工业控制系统信息安全软件与监控

一、工业控制系统信息安全软件与监控架构

工业控制系统信息安全软件与监控架构按照ANSI/ISA-99.00.01企业分层模型，可绘制典型工业控制系统信息安全软件与监控架构，示意图如图1所示。

图1 典型工业控制系统信息安全软件与监控架构示意图

典型的工业控制系统包括现场设备层、现场控制层、过程监控层、制造执行系统层、企业管理层和外部网络。那么，工业控制系统信息安全软件与监控，需要考虑在现场设备层、现场控制层、过程监控层、制造执行系统层和企业管理层的部署。从图1中可以看出，在现场设备层和现场控制层，工业控制系统供应商需要为其产品配置相应的工业控制系统信息安全软件与监控；在过程监控层和制造执行系统层，工业控制系统供应商和信息安全产品供应商需要为各自产品配置相应的工业控制系统信息安全软件与监控；在企业管理层，工业控制系统信息安全软件与监控则由企业管控软件供应商配置，当然，若企业规模较小，也可以由网络信息安全产品供应商配置。

在图1中，每个设备都是作为一个端点来考虑，每个网络都必须考虑。因此，工业控制系统信息安全软件与监控必须考虑所有端点和所有网络。早期，工业控制系统信息安全软件与监控主要集中在各端点上，近几年，控制网络、信息网络的软件监控也逐步形成。

为便于分析工业控制系统信息安全软件与监控，本节按照现场设备层、现场控制层、过程监控层、制造执行系统层、企业管理层的划分，对各层中出现的工业控制系统信息安全软件与监控进行详细分析。

2.1　现场设备层信息安全软件与监控

在现场设备层，需要对总线型现场设备、无线设备和RTU进行一些信息安全软件配置。

2.1.1　总线型现场设备

对于总线型现场设备，需要按照端点来保护。通常，这种端点保护包括以下两个方面：

（1）现场设备补丁软件；

（2）总线访问控制软件。（注：目前还在开发中）

2.1.2　无线设备

对于无线设备，需要按照端点来保护。通常这种端点保护包括以下几个方面：

（1）无线设备补丁软件；

（2）数据传输加密软件协议WPA2；

（3）无线通信设备规范要求的软件。

2.1.3　RTU

对于RTU，需要按照端点来保护。通常这种端点保护包括以下几个方面：

（1）RTU补丁软件；

（2）监视、控制与数据采集要求的软件。（注：这点与下面提到的端点保护类似）

2.2　现场控制层信息安全软件与监控

在现场控制层，需要对包括数据采集与监控系统（SCADA）、分散型控制系统（DCS）、安全仪表控制系统（SIS）、可编程逻辑控制系统（PLC）的控制器或控制站进行一些信息安全软件配置。

对于每个控制器或控制站，均需要按照端点来保护。通常，这种端点保护包括以下几个方面：

（1）补丁软件

工业控制系统供应商应提供合格的相关补丁，包括产品用到的操作系统制造商和工业控制系统应用软件的安全补丁。

（2）风暴保护

对于控制器和通信模块，一旦出现网络风暴，可以通过网络过滤，阻止不支持的流量并保护各控制节点。

2.3　过程监控层信息安全软件与监控

在过程监控层，需要对包括数据采集与监控系统（SCADA）、分散型控制系统（DCS）、安全仪表控制系统（SIS）、可编程逻辑控制器（PLC）的工程师站、操作站、OPC服务器、实时数据库、监控中心等进行信息安全软件与监控配置，可分为各端点保护和工业安全监测审计平台。

2.3.1　各端点保护

对于工程师站、操作站、服务器等，均需要按照端点来保护。通常，这种端点保护包括以下三个方面软件：

（1）内置型软件 

补丁和防病毒软件

工业控制系统供应商应提供合格的相关补丁，包括产品用到的操作系统制造商和工业控制系统应用软件的安全补丁，对此层各端点也是适用的。

防毒软件进行定时查毒和杀毒，发挥入侵检测和预防的作用，确保各端点的安全。目前常见的防毒软件有McAfee、Symantec等。 

访问与账户管理软件

访问与账户管理通常采用基于用户、角色、位置的访问与账户管理，也可基于对象和属性等级进行访问与账户管理。

主机型防火墙软件

基于主机的防火墙技术是部署在工作站或控制器的软件解决方案，用于控制进出特定设备的流量。

备份与恢复软件

通过有效的灾难性恢复，避免由于事故导致系统数据和应用数据的大量丢失。同时通过系统管理特点，可选择全部备份与恢复、部分备份与恢复。

（2）基本型软件 

    审计跟踪软件

审计跟踪（audit trail），是系统活动的流水记录。该记录按事件从始至终的途径，顺序检查审计跟踪记录、审查和检验每个事件的环境及活动。审计跟踪通过日志方式提供应负责任人员的活动证据以支持职能的实现。审计跟踪记录系统活动和用户活动。系统活动包括操作系统和应用程序进程的活动；用户活动包括用户在操作系统中和应用程序中的活动。通过借助适当的工具和规程，审计跟踪可以发现违反安全策略的活动、影响运行效率的问题以及程序中的错误。

通常，审计日志包含信息如操作的时间与日期、操作的节点、操作的用户名称、操作的类型、受操作影响的对象和属性、涉及系统的其他信息。

工作站、网络和软件监控软件

工作站、网络设备的正确运行直接影响到控制系统的运行和可靠性，通过连续监控这些设备，可以主动发现一些异常行为，优化系统的可用性。

移动介质和设备信息安全软件

移动介质和移动设备的使用，直接影响系统的安全。通过扫描和监控这些移动介质和设备，可以主动阻止对系统的攻击。

（3）增强型软件

数字签名软件

系统可以为一些配置信息、报表或控制运用定义为某个用户签名，从而保证这些信息不会轻易修改。

白名单软件

通过白名单策略，在用户端和服务器端阻止未批准的软件运行。

高级访问控制软件

为方便后期维修支持，提供高级访问控制，实现安全远程访问。

2.3.2　工控审计与监测平台

工控审计与监测平台是一款专门针对工业控制系统的审计和威胁监测平台。其主要功能包括：

（1）检测针对工业控制协议的网络攻击、工控协议畸形报文、用户异常操作、非法设备接入以及蠕虫、病毒等恶意软件的传播，并实时报警。

（2）支持对工控系统通讯记录的回溯，便于后续的事故调查。

（3）与工业控制系统供应商进行整合，提取其设备运行日志信息。

工控审计与监测平台与下面讲到的管控平台是独立运作且信息共享的关系。一方面，监测审计平台为管控平台提供日志及分析数据，助其更好的监管全网系统与安全设备。另一方面，管控平台也为监测审计平台更好地运行提供监控助力，保证其运行稳定、数据真实可信。

工控审计与监测平台已开始出现并投入使用，其典型工控审计与监测平台信息示意图如图2所示。

图2 典型工控审计与监测平台信息示意图

2.4　制造执行系统（MES）层信息安全软件与监控

在制造执行系统（MES）层，需要对包括工厂信息管理系统（PIMS）、先进控制系统（APC）、历史数据库、计划排产、仓储管理等进行信息安全软件与监控配置，通常可分为各端点保护和工业安全管控平台。

2.4.1　各端点保护

对于服务器等，均需要按照端点来保护。通常，这种端点保护软件与第3.3节提到的各端点保护软件类似，在此不再展开分析。

2.4.2　工业安全管控平台

工业安全管控平台是一种对工业控制生产网和管理网中部署的系统和工控安全设备进行监控、配置和运维的产品。主要通过行为审计、事件追踪、日志管理和安全域管理等功能，感知和分析网络中的安全风险态势，提升网络安全事件的预判能力，以便于及时遏制可能的威胁。

其主要功能有：

（1）统一的安全设备及信息资产管理；

（2）全网网络及安全设备态势监视、整体安全感知；

（3）闭环流程的事件处理管控。

工业安全管控平台已开始出现并投入使用，其典型工业安全管控平台示意图如图3所示。

图3 某系统工业安全管控平台示意图

2.5　企业管理层信息安全软件与监控

在企业管理层，需要对包括财务管理、销售管理、人事管理、供应链管理等进行信息安全软件与监控配置，这些均需信息技术部门负责。由于工业安全管控平台并不能完全满足大型厂级集团级企业用户对工业控制系统信息安全管理的需求，这时它们可以接入GRC企业管控平台。因此，在这层的信息安全软件与监控配置，一般可分为工业安全管控平台和GRC企业管控平台。

2.5.1　工业安全管控平台

通常，这种工业安全管控平台软件与第3.4节提到的工业安全管控平台软件相同，在此不再展开分析。

2.5.2　GRC企业管控平台

GRC（Governance, Risk and ComplianceManagement）的概念在国内才刚刚兴起，但其在国外已经发展相当长时间。GRC以美国安然、法国兴业银行等一系列反面教材为触发点，以《萨班斯法案》（Sarbanes-Oxley Act ，简称SOX法案）为源泉，贯穿企业治理、风险管理和合规经营等各方面。随着企业的发展，以整体管控、战略执行为目标，实现企业管控、风险规避、战略绩效、业务流程管理及包括质量、安全、环境等在内各种符合性管理，服务于管理层和决策层的GRC管控系统被认为是企业在日益复杂的竞争环境下赖以生存和发展的必然和有效选择 。

中国经济快速增长带动中国企业不断做大、做强，并迈出国门，但在扩张并走向世界的过程中，中国企业逐渐暴露出低效率低绩效、管控能力薄弱、不合规不透明等诸多管控问题，不少企业也因此遭受了重大损失，GRC正是很好解决这些问题的管理方法与工具。

（1）GRC完整定义

GRC是在企业的各经营业务之上，以战略为中心，以流程管理为基础，通过绩效管理和风险内控管理措施，对各项经营管理过程进行管理和控制，保障战略和经营目标达成的管理方法和工具的总称。GRC涉及以下三个组成部分： 

Governance（治理/管控）：建立完整的制度安排和治理框架，公平对待各利益相干者，制定公司战略目标和政策，监督绩效，遵从法律及制度规定，透明和披露经营状况，对各项经营管理过程本身进一步进行管理和监督。 

Risk Management（风险管理）：对所有业务和法规风险进行结构化的识别、评估、缓解、监视和控制。

Compliance Management（符合性管理）：通过内部控制管理机制和体系，确保各项制度和法规得以遵从、政策得以贯彻、各项经营和管理目标得以有效达成。

（2）GRC治理模型

GRC管控的主要目的是保障基于企业管控和治理的战略执行，因此企业治理是一个结果，更是一个手段。而对齐战略目标，以业务运营为基础，注重业务执行与监控，关注防范风险与合规，并引入绩效考核的企业管控闭环（如图4所示）保证了企业管控的有效性，也保证了企业治理的持续性。

图4 企业管控闭环模型图

（3）GRC与工业控制系统信息安全

针对快速崛起与发展的中国企业来说，GRC是用于改善企业做强、做大过程中所面对突出管理问题（如经营绩效、集团管控、合规透明）的管理方法体系和工具集合。

GRC管控软件是一个集成化的解决方案，其大致可以包含决策支持（集团管控、董事会治理、领导交办、领导驾驶舱、办公平台、决策系统等）、战略绩效管理（业务战略体系、全面预算管理、平衡计分卡、战略监控、战略报告、绩效管理、人力资源管理、报告管理等）、流程管理（业务流程管理、流程绩效、工作任务管理、协同管理等）、风险管理（风险管理、审计管理、合同管理、安全管理、质量管理等）、合规管理（SOX合规、行业合规、内控系统等）、信息安全管理（信息安全合规、信息安全风险管理、访问控制管理、信息安全服务、安全与目录管理、策略管理等）及展现（门户、与其它业务系统的集成等）等几大类。通常，GRC的集合视图如图5所示。

图5 GRC的集合视图

工业控制系统信息安全，作为信息安全管理的重要组成部分，基于定义商业影响、理解常规和运作风险、流程化处理等方面考虑，在GRC管控平台信息安全管理模块中，提供以下解决方案： 

l 建立信息安全策略和标准； 

l 检测和响应攻击； 

l 识别和更正信息安全缺陷； 

l 执行风险评估和监控。

通过以上解决方案，实现降低整个信息安全风险，尽可能降低由信息安全事件和符合性带来的成本开销，以及精简识别、测量和监控信息安全流程。

一般地，GRC企业管控平台中关于信息安全管理的主要内容包括以下几点： 

l 信息安全问题管理； 

l 信息安全与策略程序管理； 

l 信息安全常规管理； 

l 信息安全控制保障； 

l 信息安全漏洞程序；

l 信息安全事件管理；

l 信息安全运作与违规管理； 

l 信息安全风险管理； 

l 外设部件互连（PCI）管理。

GRC企业管控平台中信息安全管理的监控画面有多种，取决于用户信息安全管理的需求。 GRC-信息安全风险管理示意图如图6所示。

图6 GRC-信息安全风险管理示意图

三、工业控制系统信息安全软件与监控趋势

工业控制系统信息安全已然引起工业控制系统用户密切关注，工业控制系统信息安全软件与监控是工业控制系统信息安全必不可少的环节。在工业现代化快速发展的今天，工业控制系统信息安全软件与监控显得尤为重要，工业控制系统供应商、网络信息安全产品供应商、企业管控软件供应商、工业控制系统用户都必须认真对待工业控制系统信息安全软件与监控。

从工业控制系统市场发展和市场出现的来自不同工业控制系统信息安全软件与监控来看，工业控制系统信息安全软件与监控产品正逐步走向规范化、集成化和产品更完善的趋势。

3.1　信息安全软件与监控规范化

工业控制系统信息安全事件的频繁发生以及其导致的严重后果，必然引起各国政府和相关工业控制系统用户的高度重视，如何有效推进工业控制系统信息安全，加强管理工业控制系统信息安全，应用软件与监控产品是大势所趋。那么，这必将对软件与监控产品提出规范化的要求。

正如前文所述，工业控制系统供应商、信息安全产品供应商和企业管控软件供应商都在努力开发这些工业控制系统信息安全软件与监控产品，目前市场上的软件与监控产品种类繁多，对于工业控制系统用户而言，如何正确选择配置是关键，因此，市场上也需要更加规范化的要求。显然，工业控制系统信息安全软件与监控产品规范化是必然的大趋势。

3.2　信息安全软件与监控集成化

由于工业控制系统中的产品和网络多种多样，工业控制系统供应商会为其工控产品开发自身设备的软件与监控，信息安全产品供应商会为其网络产品开发自身设备的软件与监控，那么，工控产品和网络产品信息安全软件与监控只有做好集成，才可以统一集成至企业管控软件供应商的监控平台。因此，工业控制系统信息安全软件与监控必须集成设计。

同时，工业控制系统信息安全软件与监控是由工业控制系统供应商、信息安全产品供应商和企业管控软件供应商各自开发设计，如何将这些软件与监控整合在一起，这是对工业控制系统信息安全有效管理提出的要求，也是工业控制系统用户提出的要求。

3.3　信息安全软件与监控更完善

从上面几节介绍可以看出，目前出现的工业控制系统信息安全软件与监控还在起步阶段，随着工业控制系统信息安全技术的深入开发，其软件与监控将走向更完善。

（1）信息安全技术软件更完善

工业控制系统信息安全技术有很多种类，目前市场上出现的工业控制系统信息安全技术软件还是比较有限的。因此，工业控制系统信息安全软件将有待于进一步推进和完善。

（2）信息安全监控更完善

目前，工业控制系统信息安全监控市场纷繁复杂，需要工业控制系统供应商、网络信息安全产品供应商和企业管控软件供应商各自开放并兼容设计，努力建立一个统一的信息安全监控，为工业控制系统用户节约时间、人力和物力，实现工业控制系统信息安全的集中监控。因此，工业控制系统信息安全监控需要工业控制系统供应商、信息安全产品供应商和企业管控软件供应商通力合作，并不断走向完善

四、结语

通过上述工业控制系统信息安全软件和监控分析可知，工业控制系统信息安全软件和监控已逐渐形成，在整个工业控制系统信息安全方案部署中，是不可缺少的部分。只有认真而系统地学习和运用这些软件与监控，才能有效解决工业控制系统信息安全事件频发，保证工业控制系统正常运行，为国民经济建设和发展保驾护航。

同时，我们也应该看到，工业控制系统信息安全软件和监控部署还刚刚起步。随着工业控制系统不断发展和广泛运用，其信息安全软件和监控必将快速推进。因此，我们应对工业控制系统信息安全软件和监控统筹兼顾，积极运用和部署，真正做好工业控制系统信息安全建设。

摘自《自动化博览》2018工业控制系统信息安全专刊（第五辑）