钢铁行业工业控制网安全隔离解决方案

钢铁行业物理隔离解决案

钢铁行业是我国基础性产业，在一段时期也曾经成为国民经济的支柱产业。但是目前，钢铁企业的信息化建设中存在着多象“信息孤岛”、“安全隐患”等问题。

行业背景分析：

在冶金工业自动化过程中，连铸机结晶器液面控制器、燃烧控制系统、炼钢智能控制系统、轧薄带智能控制系统、高精度板厚控制器、SCADA系统以及DCS分散控制系统越来越广泛地应用在冶金行业的生产控制过程中；以高效、高产、优质为目的局部工艺已经实现无人化；可视化技术和监控系统在企业生产、经营活动中正在发挥作用。同时MIS、CIMS、ERP也被广泛应用于企业管理过程中，使企业的生产管理产生了革命化的转变。但是“十里钢城”生产流程日夜畅通，而信息流程却处处阻断，形成一个又一个的信息孤岛。特别是MIS 网和DCS网之间的连接，由于担心控制网被攻击，往往将这两个网完全隔离。然而信息化的优势，正在于生产质量监控与管理控制的实时性。这样不仅很不便，而且也无法及时获得实时的生产信息，极影响了管理的效率和质量，以及企业整体竞争力的提升。

为了获取现场的生产信息，多企业采用拷盘或人力传递的式传送信息。宝钢流传着这样一个故事。每天凌晨2点，派专人开着吉普车从高炉采集数据，然后送到MIS网，一直到凌晨4点。人工采集不仅极不便也无法实时地采集到现场的数据。实时采集准确的生产数据并加以控制是钢铁企业信息化面临的难题。因此需要有一个安全有效的技术来解决工业控制网与MIS网之间互联互通的问题。

但是随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着峻的形势。

2011年工信部发布了《关于加强工业控制系统信息安全管理的通知》，通知要求，各地区、各部门、各单位务必高度重视工业控制系统信息安全管理，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。加强数据采集与监控安全（SCADA安全）、分布式控制系统安全（DCS安全）、过程控制系统安全（PCS安全）、可编程逻辑控制器安全（PLC安全）等工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、油化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。

通知特别要求：

1.断开工业控制系统同公共网络之间的所有不必要连接。

2.对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、

单向隔离等措施加以防护，并定期进行风险评估，不断完善防措施。

安全风险与技术手段分析：

MIS系统与DCS系统沟通不畅，形成信息孤岛，控制网络的实时数据不能被合理利用，企业有限资源得不到充分利用，形成巨大浪费。如果MIS系统与DCS系统相连，这可以大大减轻人力、还便于管理而且还可以充分利用实时采集的数据对现场采集的数据进行及时的分析和作出正确的决策。

但是MIS系统与DCS系统相连。可能从MIS系统会引入DoS攻击，导致控制网络的瘫痪，可能会造成极为重的后果和重大的经济损失。如今的互联网，病毒、入侵、系统漏洞、软件后门等网络安全隐患都重阻碍了行业信息化的发展。一些非法组织更是利用互联网进行犯罪活动，黑客入侵事件变得越来越猖獗，给企业和带来的损失和威胁也日益加大。同时，网络也成为国际恐怖分子和网络商业犯罪的温床。如果网络安全得不到保证，必将给行业生产带来重的威胁，并可能造成政治、经济等各面的巨大损失。钢铁企业网络信息系统的安全和正常运营，包括其中的生产设备运行安全和信息数据安全，日益成为不可忽视和需重点解决的问题。为了防止这些不安全因素利用管理系统MIS网作为跳板危害控制系统DCS/SCADA，我们必须引入一个万全的安全案。

保证安全的法很多，例如：工业防火墙多层过滤、通道控制、侵袭报警等等，但是由于这些技术都是基于软件的控制法，存在被操纵控制的可能，不能保证绝对的安全。工业防火墙的弊病很多，其中最突出的就是它的自身防护能力。它们本身就存在着多安全漏洞和问题。也就是说自身难保，一个连自身的安全都无法保证的网络安全装置又如去保护一个网络的安全呢？此外，工业防火墙的网络防护能力也非常有限，工业防火墙的系统结构都是采用单一的处理器结构。也就是说，只有一道防线和一层“安全检测”机制。工业防火墙自身安全性的弱点，再加上它的单一处理器的系统机构，使得传统工业防火墙成为一个极易被攻破的虚设的防线。传统的工业防火墙是一种被人们广泛使用的连接互联网的网络安全设备。然而，人们常常发现被工业防火墙防护的网络依然常常被黑客和病毒攻击。现在有很多网络攻击都是发生在有工业防火墙的情况下，根据美国财经杂志统计资料表明，30%的入侵发生在有工业防火墙的情况下，所以“工业防火墙之父”

马尔科斯都宣称，他再也不相信工业防火墙。工业防火墙的弊病很多，其中最突出的就是它的自身防护能力。它们本身就存在着多安全漏洞和问题。也就是说自身难保，一个连自身的安全都无法保证的网络安全装置又如去保护一个网络的安全呢？此外，工业防火墙的网络防护能力也非常有限。

为什么工业防火墙会有这样的弊病呢？这要从工业防火墙的设计理念和系统机构谈起。大部分的工业防火墙是基于“在保证使用的前提下，尽可能的做到安全”的设计理念设计的。也就是说，保证可用性高于安全性。此外，工业防火墙的系统结构都是采用单一的处理器结构。也就是说，只有一道防线和一层“安全检测”机制。工业防火墙自身安全性的弱点，再加上它的单一处理器的系统机构，使得传统工业防火墙成为一个极易被攻破的虚设的防线。因此，局提出通过"物理隔离"来保证军队、政府、金融、媒体等机要部门的真正安全。此外，绝大大部分工业防火墙和网络安全物理隔离产品继承了PC平台的所有弊病，他们表现在：

a)安全性极差：PC软硬件平台是目前使用最广泛的计算机系统也是最易受攻击的系统；

b)可靠性极差：这也是是众所知的；

c)启动时间很长：和所有的PC一样，启动将需要1-2分多钟的时间；

d)功耗大：PC的功耗在130-150瓦；

e) 噪音很大：用工控机实现的工业防火墙有两个风扇，pc散发大量的热量，全部通过两个风扇散发热量。

案介绍：