工业互联网环境下水务工控系统网络安全防护研究

随着我国“两化”融合的步伐正在不断加快，网络信息空间的边界向关键基础设施领域不断延展。水务企业的自动化、信息化水平已经成为衡量一个水务企业现代化水平和竞争力的重要标志。水务行业提出了以感知监测为基础、过程精细监管、建立数字档案、通过动态评价、实现智能调度的智慧水务[1]。通过数据采集终端、通信网络、服务器等设备在线监测城市给水排水系统的运行状态，采用可视化的方式高效整合水务管理部门与供排水设施，将水务控制和状态信息进行及时分析与处理，形成相应的处理结果辅助管理部门决策，以更加柔性和精细的方式管理水务系统的整个生产、管理和服务流程，以达到“智慧”的效果。

1水务工控系统的安全现状

实际中，因工控网络信息安全防护不到位，导致水务系统遭受黑客和网络攻击的安全事件时有发生。例如，2016年美国K emuri Water Company (KWC)废水处理公司被黑客组织入侵，污水处理配方被修改，并导致该公司250万客户资料被窃取。2018年10月，美国水利公司昂斯洛供水和下水道管理局的系统受到黑客攻击，被要求支付比特币才可恢复系统。今年8月，河南省公安厅监测发现，洛阳市北控水务集团远程数据监测平台遭到黑客攻击，致使系统网页数据被篡改。

由于技术更迭延续性和滞后性，当前大量正在投运的水务生产过程控制系统仍处在信息化建设的初期[2]。

结合江苏亨通信息安全技术有限公司在对苏州地区水务工控系统多个供水管理所的工控系统安全检测检测报告，分析发现系统中相当比例的PLC 、S CADA 软件、

终端计量仪表和防火墙等重要工控设备存在信息泄露风险。例如，水务工控系统的主机普遍整体危险等级为危急，系统包含多危急和高危等级的漏洞；PLC 控制器接收到畸形A RP 和畸形I P 报文可能失去响应甚至崩溃；工程师站未关闭多余端口，容易被扫描和利用进行设备登录、远程控制、发起攻击等。攻击者利用漏洞S CA -

DA 软件和PC 相关危急和高危漏洞很容易实现对水务基础设施非法入侵，可能导致饮用水短缺或由水传播疾病引发的公共卫生危机。

2水务工控系统存在的安全风险

由于工控网络与互联网有本质的不同，传统的互联网安全技术并不能保障工控网络安全。目前工控网络安全威胁可以归结到以下5个方面。

（1）I T 技术的普遍应用带来较大安全风险。大量通用操作系统、数据库和服务器网关等I T 类产品被应用到水务工控系统，使攻击者能够轻易地利用现有信息系统的安全漏洞实现入侵、攻击。

（2）工控系统的开放互联增加被攻击风险。工控系统可以通过互联网直接或间接地访问、办公网络和生产

基金项目：苏州市职业大学校级课题阶段成果，编号：S UV2015CGCX02,SZDJD-18026；江苏省现代教育技术研究课题，编号：2018-R-62346；同时，本研究得到江苏省高职院校青年教师企业实践培训项目资助。

作者简介：淮文军（1979-），男，讲师，硕士，研究方向：自动控制和工控系统信息安全。

收稿日期：2018-10-10

工业互联网环境下水务工控系统网络安全防护研究

淮文军1，王峰1，陈夏裕2，施靖萱3

(1.苏州市职业大学，江苏苏州215104；2.江苏亨通信息安全技术有限公司，江苏苏州215200；

3.江苏亨通光电股份有限公司，江苏吴江215232)

摘

要：水务工控系统是关系国计民生的重要基础设施，随着信息化的发展面临着巨大的网络安全风

险。介绍了水务工控系统的发展趋势，分析了当前水务系统网络安全方面存在的问题，结合《网络安全法》和《工业控制系统安全管理基本要求》，针对水务工控系统的主机、SCADA 系统、HMI 和通信协议，提出了增加边界安全设备、终端安全设备、系统行为审计和运维管理等保护措施，在水务系统信息化改造过程中起到了实际指导作用。

关键词：工控系统；

智慧水务；网络安全法；安全防护

DOI:10.16184/prg.2019.01.056

网络的双向信息交互，都增加了数据泄露的风险。水务系统中的控制设备单元几乎都是相对封闭的系统，无法通过病毒软件进行病毒查杀，同时又缺乏控制病毒在工控系统网络中传播的手段。

（3）工控系统采用的通信协议存在安全缺陷。受到硬件资源的限制，工控系统优先考虑工艺和功能的稳定性，较少考虑信息安全性，其通信协议大多采用

I EC61158提供的工业现场总线标准，且通信端口可以被轻易获得。如Eth erNet/IP 对应U DP/2222、Mod bus

TCP 对应TCP/502。黑客通过现场总线传输协议结构，能很容易劫持通信数据并篡改控制指令。

（4）工控系统中主要设备大多采用西门子、通用、三菱等国外公司产品，这些通用控制器所暴露的漏洞极易成为恶意攻击的突破口。由于工控网络的专用性和系统运行的连续性，软件补丁升级将给整个系统的稳定性带来巨大挑战，可能造成整个系统停机，给设备运行和用户使用带来较大风险。

（5）工控系统运维存在不足。水务系统中设备种类繁多，每种设备都有各自的特点和不同的安全等级，传统系统运维多以保证安全生产为首要目的，对于系统网络安全没有足够重视，也缺少必要的技术支持。

3水务工控系统网络安全防护对策

水务工控系统网络拓扑结构包括由企业网、各业务

应用系统局域网和基础层工控网三层，主要设备有数据采集终端、PLC 控制器、通信网络、防火墙和服务器等设备，组成在线监测城市水务控制系统，具体结构如图

1所示。网络安全防护主要以系统网络拓扑结构为基础，从以下几个方面入手。

（1）部署边界安全设备。水务工控系统网络内部需要采取必要的安全隔离和访问认证的措施，以增加网络安全性。例如，在网络入口交换机后方设置工业防火墙，在生产网和管理网边界部署工业网闸，安全设备通过内置工业通信协议的过滤模块，对所用工业协议识别及过滤，阻断非法指令、拦截非工控协议通信，达到流量清洗和保护关键控制器的作用。

（2）增加终端安全设备。使用杀毒软件、应用白名单、端口设备控制和主机加固等设备保护系统中的关键设备。具体来说，水务工控系统中的工控机、PLC 、数

据服务器、交换机等设备，要定期进行漏洞扫描和风险测试，根据所在系统安全等级要求，采取相应主机加固策略，防止用户的违规操作和误操作，阻止不明程序、移动存储介质和网络通信的滥用，提高工控网络的综合“免疫”能力。

（3）加强系统行为审计。部署监测审计设备，对工控网络总体运行状况进行监测，自动识别网络设备，显示网络设备当前状态，进行网络性能综合分析，评估工业控制系统的完整性。如终端入侵检测和网络入侵检测设备，对主流工业控制协议数据包进行深度解析，发现异常或非法操作数据包，分析是否有外界入侵或人员误操作[3]；对所有异常情况发出报警，为网络安全管理人员提供线索依据和事件还原功能，对违规操纵和网络攻击行为可实时告警。从技术上提高应对风险的反应时间，降低系统发生事故的风险。

（4）提升自主可控能力。企业要严格遵守制度法规，如《网络安全法》、《工业控制系统安全管理基本

要求》

（G B/T 36323-2018）和《智慧水务信息系统建

设与应用指南》等文件，从工控系统安全管理的基本框架,从领导、规划、支持、运行绩效评价和持续改进等方面为工业控制系统安全管理活动提出了规范性要求，

并给出了安全管理基本控制措施[4]。企业应按照法规应

设置专门的安全管理机构和安全管理负责人；定期对从业人员进行网络安全技术培训；加强水务工控网络的应用层、设备层的关键数据的自主可控能力，提高对系统风险的防护能力。

4

结语

结合苏州地区水务系统的网络安全风险测试报告，

总结了互联网形势下水务工控系统的现状，分析了当前

图1

水务系统控制网络拓扑结构图

I nternet

防火墙

路由器

核心信息网服务器二层交换机

办公网服务器

信息网区域生产网区域

水务信息系统

生产网交换机

过程控制层区

主机防护

工程师站

控制器

操作员站

生产网服务器

(下转第172页)