工業(yè)控制系統的范疇一般包括：分散控制系統 ( DIcS ) 、現場(chǎng)總線(xiàn)控制系統 ( FCS ) 、安全儀表系統 ( SIS ) 、數據采集和監控系統 ( SCADA ) 、可編程邏輯控制器 ( PLC ) 、工業(yè)控制計算機系統 ( IPC ) ( 含嵌入式計算機系統 ) 、機組控制系統 ( CCS ) 等。2000 年以前的 DCS 等控制系統一般都有自己獨立的操作系統，其開(kāi)放性及通用性較弱。但當今時(shí)代的控制系統一般使用通用的開(kāi)放的 Windows 操作系統，使用 OPC 采集數據，網(wǎng)絡(luò )采用冗余工業(yè)以太網(wǎng)模式，尤其是服務(wù)器結構的 DCS，一旦服務(wù)器出現異常，受侵害的不僅僅是一個(gè)操作站，而是整個(gè)系統的癱瘓。
越來(lái)越多的工控安全事件表明，來(lái)自工廠(chǎng)信息網(wǎng)絡(luò )、移動(dòng)存儲介質(zhì)、互聯(lián)網(wǎng)以及其他因素導致的網(wǎng)絡(luò )安全問(wèn)題正逐漸在控制系統中擴散。二、工業(yè)控制系統安全管理外來(lái)安全1. 邊界防護邊界防護是指過(guò)程控制層、操作監控層應通過(guò) OPC 服務(wù)器、網(wǎng)絡(luò )隔離設備向數據服務(wù)層傳輸數據。OPC 服務(wù)器與數據服務(wù)層相連的網(wǎng)卡應獨立設置。不同應用的 OPC 服務(wù)器應獨立設置，禁止 OPC 服務(wù)器與工程師站共用。網(wǎng)絡(luò )隔離設備應獨立配置，禁止采用帶有防火墻功能的網(wǎng)絡(luò )交換機替代，禁止采用軟件隔離代替硬件隔離。網(wǎng)絡(luò )隔離設備應具備工業(yè)協(xié)議內容識別和網(wǎng)絡(luò )訪(fǎng)問(wèn)控制能力，并啟用網(wǎng)絡(luò )訪(fǎng)問(wèn)策略保障雙向通信安全。網(wǎng)絡(luò )訪(fǎng)問(wèn)為雙向訪(fǎng)問(wèn)時(shí)，宜使用工業(yè)防火墻；網(wǎng)絡(luò )訪(fǎng)問(wèn)為單向訪(fǎng)問(wèn)時(shí)，可使用網(wǎng)閘或者數據采集隔離網(wǎng)關(guān)。
2. 主機防護
主機防護是指在 DCS 服務(wù)器和操作站上部署 DCS 探針軟件，用于采集監視 DCS 操作站核心控制及應用系統運行狀態(tài)、安全隱患、異常及威脅等。采集方式為定期采集，采集數據采用加密的 HTTPS 通信通道保證數據安全不被篡改。DCS 探針采集的數據包括系統故障、系統漏洞及補丁、系統配置、系統資源占用、用戶(hù)操作行為、網(wǎng)絡(luò )連接、網(wǎng)絡(luò )服務(wù)、DCS 核心業(yè)務(wù)進(jìn)程、服務(wù)啟停、防護能力狀態(tài)、防護系統、外部存儲接入等。同時(shí)部署硬件主機探針用于匯聚抑制 DCS 探針采集數據并轉發(fā)給監控中心服務(wù)器，用于分析 DCS 網(wǎng)絡(luò )服務(wù)啟停狀態(tài)、異常重啟、在線(xiàn)狀態(tài)、健康狀態(tài)和防護系統啟停狀態(tài)等。
3. 網(wǎng)絡(luò )防護1 ) 部署防病毒軟件 為了防止來(lái)自使用 U 盤(pán)、光盤(pán)等移動(dòng)存儲介質(zhì)導致的病毒傳播，可以在控制網(wǎng)的 DCS 操作站和服務(wù)器上安裝經(jīng)過(guò) DCS 廠(chǎng)家認證的網(wǎng)絡(luò )版殺毒軟件。防病毒軟件優(yōu)先選用主動(dòng)式病毒防護軟件，以防止防病毒軟件攻擊正常操作軟件導致事故發(fā)生，同時(shí)采用具有進(jìn)程和服務(wù)配置功能的應用程序白名單和黑名單策略，并在網(wǎng)絡(luò )上連接 1 臺病毒庫升級服務(wù)器，為每個(gè)操作站安裝經(jīng)過(guò) DCS 廠(chǎng)家認證的最新的 Windows 補丁。建議工業(yè)控制系統在工廠(chǎng)安裝、組態(tài)開(kāi)發(fā)、測試期間應同步安裝防病毒軟件。發(fā)現該系統疑似被病毒感染時(shí)，應按照應急預案及時(shí)采取緊急防護措施，防止事件擴大。2 ) 安裝網(wǎng)絡(luò )探針 一般是在 DCS 控制網(wǎng)交換機上配置全流量鏡像網(wǎng)絡(luò )探針。網(wǎng)絡(luò )探針具備對鏡像流量，資產(chǎn)發(fā)現、異?；ヂ?lián)分析、分布式拒絕服務(wù)攻擊 ( DDOS ) 攻擊監測、互聯(lián)監控、異常及危險指令監測和異常流量監測等功能。自身安全1. 預知維護工業(yè)控制系統預知維護，就是通過(guò)維護數據，結合該系統故障的歷史、現狀和運行環(huán)境等進(jìn)行綜合判斷分析，預測工業(yè)控制系統隱患的發(fā)展趨勢，搶在系統出現故障前提出防范措施和治理對策，將故障消滅在萌芽狀態(tài)。如某石化公司要求各控制系統的維護人員每月至少做一次預知維護，根據對操作站的故障分析，預知維護首先從每月主動(dòng)重啟 1 次操作站，定期清理操作站軟件垃圾和病毒開(kāi)始，督促企業(yè)變被動(dòng)維護為預知維護、主動(dòng)維護，降低工業(yè)控制系統的故障次數。2. 資產(chǎn)管控資產(chǎn)管控是指采集和整合 DCS 等控制系統運維所需的多種動(dòng)態(tài)、靜態(tài)信息，建立工業(yè)控制系統資產(chǎn)管控實(shí)時(shí)平臺，實(shí)現基礎資料信息化，提高維護效率，方便運維人員維護。資產(chǎn)管控的信息包括：DCS 配置邏輯結構圖、機柜布置圖、DCS 復雜控制回路組態(tài)信息、DCS 卡件類(lèi)型、數量、安裝時(shí)間、維修記錄、IO 通道空余數量等信息統計及資源管理。
三、工業(yè)控制系統安全監控平臺智能制造業(yè)工業(yè)控制系統安全監控平臺主要包括：DCS 探針軟件、主機探針 ( 硬件 ) 、網(wǎng)絡(luò )探針 ( 硬件 ) 、生產(chǎn)網(wǎng)與辦公網(wǎng)間工業(yè)防火墻 ( 硬件 ) 、辦公網(wǎng)監控中心服務(wù)器等，在保證不影響現有 DCS 正常監控業(yè)務(wù)、不改變現有 DCS 網(wǎng)絡(luò )拓撲結構和保證 DCS 自身安全的同時(shí)，監控整個(gè) DCS 的安全隱患、異常和威脅狀態(tài)等，實(shí)現工業(yè)控制系統的安全可視化監控。充分利用網(wǎng)絡(luò )態(tài)勢感知先進(jìn)、成熟、高效的解決方案，結合企業(yè)工業(yè)控制網(wǎng)絡(luò )的運營(yíng)環(huán)境、業(yè)務(wù)與威脅的特殊性，實(shí)現網(wǎng)絡(luò )防護與安全運維的有機結合，重點(diǎn)提升工業(yè)控制生產(chǎn)安全監測、網(wǎng)絡(luò )安全態(tài)勢感知、安全防護和應急處置能力，為全面落實(shí)《網(wǎng)絡(luò )安全法》對工業(yè)控制網(wǎng)絡(luò )安全的防護要求打下堅實(shí)基礎。充分利用大數據分析、物聯(lián)網(wǎng)、可視化交互等技術(shù)手段，對工業(yè)控制網(wǎng)絡(luò )內重要資產(chǎn)的生產(chǎn)環(huán)境、運行狀態(tài)、安全風(fēng)險、網(wǎng)絡(luò )威脅進(jìn)行多級別、多粒度、多維度的信息安全監管與保障，為目標用戶(hù)提供海量資產(chǎn)管理、系統自動(dòng)運維、異常行為監控、網(wǎng)絡(luò )威脅預警與工業(yè)生產(chǎn)安全早期預警等核心能力。
