《電子技術(shù)應(yīng)用》
您所在的位置:首頁 > 其他 > 設(shè)計應(yīng)用 > 石化工業(yè)控制網(wǎng)絡(luò)安全分析與防護(hù)
石化工業(yè)控制網(wǎng)絡(luò)安全分析與防護(hù)
摘要: 隨著我國工業(yè)信息化建設(shè)的不斷深入,,信息化已經(jīng)成為企業(yè)發(fā)展的重要推動力量,,國外石化企業(yè)信息化建設(shè)和應(yīng)用已經(jīng)走在我們前面。經(jīng)濟(jì)全球化的發(fā)展以及WTO的加入,,更對石化企業(yè)提出了新的挑戰(zhàn),,就石化企業(yè)而言,,信息化是生存和發(fā)展的必由之路。信息化是一項(xiàng)系統(tǒng)工程,,信息化安全也是信息化建設(shè)的關(guān)鍵環(huán)節(jié),。
Abstract:
Key words :

        隨著我國工業(yè)信息化建設(shè)的不斷深入,信息化已經(jīng)成為企業(yè)發(fā)展的重要推動力量,,國外石化企業(yè)信息化建設(shè)和應(yīng)用已經(jīng)走在我們前面,。經(jīng)濟(jì)全球化的發(fā)展以及WTO的加入,更對石化企業(yè)提出了新的挑戰(zhàn),就石化企業(yè)而言,,信息化是生存和發(fā)展的必由之路,。

        信息化是一項(xiàng)系統(tǒng)工程,信息化安全也是信息化建設(shè)的關(guān)鍵環(huán)節(jié),。特別是隨著互聯(lián)網(wǎng)日新月異的發(fā)展和企業(yè)集團(tuán)信息化整合的加強(qiáng),,企業(yè)網(wǎng)絡(luò)應(yīng)用的范圍在不斷擴(kuò)大,如通過互聯(lián)網(wǎng)獲取信息,、展現(xiàn)企業(yè)形象,、開展電子商務(wù)等,通過廣域網(wǎng)實(shí)現(xiàn)集團(tuán)內(nèi)部資源共享,、統(tǒng)一集團(tuán)管理等,,企業(yè)信息化網(wǎng)絡(luò)不再是單純意義上的Intranet,而更多的則是基于Internet的網(wǎng)絡(luò)和應(yīng)用,。但網(wǎng)絡(luò)開放的同時,,帶來的安全問題就更加嚴(yán)峻了,各種安全問題如病毒,、攻擊和入侵等已經(jīng)引起了人們的高度重視,。

        石化企業(yè)信息化與其它行業(yè)相比有一個突出特點(diǎn),就是以管控一體化為重點(diǎn),。這是由石化行業(yè)自身的特點(diǎn)決定的,,并具有一定的時代特點(diǎn)。

        石化企業(yè)是典型的資金和技術(shù)密集型企業(yè),,生產(chǎn)的連續(xù)性很強(qiáng),,裝置和重要設(shè)備的意外停產(chǎn)都會導(dǎo)致巨大的經(jīng)濟(jì)損失,因此生產(chǎn)過程控制大多采用DCS等先進(jìn)的控制系統(tǒng),,生產(chǎn)管理上也更注重安全和平穩(wěn)運(yùn)行。通過加強(qiáng)生產(chǎn)管理,,可以實(shí)現(xiàn)管理與生產(chǎn)過程控制的融合,,通過優(yōu)化調(diào)度、先進(jìn)控制和優(yōu)化控制等手段,,在保證生產(chǎn)平穩(wěn)的基礎(chǔ)上獲取更大的經(jīng)濟(jì)效益,,因此,石化企業(yè)信息化的重點(diǎn)是管控一體化,。當(dāng)今的石化企業(yè)普遍采用基于ERP/SCM,、MES和PCS三層架構(gòu)的的管控一體化信息模型,MES處于企業(yè)信息系統(tǒng)ERP/SCM和過程控制系統(tǒng)的中間位置,。MES系統(tǒng)在整個信息系統(tǒng)中主要擔(dān)當(dāng)了兩個方面的重要作用:一是數(shù)據(jù)雙向通道的作用,。即通過MES系統(tǒng)的實(shí)施,可以有效彌補(bǔ)企業(yè)PCS層及ERP/SCM層之間的數(shù)據(jù)間隙,由下至上,,通過對底層PCS層數(shù)據(jù)的搜集,、存儲及校正,建立過程控制數(shù)據(jù)層次上的數(shù)字化工廠,,結(jié)合生產(chǎn)調(diào)度層次上的調(diào)度事件信息數(shù)據(jù)等,,為上層ERP/SCM計劃管理層提供準(zhǔn)確統(tǒng)一的生產(chǎn)數(shù)據(jù);由上至下,,通過對實(shí)時生產(chǎn)數(shù)據(jù)的總結(jié),,上層ERP/SCM層可以根據(jù)未來訂單及現(xiàn)階段生產(chǎn)狀況調(diào)整生產(chǎn)計劃,下發(fā)MES層進(jìn)行計劃的分解及產(chǎn)生調(diào)度指令,,有效指導(dǎo)企業(yè)生產(chǎn)活動,。因此,MES系統(tǒng)在數(shù)據(jù)層面上,,起到了溝通PCS層和ERP/SCM層的橋梁作用,,并保證了生產(chǎn)數(shù)據(jù)、調(diào)度事件等信息的一致性及準(zhǔn)確性,。另一方面,,生產(chǎn)活動的復(fù)雜性產(chǎn)生了很多實(shí)際的用戶需求,為了滿足這些用戶需求,,MES系統(tǒng)也可以視為一個功能模塊的集合,。 

        由DCS,、PLC和SCADA等控制系統(tǒng)構(gòu)成的控制網(wǎng)絡(luò),,在過去幾十年的發(fā)展中呈現(xiàn)出整體開放的趨勢。以石化主流控制系統(tǒng)DCS為例,,在信息技術(shù)發(fā)展的影響下,,DCS已經(jīng)進(jìn)入了第四代,新一代DCS呈現(xiàn)的一個突出特點(diǎn)就是開放性的提高,。過去的DCS廠商基本上是以自主開發(fā)為主,,提供的系統(tǒng)也是自己的系統(tǒng)。當(dāng)今的DCS廠商更強(qiáng)調(diào)開放系統(tǒng)集成性,。各DCS廠商不再把開發(fā)組態(tài)軟件或制造各種硬件單元視為核心技術(shù),,而是紛紛把DCS的各個組成部分采用第三方集成方式或OEM方式。例如,,多數(shù)DCS廠商自己不再開發(fā)組態(tài)軟件平臺,,而轉(zhuǎn)入采用其它專業(yè)公司的通用組態(tài)軟件平臺,或其它公司提供的軟件平臺,。這一思路的轉(zhuǎn)變使得現(xiàn)代DCS的操作站完全呈現(xiàn)PC化與Windows化的趨勢,。在新一代DCS的操作站中,,幾乎清一色采用PC+Windows的技術(shù)架構(gòu),使用戶的投資及維護(hù)成本大幅降低,。

        同時,,DCS網(wǎng)絡(luò)技術(shù)也呈現(xiàn)出開放的特征。過去,,由于通信技術(shù)相對落后,,網(wǎng)絡(luò)技術(shù)開放性是困擾用戶的一個重要問題。而當(dāng)代網(wǎng)絡(luò)技術(shù),、軟件技術(shù)的發(fā)展為開放系統(tǒng)提供了可能,。網(wǎng)絡(luò)技術(shù)開放性體現(xiàn)在DCS可以從多個層面與第三方系統(tǒng)互聯(lián),同時支持多種網(wǎng)絡(luò)協(xié)議,。目前在與企業(yè)管理層信息平臺互聯(lián)時,,大多采用基于TCP(UDP)/IP協(xié)議的以太網(wǎng)通信技術(shù),使用OPC等開放接口標(biāo)準(zhǔn),。

        開放性為用戶帶來的好處毋庸置疑,,但由此引發(fā)的各種安全漏洞與傳統(tǒng)的封閉系統(tǒng)相比卻大大增加。對于一個控制網(wǎng)絡(luò)系統(tǒng),,產(chǎn)生安全漏洞的因素是多方面的,。

1、網(wǎng)絡(luò)通信協(xié)議安全漏洞

        隨著TCP(UDP)/IP協(xié)議被控制網(wǎng)絡(luò)普遍采用,,網(wǎng)絡(luò)通信協(xié)議漏洞問題變得越來越突出,。

        TCP/IP協(xié)議簇最初設(shè)計的應(yīng)用環(huán)境是美國國防系統(tǒng)的內(nèi)部網(wǎng)絡(luò),這一網(wǎng)絡(luò)是互相信任的,,因此它原本只考慮互通互聯(lián)和資源共享的問題,,并未考慮也無法兼容解決來自網(wǎng)絡(luò)中和網(wǎng)際間的大量安全問題。當(dāng)其推廣到社會的應(yīng)用環(huán)境后,,安全問題發(fā)生了,。所以說,TCP/IP在先天上就存在著致命的安全漏洞,。

1)        缺乏對用戶身份的鑒別

2)        缺乏對路由協(xié)議的鑒別認(rèn)證

3)        TCP/UDP自身缺陷

2,、操作系統(tǒng)安全漏洞

        PC+Windows的技術(shù)架構(gòu)現(xiàn)已成為控制系統(tǒng)上位機(jī)/操作站的主流。而在控制網(wǎng)絡(luò)中,,上位機(jī)/操作站是實(shí)現(xiàn)與MES通信的主要網(wǎng)絡(luò)結(jié)點(diǎn),因此其操作系統(tǒng)的漏洞就成為了整個控制網(wǎng)絡(luò)信息安全中的一個短板,。

        Windows操作系統(tǒng)從推出至今,,以其友好的用戶界面、簡單的操作方式得到了用戶的認(rèn)可,,其版本也從最初的Windows 3.1發(fā)展到如今的XP,、Windows Server2003,、 Windows 7等。但是,,微軟在設(shè)計Windows操作系統(tǒng)時是本著簡單易用為原則的,,因而忽略了安全方面的考慮,留下了很多隱患,。這些隱患在單機(jī)時代并沒有顯現(xiàn)出來,,后來隨著網(wǎng)絡(luò)的出現(xiàn)和普及,越來越多地使用Windows操作系統(tǒng)的PC接入網(wǎng)絡(luò),,微軟埋下的隱患逐漸浮出水面,。一時間Windows操作系統(tǒng)漏洞頻繁出現(xiàn),安全事故時有發(fā)生,。雖然微軟在Windows2000以后的版本中采用了Windows NT的核心,,在一定程度上提高了Windows操作系統(tǒng)的安全性,但仍然不能避免安全漏洞的不斷出現(xiàn),。另一方面,,Windows作為主流的操作系統(tǒng),也更容易成為眾矢之的,,每次Windows的系統(tǒng)漏洞被發(fā)現(xiàn)后,,針對該漏洞的惡意代碼很快就會出現(xiàn)在網(wǎng)上,從漏洞被發(fā)現(xiàn)到惡意代碼的出現(xiàn),,中間的時差開始變得越來越短,。以Windows2000版本為例,就曾被發(fā)現(xiàn)了大量漏洞,,典型的如:輸入法漏洞,、IPC$漏洞、RPC漏洞,、Unicode漏洞,、IDA&IDQ緩沖區(qū)溢出漏洞、Printer溢出漏洞,、Cookie漏洞等等,。這些漏洞大部分危害巨大,惡意代碼通過這些漏洞,,可以獲得Windows2000操作站的完全控制權(quán),,甚至為所欲為。

3,、應(yīng)用軟件安全漏洞

        處于應(yīng)用層的應(yīng)用軟件產(chǎn)生的漏洞是最直接,、最致命的。一方面這是因?yàn)閼?yīng)用軟件形式多樣,,很難形成統(tǒng)一的防護(hù)規(guī)范以應(yīng)對安全問題,;另一方面最嚴(yán)重的是,,當(dāng)應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時,就必須開放其應(yīng)用端口,。例如,,要想實(shí)現(xiàn)與操作站OPC服務(wù)器軟件的網(wǎng)絡(luò)通信,控制網(wǎng)絡(luò)就必須完全開放135端口,,這時防火墻等安全設(shè)備已經(jīng)無能為力了,。而實(shí)際上,不同應(yīng)用軟件的安全漏洞還不止于此,。

控制網(wǎng)絡(luò)安全隱患分析

        控制網(wǎng)絡(luò)的安全漏洞暴露了整個控制系統(tǒng)安全的脆弱性,。由于網(wǎng)絡(luò)通信協(xié)議、操作系統(tǒng),、應(yīng)用軟件,、安全策略甚至硬件上存在的安全缺陷,從而使得攻擊者能夠在未授權(quán)的情況下訪問和操控控制網(wǎng)絡(luò)系統(tǒng),,形成了巨大的安全隱患,。控制網(wǎng)絡(luò)系統(tǒng)的安全性同樣符合“木桶原則”,,其整體安全性不在于其最強(qiáng)處,,而取決于系統(tǒng)最薄弱之處,即安全漏洞所決定,。只要這個漏洞被發(fā)現(xiàn),,系統(tǒng)就有可能成為網(wǎng)絡(luò)攻擊的犧牲品。

        安全漏洞對控制網(wǎng)絡(luò)的隱患體現(xiàn)在惡意攻擊行為對系統(tǒng)的威脅,。隨著越來越多的控制網(wǎng)絡(luò)系統(tǒng)通過信息網(wǎng)絡(luò)連接到互聯(lián)上,,這種威脅就越來越大。目前互聯(lián)網(wǎng)上已有幾萬個黑客站點(diǎn),,黑客技術(shù)不斷創(chuàng)新,,基本的攻擊手法已達(dá)上千種。這些攻擊技術(shù)一旦被不法之徒掌握,,將產(chǎn)生不良的后果,。

        對于控制網(wǎng)絡(luò)系統(tǒng),由于安全漏洞可能帶來的直接安全隱患有以下幾種,。

1,、入侵

        系統(tǒng)被入侵是系統(tǒng)常見的一種安全隱患。黑客侵入計算機(jī)和網(wǎng)絡(luò)可以非法使用計算機(jī)和網(wǎng)絡(luò)資源,,甚至是完全掌控計算機(jī)和網(wǎng)絡(luò),。

        控制網(wǎng)絡(luò)的計算機(jī)終端和網(wǎng)絡(luò)往往可以控制諸如大型化工裝置、公用工程設(shè)備,,甚至核電站安全系統(tǒng)等大型工程化設(shè)備,。黑客一旦控制該系統(tǒng),對系統(tǒng)造成一些參數(shù)的修改,,就可能導(dǎo)致生產(chǎn)運(yùn)行的癱瘓,,就意味著可能利用被感染的控制中心系統(tǒng)破壞生產(chǎn)過程、切斷整個城市的供電系統(tǒng),、惡意污染飲用水甚至是破壞核電站的正常運(yùn)行,。隨著近些年來越來越多的控制網(wǎng)絡(luò)接入到互聯(lián)網(wǎng)當(dāng)中,這種可能就越來越大,。

 2,、拒絕服務(wù)攻擊

        受到拒絕服務(wù)攻擊是一種危害很大的安全隱患。常見的流量型攻擊如Ping Flooding,、UDP Flooding等,,以及常見的連接型攻擊如SYN Flooding、ACK Flooding等,,通過消耗系統(tǒng)的資源,,如網(wǎng)絡(luò)帶寬、連接數(shù),、CPU處理能力等使得正常的服務(wù)功能無法進(jìn)行,。拒絕服務(wù)攻擊難以防范的原因是它的攻擊對象非常普遍,從服務(wù)器到各種網(wǎng)絡(luò)設(shè)備如路由器,、交換機(jī),、防火墻等都可以被拒絕服務(wù)攻擊。

        控制網(wǎng)絡(luò)一旦遭受嚴(yán)重的拒絕服務(wù)攻擊就會導(dǎo)致操作站的服務(wù)癱瘓,,與控制系統(tǒng)的通信完全中斷等,。可以想像,,受到拒絕服務(wù)攻擊后的控制網(wǎng)絡(luò)可能導(dǎo)致網(wǎng)絡(luò)中所有操作站和監(jiān)控終端無法進(jìn)行實(shí)時監(jiān)控,,其后果是非常嚴(yán)重的。而傳統(tǒng)的安全技術(shù)對拒絕服務(wù)攻擊幾乎不可避免,,缺乏有效的手段來解決,。

3、病毒與惡意代碼

        病毒的泛濫是大家有目共睹的,。全球范圍內(nèi),,每年都會發(fā)生數(shù)次大規(guī)模的病毒爆發(fā)。目前全球已發(fā)現(xiàn)數(shù)萬種病毒,,并且還在以每天數(shù)十余種的速度增長,。除了傳統(tǒng)意義上的具有自我復(fù)制能力但必須寄生在其它實(shí)用程序中的病毒外,各種新型的惡意代碼也層出不窮,,如陷阱門,、邏輯炸彈,、特洛伊木馬、蠕蟲,、Zombie等,。新型的惡意代碼具有更強(qiáng)的傳播能力和破壞性。例如蠕蟲,,從廣義定義來說也是一種病毒,,但和傳統(tǒng)病毒相比最大不同在于自我復(fù)制過程。傳統(tǒng)病毒的自我復(fù)制過程需要人工干預(yù),,無論運(yùn)行感染病毒的實(shí)用程序,,或者是打開包含宏病毒的郵件等,沒有人工干預(yù)病毒無法自我完成復(fù)制,、傳播,。但蠕蟲卻可以自我獨(dú)立完成以下過程:

1.        查找遠(yuǎn)程系統(tǒng):能夠通過檢索已被攻陷的系統(tǒng)的網(wǎng)絡(luò)鄰居列表或其它遠(yuǎn)程系統(tǒng)地址列表找出下一個攻擊對象。

2.        建立連接:能夠通過端口掃描等操作過程自動和被攻擊對象建立連接,,如Telnet連接等,。

3.        實(shí)施攻擊:能夠自動將自身通過已經(jīng)建立的連接復(fù)制到被攻擊的遠(yuǎn)程系統(tǒng),并運(yùn)行它,。

        一旦計算機(jī)和網(wǎng)絡(luò)染上了惡意代碼,,安全問題就不可避免。

常規(guī)網(wǎng)絡(luò)安全技術(shù)

        石化企業(yè)隨著信息系統(tǒng)的不斷發(fā)展,,大量IT技術(shù)被引入,,同時也包括各種IT網(wǎng)絡(luò)安全技術(shù)。目前以MES為代表的信息系統(tǒng)在實(shí)現(xiàn)控制網(wǎng)絡(luò)接入信息網(wǎng)絡(luò)時,,也基本都考慮了對控制網(wǎng)絡(luò)的安全防護(hù),。但目前對控制網(wǎng)絡(luò)的防護(hù),大部分采用的是常規(guī)網(wǎng)絡(luò)安全技術(shù),,主要包括防火墻,、IDS、VPN,、防病毒等,。這些技術(shù)主要面向商用網(wǎng)絡(luò)應(yīng)用。

        在企業(yè)的信息化系統(tǒng)中,,由辦公網(wǎng)絡(luò),、管理網(wǎng)絡(luò)組成的信息網(wǎng)絡(luò)與商用網(wǎng)絡(luò)的運(yùn)維特點(diǎn)比較相似,因此采用常規(guī)網(wǎng)絡(luò)安全技術(shù)是適合的,。而控制網(wǎng)絡(luò)特點(diǎn)則有很大不同,。

        控制網(wǎng)絡(luò)是控制系統(tǒng)如DCS各部件協(xié)同工作的通信網(wǎng)絡(luò)。控制系統(tǒng)負(fù)責(zé)對生產(chǎn)裝置的連續(xù)不間斷地生產(chǎn)控制,,因此控制網(wǎng)絡(luò)同樣具有連續(xù)不可間斷的高可靠性要求,。另一方面,控制網(wǎng)絡(luò)也是操作人員對控制系統(tǒng)實(shí)時下發(fā)控制指令的重要途徑,,所以控制網(wǎng)絡(luò)又具有不可延遲的高實(shí)時性要求,。

        在商用網(wǎng)絡(luò)里可以存在病毒,幾乎每天都有新的補(bǔ)丁出現(xiàn),,計算機(jī)可能會死機(jī)、暫停,,而這些如果發(fā)生在控制網(wǎng)絡(luò)里幾乎是不可想象的,。為了保證生產(chǎn)安全,在極端情況下,,即便將控制網(wǎng)絡(luò)與信息網(wǎng)絡(luò)斷開,,停止與信息網(wǎng)絡(luò)交換數(shù)據(jù)也要保證控制系統(tǒng)的安全。因此,,過程生產(chǎn)的連續(xù)不可間斷的高可靠性要求控制網(wǎng)絡(luò)具備更高的安全性,。

        另外,從數(shù)據(jù)安全角度來看,,商用網(wǎng)絡(luò)往往對數(shù)據(jù)的私密性要求很高,,要防止信息的泄露,而控制網(wǎng)絡(luò)強(qiáng)調(diào)的是數(shù)據(jù)的可靠性,。另外,,商用網(wǎng)絡(luò)的應(yīng)用數(shù)據(jù)類型極其復(fù)雜,傳輸?shù)耐ㄐ艠?biāo)準(zhǔn)多樣化,,如HTTP,、SMTP、FTP,、SOAP等,;而控制網(wǎng)絡(luò)的應(yīng)用數(shù)據(jù)類型相對單一,以過程數(shù)據(jù)為主,,傳輸?shù)耐ㄐ艠?biāo)準(zhǔn)以工業(yè)通信標(biāo)準(zhǔn)為主,,如OPC、Modbus等,。

        通過比較商用網(wǎng)絡(luò)與控制網(wǎng)絡(luò)的差異可以發(fā)現(xiàn),,常規(guī)的IT網(wǎng)絡(luò)安全技術(shù)都不是專門針對控制網(wǎng)絡(luò)需求設(shè)計的,用在控制網(wǎng)絡(luò)上就會存在很多局限性,。

        比如防火墻產(chǎn)品,,目前基本是以包過濾技術(shù)為基礎(chǔ)的,它最大的局限性在于不能保證準(zhǔn)許放行的數(shù)據(jù)的安全性。防火墻通過拒絕放行并丟棄數(shù)據(jù)包來實(shí)現(xiàn)自己的安全機(jī)制,。但防火墻無法保證準(zhǔn)許放行數(shù)據(jù)的安全性,。從實(shí)際應(yīng)用來看,防火墻較為明顯的局限性包括以下幾方面:

1),、防火墻不能阻止感染病毒的程序和文件的傳輸,。就是防火墻只能做網(wǎng)絡(luò)四層以下的控制,對于應(yīng)用層內(nèi)的病毒,、蠕蟲都沒有辦法,。

2)、防火墻不能防范全新的威脅,,更不能防止可接觸的人為或自然的破壞,。

3)、防火墻不能防止由自身安全漏洞引起的威脅,。

4),、防火墻對用戶不完全透明,非專業(yè)用戶難于管理和配置,,易造成安全漏洞,。

5)、防火墻很難為用戶在防火墻內(nèi)外提供一致的安全策略,,不能防止利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議中的缺陷進(jìn)行的攻擊,,也不能防止利用服務(wù)器系統(tǒng)漏洞所進(jìn)行的攻擊。

6),、由于防火墻設(shè)置在內(nèi)網(wǎng)與外網(wǎng)通信的信道上,,并執(zhí)行規(guī)定的安全策略,所以防火墻在提供安全防護(hù)的同時,,也變成了網(wǎng)絡(luò)通信的瓶頸,,增加了網(wǎng)絡(luò)傳輸延時,如果防火墻出現(xiàn)問題,,那么內(nèi)部網(wǎng)絡(luò)就會受到嚴(yán)重威脅,。

7)、防火墻僅提供粗粒度的訪問控制能力,。它不能防止數(shù)據(jù)驅(qū)動式的攻擊,。

        另一方面,防火墻由于其自身機(jī)理的原因,,還存在很多先天不足,,主要包括:

1)、由于防火墻本身是基于TCP/IP協(xié)議體系實(shí)現(xiàn)的,,所以它無法解決TCP/IP協(xié)議體系中存在的漏洞,。

2),、防火墻只是一個策略執(zhí)行機(jī)構(gòu),它并不區(qū)分所執(zhí)行政策的對錯,,更無法判別出一條合法政策是否真是管理員的本意,。從這點(diǎn)上看,防火墻一旦被攻擊者控制,,由它保護(hù)的整個網(wǎng)絡(luò)就無安全可言了,。

3)、防火墻無法從流量上判別哪些是正常的,,哪些是異常的,,因此容易受到流量攻擊。

4),、防火墻的安全性與其速度和多功能成反比,。防火墻的安全性要求越高,需要對數(shù)據(jù)包檢查的項(xiàng)目(即防火墻的功能)就越多越細(xì),,對CPU和內(nèi)存的消耗也就越大,從而導(dǎo)致防火墻的性能下降,,處理速度減慢,。

5)、防火墻準(zhǔn)許某項(xiàng)服務(wù),,卻不能保證該服務(wù)的安全性,,它需要由應(yīng)用安全來解決。

        防火墻正是由于這些缺陷與不足,,導(dǎo)致目前被攻破的幾率已經(jīng)接近50%,。雖然目前最流行的安全架構(gòu)是以防火墻為核心的安全體系架構(gòu)。通過防火墻來實(shí)現(xiàn)網(wǎng)絡(luò)的安全保障體系,。然而,,以防火墻為核心的安全防御體系未能有效地防止目前頻頻發(fā)生網(wǎng)絡(luò)攻擊。僅有防火墻的安全架構(gòu)是遠(yuǎn)遠(yuǎn)不夠的,。

        其它安全技術(shù)如IDS,、VPN、防病毒產(chǎn)品等與產(chǎn)品與防火墻一樣,,也都有很強(qiáng)的針對性,,只能管轄屬于自己管轄的事情,出了這個邊界就不再能發(fā)揮作用,。IDS作為可審查性產(chǎn)品最大的局限性是漏報和誤報嚴(yán)重,,幾乎不是一個可以依賴的安全工具,而是一個參考工具,。漏報等于沒有報,,誤報則是報錯了,這兩個特點(diǎn)幾乎破壞了入侵檢測的可用性。VPN作為一種加密類技術(shù),,不管哪種VPN技術(shù),,在設(shè)計之初都是為了保證傳輸安全問題而設(shè)計的,而沒有動態(tài),、實(shí)時的檢測接入的VPN主機(jī)的安全性,,同時對其作“準(zhǔn)入控制”。這樣有可能因?yàn)橐粋€VPN主機(jī)的不安全,,導(dǎo)致其整個網(wǎng)絡(luò)不安全,。防病毒產(chǎn)品也有局限性,主要是對新病毒的處理總是滯后的,,這導(dǎo)致每年都會大規(guī)模地爆發(fā)病毒,,特別是新病毒。

網(wǎng)絡(luò)隔離技術(shù)及防護(hù)產(chǎn)品

1,、網(wǎng)絡(luò)隔離技術(shù)

        在防火墻的發(fā)展過程中,,人們最終意識到防火墻在安全方面的局限性。高性能,、高安全性,、易用性方面的矛盾沒有很好地解決。防火墻體系架構(gòu)在高安全性方面的缺陷,,驅(qū)使人們追求更高安全性的解決方案,,人們期望更安全的技術(shù)手段,網(wǎng)絡(luò)隔離技術(shù)應(yīng)運(yùn)而生,。

        網(wǎng)絡(luò)隔離技術(shù)是安全市場上的一個分支,。在經(jīng)過漫長的市場概念澄清和技術(shù)演變進(jìn)步之后,市場最終接受了網(wǎng)絡(luò)隔離具有最高的安全性,。目前存在的安全問題,,對網(wǎng)絡(luò)隔離技術(shù)而言在理論上都不存在。這就是各國政府和軍方都大力推行網(wǎng)絡(luò)隔離技術(shù)的主要原因,。

        網(wǎng)絡(luò)隔離技術(shù)經(jīng)過了長時間的發(fā)展,,目前已經(jīng)發(fā)展到了第五代技術(shù)。第一代隔離技術(shù)采用完全的隔離技術(shù),,實(shí)際上是將網(wǎng)絡(luò)物理上的分開,,形成信息孤島;第二代隔離技術(shù)采用硬件卡隔離技術(shù),;第三代隔離技術(shù)采用數(shù)據(jù)轉(zhuǎn)發(fā)隔離技術(shù),;第四代隔離技術(shù)采用空氣開關(guān)隔離技術(shù);第五代隔離技術(shù)采用安全通道隔離技術(shù),。

        基于安全通道的最新隔離技術(shù)通過專用通信硬件和專有安全協(xié)議等安全機(jī)制,,來實(shí)現(xiàn)內(nèi)外部網(wǎng)絡(luò)的隔離和數(shù)據(jù)交換,,不僅解決了以前隔離技術(shù)存在的問題,并有效地把內(nèi)外部網(wǎng)絡(luò)隔離開來,,而且高效地實(shí)現(xiàn)了內(nèi)外網(wǎng)數(shù)據(jù)的安全交換,,透明支持多種網(wǎng)絡(luò)應(yīng)用,成為當(dāng)前隔離技術(shù)的發(fā)展方向,。

        網(wǎng)絡(luò)隔離的指導(dǎo)思想與防火墻也有很大的不同,,體現(xiàn)在防火墻的思路是在保障互聯(lián)互通的前提下,盡可能安全,;而網(wǎng)絡(luò)隔離的思路是在必須保證安全的前提下,,盡可能支持?jǐn)?shù)據(jù)交換,如果不安全則斷開,。

        網(wǎng)絡(luò)隔離技術(shù)主要目標(biāo)是解決目前信息安全中的各種漏洞:操作系統(tǒng)漏洞,、TCP/IP漏洞、應(yīng)用協(xié)議漏洞,、鏈路連接漏洞,、安全策略漏洞等,網(wǎng)絡(luò)隔離是目前唯一能解決上述問題的安全技術(shù),。

2,、網(wǎng)絡(luò)隔離防護(hù)產(chǎn)品

        基于網(wǎng)絡(luò)隔離技術(shù)的網(wǎng)絡(luò)隔離產(chǎn)品是互聯(lián)網(wǎng)時代的產(chǎn)物。最早出現(xiàn)在美國,、以色列等國家的軍方,用以解決涉密網(wǎng)絡(luò)與公共網(wǎng)絡(luò)連接時的安全,。在我國,,最初的應(yīng)用也主要集中在政府、軍隊(duì)等領(lǐng)域,,由于核心部門的信息安全關(guān)系著國家安全,、社會穩(wěn)定,因此迫切需要比傳統(tǒng)產(chǎn)品更為可靠的技術(shù)防護(hù)措施,。國內(nèi)的網(wǎng)絡(luò)隔離產(chǎn)品也由此應(yīng)運(yùn)而生,。

        由于是應(yīng)用在可能涉及國家安全的關(guān)鍵場合,為了統(tǒng)一規(guī)范網(wǎng)絡(luò)隔離類的技術(shù)標(biāo)準(zhǔn),,國家質(zhì)量監(jiān)督檢驗(yàn)總局及國家標(biāo)準(zhǔn)化管理委員及早制定了相應(yīng)的國家標(biāo)準(zhǔn),,目前最新國標(biāo)為GB/T 20279-2006和GB/T 20277-2006。

        隨著以電力為首的工業(yè)行業(yè)對網(wǎng)絡(luò)安全提出了更高要求后,,網(wǎng)絡(luò)隔離產(chǎn)品也開始在工業(yè)領(lǐng)域逐漸得到應(yīng)用,。目前,已經(jīng)在工業(yè)領(lǐng)域用于控制網(wǎng)絡(luò)安全防護(hù)的網(wǎng)絡(luò)隔離產(chǎn)品主要有網(wǎng)閘,、工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)等產(chǎn)品,。這些產(chǎn)品大部分都是基于最新的第五代隔離技術(shù)開發(fā)出來了,,其主要的技術(shù)原理是從OSI模型的七層上全面斷開網(wǎng)絡(luò)連接,同時采用“2+1”的三模塊架構(gòu),,即內(nèi)置有兩個主機(jī)系統(tǒng),,和一個用于建立安全通道可交換數(shù)據(jù)的隔離單元。這種架構(gòu)可以實(shí)現(xiàn)連接到外網(wǎng)和內(nèi)網(wǎng)的兩主機(jī)之間是完全網(wǎng)絡(luò)斷開的,,從物理上進(jìn)行了網(wǎng)絡(luò)隔離,,消除了數(shù)據(jù)鏈路的通信協(xié)議,剝離了TCP/IP協(xié)議,,剝離了應(yīng)用協(xié)議,,在安全交換后進(jìn)行了協(xié)議的恢復(fù)和重建。通過TCP/IP協(xié)議剝離和重建技術(shù)消除了TCP/IP協(xié)議的漏洞,。在應(yīng)用層對應(yīng)用協(xié)議進(jìn)行剝離和重建,,消除了應(yīng)用協(xié)議漏洞,并可針對應(yīng)用協(xié)議實(shí)現(xiàn)一些細(xì)粒度的訪問控制,。從TCP/IP的OSI數(shù)據(jù)模型的所有七層斷開后,,就可以消除目前TCP/IP存在的所有攻擊。


 

(1),、網(wǎng)閘

        網(wǎng)閘類產(chǎn)品誕生較早,。產(chǎn)品最初是用來解決涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)之間的安全數(shù)據(jù)交換問題。后來,,網(wǎng)閘由于其高安全性,,開始被廣泛應(yīng)用于政府、軍隊(duì),、電力,、鐵道、金融,、銀行,、證券、保險,、稅務(wù),、海關(guān)、民航,、社保等多個行業(yè)部門,。

        由于網(wǎng)閘產(chǎn)品的主要定位是各行業(yè)中對安全性要求較高的涉密業(yè)務(wù)的辦公系統(tǒng),因此它提供的應(yīng)用也以通用的互聯(lián)網(wǎng)功能為主,。例如,,目前大多數(shù)網(wǎng)閘都支持:文件數(shù)據(jù)交換、HTTP訪問,、WWW服務(wù),、FTP訪問,、收發(fā)電子郵件、關(guān)系數(shù)據(jù)庫同步以及TCP/UDP定制等,。

        在工業(yè)領(lǐng)域,,網(wǎng)閘也開始得到應(yīng)用和推廣。但除了用于辦公系統(tǒng)外,,當(dāng)用于隔離控制網(wǎng)絡(luò)時,,由于網(wǎng)閘一般都不支持工業(yè)通信標(biāo)準(zhǔn)如OPC、Modbus,,用戶只能使用其TCP/UDP定制功能,。這種方式需要在連接網(wǎng)閘的上、下游增加接口計算機(jī)或代理服務(wù)器,,并定制通信協(xié)議轉(zhuǎn)換接口軟件才能實(shí)現(xiàn)通信,。

(2)、工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)

        工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)是近幾年新興的一種專門應(yīng)用于工業(yè)領(lǐng)域的網(wǎng)絡(luò)隔離產(chǎn)品,,它同樣采用“2+1”的三模塊架構(gòu),,內(nèi)置雙主機(jī)系統(tǒng),隔離單元通過總線技術(shù)建立安全通道以安全地實(shí)現(xiàn)快速數(shù)據(jù)交換,。與網(wǎng)閘不同的是,,工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)提供的應(yīng)用專門針對控制網(wǎng)絡(luò)的安全防護(hù),因此它只提供控制網(wǎng)絡(luò)常用通信功能如OPC,、Modbus等,,而不提供通用互聯(lián)網(wǎng)功能。因此工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)更適合于控制網(wǎng)絡(luò)的隔離,,但不適合辦公系統(tǒng),。

        工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)是網(wǎng)絡(luò)隔離技術(shù)應(yīng)用于工業(yè)網(wǎng)絡(luò)安全防護(hù)的一種專業(yè)化安全產(chǎn)品。

結(jié)束語

        近幾年,,因網(wǎng)絡(luò)病毒引起的工業(yè)事件層出不窮,工業(yè)網(wǎng)絡(luò)安全問題已經(jīng)日益嚴(yán)峻,,針對目前我國工業(yè)控制系統(tǒng)信息安全面臨的嚴(yán)峻形勢,,2011年10月27日,工信部下發(fā)《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》,,強(qiáng)調(diào)了加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性,,并明確了重點(diǎn)領(lǐng)域如:石油石化、電力,、鋼鐵,、化工等行業(yè)工業(yè)控制系統(tǒng)信息安全管理要求。石化工業(yè)是國家的基礎(chǔ)性能源支柱產(chǎn)業(yè),,信息安全在任何時期,、任何國家地區(qū)都備受關(guān)注,。能源系統(tǒng)的信息安全問題直接威脅到其它行業(yè)系統(tǒng)的安全、穩(wěn)定,、經(jīng)濟(jì),、優(yōu)質(zhì)的運(yùn)行,影響著系統(tǒng)信息化的實(shí)現(xiàn)進(jìn)程,。維護(hù)網(wǎng)絡(luò)安全,,確保生產(chǎn)系統(tǒng)的穩(wěn)定可靠、防止來自內(nèi)部或外部攻擊,,采取高安全性的防護(hù)措施都是石化信息系統(tǒng)安全不可忽視的組成部分,。

此內(nèi)容為AET網(wǎng)站原創(chuàng),未經(jīng)授權(quán)禁止轉(zhuǎn)載,。