，工业控制系统信息安全技术是一门不断深入发展的技术。随着工业控制系统广泛运用和不断发展，其信息安全必将面临更加严峻的挑战，其信息安全技术的研究开发必将快速推进。

参考文献：

[1] IEC62443 - 3 - 1 Security for Industrial Automation and Control Systems Part 3 - 1 Security Technologies for Industrial Automation and Control Systems [S]. 2012.

[2] ARC. Control system, PLC, IO, backplane, power supply are secure by design, 2015.

[3] Yokogawa. Companies collaborate to provide cybersecurity solutions for oil plants [J]. Control Engineering, 2015, 2.

作者简介

肖建荣（1969-），男，高级工程师，主要从事工业电气、仪表自动化工程设计、编程和调试工作。

摘自《自动化博览》6月刊