工業網絡信息安全
前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇工業網絡信息安全范文，相信會為您的寫作帶來幫助，發現更多的寫作思路和靈感。
工業網絡信息安全范文第1篇
關鍵詞： 網絡信息安全； 計算機； APT； 安全防御； 惡意威脅
中圖分類號： TN711?34 文獻標識碼： A 文章編號： 1004?373X（2015）21?0100?05
Threat to network information security and study on new defense
technologies in power grid enterprises
LONG Zhenyue1， 2， QIAN Yang1， 2， ZOU Hong1， 2， CHEN Ruizhong1， 2
（1. Key Laboratory of Information Testing， China Southern Power Grid Co.， Ltd.， Guangzhou 510000， China；
2. Information Center， Guangdong Power Grid Co.， Ltd.， Guangzhou 510000， China）
Abstract： With the continuous development of management informationization of the power grid enterprises， automatic power grid operation and intelligent electrical equipment， the information security has become more important. For the serious situation of network information security， the new?type defense technologies are studied， which are consisted of advanced persistent threat （APT） protection technology and vulnerability scanning technology. Combining with the advantages and disadvantages of these technologies， the strategy of defense effectiveness analysis based on the minimum attack cost is proposed， which can compute the defense capability of the network.
Keywords： network information security； computer； APT； safety defense； malicious threat
0 引 言
隨著電網企業管理信息化、電網運行自動化、電力設備智能化的不斷發展，電網企業信息安全愈發重要。信息化已成為電力企業工作中的重要組成部分，各類工作對網絡的高度依賴，各類信息以結構化、非結構化的方式儲存并流轉于網絡當中，一旦信息網絡被攻破，則往往導致服務中斷、信息泄漏、甚至指令錯誤等事件，嚴重威脅生產和運行的安全。因此，保障網絡信息安全就是保護電網企業的運行安全，保障網絡安全是電網企業的重要職責[1]。
目前的網絡信息安全形勢依然嚴峻，近年來，業務從單系統到跨系統，網絡從零星分散到大型化、復雜化，單純的信息安全防護技術和手段已經不能滿足企業安全防護的需要，應針對性地研究具有縱深防御特點的安全防護體系，以信息安全保障為核心，以信息安全攻防技術為基礎，了解信息安全攻防新技術，從傳統的“知防不知攻”的被動防御向“知攻知防”的縱深積極防御轉變，建立全面的信息安全防護體系。
1 概 述
從廣義層面而言，網絡信息安全指的是保障網絡信息的機密性、完整性以及有效性，涉及這部分的相關網絡理論以及技術都是網絡信息安全的內容。從狹義層面而言，網絡信息安全指的是網絡信息的安全，主要包括網絡軟硬件及系統數據安全[2]。網絡信息安全需要保證當網絡受到惡意破壞或信息泄露時，網絡系統可以持續正常運行，為企業提供所需的服務。
通過對我國某電網企業及其下轄電力單位的調研，以及對近5年電力信息資產信息安全類測評結果的統計得知，電網企業現存的網絡安全情況主要分為以下3類：網絡安全風險與漏洞弱點事件、數據安全風險與漏洞弱點事件、管理類安全風險與漏洞弱點事件。整體上看，電網企業的信息安全問題仍不容樂觀，近年來隨著網絡的復雜化，攻擊的新型化和專業化，網絡安全防護的情況亟待加強。總體而言，首先要加強并提升網絡、應用等方面安全水平，保證信息源頭的安全情況；其次加強管理類安全，特別是人員管理、運維管理等方面；最后研究分析最新攻防技術的特點，結合電網實際現狀，構建適用于現有網絡環境與架構的信息安全縱深防御體系。
本文主要針對第三點展開論述，研究包括高級持續威脅（APT）防護技術、漏洞掃描技術等新型的攻擊及其防護技術，提取在復雜網絡系統中的防御共同點，并給出一類策略用于分析網絡信息安全防御的有效性。
2 信息安全的攻防新技術
電網企業所依賴的信息安全隔離與防御技術主要包括數據加密技術、安全隔離技術、入侵檢測技術、訪問控制技術等。一方面，通過調研與統計分析。目前電網的信息安全建設主要以防止外部攻擊，通過區域劃分、防火墻、反向、入侵檢測等手段對外部攻擊進行防御，對內部的防御手段往往滯后，電網內部應用仍然存在一定的安全風險與漏洞弱點。如果一道防線失效，惡意的攻擊者可能通過以內部網絡為跳板威脅電網企業的安全；另一方面，電網企業中目前使用的防御技術一般是孤立的，未形成關聯性防御，而目前新型的攻擊往往會結合多個漏洞，甚至是多個0day漏洞進行組合攻擊，使得攻擊的隱蔽性、偽裝性都較強。因此，要構建信息安全防御體系，僅憑某單一的防護措施或技術無法滿足企業的安全要求，只有構建完整的信息安全防護屏障，才能為企業提供足夠的信息安全保障能力。
經過分析，目前針對電網企業的新型攻防技術有如下幾類：
2.1 高級持續威脅攻擊與防護技術
高級持續威脅（APT）是針對某一項有價值目標而開展的持續性攻擊，攻擊過程會使用一切能被利用的手段，包括社會工程學攻擊、0day漏洞攻擊等，當各攻擊點形成持續攻擊鏈后，最終達到攻擊目的。典型的APT攻擊案例如伊朗核電項目被“震網（Stuxnet）”蠕蟲病毒攻擊，通過攻擊工業用的可編程邏輯控制器，導致伊朗近[15]的核能離心機損壞。
根據APT攻擊的特性，企業可以從防范釣魚攻擊、識別郵件中的惡意代碼、識別主機上的惡意代碼、監測網絡數據滲出等多個環節進行檢測，主要涉及以下幾類新型技術。
2.1.1 基于沙箱的惡意代碼檢測技術
惡意代碼檢測中最具挑戰性的是檢測利用0day漏洞的惡意代碼，傳統的基于特征碼的惡意代碼檢測技術無法應對0day攻擊。目前最新的技術是通過沙箱技術，構造模擬的程序執行環境，讓可疑文件在模擬環境中運行，通過軟件所表現的外在行為判定是否是惡意代碼。
2.1.2 基于異常的流量檢測技術
傳統的入侵檢測系統IDS都是基于特征（簽名）的深度包檢測（DPI）分析，部分會采用到簡單深度流檢測（DFI）技術。面對新型威脅，基于DFI技術的應用需要進一步深化。基于異常的流量檢測技術，是通過建立流量行為輪廓和學習模型來識別流量異常，進而識別0day攻擊、C&C通信以及信息滲出等惡意行為。
2.1.3 全包捕獲與分析技術
由于APT攻擊的隱蔽性與持續性，當攻擊行為被發現時往往已經持續了一段時間；因此需要考慮如何分析信息系統遭受的損失，利用全包捕獲及分析技術（FPI），借助海量存儲空間和大數據分析（BDA）方法，FPI能夠抓取網絡定場合下的全量數據報文并存儲，便于后續的歷史分析或者準實時分析。
2.2 漏洞掃描技術
漏洞掃描技術是一種新型的、靜態的安全檢測技術，攻防雙方都會利用它盡量多地獲取信息。一方面，攻擊者利用它可以找到網絡中潛在的漏洞；另一方面，防御者利用它能夠及時發現企業或單位網絡系統中隱藏的安全漏洞。以被掃描對象分類，漏洞掃描主要可分為基于網絡與基于主機的安全漏洞掃描技術。
2.2.1 基于網絡的安全漏洞掃描技術
基于網絡的安全漏洞掃描技術通過網絡掃描網絡設備、主機或系統中的安全漏洞與脆弱點。例如，通過掃描的方式獲知OpenSSL心臟出血漏洞是否存在。基于網絡的安全漏洞掃描技術的優點包括：易操作性，掃描在執行過程中，無需目標網絡或系統主機Root管理員的參與；維護簡便，若目標網絡中的設備有調整或變化，只要網絡是連通的，就可以執行掃描任務。但是基于網絡的掃描也存在一些局限性：掃描無法直接訪問目標網絡或系統主機上的文件系統；其次，掃描活動不能突破網絡防火墻[3]。
2.2.2 基于主機的安全漏洞掃描技術
基于主機的安全漏洞掃描技術是通過以系統管理員權限登錄目標主機，記錄網絡或系統配置、規則等重要項目參數，通過獲取的信息與標準的系統安全配置庫進行比對，最終獲知系統的安全漏洞與風險。
基于主機的安全漏洞掃描技術的優點包括：可使用的規則多，掃描結果精準度高；網絡流量負載較小，不易被發現。該技術也存在一些局限性：首先，基于主機的安全漏洞掃描軟件或工具的價格昂貴；其次，基于主機的安全漏洞掃描軟件或工具首次部署的工作周期較長。
3 基于最小攻擊代價的網絡防御有效性分析策略
惡意攻擊總是以某一目標為導向，惡意攻擊者為了達到目標會選擇各種有效的手法對網絡進行攻擊。在復雜網絡環境下，如果可以盡可能大地提高惡意攻擊者的攻擊代價，則對應能達到提高有效防御的能力。基于這個假設，這里展示一種在復雜網絡環境下分析攻擊有效性的策略，并依此計算從非安全區到目標區是否存在足夠小的攻擊代價，讓惡意攻擊可以獲取目標。如果存在，則可以被惡意攻擊利用的路徑將被計算出來；如果不存在，則證明從非安全區到目標區的安全防御能力是可以接受的。
以二元組的形式描述網絡拓撲圖[4][C，]其中節點是網絡中的各類設備，邊表示設備間的關聯關系。假設非安全區域為[Z，]目標區域為[D。]在網絡中，攻擊者如果能達到目標，必然至少存在一條從非安全區節點到目標節點[d]的通路[p，]且這條通路上的攻擊代價小于值[w。]其中，攻擊代價指攻擊者能夠利用攻擊工具、系統缺陷、脆弱性等信息，實現其對目標的入侵行為所付出的代價。直觀地，由于攻擊行為往往會因遇到安全設備和安全策略的阻攔，而導致其成功實現其攻擊目的的時間、精力甚至資金成本提高，攻擊者為達到其攻擊目標所付出的所有的行為成本即攻擊代價。
在圖[G]中，每一個節點[v]具有輸入權限[q]和獲利權限[q]（如表1所示）、本身的防護能力[pr]以及風險漏洞數L（L≥0）。攻擊者能力是指攻擊者通過輸入權限[q，]通過任意攻擊手段，在節點[v]上所能獲取的最高權限值（獲利權限）[q′。]直觀地，輸入權限代表攻擊者在對某節點進行攻擊前所擁有的權限，如Web服務器一般均具有匿名訪問權限；獲利權限代表攻擊者最終可以利用的系統權限。
最短攻擊路徑是從非安全區域[Z]中任意節點[z]到目標節點[d]所有攻擊路徑中，防護成功率最低的[Pr]所對應的路徑。最短攻擊路徑所對應耗費的攻擊代價為最小攻擊代價[4]，也是該網絡的防護能力有效性分值。
攻擊代價閾值：一旦攻擊者付出的攻擊代價超過其預期，攻擊者很大程度上將會停止使得攻擊代價超限的某一攻擊行為，轉而專注于攻擊代價較小的其他攻擊路徑。攻擊代價閾值即攻擊者為達到目標可接受的最大攻擊代價。如果防護能力有效性分值小于攻擊代價閾值，則說明攻擊目標可以達到。
攻擊代價閾值一般可以通過人工方式指定，本文采用德爾斐法，也被稱為專家咨詢法的方式來確定。經過專家分析和評判，將攻擊代價閾值設定為[t，]當攻擊路徑防護能力小于[t]即認為攻擊者會完成攻擊行為并能成功實施攻擊行為。
4 網絡防御有效性分析應用
假設在電網企業復雜網絡環境場景下存在一類新型的APT攻擊，網絡中使用兩種策略A，B進行攻擊防御。策略A采用了現有的隔離與防御技術，策略B是在現有基礎上增加應用了APT防御技術。計算兩類策略下的最小攻擊代價，并進而對APT防護效果進行分析。
4.1 策略選取
4.1.1 策略A
圖1為一個簡化的復雜網絡環境實例拓撲，其中DMZ區部署的Web服務器為內、外網用戶提供Web服務，電網地市局局域網的內部用戶不允許與外網直接連接，限網。各安全域之間具體訪問控制策略如下：
（1） 只允許地市局局域網用戶訪問DMZ區Host2（H2）上的IIS Web服務和Host3（H3）上的Tomcat服務；
（2） DMZ 區的H2 允許訪問H3上的Tomcat服務和IDC區Host4（H4）上的Oracle DB服務；
（3） 禁止H2和H3訪問Domino服務器Host5（H5）；
（4） H5允許訪問DMZ的H2和H3及IDC區的H4。
4.2 效果分析
通過上述計算結果表明，在應用策略A與B情況下，局域網用戶到DMZ區域目標主機存在的攻擊路徑的防護有效性分值分別是（0.3，0.3，0.51）與（0.93， 0.93，0.979）。在策略A的情況下，通過DMZ區的H2為跳板，攻擊IDC的目標主機H4，最短攻擊路徑的防護有效性分值只有0.51，說明局域網內的攻擊者能在花費較小代價的情況下，輕易地獲取內網DMZ或IDC服務器的系統權限，從而造成較大的危害。而增加APT防護設備之后，通過DMZ區的H2為跳板，攻擊IDC的目標主機H4，防護有效性分值提升為0.979，其他攻擊路徑的防護有效性也有明顯提高。
策略A與策略B的對比結果表明，在DMZ區域有APT防護技術情況下，網絡環境下整體的隔離與防御能力得到了明顯提升，從而驗證了隔離與防御新技術的防護效果。
5 結 語
在新形勢、新技術下，我國電網企業網絡信息安全仍面臨著嚴峻的挑戰，應當高度重視網絡信息安全工作，不斷發展完善信息安全防御新技術，改善網絡信息安全的水平。單純使用某種防御技術，往往已無法應對快速變化的安全防御需求，只有綜合運用各種新型的攻防技術，分析其關聯結果，并通過網內、網間各類安全設備、安全措施的互相配合，才能最終建立健全網絡信息安全防范體系，最大限度減少惡意入侵的威脅，保障企業應用的安全、穩定運行。
參考文獻
[1] 高子坤，楊海洲，王江濤.計算機網絡信息安全及防護策略分析[J].科技研究，2014，11（2）：155?157.
[2] 彭曉明.應對飛速發展的計算機網絡的安全技術探索[J].硅谷，2014，15（11）：86?87.
[3] 范海峰.基于漏洞掃描技術的網絡安全評估方法研究[J].網絡安全技術與應用，2012，8（6）：9?11.
[4] 吳迪，馮登國，連一峰，等.一種給定脆弱性環境下的安全措施效用評估模型[J].軟件學報，2012，23（7）：1880?1898.
工業網絡信息安全范文第2篇
關鍵詞：電力信息；網絡安全；存在問題；防范措施
中圖分類號： F407 文獻標識碼： A
前言：近幾年，我國信息網絡技術不斷發展與完善，信息網絡應用于社會各個領域，為提高企業工作效率與管理水平，信息網絡已經成為電力企業信息交互、傳輸、共享不可缺少的部分。而研究電力系統信息安全問題、制定和實施電力企業信息安全策略、建立全方位、動態的電力信息系統安全保障體系，己成為當前電力企業信息化工作的重要內容。由于信息網絡具有多樣性、開放性等特點，往往會因為忽略某一環節而造成重大損失。
一、電力信息網絡概述
電力信息系統是一個復雜的系統，它由分布于各級變電站、營配終端、調度機構、辦公場所等通過或緊或松的聯系構成。它所處環境包括各個調度機構的局域網、本地計算機系統以及電力系統所連接的行業外網。因而，簡單來說，電力信息網絡是電力企業內依賴于計算機及網絡的業務系統和通信數據網絡的統稱。電力信息網絡系統從功能上可以分為以下幾個系統：
1.監控系統
電力信息網絡的監控系統包括用于電網生產運行過程中的各個監控和控制設備以及用計算機與網絡執行的業務處理設備智能終端。詳細包括變電站、電網調度系統、輸配電線路等的自動監控系統以及配電網、計算機保護和安全裝置、及調度自動化網絡系統、電能計量計費及電量實時檢測控制系統。
2.管理系統
管理系統是有計算機、操作者以及其他設備組成的復雜系統，其主要功能是進行信息的收集存儲、加工傳遞以及使用和維護，主要進行日常事務的管理操作。內容包括ERP、門戶、財務管理、市場交易及營銷管理、人力資源管理、變電站管理、配電網管理、輸電網信息管理系統等。
3.數據網絡系統
電力數據網絡系統主要由電力信息數據網和電力調度數據網組成，隸屬于電力專用網。電力調度數據網絡指的是電力生產所用撥號網以及專門用于調度的廣域網絡。電力信息數據網指的是用于電力系統內部的公用網絡，包含的范圍非常廣闊，除去生產及調度外，該網絡均有覆蓋。電力企業的信息網絡包涵了各個電力單位，并通過電力專用網絡來實現信息的上傳和下載以及各個單位間的互相連接。
二、電力信息網絡安全問題分析
當前國家的電力信息網絡體系已經相對健全，而且具有較強的電力信息安全體系，可以將電力信息網絡以及電力執行時進行實時控制，各級單位信息安全設備已安裝調試到位，信息安全檢查工作已規范。可是依舊會有許多電力單位對信息安全性不夠關注，信息安全事件和信息泄密事件頻頻發生，還具有很多安全風險和問題。
1、部分員工缺乏安全意識
電力企業實現信息化建設使電力企業得到了很大的發展，但是由于電力企業信息化時間較短，部分員工缺乏信息網絡的安全意識，對信息安全問題的重視程度不夠，存在人為的安全隱患。
2、需進一步規范管理制度
雖然我國電力企業已經初步建立起統一的、規范的信息網絡信息系統的安全管理相關規定，制定了相關安全防范措施和安全保護機制，但同樣由于起步較晚，在一定程度上仍然對基層電力企業的信息網絡安全工作缺乏詳細的維護指導。
3、信息安全管理仍然存在不統一的現象
現在信息網絡已應用到電力生產、管理和營銷的各個方面，但是信息網絡安全仍然按主管部門分屬于兩個單位，分為生產辦公區和調度區，兩部分安全區域各自執行各自的信息安全標準，沒有實現信息安全的統一管理。
4、基層電力信息網絡安全的基礎設施不完善
信息網絡的基礎安全設施建設是信息網絡安全的基礎，而基層電力信息網絡的安全設施仍然比較薄弱，使電力信息網絡安全無法得到保障。
三、電力信息網絡安全防范措施
信息網絡安全要加強防范措施，只有制定出嚴格的防范措施，才能保障電力信息網絡的安全運行。
1、要加強人員管理和培訓，提高員工安全意識電力企業要定期開展內部信息網絡安全培訓，使員工增強信息網絡安全防范的意識。電力企業要組織電力管理相關人員進行信息網絡安全教育與培訓，如部門負責人、用戶、相關技術人員等，要求電力企業所有人員必須認識并嚴格遵守電力信息網絡安全規定。
培養員工建立良好網絡使用習慣，與工作無關的設備要禁止在企業電腦中使用。不允許在企業電腦安裝盜版的軟件和與工作無關的軟件，嚴格執行“雙機雙網”，不允許內、外網混合使用，對電力信息網絡開機口令和應用系統口令要定期進行修改，對屏幕要設置密碼，對每臺操作的電腦都要進行定期的殺毒和文件的備份工作等。只有提高企業所有人員的信息網絡安全化意識.才能真正開展電力信息網絡安全防范措施。
2、強化電力信息網安全管理
筆者認為一方面是要進行層次化管理模式。將電力信息安全網絡進行層次化劃分，每一層次進行隔離。另一方面是實行區域化管理模式。根據電力信息網絡安全特點對電力企業信息進行劃分為控制區、非控制、生產區、信息區等四大區域進行模式化管理。
3、通過不同的安全防護措施進行保護
為信息進行加密，密碼作為信息領域的安全之瑣，是一項非常實用的技術；為信息進行確認，為網絡提供控制技術，目前一個較為成熟的信息確認技術以及網絡安全控制技術需要以計算機網絡開展為基礎，對業務信息安全技術進行系統的策劃；為計算機提供網絡防病毒技術，計算機的病毒已經逐漸朝多元化、網絡化等方向發展；微計算機提供防“黑客”技術，黑客大多針對的是信息系統網絡以及主機內部具有的漏洞進行攻擊；對數據進行備份，避免由于外界因素造成技術上的損失，讓信息系統可以更加安全、數據可以更加可靠。
4、有效設置防火墻與入侵檢測系統
防火墻可以有效防止惡意的入侵和攻擊.是計算機系統自我保護的重要屏障。防火墻可以對各種軟件進行識別，也可以對抵抗非授權的訪問進行技術控制。內部的資源哪些可以被外界訪問.外部的服務哪些可以被內部人員訪問，都可以進行識別。防火墻的抗惡意攻擊和免疫能力較強。可以對企業內部的網絡進行劃分VPN.對各個網段進行隔離。限制重點或者敏感部分的網絡安全。入侵檢測系統作為防火墻的補充，為網絡提供了主動的保護功能。可以探測網絡的流量中有可能存在的入侵、攻擊或者濫用模式的發生。通過上述這些措施，進一步提升電力信息網絡的安全。
工業網絡信息安全范文第3篇
【關鍵詞】：信息；網絡；安全管理；策略
1 引言
隨著計算機網絡的不斷發展，全球信息化已成為人類發展的大趨勢，我供電公司也在由企業信息化向信息化企業不斷的邁進。但由于計算機網絡具有聯結形式多樣性、終端分布不均勻性和網絡的開放性、互聯性等特征，致使網絡易受黑客、怪客、惡意軟件和其他不軌的攻擊。計算機病毒的泛濫；木馬程序帶來安全保密方面的隱患；易受黑客攻擊特別是洪流攻擊；垃圾郵件阻塞網絡等各類網絡安全的威脅開始蔓延到應用的環節，其中Windows占70%，UNIX占30%。因此網絡的信息安全防護是一個至關重要的問題，無論是在局域網還是在廣域網中，都存在著自然和人為等諸多因素的脆弱性和潛在威脅。網絡的安全防護措施應是能全方位地針對各種不同的威脅和脆弱性，這樣才能確保網絡信息的保密性、完整性和可用性。本次調研也正是基于此目的。
2 信息網絡安防的加密策略和安全策略技術
2.1 目前計算機信息網絡面臨的威脅
計算機網絡所面臨的威脅大體可分為兩種：一是對網絡中信息的威脅；二是對網絡中設備的威脅。影響計算機網絡的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的；還有可能是外來黑客對網絡系統資源的非法使有，歸結起來，針對網絡安全的威脅主要有以下三種：（1）人為的無意失誤：如操作員安全配置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的帳號隨意轉借他人或與別人共享等都會對網絡安全帶來威脅。（2）人為的惡意攻擊：這是計算機網絡所面臨的最大威脅，惡意的攻擊和計算機犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。這兩種攻擊均可對計算機網絡造成極大的危害，并導致機密數據的泄漏。（3）網絡軟件的漏洞和“后門”：網絡軟件不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標，曾經出現過的黑客攻入網絡內部的事件，這些事件的大部分就是因為安全措施不完善導致的。另外，軟件的“后門”都是軟件公司的設計編程人員為了方便而設置的，一般不為外人所知，但一旦“后門”洞開，其造成的后果將不堪設想。
2.2 信息加密策略
信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網絡加密常用的方法有鏈路加密、端點加密和節點加密三種。鏈路加密的目的是保護網絡節點之間的鏈路信息安全；端-端加密的目的是對源端用戶到目的端用戶的數據提供保護；節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。在常規密碼中，收信方和發信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。常規密碼的優點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統安全的重要因素。
密碼技術是網絡安全最有效的技術之一。一個加密網絡，不但可以防止非授權用戶的搭線竊聽和入網，而且也是對付惡意軟件的有效方法之一。
2.3 計算機信息網絡的安全策略
（1）物理安全策略。物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。
（2）訪問控制策略。訪問控制是網絡安全防范和保護的主要策略，它的主要任務是保證網絡資源不被非法使用和非法訪問。它也是維護網絡系統安全、保護網絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網絡安全最重要的核心策略之一。
3 安防管理措施
針對我供電公司目前的網絡現狀，提出以下幾點安防管理措施。
3.1 入網訪問控制
入網訪問控制為網絡訪問提供了第一層訪問控制。用戶的入網訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的缺省限制檢查。用戶帳號只有系統管理員才能建立，管理員對普通用戶的帳號使用進行控制和限制，控制哪些用戶能夠登錄到服務器并獲取網絡資源，控制準許用戶入網的時間和準許他們在哪臺工作站入網。同時對所有入網用戶的訪問進行審計，如果多次輸入口令不正確，則認為是非法用戶的入侵，給出報警信息。
3.2 網絡的權限控制
網絡的權限控制是針對網絡非法操作所提出的一種安全保護措施，網絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設備能夠執行哪些操作。我們可以根據訪問權限將用戶分為以下幾類：（1）特殊用戶（即系統管理員）；（2）一般用戶，系統管理員根據他們的實際需要為他們分配操作權限；（3）審計用戶，負責網絡的安全控制與資源使用情況的審計。用戶對網絡資源的訪問權限可以通過訪問控制表來描述。
3.3 目錄級安全控制
網絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權限。對目錄和文件的訪問權 限一般有八種：系統管理員權限、讀權限、寫權限、創建權限、刪除權限、修改權限、文件查找權限、存取控制權限。網絡系統管理員為用戶指定適當的訪問權限，這些訪問權限控制著用戶對服務器的訪問。八種訪問權限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問，從而加強了網絡和服務器的安全性。
3.4 屬性安全控制
當用文件、目錄和網絡設備時，網絡系統管理員應給文件、目錄等指定訪問屬性。屬性能控制以下幾個方面的權限：向某個文件寫數據、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執行文件、隱含文件、共享、系統屬性等。網絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執行修改、顯示等。
3.5 網絡監測和鎖定控制
網絡管理員應對網絡實施監控，服務器應記錄用戶對網絡資源的訪問，對非法的網絡訪問，服務器應以圖形或文字或聲音等形式報警，以引起網絡管理員的注意。如果不法之徒試圖進入網絡，網絡服務器應會自動記錄企圖嘗試進入網絡的次數，如果非法訪問的次數達到設定數值，那么該帳戶將被自動鎖定。
3.6 防火墻控制
防火墻是近期發展起來的一種保護計算機網絡安全的技術性措施，它是一個用以阻止網絡中的黑客訪問某個機構網絡的屏障，也可稱之為控制進/出兩個方向通信的門檻。在網絡邊界上通過建立起來的相應網絡通信監控系統來隔離內部和外部網絡，以阻擋外部網絡的侵入。
工業網絡信息安全范文第4篇
一、2015年工控安全漏洞與安全事件依然突出
通過對國家信息安全漏洞庫(CNNVD)的數據進行分析，2015年工控安全漏洞呈現以下幾個特點：
1.工控安全漏洞披露數量居高不下，總體呈遞增趨勢。受2010年“震網病毒”事件影響，工控信息安全迅速成為安全領域的焦點。國內外掀起針對工控安全漏洞的研究熱潮，因此自2010年以后工控漏洞披露數量激增，占全部數量的96%以上。隨著國內外對工控安全的研究逐漸深入，以及工控漏洞的公開披露開始逐漸制度化、規范化，近幾年漏洞披露數量趨于穩定。
2.工控核心硬件漏洞數量增長明顯。盡管在當前已披露的工控系統漏洞中軟件漏洞數量仍高居首位，但近幾年工控硬件漏洞數量增長明顯，所占比例有顯著提高。例如，2010年工控硬件漏洞占比不足10%，但是2015年其占比高達37.5%。其中，工控硬件包括可編程邏輯控制器(PLC)、遠程終端單元(RTU)、智能儀表設備(IED)及離散控制系統(DCS)等。
3.漏洞已覆蓋工控系統主要組件，主流工控廠商無一幸免。無論是國外工控廠商(如西門子、施耐德、羅克韋爾等)還是國內工控廠商(研華)，其產品普遍存在安全漏洞，且許多漏洞很難修補。在2015年新披露的工控漏洞中，西門子、施耐德、羅克韋爾、霍尼韋爾產品的漏洞數量分列前四位。
二、工控信息安全標準需求強烈，標準制定工作正全面推進
盡管工控信息安全問題已得到世界各國普遍重視，但在工業生產環境中如何落實信息安全管理和技術卻沒有切實可行的方法，工控信息安全防護面臨著“無章可循”，工控信息安全標準已迫在眉睫。當前，無論是國外還是國內，工控信息安全標準的需求非常強烈，標準制定工作也如火如荼在開展，但工控系統的特殊性導致目前工控安全技術和管理仍處探索階段，目前絕大多數標準正處于草案或征求意見階段，而且在設計思路上存在較為明顯的差異，這充分反映了目前不同人員對工控信息安全標準認識的不同，因此工控信息安全標準的制定與落地任重道遠。
1.國外工控信息安全標準建設概況
IEC 62443(工業自動化控制系統信息安全)標準是當前國際最主要的工控信息安全標準，起始于2005年，但至今標準制定工作仍未結束，特別是在涉及到系統及產品的具體技術要求方面尚有一段時日。
此外，美國在工控信息安全標準方面也在不斷推進。其國家標準技術研究院NIST早在2010年了《工業控制系統安全指南》(NIST SP800-82)，并2014年了修訂版2，對其控制和控制基線進行了調整，增加了專門針對工控系統的補充指南。在奧巴馬政府美國總統第13636號行政令《提高關鍵基礎設計網絡安全》后，NIST也隨即了《關鍵基礎設施網絡安全框架》，提出“識別保護檢測響應恢復”的總體框架。
2.國內工控信息安全標準建設概況
在國內，兩個標準化技術委員會都在制定工控信息安全標準工作，分別是：全國信息安全標準化技術委員會(SAC/TC260)，以及全國工業過程測量與控制標準化技術委員會(SAC/TC 124)。
其中，由TC260委員會組織制定的《工業控制系統現場測控設備安全功能要求》和《工業控制系統安全控制應用指南》處于報批稿階段，《工業控制系統安全管理基本要求》、《工業控制系統安全檢查指南》、《工業控制系統風險影響等級劃分規范》、《工業控制系統安全防護技術要求和測試評價方法》和《安全可控信息系統(電力系統)安全指標體系》正在制定過程中，并且在2015年新啟動了《工業控制系統產品信息安全通用評估準則》、《工業控制系統漏洞檢測技術要求》、《工業控制系統網絡監測安全技術要求和測試評價方法》、《工業控制網絡安全隔離與信息交換系統安全技術要求》、《工業控制系統網絡審計產品安全技術要求》、《工業控制系統風險評估實施指南》等標準研制工作。
TC124委員會組織制定的工控信息安全標準工作也在如火如荼進行。2014年12月，TC124委員會了《工業控制系統信息安全》(GB/T 30976-2014)，包括兩個部分內容：評估規范和驗收規范。另外，TC124委員會等同采用了IEC 62443中的部分標準，包括《工業通信網絡網絡和系統安全術語、概念和模型》(JB/T 11961-2014，等同采用IEC/TS 62443-1-1：2009)、《工業過程測量和控制安全網絡和系統安全》(JB/T 11960-2014，等同采用IEC PAS 62443-3：2008)、《工業通信網絡網絡和系統工業自動化和控制系統信息安全技術》(JB/T 11962-2014，等同采用IEC/TR 62443-3-1：2009)，此外對IEC62443-2-1：2010標準轉標工作已經進入報批稿階段，并正在計劃對IEC 62443-3-3：2013進行轉標工作。除此之外，TC124委員會組織制定的集散控制系統(DCS)安全系列標準和可編程控制器(PLC)安全要求標準也已經進入征求意見稿后期階段。
由于不同行業的工業控制系統差異很大，因此我國部分行業已經制定或正在研究制定適合自身行業特點的工控信息安全標準。2014年，國家發改委了第14號令《電力監控系統安全防護規定》，取代原先的《電力二次系統安全防護規定》(電監會[2005]5號)，以此作為電力監控系統信息安全防護的指導依據，同時原有配套的防護方案也進行了相應的更新。在城市軌道交通領域，上海申通地鐵集團有限公司2013年了《上海軌道交通信息安全技術架構》(滬地鐵信[2013]222號文)，并在2015年以222號文為指導文件了企業標準《軌道交通信息安全技術建設指導意見》(2015，試行)。同時，北京市軌道交通設計研究院有限公司于2015年牽頭擬制國家標準草案《城市軌道交通工業控制系統信息安全要求》。在石油化工領域，2015年由石化盈科牽頭擬制《中石化工業控制系統信息安全要求》等。
三、工控安全防護技術正迅速發展并在局部開始試點，但離大規模部署和應用有一定差距
當前許多信息安全廠商和工控自動化廠商紛紛研究工業控制系統的信息安全防護技術并開發相應產品，近幾年出現了一系列諸如工控防火墻、工控異常監測系統、主機防護軟件等產品并在部分企業進行試點應用。比較有代表性的工控安全防護產品及特點如下：
1.工控防火墻 防火墻是目前網絡邊界上最常用的一種安全防護設備，主要功能包括訪問控制、地址轉換、應用、帶寬和流量控制等。相對于傳統的IT防火墻，工控防火墻不但需要對TCP/IP協議進行安全過濾，更需要對工控應用層協議進行深度解析和安全過濾，如OPC、Modbus TCP、EtherNet/IP、DNP3、S7、Profinet、FINS等。只有做到工控應用層協議的深度檢測，包括控制指令識別、操作地址和操作參數提取等，才能真正阻止那些不安全的控制指令及數據。
2.工控安全監測系統我國現有工業控制系統網絡普遍呈現出“無縱深”、“無監測”、“無防護”特點，工控安全監測系統正是針對上述問題而快速發展起來的技術。它通過數據鏡像方式采集大量工控網絡數據并進行分析，最終發現各種網絡異常行為、黑客攻擊線索等。利用該系統，相關人員能夠了解工控網絡實時通信狀況，及時發現潛在的攻擊前兆、病毒傳播痕跡以及各類網絡異常情況，同時，由于該系統是以“旁路”方式接入工控網絡中，不會對生產運行造成不良影響，因此更容易在工控系統這種特殊環境下進行部署和推廣。
3.主機防護產品在工業生產過程中，人員能夠通過工程師站或操作員站對PLC、DCS控制器等設備進行控制，從而實現閥門關閉、執行過程改變等操作。這些工程師站、操作員站等主機系統就變得十分重要，一旦出現問題，比如感染計算機病毒等，就會對正常生產造成較大影響。近年來發生的由于工程師站或操作員站感染計算機病毒最終導致控制通信中斷從而影響生產的報道屢見不鮮。加強這些重要主機系統的安全防護，尤其是病毒防護至關重要。但是，傳統的基于殺毒軟件的防護機制在工控系統中面臨著很多挑戰，其中最嚴重的就是在工控網絡這樣一個封閉的網絡環境中，殺毒軟件無法在線升級。另外，殺毒軟件對未知病毒、變異病毒也無能為力。在此情況下，基于白名單的防護技術開始出現。由于工控系統在建設完成投入運行后，其系統將基本保持穩定不變，應用單一、規律性強，因而很容易獲得系統合法的“白名單”。通過這種方式就能夠發現由于感染病毒或者攻擊而產生的各種異常狀況。
4.移動介質管控技術在工控網絡中，由于工控系統故障進行維修，或者由于工藝生產邏輯變更導致的工程邏輯控制程序的變更，需要在上位機插入U盤等外來移動介質，這必然成為工控網絡的一個攻擊點。例如，伊朗“震網”病毒就是采用U盤擺渡方式，對上位機(即WinCC主機)進行了滲透攻擊，從而最終控制了西門子PLC，造成了伊朗核設施損壞的嚴重危害后果。針對上述情況，一些針對U盤管控的技術和原型產品開始出現，包括專用U盤安全防護工具、USB漏洞檢測工具等。
總之，針對工控系統安全防護需求及工控環境特點，許多防護技術和產品正在快速研發中，甚至在部分企業進行試點應用。但是，由于這些技術和產品在穩定性、可靠性等方面還未經嚴格考驗，能否適用于工業環境的高溫、高濕、粉塵情況還未可知，再加上工控系統作為生產系統，一旦出現故障將會造成不可估量的財產損失甚至人員傷亡，用戶不敢冒然部署安全防護設備，因此目前還沒有行業大規模使用上述防護技術和產品。
四、主要對策建議
針對2015年工控信息安全總體情況，提出以下對策建議：
1.進一步強化工控信息安全領導機構，充分發揮組織管理職能。
2.對工控新建系統和存量系統進行區別對待。對于工控新建系統而言，要將信息安全納入總體規劃中，從安全管理和安全技術兩方面著手提升新建系統的安全保障能力，對關鍵設備進行安全選型，在系統上線運行前進行風險評估和滲透測試，及時發現安全漏洞并進行修補，避免系統投入生產后無法“打補丁”的情況。對于大量存量系統而言，應在不影響生產運行的情況下，通過旁路安全監測、外邊界保護等方式，形成基本的工控安全狀況監測和取證分析能力，徹底扭轉現階段對工控網絡內部狀況一無所知、面對工控病毒攻擊束手無策的局面。
3.大力推進工控安全防護技術在實際應用中“落地”，鼓勵主要工控行業用戶進行試點應用，并對那些實踐證明已經成熟的技術和產品在全行業進行推廣。
4.建立工控關鍵設備的安全測評機制，防止設備存在高危漏洞甚至是“后門”等重大隱患。
工業網絡信息安全范文第5篇
［關鍵詞］智能建筑;信息安全;工業控制系統網絡
引言
建筑智能化系統是智能建筑的重要組成部分，為人民生活提供舒適和便利。隨著信息通訊、計算機網絡、樓宇控制技術的發展，大量網絡化的設備和系統進入建筑領域，建筑智能化系統逐漸形成以工業控制網絡和計算機網絡深度交融，樓宇控制、安全防范、辦公自動化等系統集中配置和管理的大規模集成系統［1］。建筑智能化系統，一方面增加了建筑的舒適度，另一方面也保障了建筑及周邊的安全，便于在緊急情況下迅速響應突發事件。涉及國家安全建設項目是社會的重要基礎設施，例如車站、五星級酒店、省級重點實驗室等。處于這些建筑中的智能化系統的質量好壞不但關系到建筑的功能和可用性，有的甚至關系到人們的生命、財產和國家安全。因此做好建智能建筑的智能化系統檢驗是確保工程質量、保障信息安全的重要基石。
1建筑智能化系統構成及檢驗現狀
1．1建筑智能化系統構成
世界上第一幢智能大廈建于1984年1月，是美國康涅狄格州哈特福德市的“城市廣場”。它是由一幢舊式大樓采用計算機技術進行了一定程度的改造而成。改造后大樓內的空調、電梯、照明等設備具備了監控和控制，并提供語音通信、電子郵件和情報資料等方面的信息化服務。此后，智能建筑以一種嶄新的面貌和技術迅速在世界各地展開。“建筑智能化系統”在國內工程界也稱為“弱電系統”，主要由智能家居系統、停車場管理系統、樓宇對講系統、門禁系統、辦公自動化系統、公共廣播系統、綜合布線系統、機房管理系統、酒店管理系統、有線電視系統、寬帶接入系統、電子巡更系統、入侵報警系統、視頻監控系統等構成。建設項目涉及國家安全的智能化系統與“弱電系統”的系統近似，按功能分為3大部分，分別是安防系統、樓宇集成控制系統和信息網絡系統，見圖1。
1．2標準及檢驗現狀
建筑智能化系統主要依據現行國標進行檢驗和驗收，部分沒有標準的系統依據合同中的技術指標進行驗收。系統檢驗一般在系統調試完成并試運行1個月后進行，檢驗內容主要是系統的功能和性能［2］。目前建筑智能化系統檢驗的國標主要有GB50339—2013《智能建筑工程質量驗收規范》［3］，該標準在宏觀上對智能建筑工程質量驗收提出了要求，但在實際驗收中必須加以細化才能提高可操作性。GB50348—2004《安全防范工程技術規范》［4］是我國安防領域的第一部內容完整、格式規范的國標。該標準總結了我國安防工程領域施工的檢驗，對工程的設計使用等各個方面提出質量要求，但由于制定時間較早該標準中部分條款已不適用。此外，這些標準適用范圍是通用建筑和一般建設項目，其檢測項目較少，檢測要求較低，因此不能用于建設項目涉及國家安全的智能化系統的檢測中。
1．3存在的問題
現行建筑智能化系統在檢驗時主要存在2個問題:(1)缺乏信息安全評估。目前建筑智能化系統的標準和檢驗實施主要針對系統的功能和性能，沒有專門針對信息安全技術要求和評估方法。這導致系統在設計、施工和使用過程中缺乏信息安全技術保護手段和管理意識，存在信息安全風險［5］。隨著系統集成度的提高和互聯網技術的應用，建筑智能化系統已由傳統的信息網絡孤島，轉變為具備廣泛互聯互通和信息共享的大數據集成系統。系統中的各種設備、終端、數據庫等可以通過互聯網遠程訪問和控制，使得系統的信息安全問題直接暴露在互聯網中，給公共安全、公司機密、個人隱私帶來嚴重威脅。涉及國家安全的建設項目一般是社會重要基礎設施或向社會提供基本公共服務，如果其建筑智能化系統被攻擊和控制，將造成重大事件。例如2012年7月的斯坦福大學附屬醫院2500名患者數據信息泄密事件，2015年2月的海康威視監控設備事件等等，都造成了極大的社會影響。(2)缺少針對建筑智能化系統信息安全的評估標準。建筑智能化系統中的通信網絡主要由計算機網絡和樓宇集成控制系統網絡構成。計算機系統主要涉及內部辦公、信息、業務辦理等，與普通計算機網絡基本相同，其信息安全評估可以參考現有國家標準和地方標準進行。樓宇集成控制系統涉及給排水、智能照明、電梯控制系統、空調系統等，屬于工業控制系統范疇。工業控制系統與傳統計算機系統在信息安全上的主要區別是:傳統計算機系統認為保密性的優先級最高，完整性次之，可用性最低;而工業控制系統優先保證系統的可用性，完整性次之，保密性的要求最低。由于工業控制系統與普通計算機系統存在以上差異，因此不能采用計算機系統的信息安全評估標準對工業控制系統進行評估。現行工業控制系統信息安全國家標準有GB/T30976．1—2014《工業控制系統信息安全第1部分:評估規范》和GB/T30976．2—2014《工業控制系統信息安全第2部分:驗收規范》，其適用范圍主要是工業生產過程控制系統［6］，與建筑智能化系統存在一定的差別，僅具有借鑒意義。
2建筑智能化系統信息安全的現狀
2．1建筑智能化系統的信息安全脆弱性
隨著科技的進步，智能化系統中的設備和網絡結構發生了很大變化，主要涉及以下3個方面:(1)嵌入式系統的廣泛應用提升了系統的智能化水平。隨著嵌入式系統開發環境的優化和技術難度的不斷降低，嵌入式系統在電子產品的設計和開發中已經廣泛應用，使得設備和系統的開發流程簡化，周期縮短，成本大幅下降。嵌入式系統的應用提高了設備的智能化水平，簡化了設備互聯的復雜度，降低了系統集成的成本。例如，建筑智能化系統的重要子系統，安全防范系統，使用的監控攝像機在10年前主要是模擬攝像機，只有圖像和聲音的記錄和傳輸功能，信號通過同軸電纜傳輸。目前嵌入式監控攝像機已經成為主流產品，不但具有模擬機的全部功能，還增加了與手機互動監控、網絡存儲圖像、多協議支持等功能。在組網方面，嵌入式系統的監控攝像機一般都支持基于TCP/IP的以太網連接，簡化了網絡結構。(2)網絡技術的進步擴大了系統集成的規模。智能建筑的核心是系統集成，網絡是系統集成的基礎。目前智能建筑中除了用于電話、電視、消防的網絡外，還大幅增加了各種計算機網絡、綜合服務數字網、樓宇控制系統網絡等［7－9］。這些網絡實現了建筑內各個系統的互聯互通，還承擔了智能建筑中部分系統接入互聯網的功能。此外與通訊網絡相關的設備數量和種類也逐漸增加。例如樓宇控制系統采用以太網連接和OPC技術將其房門控制系統、空調控制系統、智能照明系統等信息集成到統一平臺進行管理。該平臺通過核心交換機與辦公系統和其他管理系統進行數據交互，部分辦公和業務系統通過核心交換機連接到互聯網。(3)無線接入技術改變了系統連接方式。近年來，無線局域網技術和產品逐漸走向成熟，無線局域網能夠通過與廣域網相結合提供移動互聯網的接入服務。此外，采用無線局域網還可以節省線纜鋪設成本，降低了線纜端接不可靠問題，滿足接入設備在一定區域內任意更換地理位置的需要。這使得無線局域網在智能建筑中的應用日益廣泛。例如在智能建筑中辦公場所、公共區域等地方都提供無線接入服務，部分無線不需要認證可直接登錄使用。新技術和產品的使用一方面促進了建筑智能化系統的功能和性能的提高，另一方面也增加了系統的脆弱點:(1)嵌入式設備和網絡集成給建筑智能化系統的信息安全帶來巨大挑戰。在傳統的建筑智能化系統中，網絡是相對封閉的，承載的數據相對隔離，設備一般由單片機控制，程序和功能相對簡單。例如樓宇的給排水系統一般由單片機控制，樓宇的監控系統采用的是模擬監控攝像機。這兩種系統的網絡獨立相互，使用不同的現場總線進行信息傳輸。設備中沒有嵌入式系統，病毒和惡意攻擊難以改變設備的功能，對系統造成破壞。在這種情況下，即便某個系統中的設備故障了，基本不會對本系統中其他設備造成干擾，更不會影響其他系統和設備。現在，隨著技術的進步，控制系統采用高級PLC，監控攝像機使用嵌入式系統，控制系統和監控系統通過以太網集成管理后，信息安全風險將可能引起智能化系統的整體故障。其一，病毒可以通過集成管理服務器或辦公電腦傳播;其二，嵌入式系統中的漏洞和應用程序中的bug可被攻擊者利用;其三，被攻陷后的嵌入式設備可能成為僵尸設備，對網絡其他設備發動二次攻擊;其四，攻擊者可以通過網絡進行遠程攻擊，攻擊更加隱蔽。(2)無線網絡的使用增加了建筑智能化系統受到攻擊的隱蔽性。無線網的信號是在開放空間中傳送的，所以只要有合適的無線客戶端設備，在合適的信號覆蓋范圍之內就可以接收無線網的信號。目前在智能化系統中，無線網絡主要設置在普通辦公室，員工休息房間，餐廳等區域，且部分無線網絡與管理或辦公內網相連，僅采用簡單技術方法進行隔離。而管理或辦公內網與樓宇集成控制網絡存在必要的數據交換，這導致通過部分無線網絡可以進入樓宇集成控制系統網絡。此外，由于無線接入的便利性，部分樓宇集成控制系統網絡中的設備也采用無線接入的方式，雖然這些設備在進行無線傳輸時采用了一定的加密措施防止信息泄露，但無線接入點及其設備卻成為網絡信息安全的薄弱環節。入侵者可在較隱蔽的地方通過這類無線接入設備進入網絡，然后利用技術手段發現網絡薄弱點，最后實施攻擊或敏感信息的竊取，造成設備失效或信息泄密。
2．2建筑智能化系統管理上的信息安全脆弱性
雖然智能化系統隨科技的發展引入了許多新的技術和功能，但對智能化系統的管理措施和制度卻沒有跟上技術的步伐，仍然停留在10年前的水平，總體上主要存在以下3個方面的問題:其一，信息安全管理環節存在缺失。目前，智能化系統的信息安全措施主要集中在辦公和業務網絡，樓宇集成控制系統網絡幾乎沒有信息安全管理措施，存在部分網絡信息安全管理環節的缺失。這使得入侵者很容易通過樓宇集成系統網絡入侵整個智能化系統。其二，缺乏嵌入式設備的信息安全管理措施。嵌入式設備由于使用了操作系統，部分設備可以看作是小型的個人電腦，但由于其安裝位置和在系統中的功能定位，使得管理者往往忽視了對嵌入式設備的信息安全措施，這導致信息安全管理的盲區。其三，無線局域網接入管理環節信息安全措施薄弱。為了工作方便，智能建筑中臨時搭建無線網絡的情況時有發生。設備通過無線接入網絡僅使用簡單密碼即可，其信息安全措施不足以抵御基本的入侵。由于這種臨時網絡的連接隱蔽性和接入的隨意性，不但難以管理，還給智能化系統網絡帶來巨大的潛在威脅。管理的薄弱環節不但進一步加劇了系統的脆弱程度，還使得當出現信息安全事件時相關部門難以快速響應，事后難以進行溯源調查和改進。
3建筑智能化系統信息安全評估的實踐
為了探索建筑智能化系統信息安全評估方法，為智能建筑的智能化系統信息安全評估提供參考數據，掌握項目中存在的實際具體問題，在政府相關職能部門的授權下，湖南省產商品質量監督檢驗研究院聯合上海三零衛士信息安全有限公司，開展了對1個5星級酒店的智能化系統進行信息安全測評。由于該酒店已經進入運營，因此測評主要采用網絡安全結構分析、攻擊路徑分析、安全漏洞掃描、系統完整性檢查手段進行現場信息安全評估。被評估酒店的智能化系統的整體網絡結構如圖所示圖2酒店智能化系統網絡結構本次建筑智能化系統信息安全評估工作的范圍是西門子的樓宇控制系統、客房控制系統網絡、以及與之關聯的信息網絡。由于樓宇控制系統和客房控制系統中業務種類相對較多、網絡和業務結構較為復雜，且酒店已經開始運營，因此評估主要是在不影響酒店方正常運營的條件下進行，包括但不限于:工業控制系統網絡、基礎網絡與服務器、關鍵業務系統、現有安全防護措施、信息安全管理的組織與策略、信息系統安全運行和維護情況的評估。由于建筑智能化系統的信息安全評估沒有對應的標準，因此我們參考GB/T30976．1—2014《工業控制系統信息安全第1部分:評估規范》、GB/T30976．2—2014《工業控制系統信息安全第2部分:驗收規范》、DB43/244．2—2013《建設項目涉及國家安全的系統規范第2部分計算機網絡系統規范》和DB43/244．7—2013《建設項目涉及國家安全的系統規范第7部分建筑設備管理系統規范》，開展評估工作。通過評估和滲透測試，我們發現建筑智能化系統主要存在以下信息安全問題:(1)嵌入式設備存在嚴重信息安全隱患。首先該酒店樓宇控制系統采用的是西門子的DDC，該型號的版本由于沒有進行操作系統升級，存在編號為CVE－2012－0207的漏洞，遠程攻擊者可利用該漏洞，借助IGMP數據包導致拒絕服務。其次，該DDC存在23號端口為默認開啟，telent的默認登錄為弱口令。(2)智能化系統網絡信息安全管理措施薄弱。第一，客房控制系統主機IP所在的網段可以連接互聯網，存在被遠程攻擊的危險。第二，該主機的3389端口沒有關閉，由于其密碼簡單，存在被爆破的風險。第三，通過該主機的IP地址接入后，掃描到了相鄰IP的主機中的2個MYSQL數據庫。第四，通過爆破的方式破解了這兩個數據庫的密碼，密碼為弱口令，并成功登錄數據庫。第五，該網段還存在考勤管理系統，具備門禁權限管理功能，系統仍然使用出廠用戶名密碼。第六，該網段還掃描到諸多打印機，在端口掃描中發現開啟了515/printer端口，21/ftp端口，通過簡單爆破得到了其出廠的ftp服務密碼。第七，Insight軟件登錄賬戶/權限與操作系統登錄用戶名、密碼保持一致，且均為弱密碼，第八，系統操作員站與工程師站沒有分離，操作員可使用工程師權限。(3)智能化系統網絡信息安全防護技術措施薄弱。第一，樓宇控制系統采用的是西門子的DDC和APOGEEInsight軟件，組態軟件和DDC間的通訊采用的是明文(見圖3)，且網絡邊界沒有防護設施，很容易實施中間人攻擊。第二，系統中40%的管理主機沒有安裝基本的防病毒軟件，部分管理主機已經受到病毒感染。圖3DDC的通訊數據包(4)樓宇集成控制系統部分集成軟件存在軟件漏洞。該酒店采用的是西門子的APOGEEInsight軟件，存在DLL劫持漏洞，目前該漏洞已經被西門子證實，由CVE收錄(編號為CVE－CVE－2016－3155)。雖然本次評估中發現的信息安全風險為個案，但通過與系統維護人員及管理人員的交流，我們得知該酒店的智能化系統與他們工作過的酒店相比差不多，管理措施基本一致。由此可以推斷，涉及國家安全智能化系統的信息安全問題是普遍存在的。由于此類風險在現階段沒有引起過較大的社會性事故，因此沒有被重視。針對發現的問題，我們提出以下建議:(1)嵌入式設備應及時更新軟件版本，并將敏感端口設置為默認關閉狀態。(2)合理劃分Vlan和強化核心路由規則。(3)網絡中額設備嚴禁使用默認密碼或弱口令。(4)控制系統軟件應該將系統操作員站和工程師站進行分離，并用分配不同的權限進行管理。(5)組態軟件應及時更新，同時對應的電腦應安裝基本的防病毒軟件。
4結語
