基于纵深防御的烟草行业工控安然解决筹划

目前，我国在工控系统技能研究以及家当发展等干系领域中处于快速发展阶段，工控系统安全防护能力和工控安全事宜应急处置能力相对较差，安全风险很大，特殊是某些主要行业的工控系统大量利用国外产品，安全性更加很难担保。
因此，工控系统更随意马虎成为为外部威胁进行渗透攻击的紧张目标。

鉴于工控系统的安全性关系到国计民生，工控系统安全受到各行各业的普遍重视，有大量文献研究了工控系统的安全问题[1-3]。
工控系统安全培植应根据不同行业、同行业不同生产阶段、不同生产工艺的特点以及自身安全需求制订不同的安全培植方案。
为此，本文聚焦于烟草行业工业互联网安全办理的研究、构建与运用。

1 烟草行业工控系统概况

1.1 烟草行业工控系统网络构造

烟草行业工控系统(以生产香烟的各烟草公司为例)紧张分布在各中烟公司及下属的各香烟厂。
各厂的工控系统按功能可分为制丝掌握系统、卷包掌握系统、物流（高架库）掌握系统、动能掌握系统等。
烟草行业工控系统范例网络拓扑构造如图1所示。
个中，制丝网网络构造如图2所示。

1.2 烟草行业工控系统的特点

烟草行业工控系统具有如下特点：

(1)系统信息化程度高，工艺流程前辈，自动化技能水平走在海内制造业、国际烟草业前列。
很多国际领先的自动化技能和工控网络技能(如PROFINET、Ethernet等)进入中首都是率先在烟草制造业中运用。
但由于这些系统和技能来源于国外，其安全性难以把控，因此，这些前辈技能的运用在巨大提升烟草企业生产力的同时也带来了极大的安全隐患。

(2)工控系统向智能化发展的需求急迫。
随着“中国制造2025”的逐步推进，信息化和工业化深度领悟，掌握网、生产网、管理网、互联网互联互通成为常态，烟草制造生产网络的集成度越来越高。
随着大数据技能、“互联网+”、人工智能的发展，烟草行业提出了“智能工厂”的新哀求，这意味着需求、设计、采购、生产、物流等全方位的互联互通，各生产车间将采取统一的标准，各烟厂也将逐步实现生产线的互联互通，互联互通过程中将会越来越多地采取通用的硬件、通用的软件和通用协议。
与此同时，工控系统的智能化发展和互联互通将使得信息安全问题更加突出，面临的信息安全威胁也将更加繁芜。

(3)工控系统在设计之初只考虑了系统的大略性、可靠性、实时性、经济性以及系统的独立运行，而没有考虑到系统安全问题，这给工控系统的运行和掩护带来巨大的安全隐患。

由上述剖析可见：烟草行业工控系统的每一个特点都与相应的安全隐患相对应，因此，如何保障工控系统的安全运行已成为制约烟草行业加速信息化、智能化发展的紧张课题和发展瓶颈。

2 烟草行业工控系统安全现状和面临的安全威胁

2.1 烟草行业工控系统安全防护现状

从防控技能来看，烟草行业工控系统信息安全体系构造可分为三层网络架构，分别为：设备层、监控层、管理层，关键链路和节点采取了冗余配置，从而担保了骨干网络传输的可靠性。
部分生产网络的接入采取传统防火墙做隔离，汇聚层旁路支配了传统的入侵检测系统（IDS）和安全审计系统，部分上位机和工程师站支配了防病毒软件。

目前，烟草行业工控系统的安全戒备严重不敷，存在诸多安全短板，面临严厉的安全威胁[4]，紧张表现在：

(1)各生产网网络边界没有采取工业防火墙做隔离，传统防火墙不能有效识别工控协议(如ModBus、OPC协议等)。

(2)各生产车间之间存在数据交互(读写)，但缺少有效的掌握方法。

(3)生产网与办公网(或管理网)之间短缺有效的隔离方法(如工业防火墙或工业网闸)。

(4)由于生产网的分外性(一样平常来说，从生产线的设计到利用须要15～30年，设计之初很少考虑网络安全问题)，生产网的上位机、工程师站、HMI、WinCC做事器大多采取Windows 2000或Windows XP操作系统，由于微软早就不再供应对这些系统的更新和掩护，大量的系统漏洞无法修复，存在很大的安全隐患。

(5)各车间存在大量的无线网络，但这些网络每每采取弱密码口令，且没有开启认证管理功能。

(6)网络中暂时还未形成监管机制，无法做到对事前、事中、事后3个阶段的有效监控和管理预警，因此会耽误创造安全问题的机遇，影响业务顺利进行。

(7)现场操作职员安全意识不强，很多上位机、工程师站、HMI等采取了弱口令或共用账号和密码，导致权责不明，部分现场工控机USB口未被禁用或未采取监管方法。

(8)防病毒软件没有及时更新病毒库，不能有效防护最新的病毒和木马，导致多次传染蠕虫和打单病毒。

(9)工控设备自身存在安全漏洞，生产线大量采取西门子产品，但由于该系列产品存在大量的漏洞，这些漏洞可被用于进行脚本攻击，从而改变操作指令，进而影响生产的正常进行。

(10)缺少按照测评、风险评估、安全整改、安全加固、安全培训、安全托管、安全应急等一整套安全做事体系构建的网络安全整体办理方案。

(11)单位都制订了应急预案，也会定期进行应急演习训练，但是未针对在演习训练过程中创造的问题，及时进行应急预案修订，演习训练多流于形式。

(12)对供应商短缺保密协议的约束。

(13)安全管理组织机构不健全，安全任务未明确，短缺网络安全员岗位，缺少资产和工控安全的干系管理制度。

(14)没有按照国家工控安全干系标准制订的安全体系。

2.2 工控系统防护体系存在的问题

从工控防护体系来看，目前利用最多的还是利用已有产品和技能[5]的堆砌来构建工控安全防护系统，这个不难明得。
但构建工控安全防护体系是一个繁芜的系统工程，包含着产品、技能、做事、韶光、资金等诸多成分，考虑到工控系统的多样性和繁芜性，这种做法远不能知足客户需求。
因此，传统安全防护思路不能用于办理工控安全问题[6]。

市场优势行的另一种主流防护体系因此漏洞威胁为根本的工控防护体系。
这种防护体系借鉴了传统安全防控理念，但是将其运用到工控安全防护上却存在如下问题：这是一个事后防御机制，依赖于对浩瀚病毒、木马和非常行为的事先理解和定义。
试想：当信息战的第一波攻击来临的时候谁能事先定义病毒、木马和威胁行为的特色？因此，在工控安全领域，这种防护体系只能用于在第一波攻击发生后，戒备可能发生的同种或同类攻击。
这足以解释构建基于纵深防御的安全防护体系的主要性。

还有一种热门的安全防护方法是建立担保工控安全的态势感知系统[7]。
这是建立智能化工控安全防御系统的一个基本条件，也是实现前述以漏洞威胁防护为根本的防照顾护士论的条件，由于只有做到智能感知，才能真正实现快速认知、快速定义、快速反应、快速防护和快速应急。
但要实现态势感知须要知足：大范围支配精密且风雅的传感器，贴合实际的安全策略，大数据的网络整理和智能挖掘，资金支持和技能积累，并要充分理解相应的工艺流程和运用，这样才能构建较为空想的态势感知系统。
显然，空想的态势感知系统在短期内尚难以实现。

综上所述，构建工控安全体系思路的发展趋势是：

(1)立体防护：按照资产的主要程度和风险等级划分安全域；利用授权准入、访问掌握、通信加密等多种安全机制，从物理环境安全、网络和通信安全、设备和打算安全、运用和数据安全等多个维度来构建多重安全防线。

(2)监测预警[8]：构建工控安全大数据平台和态势感知神经网络，实现快速感知、快速定位、快速定义、准确预警、快速溯源和快速应急。

(3)定制嵌入：根据用户的工控系统的实际情形和需求，定制工控系统安全防护办理方案，确定风控点和安全阈值后，将安全防护嵌入进工控运用系统。

(4)IoT领悟：只有将全体企业乃至行业的信息系统和工控安全关联和整合，才能实现真正的安全大数据，实现真正意义上的态势感知；实现安全大数据的深度剖析挖掘；实现安全的运维和应急。

(5)安全做事：安全做事是全体工控安全防护体系的主体和基线。
工控安全做事包括安全测评、风险评估、安全咨询、安全加固、安全事宜剖析和研判、应急值守、安全高等专家在线支持等。

(6)国产化：只有实现工控系统和工控安全防护系统的国产化才能真正实现“自主可控”，因此，采取国产硬件、国产操作系统、国产安全运用构建工控系统和工控安全防护系统将是实现工控安全的必由之路。

3 烟草行业工控系统安全办理方案

3.1 工控安全防护体系概述

为办理上述问题，本文设计了一种领悟IoT的工控信息安全防护体系，如图3所示。

该办理方案以基本防护为核心，构建多层、多维度的根本防线，履行区域重点防护；采取访问掌握、准入掌握、存储、传输加密、审计等技能作为赞助手段；以网络攻击、流量、漏洞以及内部存在的重点风险点和薄弱环节作为被监控的紧张风险点；将传统安全与工控安全进行领悟，建立工控安全大数据监控、预警、关联查询和数据挖掘系统，快速定位威胁来源。
同时辅以按照等级保护、国家工信部工控安全防护指南的哀求配套的工控安全管理运维和应急体系，最大限度地实现对关键根本举动步伐的有效纵深防御，从而在“事前”和“事中”阶段肃清安全威胁，将丢失减少到最低。
在方案的履行过程中，应以国产化的硬件、软件、技能体系和管理体系为根本。

3.2 方案特点

本文提出的方案具有如下特点：

(1)具备行业特性，贴合行业实际，嵌入到运用中，实用性强。

(2)基于基本的安全防控思想，辅以安全漏洞信息、威胁情报，监控主要风险点，可戒备第一波ARP攻击。

(3)采取基于做事的感知监测管控体系，可及时感知到非常或未知威胁，快速剖析和定位威胁、修补漏洞，迅速加固并启动应急预案，从而实现动态防护。

(4)将纵深防御策略贯穿于始终，实现分级、分防线策略，将安全嵌入到运用中，作为末了一道安全防线，将风险值降到最低。

(5)引入风控管理平台，将海量报警信息进行详细化和风雅化，重点明确、针对性强、反应迅速、指向明确，可追根溯源，快速联动反应。

(6)将风控信息、综合报警信息、安全态势报告可视化，充分显示工控安全防控的过程和成果。

(7)领悟安全大数据，可快速实现关联查询剖析以及数据挖掘。

(8)将安全做事保持到底。

(9)将安全管理贯穿于全体过程。

(10)将国产化基因安全作为终极替代目标。

3.3 方案可行性与合规性

该IoT领悟的综合安全办理方案已在某港口运行了4年，目前还在不断完善中。
在此期间，基本工控安全防护配备了数十套工业防火墙和工业数据隔离交流设备、6套工业运维审计系统、近百套白名单软件、6套厂级工业监管日志平台、多套无人值守工业机房动环管理；配备了嵌入运用的加密传输、工业协议过滤、阻断、报警等运用系统；同时，合营利用了传统的负载均衡、高端防火墙、VPN、堡垒机、风控平台、日志挖掘平台，并对200多台做事器、浩瀚终端安装白名单系统打了补丁；通过每年度、每季度、每月进行的监测、评估、整改、加固、应急、托管、高端专家咨询等安全做事，终极较好地防御住了永恒之蓝、打单软件、挖矿程序、变种病毒和木马等的多次攻击，取得了良好的防控结果，保护了信息系统和工控系统的安全。
因此，该方案具有较好的履行可行性和可靠性。

其余，该办理方案是参照工信部工控安全防护指南的哀求[9-10]构建的，完备符合工控安全哀求。

3.4 方案前辈性

该方案具有如下前辈性：

(1)防御理念前辈，该方案可实现多层次、多维度、多防线的基本纵深防御。

(2)该方案可实现由根本数据、根本传感器和基层安全设备分层构建的态势感知，反应灵敏、迅速真实。

(3)将风控管理、安全大数据剖析挖掘、安全预警应急、安全检测、安全运维、安全管理等做事贯彻于始终。

(4)对烟草行业和其他行业中工控安全防护具有重大辅导意义。

(5)符合与IoT领悟发展的大趋势。

(6)可打造国产化的基因安全。

4 结论

在本文中，首先回顾了烟草行业工控系统的网络构造及其特点，然后剖析了烟草行业工控系统安全的现状和工控系统面临的安全威胁，末了提出了烟草行业工控系统安全办理方案及其运用情形。
本文提出的基于纵深防御的工控系统安全办理方案在烟草行业的运用表明，该方案理念前辈、贴合实际、符合国标、重重布防、预警应急、基因安全、具备较强的可履行性，可为烟草行业的工业掌握系统安全乃至信息安全供应有力的安全保障。

参考文献

[1] 魏钦志.工业掌握系统安全现状及安全策略剖析[J].信息安全与技能，2013(2)：23-26.

[2] 陶耀东，李宁，曾广圣.工业掌握系统安全综述[J].打算机工程与运用，2016(13)：8-18.

[3] 崔艳娜，张红金，李继安.工业掌握系统漏洞的统计及其剖析研究[J].电子产品可靠性与环境试验，2018(6)：41-46.

[4] 白雪原.工控系统安全威胁及防护运用磋商[J].中国信息化，2018(5)：70-71.

[5] 李平，李程程.工业掌握网络安全防御体系的关键技能研究[J].中国管理信息化，2019(1)：186-189.

[6] 于寅虎.不能用传统信息安全思路办理工控安全问题——专访北京威努绝技巧有限公司首席技能官 黄敏[J].电子技能运用，2017(6)：1-2.

[7] 陶耀东，贾新桐.工业掌握系统网络安全态势感知框架研究[J].信息技能与网络安全，2018(5)：3-6.

[8] 文雅玫，李建强，谢博，等.烟草行业工控系统安全监测与管控方案[J].自动化博览，2018(11)：66-68.

[9] 工业和信息化部.工业掌握系统信息安全防护能力评估事情管理办法[OL].(2017-07-31)[2019-01-24].http：//www.miit.gov.cn/n1146295/n1652858/n1652930/n3757016/c5761045/content.html.

[10] 工业和信息化部.工业掌握系统信息安全防护指南[OL].(2016-10-17)[2019-01-24]. http：//www.miit.gov.cn/n1146295/n1652858/n1652930/n3757016/c5346662/content.html.

作者信息:

何 巍

(湖南中烟工业有限任务公司，湖南 长沙410014)