摘要：随着IT技术快速进入工业自动化系统的各个层面，工业网络信息安全日益显得十分重要。本文论述办公网络与工业网络信息安全的主要区别，较深入分析工业网络安全的主要威胁，较全面论述工业网络信息安全中涉及的主要技术和解决方案。由于工业网络安全有更高要求，所以工业网络开始采用分层、分布式纵深防御体系结构，并转向基于工业防火墙/VPN技术相结合的硬件解决方案。本文对硬件解决方案进行了较详细阐述，同时全面论述了工业网络安全领域的领导企业菲尼克斯电气公司提出的工业网络三重解决方案及其FL MGUARD工业网络安全系统。
关键词： 工业网络 信息安全 黑客攻击 纵深防御 体系结构 硬件解决方案
Abstract: With the spread of industrial Ethernet infrastructures,
network Security is a hot topic for automation technology. This article has analysed the main threats of industrial network Security. The key differences between office and factory Systems and networks is expounded. More detailed explanation of the Specific reguirements for the automation network are given. The hardware Security Solutions based on firewalls and encryption(VPN) for industrial application is introduced Comprehensively. The Phoenix Contact Company is a leading Supplier of Components and Solutions for Secured Communication in industrial network. It has developed a three-stage Security Concept and Security appliance FL MGUARD System for industrial automation.
Keywords: Industrial Network Security Hacking Defence-in-depth Architecture Hardware Solution
1. 概述：
在上世纪90年代中期之前，由于Internet 技术尚未成熟，当时的IT技术不能完全满足工业自动化的实时性和环境适应性等要求，于是各家公司都利用自己掌握的计算机技术开发具有专有权操作系统的工业自动化装置、专有权协议的网络及其自动化系统。由于具有较强的专用权，这些系统受外来影响较小。工业自动化系统较为封闭，其信息安全问题未受到重视。
最近几年，这种情况发生了急剧变化，传统自动化技术与IT技术加速了融合的进程，工业自动化系统已广泛采用微软Windows操作系统和TCP/IP标准网络协议，工业实时以太网已经被工业自动化领域广泛接受，IT技术快速进入工业自动化系统的各个层面，改变了自动化系统长期以来不能与IT技术同步增长的局面。工厂企业的信息化，可以实现智能工厂中从管理层、控制层直至现场层的信息无缝集成，使得过程控制系统（PCS）与制造执行系统（MES），以及企业管理信息系统（ERP）有机地融为一体，并能通过Internet网完成远程维护与监控。这种不可阻挡的发展趋势随之也带来了工业网络的安全问题，如何保证工业网络的机密性、完整性和可用性成为工业自动化系统必须考虑的一个重要问题。
在过去的一、两年中，工业网络的信息安全经历了迅猛的发展。2008年1月，黑客攻击了美国的电力设施，造成多个城市大面积停电，损失很大。近几年，美国公开报道的由于黑客攻击造成巨大损失的事件多达30起。据说，由于各种原因还有很多起事件受害的公司不准报道，保守秘密。而且，黑客攻击在逐年增加。在这种情况下，进入2009年，美国发电厂和大型电力企业对网络安全的重视程度也迈上了一个新的台阶。NERC （北美电力保障组织）制定了对大型电力系统组织有着深远影响的网络安全标准CIP(关键基础设施保护）条例, CIP标准条例监管机构对这些企业下达强制命令：每个发电、传输和配送部门，不论是否属于关键资产部门，都必须履行这些条例。电力供应和输配电部门必须采取明确的安全防范措施，以确保持续供电。不符合该标准的情况一经发现，可能被处以高达每天100万美元的罚款。许多行业外人士（包括化工、炼油、冶金等）也正在密切关注电力行业的动态。他们期望自己的行业中也能够出现类似的法规，而且是越早越好。由于该标准被界定为一套大型关键基础设施保护标准，其他用到SCADA和DCS的领域也正在对它进行审核。由此可见，工业网络的信息安全已成为工业自动化领域新的关注热点。
2. 工业网络信息安全威胁分析：
工业网络信息安全的潜在威胁主要来自黑客攻击、数据操纵（Data manipulation）、间谍（Espionage）、病毒、蠕虫和特洛伊木马等。
黑客攻击是通过攻击自动化系统的要害或弱点，使得工业网络信息的保密性、完整性、可靠性、可控性、可用性等受到伤害，造成不可估量的损失。黑客攻击又分为来自外部的攻击和来自内部的攻击。
•来自外部的攻击包括非授权访问是指一个非授权用户的入侵；拒绝服务（DOS）攻击，即黑客想办法让目标设备停止提供服务或资源访问。这样一来，一个设备不能执行它的正常功能，或它的动作妨碍了别的设备执行它们的正常功能，从而导致系统瘫痪，停止运行。
•来自内部的安全威胁，主要是由于自动化系统技术人员的技术水平的局限性以及经验的不足，可能会出现各种意想不到的操作失误，势必对系统或信息安全产生较大的影响。
图1 黑客攻击工业网络
严重黑客攻击（如图1 所示）的性质，已经从单纯的娱乐，扩展到了犯罪、恐怖主义、甚至国家赞助的间谍活动。在这种情况下，工业自动化系统必须采取适当而有力的防御措施来应对黑客攻击行为的不断升级。
点通
