智能工厂建设中的工业信息安全与防护

智能工厂建设中的工业信息安全与防护

楚占锋陈学良易鑫刘曼曼

(河南许继仪表有限公司河南许昌461000)

摘要：文章从安全的重要性，写到当前智能工厂建设中的一个重要问题，即工业信息安全与防护，结合许继仪表公司工业信息安全防护理念，重点介绍了工厂安全、网络安全和系统安全，并讲述了他们安全的防护技术。

关键词：信息安全工厂安全网络安全系统安全

随着“中国制造2025”的推进与落实，智能制造已经成为时代潮流，每天的报纸、电视、电脑、各种培训、各种会议铺天盖地的宣传、引导，报告智能制造，几乎每一家制造业都将智能制造提到议事日程。然而，制造再忙，安全不忘。“安全第一”的思想应该始终是企业的核心思想，因为安全无小事，无数安全事故充分说明：千事万事，安全是大事。在智能制造工厂建设过程中，常规安全已经引起人们足够重视，而信息安全往往无人注视。

在智能工厂建设过程中，以太网连接延伸到现场的现象越来越多,这为工厂自动化提供了许多好处。然而，在过去，生产过程是安全的，而现在，由于开放性使得来自外部和内部的攻击出现了。对于工业自动化系统来说，工业信息安全也需要重视，不间断的安全监测和安全集成是必不可少的。

随着数字化需求的日益增长，自动化的信息安全性变得越来越重要。工业信息安全是数字化企业的核心要素。工业信息安全是智能工厂数字化建设的一部分。

工业信息安全

为了防止从内部和外部和外部受到的网络攻击进而确保工厂能全面被保护，工厂的各个层面都需要被保护(从工厂的管理层到工厂的现场层，从访问控制到知识产权保护）。这就是为什么要采用全面的保护机制。即“纵深防御”的概念。这个概念是来自于ISA99ISO/IEC62443安全标准---针对于工业应用的领先安全标准。

“纵深防御”针对自动化系统提供了全面和深入的保护：一方面，用不同的、互补的保护机制应对各种威胁（全方位保护）；另一方面。也给攻击者设置多重阻拦。

河南许继仪表有限公司工业信息安全理念包含工厂安全、网络安全和系统安全三个重要部分。

许继仪表工业信息安全理念

工厂安全

工厂安全是防止未经授权的人使用的人使用一些特殊的方法来访问关键的物理设施。工厂安全从使用密钥卡对传统建筑物进行访问扩展到对敏感区访问。

1，物理访问保护

可以归纳为如下类型：

1）制定相关措施流程，防止未经授权的人员访问工厂；

2）不同的工艺段需要采用物理隔离，并制定相应的访问权限。

3）自动化组件的关键零件需要采用物理访问保护。如控制箱需要加锁。

2，安全管理

安全管理策略和组织措施是工业信息安全的重要组成部分。组织措施和安全措施必须相辅相成。要达到保护的目标必须将这两种措施有机结合。

组织措施是建立一套完善的安全政策和管理流程。

安全管理政策内容有：1）对于可接受的风险，制定统一的规定；

2）对于不同寻常的活动和事件，制定上报机制；3）对于信息安全事件，做到交流通畅并编制文档；4）规定移动PC、智能手机和数据存储设备等在工厂范围内的使用。

信息安全相关流程示例如下：1）对于所使用的设备零部件，需要处理并修正已知的薄弱点。2）发生安全事件时的流程。3）发生安全事件后恢复生产系统的流程。4）记录和评估安全事件，并记录配置变化。5）在工厂范围内使用外部数据存储设备之前，要执行测试程序和检查程序。

在制定安全措施之前必须做风险分析，风险分析是对工厂和设备进行信息安全管理的先决条件。其目的在于识别和评估不同用户所面临的危害和风险。风险分析的典型内容如下：1）识别可能受到威胁的目标；2）分析价值和潜在的损失；3）威胁和弱点分析；4）识别已有的信息安全措施；5）风险评估。

对于被识别出的不可接受的风险，必须通过适当的措施排除或者明险降低，然而，没有任何一种单独的措施和方案能保证100%的安全。

要实现的保护目标是由风险分析得出的，以此为依据来实施相应的组织措施和安全措施，措施实施完成后需要进行验证和改进，如果发生变化，如威胁情况发生变化，则必须再次进行风险分析，此流程也必须重新开始。

安全措施的制定取决于对工厂所面对的危害和风险分析，利用严格且有持续性的安全管理流程达到并保持所需要的安全等级。

网络安全

网络安全包括对自动化系统未经授权和访问保护和对连接到其他网络（如办公网络和由于远程访问的需求连接到互联网）的所有接口的安全审查。网络安全也包括通信保护，即防止通信被拦截和操纵。例如：数据加密传输和通信节点间的身份论证。

1，网络分段和单元保护

网络分段是把工厂网络划分成几个独立被保护的自动化单元。这样可以减少风险，更进一步地增强网络的安全性。一个网络部分通过一个安全措施来保护。通过网络分段来实现网络安全。因此，“单元”中的设备可以防止外部未经授权的访问且不影响实时性能或者其它功能。

防火墙可以控制对单元的访问，操作员可以定义哪些网络节点之间能通过哪些协议相互通信。通过此方式不仅可以拒绝未经授权人员的访问，也降低了网络的通信负载，而只允许所需要的通信数据通过。

根据网络站点的通信和保护需求，划分单元并分配设备到相应的单元。单元间的数据传输是通过安全设备的VPN进行加密处理。这样有效地防止了窥探和操纵数据的行为。通过VPN技术认证了通信的节点并授权它们访问某些地方。

网络分段和单元保护可归纳如下：

1）“单元”和“区域”是出于安全的目的对网络进行分段隔离产生的。

2）通过设置信息安全网络组件，对“单元入口”进行访问控制。

3）将没有独立访问保护机制的设备置于安全单元内加以保护，这种方式主要是针对已经正常运行的设备进行改造。

4）划分各个单元可以防止由于带宽限制造成的网络过载，保护单元内部的数据通信不受干扰。

5）在各个单元内部不影响实时通信。

6）在网络单元内部，对功能安全设备提供保护。

7）在单元和单元之间通过建立安全通道来实现安全通信。

网络分段的单元防护是防止未经授权访问的一种防护措施。在安全单元内部的数据不受信息安全设备的控制，因此假设各分段网络内部是安全的，或者在各个单元内部部署了更进一步的安全措施，例如，保证交换机的端口安全。

各个安全单元的大小划分主要取决于被保护对象所包含的内容，具有相同需求的组件可能会划分在同一个安全单元内。建议根据生产流程规划网络结构。这样可以保证网络分段时各个网络单元之间的通信数据量最少，同时，可以使防火墙配置的例外规则最小化。

2，工厂网络联络的安全

从一种网络过渡到其他网络时，可以通过防火墙和建立非军事区（DMZ）对工厂网络进行监控与保护。DMZ是为保护工厂网络增加的一道安全防线，DMZ对其他网络可以提供数据服务，同时也确保其他网络不能直接访问自动化网络。即使DMZ中的计算机被黑客劫持，自动化网络仍然能被保护。

3，远程访问的安全。

越来越多的工厂通过互联网连接在一起，由于世界各地的设备对远程服务、远程应用和实时监控的需求，远程工厂通过移动网络（GPRS、UMTS、LTE）连接起来。

在这种情况下，安全访问尤其重要。借助搜索引擎、端口扫描或者自动化的脚本，黑客能够轻易发现不安全的访问节点。这就是通信节点要身份论证，数据的传输需要加密且数据的完整性必须保证的原因，特别是对工厂的关键基础设施的访问而言。未经授权人员的访问，机密数据的读取和控制命令参数的修改都可能导致相当大的破坏，环境的污染及人员的伤害。

VPN机制提供身份论证，加密和完整性保护，是可以提供有效保护的一种措施，许继仪表的互联网安全产品支持VPN连接，因此可以安全地通过互联网或移动互联网进行数据传输、控制和访问。

正常情况下，设备论证证书和值得信赖的IP地址或域名名称通过防火墙的规则来阻止或允许。VPN设备和SCALANCES防火墙使用特定用户防火墙规则赋予访问用户权限。在这种情况下，用户使用他们的名字和密码登陆WEB界面，由于每个己授权的用户被分配了特殊的防火墙规则。所以该用户根据其访问权限获得相应的访问能力。使用用户防火墙规则的优势在于可以清楚地跟踪特定时间内系统的访问情况。

系统安全

系统安全就是系统的完整性，系统的完整性意味着自动化系统的控制器组件、SCADA和HMI系统等要具备防止未经授权和恶意软件的访问或者需要满足特殊需求的保护功能。

就像办公网络的计算机系统为了防止恶意软件的侵袭，通过安装更新补丁来消除操作系统或用户软件的漏洞，在工厂网络中的工业计算机和基于PC的控制系统也需要相应的保护措施。实践证明，使用一种所谓的白名单软件替代病毒扫描器，可以作为保护系统在工厂网络中使用，保证着系统的安全。

结束语：认清工业信息安全的重要性，并采取相关技术防护措施，就能有效防止智能工厂建设中来至内部和外界的信息侵袭，保证工业信息的安全，确保智能工厂的智能、高效。