前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇工業(yè)網(wǎng)絡(luò)信息安全范文，相信會為您的寫作帶來幫助，發(fā)現(xiàn)更多的寫作思路和靈感。

工業(yè)網(wǎng)絡(luò)信息安全范文第1篇

關(guān)鍵詞： 網(wǎng)絡(luò)信息安全； 計算機(jī)； APT； 安全防御； 惡意威脅

中圖分類號： TN711?34 文獻(xiàn)標(biāo)識碼： A 文章編號： 1004?373X（2015）21?0100?05

Threat to network information security and study on new defense

technologies in power grid enterprises

LONG Zhenyue1， 2， QIAN Yang1， 2， ZOU Hong1， 2， CHEN Ruizhong1， 2

（1. Key Laboratory of Information Testing， China Southern Power Grid Co.， Ltd.， Guangzhou 510000， China；

2. Information Center， Guangdong Power Grid Co.， Ltd.， Guangzhou 510000， China）

Abstract： With the continuous development of management informationization of the power grid enterprises， automatic power grid operation and intelligent electrical equipment， the information security has become more important. For the serious situation of network information security， the new?type defense technologies are studied， which are consisted of advanced persistent threat （APT） protection technology and vulnerability scanning technology. Combining with the advantages and disadvantages of these technologies， the strategy of defense effectiveness analysis based on the minimum attack cost is proposed， which can compute the defense capability of the network.

Keywords： network information security； computer； APT； safety defense； malicious threat

0 引 言

隨著電網(wǎng)企業(yè)管理信息化、電網(wǎng)運(yùn)行自動化、電力設(shè)備智能化的不斷發(fā)展，電網(wǎng)企業(yè)信息安全愈發(fā)重要。信息化已成為電力企業(yè)工作中的重要組成部分，各類工作對網(wǎng)絡(luò)的高度依賴，各類信息以結(jié)構(gòu)化、非結(jié)構(gòu)化的方式儲存并流轉(zhuǎn)于網(wǎng)絡(luò)當(dāng)中，一旦信息網(wǎng)絡(luò)被攻破，則往往導(dǎo)致服務(wù)中斷、信息泄漏、甚至指令錯誤等事件，嚴(yán)重威脅生產(chǎn)和運(yùn)行的安全。因此，保障網(wǎng)絡(luò)信息安全就是保護(hù)電網(wǎng)企業(yè)的運(yùn)行安全，保障網(wǎng)絡(luò)安全是電網(wǎng)企業(yè)的重要職責(zé)[1]。

目前的網(wǎng)絡(luò)信息安全形勢依然嚴(yán)峻，近年來，業(yè)務(wù)從單系統(tǒng)到跨系統(tǒng)，網(wǎng)絡(luò)從零星分散到大型化、復(fù)雜化，單純的信息安全防護(hù)技術(shù)和手段已經(jīng)不能滿足企業(yè)安全防護(hù)的需要，應(yīng)針對性地研究具有縱深防御特點(diǎn)的安全防護(hù)體系，以信息安全保障為核心，以信息安全攻防技術(shù)為基礎(chǔ)，了解信息安全攻防新技術(shù)，從傳統(tǒng)的“知防不知攻”的被動防御向“知攻知防”的縱深積極防御轉(zhuǎn)變，建立全面的信息安全防護(hù)體系。

1 概 述

從廣義層面而言，網(wǎng)絡(luò)信息安全指的是保障網(wǎng)絡(luò)信息的機(jī)密性、完整性以及有效性，涉及這部分的相關(guān)網(wǎng)絡(luò)理論以及技術(shù)都是網(wǎng)絡(luò)信息安全的內(nèi)容。從狹義層面而言，網(wǎng)絡(luò)信息安全指的是網(wǎng)絡(luò)信息的安全，主要包括網(wǎng)絡(luò)軟硬件及系統(tǒng)數(shù)據(jù)安全[2]。網(wǎng)絡(luò)信息安全需要保證當(dāng)網(wǎng)絡(luò)受到惡意破壞或信息泄露時，網(wǎng)絡(luò)系統(tǒng)可以持續(xù)正常運(yùn)行，為企業(yè)提供所需的服務(wù)。

通過對我國某電網(wǎng)企業(yè)及其下轄電力單位的調(diào)研，以及對近5年電力信息資產(chǎn)信息安全類測評結(jié)果的統(tǒng)計得知，電網(wǎng)企業(yè)現(xiàn)存的網(wǎng)絡(luò)安全情況主要分為以下3類：網(wǎng)絡(luò)安全風(fēng)險與漏洞弱點(diǎn)事件、數(shù)據(jù)安全風(fēng)險與漏洞弱點(diǎn)事件、管理類安全風(fēng)險與漏洞弱點(diǎn)事件。整體上看，電網(wǎng)企業(yè)的信息安全問題仍不容樂觀，近年來隨著網(wǎng)絡(luò)的復(fù)雜化，攻擊的新型化和專業(yè)化，網(wǎng)絡(luò)安全防護(hù)的情況亟待加強(qiáng)。總體而言，首先要加強(qiáng)并提升網(wǎng)絡(luò)、應(yīng)用等方面安全水平，保證信息源頭的安全情況；其次加強(qiáng)管理類安全，特別是人員管理、運(yùn)維管理等方面；最后研究分析最新攻防技術(shù)的特點(diǎn)，結(jié)合電網(wǎng)實際現(xiàn)狀，構(gòu)建適用于現(xiàn)有網(wǎng)絡(luò)環(huán)境與架構(gòu)的信息安全縱深防御體系。

本文主要針對第三點(diǎn)展開論述，研究包括高級持續(xù)威脅（APT）防護(hù)技術(shù)、漏洞掃描技術(shù)等新型的攻擊及其防護(hù)技術(shù)，提取在復(fù)雜網(wǎng)絡(luò)系統(tǒng)中的防御共同點(diǎn)，并給出一類策略用于分析網(wǎng)絡(luò)信息安全防御的有效性。

2 信息安全的攻防新技術(shù)

電網(wǎng)企業(yè)所依賴的信息安全隔離與防御技術(shù)主要包括數(shù)據(jù)加密技術(shù)、安全隔離技術(shù)、入侵檢測技術(shù)、訪問控制技術(shù)等。一方面，通過調(diào)研與統(tǒng)計分析。目前電網(wǎng)的信息安全建設(shè)主要以防止外部攻擊，通過區(qū)域劃分、防火墻、反向、入侵檢測等手段對外部攻擊進(jìn)行防御，對內(nèi)部的防御手段往往滯后，電網(wǎng)內(nèi)部應(yīng)用仍然存在一定的安全風(fēng)險與漏洞弱點(diǎn)。如果一道防線失效，惡意的攻擊者可能通過以內(nèi)部網(wǎng)絡(luò)為跳板威脅電網(wǎng)企業(yè)的安全；另一方面，電網(wǎng)企業(yè)中目前使用的防御技術(shù)一般是孤立的，未形成關(guān)聯(lián)性防御，而目前新型的攻擊往往會結(jié)合多個漏洞，甚至是多個0day漏洞進(jìn)行組合攻擊，使得攻擊的隱蔽性、偽裝性都較強(qiáng)。因此，要構(gòu)建信息安全防御體系，僅憑某單一的防護(hù)措施或技術(shù)無法滿足企業(yè)的安全要求，只有構(gòu)建完整的信息安全防護(hù)屏障，才能為企業(yè)提供足夠的信息安全保障能力。

經(jīng)過分析，目前針對電網(wǎng)企業(yè)的新型攻防技術(shù)有如下幾類：

2.1 高級持續(xù)威脅攻擊與防護(hù)技術(shù)

高級持續(xù)威脅（APT）是針對某一項有價值目標(biāo)而開展的持續(xù)性攻擊，攻擊過程會使用一切能被利用的手段，包括社會工程學(xué)攻擊、0day漏洞攻擊等，當(dāng)各攻擊點(diǎn)形成持續(xù)攻擊鏈后，最終達(dá)到攻擊目的。典型的APT攻擊案例如伊朗核電項目被“震網(wǎng)（Stuxnet）”蠕蟲病毒攻擊，通過攻擊工業(yè)用的可編程邏輯控制器，導(dǎo)致伊朗近[15]的核能離心機(jī)損壞。

根據(jù)APT攻擊的特性，企業(yè)可以從防范釣魚攻擊、識別郵件中的惡意代碼、識別主機(jī)上的惡意代碼、監(jiān)測網(wǎng)絡(luò)數(shù)據(jù)滲出等多個環(huán)節(jié)進(jìn)行檢測，主要涉及以下幾類新型技術(shù)。

2.1.1 基于沙箱的惡意代碼檢測技術(shù)

惡意代碼檢測中最具挑戰(zhàn)性的是檢測利用0day漏洞的惡意代碼，傳統(tǒng)的基于特征碼的惡意代碼檢測技術(shù)無法應(yīng)對0day攻擊。目前最新的技術(shù)是通過沙箱技術(shù)，構(gòu)造模擬的程序執(zhí)行環(huán)境，讓可疑文件在模擬環(huán)境中運(yùn)行，通過軟件所表現(xiàn)的外在行為判定是否是惡意代碼。

2.1.2 基于異常的流量檢測技術(shù)

傳統(tǒng)的入侵檢測系統(tǒng)IDS都是基于特征（簽名）的深度包檢測（DPI）分析，部分會采用到簡單深度流檢測（DFI）技術(shù)。面對新型威脅，基于DFI技術(shù)的應(yīng)用需要進(jìn)一步深化?；诋惓５牧髁繖z測技術(shù)，是通過建立流量行為輪廓和學(xué)習(xí)模型來識別流量異常，進(jìn)而識別0day攻擊、C&C通信以及信息滲出等惡意行為。

2.1.3 全包捕獲與分析技術(shù)

由于APT攻擊的隱蔽性與持續(xù)性，當(dāng)攻擊行為被發(fā)現(xiàn)時往往已經(jīng)持續(xù)了一段時間；因此需要考慮如何分析信息系統(tǒng)遭受的損失，利用全包捕獲及分析技術(shù)（FPI），借助海量存儲空間和大數(shù)據(jù)分析（BDA）方法，F(xiàn)PI能夠抓取網(wǎng)絡(luò)定場合下的全量數(shù)據(jù)報文并存儲，便于后續(xù)的歷史分析或者準(zhǔn)實時分析。

2.2 漏洞掃描技術(shù)

漏洞掃描技術(shù)是一種新型的、靜態(tài)的安全檢測技術(shù)，攻防雙方都會利用它盡量多地獲取信息。一方面，攻擊者利用它可以找到網(wǎng)絡(luò)中潛在的漏洞；另一方面，防御者利用它能夠及時發(fā)現(xiàn)企業(yè)或單位網(wǎng)絡(luò)系統(tǒng)中隱藏的安全漏洞。以被掃描對象分類，漏洞掃描主要可分為基于網(wǎng)絡(luò)與基于主機(jī)的安全漏洞掃描技術(shù)。

2.2.1 基于網(wǎng)絡(luò)的安全漏洞掃描技術(shù)

基于網(wǎng)絡(luò)的安全漏洞掃描技術(shù)通過網(wǎng)絡(luò)掃描網(wǎng)絡(luò)設(shè)備、主機(jī)或系統(tǒng)中的安全漏洞與脆弱點(diǎn)。例如，通過掃描的方式獲知OpenSSL心臟出血漏洞是否存在?；诰W(wǎng)絡(luò)的安全漏洞掃描技術(shù)的優(yōu)點(diǎn)包括：易操作性，掃描在執(zhí)行過程中，無需目標(biāo)網(wǎng)絡(luò)或系統(tǒng)主機(jī)Root管理員的參與；維護(hù)簡便，若目標(biāo)網(wǎng)絡(luò)中的設(shè)備有調(diào)整或變化，只要網(wǎng)絡(luò)是連通的，就可以執(zhí)行掃描任務(wù)。但是基于網(wǎng)絡(luò)的掃描也存在一些局限性：掃描無法直接訪問目標(biāo)網(wǎng)絡(luò)或系統(tǒng)主機(jī)上的文件系統(tǒng)；其次，掃描活動不能突破網(wǎng)絡(luò)防火墻[3]。

2.2.2 基于主機(jī)的安全漏洞掃描技術(shù)

基于主機(jī)的安全漏洞掃描技術(shù)是通過以系統(tǒng)管理員權(quán)限登錄目標(biāo)主機(jī)，記錄網(wǎng)絡(luò)或系統(tǒng)配置、規(guī)則等重要項目參數(shù)，通過獲取的信息與標(biāo)準(zhǔn)的系統(tǒng)安全配置庫進(jìn)行比對，最終獲知系統(tǒng)的安全漏洞與風(fēng)險。

基于主機(jī)的安全漏洞掃描技術(shù)的優(yōu)點(diǎn)包括：可使用的規(guī)則多，掃描結(jié)果精準(zhǔn)度高；網(wǎng)絡(luò)流量負(fù)載較小，不易被發(fā)現(xiàn)。該技術(shù)也存在一些局限性：首先，基于主機(jī)的安全漏洞掃描軟件或工具的價格昂貴；其次，基于主機(jī)的安全漏洞掃描軟件或工具首次部署的工作周期較長。

3 基于最小攻擊代價的網(wǎng)絡(luò)防御有效性分析策略

惡意攻擊總是以某一目標(biāo)為導(dǎo)向，惡意攻擊者為了達(dá)到目標(biāo)會選擇各種有效的手法對網(wǎng)絡(luò)進(jìn)行攻擊。在復(fù)雜網(wǎng)絡(luò)環(huán)境下，如果可以盡可能大地提高惡意攻擊者的攻擊代價，則對應(yīng)能達(dá)到提高有效防御的能力?；谶@個假設(shè)，這里展示一種在復(fù)雜網(wǎng)絡(luò)環(huán)境下分析攻擊有效性的策略，并依此計算從非安全區(qū)到目標(biāo)區(qū)是否存在足夠小的攻擊代價，讓惡意攻擊可以獲取目標(biāo)。如果存在，則可以被惡意攻擊利用的路徑將被計算出來；如果不存在，則證明從非安全區(qū)到目標(biāo)區(qū)的安全防御能力是可以接受的。

以二元組的形式描述網(wǎng)絡(luò)拓?fù)鋱D[4][C，]其中節(jié)點(diǎn)是網(wǎng)絡(luò)中的各類設(shè)備，邊表示設(shè)備間的關(guān)聯(lián)關(guān)系。假設(shè)非安全區(qū)域為[Z，]目標(biāo)區(qū)域為[D。]在網(wǎng)絡(luò)中，攻擊者如果能達(dá)到目標(biāo)，必然至少存在一條從非安全區(qū)節(jié)點(diǎn)到目標(biāo)節(jié)點(diǎn)[d]的通路[p，]且這條通路上的攻擊代價小于值[w。]其中，攻擊代價指攻擊者能夠利用攻擊工具、系統(tǒng)缺陷、脆弱性等信息，實現(xiàn)其對目標(biāo)的入侵行為所付出的代價。直觀地，由于攻擊行為往往會因遇到安全設(shè)備和安全策略的阻攔，而導(dǎo)致其成功實現(xiàn)其攻擊目的的時間、精力甚至資金成本提高，攻擊者為達(dá)到其攻擊目標(biāo)所付出的所有的行為成本即攻擊代價。

在圖[G]中，每一個節(jié)點(diǎn)[v]具有輸入權(quán)限[q]和獲利權(quán)限[q]（如表1所示）、本身的防護(hù)能力[pr]以及風(fēng)險漏洞數(shù)L（L≥0）。攻擊者能力是指攻擊者通過輸入權(quán)限[q，]通過任意攻擊手段，在節(jié)點(diǎn)[v]上所能獲取的最高權(quán)限值（獲利權(quán)限）[q′。]直觀地，輸入權(quán)限代表攻擊者在對某節(jié)點(diǎn)進(jìn)行攻擊前所擁有的權(quán)限，如Web服務(wù)器一般均具有匿名訪問權(quán)限；獲利權(quán)限代表攻擊者最終可以利用的系統(tǒng)權(quán)限。

最短攻擊路徑是從非安全區(qū)域[Z]中任意節(jié)點(diǎn)[z]到目標(biāo)節(jié)點(diǎn)[d]所有攻擊路徑中，防護(hù)成功率最低的[Pr]所對應(yīng)的路徑。最短攻擊路徑所對應(yīng)耗費(fèi)的攻擊代價為最小攻擊代價[4]，也是該網(wǎng)絡(luò)的防護(hù)能力有效性分值。

攻擊代價閾值：一旦攻擊者付出的攻擊代價超過其預(yù)期，攻擊者很大程度上將會停止使得攻擊代價超限的某一攻擊行為，轉(zhuǎn)而專注于攻擊代價較小的其他攻擊路徑。攻擊代價閾值即攻擊者為達(dá)到目標(biāo)可接受的最大攻擊代價。如果防護(hù)能力有效性分值小于攻擊代價閾值，則說明攻擊目標(biāo)可以達(dá)到。

攻擊代價閾值一般可以通過人工方式指定，本文采用德爾斐法，也被稱為專家咨詢法的方式來確定。經(jīng)過專家分析和評判，將攻擊代價閾值設(shè)定為[t，]當(dāng)攻擊路徑防護(hù)能力小于[t]即認(rèn)為攻擊者會完成攻擊行為并能成功實施攻擊行為。

4 網(wǎng)絡(luò)防御有效性分析應(yīng)用

假設(shè)在電網(wǎng)企業(yè)復(fù)雜網(wǎng)絡(luò)環(huán)境場景下存在一類新型的APT攻擊，網(wǎng)絡(luò)中使用兩種策略A，B進(jìn)行攻擊防御。策略A采用了現(xiàn)有的隔離與防御技術(shù)，策略B是在現(xiàn)有基礎(chǔ)上增加應(yīng)用了APT防御技術(shù)。計算兩類策略下的最小攻擊代價，并進(jìn)而對APT防護(hù)效果進(jìn)行分析。

4.1 策略選取

4.1.1 策略A

圖1為一個簡化的復(fù)雜網(wǎng)絡(luò)環(huán)境實例拓?fù)?，其中DMZ區(qū)部署的Web服務(wù)器為內(nèi)、外網(wǎng)用戶提供Web服務(wù)，電網(wǎng)地市局局域網(wǎng)的內(nèi)部用戶不允許與外網(wǎng)直接連接，限網(wǎng)。各安全域之間具體訪問控制策略如下：

（1） 只允許地市局局域網(wǎng)用戶訪問DMZ區(qū)Host2（H2）上的IIS Web服務(wù)和Host3（H3）上的Tomcat服務(wù)；

（2） DMZ 區(qū)的H2 允許訪問H3上的Tomcat服務(wù)和IDC區(qū)Host4（H4）上的Oracle DB服務(wù)；

（3） 禁止H2和H3訪問Domino服務(wù)器Host5（H5）；

（4） H5允許訪問DMZ的H2和H3及IDC區(qū)的H4。

4.2 效果分析

通過上述計算結(jié)果表明，在應(yīng)用策略A與B情況下，局域網(wǎng)用戶到DMZ區(qū)域目標(biāo)主機(jī)存在的攻擊路徑的防護(hù)有效性分值分別是（0.3，0.3，0.51）與（0.93， 0.93，0.979）。在策略A的情況下，通過DMZ區(qū)的H2為跳板，攻擊IDC的目標(biāo)主機(jī)H4，最短攻擊路徑的防護(hù)有效性分值只有0.51，說明局域網(wǎng)內(nèi)的攻擊者能在花費(fèi)較小代價的情況下，輕易地獲取內(nèi)網(wǎng)DMZ或IDC服務(wù)器的系統(tǒng)權(quán)限，從而造成較大的危害。而增加APT防護(hù)設(shè)備之后，通過DMZ區(qū)的H2為跳板，攻擊IDC的目標(biāo)主機(jī)H4，防護(hù)有效性分值提升為0.979，其他攻擊路徑的防護(hù)有效性也有明顯提高。

策略A與策略B的對比結(jié)果表明，在DMZ區(qū)域有APT防護(hù)技術(shù)情況下，網(wǎng)絡(luò)環(huán)境下整體的隔離與防御能力得到了明顯提升，從而驗證了隔離與防御新技術(shù)的防護(hù)效果。

5 結(jié) 語

在新形勢、新技術(shù)下，我國電網(wǎng)企業(yè)網(wǎng)絡(luò)信息安全仍面臨著嚴(yán)峻的挑戰(zhàn)，應(yīng)當(dāng)高度重視網(wǎng)絡(luò)信息安全工作，不斷發(fā)展完善信息安全防御新技術(shù)，改善網(wǎng)絡(luò)信息安全的水平。單純使用某種防御技術(shù)，往往已無法應(yīng)對快速變化的安全防御需求，只有綜合運(yùn)用各種新型的攻防技術(shù)，分析其關(guān)聯(lián)結(jié)果，并通過網(wǎng)內(nèi)、網(wǎng)間各類安全設(shè)備、安全措施的互相配合，才能最終建立健全網(wǎng)絡(luò)信息安全防范體系，最大限度減少惡意入侵的威脅，保障企業(yè)應(yīng)用的安全、穩(wěn)定運(yùn)行。

參考文獻(xiàn)

[1] 高子坤，楊海洲，王江濤.計算機(jī)網(wǎng)絡(luò)信息安全及防護(hù)策略分析[J].科技研究，2014，11（2）：155?157.

[2] 彭曉明.應(yīng)對飛速發(fā)展的計算機(jī)網(wǎng)絡(luò)的安全技術(shù)探索[J].硅谷，2014，15（11）：86?87.

[3] 范海峰.基于漏洞掃描技術(shù)的網(wǎng)絡(luò)安全評估方法研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2012，8（6）：9?11.

[4] 吳迪，馮登國，連一峰，等.一種給定脆弱性環(huán)境下的安全措施效用評估模型[J].軟件學(xué)報，2012，23（7）：1880?1898.

工業(yè)網(wǎng)絡(luò)信息安全范文第2篇

關(guān)鍵詞：電力信息；網(wǎng)絡(luò)安全；存在問題；防范措施

中圖分類號： F407 文獻(xiàn)標(biāo)識碼： A

前言：近幾年，我國信息網(wǎng)絡(luò)技術(shù)不斷發(fā)展與完善，信息網(wǎng)絡(luò)應(yīng)用于社會各個領(lǐng)域，為提高企業(yè)工作效率與管理水平，信息網(wǎng)絡(luò)已經(jīng)成為電力企業(yè)信息交互、傳輸、共享不可缺少的部分。而研究電力系統(tǒng)信息安全問題、制定和實施電力企業(yè)信息安全策略、建立全方位、動態(tài)的電力信息系統(tǒng)安全保障體系，己成為當(dāng)前電力企業(yè)信息化工作的重要內(nèi)容。由于信息網(wǎng)絡(luò)具有多樣性、開放性等特點(diǎn)，往往會因為忽略某一環(huán)節(jié)而造成重大損失。

一、電力信息網(wǎng)絡(luò)概述

電力信息系統(tǒng)是一個復(fù)雜的系統(tǒng)，它由分布于各級變電站、營配終端、調(diào)度機(jī)構(gòu)、辦公場所等通過或緊或松的聯(lián)系構(gòu)成。它所處環(huán)境包括各個調(diào)度機(jī)構(gòu)的局域網(wǎng)、本地計算機(jī)系統(tǒng)以及電力系統(tǒng)所連接的行業(yè)外網(wǎng)。因而，簡單來說，電力信息網(wǎng)絡(luò)是電力企業(yè)內(nèi)依賴于計算機(jī)及網(wǎng)絡(luò)的業(yè)務(wù)系統(tǒng)和通信數(shù)據(jù)網(wǎng)絡(luò)的統(tǒng)稱。電力信息網(wǎng)絡(luò)系統(tǒng)從功能上可以分為以下幾個系統(tǒng)：

1.監(jiān)控系統(tǒng)

電力信息網(wǎng)絡(luò)的監(jiān)控系統(tǒng)包括用于電網(wǎng)生產(chǎn)運(yùn)行過程中的各個監(jiān)控和控制設(shè)備以及用計算機(jī)與網(wǎng)絡(luò)執(zhí)行的業(yè)務(wù)處理設(shè)備智能終端。詳細(xì)包括變電站、電網(wǎng)調(diào)度系統(tǒng)、輸配電線路等的自動監(jiān)控系統(tǒng)以及配電網(wǎng)、計算機(jī)保護(hù)和安全裝置、及調(diào)度自動化網(wǎng)絡(luò)系統(tǒng)、電能計量計費(fèi)及電量實時檢測控制系統(tǒng)。

2.管理系統(tǒng)

管理系統(tǒng)是有計算機(jī)、操作者以及其他設(shè)備組成的復(fù)雜系統(tǒng)，其主要功能是進(jìn)行信息的收集存儲、加工傳遞以及使用和維護(hù)，主要進(jìn)行日常事務(wù)的管理操作。內(nèi)容包括ERP、門戶、財務(wù)管理、市場交易及營銷管理、人力資源管理、變電站管理、配電網(wǎng)管理、輸電網(wǎng)信息管理系統(tǒng)等。

3.數(shù)據(jù)網(wǎng)絡(luò)系統(tǒng)

電力數(shù)據(jù)網(wǎng)絡(luò)系統(tǒng)主要由電力信息數(shù)據(jù)網(wǎng)和電力調(diào)度數(shù)據(jù)網(wǎng)組成，隸屬于電力專用網(wǎng)。電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)指的是電力生產(chǎn)所用撥號網(wǎng)以及專門用于調(diào)度的廣域網(wǎng)絡(luò)。電力信息數(shù)據(jù)網(wǎng)指的是用于電力系統(tǒng)內(nèi)部的公用網(wǎng)絡(luò)，包含的范圍非常廣闊，除去生產(chǎn)及調(diào)度外，該網(wǎng)絡(luò)均有覆蓋。電力企業(yè)的信息網(wǎng)絡(luò)包涵了各個電力單位，并通過電力專用網(wǎng)絡(luò)來實現(xiàn)信息的上傳和下載以及各個單位間的互相連接。

二、電力信息網(wǎng)絡(luò)安全問題分析

當(dāng)前國家的電力信息網(wǎng)絡(luò)體系已經(jīng)相對健全，而且具有較強(qiáng)的電力信息安全體系，可以將電力信息網(wǎng)絡(luò)以及電力執(zhí)行時進(jìn)行實時控制，各級單位信息安全設(shè)備已安裝調(diào)試到位，信息安全檢查工作已規(guī)范。可是依舊會有許多電力單位對信息安全性不夠關(guān)注，信息安全事件和信息泄密事件頻頻發(fā)生，還具有很多安全風(fēng)險和問題。

1、部分員工缺乏安全意識

電力企業(yè)實現(xiàn)信息化建設(shè)使電力企業(yè)得到了很大的發(fā)展，但是由于電力企業(yè)信息化時間較短，部分員工缺乏信息網(wǎng)絡(luò)的安全意識，對信息安全問題的重視程度不夠，存在人為的安全隱患。

2、需進(jìn)一步規(guī)范管理制度

雖然我國電力企業(yè)已經(jīng)初步建立起統(tǒng)一的、規(guī)范的信息網(wǎng)絡(luò)信息系統(tǒng)的安全管理相關(guān)規(guī)定，制定了相關(guān)安全防范措施和安全保護(hù)機(jī)制，但同樣由于起步較晚，在一定程度上仍然對基層電力企業(yè)的信息網(wǎng)絡(luò)安全工作缺乏詳細(xì)的維護(hù)指導(dǎo)。

3、信息安全管理仍然存在不統(tǒng)一的現(xiàn)象

現(xiàn)在信息網(wǎng)絡(luò)已應(yīng)用到電力生產(chǎn)、管理和營銷的各個方面，但是信息網(wǎng)絡(luò)安全仍然按主管部門分屬于兩個單位，分為生產(chǎn)辦公區(qū)和調(diào)度區(qū)，兩部分安全區(qū)域各自執(zhí)行各自的信息安全標(biāo)準(zhǔn)，沒有實現(xiàn)信息安全的統(tǒng)一管理。

4、基層電力信息網(wǎng)絡(luò)安全的基礎(chǔ)設(shè)施不完善

信息網(wǎng)絡(luò)的基礎(chǔ)安全設(shè)施建設(shè)是信息網(wǎng)絡(luò)安全的基礎(chǔ)，而基層電力信息網(wǎng)絡(luò)的安全設(shè)施仍然比較薄弱，使電力信息網(wǎng)絡(luò)安全無法得到保障。

三、電力信息網(wǎng)絡(luò)安全防范措施

信息網(wǎng)絡(luò)安全要加強(qiáng)防范措施，只有制定出嚴(yán)格的防范措施，才能保障電力信息網(wǎng)絡(luò)的安全運(yùn)行。

1、要加強(qiáng)人員管理和培訓(xùn)，提高員工安全意識電力企業(yè)要定期開展內(nèi)部信息網(wǎng)絡(luò)安全培訓(xùn)，使員工增強(qiáng)信息網(wǎng)絡(luò)安全防范的意識。電力企業(yè)要組織電力管理相關(guān)人員進(jìn)行信息網(wǎng)絡(luò)安全教育與培訓(xùn)，如部門負(fù)責(zé)人、用戶、相關(guān)技術(shù)人員等，要求電力企業(yè)所有人員必須認(rèn)識并嚴(yán)格遵守電力信息網(wǎng)絡(luò)安全規(guī)定。

培養(yǎng)員工建立良好網(wǎng)絡(luò)使用習(xí)慣，與工作無關(guān)的設(shè)備要禁止在企業(yè)電腦中使用。不允許在企業(yè)電腦安裝盜版的軟件和與工作無關(guān)的軟件，嚴(yán)格執(zhí)行“雙機(jī)雙網(wǎng)”，不允許內(nèi)、外網(wǎng)混合使用，對電力信息網(wǎng)絡(luò)開機(jī)口令和應(yīng)用系統(tǒng)口令要定期進(jìn)行修改，對屏幕要設(shè)置密碼，對每臺操作的電腦都要進(jìn)行定期的殺毒和文件的備份工作等。只有提高企業(yè)所有人員的信息網(wǎng)絡(luò)安全化意識.才能真正開展電力信息網(wǎng)絡(luò)安全防范措施。

2、強(qiáng)化電力信息網(wǎng)安全管理

筆者認(rèn)為一方面是要進(jìn)行層次化管理模式。將電力信息安全網(wǎng)絡(luò)進(jìn)行層次化劃分，每一層次進(jìn)行隔離。另一方面是實行區(qū)域化管理模式。根據(jù)電力信息網(wǎng)絡(luò)安全特點(diǎn)對電力企業(yè)信息進(jìn)行劃分為控制區(qū)、非控制、生產(chǎn)區(qū)、信息區(qū)等四大區(qū)域進(jìn)行模式化管理。

3、通過不同的安全防護(hù)措施進(jìn)行保護(hù)

為信息進(jìn)行加密，密碼作為信息領(lǐng)域的安全之瑣，是一項非常實用的技術(shù)；為信息進(jìn)行確認(rèn)，為網(wǎng)絡(luò)提供控制技術(shù)，目前一個較為成熟的信息確認(rèn)技術(shù)以及網(wǎng)絡(luò)安全控制技術(shù)需要以計算機(jī)網(wǎng)絡(luò)開展為基礎(chǔ)，對業(yè)務(wù)信息安全技術(shù)進(jìn)行系統(tǒng)的策劃；為計算機(jī)提供網(wǎng)絡(luò)防病毒技術(shù)，計算機(jī)的病毒已經(jīng)逐漸朝多元化、網(wǎng)絡(luò)化等方向發(fā)展；微計算機(jī)提供防“黑客”技術(shù)，黑客大多針對的是信息系統(tǒng)網(wǎng)絡(luò)以及主機(jī)內(nèi)部具有的漏洞進(jìn)行攻擊；對數(shù)據(jù)進(jìn)行備份，避免由于外界因素造成技術(shù)上的損失，讓信息系統(tǒng)可以更加安全、數(shù)據(jù)可以更加可靠。

4、有效設(shè)置防火墻與入侵檢測系統(tǒng)

防火墻可以有效防止惡意的入侵和攻擊.是計算機(jī)系統(tǒng)自我保護(hù)的重要屏障。防火墻可以對各種軟件進(jìn)行識別，也可以對抵抗非授權(quán)的訪問進(jìn)行技術(shù)控制。內(nèi)部的資源哪些可以被外界訪問.外部的服務(wù)哪些可以被內(nèi)部人員訪問，都可以進(jìn)行識別。防火墻的抗惡意攻擊和免疫能力較強(qiáng)?？梢詫ζ髽I(yè)內(nèi)部的網(wǎng)絡(luò)進(jìn)行劃分VPN.對各個網(wǎng)段進(jìn)行隔離。限制重點(diǎn)或者敏感部分的網(wǎng)絡(luò)安全。入侵檢測系統(tǒng)作為防火墻的補(bǔ)充，為網(wǎng)絡(luò)提供了主動的保護(hù)功能?？梢蕴綔y網(wǎng)絡(luò)的流量中有可能存在的入侵、攻擊或者濫用模式的發(fā)生。通過上述這些措施，進(jìn)一步提升電力信息網(wǎng)絡(luò)的安全。

工業(yè)網(wǎng)絡(luò)信息安全范文第3篇

【關(guān)鍵詞】：信息；網(wǎng)絡(luò)；安全管理；策略

1 引言

隨著計算機(jī)網(wǎng)絡(luò)的不斷發(fā)展，全球信息化已成為人類發(fā)展的大趨勢，我供電公司也在由企業(yè)信息化向信息化企業(yè)不斷的邁進(jìn)。但由于計算機(jī)網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開放性、互聯(lián)性等特征，致使網(wǎng)絡(luò)易受黑客、怪客、惡意軟件和其他不軌的攻擊。計算機(jī)病毒的泛濫；木馬程序帶來安全保密方面的隱患；易受黑客攻擊特別是洪流攻擊；垃圾郵件阻塞網(wǎng)絡(luò)等各類網(wǎng)絡(luò)安全的威脅開始蔓延到應(yīng)用的環(huán)節(jié)，其中Windows占70%，UNIX占30%。因此網(wǎng)絡(luò)的信息安全防護(hù)是一個至關(guān)重要的問題，無論是在局域網(wǎng)還是在廣域網(wǎng)中，都存在著自然和人為等諸多因素的脆弱性和潛在威脅。網(wǎng)絡(luò)的安全防護(hù)措施應(yīng)是能全方位地針對各種不同的威脅和脆弱性，這樣才能確保網(wǎng)絡(luò)信息的保密性、完整性和可用性。本次調(diào)研也正是基于此目的。

2 信息網(wǎng)絡(luò)安防的加密策略和安全策略技術(shù)

2.1 目前計算機(jī)信息網(wǎng)絡(luò)面臨的威脅

計算機(jī)網(wǎng)絡(luò)所面臨的威脅大體可分為兩種：一是對網(wǎng)絡(luò)中信息的威脅；二是對網(wǎng)絡(luò)中設(shè)備的威脅。影響計算機(jī)網(wǎng)絡(luò)的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的；還有可能是外來黑客對網(wǎng)絡(luò)系統(tǒng)資源的非法使有，歸結(jié)起來，針對網(wǎng)絡(luò)安全的威脅主要有以下三種：（1）人為的無意失誤：如操作員安全配置不當(dāng)造成的安全漏洞，用戶安全意識不強(qiáng)，用戶口令選擇不慎，用戶將自己的帳號隨意轉(zhuǎn)借他人或與別人共享等都會對網(wǎng)絡(luò)安全帶來威脅。（2）人為的惡意攻擊：這是計算機(jī)網(wǎng)絡(luò)所面臨的最大威脅，惡意的攻擊和計算機(jī)犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網(wǎng)絡(luò)正常工作的情況下，進(jìn)行截獲、竊取、破譯以獲得重要機(jī)密信息。這兩種攻擊均可對計算機(jī)網(wǎng)絡(luò)造成極大的危害，并導(dǎo)致機(jī)密數(shù)據(jù)的泄漏。（3）網(wǎng)絡(luò)軟件的漏洞和“后門”：網(wǎng)絡(luò)軟件不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進(jìn)行攻擊的首選目標(biāo)，曾經(jīng)出現(xiàn)過的黑客攻入網(wǎng)絡(luò)內(nèi)部的事件，這些事件的大部分就是因為安全措施不完善導(dǎo)致的。另外，軟件的“后門”都是軟件公司的設(shè)計編程人員為了方便而設(shè)置的，一般不為外人所知，但一旦“后門”洞開，其造成的后果將不堪設(shè)想。

2.2 信息加密策略

信息加密的目的是保護(hù)網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護(hù)網(wǎng)上傳輸?shù)臄?shù)據(jù)。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點(diǎn)加密和節(jié)點(diǎn)加密三種。鏈路加密的目的是保護(hù)網(wǎng)絡(luò)節(jié)點(diǎn)之間的鏈路信息安全；端-端加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)；節(jié)點(diǎn)加密的目的是對源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳輸鏈路提供保護(hù)。在常規(guī)密碼中，收信方和發(fā)信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。常規(guī)密碼的優(yōu)點(diǎn)是有很強(qiáng)的保密強(qiáng)度，且經(jīng)受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統(tǒng)安全的重要因素。

密碼技術(shù)是網(wǎng)絡(luò)安全最有效的技術(shù)之一。一個加密網(wǎng)絡(luò)，不但可以防止非授權(quán)用戶的搭線竊聽和入網(wǎng)，而且也是對付惡意軟件的有效方法之一。

2.3 計算機(jī)信息網(wǎng)絡(luò)的安全策略

（1）物理安全策略。物理安全策略的目的是保護(hù)計算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保計算機(jī)系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計算機(jī)控制室和各種偷竊、破壞活動的發(fā)生。

（2）訪問控制策略。訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。

3 安防管理措施

針對我供電公司目前的網(wǎng)絡(luò)現(xiàn)狀，提出以下幾點(diǎn)安防管理措施。

3.1 入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的缺省限制檢查。用戶帳號只有系統(tǒng)管理員才能建立，管理員對普通用戶的帳號使用進(jìn)行控制和限制，控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們在哪臺工作站入網(wǎng)。同時對所有入網(wǎng)用戶的訪問進(jìn)行審計，如果多次輸入口令不正確，則認(rèn)為是非法用戶的入侵，給出報警信息。

3.2 網(wǎng)絡(luò)的權(quán)限控制

網(wǎng)絡(luò)的權(quán)限控制是針對網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施，網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類：（1）特殊用戶（即系統(tǒng)管理員）；（2）一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權(quán)限；（3）審計用戶，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限可以通過訪問控制表來描述。

3.3 目錄級安全控制

網(wǎng)絡(luò)應(yīng)允許控制用戶對目錄、文件、設(shè)備的訪問。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進(jìn)一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán) 限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限、存取控制權(quán)限。網(wǎng)絡(luò)系統(tǒng)管理員為用戶指定適當(dāng)?shù)脑L問權(quán)限，這些訪問權(quán)限控制著用戶對服務(wù)器的訪問。八種訪問權(quán)限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務(wù)器資源的訪問，從而加強(qiáng)了網(wǎng)絡(luò)和服務(wù)器的安全性。

3.4 屬性安全控制

當(dāng)用文件、目錄和網(wǎng)絡(luò)設(shè)備時，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指定訪問屬性。屬性能控制以下幾個方面的權(quán)限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。網(wǎng)絡(luò)的屬性可以保護(hù)重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執(zhí)行修改、顯示等。

3.5 網(wǎng)絡(luò)監(jiān)測和鎖定控制

網(wǎng)絡(luò)管理員應(yīng)對網(wǎng)絡(luò)實施監(jiān)控，服務(wù)器應(yīng)記錄用戶對網(wǎng)絡(luò)資源的訪問，對非法的網(wǎng)絡(luò)訪問，服務(wù)器應(yīng)以圖形或文字或聲音等形式報警，以引起網(wǎng)絡(luò)管理員的注意。如果不法之徒試圖進(jìn)入網(wǎng)絡(luò)，網(wǎng)絡(luò)服務(wù)器應(yīng)會自動記錄企圖嘗試進(jìn)入網(wǎng)絡(luò)的次數(shù)，如果非法訪問的次數(shù)達(dá)到設(shè)定數(shù)值，那么該帳戶將被自動鎖定。

3.6 防火墻控制

防火墻是近期發(fā)展起來的一種保護(hù)計算機(jī)網(wǎng)絡(luò)安全的技術(shù)性措施，它是一個用以阻止網(wǎng)絡(luò)中的黑客訪問某個機(jī)構(gòu)網(wǎng)絡(luò)的屏障，也可稱之為控制進(jìn)/出兩個方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立起來的相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò)，以阻擋外部網(wǎng)絡(luò)的侵入。

工業(yè)網(wǎng)絡(luò)信息安全范文第4篇

 

一、2015年工控安全漏洞與安全事件依然突出

 

通過對國家信息安全漏洞庫(CNNVD)的數(shù)據(jù)進(jìn)行分析，2015年工控安全漏洞呈現(xiàn)以下幾個特點(diǎn)：

 

1.工控安全漏洞披露數(shù)量居高不下，總體呈遞增趨勢。受2010年“震網(wǎng)病毒”事件影響，工控信息安全迅速成為安全領(lǐng)域的焦點(diǎn)。國內(nèi)外掀起針對工控安全漏洞的研究熱潮，因此自2010年以后工控漏洞披露數(shù)量激增，占全部數(shù)量的96%以上。隨著國內(nèi)外對工控安全的研究逐漸深入，以及工控漏洞的公開披露開始逐漸制度化、規(guī)范化，近幾年漏洞披露數(shù)量趨于穩(wěn)定。

 

2.工控核心硬件漏洞數(shù)量增長明顯。盡管在當(dāng)前已披露的工控系統(tǒng)漏洞中軟件漏洞數(shù)量仍高居首位，但近幾年工控硬件漏洞數(shù)量增長明顯，所占比例有顯著提高。例如，2010年工控硬件漏洞占比不足10%，但是2015年其占比高達(dá)37.5%。其中，工控硬件包括可編程邏輯控制器(PLC)、遠(yuǎn)程終端單元(RTU)、智能儀表設(shè)備(IED)及離散控制系統(tǒng)(DCS)等。

 

3.漏洞已覆蓋工控系統(tǒng)主要組件，主流工控廠商無一幸免。無論是國外工控廠商(如西門子、施耐德、羅克韋爾等)還是國內(nèi)工控廠商(研華)，其產(chǎn)品普遍存在安全漏洞，且許多漏洞很難修補(bǔ)。在2015年新披露的工控漏洞中，西門子、施耐德、羅克韋爾、霍尼韋爾產(chǎn)品的漏洞數(shù)量分列前四位。

 

二、工控信息安全標(biāo)準(zhǔn)需求強(qiáng)烈，標(biāo)準(zhǔn)制定工作正全面推進(jìn)

 

盡管工控信息安全問題已得到世界各國普遍重視，但在工業(yè)生產(chǎn)環(huán)境中如何落實信息安全管理和技術(shù)卻沒有切實可行的方法，工控信息安全防護(hù)面臨著“無章可循”，工控信息安全標(biāo)準(zhǔn)已迫在眉睫。當(dāng)前，無論是國外還是國內(nèi)，工控信息安全標(biāo)準(zhǔn)的需求非常強(qiáng)烈，標(biāo)準(zhǔn)制定工作也如火如荼在開展，但工控系統(tǒng)的特殊性導(dǎo)致目前工控安全技術(shù)和管理仍處探索階段，目前絕大多數(shù)標(biāo)準(zhǔn)正處于草案或征求意見階段，而且在設(shè)計思路上存在較為明顯的差異，這充分反映了目前不同人員對工控信息安全標(biāo)準(zhǔn)認(rèn)識的不同，因此工控信息安全標(biāo)準(zhǔn)的制定與落地任重道遠(yuǎn)。

 

1.國外工控信息安全標(biāo)準(zhǔn)建設(shè)概況

 

IEC 62443(工業(yè)自動化控制系統(tǒng)信息安全)標(biāo)準(zhǔn)是當(dāng)前國際最主要的工控信息安全標(biāo)準(zhǔn)，起始于2005年，但至今標(biāo)準(zhǔn)制定工作仍未結(jié)束，特別是在涉及到系統(tǒng)及產(chǎn)品的具體技術(shù)要求方面尚有一段時日。

 

此外，美國在工控信息安全標(biāo)準(zhǔn)方面也在不斷推進(jìn)。其國家標(biāo)準(zhǔn)技術(shù)研究院NIST早在2010年了《工業(yè)控制系統(tǒng)安全指南》(NIST SP800-82)，并2014年了修訂版2，對其控制和控制基線進(jìn)行了調(diào)整，增加了專門針對工控系統(tǒng)的補(bǔ)充指南。在奧巴馬政府美國總統(tǒng)第13636號行政令《提高關(guān)鍵基礎(chǔ)設(shè)計網(wǎng)絡(luò)安全》后，NIST也隨即了《關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架》，提出“識別保護(hù)檢測響應(yīng)恢復(fù)”的總體框架。

 

2.國內(nèi)工控信息安全標(biāo)準(zhǔn)建設(shè)概況

 

在國內(nèi)，兩個標(biāo)準(zhǔn)化技術(shù)委員會都在制定工控信息安全標(biāo)準(zhǔn)工作，分別是：全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(SAC/TC260)，以及全國工業(yè)過程測量與控制標(biāo)準(zhǔn)化技術(shù)委員會(SAC/TC 124)。

 

其中，由TC260委員會組織制定的《工業(yè)控制系統(tǒng)現(xiàn)場測控設(shè)備安全功能要求》和《工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》處于報批稿階段，《工業(yè)控制系統(tǒng)安全管理基本要求》、《工業(yè)控制系統(tǒng)安全檢查指南》、《工業(yè)控制系統(tǒng)風(fēng)險影響等級劃分規(guī)范》、《工業(yè)控制系統(tǒng)安全防護(hù)技術(shù)要求和測試評價方法》和《安全可控信息系統(tǒng)(電力系統(tǒng))安全指標(biāo)體系》正在制定過程中，并且在2015年新啟動了《工業(yè)控制系統(tǒng)產(chǎn)品信息安全通用評估準(zhǔn)則》、《工業(yè)控制系統(tǒng)漏洞檢測技術(shù)要求》、《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)監(jiān)測安全技術(shù)要求和測試評價方法》、《工業(yè)控制網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)安全技術(shù)要求》、《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)審計產(chǎn)品安全技術(shù)要求》、《工業(yè)控制系統(tǒng)風(fēng)險評估實施指南》等標(biāo)準(zhǔn)研制工作。

 

TC124委員會組織制定的工控信息安全標(biāo)準(zhǔn)工作也在如火如荼進(jìn)行。2014年12月，TC124委員會了《工業(yè)控制系統(tǒng)信息安全》(GB/T 30976-2014)，包括兩個部分內(nèi)容：評估規(guī)范和驗收規(guī)范。另外，TC124委員會等同采用了IEC 62443中的部分標(biāo)準(zhǔn)，包括《工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全術(shù)語、概念和模型》(JB/T 11961-2014，等同采用IEC/TS 62443-1-1：2009)、《工業(yè)過程測量和控制安全網(wǎng)絡(luò)和系統(tǒng)安全》(JB/T 11960-2014，等同采用IEC PAS 62443-3：2008)、《工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)工業(yè)自動化和控制系統(tǒng)信息安全技術(shù)》(JB/T 11962-2014，等同采用IEC/TR 62443-3-1：2009)，此外對IEC62443-2-1：2010標(biāo)準(zhǔn)轉(zhuǎn)標(biāo)工作已經(jīng)進(jìn)入報批稿階段，并正在計劃對IEC 62443-3-3：2013進(jìn)行轉(zhuǎn)標(biāo)工作。除此之外，TC124委員會組織制定的集散控制系統(tǒng)(DCS)安全系列標(biāo)準(zhǔn)和可編程控制器(PLC)安全要求標(biāo)準(zhǔn)也已經(jīng)進(jìn)入征求意見稿后期階段。

 

由于不同行業(yè)的工業(yè)控制系統(tǒng)差異很大，因此我國部分行業(yè)已經(jīng)制定或正在研究制定適合自身行業(yè)特點(diǎn)的工控信息安全標(biāo)準(zhǔn)。2014年，國家發(fā)改委了第14號令《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，取代原先的《電力二次系統(tǒng)安全防護(hù)規(guī)定》(電監(jiān)會[2005]5號)，以此作為電力監(jiān)控系統(tǒng)信息安全防護(hù)的指導(dǎo)依據(jù)，同時原有配套的防護(hù)方案也進(jìn)行了相應(yīng)的更新。在城市軌道交通領(lǐng)域，上海申通地鐵集團(tuán)有限公司2013年了《上海軌道交通信息安全技術(shù)架構(gòu)》(滬地鐵信[2013]222號文)，并在2015年以222號文為指導(dǎo)文件了企業(yè)標(biāo)準(zhǔn)《軌道交通信息安全技術(shù)建設(shè)指導(dǎo)意見》(2015，試行)。同時，北京市軌道交通設(shè)計研究院有限公司于2015年牽頭擬制國家標(biāo)準(zhǔn)草案《城市軌道交通工業(yè)控制系統(tǒng)信息安全要求》。在石油化工領(lǐng)域，2015年由石化盈科牽頭擬制《中石化工業(yè)控制系統(tǒng)信息安全要求》等。

 

三、工控安全防護(hù)技術(shù)正迅速發(fā)展并在局部開始試點(diǎn)，但離大規(guī)模部署和應(yīng)用有一定差距

 

當(dāng)前許多信息安全廠商和工控自動化廠商紛紛研究工業(yè)控制系統(tǒng)的信息安全防護(hù)技術(shù)并開發(fā)相應(yīng)產(chǎn)品，近幾年出現(xiàn)了一系列諸如工控防火墻、工控異常監(jiān)測系統(tǒng)、主機(jī)防護(hù)軟件等產(chǎn)品并在部分企業(yè)進(jìn)行試點(diǎn)應(yīng)用。比較有代表性的工控安全防護(hù)產(chǎn)品及特點(diǎn)如下：

 

1.工控防火墻 防火墻是目前網(wǎng)絡(luò)邊界上最常用的一種安全防護(hù)設(shè)備，主要功能包括訪問控制、地址轉(zhuǎn)換、應(yīng)用、帶寬和流量控制等。相對于傳統(tǒng)的IT防火墻，工控防火墻不但需要對TCP/IP協(xié)議進(jìn)行安全過濾，更需要對工控應(yīng)用層協(xié)議進(jìn)行深度解析和安全過濾，如OPC、Modbus TCP、EtherNet/IP、DNP3、S7、Profinet、FINS等。只有做到工控應(yīng)用層協(xié)議的深度檢測，包括控制指令識別、操作地址和操作參數(shù)提取等，才能真正阻止那些不安全的控制指令及數(shù)據(jù)。

 

2.工控安全監(jiān)測系統(tǒng)我國現(xiàn)有工業(yè)控制系統(tǒng)網(wǎng)絡(luò)普遍呈現(xiàn)出“無縱深”、“無監(jiān)測”、“無防護(hù)”特點(diǎn)，工控安全監(jiān)測系統(tǒng)正是針對上述問題而快速發(fā)展起來的技術(shù)。它通過數(shù)據(jù)鏡像方式采集大量工控網(wǎng)絡(luò)數(shù)據(jù)并進(jìn)行分析，最終發(fā)現(xiàn)各種網(wǎng)絡(luò)異常行為、黑客攻擊線索等。利用該系統(tǒng)，相關(guān)人員能夠了解工控網(wǎng)絡(luò)實時通信狀況，及時發(fā)現(xiàn)潛在的攻擊前兆、病毒傳播痕跡以及各類網(wǎng)絡(luò)異常情況，同時，由于該系統(tǒng)是以“旁路”方式接入工控網(wǎng)絡(luò)中，不會對生產(chǎn)運(yùn)行造成不良影響，因此更容易在工控系統(tǒng)這種特殊環(huán)境下進(jìn)行部署和推廣。

 

3.主機(jī)防護(hù)產(chǎn)品在工業(yè)生產(chǎn)過程中，人員能夠通過工程師站或操作員站對PLC、DCS控制器等設(shè)備進(jìn)行控制，從而實現(xiàn)閥門關(guān)閉、執(zhí)行過程改變等操作。這些工程師站、操作員站等主機(jī)系統(tǒng)就變得十分重要，一旦出現(xiàn)問題，比如感染計算機(jī)病毒等，就會對正常生產(chǎn)造成較大影響。近年來發(fā)生的由于工程師站或操作員站感染計算機(jī)病毒最終導(dǎo)致控制通信中斷從而影響生產(chǎn)的報道屢見不鮮。加強(qiáng)這些重要主機(jī)系統(tǒng)的安全防護(hù)，尤其是病毒防護(hù)至關(guān)重要。但是，傳統(tǒng)的基于殺毒軟件的防護(hù)機(jī)制在工控系統(tǒng)中面臨著很多挑戰(zhàn)，其中最嚴(yán)重的就是在工控網(wǎng)絡(luò)這樣一個封閉的網(wǎng)絡(luò)環(huán)境中，殺毒軟件無法在線升級。另外，殺毒軟件對未知病毒、變異病毒也無能為力。在此情況下，基于白名單的防護(hù)技術(shù)開始出現(xiàn)。由于工控系統(tǒng)在建設(shè)完成投入運(yùn)行后，其系統(tǒng)將基本保持穩(wěn)定不變，應(yīng)用單一、規(guī)律性強(qiáng)，因而很容易獲得系統(tǒng)合法的“白名單”。通過這種方式就能夠發(fā)現(xiàn)由于感染病毒或者攻擊而產(chǎn)生的各種異常狀況。

 

4.移動介質(zhì)管控技術(shù)在工控網(wǎng)絡(luò)中，由于工控系統(tǒng)故障進(jìn)行維修，或者由于工藝生產(chǎn)邏輯變更導(dǎo)致的工程邏輯控制程序的變更，需要在上位機(jī)插入U盤等外來移動介質(zhì)，這必然成為工控網(wǎng)絡(luò)的一個攻擊點(diǎn)。例如，伊朗“震網(wǎng)”病毒就是采用U盤擺渡方式，對上位機(jī)(即WinCC主機(jī))進(jìn)行了滲透攻擊，從而最終控制了西門子PLC，造成了伊朗核設(shè)施損壞的嚴(yán)重危害后果。針對上述情況，一些針對U盤管控的技術(shù)和原型產(chǎn)品開始出現(xiàn)，包括專用U盤安全防護(hù)工具、USB漏洞檢測工具等。

 

總之，針對工控系統(tǒng)安全防護(hù)需求及工控環(huán)境特點(diǎn)，許多防護(hù)技術(shù)和產(chǎn)品正在快速研發(fā)中，甚至在部分企業(yè)進(jìn)行試點(diǎn)應(yīng)用。但是，由于這些技術(shù)和產(chǎn)品在穩(wěn)定性、可靠性等方面還未經(jīng)嚴(yán)格考驗，能否適用于工業(yè)環(huán)境的高溫、高濕、粉塵情況還未可知，再加上工控系統(tǒng)作為生產(chǎn)系統(tǒng)，一旦出現(xiàn)故障將會造成不可估量的財產(chǎn)損失甚至人員傷亡，用戶不敢冒然部署安全防護(hù)設(shè)備，因此目前還沒有行業(yè)大規(guī)模使用上述防護(hù)技術(shù)和產(chǎn)品。

 

四、主要對策建議

 

針對2015年工控信息安全總體情況，提出以下對策建議：

 

1.進(jìn)一步強(qiáng)化工控信息安全領(lǐng)導(dǎo)機(jī)構(gòu)，充分發(fā)揮組織管理職能。

 

2.對工控新建系統(tǒng)和存量系統(tǒng)進(jìn)行區(qū)別對待。對于工控新建系統(tǒng)而言，要將信息安全納入總體規(guī)劃中，從安全管理和安全技術(shù)兩方面著手提升新建系統(tǒng)的安全保障能力，對關(guān)鍵設(shè)備進(jìn)行安全選型，在系統(tǒng)上線運(yùn)行前進(jìn)行風(fēng)險評估和滲透測試，及時發(fā)現(xiàn)安全漏洞并進(jìn)行修補(bǔ)，避免系統(tǒng)投入生產(chǎn)后無法“打補(bǔ)丁”的情況。對于大量存量系統(tǒng)而言，應(yīng)在不影響生產(chǎn)運(yùn)行的情況下，通過旁路安全監(jiān)測、外邊界保護(hù)等方式，形成基本的工控安全狀況監(jiān)測和取證分析能力，徹底扭轉(zhuǎn)現(xiàn)階段對工控網(wǎng)絡(luò)內(nèi)部狀況一無所知、面對工控病毒攻擊束手無策的局面。

 

3.大力推進(jìn)工控安全防護(hù)技術(shù)在實際應(yīng)用中“落地”，鼓勵主要工控行業(yè)用戶進(jìn)行試點(diǎn)應(yīng)用，并對那些實踐證明已經(jīng)成熟的技術(shù)和產(chǎn)品在全行業(yè)進(jìn)行推廣。

 

4.建立工控關(guān)鍵設(shè)備的安全測評機(jī)制，防止設(shè)備存在高危漏洞甚至是“后門”等重大隱患。

工業(yè)網(wǎng)絡(luò)信息安全范文第5篇

［關(guān)鍵詞］智能建筑;信息安全;工業(yè)控制系統(tǒng)網(wǎng)絡(luò)

引言

建筑智能化系統(tǒng)是智能建筑的重要組成部分，為人民生活提供舒適和便利。隨著信息通訊、計算機(jī)網(wǎng)絡(luò)、樓宇控制技術(shù)的發(fā)展，大量網(wǎng)絡(luò)化的設(shè)備和系統(tǒng)進(jìn)入建筑領(lǐng)域，建筑智能化系統(tǒng)逐漸形成以工業(yè)控制網(wǎng)絡(luò)和計算機(jī)網(wǎng)絡(luò)深度交融，樓宇控制、安全防范、辦公自動化等系統(tǒng)集中配置和管理的大規(guī)模集成系統(tǒng)［1］。建筑智能化系統(tǒng)，一方面增加了建筑的舒適度，另一方面也保障了建筑及周邊的安全，便于在緊急情況下迅速響應(yīng)突發(fā)事件。涉及國家安全建設(shè)項目是社會的重要基礎(chǔ)設(shè)施，例如車站、五星級酒店、省級重點(diǎn)實驗室等。處于這些建筑中的智能化系統(tǒng)的質(zhì)量好壞不但關(guān)系到建筑的功能和可用性，有的甚至關(guān)系到人們的生命、財產(chǎn)和國家安全。因此做好建智能建筑的智能化系統(tǒng)檢驗是確保工程質(zhì)量、保障信息安全的重要基石。

1建筑智能化系統(tǒng)構(gòu)成及檢驗現(xiàn)狀

1．1建筑智能化系統(tǒng)構(gòu)成

世界上第一幢智能大廈建于1984年1月，是美國康涅狄格州哈特福德市的“城市廣場”。它是由一幢舊式大樓采用計算機(jī)技術(shù)進(jìn)行了一定程度的改造而成。改造后大樓內(nèi)的空調(diào)、電梯、照明等設(shè)備具備了監(jiān)控和控制，并提供語音通信、電子郵件和情報資料等方面的信息化服務(wù)。此后，智能建筑以一種嶄新的面貌和技術(shù)迅速在世界各地展開。“建筑智能化系統(tǒng)”在國內(nèi)工程界也稱為“弱電系統(tǒng)”，主要由智能家居系統(tǒng)、停車場管理系統(tǒng)、樓宇對講系統(tǒng)、門禁系統(tǒng)、辦公自動化系統(tǒng)、公共廣播系統(tǒng)、綜合布線系統(tǒng)、機(jī)房管理系統(tǒng)、酒店管理系統(tǒng)、有線電視系統(tǒng)、寬帶接入系統(tǒng)、電子巡更系統(tǒng)、入侵報警系統(tǒng)、視頻監(jiān)控系統(tǒng)等構(gòu)成。建設(shè)項目涉及國家安全的智能化系統(tǒng)與“弱電系統(tǒng)”的系統(tǒng)近似，按功能分為3大部分，分別是安防系統(tǒng)、樓宇集成控制系統(tǒng)和信息網(wǎng)絡(luò)系統(tǒng)，見圖1。

1．2標(biāo)準(zhǔn)及檢驗現(xiàn)狀

建筑智能化系統(tǒng)主要依據(jù)現(xiàn)行國標(biāo)進(jìn)行檢驗和驗收，部分沒有標(biāo)準(zhǔn)的系統(tǒng)依據(jù)合同中的技術(shù)指標(biāo)進(jìn)行驗收。系統(tǒng)檢驗一般在系統(tǒng)調(diào)試完成并試運(yùn)行1個月后進(jìn)行，檢驗內(nèi)容主要是系統(tǒng)的功能和性能［2］。目前建筑智能化系統(tǒng)檢驗的國標(biāo)主要有GB50339—2013《智能建筑工程質(zhì)量驗收規(guī)范》［3］，該標(biāo)準(zhǔn)在宏觀上對智能建筑工程質(zhì)量驗收提出了要求，但在實際驗收中必須加以細(xì)化才能提高可操作性。GB50348—2004《安全防范工程技術(shù)規(guī)范》［4］是我國安防領(lǐng)域的第一部內(nèi)容完整、格式規(guī)范的國標(biāo)。該標(biāo)準(zhǔn)總結(jié)了我國安防工程領(lǐng)域施工的檢驗，對工程的設(shè)計使用等各個方面提出質(zhì)量要求，但由于制定時間較早該標(biāo)準(zhǔn)中部分條款已不適用。此外，這些標(biāo)準(zhǔn)適用范圍是通用建筑和一般建設(shè)項目，其檢測項目較少，檢測要求較低，因此不能用于建設(shè)項目涉及國家安全的智能化系統(tǒng)的檢測中。

1．3存在的問題

現(xiàn)行建筑智能化系統(tǒng)在檢驗時主要存在2個問題:(1)缺乏信息安全評估。目前建筑智能化系統(tǒng)的標(biāo)準(zhǔn)和檢驗實施主要針對系統(tǒng)的功能和性能，沒有專門針對信息安全技術(shù)要求和評估方法。這導(dǎo)致系統(tǒng)在設(shè)計、施工和使用過程中缺乏信息安全技術(shù)保護(hù)手段和管理意識，存在信息安全風(fēng)險［5］。隨著系統(tǒng)集成度的提高和互聯(lián)網(wǎng)技術(shù)的應(yīng)用，建筑智能化系統(tǒng)已由傳統(tǒng)的信息網(wǎng)絡(luò)孤島，轉(zhuǎn)變?yōu)榫邆鋸V泛互聯(lián)互通和信息共享的大數(shù)據(jù)集成系統(tǒng)。系統(tǒng)中的各種設(shè)備、終端、數(shù)據(jù)庫等可以通過互聯(lián)網(wǎng)遠(yuǎn)程訪問和控制，使得系統(tǒng)的信息安全問題直接暴露在互聯(lián)網(wǎng)中，給公共安全、公司機(jī)密、個人隱私帶來嚴(yán)重威脅。涉及國家安全的建設(shè)項目一般是社會重要基礎(chǔ)設(shè)施或向社會提供基本公共服務(wù)，如果其建筑智能化系統(tǒng)被攻擊和控制，將造成重大事件。例如2012年7月的斯坦福大學(xué)附屬醫(yī)院2500名患者數(shù)據(jù)信息泄密事件，2015年2月的?？低暠O(jiān)控設(shè)備事件等等，都造成了極大的社會影響。(2)缺少針對建筑智能化系統(tǒng)信息安全的評估標(biāo)準(zhǔn)。建筑智能化系統(tǒng)中的通信網(wǎng)絡(luò)主要由計算機(jī)網(wǎng)絡(luò)和樓宇集成控制系統(tǒng)網(wǎng)絡(luò)構(gòu)成。計算機(jī)系統(tǒng)主要涉及內(nèi)部辦公、信息、業(yè)務(wù)辦理等，與普通計算機(jī)網(wǎng)絡(luò)基本相同，其信息安全評估可以參考現(xiàn)有國家標(biāo)準(zhǔn)和地方標(biāo)準(zhǔn)進(jìn)行。樓宇集成控制系統(tǒng)涉及給排水、智能照明、電梯控制系統(tǒng)、空調(diào)系統(tǒng)等，屬于工業(yè)控制系統(tǒng)范疇。工業(yè)控制系統(tǒng)與傳統(tǒng)計算機(jī)系統(tǒng)在信息安全上的主要區(qū)別是:傳統(tǒng)計算機(jī)系統(tǒng)認(rèn)為保密性的優(yōu)先級最高，完整性次之，可用性最低;而工業(yè)控制系統(tǒng)優(yōu)先保證系統(tǒng)的可用性，完整性次之，保密性的要求最低。由于工業(yè)控制系統(tǒng)與普通計算機(jī)系統(tǒng)存在以上差異，因此不能采用計算機(jī)系統(tǒng)的信息安全評估標(biāo)準(zhǔn)對工業(yè)控制系統(tǒng)進(jìn)行評估?，F(xiàn)行工業(yè)控制系統(tǒng)信息安全國家標(biāo)準(zhǔn)有GB/T30976．1—2014《工業(yè)控制系統(tǒng)信息安全第1部分:評估規(guī)范》和GB/T30976．2—2014《工業(yè)控制系統(tǒng)信息安全第2部分:驗收規(guī)范》，其適用范圍主要是工業(yè)生產(chǎn)過程控制系統(tǒng)［6］，與建筑智能化系統(tǒng)存在一定的差別，僅具有借鑒意義。

2建筑智能化系統(tǒng)信息安全的現(xiàn)狀

2．1建筑智能化系統(tǒng)的信息安全脆弱性

隨著科技的進(jìn)步，智能化系統(tǒng)中的設(shè)備和網(wǎng)絡(luò)結(jié)構(gòu)發(fā)生了很大變化，主要涉及以下3個方面:(1)嵌入式系統(tǒng)的廣泛應(yīng)用提升了系統(tǒng)的智能化水平。隨著嵌入式系統(tǒng)開發(fā)環(huán)境的優(yōu)化和技術(shù)難度的不斷降低，嵌入式系統(tǒng)在電子產(chǎn)品的設(shè)計和開發(fā)中已經(jīng)廣泛應(yīng)用，使得設(shè)備和系統(tǒng)的開發(fā)流程簡化，周期縮短，成本大幅下降。嵌入式系統(tǒng)的應(yīng)用提高了設(shè)備的智能化水平，簡化了設(shè)備互聯(lián)的復(fù)雜度，降低了系統(tǒng)集成的成本。例如，建筑智能化系統(tǒng)的重要子系統(tǒng)，安全防范系統(tǒng)，使用的監(jiān)控攝像機(jī)在10年前主要是模擬攝像機(jī)，只有圖像和聲音的記錄和傳輸功能，信號通過同軸電纜傳輸。目前嵌入式監(jiān)控攝像機(jī)已經(jīng)成為主流產(chǎn)品，不但具有模擬機(jī)的全部功能，還增加了與手機(jī)互動監(jiān)控、網(wǎng)絡(luò)存儲圖像、多協(xié)議支持等功能。在組網(wǎng)方面，嵌入式系統(tǒng)的監(jiān)控攝像機(jī)一般都支持基于TCP/IP的以太網(wǎng)連接，簡化了網(wǎng)絡(luò)結(jié)構(gòu)。(2)網(wǎng)絡(luò)技術(shù)的進(jìn)步擴(kuò)大了系統(tǒng)集成的規(guī)模。智能建筑的核心是系統(tǒng)集成，網(wǎng)絡(luò)是系統(tǒng)集成的基礎(chǔ)。目前智能建筑中除了用于電話、電視、消防的網(wǎng)絡(luò)外，還大幅增加了各種計算機(jī)網(wǎng)絡(luò)、綜合服務(wù)數(shù)字網(wǎng)、樓宇控制系統(tǒng)網(wǎng)絡(luò)等［7－9］。這些網(wǎng)絡(luò)實現(xiàn)了建筑內(nèi)各個系統(tǒng)的互聯(lián)互通，還承擔(dān)了智能建筑中部分系統(tǒng)接入互聯(lián)網(wǎng)的功能。此外與通訊網(wǎng)絡(luò)相關(guān)的設(shè)備數(shù)量和種類也逐漸增加。例如樓宇控制系統(tǒng)采用以太網(wǎng)連接和OPC技術(shù)將其房門控制系統(tǒng)、空調(diào)控制系統(tǒng)、智能照明系統(tǒng)等信息集成到統(tǒng)一平臺進(jìn)行管理。該平臺通過核心交換機(jī)與辦公系統(tǒng)和其他管理系統(tǒng)進(jìn)行數(shù)據(jù)交互，部分辦公和業(yè)務(wù)系統(tǒng)通過核心交換機(jī)連接到互聯(lián)網(wǎng)。(3)無線接入技術(shù)改變了系統(tǒng)連接方式。近年來，無線局域網(wǎng)技術(shù)和產(chǎn)品逐漸走向成熟，無線局域網(wǎng)能夠通過與廣域網(wǎng)相結(jié)合提供移動互聯(lián)網(wǎng)的接入服務(wù)。此外，采用無線局域網(wǎng)還可以節(jié)省線纜鋪設(shè)成本，降低了線纜端接不可靠問題，滿足接入設(shè)備在一定區(qū)域內(nèi)任意更換地理位置的需要。這使得無線局域網(wǎng)在智能建筑中的應(yīng)用日益廣泛。例如在智能建筑中辦公場所、公共區(qū)域等地方都提供無線接入服務(wù)，部分無線不需要認(rèn)證可直接登錄使用。新技術(shù)和產(chǎn)品的使用一方面促進(jìn)了建筑智能化系統(tǒng)的功能和性能的提高，另一方面也增加了系統(tǒng)的脆弱點(diǎn):(1)嵌入式設(shè)備和網(wǎng)絡(luò)集成給建筑智能化系統(tǒng)的信息安全帶來巨大挑戰(zhàn)。在傳統(tǒng)的建筑智能化系統(tǒng)中，網(wǎng)絡(luò)是相對封閉的，承載的數(shù)據(jù)相對隔離，設(shè)備一般由單片機(jī)控制，程序和功能相對簡單。例如樓宇的給排水系統(tǒng)一般由單片機(jī)控制，樓宇的監(jiān)控系統(tǒng)采用的是模擬監(jiān)控攝像機(jī)。這兩種系統(tǒng)的網(wǎng)絡(luò)獨(dú)立相互，使用不同的現(xiàn)場總線進(jìn)行信息傳輸。設(shè)備中沒有嵌入式系統(tǒng)，病毒和惡意攻擊難以改變設(shè)備的功能，對系統(tǒng)造成破壞。在這種情況下，即便某個系統(tǒng)中的設(shè)備故障了，基本不會對本系統(tǒng)中其他設(shè)備造成干擾，更不會影響其他系統(tǒng)和設(shè)備。現(xiàn)在，隨著技術(shù)的進(jìn)步，控制系統(tǒng)采用高級PLC，監(jiān)控攝像機(jī)使用嵌入式系統(tǒng)，控制系統(tǒng)和監(jiān)控系統(tǒng)通過以太網(wǎng)集成管理后，信息安全風(fēng)險將可能引起智能化系統(tǒng)的整體故障。其一，病毒可以通過集成管理服務(wù)器或辦公電腦傳播;其二，嵌入式系統(tǒng)中的漏洞和應(yīng)用程序中的bug可被攻擊者利用;其三，被攻陷后的嵌入式設(shè)備可能成為僵尸設(shè)備，對網(wǎng)絡(luò)其他設(shè)備發(fā)動二次攻擊;其四，攻擊者可以通過網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程攻擊，攻擊更加隱蔽。(2)無線網(wǎng)絡(luò)的使用增加了建筑智能化系統(tǒng)受到攻擊的隱蔽性。無線網(wǎng)的信號是在開放空間中傳送的，所以只要有合適的無線客戶端設(shè)備，在合適的信號覆蓋范圍之內(nèi)就可以接收無線網(wǎng)的信號。目前在智能化系統(tǒng)中，無線網(wǎng)絡(luò)主要設(shè)置在普通辦公室，員工休息房間，餐廳等區(qū)域，且部分無線網(wǎng)絡(luò)與管理或辦公內(nèi)網(wǎng)相連，僅采用簡單技術(shù)方法進(jìn)行隔離。而管理或辦公內(nèi)網(wǎng)與樓宇集成控制網(wǎng)絡(luò)存在必要的數(shù)據(jù)交換，這導(dǎo)致通過部分無線網(wǎng)絡(luò)可以進(jìn)入樓宇集成控制系統(tǒng)網(wǎng)絡(luò)。此外，由于無線接入的便利性，部分樓宇集成控制系統(tǒng)網(wǎng)絡(luò)中的設(shè)備也采用無線接入的方式，雖然這些設(shè)備在進(jìn)行無線傳輸時采用了一定的加密措施防止信息泄露，但無線接入點(diǎn)及其設(shè)備卻成為網(wǎng)絡(luò)信息安全的薄弱環(huán)節(jié)。入侵者可在較隱蔽的地方通過這類無線接入設(shè)備進(jìn)入網(wǎng)絡(luò)，然后利用技術(shù)手段發(fā)現(xiàn)網(wǎng)絡(luò)薄弱點(diǎn)，最后實施攻擊或敏感信息的竊取，造成設(shè)備失效或信息泄密。

2．2建筑智能化系統(tǒng)管理上的信息安全脆弱性

雖然智能化系統(tǒng)隨科技的發(fā)展引入了許多新的技術(shù)和功能，但對智能化系統(tǒng)的管理措施和制度卻沒有跟上技術(shù)的步伐，仍然停留在10年前的水平，總體上主要存在以下3個方面的問題:其一，信息安全管理環(huán)節(jié)存在缺失。目前，智能化系統(tǒng)的信息安全措施主要集中在辦公和業(yè)務(wù)網(wǎng)絡(luò)，樓宇集成控制系統(tǒng)網(wǎng)絡(luò)幾乎沒有信息安全管理措施，存在部分網(wǎng)絡(luò)信息安全管理環(huán)節(jié)的缺失。這使得入侵者很容易通過樓宇集成系統(tǒng)網(wǎng)絡(luò)入侵整個智能化系統(tǒng)。其二，缺乏嵌入式設(shè)備的信息安全管理措施。嵌入式設(shè)備由于使用了操作系統(tǒng)，部分設(shè)備可以看作是小型的個人電腦，但由于其安裝位置和在系統(tǒng)中的功能定位，使得管理者往往忽視了對嵌入式設(shè)備的信息安全措施，這導(dǎo)致信息安全管理的盲區(qū)。其三，無線局域網(wǎng)接入管理環(huán)節(jié)信息安全措施薄弱。為了工作方便，智能建筑中臨時搭建無線網(wǎng)絡(luò)的情況時有發(fā)生。設(shè)備通過無線接入網(wǎng)絡(luò)僅使用簡單密碼即可，其信息安全措施不足以抵御基本的入侵。由于這種臨時網(wǎng)絡(luò)的連接隱蔽性和接入的隨意性，不但難以管理，還給智能化系統(tǒng)網(wǎng)絡(luò)帶來巨大的潛在威脅。管理的薄弱環(huán)節(jié)不但進(jìn)一步加劇了系統(tǒng)的脆弱程度，還使得當(dāng)出現(xiàn)信息安全事件時相關(guān)部門難以快速響應(yīng)，事后難以進(jìn)行溯源調(diào)查和改進(jìn)。

3建筑智能化系統(tǒng)信息安全評估的實踐

為了探索建筑智能化系統(tǒng)信息安全評估方法，為智能建筑的智能化系統(tǒng)信息安全評估提供參考數(shù)據(jù)，掌握項目中存在的實際具體問題，在政府相關(guān)職能部門的授權(quán)下，湖南省產(chǎn)商品質(zhì)量監(jiān)督檢驗研究院聯(lián)合上海三零衛(wèi)士信息安全有限公司，開展了對1個5星級酒店的智能化系統(tǒng)進(jìn)行信息安全測評。由于該酒店已經(jīng)進(jìn)入運(yùn)營，因此測評主要采用網(wǎng)絡(luò)安全結(jié)構(gòu)分析、攻擊路徑分析、安全漏洞掃描、系統(tǒng)完整性檢查手段進(jìn)行現(xiàn)場信息安全評估。被評估酒店的智能化系統(tǒng)的整體網(wǎng)絡(luò)結(jié)構(gòu)如圖所示圖2酒店智能化系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)本次建筑智能化系統(tǒng)信息安全評估工作的范圍是西門子的樓宇控制系統(tǒng)、客房控制系統(tǒng)網(wǎng)絡(luò)、以及與之關(guān)聯(lián)的信息網(wǎng)絡(luò)。由于樓宇控制系統(tǒng)和客房控制系統(tǒng)中業(yè)務(wù)種類相對較多、網(wǎng)絡(luò)和業(yè)務(wù)結(jié)構(gòu)較為復(fù)雜，且酒店已經(jīng)開始運(yùn)營，因此評估主要是在不影響酒店方正常運(yùn)營的條件下進(jìn)行，包括但不限于:工業(yè)控制系統(tǒng)網(wǎng)絡(luò)、基礎(chǔ)網(wǎng)絡(luò)與服務(wù)器、關(guān)鍵業(yè)務(wù)系統(tǒng)、現(xiàn)有安全防護(hù)措施、信息安全管理的組織與策略、信息系統(tǒng)安全運(yùn)行和維護(hù)情況的評估。由于建筑智能化系統(tǒng)的信息安全評估沒有對應(yīng)的標(biāo)準(zhǔn)，因此我們參考GB/T30976．1—2014《工業(yè)控制系統(tǒng)信息安全第1部分:評估規(guī)范》、GB/T30976．2—2014《工業(yè)控制系統(tǒng)信息安全第2部分:驗收規(guī)范》、DB43/244．2—2013《建設(shè)項目涉及國家安全的系統(tǒng)規(guī)范第2部分計算機(jī)網(wǎng)絡(luò)系統(tǒng)規(guī)范》和DB43/244．7—2013《建設(shè)項目涉及國家安全的系統(tǒng)規(guī)范第7部分建筑設(shè)備管理系統(tǒng)規(guī)范》，開展評估工作。通過評估和滲透測試，我們發(fā)現(xiàn)建筑智能化系統(tǒng)主要存在以下信息安全問題:(1)嵌入式設(shè)備存在嚴(yán)重信息安全隱患。首先該酒店樓宇控制系統(tǒng)采用的是西門子的DDC，該型號的版本由于沒有進(jìn)行操作系統(tǒng)升級，存在編號為CVE－2012－0207的漏洞，遠(yuǎn)程攻擊者可利用該漏洞，借助IGMP數(shù)據(jù)包導(dǎo)致拒絕服務(wù)。其次，該DDC存在23號端口為默認(rèn)開啟，telent的默認(rèn)登錄為弱口令。(2)智能化系統(tǒng)網(wǎng)絡(luò)信息安全管理措施薄弱。第一，客房控制系統(tǒng)主機(jī)IP所在的網(wǎng)段可以連接互聯(lián)網(wǎng)，存在被遠(yuǎn)程攻擊的危險。第二，該主機(jī)的3389端口沒有關(guān)閉，由于其密碼簡單，存在被爆破的風(fēng)險。第三，通過該主機(jī)的IP地址接入后，掃描到了相鄰IP的主機(jī)中的2個MYSQL數(shù)據(jù)庫。第四，通過爆破的方式破解了這兩個數(shù)據(jù)庫的密碼，密碼為弱口令，并成功登錄數(shù)據(jù)庫。第五，該網(wǎng)段還存在考勤管理系統(tǒng)，具備門禁權(quán)限管理功能，系統(tǒng)仍然使用出廠用戶名密碼。第六，該網(wǎng)段還掃描到諸多打印機(jī)，在端口掃描中發(fā)現(xiàn)開啟了515/printer端口，21/ftp端口，通過簡單爆破得到了其出廠的ftp服務(wù)密碼。第七，Insight軟件登錄賬戶/權(quán)限與操作系統(tǒng)登錄用戶名、密碼保持一致，且均為弱密碼，第八，系統(tǒng)操作員站與工程師站沒有分離，操作員可使用工程師權(quán)限。(3)智能化系統(tǒng)網(wǎng)絡(luò)信息安全防護(hù)技術(shù)措施薄弱。第一，樓宇控制系統(tǒng)采用的是西門子的DDC和APOGEEInsight軟件，組態(tài)軟件和DDC間的通訊采用的是明文(見圖3)，且網(wǎng)絡(luò)邊界沒有防護(hù)設(shè)施，很容易實施中間人攻擊。第二，系統(tǒng)中40%的管理主機(jī)沒有安裝基本的防病毒軟件，部分管理主機(jī)已經(jīng)受到病毒感染。圖3DDC的通訊數(shù)據(jù)包(4)樓宇集成控制系統(tǒng)部分集成軟件存在軟件漏洞。該酒店采用的是西門子的APOGEEInsight軟件，存在DLL劫持漏洞，目前該漏洞已經(jīng)被西門子證實，由CVE收錄(編號為CVE－CVE－2016－3155)。雖然本次評估中發(fā)現(xiàn)的信息安全風(fēng)險為個案，但通過與系統(tǒng)維護(hù)人員及管理人員的交流，我們得知該酒店的智能化系統(tǒng)與他們工作過的酒店相比差不多，管理措施基本一致。由此可以推斷，涉及國家安全智能化系統(tǒng)的信息安全問題是普遍存在的。由于此類風(fēng)險在現(xiàn)階段沒有引起過較大的社會性事故，因此沒有被重視。針對發(fā)現(xiàn)的問題，我們提出以下建議:(1)嵌入式設(shè)備應(yīng)及時更新軟件版本，并將敏感端口設(shè)置為默認(rèn)關(guān)閉狀態(tài)。(2)合理劃分Vlan和強(qiáng)化核心路由規(guī)則。(3)網(wǎng)絡(luò)中額設(shè)備嚴(yán)禁使用默認(rèn)密碼或弱口令。(4)控制系統(tǒng)軟件應(yīng)該將系統(tǒng)操作員站和工程師站進(jìn)行分離，并用分配不同的權(quán)限進(jìn)行管理。(5)組態(tài)軟件應(yīng)及時更新，同時對應(yīng)的電腦應(yīng)安裝基本的防病毒軟件。

4結(jié)語