引言：

       近幾年，因網(wǎng)絡(luò)病毒引起的工業(yè)事件層出不窮削彬，工業(yè)網(wǎng)絡(luò)安全問(wèn)題已經(jīng)日益嚴(yán)峻全庸，針對(duì)目前我國(guó)工業(yè)控制系統(tǒng)信息安全面臨的嚴(yán)峻形勢(shì)，2011年10月27日吃警，工信部下發(fā)《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》糕篇，強(qiáng)調(diào)了加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性，并明確了重點(diǎn)領(lǐng)域如：石油石化酌心、電力拌消、鋼鐵、化工等行業(yè)工業(yè)控制系統(tǒng)信息安全管理要求安券。石化工業(yè)是國(guó)家的基礎(chǔ)性能源支柱產(chǎn)業(yè)墩崩，信息安全在任何時(shí)期、任何國(guó)家地區(qū)都備受關(guān)注侯勉。能源系統(tǒng)的信息安全問(wèn)題直接威脅到其它行業(yè)系統(tǒng)的安全鹦筹、穩(wěn)定铝阐、經(jīng)濟(jì)、優(yōu)質(zhì)的運(yùn)行泌醋，影響著系統(tǒng)信息化的實(shí)現(xiàn)進(jìn)程昂游。維護(hù)網(wǎng)絡(luò)安全，確保生產(chǎn)系統(tǒng)的穩(wěn)定可靠赌拒、防止來(lái)自?xún)?nèi)部或外部攻擊跳窖，采取高安全性的防護(hù)措施都是石化信息系統(tǒng)安全不可忽視的組成部分。

        隨著我國(guó)工業(yè)信息化建設(shè)的不斷深入贵郎，信息化已經(jīng)成為企業(yè)發(fā)展的重要推動(dòng)力量职靴，國(guó)外石化企業(yè)信息化建設(shè)和應(yīng)用已經(jīng)走在我們前面。經(jīng)濟(jì)全球化的發(fā)展以及WTO的加入蒂轨，更對(duì)石化企業(yè)提出了新的挑戰(zhàn)欲广，就石化企業(yè)而言，信息化是生存和發(fā)展的必由之路檩榕。
       信息化是一項(xiàng)系統(tǒng)工程繁触，信息化安全也是信息化建設(shè)的關(guān)鍵環(huán)節(jié)。特別是隨著互聯(lián)網(wǎng)日新月異的發(fā)展和企業(yè)集團(tuán)信息化整合的加強(qiáng)关揣，企業(yè)網(wǎng)絡(luò)應(yīng)用的范圍在不斷擴(kuò)大篙耗，如通過(guò)互聯(lián)網(wǎng)獲取信息、展現(xiàn)企業(yè)形象宪赶、開(kāi)展電子商務(wù)等宗弯，通過(guò)廣域網(wǎng)實(shí)現(xiàn)集團(tuán)內(nèi)部資源共享、統(tǒng)一集團(tuán)管理等搂妻，企業(yè)信息化網(wǎng)絡(luò)不再是單純意義上的Intranet蒙保，而更多的則是基于Internet的網(wǎng)絡(luò)和應(yīng)用。但網(wǎng)絡(luò)開(kāi)放的同時(shí)欲主，帶來(lái)的安全問(wèn)題就更加嚴(yán)峻了邓厕，各種安全問(wèn)題如病毒、攻擊和入侵等已經(jīng)引起了人們的高度重視扁瓢。
       石化企業(yè)信息化與其它行業(yè)相比有一個(gè)突出特點(diǎn)详恼，就是以管控一體化為重點(diǎn)。這是由石化行業(yè)自身的特點(diǎn)決定的引几，并具有一定的時(shí)代特點(diǎn)昧互。
       石化企業(yè)是典型的資金和技術(shù)密集型企業(yè)，生產(chǎn)的連續(xù)性很強(qiáng)伟桅，裝置和重要設(shè)備的意外停產(chǎn)都會(huì)導(dǎo)致巨大的經(jīng)濟(jì)損失机凭，因此生產(chǎn)過(guò)程控制大多采用DCS等先進(jìn)的控制系統(tǒng)，生產(chǎn)管理上也更注重安全和平穩(wěn)運(yùn)行。通過(guò)加強(qiáng)生產(chǎn)管理级衅，可以實(shí)現(xiàn)管理與生產(chǎn)過(guò)程控制的融合娘型，通過(guò)優(yōu)化調(diào)度、先進(jìn)控制和優(yōu)化控制等手段笑诫，在保證生產(chǎn)平穩(wěn)的基礎(chǔ)上獲取更大的經(jīng)濟(jì)效益铝矢，因此，石化企業(yè)信息化的重點(diǎn)是管控一體化咽行。當(dāng)今的石化企業(yè)普遍采用基于ERP/SCM猩吕、MES和PCS三層架構(gòu)的的管控一體化信息模型，MES處于企業(yè)信息系統(tǒng)ERP/SCM和過(guò)程控制系統(tǒng)的中間位置涣疑。MES系統(tǒng)在整個(gè)信息系統(tǒng)中主要擔(dān)當(dāng)了兩個(gè)方面的重要作用：一是數(shù)據(jù)雙向通道的作用。即通過(guò)MES系統(tǒng)的實(shí)施藕壹，可以有效彌補(bǔ)企業(yè)PCS層及ERP/SCM層之間的數(shù)據(jù)間隙诞嗦，由下至上，通過(guò)對(duì)底層PCS層數(shù)據(jù)的搜集椿访、存儲(chǔ)及校正乌企，建立過(guò)程控制數(shù)據(jù)層次上的數(shù)字化工廠，結(jié)合生產(chǎn)調(diào)度層次上的調(diào)度事件信息數(shù)據(jù)等成玫，為上層ERP/SCM計(jì)劃管理層提供準(zhǔn)確統(tǒng)一的生產(chǎn)數(shù)據(jù)加酵；由上至下，通過(guò)對(duì)實(shí)時(shí)生產(chǎn)數(shù)據(jù)的總結(jié)哭当，上層ERP/SCM層可以根據(jù)未來(lái)訂單及現(xiàn)階段生產(chǎn)狀況調(diào)整生產(chǎn)計(jì)劃猪腕，下發(fā)MES層進(jìn)行計(jì)劃的分解及產(chǎn)生調(diào)度指令，有效指導(dǎo)企業(yè)生產(chǎn)活動(dòng)钦勘。因此陋葡，MES系統(tǒng)在數(shù)據(jù)層面上，起到了溝通PCS層和ERP/SCM層的橋梁作用彻采，并保證了生產(chǎn)數(shù)據(jù)腐缤、調(diào)度事件等信息的一致性及準(zhǔn)確性。另一方面肛响，生產(chǎn)活動(dòng)的復(fù)雜性產(chǎn)生了很多實(shí)際的用戶(hù)需求岭粤，為了滿足這些用戶(hù)需求，MES系統(tǒng)也可以視為一個(gè)功能模塊的集合特笋《璩模　
        由DCS、PLC和SCADA等控制系統(tǒng)構(gòu)成的控制網(wǎng)絡(luò)嗦休，在過(guò)去幾十年的發(fā)展中呈現(xiàn)出整體開(kāi)放的趨勢(shì)瘟百。以石化主流控制系統(tǒng)DCS為例，在信息技術(shù)發(fā)展的影響下，DCS已經(jīng)進(jìn)入了第四代掺变，新一代DCS呈現(xiàn)的一個(gè)突出特點(diǎn)就是開(kāi)放性的提高掐赠。過(guò)去的DCS廠商基本上是以自主開(kāi)發(fā)為主，提供的系統(tǒng)也是自己的系統(tǒng)帆骗。當(dāng)今的DCS廠商更強(qiáng)調(diào)開(kāi)放系統(tǒng)集成性糯湃。各DCS廠商不再把開(kāi)發(fā)組態(tài)軟件或制造各種硬件單元視為核心技術(shù)，而是紛紛把DCS的各個(gè)組成部分采用第三方集成方式或OEM方式的席。例如捧擂，多數(shù)DCS廠商自己不再開(kāi)發(fā)組態(tài)軟件平臺(tái)，而轉(zhuǎn)入采用其它專(zhuān)業(yè)公司的通用組態(tài)軟件平臺(tái)赁至，或其它公司提供的軟件平臺(tái)艾遗。這一思路的轉(zhuǎn)變使得現(xiàn)代DCS的操作站完全呈現(xiàn)PC化與Windows化的趨勢(shì)。在新一代DCS的操作站中瓣俯，幾乎清一色采用PC+Windows的技術(shù)架構(gòu)杰标，使用戶(hù)的投資及維護(hù)成本大幅降低。
同時(shí)彩匕，DCS網(wǎng)絡(luò)技術(shù)也呈現(xiàn)出開(kāi)放的特征腔剂。過(guò)去，由于通信技術(shù)相對(duì)落后驼仪，網(wǎng)絡(luò)技術(shù)開(kāi)放性是困擾用戶(hù)的一個(gè)重要問(wèn)題掸犬。而當(dāng)代網(wǎng)絡(luò)技術(shù)、軟件技術(shù)的發(fā)展為開(kāi)放系統(tǒng)提供了可能绪爸。網(wǎng)絡(luò)技術(shù)開(kāi)放性體現(xiàn)在DCS可以從多個(gè)層面與第三方系統(tǒng)互聯(lián)湾碎，同時(shí)支持多種網(wǎng)絡(luò)協(xié)議。目前在與企業(yè)管理層信息平臺(tái)互聯(lián)時(shí)奠货，大多采用基于TCP(UDP)/IP協(xié)議的以太網(wǎng)通信技術(shù)胜茧，使用OPC等開(kāi)放接口標(biāo)準(zhǔn)。
開(kāi)放性為用戶(hù)帶來(lái)的好處毋庸置疑仇味，但由此引發(fā)的各種安全漏洞與傳統(tǒng)的封閉系統(tǒng)相比卻大大增加呻顽。對(duì)于一個(gè)控制網(wǎng)絡(luò)系統(tǒng)，產(chǎn)生安全漏洞的因素是多方面的区为。

        1喇纬、網(wǎng)絡(luò)通信協(xié)議安全漏洞
        隨著TCP(UDP)/IP協(xié)議被控制網(wǎng)絡(luò)普遍采用，網(wǎng)絡(luò)通信協(xié)議漏洞問(wèn)題變得越來(lái)越突出嫂衅。
       TCP/IP協(xié)議簇最初設(shè)計(jì)的應(yīng)用環(huán)境是美國(guó)國(guó)防系統(tǒng)的內(nèi)部網(wǎng)絡(luò)凯书，這一網(wǎng)絡(luò)是互相信任的，因此它原本只考慮互通互聯(lián)和資源共享的問(wèn)題灌龄，并未考慮也無(wú)法兼容解決來(lái)自網(wǎng)絡(luò)中和網(wǎng)際間的大量安全問(wèn)題咬恨。當(dāng)其推廣到社會(huì)的應(yīng)用環(huán)境后，安全問(wèn)題發(fā)生了。所以說(shuō)邀漩，TCP/IP在先天上就存在著致命的安全漏洞畦瞒。
       1) 缺乏對(duì)用戶(hù)身份的鑒別
       2) 缺乏對(duì)路由協(xié)議的鑒別認(rèn)證
       3) TCP/UDP自身缺陷
       2、操作系統(tǒng)安全漏洞
       PC+Windows的技術(shù)架構(gòu)現(xiàn)已成為控制系統(tǒng)上位機(jī)/操作站的主流绿踱。而在控制網(wǎng)絡(luò)中冠秉，上位機(jī)/操作站是實(shí)現(xiàn)與MES通信的主要網(wǎng)絡(luò)結(jié)點(diǎn)，因此其操作系統(tǒng)的漏洞就成為了整個(gè)控制網(wǎng)絡(luò)信息安全中的一個(gè)短板菲藏。
       Windows操作系統(tǒng)從推出至今视事，以其友好的用戶(hù)界面、簡(jiǎn)單的操作方式得到了用戶(hù)的認(rèn)可庆揩，其版本也從最初的Windows 3.1發(fā)展到如今的XP俐东、Windows Server2003、 Windows 7等订晌。但是虏辫，微軟在設(shè)計(jì)Windows操作系統(tǒng)時(shí)是本著簡(jiǎn)單易用為原則的，因而忽略了安全方面的考慮腾仅，留下了很多隱患。這些隱患在單機(jī)時(shí)代并沒(méi)有顯現(xiàn)出來(lái)套利，后來(lái)隨著網(wǎng)絡(luò)的出現(xiàn)和普及推励，越來(lái)越多地使用Windows操作系統(tǒng)的PC接入網(wǎng)絡(luò)，微軟埋下的隱患逐漸浮出水面肉迫。一時(shí)間Windows操作系統(tǒng)漏洞頻繁出現(xiàn)验辞，安全事故時(shí)有發(fā)生。雖然微軟在Windows2000以后的版本中采用了Windows NT的核心喊衫，在一定程度上提高了Windows操作系統(tǒng)的安全性跌造，但仍然不能避免安全漏洞的不斷出現(xiàn)。另一方面湘搀，Windows作為主流的操作系統(tǒng)尾丑，也更容易成為眾矢之的，每次Windows的系統(tǒng)漏洞被發(fā)現(xiàn)后渐仓，針對(duì)該漏洞的惡意代碼很快就會(huì)出現(xiàn)在網(wǎng)上熔淘，從漏洞被發(fā)現(xiàn)到惡意代碼的出現(xiàn)，中間的時(shí)差開(kāi)始變得越來(lái)越短悄慨。以Windows2000版本為例饼痘，就曾被發(fā)現(xiàn)了大量漏洞，典型的如：輸入法漏洞车管、IPC$漏洞全僧、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區(qū)溢出漏洞公杰、Printer溢出漏洞暮孕、Cookie漏洞等等。這些漏洞大部分危害巨大钻哩，惡意代碼通過(guò)這些漏洞屹堰，可以獲得Windows2000操作站的完全控制權(quán)，甚至為所欲為街氢。

[DividePage:NextPage]

        3扯键、應(yīng)用軟件安全漏洞
        處于應(yīng)用層的應(yīng)用軟件產(chǎn)生的漏洞是最直接、最致命的珊肃。一方面這是因?yàn)閼?yīng)用軟件形式多樣荣刑，很難形成統(tǒng)一的防護(hù)規(guī)范以應(yīng)對(duì)安全問(wèn)題；另一方面最嚴(yán)重的是伦乔，當(dāng)應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時(shí)厉亏，就必須開(kāi)放其應(yīng)用端口。例如烈和，要想實(shí)現(xiàn)與操作站OPC服務(wù)器軟件的網(wǎng)絡(luò)通信爱只，控制網(wǎng)絡(luò)就必須完全開(kāi)放135端口，這時(shí)防火墻等安全設(shè)備已經(jīng)無(wú)能為力了招刹。而實(shí)際上恬试，不同應(yīng)用軟件的安全漏洞還不止于此。
控制網(wǎng)絡(luò)安全隱患分析
        控制網(wǎng)絡(luò)的安全漏洞暴露了整個(gè)控制系統(tǒng)安全的脆弱性疯暑。由于網(wǎng)絡(luò)通信協(xié)議牧稳、操作系統(tǒng)、應(yīng)用軟件盅格、安全策略甚至硬件上存在的安全缺陷闰袒，從而使得攻擊者能夠在未授權(quán)的情況下訪問(wèn)和操控控制網(wǎng)絡(luò)系統(tǒng)，形成了巨大的安全隱患鞭碳°裁伲控制網(wǎng)絡(luò)系統(tǒng)的安全性同樣符合“木桶原則”，其整體安全性不在于其最強(qiáng)處山滔，而取決于系統(tǒng)最薄弱之處樊颁，即安全漏洞所決定。只要這個(gè)漏洞被發(fā)現(xiàn)呀逃，系統(tǒng)就有可能成為網(wǎng)絡(luò)攻擊的犧牲品澳银。
        安全漏洞對(duì)控制網(wǎng)絡(luò)的隱患體現(xiàn)在惡意攻擊行為對(duì)系統(tǒng)的威脅。隨著越來(lái)越多的控制網(wǎng)絡(luò)系統(tǒng)通過(guò)信息網(wǎng)絡(luò)連接到互聯(lián)上钾植，這種威脅就越來(lái)越大慨即。目前互聯(lián)網(wǎng)上已有幾萬(wàn)個(gè)黑客站點(diǎn)型肥，黑客技術(shù)不斷創(chuàng)新，基本的攻擊手法已達(dá)上千種蝠咆。這些攻擊技術(shù)一旦被不法之徒掌握踊东，將產(chǎn)生不良的后果。
        對(duì)于控制網(wǎng)絡(luò)系統(tǒng)刚操，由于安全漏洞可能帶來(lái)的直接安全隱患有以下幾種闸翅。
        1、入侵
       系統(tǒng)被入侵是系統(tǒng)常見(jiàn)的一種安全隱患菊霜。黑客侵入計(jì)算機(jī)和網(wǎng)絡(luò)可以非法使用計(jì)算機(jī)和網(wǎng)絡(luò)資源坚冀，甚至是完全掌控計(jì)算機(jī)和網(wǎng)絡(luò)。
控制網(wǎng)絡(luò)的計(jì)算機(jī)終端和網(wǎng)絡(luò)往往可以控制諸如大型化工裝置鉴逞、公用工程設(shè)備记某，甚至核電站安全系統(tǒng)等大型工程化設(shè)備。黑客一旦控制該系統(tǒng)构捡，對(duì)系統(tǒng)造成一些參數(shù)的修改液南，就可能導(dǎo)致生產(chǎn)運(yùn)行的癱瘓，就意味著可能利用被感染的控制中心系統(tǒng)破壞生產(chǎn)過(guò)程勾徽、切斷整個(gè)城市的供電系統(tǒng)滑凉、惡意污染飲用水甚至是破壞核電站的正常運(yùn)行。隨著近些年來(lái)越來(lái)越多的控制網(wǎng)絡(luò)接入到互聯(lián)網(wǎng)當(dāng)中斗黍，這種可能就越來(lái)越大二娄。
        2、拒絕服務(wù)攻擊
        受到拒絕服務(wù)攻擊是一種危害很大的安全隱患坦浦。常見(jiàn)的流量型攻擊如Ping Flooding辙求、UDP Flooding等盲并，以及常見(jiàn)的連接型攻擊如SYN Flooding怔赤、ACK Flooding等，通過(guò)消耗系統(tǒng)的資源吻悍，如網(wǎng)絡(luò)帶寬分较、連接數(shù)、CPU處理能力等使得正常的服務(wù)功能無(wú)法進(jìn)行囚上。拒絕服務(wù)攻擊難以防范的原因是它的攻擊對(duì)象非常普遍南垦，從服務(wù)器到各種網(wǎng)絡(luò)設(shè)備如路由器、交換機(jī)痰拢、防火墻等都可以被拒絕服務(wù)攻擊跛鸵。
        控制網(wǎng)絡(luò)一旦遭受?chē)?yán)重的拒絕服務(wù)攻擊就會(huì)導(dǎo)致操作站的服務(wù)癱瘓，與控制系統(tǒng)的通信完全中斷等资柔”捍可以想像撵割，受到拒絕服務(wù)攻擊后的控制網(wǎng)絡(luò)可能導(dǎo)致網(wǎng)絡(luò)中所有操作站和監(jiān)控終端無(wú)法進(jìn)行實(shí)時(shí)監(jiān)控，其后果是非常嚴(yán)重的辙芍。而傳統(tǒng)的安全技術(shù)對(duì)拒絕服務(wù)攻擊幾乎不可避免啡彬，缺乏有效的手段來(lái)解決。
        3故硅、病毒與惡意代碼
        病毒的泛濫是大家有目共睹的庶灿。全球范圍內(nèi)，每年都會(huì)發(fā)生數(shù)次大規(guī)模的病毒爆發(fā)吃衅。目前全球已發(fā)現(xiàn)數(shù)萬(wàn)種病毒往踢，并且還在以每天數(shù)十余種的速度增長(zhǎng)。除了傳統(tǒng)意義上的具有自我復(fù)制能力但必須寄生在其它實(shí)用程序中的病毒外捐晶，各種新型的惡意代碼也層出不窮菲语，如陷阱門(mén)、邏輯炸彈惑灵、特洛伊木馬山上、蠕蟲(chóng)、Zombie等私舱。新型的惡意代碼具有更強(qiáng)的傳播能力和破壞性畦肉。例如蠕蟲(chóng)，從廣義定義來(lái)說(shuō)也是一種病毒菊舅，但和傳統(tǒng)病毒相比最大不同在于自我復(fù)制過(guò)程礁姿。傳統(tǒng)病毒的自我復(fù)制過(guò)程需要人工干預(yù)，無(wú)論運(yùn)行感染病毒的實(shí)用程序舆滞，或者是打開(kāi)包含宏病毒的郵件等菱区，沒(méi)有人工干預(yù)病毒無(wú)法自我完成復(fù)制、傳播服讯。但蠕蟲(chóng)卻可以自我獨(dú)立完成以下過(guò)程：

        1. 查找遠(yuǎn)程系統(tǒng)：能夠通過(guò)檢索已被攻陷的系統(tǒng)的網(wǎng)絡(luò)鄰居列表或其它遠(yuǎn)程系統(tǒng)地址列表找出下一個(gè)攻擊對(duì)象绎瓣。
        2. 建立連接：能夠通過(guò)端口掃描等操作過(guò)程自動(dòng)和被攻擊對(duì)象建立連接，如Telnet連接等授灵。
        3. 實(shí)施攻擊：能夠自動(dòng)將自身通過(guò)已經(jīng)建立的連接復(fù)制到被攻擊的遠(yuǎn)程系統(tǒng)堵忌，并運(yùn)行它。
        一旦計(jì)算機(jī)和網(wǎng)絡(luò)染上了惡意代碼藏亲，安全問(wèn)題就不可避免杯道。
        常規(guī)網(wǎng)絡(luò)安全技術(shù)
        石化企業(yè)隨著信息系統(tǒng)的不斷發(fā)展，大量IT技術(shù)被引入责蝠，同時(shí)也包括各種IT網(wǎng)絡(luò)安全技術(shù)党巾。目前以MES為代表的信息系統(tǒng)在實(shí)現(xiàn)控制網(wǎng)絡(luò)接入信息網(wǎng)絡(luò)時(shí)，也基本都考慮了對(duì)控制網(wǎng)絡(luò)的安全防護(hù)霜医。但目前對(duì)控制網(wǎng)絡(luò)的防護(hù)齿拂，大部分采用的是常規(guī)網(wǎng)絡(luò)安全技術(shù)擎椰，主要包括防火墻、IDS创肥、VPN达舒、防病毒等。這些技術(shù)主要面向商用網(wǎng)絡(luò)應(yīng)用叹侄。
        在企業(yè)的信息化系統(tǒng)中巩搏，由辦公網(wǎng)絡(luò)、管理網(wǎng)絡(luò)組成的信息網(wǎng)絡(luò)與商用網(wǎng)絡(luò)的運(yùn)維特點(diǎn)比較相似趾代，因此采用常規(guī)網(wǎng)絡(luò)安全技術(shù)是適合的贯底。而控制網(wǎng)絡(luò)特點(diǎn)則有很大不同。
        控制網(wǎng)絡(luò)是控制系統(tǒng)如DCS各部件協(xié)同工作的通信網(wǎng)絡(luò)撒强⊥旌螅控制系統(tǒng)負(fù)責(zé)對(duì)生產(chǎn)裝置的連續(xù)不間斷地生產(chǎn)控制，因此控制網(wǎng)絡(luò)同樣具有連續(xù)不可間斷的高可靠性要求鸠头。另一方面镇盛，控制網(wǎng)絡(luò)也是操作人員對(duì)控制系統(tǒng)實(shí)時(shí)下發(fā)控制指令的重要途徑，所以控制網(wǎng)絡(luò)又具有不可延遲的高實(shí)時(shí)性要求诱价。
        在商用網(wǎng)絡(luò)里可以存在病毒卜锡，幾乎每天都有新的補(bǔ)丁出現(xiàn)，計(jì)算機(jī)可能會(huì)死機(jī)涧俐、暫停歉赴，而這些如果發(fā)生在控制網(wǎng)絡(luò)里幾乎是不可想象的。為了保證生產(chǎn)安全偶村，在極端情況下柄午，即便將控制網(wǎng)絡(luò)與信息網(wǎng)絡(luò)斷開(kāi)，停止與信息網(wǎng)絡(luò)交換數(shù)據(jù)也要保證控制系統(tǒng)的安全娶架。因此爽咒，過(guò)程生產(chǎn)的連續(xù)不可間斷的高可靠性要求控制網(wǎng)絡(luò)具備更高的安全性。 
        另外代虾，從數(shù)據(jù)安全角度來(lái)看进肯，商用網(wǎng)絡(luò)往往對(duì)數(shù)據(jù)的私密性要求很高激蹲，要防止信息的泄露棉磨，而控制網(wǎng)絡(luò)強(qiáng)調(diào)的是數(shù)據(jù)的可靠性。另外学辱，商用網(wǎng)絡(luò)的應(yīng)用數(shù)據(jù)類(lèi)型極其復(fù)雜乘瓤，傳輸?shù)耐ㄐ艠?biāo)準(zhǔn)多樣化，如HTTP策泣、SMTP衙傀、FTP抬吟、SOAP等；而控制網(wǎng)絡(luò)的應(yīng)用數(shù)據(jù)類(lèi)型相對(duì)單一统抬，以過(guò)程數(shù)據(jù)為主火本，傳輸?shù)耐ㄐ艠?biāo)準(zhǔn)以工業(yè)通信標(biāo)準(zhǔn)為主，如OPC聪建、Modbus等钙畔。
通過(guò)比較商用網(wǎng)絡(luò)與控制網(wǎng)絡(luò)的差異可以發(fā)現(xiàn)，常規(guī)的IT網(wǎng)絡(luò)安全技術(shù)都不是專(zhuān)門(mén)針對(duì)控制網(wǎng)絡(luò)需求設(shè)計(jì)的槽悼，用在控制網(wǎng)絡(luò)上就會(huì)存在很多局限性埂荤。

[DividePage:NextPage]

    比如防火墻產(chǎn)品，目前基本是以包過(guò)濾技術(shù)為基礎(chǔ)的页梁，它最大的局限性在于不能保證準(zhǔn)許放行的數(shù)據(jù)的安全性屁蕾。防火墻通過(guò)拒絕放行并丟棄數(shù)據(jù)包來(lái)實(shí)現(xiàn)自己的安全機(jī)制。但防火墻無(wú)法保證準(zhǔn)許放行數(shù)據(jù)的安全性队淳。從實(shí)際應(yīng)用來(lái)看躺潘，防火墻較為明顯的局限性包括以下幾方面：
        1）、防火墻不能阻止感染病毒的程序和文件的傳輸千雏。就是防火墻只能做網(wǎng)絡(luò)四層以下的控制坝亿，對(duì)于應(yīng)用層內(nèi)的病毒、蠕蟲(chóng)都沒(méi)有辦法李荚。
        2）灰囤、防火墻不能防范全新的威脅，更不能防止可接觸的人為或自然的破壞鸥层。
        3）锐拟、防火墻不能防止由自身安全漏洞引起的威脅。
        4）慧邮、防火墻對(duì)用戶(hù)不完全透明调限，非專(zhuān)業(yè)用戶(hù)難于管理和配置，易造成安全漏洞误澳。
        5）耻矮、防火墻很難為用戶(hù)在防火墻內(nèi)外提供一致的安全策略，不能防止利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議中的缺陷進(jìn)行的攻擊忆谓，也不能防止利用服務(wù)器系統(tǒng)漏洞所進(jìn)行的攻擊裆装。
        6）、由于防火墻設(shè)置在內(nèi)網(wǎng)與外網(wǎng)通信的信道上倡缠，并執(zhí)行規(guī)定的安全策略哨免，所以防火墻在提供安全防護(hù)的同時(shí)，也變成了網(wǎng)絡(luò)通信的瓶頸昙沦，增加了網(wǎng)絡(luò)傳輸延時(shí)琢唾，如果防火墻出現(xiàn)問(wèn)題载荔，那么內(nèi)部網(wǎng)絡(luò)就會(huì)受到嚴(yán)重威脅。
        7）采桃、防火墻僅提供粗粒度的訪問(wèn)控制能力懒熙。它不能防止數(shù)據(jù)驅(qū)動(dòng)式的攻擊。
        另一方面脂壁，防火墻由于其自身機(jī)理的原因滩扩，還存在很多先天不足，主要包括：
        1）笆滓、由于防火墻本身是基于TCP/IP協(xié)議體系實(shí)現(xiàn)的槽顶，所以它無(wú)法解決TCP/IP協(xié)議體系中存在的漏洞。
        2）初肥、防火墻只是一個(gè)策略執(zhí)行機(jī)構(gòu)昭淋，它并不區(qū)分所執(zhí)行政策的對(duì)錯(cuò)，更無(wú)法判別出一條合法政策是否真是管理員的本意午螺。從這點(diǎn)上看墓枝，防火墻一旦被攻擊者控制，由它保護(hù)的整個(gè)網(wǎng)絡(luò)就無(wú)安全可言了跷它。
        3）容且、防火墻無(wú)法從流量上判別哪些是正常的，哪些是異常的唾诺，因此容易受到流量攻擊亮隙。
        4）、防火墻的安全性與其速度和多功能成反比垢夹。防火墻的安全性要求越高溢吻，需要對(duì)數(shù)據(jù)包檢查的項(xiàng)目（即防火墻的功能）就越多越細(xì)，對(duì)CPU和內(nèi)存的消耗也就越大果元，從而導(dǎo)致防火墻的性能下降促王，處理速度減慢。
        5）而晒、防火墻準(zhǔn)許某項(xiàng)服務(wù)蝇狼，卻不能保證該服務(wù)的安全性，它需要由應(yīng)用安全來(lái)解決倡怎。
防火墻正是由于這些缺陷與不足迅耘，導(dǎo)致目前被攻破的幾率已經(jīng)接近50%。雖然目前最流行的安全架構(gòu)是以防火墻為核心的安全體系架構(gòu)诈胜。通過(guò)防火墻來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)的安全保障體系豹障。然而冯事，以防火墻為核心的安全防御體系未能有效地防止目前頻頻發(fā)生網(wǎng)絡(luò)攻擊焦匈。僅有防火墻的安全架構(gòu)是遠(yuǎn)遠(yuǎn)不夠的称侣。
        其它安全技術(shù)如IDS、VPN淳胆、防病毒產(chǎn)品等與產(chǎn)品與防火墻一樣赁挚，也都有很強(qiáng)的針對(duì)性，只能管轄屬于自己管轄的事情螃方，出了這個(gè)邊界就不再能發(fā)揮作用照腐。IDS作為可審查性產(chǎn)品最大的局限性是漏報(bào)和誤報(bào)嚴(yán)重，幾乎不是一個(gè)可以依賴(lài)的安全工具担灭，而是一個(gè)參考工具贿册。漏報(bào)等于沒(méi)有報(bào)，誤報(bào)則是報(bào)錯(cuò)了寓综，這兩個(gè)特點(diǎn)幾乎破壞了入侵檢測(cè)的可用性睦忘。VPN作為一種加密類(lèi)技術(shù)，不管哪種VPN技術(shù)耿堕，在設(shè)計(jì)之初都是為了保證傳輸安全問(wèn)題而設(shè)計(jì)的砖啄，而沒(méi)有動(dòng)態(tài)、實(shí)時(shí)的檢測(cè)接入的VPN主機(jī)的安全性味廊，同時(shí)對(duì)其作“準(zhǔn)入控制”蒸甜。這樣有可能因?yàn)橐粋€(gè)VPN主機(jī)的不安全，導(dǎo)致其整個(gè)網(wǎng)絡(luò)不安全余佛。防病毒產(chǎn)品也有局限性柠新，主要是對(duì)新病毒的處理總是滯后的，這導(dǎo)致每年都會(huì)大規(guī)模地爆發(fā)病毒辉巡，特別是新病毒登颓。
         網(wǎng)絡(luò)隔離技術(shù)及防護(hù)產(chǎn)品
        1、網(wǎng)絡(luò)隔離技術(shù)
        在防火墻的發(fā)展過(guò)程中红氯，人們最終意識(shí)到防火墻在安全方面的局限性框咙。高性能、高安全性痢甘、易用性方面的矛盾沒(méi)有很好地解決喇嘱。防火墻體系架構(gòu)在高安全性方面的缺陷，驅(qū)使人們追求更高安全性的解決方案塞栅，人們期望更安全的技術(shù)手段者铜，網(wǎng)絡(luò)隔離技術(shù)應(yīng)運(yùn)而生。
        網(wǎng)絡(luò)隔離技術(shù)是安全市場(chǎng)上的一個(gè)分支放椰。在經(jīng)過(guò)漫長(zhǎng)的市場(chǎng)概念澄清和技術(shù)演變進(jìn)步之后绵颅，市場(chǎng)最終接受了網(wǎng)絡(luò)隔離具有最高的安全性。目前存在的安全問(wèn)題，對(duì)網(wǎng)絡(luò)隔離技術(shù)而言在理論上都不存在忙体。這就是各國(guó)政府和軍方都大力推行網(wǎng)絡(luò)隔離技術(shù)的主要原因济谢。
        網(wǎng)絡(luò)隔離技術(shù)經(jīng)過(guò)了長(zhǎng)時(shí)間的發(fā)展，目前已經(jīng)發(fā)展到了第五代技術(shù)怨级。第一代隔離技術(shù)采用完全的隔離技術(shù)情腥，實(shí)際上是將網(wǎng)絡(luò)物理上的分開(kāi)，形成信息孤島钮核；第二代隔離技術(shù)采用硬件卡隔離技術(shù)辰张；第三代隔離技術(shù)采用數(shù)據(jù)轉(zhuǎn)發(fā)隔離技術(shù)；第四代隔離技術(shù)采用空氣開(kāi)關(guān)隔離技術(shù)新掸；第五代隔離技術(shù)采用安全通道隔離技術(shù)欢巡。
        基于安全通道的最新隔離技術(shù)通過(guò)專(zhuān)用通信硬件和專(zhuān)有安全協(xié)議等安全機(jī)制，來(lái)實(shí)現(xiàn)內(nèi)外部網(wǎng)絡(luò)的隔離和數(shù)據(jù)交換教九，不僅解決了以前隔離技術(shù)存在的問(wèn)題斑卤，并有效地把內(nèi)外部網(wǎng)絡(luò)隔離開(kāi)來(lái)，而且高效地實(shí)現(xiàn)了內(nèi)外網(wǎng)數(shù)據(jù)的安全交換潭千，透明支持多種網(wǎng)絡(luò)應(yīng)用谱姓，成為當(dāng)前隔離技術(shù)的發(fā)展方向。
        網(wǎng)絡(luò)隔離的指導(dǎo)思想與防火墻也有很大的不同刨晴，體現(xiàn)在防火墻的思路是在保障互聯(lián)互通的前提下屉来，盡可能安全；而網(wǎng)絡(luò)隔離的思路是在必須保證安全的前提下狈癞，盡可能支持?jǐn)?shù)據(jù)交換茄靠，如果不安全則斷開(kāi)。
        網(wǎng)絡(luò)隔離技術(shù)主要目標(biāo)是解決目前信息安全中的各種漏洞：操作系統(tǒng)漏洞蝶桶、TCP/IP漏洞慨绳、應(yīng)用協(xié)議漏洞、鏈路連接漏洞真竖、安全策略漏洞等脐雪，網(wǎng)絡(luò)隔離是目前唯一能解決上述問(wèn)題的安全技術(shù)。

[DividePage:NextPage]

    2恢共、網(wǎng)絡(luò)隔離防護(hù)產(chǎn)品
        基于網(wǎng)絡(luò)隔離技術(shù)的網(wǎng)絡(luò)隔離產(chǎn)品是互聯(lián)網(wǎng)時(shí)代的產(chǎn)物战秋。最早出現(xiàn)在美國(guó)、以色列等國(guó)家的軍方柴炉，用以解決涉密網(wǎng)絡(luò)與公共網(wǎng)絡(luò)連接時(shí)的安全辟堡。在我國(guó)，最初的應(yīng)用也主要集中在政府青竹、軍隊(duì)等領(lǐng)域触晃，由于核心部門(mén)的信息安全關(guān)系著國(guó)家安全冗吟、社會(huì)穩(wěn)定，因此迫切需要比傳統(tǒng)產(chǎn)品更為可靠的技術(shù)防護(hù)措施皂计。國(guó)內(nèi)的網(wǎng)絡(luò)隔離產(chǎn)品也由此應(yīng)運(yùn)而生演侍。
        由于是應(yīng)用在可能涉及國(guó)家安全的關(guān)鍵場(chǎng)合，為了統(tǒng)一規(guī)范網(wǎng)絡(luò)隔離類(lèi)的技術(shù)標(biāo)準(zhǔn)鳖路，國(guó)家質(zhì)量監(jiān)督檢驗(yàn)總局及國(guó)家標(biāo)準(zhǔn)化管理委員及早制定了相應(yīng)的國(guó)家標(biāo)準(zhǔn)殊蜓，目前最新國(guó)標(biāo)為GB/T 20279-2006和GB/T 20277-2006凰番。
        隨著以電力為首的工業(yè)行業(yè)對(duì)網(wǎng)絡(luò)安全提出了更高要求后盏萝，網(wǎng)絡(luò)隔離產(chǎn)品也開(kāi)始在工業(yè)領(lǐng)域逐漸得到應(yīng)用。目前褒堆，已經(jīng)在工業(yè)領(lǐng)域用于控制網(wǎng)絡(luò)安全防護(hù)的網(wǎng)絡(luò)隔離產(chǎn)品主要有網(wǎng)閘澡呼、工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)等產(chǎn)品。這些產(chǎn)品大部分都是基于最新的第五代隔離技術(shù)開(kāi)發(fā)出來(lái)了厉碟，其主要的技術(shù)原理是從OSI模型的七層上全面斷開(kāi)網(wǎng)絡(luò)連接喊巍，同時(shí)采用“2+1”的三模塊架構(gòu)，即內(nèi)置有兩個(gè)主機(jī)系統(tǒng)箍鼓，和一個(gè)用于建立安全通道可交換數(shù)據(jù)的隔離單元崭参。這種架構(gòu)可以實(shí)現(xiàn)連接到外網(wǎng)和內(nèi)網(wǎng)的兩主機(jī)之間是完全網(wǎng)絡(luò)斷開(kāi)的，從物理上進(jìn)行了網(wǎng)絡(luò)隔離款咖，消除了數(shù)據(jù)鏈路的通信協(xié)議何暮，剝離了TCP/IP協(xié)議，剝離了應(yīng)用協(xié)議铐殃，在安全交換后進(jìn)行了協(xié)議的恢復(fù)和重建海洼。通過(guò)TCP/IP協(xié)議剝離和重建技術(shù)消除了TCP/IP協(xié)議的漏洞。在應(yīng)用層對(duì)應(yīng)用協(xié)議進(jìn)行剝離和重建富腊，消除了應(yīng)用協(xié)議漏洞坏逢，并可針對(duì)應(yīng)用協(xié)議實(shí)現(xiàn)一些細(xì)粒度的訪問(wèn)控制。從TCP/IP的OSI數(shù)據(jù)模型的所有七層斷開(kāi)后赘被，就可以消除目前TCP/IP存在的所有攻擊是整。

       （1）、網(wǎng)閘
         網(wǎng)閘類(lèi)產(chǎn)品誕生較早砍篇。產(chǎn)品最初是用來(lái)解決涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)之間的安全數(shù)據(jù)交換問(wèn)題秫丐。后來(lái)，網(wǎng)閘由于其高安全性妈扁，開(kāi)始被廣泛應(yīng)用于政府竹俱、軍隊(duì)、電力粘胧、鐵道摊房、金融、銀行、證券昨哑、保險(xiǎn)你朝、稅務(wù)、海關(guān)域毡、民航爪只、社保等多個(gè)行業(yè)部門(mén)。
          由于網(wǎng)閘產(chǎn)品的主要定位是各行業(yè)中對(duì)安全性要求較高的涉密業(yè)務(wù)的辦公系統(tǒng)考余，因此它提供的應(yīng)用也以通用的互聯(lián)網(wǎng)功能為主先嬉。例如，目前大多數(shù)網(wǎng)閘都支持：文件數(shù)據(jù)交換楚堤、HTTP訪問(wèn)疫蔓、WWW服務(wù)、FTP訪問(wèn)身冬、收發(fā)電子郵件衅胀、關(guān)系數(shù)據(jù)庫(kù)同步以及TCP/UDP定制等。
在工業(yè)領(lǐng)域酥筝，網(wǎng)閘也開(kāi)始得到應(yīng)用和推廣滚躯。但除了用于辦公系統(tǒng)外，當(dāng)用于隔離控制網(wǎng)絡(luò)時(shí)嘿歌，由于網(wǎng)閘一般都不支持工業(yè)通信標(biāo)準(zhǔn)如OPC掸掏、Modbus，用戶(hù)只能使用其TCP/UDP定制功能搅幅。這種方式需要在連接網(wǎng)閘的上阅束、下游增加接口計(jì)算機(jī)或代理服務(wù)器，并定制通信協(xié)議轉(zhuǎn)換接口軟件才能實(shí)現(xiàn)通信茄唐。
       （2）伴严、工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)
        工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)是近幾年新興的一種專(zhuān)門(mén)應(yīng)用于工業(yè)領(lǐng)域的網(wǎng)絡(luò)隔離產(chǎn)品，它同樣采用“2+1”的三模塊架構(gòu)辐芍，內(nèi)置雙主機(jī)系統(tǒng)贡垃，隔離單元通過(guò)總線技術(shù)建立安全通道以安全地實(shí)現(xiàn)快速數(shù)據(jù)交換。與網(wǎng)閘不同的是掷戚，工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)提供的應(yīng)用專(zhuān)門(mén)針對(duì)控制網(wǎng)絡(luò)的安全防護(hù)令久，因此它只提供控制網(wǎng)絡(luò)常用通信功能如OPC、Modbus等猫郎，而不提供通用互聯(lián)網(wǎng)功能沧唧。因此工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)更適合于控制網(wǎng)絡(luò)的隔離，但不適合辦公系統(tǒng)矩修。
        工業(yè)網(wǎng)絡(luò)安全防護(hù)網(wǎng)關(guān)是網(wǎng)絡(luò)隔離技術(shù)應(yīng)用于工業(yè)網(wǎng)絡(luò)安全防護(hù)的一種專(zhuān)業(yè)化安全產(chǎn)品叫砚。
        結(jié)束語(yǔ)
        近幾年啼康，因網(wǎng)絡(luò)病毒引起的工業(yè)事件層出不窮，工業(yè)網(wǎng)絡(luò)安全問(wèn)題已經(jīng)日益嚴(yán)峻铡涣，針對(duì)目前我國(guó)工業(yè)控制系統(tǒng)信息安全面臨的嚴(yán)峻形勢(shì)凑逗，2011年10月27日，工信部下發(fā)《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》否淤，強(qiáng)調(diào)了加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性悄但，并明確了重點(diǎn)領(lǐng)域如：石油石化、電力石抡、鋼鐵檐嚣、化工等行業(yè)工業(yè)控制系統(tǒng)信息安全管理要求。石化工業(yè)是國(guó)家的基礎(chǔ)性能源支柱產(chǎn)業(yè)汁雷，信息安全在任何時(shí)期净嘀、任何國(guó)家地區(qū)都備受關(guān)注报咳。能源系統(tǒng)的信息安全問(wèn)題直接威脅到其它行業(yè)系統(tǒng)的安全侠讯、穩(wěn)定、經(jīng)濟(jì)暑刃、優(yōu)質(zhì)的運(yùn)行厢漩，影響著系統(tǒng)信息化的實(shí)現(xiàn)進(jìn)程。維護(hù)網(wǎng)絡(luò)安全岩臣，確保生產(chǎn)系統(tǒng)的穩(wěn)定可靠溜嗜、防止來(lái)自?xún)?nèi)部或外部攻擊，采取高安全性的防護(hù)措施都是石化信息系統(tǒng)安全不可忽視的組成部分庇启。

聲明：本網(wǎng)站所收集的部分公開(kāi)資料來(lái)源于互聯(lián)網(wǎng)丢墅，轉(zhuǎn)載的目的在于傳遞更多信息及用于網(wǎng)絡(luò)分享，并不代表本站贊同其觀點(diǎn)和對(duì)其真實(shí)性負(fù)責(zé)盛媚，也不構(gòu)成任何其他建議莽简。本站部分作品是由網(wǎng)友自主投稿和發(fā)布、編輯整理上傳撤忆，對(duì)此類(lèi)作品本站僅提供交流平臺(tái)淹宽，不為其版權(quán)負(fù)責(zé)。如果您發(fā)現(xiàn)網(wǎng)站上所用視頻矿钩、圖片劫丧、文字如涉及作品版權(quán)問(wèn)題，請(qǐng)第一時(shí)間告知蛀家，我們將根據(jù)您提供的證明材料確認(rèn)版權(quán)并按國(guó)家標(biāo)準(zhǔn)支付稿酬或立即刪除內(nèi)容浊待，以保證您的權(quán)益！聯(lián)系電話：010-58612588 或 Email:editor@mmsonline.com.cn馅溉。