煉鋼廠工業網絡安全研究及解決方案

　　1 概述

　　隨著冶金工業科技的發展，生產控制系統日益復雜。控制系統有自己獨立的工業網絡。網絡系統中往往分成多級進行管理和控制。(Ll、L2、L3、L4等)。系統中包含若干生產服務器和計算機操作終端。隨著信息化的發展，計算機病毒、木馬和黑客程序也日益猖獗。對工業網絡的安全產生威脅，時有安全問題發生。安全威脅的發展有以下6個特點：

　　(1)病毒與黑客程序相結合
　　(2)蠕蟲病毒更加泛濫
　　(3)病毒破壞性更大
　　(4)制作病毒的方法更簡單
　　(5)病毒傳播速度更快，傳播渠道更多
　　(6)病毒的實時檢測更困難

　　因此，針對目前狀況，對工業網絡進行安全研究，得出一個安全高效、切實可行的解決方案并付諸實施，是安全生產的重要一環，有極大的社會價值和現實意義。

　　在系統加固的基礎上，部署網絡防病毒系統是確保整個網絡生產服務系統信息安全的重要手段。針對病毒種類繁多，增長迅速，隱蔽性、再生性強，易傳播，發作快、危害嚴重的特點，防病毒系統必須對全網范圍內的服務器和操作終端實行全方位、立體、動態、實時的病毒防護。為此，必須提供強大、靈活、可統一實旌的防病毒策略和集中的事件監控、告警、管理手段，支持自動下載并分發最新的病毒特征碼和掃描引擎，提供強大的病毒響應和處理機制等。

　　對于一個大型而復雜的工業網絡來說，部署的防毒系統將十分復雜和龐大。防病毒系統的最大特點是需要不斷的升級和更新，以應對新產生的各類病毒。因此各點的防毒軟件集中進行升級行動是有效防毒的重要一環。

　　2 煉鋼廠網絡架構和面臨的問題

　　煉鋼廠工業網絡結構比較復雜，涉及多部門，多系統之間的協調，如果不進行安全防范，病毒可能帶來嚴重的威脅和損害。病毒一旦發作，帶來的損失是不可估量的，而在系統被破壞后再殺毒也無法挽回已經造成的損失，所以對于煉鋼廠來說，對計算機病毒的態度將是以防為主，防毒+殺毒的結合。在病毒可能流傳的各個渠道中都設置監控，結合定時病毒掃描和自動更新，才能保證系統的安全。同時需要結合對應的管理策略，充分發揮防病毒產品在病毒防護集中管理、監控中的優勢，在煉鋼廠企業網中構建有效的病毒監控體系。煉鋼廠的工業網絡結構如圖l所示：

圖1 煉鋼廠工業網絡結構示意圖

　　煉鋼廠工業網絡的主要的互聯網出口只有一個，一、二級內部業務應用系統服務器與互聯網之間沒有直接連接，為獨立網絡：但三、四級工作站可通過使用代理服務器訪問互聯網，同時三、四級工作站又可以訪問一、二級服務器，這可能導致入侵者通過代理服務器從互聯網入侵到內部網絡里，實施各種惡意行為。

　　一、二級服務器和操作客戶端未部署網絡防病毒系統，三、四級工作站大部分部署了防病毒系統，但不能應用于一、二級網絡。

　　內部網絡的操作系統多為Windows系列系統，由于內部網絡系統無法直接與互聯網相連，所以無法實時升級系統補丁。眾所周知windows系統是出了名的問題多，補丁多，如果不能夠及時更新windoWs系統補丁，很有可能導致病毒木馬利用系統漏洞在整個網絡內繁衍，影響甚至破壞整個生產系統。

　　所有服務器及工作站系統均為默認安裝，大部分無用服務沒有停掉或者禁止，開啟的服務也沒有進行安全配置，會導致內部網絡中其他主機泄露系統的額外信息，并增加其他隱患。具體如下：
　
　　(1)系統為默認安裝，同時使用IPs$管道連接方式進行文件共享，這是傳染型病毒經常使用的傳播方法之一：

　　(2)服務器系統密碼過于簡單，一般傳播感染型病毒都具備破解弱密碼的機制，這也是可能導致病毒傳播感染到網絡中的可能性之一：