杭州烟草配送工业信息网安全研究和探索

杭州烟草配送工业信息网安全研究和探索

陈威1李帅1邵晓慧2

（1杭州市烟草专卖局（公司）浙江杭州3100002浙江省烟草专卖局浙江杭州310000）

摘要：随着工业信息化进程的快速推进，信息化工业控制技术在杭州烟草工业环境中得到了广泛的应用，信息技术在提高烟草分拣配送作业的工作效率的同时也面临着病毒、木马、黑客入侵等信息安全风险威胁，本次将探索杭州烟草工业信息网安全安全防护方式，重点研究工业网安全需求和防护方法，探索边界阻断，授信工业程序等技术防控手段在工业网安全中的作用和实施方式，有效提高工业网的信息安全防控能力。

关键词：工业信息网；信息安全；技术防控；管理防控

1杭州工业网安全现状、风险分析

1.1现状说明

杭州烟草企业配送中心网络划分为工业生产网和办公管理网，随着工业信息化进程的快速推进，工业生产网打破以往封闭性，通过光纤与管理网互联。生产网由于业务发展需要，引入手持终端通过无线方式接入网络，同时，为方便工作人员移动办公需要提供VPN接入方式。目前工控系统主要包含物流分拣系统、高架库系统、分拣监控系统等。烟草配送中心的生产业务流程为烟草分拣任务下发至分拣线，分拣线向件烟库提交订单，件烟库根据订单从高架库获取烟草，最后由物流分拣系统上位机下发分拣指令，启动分拣线运转，控制包装机完成分拣任务。

1.2工业网风险分析

1.2.1计算环境风险分析

工控终端作为工控系统的核心大脑，负责工控系统任务指令的下发，是确保工控生产业务正常运行的根本。因此，保证工控终端的安全是工控系统安全的重中之重。工控终端目前存在的安全风险体现在以下几个方面：一是测控终端操作系统和应用层面用户权限划分不明确，容易出现越权访问、非法操作等风险；二是终端、计算机外设接口等接入限定不够明确，移动存储介质的无序使用，可能引入恶意代码、病毒的风险；三是工作人员的违规操作，对工控终端非法接入互联网的行为无法实时控制；

1.2.2系统信息化风险分析

随着互联网技术的发展及商烟工控系统生产业务需要，工控系统开放性越来越强，而工业系统集成度高和业务需求大，使得应用于传统信息系统的软硬件配备集成到了工控系统中，杭州烟草工控系统中大量的使用了PC服务器和以及相应的终端产品，打破了原来传统工业控制系统“孤立”的安全环境，主要体现在以下几个方面，一是管理网络与生产网络之间的隔离不明显：对于配送中心工业控制系统与管理网络之间是互联而没有进行有效隔离的，导致工控系统与管理网络交叉性大、界限不明显，一旦发生攻击容易传播整个系统；二是缺少恶意代码防范机制：考虑到工控系统业务应用与防病毒软件出现过兼容性问题，在现有工控系统中不能通过传统的部署防病毒软件来提升系统的防病毒能力；三是网络情况缺少实时监测：网络链路、节点出现故障无法及时预警，影响处理安全事件的响应速度，不利于工控系统的可靠运行。

2工业网安全需求分析

2.1物理安全需求

物理安全作为工控系统基础保障措施尤为重要，一旦物理基础设置建设不当或安全级别不达标所造成的损失是不可估量的，所以做好物理安全防护是工控系统安全保护建设必须的要求，安全需求有一下几点，一是机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；二是机房出入口应安排专人值守，控制、鉴别和记录进入的人员，并对进出机房的人员进行申请和审批的流程；三是应建立备用供电系统，以防断电后对工控系统的重要数据造成破坏；四是应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

2.2网络安全需求

工业网的应用相对于传统局域网更加单一，网络高效和稳定是工业网第一要务，因此在考虑工业网安全需求时，安全工作应服务于高效和稳定的网络应用，安全需求有一下几点，一是保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；二是重要网段与其他网段之间采取可靠的技术隔离手段；三是对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应能够根据记录数据进行分析，并生成审计报表。

2.3主机安全需求

工业网主机有别与传统管理网主机，应用单一，软硬件安全稳定运行是其首要安全需求，且与互联网是逻辑隔离的，因此针对主机安全需求主要有以下几点，一是安全有效的访问控制，工业控制人员在使用工业终端时必须采用强有力的访问控制，防止出现账号互用，数据丢失，二是可快速恢复，工业网内工控终端所安装的操作系统、应用程序都是按照最低要求安装，即工业作业需要哪些程序安装哪些程序，与一般的管理终端的使用倾向不同，而一旦出现系统，程序故障必须在尽可能短的时间内恢复操作系统和程序，三是安全审计，2017年国家网络安全法出台后，网络安全审计已经成为法律规定的必须配置安全设备，有效的安全审计能第一时间追述安全行为源头，为防止安全行为提供有力的保障。

2.4杭州烟草配送中心工业网安全建设探索

2.4.1工业网边界安全

将现有的杭州烟草区域网按照工作性质，划分为工业网和管理网，管理网主要业务特点是正常业务办公、网络访问、文本数据传输，工业网的主要业务特点是工业控制系统、工业控制终端和工业专业传输协议等，两张网划分完毕后，在网间采用安全阻断设备，实现网间隔离目的。

2.4.2网络边界阻断

杭州烟草工业网和管理网都属于内部局域网，工业网采用与互联网逻辑隔离的方式，内部设备无法访问互联网，管理网因工作需求可直接访问互联网，因此存在管理网将互联网上的安全风险带入杭州烟草的内部网络的安全风险，一旦风险扩散至工业环境，将可能造成工业设备无法运转的严重安全事件，杭州烟草尝试了在工业网和管理员的互联网交换机下，架设了网络安全隔离设备和审计设备，通过安全策略来阻断非工业数据进入工业网内，达到在网络边界的安全阻断目的。

2.4.3网络行为监视

网络行为监视通过流量复制方法将控制系统的流量引入分析设备中，并实时将网络行为与安全基线进行比对，及时发现异常情况。工控信息安全监控系统由监控中心与监控引擎两部分组成，其中，监控中心是整个监控系统的管理中心，负责接收监控引擎的报警数据并按照预先设置的报警方式自动报警，负责整个监控系统的人机交互；监控引擎是监控系统的数据采集器，负责网络数据包抓取、协议分析并按照预先配置的策略判断数据的合法性，将非法数据自动上报给监控中心。

2.5数据安全

针对数据安全，首先企业应明确识别重要工业数据清单，并根据清单对数据进行分级分类管理。静态存储数据需进行加密存储或隔离保护，设置访问控制功能。杭州烟草在去年已建立工业数据清单，并对其中数据进行分类、分级别加密存储或隔离保护。并且关键业务数据需要定期进行备份，在工业控制系统关键业务数据丢失时可以及时恢复，且定期对所备份数据进行恢复测试，确保备份数据的可用性。并且对测试数据也进行了必要的保护。

2.6安全监测与应急演练

企业应部署具有对工业控制系统与网络进行状态监测、日志采集与时间管理、流量采集与行为分析、异常告警及关联分析等功能的网络安全监测设备，及时发现、报告并处理包括设备状态异常、恶意软件传播、异常流量、异常诊断日志、端口扫描、暴力破解等网络攻击或异常行为。杭州烟草在各网络区域中均添加了日志审计设备。不仅可以对协议数据包进行深度包分析和检测过滤，同时还具备检测阻断不符合协议标准结构数据包、不正常数据请求等功能。

参考文献:

[1]李强，田慧蓉，杜霖，刘晓曼.工业互联网安全发展策略研究[J].世界电信,2016(4):16-19.

[2]武晓芳，温克强.工业网络信息安全隐患分析与解决[J].工业,2016(9):00179-00180.