工业控制网络安全

第1章 绪论

1.1 工业控制系统与工业控制网络概述

工业控制系统（Industrial Control System, ICS）是指由计算机与工业过程控制部件组成的自动控制系统，它由控制器、传感器、传送器、执行器和输入/输出接口等部分组成。这些组成部分通过工业通信线路，按照一定的通信协议进行连接，形成一个具有自动控制能力的工业生产制造或加工系统。控制系统的结构从最初的CCS（计算机集中控制系统），到第二代的DCS（分布式控制系统），发展到现在流行的FCS（现场总线控制系统）。

图1-1 通用工业企业功能单元和资产组件映射模型

●企业资源层主要通过ERP系统为企业决策层及员工提供决策运行手段。该层次应重点保护与企业资源相关的财务管理、资产管理、人力管理等系统的软件和数据资产不被恶意窃取，硬件设施不遭到恶意破坏。
●生产管理层主要通过MES为企业提供包括制造数据管理、计划排程管理、生产调度管理等管理模块。该层次应重点保护与生产制造相关的仓储管理、先进控制、工艺管理等系统的软件和数据资产不被恶意窃取，硬件设施不遭到恶意破坏。
●过程监控层主要通过分布式SCADA系统采集和监控生产过程参数，并利用HMI系统实现人机交互。该层次应重点保护各个操作员站、工程师站、OPC服务器等物理资产不被恶意破坏，同时应保护运行在这些设备上的软件和数据资产，如组态信息、监控软件、控制程序/工艺配方等不被恶意篡改或窃取。
●现场控制层主要通过PLC、DCS控制单元和RTU等进行生产过程的控制。该层次应重点保护各类控制器、控制单元、记录装置等不被恶意破坏或操控，同时应保护控制单元内的控制程序或组态信息不被恶意篡改。
●现场设备层主要通过传感器对实际生产过程的数据进行采集，同时，利用执行器对生产过程进行操作。该层次应重点保护各类变送器、执行机构、保护装置等不被恶意破坏。

工业控制网络就是工业控制系统中的网络部分，是一种把工厂中各个生产流程和自动化控制系统通过各种通信设备组织起来的通信网络。工业控制系统包括工业控制网络和所有的工业生产设备，而工业控制网络只侧重工业控制系统中组成通信网络的元素，包括通信节点（包括上位机、控制器等）、通信网络（包括现场总线、以太网以及各类无线通信网络等）、通信协议（包括Modbus、Profibus等）。

1.2 工业控制系统常用术语

ICS（Industry Control System，工业控制系统）也称工业自动化与控制系统，是由计算机设备与工业过程控制部件组成的自动控制系统。广泛应用于电力、燃气、交通运输、建筑、化工、制造业等行业。
SCADA（Supervisory Control And Data Acquisition，数据采集与监视控制系统），可应用于电力、化工、冶金、燃气、石油、铁路等诸多领域的数据采集与监视控制以及过程控制等方面。
PLC（Programmable Logic Controller，可编程逻辑控制器）是一种采用一类可编程的存储器，用于其内部存储程序，执行逻辑运算、顺序控制、定时、计数与算术操作等面向用户的指令，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。
CISO（Chief Information Security Officer，首席信息安全官）也称为IT安全主管、安全行政官等，主要负责对机构内的信息安全进行评估、管理和实现。
HMI（Human Machine Interface，人机界面）又称用户界面或使用者界面，是系统和用户之间进行交互和信息交换的媒介。它将信息的内部形式和人类可以接受的形式互相转换，凡参与人机信息交流的领域都存在着人机界面。
DCS（Distributed Control System，分布式控制系统）是一个由过程控制级和过程监控级组成的以通信网络为纽带的多级计算机系统，综合了计算机、通信、显示和控制等4C技术，其基本思想是分散控制、集中操作、分级管理、配置灵活以及组态方便。
APT（Advanced Persistent Threat，高级持续性威胁）是利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式，APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络&#