工業(yè)以太網(wǎng)是當前工業(yè)控制領域的研究熱點扑认。工業(yè)以太網(wǎng)重點在于利用交換式以太網(wǎng)技術為控制器和操作站吊趾，各種工作站之間的相互協(xié)調合作提供一種交互機制并和上層信息網(wǎng)絡無縫集成彩库。目前工業(yè)以太網(wǎng)開始在監(jiān)控層網(wǎng)絡上逐漸占據(jù)主流位置，正在向現(xiàn)場設備層網(wǎng)絡滲透槽惫。工業(yè)以太網(wǎng)相對于以往自動化技術有很多優(yōu)勢周叮，然而事物是相對的，在我們享受開放互聯(lián)技術進步的成果同時應該對它們存在的隱患和可能帶來的嚴重后果要有深刻認識界斜。
　　1 工業(yè)以太網(wǎng)的特點及安全要求
　　雖然脫胎于Intranet仿耽、Internet等類型的信息網(wǎng)絡，但是工業(yè)以太網(wǎng)是面向生產(chǎn)過程,對實時性各薇、可靠性项贺、安全性和數(shù)據(jù)完整性有很高的要求。既有與信息網(wǎng)絡相同的特點和安全要求峭判，也有自己不同于信息網(wǎng)絡的顯著特點和安全要求：
　】小（1）工業(yè)以太網(wǎng)是一個網(wǎng)絡控制系統(tǒng)，實時性要求高糠管，網(wǎng)絡傳輸要有確定性妙帆。
　」藓（2）整個企業(yè)網(wǎng)絡按功能可分為處于管理層的通用以太網(wǎng)和處于監(jiān)控層的工業(yè)以太網(wǎng)以及現(xiàn)場設備層（如現(xiàn)場總線）屠途。管理層通用以太網(wǎng)可以與控制層的工業(yè)以太網(wǎng)交換數(shù)據(jù)，上下網(wǎng)段采用相同協(xié)議自由通信挪吱。
　　（3）工業(yè)以太網(wǎng)中周期與非周期信息同時存在，各自有不同的要求捺柬。周 期信息的傳輸通常具有順序性要求于箩，而非周期信息有優(yōu)先級要求，如報警信息是需要立即響應的望泪。
　∨朽帧（4）工業(yè)以太網(wǎng)要為緊要任務提供最低限度的性能保證服務，同時也要為非緊要任務提供盡力服務宾芥，所以工業(yè)以太網(wǎng)同時具有實時協(xié)議也具有非實時協(xié)議侣夷。
　　基于以上特點，有如下安全應用要求：
　“偻亍（1）工業(yè)以太網(wǎng)應該保證實時性不會被破壞，在商業(yè)應用中晰甚，對實時性的要求基本不涉及安全，而過程控制對實時性的要求是硬性的厕九，常常涉及生產(chǎn)設備和人員安全。
　”庠丁（2）當今世界舞臺俊鱼，各種競爭異常激烈。對于很多企業(yè)尤其是掌握領先技術的企業(yè)畅买，作為其技術實際體現(xiàn)的生產(chǎn)工藝往往是企業(yè)的根本利益并闲。一些關鍵生產(chǎn)過程的流程工藝乃至運行參數(shù)都有可能成為對手竊取的目標。所以在工業(yè)以太網(wǎng)的數(shù)據(jù)傳輸中要防止數(shù)據(jù)被竊取皮获。
　”候尽（3）開放互聯(lián)是工業(yè)以太網(wǎng)的優(yōu)勢，遠程的監(jiān)視裸岁、控制届辽、調試、診斷等極大的增強了控制的分布性郊啄、靈活性映贞，打破了時空的限制，但是對于這些應用必須保證經(jīng)過授權的合法性和可審查性寄菲。
　　2 工業(yè)以太網(wǎng)的應用安全問題分析
　　（1）在傳統(tǒng)工業(yè)工業(yè)以太網(wǎng)中上下網(wǎng)段使用不同的協(xié)議無法互操作起胡，所以使用一層防火墻防止來自外部的非法訪問灵吃，但工業(yè)以太網(wǎng)將控制層和管理層連接起來，上下網(wǎng)段使用相同的協(xié)議灵界，具有互操作性鳍泥，所以使用兩級防火墻，第二級的防火墻用于屏蔽內部網(wǎng)絡的非法訪問和分配不同權限合法用戶的不同授權溉委。另外還可用根據(jù)日志記錄調整過濾和登錄策略鹃唯。
　　要采取嚴格的權限管理措施，可以根據(jù)部門分配權限瓣喊，也可以根據(jù)操作分配權限坡慌。由于工廠應用專業(yè)性很強，進行權限管理能有效避免非授權操作藻三。同時要對關鍵性工作站的操作系統(tǒng)的訪問加以限制洪橘，采用內置的設備管理系統(tǒng)必須擁有記錄審查功能，數(shù)據(jù)庫自動記錄設備參數(shù)修改事件：誰修改趴酣，修改的理由梨树，修改之前和之后的參數(shù)，從而可以有據(jù)可查岖寞。
　÷账摹（2）在工業(yè)以太網(wǎng)的應用中可以采用加密的方式來防止關鍵信息竊取。目前主要存在兩種密碼體制：對稱密碼體制和非對稱密碼體制仗谆。對稱密碼體制中加密解密雙方使用相同的密鑰且密鑰保密指巡，由于在通信之前必須完成密鑰的分發(fā)恤络，該體制中這一環(huán)節(jié)是不安全的溜屡。所以采用非對稱密碼體制，由于工業(yè)以太網(wǎng)發(fā)送的多為周期性的短信息雁韵，所以采用這種加密方式還是比較迅速的盗闯。對于工業(yè)以太網(wǎng)來說是可行的。還要對外部節(jié)點的接入加以防范颊嫁。
　∏蚧摇（3）工業(yè)以太網(wǎng)的實時性目前主要是由以下幾點保證：限制工業(yè)以太網(wǎng)的通信負荷，采用100M的快速以太網(wǎng)技術提高帶寬祈兼，采用交換式以太網(wǎng)技術和全雙工通信方式屏蔽固有的CSMA/CD機制迂溉。隨著網(wǎng)絡的開放互連和自動化系統(tǒng)大量IT技術的引入，加上TCP/IP協(xié)議本身的開放性和層出不窮的網(wǎng)絡病毒和攻擊手段痒跌，網(wǎng)絡安全可以成為影響工業(yè)以太網(wǎng)實時性的一個突出問題狡舞。
　　1）病毒攻擊。在互聯(lián)網(wǎng)上充斥著類似Slammer牍猫、“沖擊波”等蠕蟲病毒和其它網(wǎng)絡病毒的襲擊骇另。以蠕蟲病毒為例畴栖，這些蠕蟲病毒攻擊的直接目標雖然通常是信息層網(wǎng)絡的PC機和服務器，但是攻擊是通過網(wǎng)絡進行的户魏，因此當這些蠕蟲病毒大規(guī)模爆發(fā)時驶臊，交換機、路由器會首先受到牽連叼丑。用戶只有通過重啟交換路由設備、重新配置訪問控制列表才能消除蠕蟲病毒對網(wǎng)絡設備造成的影響扛门。蠕蟲病毒攻擊能夠導致整個網(wǎng)絡的路由震蕩鸠信，這樣可能使上層的信息層網(wǎng)絡部分流量流入工業(yè)以太網(wǎng)，加大了它的通信負荷论寨，影響其實時性。在控制層也存在不少計算機終端連接在工業(yè)以太網(wǎng)交換機葬凳，一旦終端感染病毒绰垂，病毒發(fā)作即使不能造成網(wǎng)絡癱瘓，也可能會消耗帶寬和交換機資源火焰。
　　2） MAC攻擊劲装。工業(yè)以太網(wǎng)交換機通常是二層交換機，而MAC地址是二層交換機工作的基礎塘憨，網(wǎng)絡依賴MAC地址保證數(shù)據(jù)的正常轉發(fā)卢女。動態(tài)的二層地址表在一定時間以后（AGE TIME）會發(fā)生更新。如果某端口一直沒有收到源地址為某一MAC地址的數(shù)據(jù)包士到，那么該MAC地址和該端口的映射關系就會失效留绞。這時，交換機收到目的地址為該MAC地址的數(shù)據(jù)包就會進行泛洪處理辰诱，對交換機的整體性能造成影響哩啼，能導致交換機的查表速度下降。而且拱缆，假如攻擊者生成大量數(shù)據(jù)包馒易，數(shù)據(jù)包的源MAC地址都不相同，就會充滿交換機的MAC地址表空間影凿，導致真正的數(shù)據(jù)流到達交換機時被泛洪出去致殉。這種通過復雜攻擊和欺騙交換機入侵網(wǎng)絡方式，近來已有不少實例第勉。一旦表中MAC地址與網(wǎng)絡段之間的映射信息被破壞逃铝，迫使交換機轉儲自己的MAC地址表，開始失效恢復叽赊，交換機就會停止網(wǎng)絡傳輸過濾恋沃，它的作用就類似共享介質設備或集線器必搞，CSMA/CD機制將重新作用從而影響工業(yè)以太網(wǎng)的實時性。
　　目前信息層網(wǎng)絡采用的交換機安全技術主要包括以下幾種囊咏。流量控制技術 恕洲，把流經(jīng)端口的異常流量限制在一定的范圍內。訪問控制列表（ACL）技術 梅割，ACL通過對網(wǎng)絡資源進行訪問輸入和輸出控制霜第，確保網(wǎng)絡設備不被非法訪問或被用作攻擊跳板。 安全套接層（SSL） 為所有 HTTP流量加密户辞，允許訪問交換機上基 于瀏覽器的管理 GUI泌类。802.1x和RADIUS 網(wǎng)絡登錄 控制基于端口的訪問，以進行驗證和責任明晰底燎。源端口過濾只允許指定端口進行相互通信刃榨。Secure Shell （SSHv1/SSHv2） 加密傳輸所有的數(shù)據(jù)，確保IP網(wǎng)絡上安全的CLI遠程訪問双仍。安全FTP 實現(xiàn)與交換機之間安全的文件傳輸寺斟，避免不需要的文件下載或未授權的交換機配置文件復制。不過辽画，應用這些安全功能仍然存在很多實際問題溪胖，例如交換機的流量控制功能只能對經(jīng)過端口的各類流量進行簡單的速率限制，將廣播顺诽、組播的異常流量限制在一定的范圍內峰毙，而無法區(qū)分哪些是正常流量，哪些是異常流量韵披。同時失臂，如何設定一個合適的閾值也比較困難。一些交換機具有ACL镇锣，但如果ASIC支持的ACL少仍舊沒有用权洼。一般交換機還不能對非法的ARP（源目的MAC為廣播地址）進行特殊處理。網(wǎng)絡中是否會出現(xiàn)路由欺詐一宁、生成樹欺詐的攻擊献蛔、802.1x的DoS攻擊、對交換機網(wǎng)管系統(tǒng)的DoS攻擊等距痪，都是交換機面臨的潛在威脅允瞧。
　　在控制層，工業(yè)以太網(wǎng)交換機蛮拔，一方面可以借鑒這些安全技術述暂，但是也必須意識到工業(yè)以太網(wǎng)交換機主要用于數(shù)據(jù)包的快速轉發(fā)，強調轉發(fā)性能以提高實時性建炫。應用這些安全技術時將面臨實時性和成本的很大困難畦韭，目前工業(yè)以太網(wǎng)的應用和設計主要是基于工程實踐和經(jīng)驗疼蛾，網(wǎng)絡上主要是控制系統(tǒng)與操作站、優(yōu)化系統(tǒng)工作站艺配、先進控制工作站察郁、數(shù)據(jù)庫服務器等設備之間的數(shù)據(jù)傳輸，網(wǎng)絡負荷平穩(wěn)转唉，具有一定的周期性皮钠。但是，隨著系統(tǒng)集成和擴展的需要酝掩、IT技術在自動化系統(tǒng)組件的大力應用鳞芙、B/S監(jiān)控方式的普及等等，對網(wǎng)絡安全因素下的可用性研究已經(jīng)十分必要棋叁，例如猝發(fā)流量下的工業(yè)以太網(wǎng)交換機的緩沖區(qū)容量問題以及從全雙工交換方式轉變成共享方式對已有網(wǎng)絡性能的影響。所以允纬，另一方面铜部，工業(yè)以太網(wǎng)必須從自身體系結構入手，加以應對氯也。
　　3 結語
　　工業(yè)以太網(wǎng)應用的安全問題與商用的信息網(wǎng)絡相比猾晨，既有共性又有明顯的差異，在信息網(wǎng)絡上運用很成熟的安全技術和理念沒有考慮工業(yè)生產(chǎn)特點饮估，很多不能直接應用于工業(yè)以太網(wǎng)肃径。在工業(yè)以太網(wǎng)應用時，不能只按控制邏輯和網(wǎng)絡性能來考慮墙目，還要考慮上述因素精者。 

聲明：本網(wǎng)站所收集的部分公開資料來源于互聯(lián)網(wǎng)，轉載的目的在于傳遞更多信息及用于網(wǎng)絡分享胰绢，并不代表本站贊同其觀點和對其真實性負責杰笛，也不構成任何其他建議。本站部分作品是由網(wǎng)友自主投稿和發(fā)布切省、編輯整理上傳最岗，對此類作品本站僅提供交流平臺，不為其版權負責朝捆。如果您發(fā)現(xiàn)網(wǎng)站上所用視頻般渡、圖片、文字如涉及作品版權問題芙盘，請第一時間告知驯用，我們將根據(jù)您提供的證明材料確認版權并按國家標準支付稿酬或立即刪除內容，以保證您的權益何陆！聯(lián)系電話：010-58612588 或 Email:editor@mmsonline.com.cn晨汹。