【推荐下载】工业控制SCADA系统的信息安全研究(二).pdf

张小只智能机械工业网

工业控制SCADA系统的信息安全研究（二）

２、工业控制SCADA系统的安全防护体系。

 工业控制SCADA系统的信息安全防护体系包含：在总体安全策略指导下，建立

SCADA系统的安全技术体系，进行SCADA系统控制中心、通信网络和现场设备的安

全防护，确保控制中心数据安全、网络传输数据的完整性、必威体育官网网址性和可用性以及站控

设备的安全防护能力。２.１总体安全策略

 SCADA系统的总体安全策略主要包含以下几个方面：

 １）安全分区，隔离防护。安全分区是SCADA安全的基础，主要包括对控制中心

和站控系统进行安全区域的划分，应根据系统的安全性、实时性、控制与非控制等方

面的特点，将安全需求类似的系统、计算机、网络设备等划分在同一安全区域中，实

行统一安全防护；应主要进行控制中心和站控系统生产相关系统与对外web应用服务

系统的隔离、生产相关系统中控制系统与非控制系统的隔离等。采用工业防火墙对各

安全区中的业务系统进行隔离保护，加强不同安全区域间的访问控制措施。

 ２）专用通道。认证加密。在控制中心和站控系统的纵向专用通道上建立生产控制

专用数据网络。在数据网络中添加工业防火墙实现与对外服务网络的物理隔离。实现

多层次的保护；同时应在纵向通信时对控制中心和站控中心实现双向身份认证，确保

通信双方的合法身份,并根据纵向传输通道中数据的必威体育官网网址性要求，选择不同的安全策

略。实现不同安全策略的防护机制。

 3）实时报警。报警的首要问题是把网络安全问题消灭在萌芽中，同时通过对报警事

件的记录存储，为企业网络解决部分已发生过的安全事件提供分析依据，告别主观经

验推断的模式。怎样才能及时发现网络中存在的感染及其它问题，准确找到故障的发

张小只机械知识库

张小只智能机械工业网

生点，是维护控制网络安全的前提。

 2.2安全技术体系

 SCADA系统安全解决方案在技术上系统性地考虑了控制中心和各站控系统之间的网

络纵向互联、横向互联和数据通信等安全性问题，通过划分安全区、专用网络、区域

隔离和通讯检查等多项技术从多个层次构筑纵深防线，抵御网络黑客和恶意代码攻

击。

 1）边界安全防护。如图2所示

 在SCADA系统边界控制中心与站控系统之间增加工业防火墙并安装Firewall插件。

通过Friewall插件的组态对控制中心与站控系统之间的纵向边界进行认证、加密、访

问控制等措施实现安全防护，数据传输的机密性、完整性。

 2）站控系统网络安全防护。

 如图3所示，对操作站和PLC控制器与站控控制网络隔离。操作站较多接触移动介

质，感染病毒机率较大，增加防火墙后与控制网络进行隔离，即使感染病毒不至于扩

散。

 当控制系统通过以太网与RTU或其它第三方系统连接时，在两者之间添加防火墙。

 并安装Firewall和ModbusEnforcer插件（操作站、RTU和PLC防护）；

 通过对Firewall及ModbusEnforcer插件的组态，通信规则只允许DCS制造商的通

讯协议以及正确的Modbus协议功能码访问对应的寄存器地址才能通过，其它任何病毒

或其它非法访问都被阻止，这样来自防护区域内的病毒感染不会扩散到外面的网络中

去，来自外部的攻击也不会影响到防护区域内的设备，提供防火墙及网络交通控制功

能的软插件，符合ANSI/ISA-99.00.02的网络分段要求，达到区域隔离目标。

 3）SCADA信息数采安全防护解决方案

张小只机械知识库

张小只智能机械工业网

 采用工业防火墙解决方案，在OPCServer和控制中心之间增加工业防火墙。并安装

Firewall插件和OPCEnforcer插件；

 通过对Firewall及OPCEnforcer插件的组态管控OPC服务器及授权客户端之间的数

据通信，并且应用专有技术动态跟踪OPC通信所需端口，同时工业防火墙的