前言：尋找寫作靈感？中文期刊網(wǎng)用心挑選的智能水務(wù)工控網(wǎng)絡(luò)信息安全方案設(shè)計，希望能為您的閱讀和創(chuàng)作帶來靈感，歡迎大家閱讀并分享。

摘要:針對目前智能水務(wù)工控網(wǎng)絡(luò)存在的安全問題與風(fēng)險，提出并系統(tǒng)設(shè)計了智能水務(wù)工控網(wǎng)絡(luò)信息安全方案，通過“白名單”運(yùn)行管理機(jī)制，對工控網(wǎng)絡(luò)流量、工作站軟件狀態(tài)實現(xiàn)監(jiān)控，構(gòu)筑智能水務(wù)工控系統(tǒng)“安全白環(huán)境”。

關(guān)鍵詞:智能水務(wù);等保2.0;“白名單”;工控網(wǎng)絡(luò)信息安全

2012年7月，國務(wù)院在《關(guān)于大力推進(jìn)信息化發(fā)展和切實保障信息安全的若干意見》的報告中提出要將水務(wù)系統(tǒng)作為智慧城市建設(shè)進(jìn)程中的重要組成部分。住房與城鄉(xiāng)建設(shè)部的《關(guān)于國家智慧城市2014年度試點名單的通知》中進(jìn)一步將“智慧水務(wù)”列為“智慧城市”專項建設(shè)內(nèi)容之一。因此，各個城市都積極建設(shè)智能水務(wù)系統(tǒng)，并采用國際性大公司的智能水務(wù)控制系統(tǒng)平臺，從而實現(xiàn)“智慧水務(wù)”、“智慧城市”的國家發(fā)展戰(zhàn)略。工業(yè)控制系統(tǒng)作為“智慧水務(wù)”的重要組成部分，其重要性不言而喻，然而大量工業(yè)控制系統(tǒng)依賴國外進(jìn)口的弊端也逐步顯現(xiàn)，特別是工控信息安全風(fēng)險在新一代信息技術(shù)發(fā)展的背景下日益突出。

1智能水務(wù)工控網(wǎng)絡(luò)安全問題與風(fēng)險

近兩年國家“兩化融合”（工業(yè)化、信息化）標(biāo)準(zhǔn)的提出，以及工業(yè)互聯(lián)網(wǎng)的積極推進(jìn)建設(shè)，工控安全也被提高到了前所未有的高度。水務(wù)安全直接關(guān)系國計民生，因此自來水供水企業(yè)中帶有工控系統(tǒng)運(yùn)行的智能水務(wù)控制系統(tǒng)信息安全的重要性也提升到了非常重要的位置。目前我國智能水務(wù)生產(chǎn)控制網(wǎng)絡(luò)安全防護(hù)滯后于系統(tǒng)的建設(shè)速度，生產(chǎn)控制系統(tǒng)缺乏自身的安全性設(shè)計。在信息安全意識、策略、機(jī)制、法規(guī)標(biāo)準(zhǔn)等方面都存在不少問題。

1.1工控網(wǎng)絡(luò)系統(tǒng)本身存在一定的脆弱性

（1）已建項目主要軟硬件多為進(jìn)口，可能存有后門；（2）關(guān)鍵性設(shè)備的安全門檻設(shè)置不夠，易被網(wǎng)絡(luò)攻擊所利用；（3）部分設(shè)備網(wǎng)絡(luò)借用公共電信網(wǎng)絡(luò)和互聯(lián)網(wǎng)組網(wǎng)，增加了網(wǎng)絡(luò)接入風(fēng)險。

1.2工控網(wǎng)絡(luò)工作站操作人員技術(shù)手段與安全意識面臨考驗

（1）違規(guī)操作（U盤濫用、軟件亂裝）成為常態(tài)，缺少有效的訪問控制手段；（2）取水泵房、水質(zhì)監(jiān)測廣泛使用無線通信，易被搭線監(jiān)聽、竊密和干擾；（3）工作人員缺乏定期信息安全培訓(xùn)，不能適應(yīng)工控信息安全變化發(fā)展要求。

1.3工控網(wǎng)絡(luò)安全防護(hù)體系不能適應(yīng)新技術(shù)發(fā)展

（1）關(guān)鍵設(shè)備資產(chǎn)底數(shù)不清楚，信息記錄不完備；（2）嚴(yán)重漏洞難以及時處理，系統(tǒng)軟件補(bǔ)丁管理困難，難以應(yīng)對APT攻擊；（3）兩化融合加速了網(wǎng)絡(luò)安全風(fēng)險的暴露，沒有形成應(yīng)對的策略。針對目前的智能水務(wù)生產(chǎn)控制網(wǎng)絡(luò)安全的現(xiàn)狀，以及國家“兩化融合”的推進(jìn)，建立有效的智能水務(wù)生產(chǎn)控制網(wǎng)絡(luò)安全體系勢在必行。

2智能水務(wù)系統(tǒng)工控網(wǎng)絡(luò)防護(hù)的等級要求

2019年5月10日，國家市場監(jiān)督管理總局、國家標(biāo)準(zhǔn)化管理委員會信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求及測評要求（等保2.0），該標(biāo)準(zhǔn)按保護(hù)等級要求對工業(yè)控制網(wǎng)絡(luò)系統(tǒng)做了詳細(xì)的說明。“等保2.0”是在2008年全國重要信息系統(tǒng)安全等級保護(hù)定級工作的基礎(chǔ)上進(jìn)行的進(jìn)一步升級。網(wǎng)絡(luò)安全等級保護(hù)對網(wǎng)絡(luò)進(jìn)行分等級保護(hù)、分等級監(jiān)督，是將信息網(wǎng)絡(luò)、信息系統(tǒng)、網(wǎng)上的數(shù)據(jù)和信息，按照重要性和遭受損壞后的危害性分成五個安全保護(hù)等級。公安機(jī)關(guān)對第二級網(wǎng)絡(luò)進(jìn)行指導(dǎo)，對第三、第四級網(wǎng)絡(luò)定期開展監(jiān)督、檢查。等保2.0覆蓋工業(yè)控制系統(tǒng)、云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)等新技術(shù)新應(yīng)用。“工業(yè)控制系統(tǒng)”作為新列入的標(biāo)準(zhǔn)，構(gòu)成了“安全通用要求+新型應(yīng)用安全擴(kuò)展要求”的要求內(nèi)容。安全通用要求針對共性化保護(hù)需求提出，等級保護(hù)對象無論以何種形式出現(xiàn)，必須根據(jù)安全保護(hù)等級實現(xiàn)相應(yīng)級別的安全通用要求。安全擴(kuò)展要求針對個性化保護(hù)需求提出，需要根據(jù)安全保護(hù)等級和使用的特定技術(shù)或特定的應(yīng)用場景實現(xiàn)安全擴(kuò)展要求。新標(biāo)準(zhǔn)“基本要求、設(shè)計要求和測評要求”分類框架統(tǒng)一，形成了“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”、“安全計算環(huán)境”和“安全管理中心”支持下的三重防護(hù)體系架構(gòu)。其次，新標(biāo)準(zhǔn)強(qiáng)化了可信計算技術(shù)使用的要求，把可信驗證列入各個級別并逐級提出各個環(huán)節(jié)的主要可信驗證要求。工業(yè)控制系統(tǒng)安全擴(kuò)展要求章節(jié)針對工業(yè)控制系統(tǒng)的特點提出特殊保護(hù)要求。對工業(yè)控制系統(tǒng)主要增加的內(nèi)容包括“室外控制設(shè)備防護(hù)”、“工業(yè)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全”、“撥號使用控制”、“無線使用控制”和“控制設(shè)備安全”等方面。具體如表1所示：由表1可知，第一級與第二級因為是屬于一般網(wǎng)絡(luò)，控制點與要求項少一些，第三第四級為重要與特別重要網(wǎng)絡(luò)，因此控制點項上有明顯增加。根據(jù)智能水務(wù)系統(tǒng)工控網(wǎng)絡(luò)的重要性，防護(hù)等級定級要求應(yīng)為三級。

3智能水務(wù)系統(tǒng)工控網(wǎng)絡(luò)信息安全架構(gòu)體系

基于國家“等保2.0”的要求，本文提出了通過建立“白名單”運(yùn)行管理機(jī)制的智能水務(wù)系統(tǒng)工控網(wǎng)絡(luò)信息安全方案，該方案按三級保護(hù)進(jìn)行設(shè)計。

3.1“白名單”機(jī)制運(yùn)行原理

運(yùn)用“白名單”的思想，通過對工控網(wǎng)絡(luò)流量、工作站軟件運(yùn)行狀態(tài)等進(jìn)行監(jiān)控，運(yùn)用大數(shù)據(jù)技術(shù)收集并分析流量數(shù)據(jù)及工作站狀態(tài)，建立工控系統(tǒng)及網(wǎng)絡(luò)正常工作的安全模型，進(jìn)而構(gòu)筑水務(wù)工控網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)“安全白環(huán)境”，如圖1所示。（1）只有可信任的設(shè)備，才允許接入控制網(wǎng)絡(luò)；（2）只有可信任的命令，才能在網(wǎng)絡(luò)上傳輸；（3）只有可信任的軟件，才能在主機(jī)上執(zhí)行。該方案創(chuàng)新的采用“軟可信”計算技術(shù)，降低方案成本，提高實用性，通過機(jī)器自學(xué)習(xí)“白環(huán)境”智能建模技術(shù)，降低維護(hù)成本，提高易用性；高速工控協(xié)議深度包解析技術(shù)，具備高安全性，低時延影響。

3.2工控安全縱深防御體系

該方案針對現(xiàn)有智能水務(wù)工控系統(tǒng)中邊界防護(hù)、訪問控制策略、入侵和異常行為監(jiān)測等薄弱環(huán)節(jié)，以及工控系統(tǒng)PLC控制器末端防護(hù)缺失等問題進(jìn)行重點關(guān)注，部署相關(guān)安全軟硬件設(shè)備提升防御能力，網(wǎng)絡(luò)拓?fù)淙鐖D2所示。智能水務(wù)工控網(wǎng)絡(luò)系統(tǒng)主要分為企業(yè)資源層、生產(chǎn)管理層、過程監(jiān)控層以及現(xiàn)場控制層。企業(yè)資源層通過TCP/IP協(xié)議與外部互聯(lián)網(wǎng)相連，設(shè)計方案通過在企業(yè)資源層與生產(chǎn)管理層之間部署工控隔離網(wǎng)閘，截斷TCP連接，對工業(yè)協(xié)議（OPCClassic、ModbusTCP、DNP3）數(shù)據(jù)進(jìn)行數(shù)據(jù)交換，能夠?qū)崿F(xiàn)對工業(yè)應(yīng)用數(shù)據(jù)的深度解析控制，起到邊界隔離，縱深安全防護(hù)的作用。在核心交換機(jī)上部署工控檢測審計系統(tǒng)，通過對網(wǎng)絡(luò)訪問及工控協(xié)議進(jìn)行檢測與深度解析，實時監(jiān)測工業(yè)控制系統(tǒng)的運(yùn)行，總結(jié)沒有威脅的“白名單”，并進(jìn)行實時更新，確保智能水務(wù)工控系統(tǒng)運(yùn)行安全。在生產(chǎn)管理與過程監(jiān)控層界面部署工控主機(jī)防火墻，依據(jù)程序特征建立操作系統(tǒng)運(yùn)行“白環(huán)境”，并且禁止非授信程序運(yùn)行，避免因無關(guān)程序的運(yùn)行與升級而帶來安全性風(fēng)險。在現(xiàn)場控制層面的PLC控制器末端部署工控防火墻，通過對工業(yè)協(xié)議解析模塊來對協(xié)議進(jìn)行過濾和解析，確保控制PLC的程序代碼的安全性，得到最小化的訪問控制。該設(shè)計方案已經(jīng)在某地區(qū)的自來水廠部署運(yùn)行，現(xiàn)場反饋良好，達(dá)到了部署的目的。

4結(jié)語

隨著智慧城市的進(jìn)一步發(fā)展，“智慧水務(wù)”的實施，國家工業(yè)互聯(lián)網(wǎng)的進(jìn)一步推進(jìn)，以及國家“等保2.0”的，全面提高自來水廠智能水務(wù)工控網(wǎng)絡(luò)系統(tǒng)的整體安全性是形勢所迫，大勢所趨.只有提高設(shè)備、系統(tǒng)、網(wǎng)絡(luò)的安全性、可靠性、穩(wěn)定性，才能為水務(wù)安全生產(chǎn)保駕護(hù)航，人民生活滿意度才能得到提升。本文設(shè)計的智能水務(wù)工控網(wǎng)絡(luò)信息安全方案，為實現(xiàn)這一目標(biāo)提供了很好的借鑒。

參考文獻(xiàn)

[1]王寶令,張美玲,張青山.智慧水務(wù)建設(shè)評價指標(biāo)體系的構(gòu)建[J].沈陽建筑大學(xué)學(xué)報,2018(20):155-161.

[2]郭啟全等.網(wǎng)絡(luò)安全法與網(wǎng)絡(luò)安全等級保護(hù)制度培訓(xùn)教程[M].北京：電子工業(yè)出版社,2018:135-137.

[3]高維娜,楊旭升.智慧水務(wù)新構(gòu)想[J].物聯(lián)網(wǎng)技術(shù),2016(6):91-92.

[4]田雨,蔣云鐘,楊明祥.智慧水務(wù)建設(shè)的基礎(chǔ)及發(fā)展戰(zhàn)略研究[J].中國水利,2014(20):14-17.

作者:陳夏裕 袁鍵 章明飛 范海健