航天天盾護航工業(yè)控制系統(tǒng)安全

隨著信息化與工業(yè)化深度融合，以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)如SCADA系統(tǒng)、DCS系統(tǒng)和PLC等目前已廣泛應(yīng)用于工業(yè)基礎(chǔ)設(shè)施的各個領(lǐng)域，特別是在電力、石油、化工、水利、航天軍工等涉及國家重要利益的基礎(chǔ)建設(shè)行業(yè)，重要的設(shè)施設(shè)備都是依靠工業(yè)控制系統(tǒng)來實現(xiàn)自動化作業(yè)。而目前，大部分工控系統(tǒng)核心控制模塊從國外引進，國外產(chǎn)品已占領(lǐng)大部分市場，如PLC國內(nèi)產(chǎn)品市場占有率不到1%， DCS主控制器芯片95%依賴進口。而國外工業(yè)控制芯片、工業(yè)控制系統(tǒng)產(chǎn)品設(shè)計和配置等都可能存在漏洞，甚至留有后門，存在嚴(yán)重的安全隱患。一旦發(fā)生安全事件，直接造成的影響是生產(chǎn)停滯或設(shè)備損壞，給企業(yè)及國家?guī)磔^大的經(jīng)濟損失，更嚴(yán)重的還可能對生產(chǎn)人員的生命、健康產(chǎn)生危害。

近20年來，工業(yè)控制系統(tǒng)強調(diào)開放性，在系統(tǒng)中大量引入民用的COTS產(chǎn)品，如Windows操作系統(tǒng)、關(guān)系數(shù)據(jù)庫等，并廣泛使用以太網(wǎng)和TCP/IP協(xié)議。大部分的工業(yè)網(wǎng)絡(luò)和現(xiàn)場總線協(xié)議，廣泛使用的MODBUS/TCP、CAN、PROFIBUS等都是明碼傳輸，沒有嚴(yán)格的身份識別，報文很容易被偽造。簡單的DoS1就可以使系統(tǒng)網(wǎng)絡(luò)完全癱瘓，造成工業(yè)過程失控或裝置停機。工業(yè)控制安全最薄弱的環(huán)節(jié)就落在了工業(yè)網(wǎng)絡(luò)數(shù)據(jù)傳輸上，對于大型SCADA系統(tǒng)或DCS系統(tǒng)，設(shè)備分散安裝，部分采用公網(wǎng)和無線網(wǎng)絡(luò)，更容易受到1。

據(jù)相關(guān)數(shù)據(jù)統(tǒng)計，自2000年以來，對工業(yè)過程控制和數(shù)據(jù)采集系統(tǒng)的成功1增長了近10倍，特別是近幾年，重大工業(yè)控制系統(tǒng)安全事件屢屢被爆出。2010年，伊朗核設(shè)施遭遇Stuxnet震網(wǎng)病毒1，導(dǎo)致伊朗用于鈾濃縮的一千多臺離心機癱瘓，最終使伊朗的布什爾1推遲啟動；2011年，Duqu病毒被查出，用來收集與其1目標(biāo)相關(guān)的各種情報；2012年，F(xiàn)lame病毒被用來執(zhí)行網(wǎng)絡(luò)1活動，其構(gòu)造十分復(fù)雜，危害性巨大，可以通過USB存儲器以及網(wǎng)絡(luò)復(fù)制等多種方式傳播，并能接受來自世界各地多個服務(wù)器的指令；2014年，超過84個國家的1018座發(fā)電站感染Dragonfly病毒，數(shù)千座發(fā)電站可被進行遠(yuǎn)程訪問。

工業(yè)控制系統(tǒng)安全已經(jīng)刻不容緩，而工業(yè)控制系統(tǒng)長期存在的風(fēng)險隱患已是影響國家關(guān)鍵基礎(chǔ)設(shè)施穩(wěn)定運行的重要因素，甚至威脅到國家安全戰(zhàn)略實施，為了應(yīng)對當(dāng)前工業(yè)控制系統(tǒng)信息安全面臨的嚴(yán)峻形勢，2011年，工業(yè)和信息化部發(fā)布《關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知》，要求各地區(qū)、各有關(guān)部門、有關(guān)國有大型企業(yè)充分認(rèn)識工業(yè)控制系統(tǒng)信息安全的重要性和緊迫性，切實加強工業(yè)控制系統(tǒng)信息安全管理，以保障工業(yè)生產(chǎn)運行安全、國家經(jīng)濟安全和人民生命財產(chǎn)安全。同時，國家也大力鼓勵國產(chǎn)安全廠商研發(fā)具有自主知識產(chǎn)權(quán)的工業(yè)控制產(chǎn)品和安全防護系統(tǒng)，加大國產(chǎn)化進程，在重要行業(yè)中的工業(yè)控制系統(tǒng)真正實現(xiàn)“自主可控，安全可靠”。

在此背景下，航天系統(tǒng)工程公司發(fā)揮航天領(lǐng)域技術(shù)、人才、科研資源等優(yōu)勢，結(jié)合自身在工業(yè)控制安全行業(yè)積累的豐富經(jīng)驗，推出了適用于工業(yè)控制系統(tǒng)安全的航天天盾解決方案。航天天盾工業(yè)控制系統(tǒng)解決方案采用獨特的安全防御交換機，部署在關(guān)鍵網(wǎng)絡(luò)節(jié)點，保護工業(yè)以太網(wǎng)，徹底防止工業(yè)控制系統(tǒng)受到APT或病毒的1；對工業(yè)以太網(wǎng)、現(xiàn)場總線、輸入輸出（I O）三層進行異常監(jiān)測，確保工控系統(tǒng)各個環(huán)節(jié)運行安全；工控主機中毒或誤操作導(dǎo)致異常后，實現(xiàn)工控主機在線自動恢復(fù)為正常狀態(tài)；采用健康高效的無線智能阻斷技術(shù)，防止外界通過無線網(wǎng)絡(luò)進行1。

航天天盾工業(yè)控制系統(tǒng)解決方案主要包括天盾（DCS）異常監(jiān)測與應(yīng)急恢復(fù)系統(tǒng)、天盾安全防御交換機和天盾無線智能阻斷系統(tǒng)。可以保證在數(shù)據(jù)采集終端、數(shù)據(jù)傳輸過程中和到終端服務(wù)器都能夠得到全方位的防護，避免被竊聽破壞篡改。

天盾（DCS）異常監(jiān)測與應(yīng)急恢復(fù)系統(tǒng)主要實現(xiàn)對工業(yè)以太網(wǎng)中工程師站組態(tài)變更、操作站數(shù)據(jù)與操控指令變更，及現(xiàn)場總線訪問、負(fù)載變更、通信行為、異常流量等的安全監(jiān)測，實現(xiàn)過程狀態(tài)參數(shù)、控制信號的閾值檢查與報警，實現(xiàn)故障主機在線自動恢復(fù)等功能。在產(chǎn)品設(shè)計上采用專用硬件和模塊化的軟件組件設(shè)計,設(shè)備為專用的嵌入式硬件，高可靠性的多方位冗余設(shè)計,系統(tǒng)采用WEB方式進行管理，部署簡單方便。在架構(gòu)上主要分為四層：可視化運維層、異常事件處理層、異常監(jiān)測層、數(shù)據(jù)采集層。產(chǎn)品基于分布式負(fù)載均衡及（SOA）架構(gòu)，采用異構(gòu)系統(tǒng)的聚合監(jiān)測技術(shù)，支持旁路方式進行部署，根據(jù)工藝流程實際要求，既可部署在工業(yè)以太網(wǎng)，現(xiàn)場總線或輸入輸出節(jié)點。

天盾安全防御交換機在確保合法網(wǎng)絡(luò)業(yè)務(wù)正常通信的前提下，通過構(gòu)建虛擬路徑、虛擬網(wǎng)絡(luò)和虛擬節(jié)點，動態(tài)隨機的變換網(wǎng)絡(luò)拓?fù)洌[藏真實網(wǎng)絡(luò)拓?fù)浜凸?jié)點，給1者呈現(xiàn)虛假的節(jié)點和網(wǎng)絡(luò)信息屬性，使1者難以進行后續(xù)1，且易暴露身份。并且適用于任何使用交換機的環(huán)境，包括工業(yè)以太網(wǎng)，與普通交換機相比較：可提供防滲透、抓內(nèi)鬼、抗蠕蟲等功能。天盾安全防御交換機在部署上非常簡單，對于小規(guī)模的使用環(huán)境，可以直接替換原有交換機，同時可以級聯(lián)成一定數(shù)量的普通交換機，對于大規(guī)模已經(jīng)部署較多交換機的使用環(huán)境，可以在匯聚交換機前端或者后端直接串接。

天盾無線智能阻斷系統(tǒng)使用自主研發(fā)芯片，完全擁有自主知識產(chǎn)權(quán)。可實現(xiàn)在2.4GHz和5.8GHz 頻段（即通常的ISM頻段，包括Wi-Fi、藍牙、ZigBee等）的無線信號通訊進行全面或者有選擇性的阻斷，具備配置無線白名單，保證合法信號數(shù)據(jù)正常安全通信，管理范圍可達到45-120米。實時對接入點AP設(shè)備和終端進行掃描監(jiān)控，若發(fā)現(xiàn)非法接入，可遠(yuǎn)程報警，并關(guān)閉非法接入。并且發(fā)射功率小，綠色環(huán)保，功耗低。

希望通過航天天盾工業(yè)控制系統(tǒng)安全解決方案的建設(shè)與實施，能夠幫助行業(yè)用戶建立起工業(yè)基礎(chǔ)設(shè)施信息安全保障體系，增強安全風(fēng)險防范能力，促進工業(yè)控制系統(tǒng)安全、穩(wěn)定運行，降低工業(yè)控制系統(tǒng)安全事件的發(fā)生概率。