工控系统概述

工业控制系统安全-工控系统概述

简短介绍工控系统架构、组成部分、功能以及术语等方面，掌握基本工控系统知识。工控系统指的是工业自动化控制系统，主要利用电子电气、机械、软件组合实现。主要是使用计算机技术，微电子技术，电气手段，使工厂的生产和制造过程更加自动化、效率化、精确化，并具有可控性及可视性。

普渡参考模型

普渡企业参考架构（Purdue Enterprise Reference Architecture，PERA）模型由Theodore J Williams和工业-普渡大学计算机集成制造联盟的成员于20世纪90年代提出。该模型被ISA-99标准（现在的1SA/IEC 62443）及其他工业安全标准所采纳，并且被用作工控系统网络分段的关键概念。普渡参考模型（Purdue Reference Model）在工控系统行业中也被简称为“普渡模型”（Purdue Model），广泛应用于描述大型工控系统中所有重要组件之间的主要相互依赖关系与互连关系。普渡模型是开始了解OT环境的一个很好的切入点。如下图所示。

第5层：企业区

企业区负责供应链管理。诸如SAP公司和JD Edwards公司开发的ERP系统主要用来理解供需关系并对其作出响应。这些系统从所有从属系统（通常是跨多个站点或一家企业）中接收数据，通过查看整体的供应、生产和需求情况来进行工单管理。这一层次一般不与工控系统直接相连，但是对于来自各OT网络和工控系统组件的准确、及时的信息有着明确的需求。

第4层：现场业务规划和组织

第5层通常部署于公司总部或多站点总部，第4层则表示在每个现场、车间或设施中控制本地设施运行的IT系统。该层从第5层接收工单，并对低层的运行状况进行监控，进而了解运营状态，其功能还包括生产进度执行情况的监控、本地工厂的问题管理，并对第5层企业系统的数据进行更新。

工控系统非军事区层

工控系统非军事区层（ICS-Demilitarized Zone，ICS-DMZ）实现IT和OT之间的信息共享。这是一个由NIST的网络安全框架、NIST 800-82、NERC CIP及ISA-62443等若干工业标准所推动的更为现代化的架构。ICS-DMZ中通常包括副本服务器、程序补丁管理服务器、工程师站和配置变更管理系统。DMZ区的作用是在不将下层关键组件直接暴露给攻击者的情况下实现IT信息的安全交换。这是安全规划的一个重点领域。

第3层：现场制造和操作控制

第5层和第4层仅存在于网络中的IT一侧，DMZ区则作为第5层与第4层之间的填充，就好像奥利奥饼干中的夹心层一样，第3层及以下则定义并包含了网络中OT一侧的系统。第3层通常包含SCADA系统中的监控部分，DCS的画面和控制访问，或者对OT网络中其他部分进行监测与监控的控制室。第3层是与系统进行操作员级交互的主要层次，操作员可以查看和监控过程事件和趋势&#