钢铁行业工业控制网安全隔离解决方案

《钢铁行业工业控制网安全隔离解决方案》由会员分享，可在线阅读，更多相关《钢铁行业工业控制网安全隔离解决方案（11页珍藏版）》请在金锄头文库上搜索。

1、钢铁行业物理隔离解决方案钢铁行业是我国基础性产业，在一段时期内也曾经成为国民经济的支柱产业。但是目 前，钢铁企业的信息化建设中存在着许多象“信息孤岛”、“安全隐患”等问题。行业背景分析：在冶金工业自动化过程中，连铸机结晶器液面控制器、燃烧控制系统、炼 钢智能控制系统、轧薄带智能控制系统、高精度板厚控制器、SCADA系统以 及DCS分散控制系统越来越广泛地应用在冶金行业的生产控制过程中；以高 效、高产、优质为目的局部工艺已经实现无人化；可视化技术和监控系统在企业 生产、经营活动中正在发挥作用。同时MIS、CIMS、ERP也被广泛应用于企业管 理过程中，使企业的生产管理产生了革命化的转变。但是“十

2、里钢城”生产流程 日夜畅通，而信息流程却处处阻断，形成一个又一个的信息孤岛。特别是MIS 网和DCS网之间的连接，由于担心控制网被攻击，往往将这两个网完全隔离。然 而信息化的优势，正在于生产质量监控与管理控制的实时性。这样不仅很不方便， 而且也无法及时获得实时的生产信息，极大地影响了管理的效率和质量，以及企 业整体竞争力的提升。为了获取现场的生产信息，许多企业采用拷盘或人力传递的方式传送信息。 宝钢流传着这样一个故事。每天凌晨2点，派专人开着吉普车从高炉采集数据， 然后送到MIS网，一直到凌晨4点。人工采集不仅极不方便也无法实时地采集到 现场的数据。实时采集准确的生产数据并加以控制是钢铁企业信

3、息化面临的难 题。因此需要有一个安全有效的技术来解决工业控制网与MIS网之间互联互通的 问题。但是随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物 联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用 软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制 系统扩散，工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事 件，充分反映出工业控制系统信息安全面临着严峻的形势。2011年工信部发布了关于加强工业控制系统信息安全管理的通知，通知 要求，各地区、各部门、各单位务必高度重视工业控制系统信息安全管理，增 强风险意识、责任意识和紧迫感

4、，切实加强。加强数据采集与监控安全（SCADA 安全）、分布式控制系统安全（DCS安全）、过程控制系统安全（PCS安全）、可 编程逻辑控制器安全（PLC安全）等管理的重点领域包括核设施、钢铁、有色、 化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市 轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。通知特别要求：1. 断开工业控制系统同公共网络之间的所有不必要连接。2. 对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、 单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。安全风险与技术手段分析：MIS系统与DCS系统沟通不畅，形成信

5、息孤岛，控制网络的实时数据不能被 合理利用，企业有限资源得不到充分利用，形成巨大浪费。如果MIS系统与DCS 系统相连，这可以大大减轻人力、还便于管理而且还可以充分利用实时采集的数 据对现场采集的数据进行及时的分析和作出正确的决策。但是MIS系统与DCS系统相连。可能从MIS系统会引入DoS攻击，导致控制 网络的瘫痪，可能会造成极为严重的后果和重大的经济损失。如今的互联网，病 毒、入侵、系统漏洞、软件后门等网络安全隐患都严重阻碍了行业信息化的发展。 一些非法组织更是利用互联网进行犯罪活动，黑客入侵事件变得越来越猖獗，给 企业和国家带来的损失和威胁也日益加大。同时，网络也成为国际恐怖分子和网 络

6、商业犯罪的温床。如果网络安全得不到保证，必将给行业生产带来严重的威胁， 并可能造成政治、经济等各方面的巨大损失。钢铁企业网络信息系统的安全和正 常运营，包括其中的生产设备运行安全和信息数据安全，日益成为不可忽视和需 重点解决的问题。为了防止这些不安全因素利用管理系统MIS网作为跳板危害 控制系统DCS/SCADA，我们必须引入一个万全的安全方案。保证安全的方法很多，例如：工业防火墙多层过滤、通道控制、侵袭报警等等， 但是由于这些技术都是基于软件的控制方法，存在被操纵控制的可能，不能保证 绝对的安全。工业防火墙的弊病很多，其中最突出的就是它的自身防护能力。它 们本身就存在着许多安全漏洞和问题。也

7、就是说自身难保，一个连自身的安全都 无法保证的网络安全装置又如何去保护一个网络的安全呢？此外，工业防火墙的 网络防护能力也非常有限，工业防火墙的系统结构都是采用单一的处理器结构。 也就是说，只有一道防线和一层“安全检测”机制。工业防火墙自身安全性的弱 点，再加上它的单一处理器的系统机构，使得传统工业防火墙成为一个极易被攻 破的虚设的防线。传统的工业防火墙是一种被人们广泛使用的连接互联网的网络 安全设备。然而，人们常常发现被工业防火墙防护的网络依然常常被黑客和病毒 攻击。现在有很多网络攻击都是发生在有工业防火墙的情况下，根据美国财经杂 志统计资料表明，30%的入侵发生在有工业防火墙的情况下，所以

8、“工业防火墙 之父”马尔科斯都宣称，他再也不相信工业防火墙。工业防火墙的弊病很多，其 中最突出的就是它的自身防护能力。它们本身就存在着许多安全漏洞和问题。也 就是说自身难保，一个连自身的安全都无法保证的网络安全装置又如何去保护一 个网络的安全呢？此外，工业防火墙的网络防护能力也非常有限。为什么工业防火墙会有这样的弊病呢？这要从工业防火墙的设计理念和系统 机构谈起。大部分的工业防火墙是基于“在保证使用的前提下，尽可能的做到安 全”的设计理念设计的。也就是说，保证可用性高于安全性。此外，工业防火墙 的系统结构都是采用单一的处理器结构。也就是说，只有一道防线和一层“安全 检测”机制。工业防火墙自身安

9、全性的弱点，再加上它的单一处理器的系统机构， 使得传统工业防火墙成为一个极易被攻破的虚设的防线。因此，国家保密局提出 通过物理隔离来保证军队、政府、金融、媒体等机要部门的真正安全。此外， 绝大大部分工业防火墙和网络安全物理隔离产品继承了 PC平台的所有弊病，他 们表现在：a) 安全性极差：PC软硬件平台是目前使用最广泛的计算机系统也是最易受 攻击的系统；b) 可靠性极差：这也是是众所周知的；c) 启动时间很长：和所有的PC一样，启动将需要1 -2分多钟的时间；d) 功耗大：PC的功耗在130-150瓦；e) 噪音很大：用工控机实现的工业防火墙有两个风扇，pc散发大量的热量， 全部通过两个风扇散

10、发热量。方案介绍:北京数码星辰科技有限公司依靠强大的技术实力，提出了一种安全传输DCS 系统数据到MIC系统的方案。这一方案保证了 DCS上的数据实时传送到MIS系统 中，而且保证MIS系统的绝对安全。单向物理隔离网闸是设置在实时控制区（和非控制生产区）与生产管理区之 间的网络隔离设备。隔离装置分为正向型隔离装置（如下图所示）和反向型隔离 装置。正向型隔离装置用于将实时控制区的相关信息传给生产管理区，同时阻止 任何数据信息进入实时控制区，从而有效地防止了任何网络供给的可能性。 不同的安全区确定了不同的安全防护要求，从而决定了不同的安全 等级和防护水平。根据系统的特点、目前状况和安全要求，整个二

11、次系统分为四个安 全工作区：实时控制区、非控制生产区、生产管理区、管理信息区。 安全区I是实时控制区，安全保护的重点与核心。安全区11是非控制生产区。 安全区III是生产管理区。安全区IV是管理信息区。由于实时控制区（安全区I）直接控制和管理网络的运营设备，因此也是网 络保护的重中之重。北京数码星辰科技有限公司自主研发的宇宙盾单向安全隔离网闸，就是 根据这一要求而设计的正向型安全隔离网闸，在整个设计过程中，我们的技 术方案和技术细节均经过国家网络安全专家的严格审核和认可，并经过严格 的测试分别获得了公安部、总参和国家电力网的安全合格认证。国家钢铁计算机控制网络的安全是关系到国家经济利益与国家安

12、全的重大 问题。因此钢铁计算机网络的安全防护是一项非常严肃、认真和重要的工作。北 京数码星辰科技有限公司充分地认识到这一问题的重要性。我们不仅仅提供网络 物理隔离设备，更重要的是我们可以为用户提供一个完整的，可靠的和全面的安 全解决方案。数码星辰提出的钢铁生产安全解决方案把保证被保护网络的绝对安 全和可靠运行作为我们设计的最高准则。对于安全性、可靠性、使用方便性的考 虑不仅仅局限在设备的设计上，而也建立在整个解决方案的规划上。这一解决方案具有以下特点：1. 严格的单向传输控制2. 无懈可击的“整体防护”功能3. 高可靠的设计4. 完整的网络故障定位和检查机制5. 方便的用户界面北京数码星辰科技

13、有限公司提出的物理隔离方案适用于省、地和县调度中心 （包括农调中心）、钢厂的生产控制网与管理网之间的通讯的隔离和防护。该解 决方案将实时控制区、非控制生产区与生产管理区完全的物理隔离，并保证控制 区、非控制生产区可向生产管理区有效地传输数据，但反过来，任何网络入侵、 病毒的攻击均被有效地阻隔，这样就可在最大限度上防止黑客、病毒的侵害。钢铁DCS网和MIS网络隔离的解决方案钢铁生产高炉的控制网（DCS网）是属于控制区的需要重点保护的生产控 制网。然而为了让管理部门及时地了解生产的状况，有必要将DCS网上的机 组的运行参数及时地送到管理区的MIS网，这将极大地改善管理部门对钢厂的 生产管理和控制。

14、为了防止来自MIS网可能的网络攻击和入侵，必须在DCS 网和MIS网之间建立物理隔离。下图所示就是北京数码星辰设计的DCS网和MIS网隔离的解决方案。生产高炉瑙IE生产司炉 /I每个接口机通过相应的隔离装置进入一个交换机，该交换机与生产楼的数据 库接口机相连（如上图所示）。控制室发出的控制数据定时地存在与之连接的接 口机上，然后依次通过我们的隔离装置后，发送到生产楼的数据库接口机，接口 机在收到控制数据后写入数据库中。方案优点和优势：北京数码星辰凭借着丰富的设计经验和强大的技术优势根据网络安全设备 高性能、高安全性、高可靠性和使用方便性的特殊要求出发，采用自主设计的堡 垒式网络安全设备专用平台

15、。我们的专用硬件平台综合考虑了网络安全设备的高 安全性、高可靠性和高性能的要求，采用数码星辰在加拿大研发的 ISSA（Integrated System Security Architecture 整体安全结构）” “ DSR（Dynamic Self-Recovery动态自恢复技术）”和“HSF（High Speed Forwarding高速转接技术）” 技术，时网络安全装置的安全性、可靠性和传输性能等各项指标均产生了革命化 的变化。全面超过了所有基于工控机体系结构的工业防火墙和物理隔离设备。公司所有产品的设计遵循高安全性、高可靠性和方便用户的原则。同时把 保护网络和设备的绝对安全作为最高的

16、设计准则。“千里之堤溃于蚁穴”，一个防 护再严密的网络安全装置，如果有一个漏洞被忽略就会使整个安全防护系统崩 溃。数码星辰清楚地认识到这一问题的重要性和严重性，率先提出了 “整体安 全防护技术”新理念。在系统硬件、操作系统、网络协议、访问控制以及用户界 面等所有的层次均进行了安全设计，形成了一个完整的、无懈可击的网络安全设 备。这一理念不仅仅考虑了来自网络的攻击和破坏，而且也考虑了来自非网络的 破坏。其中对于防止国外芯片“后门”、操作系统防加载技术、防止用户界面的 攻击等等均是基于这一理念的独特的设计思路。这一独创的设计理念，使得网络 安全防护的安全度提升到了一个无可比拟的新高度。本系统具有一般工业防火墙 和物理隔离器无法实现的整体防护功能。宇宙盾/宇宙盾物理隔离装置是一种用于要求保证网络“绝对安全”环境中 使用的网络安全产品。产品的设计遵循高安全性、高可靠性和方