1、CS 系統安全風險應關于摘要CS 系統安全分析當前工業控制系統存在的風險，提出部分在現關鍵詞：CS 系統安全；防火墻；網絡架構CSSCAA（Supervisory Control An ata Acquisition）數據采集與監控系典范的CS人機接口）SCAA（Supervisory Control An ata Acquisition）數據采集與監控系HMI可以關于現場的運行設備進行實時監視和控制，以實現數據采集、設備控制、測量、參數現場的運行設備進行實時監視和控制，以實現數據采集、設備控制、測量、參數調節以及各類信號報警等各項功能。調節以及各類信號報警等各項功能。與傳統的信息系統安全需求

2、不同，CS系統設計需要兼顧應用場景與控制管臨的通病。CS系統安全風險分析及應關于方法實施相應的安全保證策略是確保CS系統穩定運行的有效手段。操作系統與外接設備交互的風險性安全防御措施的CSCS策略。應關于方法：制定關鍵設備信息安全的評測制度，防范關鍵設備中的預留后門移動存儲介質的使用應當契合管理規則。YOKOGAWA CENTUM CS3000 Win-XP 環境下存在的安全1000 YOKOGAWA CENTUM CS3000 集散控制系統，CS3000 Winows 平臺，從而給其自身的系統安全性帶來較大隱患。為此，歸納了當前運行版本的CS3000 系統在工程應用中涉及到的安全問題的實際處

3、理方法。FCS0101FCS0107機柜間Switch 1Switch 2Switch 1Switch 2HIS0145HIS0160HIS0163HIS0164中控室扶助工程師站OPC主工程師站該裝置的控制系統軟件版本為 R3.08 ， 其操作系統為 Winows XP AI 5378 1820 706 711 FCS0101FCS0107機柜間Switch 1Switch 2Switch 1Switch 2HIS0145HIS0160HIS0163HIS0164中控室扶助工程師站OPC主工程師站扶助機柜間3 MpWinows 系統設置。CS 系統安全措施做得不夠完備，未將與Winows-X

4、P CS3000 系統提供安全的運行環境。Winows XP Professional USB 接口均處于“自動播放” 狀態，即使在“CENTUM esktop”環境下，當放入光盤或插入移動存儲設備時Winows 95 s sPl 平臺賦Winows Ms 鍵”的組合功能未被完全屏蔽，用戶可經過“Winows 鍵”的組合功能關于系統設置進行修改。CS 安全性。改進措施：“Winows 鍵”調出開始菜單解決方案將操作站的普通鍵盤改為專門用于操作的操作員鍵盤1000 萬噸煉油系統在項目建設初期就考慮到上述安全隱患，關于一切的操作站都配置了操作員鍵盤（s”鍵，一方面解決了安全winows 行相關設置

5、：禁用鍵盤上的“Winows 鍵”組合功能T 1 鍵”即被禁用。隱藏“CENTUM”用戶權限下開始菜單中影響系統安全的無關組件Utilityesktop”并且登陸一次后，重新進CENTUM 屏蔽“CENTUM”用戶權限下由任務欄圖標進入硬盤目錄的途徑cesktop”環境后，任務欄圖標消失，無法由該處進入硬盤目錄。取消“CENTUMUSB 接口的自動播放功能cCENTUM esktop”環境后，自動播放功能即可取消。USB 接口的存儲設備接入功能由于小型移動存儲設備的普及化，U 應盡力避免因移動存儲設備帶來的病毒感染。USB 接口的存儲設備接入功能Tt”修改為“USB 接口的存儲設備接入功能即被

6、去除。usb 移動存儲設備點擊開始在運行關于話框中輸入 regei t 打開注冊表編輯器，依次展開HKEY_LOCAL MACHINESYSTEMcurrentControlSetServicesusbehci雙擊右面的“Start”鍵，把編輯窗口中的“數值數據“改為“4”(提示： “Start”這個鍵是 USB 設備的工作開關，默認設置為“ 3”表示手動， “2”是表示自動，“4”是表示停用)，把基數選擇為“十六進制”就可以了。這時再插入 usb 移動存儲設備，在“我的電腦”里顯示不出usb 移動存儲設備的盤符，在地址欄內輸入盤符也提示無法訪問。此方法在實際使用中應注意的是，關于于需要使用的

7、 USB 接口，在完成上述設置后，會導致重新拔插 USB 接口后設備無法使用。工控平臺的風險性隨著 TCP/IP行。目前，多數CS網絡僅經過部署防火墻來保證工業網絡與辦公網絡的相關于隔離，各個工業自動化單元之間缺乏可靠的安全通信機制，例如鑒于COM 編程規矩的OPC接口簡直不可能使用傳統的IT防火墻來確保其安全性。數據加密效果不控制系統的安全防御能力十分有限。應關于方法：就目前而言，傳統的IT防火墻已無法滿足工業控制系統的需求， 但越來越多的控制系統廠家注重網絡安全，在控制層面就加裝了防火墻。同時， 市面上也有工業級防火墻的出現，針關于控制層的網絡協議作出相應的防護，關于Mobus和OPC的協

8、議內容進行檢查和連接管理。不管是控制系統本身自帶的防火墻還是專業的工業級防火墻，都可以針關于工控平臺的風險性起到填補作用。以下為Honeywell公司工控平臺風險性應關于方案：HoneywellPKS 進程控制系統是霍尼韋爾最新一代進程自動化系統，它的FTE容錯以太網提供了HONEYWELL 的四路冗余通訊專利技術，可經過網絡通訊接口卡與C300PC 連接，避免了因單點故障而引起的系統癱瘓，大大提高了系統性能。FTE具有出色魯棒性連網方案的特點：FTE 節點之間有4 個通信路徑，關于電纜和電子設備中的各種多重故障具有容錯功能，關于PC 應用程序具有透明性，并且節點切換至其他網絡所用的時間可能超

9、過30 秒鐘，同時取決于網絡的復雜性和Honeywell 的FTE 網絡使用單一網絡，不需要服務器和工作站來1 FTE 由多路選擇邏輯單網FTEA一個支持FTEB。其網絡結構如下圖所示PKS系統為保證其控制網絡安全性，采用了Control 功能塊，它支持C C和現場接口模塊提供9口FTEC300及C系列現場端口模塊都必需與Control PKS Control 與PKS L1L2Cisco 24V 之間只可并且接不可串接。當發生故障時，指示燈顯示。Control 輸入輸出端子板可連接控制器，C系列現場接口模塊及FTE網絡交下圖為Control Firewall與控制器的連接示意圖：Contro

10、l 可以防止系統出現電腦安全泄密，保證系統可用性；可以防Honeywell公司還可以為客戶提供專業的防病毒專業技術服務，以保護服務器、操作站、工程師站等避免受到安全侵害。其具體工作如下：1、防病毒系統的部署。經過三層交換機或防火墻保證不同控制系統之間的和組態工作；在一切設備中安裝防病毒引擎。2、防病毒軟件與操作系統補丁測試。保證防病毒軟件與操作系統補丁與控制系統相兼容。3、防病毒軟件的更新。廠商會定期為客戶提供經過測試病毒庫更新或補丁的V、C光盤。工業級防火墻功能（TOFINO）：1、防火墻LSM：指揮和控制工業網絡的通信；2Mobus 和 OPC協議增強型LSM:Mobus和OPC的協議內容

11、檢查和連接管理；3、VPN LSM:采用VPN（虛擬專用網絡）保證了遠程通信的信息安全；4、安全資產管理LSM：跟蹤和識別網絡設備；5、事件記錄器LSM：可靠地記錄一切安全事件日志和警報。針關于信息層（Information zone）與操作站層（Station zone）之間， OPC 接口。針關于操作站層面（Station zone）各個節點之間的相互影響，我們將OPCServer，工程師站以及高級應用先控站這三個節點分為一組，經過Tofino模塊進行隔離。針關于控制器防護層（Controller zone），將自身保護能力較弱的控制離，該層面通訊通常采用制造商專有協議，且是冗余結構。丁管理效果始終無法令人滿意，考慮到CS補丁升級所存在的運行平臺與軟件版本限制，以及系統可用性與連續性的硬性要求，CS系統管理員絕不會輕易安裝非CS設備制造商指定的升級補丁。與此同時，工業系統補丁動輒半年的補丁發動化與控制設備提供商西門子就曾因漏洞公布不即時而飽受質疑。相關信息發布，來防范工業控制系統的漏洞。網絡的風險性通用以太網技術的引入讓CSCSCS應關