DCS系统安全风险应对

1、CS 系统安全风险应关于摘要CS 系统安全分析当前工业控制系统存在的风险，提出部分在现关键词：CS 系统安全；防火墙；网络架构CSSCAA（Supervisory Control An ata Acquisition）数据采集与监控系典范的CS人机接口）SCAA（Supervisory Control An ata Acquisition）数据采集与监控系HMI可以关于现场的运行设备进行实时监视和控制，以实现数据采集、设备控制、测量、参数现场的运行设备进行实时监视和控制，以实现数据采集、设备控制、测量、参数调节以及各类信号报警等各项功能。调节以及各类信号报警等各项功能。与传统的信息系统安全需求

2、不同，CS系统设计需要兼顾应用场景与控制管临的通病。CS系统安全风险分析及应关于方法实施相应的安全保证策略是确保CS系统稳定运行的有效手段。操作系统与外接设备交互的风险性安全防御措施的CSCS策略。应关于方法：制定关键设备信息安全的评测制度，防范关键设备中的预留后门移动存储介质的使用应当契合管理规则。YOKOGAWA CENTUM CS3000 Win-XP 环境下存在的安全1000 YOKOGAWA CENTUM CS3000 集散控制系统，CS3000 Winows 平台，从而给其自身的系统安全性带来较大隐患。为此，归纳了当前运行版本的CS3000 系统在工程应用中涉及到的安全问题的实际处

3、理方法。FCS0101FCS0107机柜间Switch 1Switch 2Switch 1Switch 2HIS0145HIS0160HIS0163HIS0164中控室扶助工程师站OPC主工程师站该装置的控制系统软件版本为 R3.08 ， 其操作系统为 Winows XP AI 5378 1820 706 711 FCS0101FCS0107机柜间Switch 1Switch 2Switch 1Switch 2HIS0145HIS0160HIS0163HIS0164中控室扶助工程师站OPC主工程师站扶助机柜间3 MpWinows 系统设置。CS 系统安全措施做得不够完备，未将与Winows-X

4、P CS3000 系统提供安全的运行环境。Winows XP Professional USB 接口均处于“自动播放” 状态，即使在“CENTUM esktop”环境下，当放入光盘或插入移动存储设备时Winows 95 s sPl 平台赋Winows Ms 键”的组合功能未被完全屏蔽，用户可经过“Winows 键”的组合功能关于系统设置进行修改。CS 安全性。改进措施：“Winows 键”调出开始菜单解决方案将操作站的普通键盘改为专门用于操作的操作员键盘1000 万吨炼油系统在项目建设初期就考虑到上述安全隐患，关于一切的操作站都配置了操作员键盘（s”键，一方面解决了安全winows 行相关设置

5、：禁用键盘上的“Winows 键”组合功能T 1 键”即被禁用。隐藏“CENTUM”用户权限下开始菜单中影响系统安全的无关组件Utilityesktop”并且登陆一次后，重新进CENTUM 屏蔽“CENTUM”用户权限下由任务栏图标进入硬盘目录的途径cesktop”环境后，任务栏图标消失，无法由该处进入硬盘目录。取消“CENTUMUSB 接口的自动播放功能cCENTUM esktop”环境后，自动播放功能即可取消。USB 接口的存储设备接入功能由于小型移动存储设备的普及化，U 应尽力避免因移动存储设备带来的病毒感染。USB 接口的存储设备接入功能Tt”修改为“USB 接口的存储设备接入功能即被

6、去除。usb 移动存储设备点击开始在运行关于话框中输入 regei t 打开注册表编辑器，依次展开HKEY_LOCAL MACHINESYSTEMcurrentControlSetServicesusbehci双击右面的“Start”键，把编辑窗口中的“数值数据“改为“4”(提示： “Start”这个键是 USB 设备的工作开关，默认设置为“ 3”表示手动， “2”是表示自动，“4”是表示停用)，把基数选择为“十六进制”就可以了。这时再插入 usb 移动存储设备，在“我的电脑”里显示不出usb 移动存储设备的盘符，在地址栏内输入盘符也提示无法访问。此方法在实际使用中应注意的是，关于于需要使用的

7、 USB 接口，在完成上述设置后，会导致重新拔插 USB 接口后设备无法使用。工控平台的风险性随着 TCP/IP行。目前，多数CS网络仅经过部署防火墙来保证工业网络与办公网络的相关于隔离，各个工业自动化单元之间缺乏可靠的安全通信机制，例如鉴于COM 编程规矩的OPC接口简直不可能使用传统的IT防火墙来确保其安全性。数据加密效果不控制系统的安全防御能力十分有限。应关于方法：就目前而言，传统的IT防火墙已无法满足工业控制系统的需求， 但越来越多的控制系统厂家注重网络安全，在控制层面就加装了防火墙。同时， 市面上也有工业级防火墙的出现，针关于控制层的网络协议作出相应的防护，关于Mobus和OPC的协

8、议内容进行检查和连接管理。不管是控制系统本身自带的防火墙还是专业的工业级防火墙，都可以针关于工控平台的风险性起到填补作用。以下为Honeywell公司工控平台风险性应关于方案：HoneywellPKS 进程控制系统是霍尼韦尔最新一代进程自动化系统，它的FTE容错以太网提供了HONEYWELL 的四路冗余通讯专利技术，可经过网络通讯接口卡与C300PC 连接，避免了因单点故障而引起的系统瘫痪，大大提高了系统性能。FTE具有出色鲁棒性连网方案的特点：FTE 节点之间有4 个通信路径，关于电缆和电子设备中的各种多重故障具有容错功能，关于PC 应用程序具有透明性，并且节点切换至其他网络所用的时间可能超

9、过30 秒钟，同时取决于网络的复杂性和Honeywell 的FTE 网络使用单一网络，不需要服务器和工作站来1 FTE 由多路选择逻辑单网FTEA一个支持FTEB。其网络结构如下图所示PKS系统为保证其控制网络安全性，采用了Control 功能块，它支持C C和现场接口模块提供9口FTEC300及C系列现场端口模块都必需与Control PKS Control 与PKS L1L2Cisco 24V 之间只可并且接不可串接。当发生故障时，指示灯显示。Control 输入输出端子板可连接控制器，C系列现场接口模块及FTE网络交下图为Control Firewall与控制器的连接示意图：Contro

10、l 可以防止系统出现电脑安全泄密，保证系统可用性；可以防Honeywell公司还可以为客户提供专业的防病毒专业技术服务，以保护服务器、操作站、工程师站等避免受到安全侵害。其具体工作如下：1、防病毒系统的部署。经过三层交换机或防火墙保证不同控制系统之间的和组态工作；在一切设备中安装防病毒引擎。2、防病毒软件与操作系统补丁测试。保证防病毒软件与操作系统补丁与控制系统相兼容。3、防病毒软件的更新。厂商会定期为客户提供经过测试病毒库更新或补丁的V、C光盘。工业级防火墙功能（TOFINO）：1、防火墙LSM：指挥和控制工业网络的通信；2Mobus 和 OPC协议增强型LSM:Mobus和OPC的协议内容

11、检查和连接管理；3、VPN LSM:采用VPN（虚拟专用网络）保证了远程通信的信息安全；4、安全资产管理LSM：跟踪和识别网络设备；5、事件记录器LSM：可靠地记录一切安全事件日志和警报。针关于信息层（Information zone）与操作站层（Station zone）之间， OPC 接口。针关于操作站层面（Station zone）各个节点之间的相互影响，我们将OPCServer，工程师站以及高级应用先控站这三个节点分为一组，经过Tofino模块进行隔离。针关于控制器防护层（Controller zone），将自身保护能力较弱的控制离，该层面通讯通常采用制造商专有协议，且是冗余结构。丁管理效果始终无法令人满意，考虑到CS补丁升级所存在的运行平台与软件版本限制，以及系统可用性与连续性的硬性要求，CS系统管理员绝不会轻易安装非CS设备制造商指定的升级补丁。与此同时，工业系统补丁动辄半年的补丁发动化与控制设备提供商西门子就曾因漏洞公布不即时而饱受质疑。相关信息发布，来防范工业控制系统的漏洞。网络的风险性通用以太网技术的引入让CSCSCS应关