背景分析
近年来，随着基于工业以太网开放性通信协议的引入，系统平台趋于开放化，与外界的连接更为频繁。而同时外界的安全威胁实践日益增多，许多攻击可以通过互联网入侵到工控系统当中，石油石化、能源煤炭、水利水电、交通运输等关乎国民经济命脉的产业与之息息相关，复杂多变的攻击风险，对国民经济建设和工业安全产生了一定威胁。由于工控网络存在着特殊性，商用的信息安全技术无法全面应对此类风险，解决工业控制系统安全需要有针对性地实施特殊措施。
工业控制网络的安全漏洞
对工控系统而言，可能带来直接隐患的安全漏洞主要包括以下几种：
1、病毒与恶意代码
全球范围内，每年都会发生大规模的病毒爆发，目前已发现数万种病毒，每天还会新生数十余种。除了传统意义上必须寄生在其它实用程序中的病毒种类外，各种新型的恶意代码更是层出不穷，如逻辑炸弹、特洛伊木马、蠕虫等，它们往往具有更强的传播能力和破坏性。蠕虫病毒和传统病毒相比，其最大的不同在于可以进行自我复制，传统病毒的复制过程需要依赖人工干预，而蠕虫却可以自己独立完成，破坏性和生命力自然强大得多。
2、SCADA系统软件的漏洞
国家信息安全漏洞共享平台收录的工业控制系统软件安全漏洞近年来数量大幅增长。SCADA中的安全问题包括缺乏安全授权机制、缺乏代码混淆、缺乏安全地存储数据、缺乏通信安全，而后端系统的漏洞类型包括SQL注入漏洞、内存破坏漏洞、DoS漏洞和信息泄露漏洞，黑客完全可以利用这些漏洞影响工业生产过程。
3、操作系统安全漏洞
PC与Windows的技术架构现已成为控制系统上位机/操作站的主流，而在控制网络中，操作站是实现与MES通信的主要网络结点，因此其操作系统的漏洞就成为了整个控制网络信息安全中的一个短板。
4、网络通信协议安全漏洞
随着TCP/IP协议的普遍适用，网络通信协议漏洞也随之增多。TCP/IP协议簇最初设计的应用环境是美国国防系统的内部网络，这一网络是互相信任的，因此它原本只考虑互通互联和资源共享的问题，并未考虑也无法兼容解决来自网络中和网际间的大量安全问题。当其推广到社会应用环境后，安全问题接踵而至，也说明了TCP/IP在先天上就存在着致命的设计性安全缺陷。
5、安全策略和管理流程漏洞
追求可用性而牺牲安全，是很多工业控制系统存在的普遍现象，缺乏完整有效的安全策略与管理流程，也给工业控制系统信息安全带来了一定威胁。
安全防护策略
工业控制系统的安全防护需要考虑每一个细节。从现场I/O设备、控制器，到操作站的计算机操作系统，工业控制网络中同时存在保障工业系统的工业控制网络和保障生产经营的办公网络，考虑到不同业务终端的安全性与故障容错程度的不同，防御策略和保障措施应该按照等级进行划分，而实施分层次的纵深防御架构，分别采取不同的对应手段，构筑从整体到细节的立体防御体系。
1. 实施网络物理隔离
根据公安部制定的《GA370-2001端设备隔离部件安全技术要求》中所定义的，物理隔离的含义是：公共网络和专网在网络物理连线上是完全隔离的，且没有任何公用的存储信息。物理隔离部件的安全功能应保证被隔离的计算机资源不能被访问(至少应包括硬盘、软盘和光盘)，计算机数据不能被重用(至少应包括内存)。
信息安全是一个体系防护的概念，网络物理隔离技术不可能解决所有信息安全问题，但能大大提高网络的安全性和可控性，能彻底消除内部网络遭受外部网络侵入和破坏的可能性，从而大大减少网络中的不安全因素，缩小追踪网络中非法用户和黑客的范围。目前存在的安全问题，对网络隔离技术而言在理论上都不存在，这就是各国政府都大力推行网络隔离技术的主要原因。
网络隔离技术目前已经发展到了第五代，第一代隔离技术实际上是将网络进行物理上的分开，形成信息孤岛；第二代采用硬件卡隔离技术；第三代采用数据转发隔离技术；第四代采用的是空气开关隔离技术；而第五代隔离技术采用了安全通道隔离技术。基于安全通道的最新隔离技术通过专用通信硬件和专有安全协议等安全机制，来实现内外部网络的隔离和数据交换，不仅解决了以前隔离技术存在的问题，还能有效把内外部网络隔离开，高效地实现了内外网数据的安全交换，透明支持多种网络应用，成为当前隔离技术的主要发展方向。
总的来说，网络隔离技术的主要目标是解决工业控制系统中的各种漏洞：操作系统漏洞、TCP/IP漏洞、应用协议漏洞、链路连接漏洞、安全策略漏洞等，网络隔离也是目前唯一能解决上述问题的安全技术。
2. 构建网络防火墙
网络防火墙通过设置不同的安全规则来控制设备或系统之间的数据流，在实际应用中主要用于分析与互联网连接的TCP/IP协议簇。防火墙在网络中使用的前提是必须保证网络的连通性，其通过规则设置和协议分析，来限制和过滤那些敏感、不安全的信息，防止未经授权的访问。由于工业控制与商用网络的差异，常规的网络安全设置规则用在工业控制网络中会存在很多问题。只有正确地设计、配置和维护硬件防火墙的规则，才可以保护工业控制网络系统的安全环境。
参考来源：控制工程网
