關(guān)鍵詞：
pSafetylink?隔離網(wǎng)關(guān)
隔離網(wǎng)關(guān)
DCS
摘要：前面企業(yè)的需求并非個例， 化肥企業(yè)是典型的資金和技術(shù)密集型企業(yè)， 對信息系統(tǒng)依賴程度很高， 生產(chǎn)的連續(xù)性很強(qiáng)， 裝置和設(shè)備的意外停產(chǎn)都會導(dǎo)致巨大的經(jīng)濟(jì)和財產(chǎn)損失。通過前面對化肥企業(yè)網(wǎng)絡(luò)安全風(fēng)險的分析， 我們總結(jié)出化肥企業(yè)信息安全建設(shè)的需求主要是通過建設(shè)具備縱深防御能力的信息安全保障體系， 抵御來自內(nèi)部、外部的入侵和攻擊， 及時發(fā)現(xiàn)病毒、漏洞并抑制病毒在網(wǎng)絡(luò)間的擴(kuò)散， 尤其要確保工業(yè)控制系統(tǒng)的安全， 避免因?yàn)榭刂葡到y(tǒng)被入侵而出現(xiàn)生產(chǎn)事故。
某生產(chǎn)氮肥的化肥廠，有一個聯(lián)合控制室，有40多套DCS操作站，負(fù)責(zé)二期工程的生產(chǎn)控制。為了方便生產(chǎn)調(diào)度管理，2005年對全廠的DCS數(shù)據(jù)進(jìn)行采集，上傳到生產(chǎn)管理部門。由于當(dāng)時網(wǎng)絡(luò)威脅不是很嚴(yán)重，一切運(yùn)行正常。當(dāng)蠕蟲病毒爆發(fā)后，這種平靜被打破了。
2008年某個普普通通的工作日，當(dāng)生產(chǎn)緊張而有序地進(jìn)行著的時候。突然，聯(lián)合控制室，有1套DCS操作站出現(xiàn)了死機(jī)的現(xiàn)象，然后幾分鐘之內(nèi)，多個工段的操作站接二連三的出現(xiàn)相同的現(xiàn)象。對于易燃易爆的生產(chǎn)工藝來說，這種DCS失控的狀態(tài)隨時可能引發(fā)不可挽回的后果。
幸虧工廠的維護(hù)人員經(jīng)驗(yàn)豐富，馬上拔掉的數(shù)據(jù)采集的網(wǎng)線。然后，同時對每臺操作站進(jìn)行殺毒。成千上萬的蠕蟲病毒被發(fā)現(xiàn)，險情得到了控制。
需求分析
2008年國內(nèi)做工業(yè)網(wǎng)絡(luò)安全的公司很少，而力控華康也是剛剛推出第一款pSafetylink?隔離網(wǎng)關(guān)。經(jīng)過仔細(xì)分析，甲方認(rèn)為力控隔離網(wǎng)關(guān)是解決DCS安全問題最有效的方法。于是先上一臺看看。由于是第一次應(yīng)用，隔離網(wǎng)關(guān)與DCS OPC Server的通訊會出現(xiàn)中斷的現(xiàn)象。力控華康的開發(fā)人員經(jīng)過分析，發(fā)現(xiàn)是DCS OPC Server的問題，于是請DCS廠家對OPC Server進(jìn)行了改進(jìn)。于是運(yùn)行穩(wěn)定了。
直到隔離網(wǎng)關(guān)正常運(yùn)行后，該化肥廠才將生產(chǎn)數(shù)據(jù)采集調(diào)度系統(tǒng)恢復(fù)運(yùn)行。由于該化肥廠還有2個分廠需要解決接入調(diào)度系統(tǒng)的安全問題，于是工廠又購買了幾臺pSafetylink?隔離網(wǎng)關(guān)，并順利投入運(yùn)行。
工控網(wǎng)絡(luò)安全解決方案
前面企業(yè)的需求并非個例，化肥企業(yè)是典型的資金和技術(shù)密集型企業(yè)，對信息系統(tǒng)依賴程度很高，生產(chǎn)的連續(xù)性很強(qiáng)，裝置和設(shè)備的意外停產(chǎn)都會導(dǎo)致巨大的經(jīng)濟(jì)和財產(chǎn)損失。通過前面對化肥企業(yè)網(wǎng)絡(luò)安全風(fēng)險的分析，我們總結(jié)出化肥企業(yè)信息安全建設(shè)的需求主要是通過建設(shè)具備縱深防御能力的信息安全保障體系，抵御來自內(nèi)部、外部的入侵和攻擊，及時發(fā)現(xiàn)病毒、漏洞并抑制病毒在網(wǎng)絡(luò)間的擴(kuò)散，尤其要確保工業(yè)控制系統(tǒng)的安全，避免因?yàn)榭刂葡到y(tǒng)被入侵而出現(xiàn)生產(chǎn)事故。
參照ANSI/ISA-99標(biāo)準(zhǔn)，同時結(jié)合化肥行業(yè)的具體情況，我們將企業(yè)系統(tǒng)結(jié)構(gòu)劃分成不同的區(qū)域，以幫助企業(yè)有效地建立“縱深防御”體系：
1.橫向分層，將企業(yè)的生產(chǎn)網(wǎng)絡(luò)劃分成企ERP、MES、PCS三層網(wǎng)絡(luò)結(jié)構(gòu)。在MES和PCS間部署了力控華康PSL系列工業(yè)隔離網(wǎng)關(guān)，主要實(shí)現(xiàn)了控制網(wǎng)絡(luò)的物理隔離，有效屏蔽ERP和MES層面的網(wǎng)絡(luò)威脅向生產(chǎn)控制系統(tǒng)傳導(dǎo)，同時又實(shí)現(xiàn)了網(wǎng)絡(luò)之間安全的數(shù)據(jù)交換。在管理網(wǎng)絡(luò)和信息網(wǎng)絡(luò)之間部署工業(yè)防火墻，主要用于彌補(bǔ)傳統(tǒng)防火墻的不足，實(shí)現(xiàn)對工業(yè)協(xié)議的安全檢測。
2.在生產(chǎn)控制網(wǎng)絡(luò)層內(nèi)縱向分區(qū)，每個生產(chǎn)區(qū)內(nèi)包含離散控制系統(tǒng)（DCS）、OPC服務(wù)器和不同的生產(chǎn)車間。在OPC服務(wù)器與DCS控制系統(tǒng)之間采用力控華康ISG工業(yè)防火墻進(jìn)行安全防護(hù)，通過對工業(yè)協(xié)議的深度過濾確保DCS系統(tǒng)及控制設(shè)備的安全，并抑制安全威脅在不同生產(chǎn)區(qū)之間的擴(kuò)散。
3.在生產(chǎn)控制網(wǎng)絡(luò)內(nèi)布署工業(yè)漏洞掃描系統(tǒng)，定期對工業(yè)網(wǎng)絡(luò)設(shè)備、系統(tǒng)及PLC等控制設(shè)備進(jìn)行安全檢測，讓安全管理人員及時了解工業(yè)網(wǎng)絡(luò)安全和運(yùn)行的應(yīng)用服務(wù)情況，及時發(fā)現(xiàn)安全漏洞，更新漏洞補(bǔ)丁，避免因此而帶來的風(fēng)險威脅。目前網(wǎng)絡(luò)邊界防御中最普遍應(yīng)用的安全技術(shù)是通用防火墻。通用防火墻是在網(wǎng)絡(luò)層對數(shù)據(jù)包作安全檢查，并不切斷網(wǎng)絡(luò)連接，很多案例證明無論包過濾、狀態(tài)檢測還是代理防火墻技術(shù)都很難防止木馬病毒的入侵內(nèi)部網(wǎng)絡(luò)。Nimda繞過很多防火墻的檢查并在全世界肆虐就是一個很好的例證。通常見到的木馬大部分是基于TCP的，木馬的客戶端和服務(wù)器端需要建立連接，而PSL工業(yè)隔離網(wǎng)關(guān)從原理實(shí)現(xiàn)上就切斷所有的T CP、UDP、ICMP等通用協(xié)議鏈接，使得蠕蟲病毒和木馬無法通過工業(yè)安全隔離網(wǎng)關(guān)進(jìn)行通訊，從而可以防止已知和未知的木馬攻擊。
本方案中采用的力控華康PSL安全工業(yè)隔離網(wǎng)關(guān)內(nèi)部特殊的2+1的雙獨(dú)立主機(jī)架構(gòu)，控制端接入工業(yè)控制網(wǎng)絡(luò)，通過采集接口完成各子系統(tǒng)數(shù)據(jù)的采集；信息接入到企業(yè)管理網(wǎng)絡(luò)，完成數(shù)據(jù)到調(diào)度中心的傳輸。雙主機(jī)之間通過專有的PSL網(wǎng)絡(luò)隔離傳輸技術(shù)，截斷TCP連接，徹底割斷穿透性的TCP連接。PSL的物理層采用專用隔離硬件，鏈路層和應(yīng)用層采用私有通信協(xié)議，數(shù)據(jù)流采用128位以上加密方式傳輸，更加充分保障數(shù)據(jù)安全。PSL技術(shù)實(shí)現(xiàn)了數(shù)據(jù)完全自我定義、自我解析、自我審查，傳輸機(jī)制具有徹底不可攻擊性，從根本上杜絕了非法數(shù)據(jù)的通過，確保子系統(tǒng)控制系統(tǒng)不會受到攻擊、侵入及病毒感染。
應(yīng)用效果
到目前為止，該化肥廠采用pSafetylink?隔離網(wǎng)關(guān)有7年的時間了。通過物理隔離的技術(shù)手段，再加上甲方維護(hù)人員的精心管理，再也沒有發(fā)生過那種驚心動魄的情況。他們都說：“是力控華康pSafetylink?隔離網(wǎng)關(guān)解決了我們化肥廠的DCS安全問題”。
