图 中车株洲电力机车有限公司信息管理部主管 刘勇
 

    嘉宾简介：刘勇，网络工程师、注册信息安全专业人员（CISP），中车株洲电力机车有限公司信息管理部基础架构主管，负责IT基础架构及信息安全规划构建及应用，主持完成公司基础架构构建及信息安全治理项目；在智能制造项目中，负责IT基础架构、智能制造系统安全规划、方案及构建。

 

 

    公司于2015年底通过ISO/IEC 27001和ISO/IEC 20000体系认证，按照信息安全风险管理和等级保护管理要求，建立了信息安全的审计制度和流程，实现体系执行的可测量、可监控。随着IT、OT应用的融合，工控系统也要求统一进行安全应用、监控管理。

 

    现有工业控制系统也基本处于独立应用阶段，断开工业控制系统同公共网络之间的所有不必要连接。随着远程维护及组网应用要求，面临越来越多的内外部安全威胁以及人为元素，使得工业控制系统更为脆弱。

 

    a)信息化、自动化系统融合，企业办公网络与工业控制网络联通，使得工业控制网络成为互联网的一部分，容易受到来自互联网的攻击； 

 

    b)企业管理信息系统、SCADA系统、PLC系统处于同一网络平面，由远程操作管理行为带入的入侵或病毒很容易对SCADA系统与PLC系统造成危害；

 

    c)工业控制网络未分域和分层隔离，企业管理网络的网络风暴、ARP攻击、拒绝式服务攻击很容易消耗SCADA、PLC系统的资源，使得SCADA、PLC系统无法正常工作；控制网络一个区域一旦遭受网络攻击，极易分散到整个控制网络区域，造成系统性的崩溃； 

 

    d)一些设备由厂商提供远程维护升级或者留有后门，可能导致生产数据及配方等机密信息的泄露从而影响到企业的生产运营。

 

 

    随着“工业4.0”和“两化融合”脚步的加快, 公司作为工信部智能制造试点企业，正在开展智能制造项目建设。“工业4.0”框架下的智慧工厂在典型工厂控制系统和管理系统信息集成的三层架的基础上，充分利用正在迅速发展的智能设备、物联网技术和互联网技术，将工业控制系统与企业办公网络、互联网结为一体。因此，其面临的信息安全问题突出，主要涉及到：功能安全、信息泄密、数据安全（企业信息保护和个人隐私保护）等。

 

    主要从三个层面对工业控制系统进行安全防护及审计：

 

 

    a、企业网络与工业控制网络的边界

 

    b、控制网络过程层与控制层的边界； 

 

    c、无线局域网络与智能设备的互联边界； 

 

    d、本地控制网络与远程网络接入区的边界； 

 

 

    a、智能设备(DNC数控机床、PLC控制器、RTU、工业手持终端)的后门、漏洞、协议兼容性等； 

 

    b、业务系统(MES、PMC、数据库服务器等)的后门、漏洞、协议兼容性等； 

 

 

    规范工控网络操作，实时记录各工控网络应用，提供详尽日志。

 

 

 

    在保证系统可用性前提下，对工业控制系统进行防护，实现“垂直分层，水平分区。边界控制，内部监测”。

 

    “垂直分层、水平分区”即对工业控制系统垂直方向化分为四层：现场设备层、现场控制层、监督控制层、生产管理层。水平分区指各工业控制系统之间应该从网络上隔离开，处于不同的安全区。

 

    “边界控制，内部监测”即对系统边界即各操作站、工业控制系统连接处、无线网络等要进行边界防护和准入控制等。对工业控制系统内部要监测网络流量数据以发现入侵、业务异常、访问关系异常和流量异常等问题。

 

 

    针对公司智能制造规划的网络状况，在满足项目应用系统基本功能实现的基础上整合已有资源和系统，并采用先进、成熟的技术手段和措施建设一个安全、稳定、可管理的安全平台，满足：

 

    高可用性：在现有的工控系统的网络基础上，增加的软硬件能充分保障网络性能无瓶颈和安全可靠，同时避免在网络出口发生拥塞，保证整体网络的运行速度。

 

    高可靠性：我们的工业操作站安全系统能保证网络能适用各种流量突发情况，安全系统不会由于设备或链路的单点故障而瘫痪，并能抵御各种攻击行为。

 

    高质量：支持高性能、高灵活度的QoS，精确保证不同业务的带宽、延迟、抖动或丢包率；支持网络流量分析，方便开展网络规划、安全监控、优化升级；支持各种业务带宽限制，防止带宽滥用。

 

    高扩展性：安全系统具有可扩展能力，便于增加业务模块，便于部署新业务系统，便于增加新的功能，设备上支持高性能、多插槽、丰富的业务特性，同时在网络设计上采用结构化、模块化、标准化的设计理念。