前言：尋找寫作靈感？中文期刊網用心挑選的智能水務工控網絡信息安全方案設計，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
摘要:針對目前智能水務工控網絡存在的安全問題與風險，提出并系統設計了智能水務工控網絡信息安全方案，通過“白名單”運行管理機制，對工控網絡流量、工作站軟件狀態實現監控，構筑智能水務工控系統“安全白環境”。
關鍵詞:智能水務;等保2.0;“白名單”;工控網絡信息安全
2012年7月，國務院在《關于大力推進信息化發展和切實保障信息安全的若干意見》的報告中提出要將水務系統作為智慧城市建設進程中的重要組成部分。住房與城鄉建設部的《關于國家智慧城市2014年度試點名單的通知》中進一步將“智慧水務”列為“智慧城市”專項建設內容之一。因此，各個城市都積極建設智能水務系統，并采用國際性大公司的智能水務控制系統平臺，從而實現“智慧水務”、“智慧城市”的國家發展戰略。工業控制系統作為“智慧水務”的重要組成部分，其重要性不言而喻，然而大量工業控制系統依賴國外進口的弊端也逐步顯現，特別是工控信息安全風險在新一代信息技術發展的背景下日益突出。
1智能水務工控網絡安全問題與風險
近兩年國家“兩化融合”（工業化、信息化）標準的提出，以及工業互聯網的積極推進建設，工控安全也被提高到了前所未有的高度。水務安全直接關系國計民生，因此自來水供水企業中帶有工控系統運行的智能水務控制系統信息安全的重要性也提升到了非常重要的位置。目前我國智能水務生產控制網絡安全防護滯后于系統的建設速度，生產控制系統缺乏自身的安全性設計。在信息安全意識、策略、機制、法規標準等方面都存在不少問題。
1.1工控網絡系統本身存在一定的脆弱性
（1）已建項目主要軟硬件多為進口，可能存有后門；（2）關鍵性設備的安全門檻設置不夠，易被網絡攻擊所利用；（3）部分設備網絡借用公共電信網絡和互聯網組網，增加了網絡接入風險。
1.2工控網絡工作站操作人員技術手段與安全意識面臨考驗
（1）違規操作（U盤濫用、軟件亂裝）成為常態，缺少有效的訪問控制手段；（2）取水泵房、水質監測廣泛使用無線通信，易被搭線監聽、竊密和干擾；（3）工作人員缺乏定期信息安全培訓，不能適應工控信息安全變化發展要求。
1.3工控網絡安全防護體系不能適應新技術發展
（1）關鍵設備資產底數不清楚，信息記錄不完備；（2）嚴重漏洞難以及時處理，系統軟件補丁管理困難，難以應對APT攻擊；（3）兩化融合加速了網絡安全風險的暴露，沒有形成應對的策略。針對目前的智能水務生產控制網絡安全的現狀，以及國家“兩化融合”的推進，建立有效的智能水務生產控制網絡安全體系勢在必行。
2智能水務系統工控網絡防護的等級要求
2019年5月10日，國家市場監督管理總局、國家標準化管理委員會信息安全技術網絡安全等級保護基本要求及測評要求（等保2.0），該標準按保護等級要求對工業控制網絡系統做了詳細的說明。“等保2.0”是在2008年全國重要信息系統安全等級保護定級工作的基礎上進行的進一步升級。網絡安全等級保護對網絡進行分等級保護、分等級監督，是將信息網絡、信息系統、網上的數據和信息，按照重要性和遭受損壞后的危害性分成五個安全保護等級。公安機關對第二級網絡進行指導，對第三、第四級網絡定期開展監督、檢查。等保2.0覆蓋工業控制系統、云計算、大數據、物聯網等新技術新應用。“工業控制系統”作為新列入的標準，構成了“安全通用要求+新型應用安全擴展要求”的要求內容。安全通用要求針對共性化保護需求提出，等級保護對象無論以何種形式出現，必須根據安全保護等級實現相應級別的安全通用要求。安全擴展要求針對個性化保護需求提出，需要根據安全保護等級和使用的特定技術或特定的應用場景實現安全擴展要求。新標準“基本要求、設計要求和測評要求”分類框架統一，形成了“安全通信網絡”、“安全區域邊界”、“安全計算環境”和“安全管理中心”支持下的三重防護體系架構。其次，新標準強化了可信計算技術使用的要求，把可信驗證列入各個級別并逐級提出各個環節的主要可信驗證要求。工業控制系統安全擴展要求章節針對工業控制系統的特點提出特殊保護要求。對工業控制系統主要增加的內容包括“室外控制設備防護”、“工業控制系統網絡架構安全”、“撥號使用控制”、“無線使用控制”和“控制設備安全”等方面。具體如表1所示：由表1可知，第一級與第二級因為是屬于一般網絡，控制點與要求項少一些，第三第四級為重要與特別重要網絡，因此控制點項上有明顯增加。根據智能水務系統工控網絡的重要性，防護等級定級要求應為三級。
3智能水務系統工控網絡信息安全架構體系
基于國家“等保2.0”的要求，本文提出了通過建立“白名單”運行管理機制的智能水務系統工控網絡信息安全方案，該方案按三級保護進行設計。
3.1“白名單”機制運行原理
運用“白名單”的思想，通過對工控網絡流量、工作站軟件運行狀態等進行監控，運用大數據技術收集并分析流量數據及工作站狀態，建立工控系統及網絡正常工作的安全模型，進而構筑水務工控網絡系統的網絡“安全白環境”，如圖1所示。（1）只有可信任的設備，才允許接入控制網絡；（2）只有可信任的命令，才能在網絡上傳輸；（3）只有可信任的軟件，才能在主機上執行。該方案創新的采用“軟可信”計算技術，降低方案成本，提高實用性，通過機器自學習“白環境”智能建模技術，降低維護成本，提高易用性；高速工控協議深度包解析技術，具備高安全性，低時延影響。
3.2工控安全縱深防御體系
該方案針對現有智能水務工控系統中邊界防護、訪問控制策略、入侵和異常行為監測等薄弱環節，以及工控系統PLC控制器末端防護缺失等問題進行重點關注，部署相關安全軟硬件設備提升防御能力，網絡拓撲如圖2所示。智能水務工控網絡系統主要分為企業資源層、生產管理層、過程監控層以及現場控制層。企業資源層通過TCP/IP協議與外部互聯網相連，設計方案通過在企業資源層與生產管理層之間部署工控隔離網閘，截斷TCP連接，對工業協議（OPCClassic、ModbusTCP、DNP3）數據進行數據交換，能夠實現對工業應用數據的深度解析控制，起到邊界隔離，縱深安全防護的作用。在核心交換機上部署工控檢測審計系統，通過對網絡訪問及工控協議進行檢測與深度解析，實時監測工業控制系統的運行，總結沒有威脅的“白名單”，并進行實時更新，確保智能水務工控系統運行安全。在生產管理與過程監控層界面部署工控主機防火墻，依據程序特征建立操作系統運行“白環境”，并且禁止非授信程序運行，避免因無關程序的運行與升級而帶來安全性風險。在現場控制層面的PLC控制器末端部署工控防火墻，通過對工業協議解析模塊來對協議進行過濾和解析，確?？刂芇LC的程序代碼的安全性，得到最小化的訪問控制。該設計方案已經在某地區的自來水廠部署運行，現場反饋良好，達到了部署的目的。
4結語
隨著智慧城市的進一步發展，“智慧水務”的實施，國家工業互聯網的進一步推進，以及國家“等保2.0”的，全面提高自來水廠智能水務工控網絡系統的整體安全性是形勢所迫，大勢所趨.只有提高設備、系統、網絡的安全性、可靠性、穩定性，才能為水務安全生產保駕護航，人民生活滿意度才能得到提升。本文設計的智能水務工控網絡信息安全方案，為實現這一目標提供了很好的借鑒。
參考文獻
[1]王寶令,張美玲,張青山.智慧水務建設評價指標體系的構建[J].沈陽建筑大學學報,2018(20):155-161.
[2]郭啟全等.網絡安全法與網絡安全等級保護制度培訓教程[M].北京：電子工業出版社,2018:135-137.
[3]高維娜,楊旭升.智慧水務新構想[J].物聯網技術,2016(6):91-92.
[4]田雨,蔣云鐘,楊明祥.智慧水務建設的基礎及發展戰略研究[J].中國水利,2014(20):14-17.
作者:陳夏裕 袁鍵 章明飛 范海健
