工业网络信息安全范文
时间：2023-10-10 18:05:19
导语：如何才能写好一篇工业网络信息安全，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。
篇1
工程控制系统是建立在网络信息基础之上的，计算机充当各个监测和控制物理过程的端口，通过将不同端口之间有机的连接和限制访问，实现网络化系统控制。一般来讲，工业控制系统分为几个子系统，分别为过程控制系统、数据采集系统以及状态监控系统。每个子系统分别拥有不同的功能，但相互之间又通过工业生产过程相互联接，使整个工业控制系统成为一个整体。工业控制系统的基本组件有：计算机、传感器、执行器、通讯设备及信息传输设备组成。其网络结构一般采用树状分支结构，最上面是企业工作站，负责分析处理下级传递上来的信息并进行综合分析，得出结论，向下级发出指令；企业工作站下面是操作员工作站，操作员工作站可能有一个或多个，具体与企业结构相关，其主要任务是收集下级传递上来的信息，并及时处理突况，向上级传递信息，执行上级指令；操作员工作站下面是传感器和执行器，一般情况下，传感器和执行器是并存的，传感器感受到工业生产过程中的状态信息，并向上级传递信息，执行器执行操作员工作站发出的指令，完成对工业生产过程的全方位控制。
2工业控制系统的网络信息安全要求
相比较工业控制系统网络信息安全来说，传统IT信息安全的技术已经相当成熟，但IT控制系统在工业控制中无法有效得到应用。因此，工业控制系统的安全性不能直接采用IT信息安全技术进行防护。下面，笔者就根据工业控制系统的特点分析工业控制系统的安全性防护问题。工业控制系统一般用电负荷等级比较高，除了市电之外，一般由UPS不间断电源作为备用电源，是由电池组、逆变器和其他电路组成，能在电网停电时提供交流电力的电源设备。UPS单台计算机、计算机网络系统或其他电力电子设备提供不间断的电力供应。当市电输入正常时，UPS将市电稳压后供应给负载使用，此时的UPS就是一台交流市电稳压器，同时它还向机内电池充电；当市电中断（事故停电）时，UPS立即将机内电池的电能，通过逆变转换的方法向负载继续供应220V交流电，使负载维持正常工作并保护负载软、硬件不受损坏。工业控制系统同IT信息系统的不同之处在于其对安全性和可用性的要求更高，传统信息安全采用打补丁的方式更新系统已不再适用于工业控制系统。因此，工业控制系统的更新需要长时间的准备，为防止更新系统过程中对工业生产造成影响，造成不必要的损失或者出现工业事故，往往在更新系统期间，工业生产暂停，将系统设为离线状态，这是因为更新过程中可能控制系统中某一数据发生变化引起连锁反应，造成生产事故甚至安全事故。尽管停机更新系统需要的成本极高，但为防止出现事故，一般不会采用IT信息安全技术对系统进行更新维护。因此，要实现对工业控制系统的安全性防护，同时不能对工业控制系统造成较大的封闭，保证其响应力，就不能采用加密传统IT信息安全技术，最经典的安全防护技术就是安全防火墙的设置。防火墙可以设置在工业控制系统的，与工业控制系统没有联系，对控制系统也不会造成负担，同时保证了威胁因素不能进入防火墙内部，也就不能实现对控制系统的恶意攻击。
3结语
篇2
在社会经济的推动下，我国供电企业得到了较快发展，在更好满足人们供电需求的同时，顺应了城市化发展的潮流。目前，很多供电企业都对信息技术进行了较好应用，并通过其提高员工的工作效率以及质量，从而给供电企业的发展带来了一定机遇。虽然我国的网络信息技术有了较好发展，但在供电企业网络信息管理中，依然存在许多信息安全问题，给企业发展以及社会稳定带来不利，因此，加强供电企业网络信息安全防护具有重要意义。
一、供电企业网络信息安全概要
随着科学技术的不断进步，我国许多供电企业都进入了智能化、自动化工作时代，并建立了自身的网络信息数据库，不仅给企业各项工作的顺利进行带来了较大便利，而且能够为用户提供更高质量的电能。在信息技术的推动下，供电企业营销、财务等工作都实现了网络化和规范化，而且有些地区对正向隔离器进行了较好应用，从而给网络信息访问提供了一定的安全保障。目前，许多供电企业将自身营销网络与MIS网络进行了有效结合，并合理纳入了呼叫接入系统，从而与银行、用户等能够较好进行信息共享，并具有较高的安全性。虽然供电企业网络信息具有一定的安全性，但是基于网络载体的自身特性，依然存在着许多安全隐患，包括计算机病毒、恶意网页等内容，这些不良因素严重影响着网络信息的安全，不仅对企业各项工作的正常进行造成了较大影响，而且给用户正常用电带来了极大不利，最终产生多种社会问题。因此，加强供电企业网络信息安全防护势在必行。
二、供电企业网络信息存在的安全问题
(一)供电企业网络服务器质量不高
供电企业的电力系统中一般具有多种服务器，包括银电联网服务器、数据库服务器、WEB服务器等，每种服务器都有着自身的特性和功能，对电力系统的正常运作具有重要作用。在信息技术的发展下，各种网络侵入技术也有了较快发展，服务器非法入侵问题越来越严重，不仅给网络信息的安全性带来了较大隐患，而且破坏了社会稳定。在供电企业中，不同的服务器据具有不同的认证系统，主要是为了提高网络安全性，但是没有建立一个统一管理的网络系统，致使工作人员难以对服务器进行有效管理;电力系统中的WEB服务器经常会受到各种恶意病毒的侵袭，致使信息访问的安全性遭到较大冲击;在供电企业的邮件服务器中，存在较多的垃圾邮件，但是管理人员疏于监管，而许多工作人员不具备较好的安全意识，将这些邮件随意传播，致使企业网络信息安全受到严重威胁;由于供电企业网络服务器质量不高、加密效果较差、管理人员安全意识不足，极易遭受黑客攻击，致使企业机密文件或重要信息被窃取，最终给企业的正常运作带来极大不利。
(二)供电企业网络信息安全防护能力不足
在网络信息技术发展的同时，各类信息安全事件也不断涌现，不仅破坏了网络秩序，而且产生了较多负面影响，因此，加强网络信息安全防护具有重要作用。虽然我国信息技术有了较大进步，但是在供电企业中，其网络信息安全防护能力还存在较大问题，难以适应网络环境的复杂性与多变性，所以提高供电企业网络信息安全防护能力势在必行。目前，网络的保护系统还没有得到更为有效的保护，我国目前对于网络信息的保护还仅仅是停留在购买杀毒软件这个层次上，但是杀毒软件其实效果是有限的，如果想要更加健全更加全方位的保护就必须要有自己的防护系统，例如在网关处加入自己的防护措施，并且具有针对性的增强安全手段。毕竟，对于供电企业来说，很多信息是非常重要的，也算是企业的机密文件，所以对于网络的安全尤为重要。就部分供电企业而言，并不具有完善的信息安全防护系统，在杀毒软件方面存在一定落后性，当网络遭到外部攻击时，现有的安全防护措施难以进行抵御。此外，有些供电企业不具备较好的数据恢复系统，一旦信息出现损害或消失，供电企业难以补救数据漏洞，从而给各项工作的顺利进行带来不利。目前的供电企业大都缺乏网络信息安全评价体系，致使供电企业不能有效了解自身的网络情况，也难以加强信息安全，所以如何提高网络信息安全防护能力是供电企业面临的重大问题。
(三)计算机病毒威胁
供电企业大都通过自身网站与外网进行链接实现信息访问，由于网络信息不具备较好的规范性，许多恶意网页也隐藏在网站中，当员工点开恶意网页的链接时，计算机病毒就会侵入供电企业网站服务器，并迅速扩散，最终造成服务器瘫痪。计算机病毒并不能够直接用肉眼识别，许多计算机病毒都隐藏在一些正规的网页中，所以电脑使用者不能够及时发现网页危害，当其无意中点开恶意网页链接时，计算机病毒就会通过一定运作方式扩散至整个计算机终端，并改变服务器的运行程序，从而产生多种问题。
三、供电企业网络信息安全防护措施
(一)完善计算机防火墙
防火墙是计算机中重要组成部分，主要分为两种形式，一种是软件防火墙，另一种是硬件防火墙。防火墙具有较高的安全性，能够阻止网页非法访问以及恶意信息侵入，并能对信息的流通环节进行较好控制，从而保障网络信息安全。因此，供电企业可以对硬件防护墙进行完善，利用其对企业内网与外网之间的信息访问进行控制，并对外网进行有效隔离，从而提高信息访问的安全性。为了更好保障网络信息安全性，供电企业可以在完善防火墙的基础上对杀毒软件进行升级，并建立数据备份系统，从而取得较好的防护效果。在对防火墙进行完善时，供电企业需对访问权限进行合理设置，并对相应的数据资源进行加密，合理控制数据进出环境，排除一切不利因素，从而提高防火墙的效果。防火墙不仅会对外网信息传输进行控制，而且还会对供电企业内网信息传输进行限制，所以供电企业在完善防火墙时必须对多种情况进行合理考虑，在满足企业工作需求的前提下提高信息安全度，从而更好保障供电企业正常运作。
(二)增强员工安全意识
供电企业中具有多种类型的工作，而员工又是工作主体，所以增强员工安全意识对提高网络信息安全性具有重要作用。供电企业须根据实际情况建立网络安全制度，并加强对员工安全意识的教育，要求其在实际工作中树立信息安全风险意识，严格控制信息输出及输入环节，按照相关规范进行工作。由于供电企业中多项环节都会涉及到网络信息的应用，所以供电企业必须注重对员工进行安全培训，并提高其专业能力，从而降低因人为因素造成的网络信息安全隐患。
(三)预控计算机病毒
计算机病毒的种类较多，存在于计算机信息传输的各个环节，不仅会对供电企业的正常运作带来不利，而且可能对电力系统的稳定性造成严重影响，所以供电企业必须采取有效措施预控计算机病毒。基于计算机病毒的威胁，供电企业可以建立网络病毒墙，根据防火墙的特性来完善病毒墙的各种功能，以预控计算机病毒为目标，加强对网络信息传输环节的控制，从而更好提高网络信息安全性。
结束语
基于电力企业的重要性，维护网络信息安全有着极大意义，也是保障社会稳定的重要措施。网络具有复杂性和多样性，其存在着多种漏洞，因此，信息安全问题在所难免，只有加强信息安全防护才能更好保障供电企业各项工作正常进行，所以供电企业必须加强对员工专业素质的培训，并采取有效措施控制计算机病毒，这样才能更好保障网络信息安全，满足人们正常供电需求。
篇3
关键词：供电企业；计算机信息系统；网络安全防范
前言：
信息技术的发展为人类社会带来了更多的便利，因此国内的诸多行业为提高其工作的效率均广泛采用计算机网络技术以实现其信息化建设，与此同时，相应的各种网络安全问题也日渐突出。供电企业为更好地向社会提供优质可靠的电力服务也在其供电管理系统中应用了计算机网络，如果计算机信息系统的运行安全出现了问题则不仅会对供电企业的正常工作产生影响，同时也会影响到所在地居民的正常生活，因此必须要加强供电企业计算机信息系统的网络安全性，并做好相关防范工作。
一、供电企业计算机信息系统网络方面的安全防范现状
实际上我国的供电企业在计算机网络方面的建设已有多年的历程，并且在规模以及技术上也有所发展，但随着现今信息网络的发展，其计算机网络的发展也面临着更多的挑战。供电企业的管理系统关系着其财务、销售、管理等多项涉及到其日常经营的业务，为此则必须要对计算机在其管理系统中的应用进行分析，以了解当前的计算机网络安全现状。
1. 计算机网络在管理方面的安全防范现状
随着供电企业在信息化方面的建设工作不断开展，其在管理方面尤其是安全性方面的管理工作取得了一定的进展，在原先的管理模式上做出了与计算机网络向适应的针对性调整，使得其与信息化建设的要求也逐步向适应。但是由于我国计算机网络在技术方面的飞速发展，不仅使供电企业对其依赖程度加深，同样也使得其在管理方面的所存在的一些隐患问题暴露出来。安全防范的管理不足具体体现在机房管理不够严谨，包括计算机的设备以及系统都存在不同程度的落后情况，在进行数据的存储时无法提供可靠的记录和存储；在电源方面也是有所疏忽，一旦机房的主电源出现了问题则会迅速导致其信息数据的传输出现错误，进而使整个供电企业管理系统出现问题，后备电源的缺失以及供应不及时都会影响到整个计算机信息系统网络方面的安全性，如下图所示。
2. 计算机网络在系统方面的安全防范现状
在供电企业计算机信息系统中，其网络的核心通常是汇聚交换机，并与其下属的各个单位设备进行连接，从而形成一个系统化的大型局域网络。然而由于在同各下属单位之间进行连接时，对于网络的传输安全未能予以相应的保护，再加上交换设备的常年使用使得其稳定性与安全性有所下降，进而导致其网络在安全防范方面存在着较大的漏洞。在这种情况下一旦出现问题将会使其下属的各个单位的管理系统也受到影响，造成区域性的供电系统紊乱。供电企业内部与外部通过网络传递信息，结构较为简单，在风险抵御上偏弱；同时由于操作业务的多样性，使得其对于网络网络传输的接口以及性能方面有着较高的要求。当遭受来自广域网上的攻击，若未能抵御，容易出现网络异常，严重者可能造成网络瘫痪，或是数据丢失、信息外泄等情况，这对于供电系统的运行而言是相当危险的，因此必须要针对其网络系统问题进行安全协议的优化以提高其系统的安全性[1]。同时，需要确保局域网中设备的稳定运行，维护正常的数据通信。
二、供电企业计算机信息系统网络方面的优化分析
供电企业在对其计算机信息系统网络进行管理时一般会将其归为三部分，分别是外网管理、内网管理以及日常数据管理等，并且对这三个部分进行强化保护，以提升其网络安全的等级。一般来讲会将其内网应用于日常的数据处理中去，主要是客户终端的各项业务服务；而外网的话则会将其用于客户业务办理，当然也可以用于客户的访问与咨询。在其计算机信息系统网络安全中，可以通过建立相互独立的主机以及服务器从而将外网与内网进行隔离以保证其安全性，防止计算机网络因局部故障而导致整体的运行受阻，有效地避免了供电网络瘫痪的情况。内外网隔离的方法也可以实现计算机网络在纵向与横向之间的隔离，并且可以使供电系统的信息实现区域化管理，从而有效提高其对于外界的防御能力。同时也要注意对网络结构进行相应的优化，供电企业在对管理系统进行计算机网络配置时可以根据情况考虑使用新型骨干交换机，并且在每一台交换机上配备两套电源系统，一个是常规电源，另一个则是备用电源，从而保证设备能够在出现电力故障时依然能够正常运转，并且出于机器散热的考虑，需要配备相应的风扇以提高其散热能力。在交换机上进行管理模块的设置，使其既能够完成冗余资料的备份，同时也能够完成冗余荷载[2]。
三、供电企业计算机信息系统网络方面的安全应急处理
为了能够使供电企业管理系统安全性得到进一步的加强，则必须要充分考虑各种突发意外，并依此制定周全的应急处理机制，从而确保供电管理系统的计算机网络能够具备较好的抗灾能力。首先是需要针对目前比较常见的黑客以及计算机病毒的攻击，对资料与数据进行安全加密处理，并做好其备份工作，以降低其危害。在制定应急预案时应当对可能出现的各种情况进行详细的分析，对于各个预案进行模拟演练，在演练完成后要做出正确的评估，以了解其对于灾害的抵御能力，并对其中的不足予以指正，从而确保应急方案能够及时有效的抵御外界入侵。同时也要对系统中计算机网络的相关责任人员以及技术人员进行专化业化的技术培训，从而提高其计算机网络安全的技术水平，使其能够为计算机网络系统的运行安全予以技术支持。在权限方面需要对系统中的计算机网络进行严格的权限等级设置，对于不符合其权限等级的操作要严格禁止，并进行相应的记录，以便后期的检查[3]。
四、总结
供电企业计算机信息系统网络安全是一项长期而复杂的工程，需要根据供电企业现有的网络运行环境和信息系统环境，加强安全和防护技术，从而使其能够为供电企业的生产经营管理发挥更加优质、便捷的服务，促进电网企业的发展。
参考文献：
[1]李伟・电力系统计算机信息网络安全技术与防范探讨[J]・通讯世界，2014，（9）：69.
篇4
在网络的发展过程中，计算机信息安全以及保密一直都是一个比较困难的问题，因为在网络上有许许多多的方法都可能威胁到计算机信息，而且在现代网络的环境之下，与传统的信息交流交换方式不同，以往的信息流通通常是以人为终端的，但是现在网络信息交换的方式多是计算机与计算机之间信息的交流，故在信息交流通道之中，有很大的漏洞使得计算机信息受到严重的威胁。所以本文将对电力企业计算机信息安全及保密工作进行研究。
一、计算机网络安全以及保密易被威胁的方面
(一)数据的访问无法限制性。电力内网用户计算机内信息无法有效限制，很多数据都可以被他人随意浏览或者拷贝。
(二)计算机信息当被集中到一起的时候，信息的价值将会被大幅度的提升。
(三)保护计算机信息的困难度十分大。因为在网络上尽管可以设置多重的防御，但是这些防御都不是绝对的防御，都有可能被任何人突破，致使信息的安全受到威胁。
二、计算机网络信息安全的保密研究
以上分析了在网络环境之下计算机信息的安全性受到了极大的威胁，以及其信息的脆弱性所在，针对于这几个信息安全的弱点，只有通过更加严谨的方法来加强信息的强度，增强信息的保密性。
(一)信息用户权限认证。信息的接触主要是由少部分的管理人员来接触，而对于用户的分级就是一个十分重要的过程。在将信息管理的权限交给管理人员的同时，也要确定管理人员身份的可靠性，应将管理人员的身份交给值得信任的人员，并且将管理权限分给数人处理，避免个别管理人员信息管理权力过大，出现不可挽回的问题。在监管管理人员的身份的同时，对于其他用户身份的监管确认也是同样重要的。建立一个用户的认证体系可以有效地避免身份不明的人来访问计算机信息，这样从一开始就可以阻止一部分恶意登陆使用访问信息的人，身份认证的方式有很多种，其中绑定IP地址、密码设置等等的方法都可以使得用户的身份得到一定的认证，并且管理人员同样可以通过监管每个用户的登陆信息，以及监管日志来查到一些恶意登陆信息的人，可以第一时间将威胁拒之于门外。
(二)数据库的加密保护。数据库中的信息数量大、机密性强，相对应的其价值也是十分的高，更加容易受到其他人恶意的进行攻击。所以对于数据库的保密将会有十分重大的意义，必须严密的保护这一类信息，防止他们被未经过管理员身份验证之后进行访问、拷贝或者篡改的。数据库同时也是较为薄弱的部分，就算是没有连接互联网，也很有可能遭受到恶意的攻击。而数据库的防护除了将用户的等级进行分类、同时也可以将数据进行分类，数据的访问等级也将受到严密的控制，将整个数据库的数据简化为一个二维数据库，可以将每一个数据分析成一个个的元素，根据不同的权限提供不同的数据。这样仅仅只能限制部分的数据不被他人所恶意攻击与篡改，同样也需要加密数据库来强化整个数据库的保密性。数据库的加密与常规的加密方式有所不同，不仅仅是强度大大增加，并且用逐一的加密方式使得数据库中信息的安全程度又上了一层楼。
1.数据库加密使用多重加密的方式。即将整个数据库的加密分为多个部分，每一级别的加密都仅仅加密相关的数据信息，不会对其他的信息造成影响，且将数据信息分为多个部分，直接导致数据库就算被他人入侵攻破，短时间之内不会出现过大的损失。
2.数据库加密将有独特的算法。一个数据库的安全程度很大的程度上都取决于整个数据库加密之中算法的保密特殊性，好的算法可以保证对于恶意入侵者没有一丝漏洞，并且不会出现随机、重复等等情况。而将秘钥公开可以使得有权限的人员可以更加容易的找寻相应的信息，并且由于算法的缘故，秘钥的公开并不会影响到整个系统的强度。
3.数据的保密工作方法
(1)逐链加密。在数据传输的过程之中，在每一个节点处加密，并且将每一个节点的检查结果进行记录整理分析，只有逐一对每一个节点的加密进行解密，才能够在目的节点处得到所应得的数据信息。如果多次错误的信息被系统记录下来，并且将其分析，将会对用户的信息进行详细的查询，做到有效地排除恶意进入数据信息系统的用户。
(2)端端加密。在数据的两端进行加密，这种加密的方式被称为端端加密。这种加密的方式解决了在传输的过程中都是以明文的方式来进行传输的缺点，本来在传输的过程之中，节点上的数据传输只能是以明文的形式进行传输，以至于以前的数据加密强度不足以保护所有的数据。而端端加密仅仅在开端与结尾处设置加密与解密设施，在传输过程中的节点都无法明文访问到数据，进一步加强了数据的保密性。
(3)混合方式加密。在数据传输的过程中，有很多的节点，并且在节点之上会将数据进行转化为明文，通过在这些节点上进行不同的加密，并且在起始端与结束端进行加密，使得整个系统中最薄弱的地方得到了加强，加强了数据传输的过程中被破解的难度，增强了网络安全性的下限。
三、结束语
在网络十分发展的今天，面临更多挑战的信息安全，电力企业计算机的信息安全与保密性也将要受到更多的重视，而以上对于信息安全以及保密性的研究仅仅是对于现在科技水平之下，自己的一点见解。而对于信息的安全的一点保护方式，随着科学技术的进一步发展，计算机的安全受到更加有力的保障的同时，也将要面临更大的威胁。
电力企业的计算机信息无疑是具有十分重大价值的信息，也同样增加了企业计算机信息库受到恶意攻击的可能性，所需要的是万无一失的安全保护系统来确保信息的安全。所以只有不断研发新型的信息安全保护装置，使得计算机信息的安全得到真正的保密。
篇5
工业控制系统(ICS)是综合运用信息技术、电子技术、通信技术和计算机技术等，对现场设备进行检测控制，实现工业技术生产过程自动化的应用系统。ICS在冶金、电力、石化、水处理、铁路、食品加工等行业，以及军工的航空、航天、船舶、舰艇、潜艇等领域的自动化生产管理系统中都得到了广泛地应用。
1 工业控制系统安全现状
与传统信息系统安全需求不同，ICS设计需要兼顾应用场景与控制管理等多方面因素，并且优先考虑系统的高可用性和业务连续性。鉴于ICS的特定设计理念，缺乏有效的工业安全防御和数据通信保密措施是很多ICS所面临的共同问题。
传统的ICS多为车间/厂区局域网ICS，系统特点包括专有网络、专有操作系统、无以太网络、没有因特网的链接。从网络安全角度，系统是安全的。
现今的ICS开始与互联网或办公网直接/间接互联，形成从控制网到信息网的大系统ICS，系统特点包括以太网无处不在、无线设备、远程配置和监控、Windows和Linux等流行操作系统。从网络安全角度，系统存在巨大安全隐患，很容易被黑客攻击。
2 工业控制系统安全漏洞及风险分析
随着工业信息化进程的快速推进，物联网技术开始在工控领域广泛应用，实现了系统间的协同和信息分享，极大地提高了企业的综合效益。与此同时，暴露在互联网等公共网络中的工业控制系统也必将面临病毒、木马、黑客入侵、拒绝服务等传统的信息安全威胁，而且由于工业控制系统多被应用在电力、交通、石油化工、核工业等国家重要行业中，其安全事故造成的社会影响和经济损失会更为严重。
2.1工业控制系统安全漏洞
工业控制系统安全漏洞包括：策略与规则漏洞、平台漏洞、网络漏洞。
2.1.1 策略与规则漏洞
缺乏工业控制系统的安全策略、缺乏工业控制系统的安全培训与意识培养、缺乏工业控制系统设备安全部署的实施方法、缺乏工业控制系统的安全审计、缺乏针对工业控制系统的配置变更管理。
2.1.2 平台漏洞
平台漏洞包括：平台配置漏洞、平台硬件漏洞、平台软件漏洞、恶意软件攻击。
(1)平台配置漏洞
包括关键配置信息未备份、关键信息未加密存储、没有采用口令或口令不满足长度和复杂度要求、口令泄露等。
(2)平台硬件漏洞
包括关键系统缺乏物理防护、未授权的用户能够物理访问设备、对工业控制系统不安全的远程访问。
(3)平台软件漏洞
包括拒绝服务攻击(DOS攻击)、采用不安全的工控协议、采用明文传输、未安装入侵检测系统与防护软件等。
(4)恶意软件攻击
包括未安装防病毒软件等。
2.1.3 网络漏洞
(1)网络配置漏洞
包括有缺陷的网络安全架构、口令在传输过程中未加密、未采取细粒度的访问控制策略、安全设备配置不当。
(2)网络硬件漏洞
包括网络设备的物理防护不充分、未采取有效的措施保护物理端口、关键网络设备未备份。
(3)网络边界漏洞
包括未定义网络安全边界、未部署防火墙或配置不当、未采取信息流向控制措施。
2.2 工业控制系统安全风险分析
电力故障、自然灾害、软硬件故障、黑客攻击、恶意代码都会对ICS系统产生影响。其中，电力故障、自然灾害和软/硬件故障，属于信息安全范畴之外，而非法操作、恶意代码和黑客攻击作为信息安全威胁的主要形式，往往很难被发现或控制，对ICS网络安全运行的威胁和影响也最大。
(1)利用USB协议漏洞在U盘中植入恶意代码
U盘内部结构：U盘由芯片控制器和闪存两部分组成，芯片控制器负责与PC的通讯和识别，闪存用来做数据存储;闪存中有一部分区域用来存放U盘的固件，控制软硬件交互，固件无法通过普通手段进行读取。
USB协议漏洞：USB设备设计标准并不是USB设备具备唯一的物理特性进行身份验证，而是允许一个USB设备具有多个输入输出设备的特征。
这样就可以通过U盘固件逆向重新编程，将U盘进行伪装，伪装成一个USB键盘，并通过虚拟键盘输入集成到U盘固件中的恶意代码而进行攻击。
(2)利用组态软件数据库漏洞进行攻击
ICS系统采用的组态软件，缺乏安全防护措施，往往公开访问其实时数据库的途径，以方便用户进行二次开发，从而可利用此漏洞，远程/本地访问数据库，获取全部数据库变量，选取关键数据进行访问并篡改，从而达到攻击目的。
2.3 工业控制系统信息安全风险总结
病毒：可引起工控设备或网络故障，破坏生产过程数据或影响网络正常服务，如蠕虫病毒等。
缓冲区溢出攻击：利用设计漏洞进行的攻击。
拒绝服务攻击：恶意造成拒绝服务，造成目标系统无法正常工作或瘫痪，或造成网络阻塞。
网络嗅探：可捕获主机所在网络的所有数据包，一旦被恶意利用，获取了目标主机的关键信息则可对目标主机实施进一步攻击。
IP欺骗：可通过技术手段利用TCP/IP协议缺陷，伪装成被信任主机，使用被信任主机的源地址与目标主机进行会话，在目标主机不知的情况下实施欺骗行为。
口令破解：攻击者若通过一定手段取得用户口令，提升权限进入目标系统，对目标主机进行完全控制。
3 工业控制系统安全检查
3.1 检查对象
包括工艺、工程分析、控制系统信息安全后果分析、安全防护能力分析等。
3.2 检测方式
包括访谈、现场测试、离线测试、测试床或另外搭建测试环境测试。
3.3 检测内容
应包括信息流转过程中遇到的一切链路、设备(硬件程序、模块组件)、人员等。
管理检查需要准备的资料：信息安全相关管理制度和安全策略;设备保密管理制度;系统运行管理制度、产品供应商(或者商)、系统集成商等提供的资质证明、授权证明、合格证书等。
技术检查需要准备的资料：招标合同技术规格书;详细设备清单;设备配置及使用说明;网络拓扑图;输入输出端口信息;DNC服务器配置及使用说明;设备的连接说明、功能说明、操作手册。
运维检查需要准备的资料：运行维护管理制度、访问控制端口设置情况记录、运行维护报告、应急预案方案、应急演练记录。
3.4 检测重点
重点检查输入输出端口使用、设备安全配置、运维安全措施的落实情况，同时检查资产管理情况，访问控制策略、备份及应急管理等方面。
4 结束语
通过上面的分析与研究，工业控制系统还存在许多的漏洞和安全风险，只有充分认识到这些漏洞，才能利用信息安全手段不断的处置这些漏洞，使风险降到最低。同时我们应该认识到，工业控制系统信息安全技术是一门不断深入发展的技术，随着工业控制系统广泛应用和不断发展，其信息安全必将面临更加严峻的挑战，随之信息安全技术的研究也必将快速推进。
篇6
【关键词】DCS；信息安全
0 引言
DCS系统在我国工控行业应用广泛，一旦系统信息安全出现漏洞，将会对我国的工业生产和经济造成极大的破坏。伴随着计算机技术和网络技术的不断发展，信息化和工业化融合的不断推进，DCS系统越来越多的采用通用硬件、通用软件、通用协议，使得系统在开放的同时，也减弱了系统与外界的隔离。DCS系统的安全隐患问题日益严峻，系统中任何一点受到攻击都有可能导致整个系统的瘫痪。
2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。本文以DCS系统为分析基础，介绍了一种全新的信息安全设计概念，在不改变系统架构的前提下解决当前传统DCS系统在信息安全方面的“薄弱环节”。
1 传统DCS系统的“薄弱环节”分析
下图为传统的双层网络DCS系统架构
传统的DCS系统的“薄弱环节”主要包括：
1.1 通信协议漏洞
TCP/IP协议和OPC协议等通用协议在DCS系统网络中被广泛地应用，随之而来的通信协议漏洞问题也日益突出。例如，OPC Classic协议（OPCDA，OPCHAD和OPCA&E）基于微软的DCOM协议，DCOM协议是在网络安全问题被广泛认识之前设计的，极易受到攻击。而且OPC通讯采用不固定的端口号，目前传统的IT防火墙几乎无法确保其安全性。
1.2 操作系统漏洞
目前大多数DCS系统的工程师站、操作员站、HMI都是基于Windows平台的，在系统开车后，为保证过程控制系统的相对独立性，同时兼顾到系统的稳定运行，将不会对Windows平台继续安装任何补丁。这样势必存在的问题是，系统不加装补丁就存在被攻击的可能，从而埋下安全隐患。
1.3 应用软件漏洞
DCS系统中安装的应用软件多种多样，很难形成统一的防护规范以应对安全问题；另外当应用软件面向网络应用时，就必须开放其应用端口。因此常规的IT防火墙等安全设备很难保障其安全性。某些别有用心的人员很有可能会利用一些应用软件的安全漏洞获取DCS系统的控制权限从而进行破坏、获利等非法活动。
1.4 安全策略和管理流程漏洞
为了更好的满足系统的可用性而牺牲安全，是很多DCS系统存在的普遍现象，缺乏完整有效的安全策略与管理流程也给DCS系统信息安全带来了一定的威胁。例如DCS系统中移动存储介质包括笔记本电脑、U盘等设备的使用和不严格的访问控制策略。
1.5 杀毒软件漏洞
为了确保应用软件的可用性，许多DCS系统通常不会安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，原因在于使用杀毒软件很关键的一点是，其病毒库需要不定期的经常更新，这一要求尤其不适合于工业控制环境。而且杀毒软件对新病毒的处理总是滞后的，导致每年都会爆发大规模的病毒攻击，特别是新病毒。
2 新概念设计方案
针对传统DCS系统在信息安全方面的“薄弱环节”，提出一种全新概念的解决方案。以典型的二层网络架构为例：
2.1 过程控制网络采用POWERLINK现场总线方案替换传统的工业以太网。
该方案的特点：
1）基于标准硬件，完全兼容标准以太网；
2）确定性的实时通讯，在技术方面采用了SCNM时间槽通信管理机制，由此能够准确预测数据通讯的时间，从而实现了实时通讯的确定性；
3）适用系统广泛，POWERLINK适用于PLC，传感器，I/O模块，运动控制，安全控制，安全传感器、执行机构以及HMI系统等。
2.2 过程监控网络采用光纤通道交换机替换传统的以太网交换机。
该方案的特点：
1）采用光纤通道协议；
2）高数据传输速率（800和1600MB/S）；
3）高带宽低延迟（8Gbps/16Gbps）；
4）可靠性传输误码率
2.3 采用国产操作系统：用国产操作系统（中标麒麟、Deepin等）替代国外操作系统能够极大提高信息安全，倪光南院士说过“国产操作系统最重要的优势是安全”
2.4 工程师站、操作员站中专用软件
1）安装应用程序白名单软件，只允许经过授权和安全评估的软件运行；
2）工程师、操作员站中专用软件进行权限管理，设置登录密码，敏感动作例如下装等设置口令。避免使用默认口令和弱口令，并且定期更新。
2.5 安全策略
1）工程师站、操作员站、服务器等主机拆除或禁用USB、光驱、无线等接口；
2）静态存储的重要数据进行加密存储；
3）动态传输的重要数据进行加密传输；
4）关键业务数据定期备份；
5）采用端口绑定技术，使交换机各应用端口与连接设备一一绑定，未进行绑定的设备交换机不识别，无法接入到网络中来。交换机上闲置的物理端口通过管理软件给予关闭；
6）禁止HTTP、FTP、Telnet等高风险通用网络服务；
7）禁止访问方在远程访问期间进行非法操作；
8）访问日志、操作日志等备份并能够追踪定位非授权访问行为；
9）通过工业防火墙、工业网闸等防护设备对控制网络安全区域之间进行逻辑隔离；
10）信息安全审计，对系统行为、应用程序活动、用（下转第69页）（上接第20页）户活动等进行安全审计从而发现系统漏洞、入侵行为等危害系统安全的隐患或行为；
11）设置镜像端口，对网络数据和网络流量进行监控；
12）网络攻击和异常行为识别、告警、记录；
13）发现、报告并处理包括木马病毒、端口扫描、暴力破解、异常流量、异常指令、伪造协议包等。
2.6 杀毒软件专设计算机
设置专用电脑用于安装杀毒软件，该计算机不与DCS系统连接，外部数据需经过杀毒软件扫描确认后方可拷贝到工程师站主机中。
2.7 嵌入式操作系y和芯片固件
采用国产嵌入式操作系统，例如：DeltaSystem和国产龙芯芯片替代国外的相关产品，从而避免国外厂商预留的后门和系统漏洞。
3 结论与展望
本文通过对传统DCS系统信息安全“薄弱环节”进行分析，给出了一种全新的设计方案。该方案在不改变传统架构的基础上，针对传统DCS系统的“薄弱环节”给出相应的设计方法，为DCS系统信息安全设计提供一条新的设计思路。
受到设备成本、国产设备性能等制约，本方案还处在概念阶段。期待不久的将来，随着我国工业水平的不断提升，方案的不断完善，能够真正应用到DCS系统，为DCS系统信息安全发挥其应有的作用。
【参考文献】
篇7
远望电子已获得浙江省“双软企业”认定及国家级高新技术企业认证，是国家创新基金支持单位、浙江省软件服务业重点扶持企业、“国家863信息系统安全等级保护产业技术创新战略联盟”成员、浙江省计算机学会信息安全专业委员会委员》。
远望电子是浙江省信息安全标准化技术委员会委员、公安部《公安综合信息安全管理平台技术规范》主要起草单位，同时还是浙江省治安监控网络综合保障系统行业标准》、工业和信息化部《信息安全技术政府部门信息安全管理指南》（国家标准），及全国信息安全标准化委员会《信息系统安全管理平台产品技术要求和测试评价方法》（国家标准）参与起草单位。
远望电子本着诚信为本的经营理念，连续多年均被评为AAA级信用等级单位。
远望电子与公安部第一研究所、公安部安全与警用电子产品检测中心、西北工业大学、杭州电子科技大学等科研院所建立了长期友好合作关系，从而提升了公司的软件研发、人力资源开发、人才培养和储备能力。
远望电子自主研发的信息与网络安全管理平台及监管系统等在国内二十余个省市的公安、法院、政府、保密等领域及大型企事业单位得到了广泛应用。近年来，远望电子开发的信息与网络安全平台已在浙江省公安厅及所属116个单位全面部署应用。浙江省公安厅借助该平台建立了较完善的信息安全综合保障体系，连续五年在全国公安信息安全综合评比中名列第一。
远望信息与网络安全管理平台及监管系统，融业务管理（规范、组织、培训、服务）、工作流程、应急响应（预警、查处、通报、报告）和安全技术应用（监测、发现、处置）为一体，集成了各类信息安全监管、分析技术，实现了对网络边界安全、保密安全、网站安全、主机基础安全，以及各类威胁信息安全的违规行为、资源占用行为等的有效监测、处置和管理。
产品同时结合工作流技术，实现了监测、警示、处置、反馈、考核五位一体安全管理工作模式，建立起长效的信息安全管理工作机制，并将其日常化、常态化，实现了信息安全管理工作的信息化、网络化。
远望信息与网络安全产品被列入“2010年度全国公安信息系统安全大检查”指定检查工具，并获得公安部2011年科学技术奖。
远望信息与网络安全管理平台及监管系统针对安全风险产生的根源，对网络中的安全事件和安全风险进行全程全网监测、管控，在技术的层面上突破了网络边界的定位、信息的准确鉴别、网站的定位，以及应用分析和监管等难题。
该平台能对信息网络进行全程全网实时监管，全面、清晰掌握网络系统状况，及时发现并分析、处置各类安全事件和风险隐患。
篇8
亨达公司已取得了国家信息安全测评中心信息安全服务二级（全国最高等级）、注册信息安全专业培训（CISP）授权机构、国家信息安全认证中心信息安全集成二级、应急服务二级、风险评估二级、公安部等级保护测评、工业和信息化部通信信息网络系统集成甲级、计算机网络系统集成三级、国家计算机应急技术协调处理中心（CNCERT/CC）信息安全服务技术支撑单位以及贵阳市国家保密局信息设备维修等一系列完善的通信与网络信息安全专业服务资质，通过了ISO9001：2008质量管理体系认证、ISO14001：2004环境管理体系认证和OHSAS18001：2007职业健康安全管理体系认证。
亨达集团先后被评为 “贵州省通信行业协会副理事长单位”、“贵州省通信体育协会副主席单位”，连续五年被省工商行政管理局评为“重信用、守合同”单位，并获得“全国十佳诚信单位”称号。目前已建成了集网络信息安全监控、网络攻防演练、信息安全培训、软件开发以及信息安全产品测评认证于一体的信息化综合服务保障平台。
亨达集团自2011年底取得等级保护测评资质以来，配合贵州省公安厅推进信息系统等级保护测评工作，开展了近百家单位共计500多个信息系统的安全等级保护测评，包括贵州省财政厅、贵州省统计局、贵州省交通厅、中国工商银行贵州分行、中国建设银行贵州分行、贵阳银行、贵阳海关、贵州省农村商业银行、遵义商行、贵州省人民医院、贵州省肿瘤医院、贵阳医学院等各大单位重要信息系统。
基于亨达集团作为贵州省优秀通信建设与网络信息安全服务企业，长期以来，一直与贵州省通信管理局保持着密切的合作与良好的沟通。公司自2009年起即已被国家计算机应急技术协调处理中心和省通信管理局确立为大区级技术支撑单位。
篇9
电力信息的迅猛发展使得电力系统及数据信息网络迎来了前所未有的挑战。本文分析研究了网络系统信息安全存在的问题，全面规划了网络安全系统，提出了合理有效的安全措施、方法，大大提升了电力企业信息网络安全工作的效率。
一、网络系统信息安全存在问题分析
（一）计算机及信息网络安全意识不强
由于计算机信息技术高速发展，计算机信息安全策略和技术也有大的进展。设计院各种计算机应用对信息安全的认识离实际需要差距较大，对新出现的信息安全问题认识不足。
（二）缺乏统一的信息安全管理规范
设计院虽然对计算机安全一直非常重视，但由于各种原因目前还没有一套统一、完善的能够指导整个院计算机及信息网络系统安全运行的管理规范。
（三）缺乏适应电力行业特点的计算机信息安全体系
近几年来计算机在整个电力行业的生产、经营、管理等方面应用越来越广，但在计算机安全策略、安全技术和安全措施上投入较少。为保证网络系统安全、稳定、高效运行，应建立一套结合电力行业计算机应用特点的计算机信息安全体系。
（四）缺乏预防各种外部安全攻击的措施
计算机网络化使过去孤立的个人电脑在联成局域网后，面临巨大的外部安全攻击。局域网较早的计算机系统是NOVELL网.并没有同外界连接。计算机安全只是防止意外破坏或者内部人员的安全控制就可以了，但现在要面对国际互联网上各种安全攻击，如网络病毒和电脑“黑客”等。
二、保证网络系统信息安全的对策
（一）建立信息安全体系结构框架
实现网络系统信息安全.首要的问题是时时跟踪分析国内外相关领域信息安全技术的发展和应用情况，及时掌握国际电力工业信息安全技术应用发展动向。结合我国电力工业的特点和企业计算机及信息网络技术应用的实际，建立网络系统信息安全体系一的总体结构框架和基本结构。完善网络系统信息安全体系标准以指导规范网络系统信息安全体系建设工作。
按信息安全对网络系统安全稳定运行、生产经营和管理及企业发展所造成的危害程度，确定计算机应用系统的安全等级，制定网络系统信息安全控制策略.建立适应电力企业发展的网络系统信息安全体系，利用现代网络及信息安全最新技术，研究故障诊断、处理及系统优化管理措施。在不同条件下提供信息安全防范措施。
（二）建立网络系统信息安全身份认证体系
CA即证书授权。一个完整、安全的电子商务系统必须建立起一个完整、合理的CA体系。CA体系由证书审批部门和证书操作部门组成。为保证网络系统信息一和安全.应建立企业的CA机构对企业员工上网用户统一身份认证和数字签名等安全认证，对系统中关键业务进行安全审计，并开展与银行之间，上下级CA机构之间与其他需要CA机构之间的交叉认证的技术研究工作。
（三）建立数据备份中心
数据备份及灾难恢复是信息安全的重要组成部分。理想的备份系统应该是全方位、多层次的。硬件系统备份是用来防止硬件系统故障，使用网络存储备份系统和硬件容错相结合的方式。可用来防止软件故障或人为误操作造成的数据逻辑损坏。这种对系统的多重保护措施不仅能防止物理损坏还能有效地防止逻辑损坏。结合电力行业计算机应用的特点，选择合理的备份设备和备份系统.在企业建立数据备份中心，根据其应用的特点，制定相应的备份策略。
（四）建立网络级计算机病毒防范体系
计算机病毒是一种进行自我复制、广泛传染，对计算机程序及其数据进行严重破坏的病毒，具有隐蔽性与随机性，使用户防不胜防。设计院信息网络系统采取在现有网络防病毒体系基础上.加强对各个可能被计算机病毒侵入的环节进行病毒防火墙的控制，在计算中心建立计算机病毒管理中心，按其信息网络管辖范围，分级进行防范计算机病毒的统一管理。在计算机病毒预防、检测和病毒定义码的分发等环节建立较完善的技术等级和管理制度。
（五）建立网络系统信息安全监测中心
计算机信息系统出现故障或遭受外来攻击造成的损失.绝大多数是由于系统运行管理和维护、系统配置等方面存在缺陷和漏洞，使系统抗干扰能力较差所致。信息安全监测系统可模仿各种黑客的攻击方法不断测试信息网络安全漏洞并可将测出的安全漏洞按照危害程度列表。根据列表完善系统配置，消除漏洞并可实现实时网络违规、入侵识别和响应。它在敏感数据的网络上.实时截获网络数据流，当发现网络违规模式和未授权网络访问时，自动根据制定的安全策略作出相应的反映.如实时报警、事件登录、自动截断数据通讯等。利用网络扫描器在网络层扫描各种设备来发现安全漏洞.消除网络层可能存在的各类隐患。
（六）建立完备信息网络系统监控中心
篇10
关键词：石化行业；工业控制系统；安全区域；深度防御；信息安全
DOIDOI：10.11907/rjdk.161739
中图分类号：TP309
文献标识码：A文章编号文章编号：16727800（2016）009015103
基金项目基金项目：
作者简介作者简介：甄涛（1992-），男，河北石家庄人，上海理工大学光电信息与计算机工程学院硕士研究生，研究方向为工控信息安全。
0引言
信息时代，对石油化工等制造业而言，以震网蠕虫为代表的木马、病毒等对工业自动化生产安全带来了极大威胁，工业控制系统安全成为信息化时代企业安全生产的重中之重。最初的工控系统被设计为独立封闭的系统，其安全风险主要来自设备运行不稳定、操作不合理等方面。但是，随着信息化的推进和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时也带来了诸如木马、病毒、网络攻击等安全问题。
1石化行业工控系统面临的信息安全问题
随着石化行业信息化的不断深入，管理的精细化和智能工厂的实施，都离不开实时的现场信息，因此管与控的结合就成为了必然趋势。DCS控制系统与外界不再隔离，控制网络和信息网络之间广泛采用OPC通信技术；此外，先进过程控制（APC）也需要OPC技术建立通讯。目前，常用的OPC通讯随机使用1024～65535中的任意端口，采用传统IT防火墙进行防护配置时，被迫需要开放大量端口，形成严重的安全漏洞；同时，OPC的访问权限过于宽松，任意网络中的任意计算机都可以运行OPC中的服务；且OPC使用的Windows的DCOM和RPC服务极易受到攻击。普通IT方后勤无法实现工业通讯协议过滤，网络中某个操作站/工程师站感染病毒，会马上传播到其它计算机，造成所有操作站同时故障，严重时可导致操作站失控甚至停车[1]。目前，存在的工控信息安全问题主要有[2]：
（1）操作系统漏洞。目前，工业计算机操作系统大多采用Windows操作系统，甚至还有XP系统，这些一般不允许安装操作系统的安全补丁和防病毒软件。针对性的网络攻击、病毒感染都会给系统造成严重后果，而且由于漏洞和病毒公布的滞后性，杀毒软件并不能有效地进行防护。此外，不正当的操作，比如，在项目实施和后期维护中使用U盘、笔记本等外设，也会存在一定的安全隐患。
（2）隔离失效。大多数石化企业通过OPC的双网卡结构对数据采集网络与控制网之间进行了隔离，使得恶意程序无法直接攻击控制网络。但对于针对Windows系统漏洞的病毒，这种设置就失去了效果，造成病毒在数采网和控制网之间传播。
（3）信息安全延迟性。若工业网络遭受黑客攻击，维护人员无法采取相应措施，并查询故障点和分析原因。通常情况下，小的信息安全问题直至发展成大的安全事故才会被发现和解决。
2柴油加氢控制系统安全防护简介
目前，我国炼油、石化等行业工业控制系统一般分为3部分：控制层、数据采集层和管理信息层，普遍采用DCS（分散控制系统）和PLC（可编程逻辑控制器）等数字化手段，自动化程度高，多以DCS系统为核心、PLC为辅机控制，形成对设备组命令的下达与控制，并对DCS和PLC反馈的数据进行分析以掌握设备组的整体运行状况。
某石化公司的柴油加氢系统采取安全防护后的拓扑结构如图1所示。
实时服务器和组态服务器组成管理信息层；监控层包括操作员站、工程师站、OPC应用站和异构系统工作站，控制层包括以DCS为主控制温度显示仪表、液位计、继电器和阀门等仪表，PLC为辅控制报警器。其中，设备层与控制层通过模拟数字通信模块通信。
其中：①信息层与数据采集层之间添加纵向隔离平台，避免信息层向下采集数据时造成信息泄露；②异构系统应用站采用横向隔离平台，防止其它系统对加氢操作工艺产生不必要的影响；③引入智能防火墙，对工业协议和应用程序进行审计、监控。
3工业网络中的安全区域
按照IEC 62443定义，“区域”由逻辑的或物理的资产组成，并且共享通用的信息安全要求。区域是代表需考虑系统分区的实体集合，基于功能、逻辑和物理关系[3]。
3.1使用操作域识别区域
安全区域的建立，第一步就是识别所有操作域，以确定每个区域的组成及边界所在。一般在工业网络中建立区域时，要考虑的操作域包括有网络连接控制回路、监控系统、控制流程、控制数据存储、交易通信、远程访问以及用户群体和工业协议组之类。其目的是通过隔离使各操作域受到攻击的风险最低，从而进一步使用各类安全产品和技术对每个操作域进行保护，成为安全区域。然而现实情况下，有必要使用操作域间功能共享来简化操作域，从而有效地将重叠的操作域结合成一个独立的更大的区域。
3.2区域边界建立
理想情况下，每个操作域与其它区域都有明确的边界，并且确保每个分区都采用独特的安全防护设备，这样边界防御才能部署在正确的位置上。
识别区域后，将其映射到网络，从而定义清晰的边界，CIP-005-3[4]的NERC规则中提到该过程的要求。只有存在已被定义和管理的接入点，区域才会被保护。
3.3网络架构调整
所有设备都应该直接连接到该区域或者该区域的任何设备上，然而，比如一台打印机不属于该区域，但是可能连接到本地交换机或路由器的接口或无线接入上。这种差错可能是不当的网络设计或网络寻址的结果。当定义了安全区域的划分并对网络架构作出了必要的调整，这样就具备了履行NERC CIP、ISA99、CFATS等符合规范性要求的必要信息。
3.4区域及其安全设备配置
防火墙、IDS（入侵检测系统）和IPS（入侵防护系统）、安全信息和事件管理系统（SIEM）以及许多其它安全系统支持变量的使用，使得边界安全控制与合规性要求相互关联。
对于每一个区域，如下几项都应保持在最低限度[5]：①通过IP地址，将设备划分到特定区域；②通过用户名或其它标志，获得修改区域权限的用户；③在区域中使用的协议、端口及服务。
创建这些变量将有助于制定用于增强区域边界的防火墙和IDS规则，同时也会帮助安全监管工具检测策略异常并发出警报。
4对安全区域边界和内部的安全防护
CIP-005-4 R1要求在“任何关键网络资产”边界，以及该边界上的所有访问点都要建立通过对已建立、标识并记录归档电子安全边界（ESP）[6]。区域周围建立电子安全边界可以提供直接的保护，并且防止对封闭系统未经授权的访问，同时防止从内部访问外部系统，这是很容易忽略的一点。
要使建立的电子安全边界能有效保护入站和出站流量，必须达到两点要求[4]：①所有的入站和出站流量必须通过一个和多个已知的、能够被监控和控制的网络连接；②每个连接中应该部署一个或多个安全设备。
4.1区域边界安全防护
对于临界点，NERC CIP和NRC CFR 73.54[7]给出了安全评价标准以及建议的改进措施，如表1所示。
其中防火墙和IPS都被建议的原因是，防火墙和IPS设备具有不同的功能：防火墙限制了允许通过边界的流量类型，而IPS则检查已被允许通过的流量，目的是为了检测恶意代码或恶意软件等带有破坏目的的流量。这两种设备的优势在于：①IPS可以对所有经过防火墙的流量进行深度包检测（DPI）；②防火墙基于定义的安全区域变量限制了通过的流量，使IPS可以专注于这部分流量，并因此可以执行更为全面和强大的IPS规则集。
4.2区域内部安全防护
区域内部由特定的设备以及这些设备之间各种各样的网络通信组成。区域内部安全主要是通过基于主机安全来实现，通过控制终端用户对设备的身份认证、设备如何在网络上通信、设备能访问哪些文件以及可以通过设备执行什么应用程序。
主要的3种安全领域[5]：①访问控制，包括用户身份认证和服务的可用性；②基于主机的网络安全，包括主机防火墙和主机入侵检测系统（HIDS）；③反恶意软件系统，如反病毒（AV）和应用程序白名单（AWL）。
5结语
石油化工等关键基础设施和能源行业关系国计民生，在我国两化融合深入发展的同时，如何确保工控系统信息安全是石化行业信息化建设的重要研究课题。本文以某石化行业柴油加氢系统架构为例，重点介绍了如何识别和分隔操作域，确定每个区域的边界和组成，最终建立安全区域，并从外部使用防火墙、IDS、IPS以及应用程序监控器等安全设备，从内部使用主机防火墙、主机IDS和应用程序白名单等对工业控制系统进行保护。
参考文献参考文献：
[1]李东周.工控蠕虫病毒威胁，化企如何应对？[N].中国化工报，20140527.
[2]温克强.石化行业工控系统信息安全的纵深防御[J].中国仪器仪表，2014（9）：3738.
[3]肖建荣.工业控制系统信息安全[M].北京：电子工业出版社，2015.
[4]NORTH AMERICAN RELIABILITY CORPORATION.Standard CIP0053.cyber security―electronic security perimeter[S].2009.
[5]纳普.工业网络安全：智能电网，SCADA和其他工业控制系统等关键基础设备的网络安全[M].周秦，译.北京：国防工业出版社，2014.
