導語：如何才能寫好一篇控制系統網絡安全，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

1過程控制系統網絡的特點與風險點

改革開放以來，我國石油化工企業的自動化和信息化水平，無論在裝備上、技術水平上、功能與規模上都有了較大的發展。測量和控制裝置不斷更新升級，DCS、PLC和IPC已成為大中型石油和化工企業的主要控制手段[3]。而由DCS、PLC和FCS等控制系統構成的控制網絡在石化行業中也得到了廣泛的應用。

1.1過程控制系統網絡的特點過程控制系統的網絡與傳統的IT網絡不同，具有以下特點。1）較高的實時性和可靠性。過程控制系統網絡主要需要保證所有傳輸數據的實時性以及網絡的可靠性，在傳輸過程中不允許有中斷出現，需要整個傳輸過程始終在系統的可控范圍內，不能出現失控的狀態。2）專有通信協議。早先每一個過程控制系統供應商都有自己獨自研發的專有通信協議，但隨著過程控制系統的網絡面逐漸擴大，而在彼此的通信傳輸中需要進行轉換，不同通訊協議導致的不便捷性逐漸顯露出來。近幾年隨著系統開放性呼聲越來越高，在行業內部出現了一些開放的公用的專有通信協議，例如OPC，ModbusTCP，現場總線(Foundation／Hart／Profibus)等。3）相對的獨立性。過程控制系統通常都是根據工藝設備的要求而進行獨立設計，所以無論從前期網絡設計到實際物理安裝，整個控制系統網絡都是相當獨立的，不會與其他任何應用存在交聯部分。在與外界交互的通道上僅僅開放OPCServer一個接口，通過OPC工業通信協議與外部進行數據交換。4）較長的產品更新周期。過程控制系統產品不以追求設備的先進性為目標，更多地是強調安全性與穩定性。所以結合實際工藝生產以及設備投資來進行綜合考慮，過程控制系統通常具有較長的更新周期，這樣就導致系統操作平臺的安全漏洞得不到及時的維護。5）與殺毒軟件兼容性差。目前市場上的殺毒軟件廠商基本都是針對常用的應用軟件進行兼容性測試，針對市場上使用頻率較高的軟件進行病毒防治策略的研究。而在網絡中基于Windows平臺上安裝的所有過程控制軟件，幾乎沒有殺毒軟件廠商對其進行過完整的兼容性測試。這種情況同樣也適應于過程控制系統制造商，各家控制系統制造商一般只認可少數幾種防病毒軟件，所以在工控領域的操作層級進行統一部署防護策略是一件很困難的事。

1.2過程控制系統網絡的風險點根據對過程控制系統結構的分析，通常易受病毒侵襲的主要風險點主要有“數據采集網絡的連接”，“先進過程控制站的連接”，“操作站”之間的三處連接。1）與數據采集網絡的通信安全隱患例如采用雙網卡配置的OPC數據采集機，但無其他任何防護措施。雖然OPC數據采集機采用雙網卡配置，并已經將控制網與信息網進行隔離，信息網已經無法對控制網進行操縱攻擊，但是雙網卡結構的配置，對病毒的傳播沒有任何阻擋作用，所以來自上層信息網對控制網的病毒感染是目前的最大隱患。2）先進控制過程站的病毒感染隱患例如先進控制過程站通常可以由軟件供應商進行自由操作，先進控制過程站本身并無任何防護措施，具有較高的病毒感染風險。首先先進控制過程站的安裝、調試、運行一般需要較長的時間，而且需要項目工程師進行不斷的調試、修改。期間先進控制過程站需要頻繁與外界進行數據交換，這給先進控制過程站本身帶來很大感染病毒的風險。一旦先進控制過程站受到病毒感染，其對實時運行的控制系統安全會造成極大隱患。另外先進過程控制站是應用OPC通信協議進行數據通信的，所以采用常規IT策略（例如常規的通用防火墻）無法提供適宜的防護。3）操作站互相感染的隱患目前大多數操作站都運行一個工作網絡中，但在網絡內部沒有采取任何有效防護措施。而工業平臺基本采用PC+Windows架構，同時也廣泛應用以太網進行連接，TCP，STMP，POP3，ICMP，Netbios等大量開放的通信協議被廣泛應用。但活躍在這些通訊協議上的木馬、蠕蟲等計算機病毒也具有一定的規模。目前普通的防火墻無法實現工業通信協議的過濾，所以當網絡中某個操作站或工程師站感染病毒時，可能會馬上通過數據交換傳播到該工作網絡中的其他PC機上，這就容易造成網絡上所有操作站同時發生故障，嚴重時可導致所有操作站同時失控，甚至造成不可估計的損失。

2防護措施與建議

通過考慮石油化工過程控制系統中的網絡架構和安全設計，同時參考保護層理論，列出了硬件、網絡通信預防手段、殺毒軟件預防手段、網絡管理規章制度、良好的個人工作習慣等多個“保護層”，下圖為石油化工過程控制系統網絡的安全防護洋蔥模型。圖1石油化工過程控制系統網絡的安全防護洋蔥模型根據上圖列出的各個風險點，可以參考以下措施進行有針對性的安全防護。

2.1設置防火墻相關單位或部門應該針對過程控制系統設置防火墻。防火墻是一項信息安全的防護系統，依照特定的規則，允許或是限制傳輸的數據通過。在網絡通信中采用防火墻，它能允許系統預設的人員和數據（白名單）進入你的網絡，同時將系統未允許的人員和數據拒之門外，可以最大限度地阻止網絡中的黑客訪問公司內部網絡，在內部網和外部網之間、專用網與公共網之間的界面上構造一道保護屏障，從而保護內部網免受非法用戶的侵入。一般的防火墻軟件例如ComodoFirewall、ZoneAlarm、瑞星個人防火墻、卡巴斯基等均有完善的白名單以及黑名單設置，管理員可以根據相應的軟件說明書和自身狀況進行詳細設置。

2.2安裝專業殺毒軟件在已聯網的過程控制系統工業計算機上安裝相應的殺毒軟件，以降低電腦病毒、特洛伊木馬和惡意軟件等感染計算機的概率。殺毒軟件通常集成監控識別、病毒掃描和清除和自動升級等功能，有的專業殺毒軟件還帶有數據恢復等功能，是計算機防御系統（包含殺毒軟件，防火墻，特洛伊木馬和其他惡意軟件的查殺程序，入侵預防系統等）的重要組成部分。但是需要注意的是，有的時候殺毒軟件會對工業計算機上的一些正常行為誤報為病毒或木馬。這時候就需要網絡安全管理人員在安裝殺毒軟件的同時，將已確認的工業正常行為錄入殺毒軟件的信任列表，以避免誤刪重要程序或導致系統停機的情況發生。

2.3建立完善的規章管理制度公司應建立完善的網絡系統安全管理規章制度，安排專人（網絡安全管理人員）負責公司內部網絡系統的安全運行工作。同時設置一定的權限，以阻止管理員之外的人員進行隨意操作與變更。

篇2

論文摘要： 隨著信息的發展，網絡安全問題已經引起越來越多人的關注。而校園網作為學校重要的基礎設施，擔當著學校教學、科研、管理和對外交流等許多角色。隨著校園網應用的深入，校園網上各種數據急劇增加，結構性不斷提高，用戶對網絡性能要求的不斷提高，網絡安全也逐步成為網絡技術發展中一個極為關鍵的任務。從分析校園網信息安全需求入手，就校園網絡系統控制安全措施提出筆者的幾點淺見。 

 

1 校園網的概念 

簡單地說，校園網絡是“校校通”項目的基礎，是為學院教師和學生提供教學，科研等綜合信息服務的寬帶多媒體。根據上述要求，校園網必須是一個寬帶，互動功能和高度專業化的局域網絡。 

2 校園網的特點 

校園網的設計應具備以下特點： 

1）提供高速網絡連接；2）滿足復雜的信息結構；3）強大的可靠性和安全性保證；4）操作方便，易于管理；5）提供可運營的特性；6）經濟實用。 

3 校園網絡系統信息安全需求 

3.1 用戶安全 

用戶安全分成兩個層次即管理員用戶安全和業務用戶安全。 

1）管理員用戶擁有校園網的最高執行權限，因此對信息系統的安全負有最大的執行責任。應該制定相應的管理制度，例如對管理員的政治素質和網絡信息安全技術管理的業務素質，對于涉及到某大學的網絡安全策略配置、調整、審計信息調閱等重要操作，應實行多人參與措施等等。 

2）業務用戶必須在管理員分配的權限內使用校園網資源和進行操作，嚴禁超越權限使用資源和泄露、轉讓合法權限，需要對業務人員進行崗前安全培訓。 

3.2 網絡硬環境安全 

通過調研分析，初步定為有以下需求： 

1）校園網與教育網的網絡連接安全二需要在連接處，對進/出的數據包進行訪問控制與隔離，重點對源地址為教育網，而目的地址為某大學的數據包進行嚴格的控制。2）校園網中，教師/學生宿舍網絡與其他網絡連接的網絡安全。3）校園網中，教學單位網絡與其他網絡的網絡連接安全。4）校園網中，行政辦公網絡與其他網絡的網絡連接安全。5）校園網中，網絡管理中心網絡與其他網絡的網絡連接安全。6）校園網中，公眾服務器所在的網絡與其他網絡的網絡連接安全。7）各個專用的業務子網的安全，即按信息的敏感程度，將各教學單位的網絡和行政辦公網絡劃分為多個子網，例如：專用業務子網（財務處、教務處、人事部等）和普通子網，對這些專用業務子網提供網絡連接控制。 

3.3 網絡軟環境安全 

網絡軟環境安全即校園網的應用環境安全。對于一些涉及到有敏感信息的業務專用網，如：財務處、教務處、人事處等等，必須確保這些子網的信息安全，包括：防病毒、數據備份與災難恢復、規范網絡通信秩序、對保存有敏感信息的重要服務器軟/硬件資源進行層次化監控，防止敏感信息被竊取。 

3.4 傳輸安全 

數據的傳輸安全，主要是指校園網內部的傳輸安全、校園網與教育網之間的數據傳輸安全以及校園網與老校區之間的數據傳輸安全。 

4 校園網絡系統控制安全措施 

4.1 通過使用訪問控制及內外網的隔離 

訪問控制體現在如下幾個方面： 

1）要制訂嚴格的規章管理制度：可制定的相應：《用戶授權實施細則》、《口令字及賬戶管理規范》、《權限管埋制度》。例如在內網辦公系統中使用的用戶登錄及管理模塊就是基于這些制度創建。 

2）要配備相應的軟硬件安全設備：在內部網與外部網之間，在不同網絡或網絡安全域之間信息的唯一出入口設置防火墻。設置防火墻就是實現內外網的隔離與訪問控制，保護內部網安全的最主要、同時也是最快捷、最節省的措施之一。防火墻一般具有以下五大基本功能：過濾進、出網絡的數據；管理進、出網絡的訪問行為；封堵某些禁止的業務；記錄通過防火墻的信息內容和活動；對網絡攻擊的檢測和報警。防火墻主要類型有包過濾型，包過濾防火墻就是利用ip和tcp包的頭信息對進出被保護網絡的ip包信息進行過濾，能依據我們制定安全防范策略來控制（允許、拒絕、監測）出入網絡的信息流，也可實現網絡ip地址轉換（nat）、審記與實時告警等功能。因為防火墻安裝在被保護網絡與路由器之間的通道上，所有也對被保護網絡和外部網絡起到隔離作用。 

4.2 通過使用內部網不同網絡安全域的隔離及訪問控制 

主要是利用vlan技術來實現對內部子網的物理隔離。可以通過在交換機上劃分vlan可以將整個網絡劃分為幾個不同的廣播域，實現內部一個網段與另一個網段的物理隔離。因此就能防止影響一個網段的問題穿過整個網絡傳播。對于某些網絡，一部分局域網的某個網段比另一個網段更受信任，或者某個網段比另一個更加敏感，在不同的譏an段內劃分信任網段和不信任網段，就可以限制局部網絡安全問題對全部網絡造成的影響。 

4.3 通過使用網絡安全檢測 

根據短板原理，可以說網絡系統的安全性完全取決于網絡系統中最薄弱的環節。最有效的方法就是定時對網絡系統進行安全性分析，及時準確發現并修正存在的弱點和漏洞，能及時準確發現網絡系統中最薄弱的環節，也能最大限度地保證網絡系統安全。 

網絡安全檢測工具是一款網絡安全性評估分析軟件，其具備網絡監控、分析功能和自動響應功能，能及時找出經常發生問題的根源所在；建立必要的循環過程確保隱患時刻被糾正；及時控制各種網絡安全危險；進行漏洞分析和響應；進行配置分析和響應；進行認證和趨勢分析。 

它的主要功能就是用實踐性的方法掃描分析網絡系統，檢查報告系統存在的弱點和漏洞，建議采用補救措施和安全策略，從而達到增強網絡安全性的目的。 

 

參考文獻： 

[1]劉俊、姜廣明等，校園網絡規劃和實施[j].沈陽化工學院學報，2004年第一期. 

篇3

關鍵詞：計算機網絡系統配置要求；安全系統；施工過程；質量控制

中圖分類號：TP393.1文獻標識碼：A文章編號：1007-9599 (2012) 03-0000-02

The Quality Control of Residential District Network and Information Security Systems

Li Junling

(Harbin University of Commercial,Harbin150028,China)

Abstract:The residential area network and information security systems are linked together through a variety of control devices,sensors and actuators to achieve real-time information exchange,management and control via the fieldbus,Ethernet or broadband access network.This paper describes the quality control of the living cell network and information security systems to protect the quality of the project,the purpose of improving service quality.

Keywords:Computer network system configuration requirements;

Security system;Construction process;Quality control

一、引言

居住小區網絡及信息服務安全系統的網絡是以廣域網、局域網和現場總線為物理集成平臺的多功能管理與控制相結合的綜合智能網。它的功能強大、結構復雜，應充分考慮現有技術的成熟程度和可升級性來確定居住小區的網絡結構。

（一）居住小區計算機網絡系統配置要求的質量控制

1.按國家城鎮建設行業標準CJ／T×××―2001中的要求進行檢查。居住區寬帶接入網可采用FTTX，HFC和XDSL中任一種與其組合，或按設計要求采用其他類型的數據網絡。

2.居住區寬帶接入網應提供如下功能：①支持用戶開戶／銷戶，用戶流量時間統計，用戶流量控制等管理功能；②應提供安全的網絡保障；③居住區寬帶接入網應提供本地計費或遠端撥號用戶認證（RADIUS）的計費功能。

3.控制網中有關信息或基于IP協議傳輸的智能終端，應通過居住區寬帶接入網集成到居住區物業管理中心計算機系統中，便于統一管理，資源共享。

（二）居住小區計算機網絡提供信息服務的內容

居住小區計算機網絡提供信息服務包括Internet網接入服務、娛樂、商業服務、教育、醫療保健、電子銀行、家政服務、建立住戶個人電子信箱和個人網頁和資訊等內容

二、居住小區網絡及信息服務安全系統質量控制要求

網絡安全問題涉及網絡和信息技術各個層面的持續過程，從HUB交換機、服務器到PC機，磁盤的存取，局域網上的信息互通以及Internet的駁接等各個環節，均會引起網絡的安全，所以網絡內的產品（包括硬件和軟件）均應嚴格把關。

1.定購硬件和軟件產品時，應遵循一定的指導方針，（如非盜版軟件）確保安全。

2.任何網絡內產品的采購必須經過審批。

3.對于所有的新系統和軟件必須經過投資效益分析和風險分析。

4.網絡安全系統的產品均應符合設計（或合同）要求的產品說明書、合格證或驗證書。

三、居住小區網絡及信息服務安全系施工過程質量控制要點

按照有關對網絡安全系統的設計要求，在網絡安裝的各個環節進行監督指導。

1.防火墻的設置。應阻擋外部網絡的非授權訪問和窺探，控制內部用戶的不合理流量，同時，它也能進一步屏蔽了內部網絡的拓補細節，便于保護內部網絡的安全。

2.服務器的裝置。應保證局域網用戶可以安全的訪問Internet提供的各種服務而局域網無須承擔任何風險。

3.網絡中要有備份和容錯。

4.操作系統必須符合美國國家計算機安全委員會的C2級安全性的要求。

5.對網絡安全防御的其他手段，如IDS入侵檢測系統，密罐和防盜鈴，E-mail安全性，弱點掃描器，加密與網絡防護等均應一一檢查。

6.應檢查“系統安全策略”內容是否符合實際要求。對于信息系統管理員還包括安全協定，E-mail系統維護協定和網絡管理協定等，確保所有的系統管理人員能夠及時報告問題和防止權力濫用。最好建議印成安全手冊或于內部網上，使每個員工都能得到準確的信息。

7.網絡宜建立應及事件反映處理小組，并制定災難計劃，尤其是提出保證系統恢復所需的硬件環境和有關人員。

8.應用系統安全性應滿足以下要求：

（1）身份認證：嚴格管理用戶帳號，要求用戶必須使用滿足安全要求的口令。

（2）訪問控制：必須在身份認證的基礎上根據用戶及資源對象實施訪問控制；用戶能正確訪問其獲得授權的對象資源，同時不能訪問未獲得授權的資源時，判為合格。

9.操作系統安全性應滿足以下要求：

（1）操作系統版本應使用經過實踐檢驗的具有一定安全強度的操作系統。

（2）使用安全性較高的文件系統。

（3）嚴格管理操作系統的用戶帳號，要求用戶必須使用滿足安全要求的口令。

10.信息安全系統質量驗收要求：

（1）物理系統安全檢察（規章制度、電磁泄漏等）。

（2）信息安全測試（模擬攻擊測試、訪問控制測試、安全隔離測試）。

（3）病毒系統測試（病毒樣本傳播測試）。

（4）入侵檢測系統測試(模擬攻擊測試)。

（5）操作系統檢查（文件系統、帳號、服務、審計）。

（6）互聯網行為管理系統(訪問控制測試)。

（7）應用系統安全性檢查（身份認證、訪問控制、安全審計等）。

四、常見質量問題

1.無法保存撥號網絡連接的密碼。

2.發送的郵件有時會被退回來。

3.瀏覽中有時出現某些特定的錯誤提示。

4.主機故障。

[現象]PC1機在進行了一系列的網絡配置之后，仍無法正常連入總部局域網。如圖1網絡結構所示。

圖1網絡結構

說明：某用戶新購一臺PC1，通過已有HUB連入總部局域網。

[原因分析]

檢測線路，沒有發現問題。然后，查主機的網絡配置，有配錯，該機的IP地址已被其他主機占用（如PC2），導致兩機的地址沖突。

[解決方法]

重新配置一個空閑合法地址后，故障排除。

總之，此類故障可歸納為主機故障，可分為以下幾類：

①主機的網絡配置不當；②服務設置為當；③未使用合法的網絡用戶名及密碼登錄到局域網上；④共享主機硬盤不當。

解決的方法，目前只能是預防為主，并提高網絡安全防范意識，盡量不讓非法用戶有可乘之機。

五、結束語

建立一個高效、安全、舒適的住宅小區，必須有一套完整的高品質住宅小區網絡及信息服務安全布線系統，按照用戶的需求報告，本著一切從用戶出發的原則，根據多年來的豐富施工經驗，作出可靠性高及實用的技術配置方案，保障居住小區網絡及信息服務安全系統工程質量，提高網絡及信息服務安全系統的服務質量。

參考文獻：

[1]Chris Brenton,Cameron Hunt.網絡安全積極防御從入門到精通馮樹奇[M].金燕.北京:電子工業出版社,2001

[2]劉國林.綜合布線[M].上海:同濟大學出版社,1999

[3]楊志.建筑智能化系統及工程應用[M].北京:化學工業出版社,2002

[4]沈士良.智能建筑工程質量控制手冊[M].上海:同濟大學出版社,2002

[5]中國建設監理協會.建筑工程質量控制[M].北京:中國建筑工業出版社,2003

[6]中國建設執業網.建筑物理與建筑設備[M].北京:中國建筑工業出版社,2006

[7]彭祖林.網絡系統集成工程項目投標與施工[M].北京:國防工業出版社,2004

[8]姜湘山.高層建筑設備安裝工程指南[M].北京:機械工業出版社,2005

篇4

鐵路計算機網絡安全系統應用于多個方面，并且為其他行業做出鮮明的例子。合理的建立計算機網絡安全系統，可以在計算機網絡安全系統上建立一系列的安全系統平臺。合理的鐵路計算機網絡安全系統，可以讓鐵路的客戶端避免病毒的侵害，并且減少網絡攻擊等方面的侵害。鐵路計算機網絡安全系統為鐵路信息系統提供了一個堅實的安全保障，讓鐵路信息系統在安全的環境下運行，保證客戶資料的安全性。隨著信息化社會的不斷發展，鐵路的運輸以及市場營銷和物流行業的發展，鐵路計算機網絡安全也在不斷的提升網絡安全程度，保證鐵路信息網絡的最大化安全。鐵路計算機的網絡安全，需要建立行業證書安全系統、訪問控制系統、病毒防護系統等方面的安全系統，這樣才能夠有效的保證鐵路計算機系統的安全性，讓鐵路計算機的網絡系統發揮最大化的作用。通過完善鐵路計算機網絡安全，可以有效保證鐵路計算機在最大化的安全下運行。

2鐵路計算機網絡安全的建設途徑

2.1三網隔離為了保證生產網、內部服務網、外部服務網的安全，實現三網互相物理隔離，不得進行三網直接連接。尤其生產網、內部服務網的運行計算機嚴禁上INTERNET。

2.2建立良好的鐵路行業數字證書系統良好的鐵路行業數字證書系統能夠有效的保證鐵路計算機網絡的安全，鐵路的數字證書主要包括簽名證書與加密證書。證書的管理系統有利于保證網絡和信息安全。鐵路行業的數字證書系統能夠有效的提高鐵路信息系統的安全，讓鐵路信息系統在一個安全的環境下運行。證書系統加強了客戶身份的認證機制，加強了訪問者的信息安全，并且發生了不安全的問題還有可以追查的可能。行業數字證書在鐵路信息系統中有效的防止了非法人員篡改鐵路信息的不良行為，并且對訪問者提供了強大的保護手段。

2.3建立安全的訪問控制系統安全的訪問控制系統，是整個鐵路計算機網絡中的核心。建立合理的訪問控制系統，可以防止用戶對鐵路資源的實際操作，隱藏鐵路應用系統在網絡中的位置，在鐵路計算機網絡的運行中，保證用戶訪問的安全性。根據用戶的選擇進行網絡的授權，可以有效的控制用戶對于鐵路資源的訪問，保證鐵路用戶合理的訪問鐵路資源。控制系統可以針對不同的資源建立不同的訪問控制系統，建立多層次的訪問控制系統。控制訪問系統構成了鐵路計算機網絡的必經之路，并且可以將不良的信息進行有效的隔離與阻斷，確保鐵路網絡信息的安全性。建立有效的訪問控制系統，可以保證網絡訪問的安全性和數據傳輸的安全性，最大限度的保障鐵路計算機的信息安全。

2.4建立有效的病毒防護系統有效的病毒防護系統就相當于殺毒軟件存在于電腦中的作用一樣，可以有效的防止病毒的入侵，控制進出鐵路信息網的信息，保證信息的安全性。病毒的防護系統可以將進出鐵路信息系統的信息進行檢查，保證了鐵路客戶端的安全。病毒防護系統防止了不法人員企圖通過病毒來入侵鐵路信息網絡系統，讓鐵路信息網絡系統能夠在安全的環境下運行，保證了信息的最大化安全性。定期的病毒查殺，可以保證鐵路網絡信息系統的安全，讓鐵路信息網絡系統得到有效的控制，保證客戶端的資料不被侵犯，保證鐵路計算機網絡的正常運行。

2.5加強人才培養和培訓的力度信息系統的安全性很重要的一點是人員素質，管理人員的安全意識和技術水平直接影響到整個系統的安全性。目前，已有許多成熟的安全技術、安全產品，但能否讓這些技術和產品在實際應用中充分發揮作用，關鍵還在于我們如何規劃、組織及配置,這些都是和管理人員與工程技術人員的素質分不開的，因此，應該加強人才培養力度，根據信息安全的特殊性和各種不同人才需求層次，進行有針對性的培養和培訓，為確保鐵路信息安全，培養一支實力強勁的專業隊伍。

篇5

關鍵詞：電力制造企業；計算機網絡；安全

一、安全風險分析

電力制造企業計算機網絡一般都會將生產控制系統和管理信息系統絕對分隔開來，以避免外來因素對生產系統造成損害，在生產控制系統中常見的風險一般為生產設備和控制系統的故障。管理網絡中常見的風險種類比較多，通常可以劃分為系統合法用戶造成的威脅、系統非法用戶造成的威脅、系統組建造成的威脅和物理環境的威脅。比如比較常見的風險有操作系統和數據庫存在漏洞、合法用戶的操作錯誤、行為抵賴、身份假冒（濫用授權）、電源中斷、通信中斷、軟硬件故障、計算機病毒（惡意代碼）等，上述風險所造成的后果一般為數據丟失或數據錯誤，使數據可用性大大降低。網絡中的線路中斷、病毒發作或工作站失效、假冒他人言論等風險，會使數據完整性和保密性大大降低。鑒于管理網絡中風險的種類多、受到攻擊的可能性較大，因此生產控制系統和管理系統之間盡量減少物理連接。當需要數據傳輸時必須利用專用的通信線路和單向傳輸方式，一般采用防火墻或專用隔離裝置。

二、安全需求分析

一般電力制造企業的安全系統規劃主要從安全產品、安全策略、安全的人三方面著手，其中安全策略足安全系統的核心，直接影響安全產品效能的發揮和人員的安全性（包括教育培訓和管理制度），定置好的安全策略將成為企業打造網絡安全最重要的環節，必須引起發電企業高度重視。安全產品主要為控制和抵御黑客和計算機病毒（包括惡意代碼）通過各種形式對網絡信息系統發起的惡意攻擊和破壞，是抵御外部集團式攻擊、確保各業務系統之間不產生消極影響的技術手段和工具，是確保業務和業務數據的完整性和準確性的基本保障，需要兼顧成本和實效。安全的人員是企業經營鏈中的細胞，既可以成為良性資產又可能成為主要的威脅，也可以使安全穩固又可能非法訪問和泄密，需要加強教育和制度約束。

三、安全思想和原則

電力制造企業信息安全的主要目標一般可以綜述為：注重“電力生產”的企業使命，一切為生產經營服務；服從“集約化管理”的企業戰略，樹立集團平臺理念；保證“信息化長效機制和體制”，保證企業生產控制系統不受干擾。保證系統安全事件（計算機病毒、篡改網頁、網絡攻擊等）不發生，保證敏感信息不外露，保障意外事件及時響應與及時恢復，數據不丟失。（1）先進的網絡安全技術是網絡安全的根本保證。影響網絡安全的方面有物理安全、網絡隔離技術、加密與認證、網絡安全漏洞掃描、網絡反病毒、網絡入侵檢測和最小化原則等多種因素，它們是設計信息安全方案所必須考慮的，是制定信息安全方案的策略和技術實現的基礎。要選擇相應的安全機制，集成先進的安全技術，形成全方位的安全系統。（2）嚴格的安全管理是確保安全策略落實的基礎。計算機網絡使用機構、企業、單位應建立相應的網絡管理辦法，加強內部管理，建立適合的網絡安全管理系統和管理制度，加強培訓和用戶管理，加強安全審計和跟蹤體系，提高人員對整體網絡安全意識。（3）嚴格的法律法規是網絡安全保障堅強的后盾。建立健全與網絡安全相關的法律法規，加強安全教育和宣傳，嚴肅網絡規章制度和紀律。對網絡犯罪嚴懲不貸。

四、安全策略與方法

1、物理安全策略和方法。

物理安全的目的是保護路由器、交換機、工作站、網絡服務器、打印機等硬件實體和通信鏈路的設計，包括建設符合標準的中心機房，提供冗余電力供應和防靜電、防火等設施，免受自然災害、人為破壞和搭線竊聽等攻擊行為。還要建立完備的機房安全管理制度，防止非法人員進入機房進行偷竊和破壞活動等，并妥善保管備份磁帶和文檔資料：要建立設備訪問控制，其作用是通過維護訪問到表以及可審查性，驗證用戶的身份和權限，防止和控制越權操作。

2、訪問控制策略和方法。

網絡安全的目的是將企業信息資源分層次和等級進行保護，主要是根據業務功能、信息保密級別、安全等級等要求的差異將網絡進行編址與分段隔離，由此可以將攻擊和入侵造成的威脅分別限制在較小的子網內，提高網絡的整體安全水平，目前路由器、虛擬局域網VL心、防火墻是當前主要的網絡分段的主要手段。而訪問管理控制是限制系統內資源的分等級和層次使用，是防止非法訪問的第一道防線。訪問控制主要手段是身份認證，以用戶名和密碼的驗證為主，必要時可將密碼技術和安全管理中心結合起來，實現多重防護體系，防止內容非法泄漏，保證應用環境安全、應用區域邊界安全和網絡通信安全。

3、開放的網絡服務策略和方法。

Internet安全策略是既利用廣泛、快捷的網絡信息資源，又保護自己不遭受外部攻擊。主要方法是注重接入技術，利用防火墻來構建堅固的大門，同時對Web服務和FTP服務采取積極審查的態度，更要強化內部網絡用戶的責任感和守約，必要時增加審計手段。

4、電子郵件安全策略和方法。

電子郵件策略主要是針對郵件的使用規則、郵件的管理以及保密環境中電子郵件的使用制定的。針對目前利用電子郵件犯罪的事件和垃圾郵件泛濫現象越來越多，迫使防范技術快速發展，電力制造企業可以在電子郵件安全方案加大投入或委托專業公司進行。

5、網絡反病毒策略和方法。

每個電力制造企業為了處理計算機病毒感染事件，都要消耗大量的時間和精力，而且還會造成一些無法挽回的損失，必須制定反計算機病毒的策略。目前反病毒技術已由掃描、檢查、殺毒發展到了到實時監控，并且針對特殊的應用服務還出現了相應的防毒系統，如網關型病毒防火墻以及郵件反病毒系統等。

目前，計算機網絡與信息安全已經被納入電力制造企業的安全生產管理體系中，并根據“誰主管、誰負責、聯合保護、協調處置”的原則，實行“安全第一、預防為主、管理與技術并重、綜合防范”的方針，在建立健全電力制造企業內部信息安全組織體系的同時，制定完善的信息安全管理措施，建立從上而下的信息安全培訓體系，根據科學的網絡安全策略，采用適合的安全產品，確保各項電力應用系統和控制系統能夠安全穩定的運行，為電力制造企業創造新業績鋪路架橋。

參考文獻

篇6

關鍵詞：汽車檢測控制系統；網絡通信技術；有效措施

1汽車檢測控制系統的基本技術結構

1.1監控系統

監控系統是汽車檢測控制系統中的重要系統，也是核心系統。汽車檢測控制系統中的監控系統不同于普通監控系統，具有遠程監控能力，而且對汽車檢測控制系統有一定控制能力，能夠將監控信息傳輸到主控服務器上，全面檢測汽車控制系統工作狀態。此外，監控系統監控的范圍比較廣，不僅能夠監控主控服務器，而且還能監控汽車內部的各個設備，并將監控結果反饋到主控服務器上，系統在接受信息后可提供汽車內部各個設備的工作參數，技術人員根據這些參數變化及時調整設備，使設備處于正常工作狀態。汽車檢測控制系統中的監控系統有特定的傳感器，能夠感知外界因素，為汽車行駛提供安全指導，降低安全事故的發生頻率。各種監控數據通過網絡通信技術集中到一起，生成相應的檢測報告，有利于為汽車維修提供針對性的建議。

1.2直接控制層

直接控制層也是汽車檢測控制系統的重要組成部分。直接控制層有兩個重要的工作部分，一個是南北檢測兩線，一個是報檢設備。隨著網絡通信技術在汽車檢測中的不斷應用，報檢方式也發生了根本性變化，由傳統的人工檢測變成掃碼檢測，減少了人工工作負荷，同時也大大提高了檢測效率，能夠在短時間內收集車輛進出信息，并做好相關記錄。若有違規車輛，檢測人員通過輸入車輛出入時間就能快速查到相關的車輛信息，而且還能進一步檢測車輛的運行狀態，自動上傳檢測信息，生成相應的檢測報告。

2加強汽車檢測控制系統網絡通信技術運用的有效措施

2.1嚴格篩選通信方式

通信方式有多種，在通信技術的選擇過程中，要嚴格篩選通信方式，根據汽車檢測系統的實際情況選擇，還要考慮到網絡通信技術的成本。目前來看，多數汽車檢測控制系統中都用到了計算機，但是計算機的成本比較高，在實際的汽車檢測控制系統中通信技術所需的技術成本比較低，這就導致網絡通信技術在汽車檢測控制系統中的應用成本增加。為了避免這種狀況，可在直接控制層中的報檢設備與主控設備中加入PC機器，進一步降低通信技術的使用成本，而且也能簡化檢測設備的安裝程序，大大降低安裝難度。在通信方式篩選過程中，還要考慮到網絡信號問題，避免外界因素對網絡系統的干擾，優化網絡系統。其次，汽車檢測控制系統中通信技術的應用還要考慮到信息的保存問題，汽車檢測控制系統主要作用于汽車內部設備工作狀態的檢測，需要借助特定的傳感器傳輸檢測信息，進而將檢測信息整合起來，但是在這個過程中，存在信息丟失的情況，這就需要進一步完善網絡環境，合理設置安全密鑰，保證信息的安全性，減少傳輸過程中信息丟失的情況。通過設置訪問權限也能進一步保護信息，提高信息的安全性，實現局域資源共享。再次，汽車檢測控制系統中通信技術的應用還要考慮編程工作，要進一步降低編程工作難度，通過增加檢查設備的數量提高檢測效率，還要定期升級系統，減少系統卡頓或者死機的情況，優化整個檢測系統，提高檢測效率，提高整個系統的安全性。技術人員要充分利用大數據或者其他數據處理技術，提高數據處理能力，完善數據庫。加強對數據庫中各種信息的檢測，通過檢測信息錯誤分析汽車設備的工作狀態。最后，完善網絡安全評價體系，進一步加強網絡安全管理，提高網絡通信技術的安全性。

2.2創新網絡通信技術

網絡通信技術不是一成不變的，要根據實際需求不斷調整，與時俱進。運用新型的網絡安全技術，降低網絡安全風險。目前來看，網絡通信技術在運用過程中還存在很多問題，如設備較多，檢測滯后，檢測沒有按照特定的順序進行，導致部分檢測設備工作忙碌，部分清閑，不利于提高檢測效率，也不能保證檢測數據的真實性。這種工作模式下，對汽車內部設備也有影響，不能及時檢查設備的工作狀態，容易引起各種安全事故。所以，在網絡通信技術運用過程中，要更新相關技術，及時調整主控機設備的工作參數，保證每個檢測設備都處于工作狀態中，提高檢測效率。

2.3搭建網絡通信平臺

相關企業要搭建網絡通信平臺，進一步分析汽車設備的工作狀態。目前來看，隨著我國經濟的發展，交通行業也逐漸發展起來，交通行業的進步促進了汽車的革新，在新的時代背景下，汽車數量越來越多，但是質量卻參差不齊，從整個汽車制造市場來看，市場機制還不完善，沒有引導汽車制造行業發展，還從一定程度上助長了企業的不良銷售行為。不僅如此，每輛汽車經制造后都要制作汽車檔案材料，這對檔案制作人員來說難度也比較大，增加了這些人員的工作量，不同廠家生產的汽車內部零件不同，性能也存在差異，這就增大了汽車檢測的難度。通過搭建網絡通信平臺，能夠融合汽車制造信息，針對不同品牌和型號的汽車提出不同的檢測標準，優化通信平臺，促進新型網絡通信技術的運用，著重檢測汽車的工作狀態，提高信息的整合能力，實現信息的自動化整理。此外，新型的網絡平臺能夠拓展汽車檢測途徑，為汽車檢測工作提供更多的有利信息，進一步加大檢測強度，簡化檢測步驟，提高檢測信息處理效率，為檢測人員提供更多的有效信息，借助網絡平臺借鑒其他企業優秀的檢測方法，結合企業自身的發展狀況優化檢測制度，改良檢測方法，使汽車檢測結果更加真實可靠，為汽車維修提供關鍵信息，優化整個檢測系統，使汽車檢測控制系統正常運行。最后，通過網絡通信平臺搜集汽車檢測過程中的各種問題，并提出有針對性的解決策略，使汽車檢測行業處于良性發展狀態。

篇7

關鍵詞：高速鐵路；高鐵信號系統；信息網絡安全；軟件定義網絡；新型鐵路信號系統

中圖分類號：TP393 文獻標識碼：A

SDN高速鐵路信號體系是一種新型的軟件定義網絡模式，這種模式與高速鐵路信號系統網絡的安全性密切相關，為了提升高速鐵路工程的工作效益，需要做好信號安全數據、分散自律調度集中網絡等的管控及隔離工作的要求，從而實現對網絡流量的統一性管理，這都離不開統一性控制器的應用，做好整體設備的注冊管理工作，確保安全通問控制工作的有效開展，從而實現該工程信號系統安全性的提升，降低網絡安全管理復雜性。

一、高速鐵路信號系統的網絡安全性概念

1.高速鐵路工程系統的網絡架構具備可在線編程、集中管控性、統一安全性的特點，這種網絡架構滿足高速鐵路工程的日常信號管理需要，有利于網絡安全管理工作的穩定開展，這種模式比分散性網絡管理具備更高的工作效率，通過對這種模式的應用及普及，可以解決高鐵信號系統的網絡安全性管控問題。

鐵路運輸體系是我國基礎交通體系的重要組成部分，為了確保該工作的穩定運行，必須進行其整體安全性的控制，這里的安全性主要包括兩個方面的工作。第一是工程系統網絡安全性的保證，這種系統網絡不能因為內部的一些故障而停止工作，最終的工作目的是降低工作過程中的故障率，避免因為設備及網絡故障，而信系統出現一系列的危險問題。

另一方面的安全性主要是指系統網絡具備良好的抵抗外部入侵的能力，具備良好的操作安全性。高鐵信號系統的開展離不開其整體網絡的安全性，該信號系統具備其獨特的網絡，這一定程度上確保了該系統的安全性，但是這并不代表這種系統不存在網絡病毒散播的問題。隨著社會網絡信息化體系的健全，計算機網絡化日益普及，各種新型的網絡病毒不斷產生，比較常見的病毒有震網病毒，這種病毒對于工業管理系統極具殺傷力。隨著時代的發展，社會經濟對于高鐵信號系統的要求越來越高，高鐵信號系統必須具備更強的數據共享性，需要具備豐富的通信數據，這就進一步提升了高速鐵路系統的開發性，不利于進行高速鐵路信號安全性的控制。

為了滿足信息化時代的交通工作要求，進行鐵路信號系統的現代化管理是必要的，為了確保交通工程系統的穩定運行，需要保證鐵路信號系統信息化及網絡化過程安全性，滿足現代交通企業信息化管理工作的要求。這就需要我國的鐵路信號系統轉變傳統的管理模式，進行智能化、自動化管理技術的升級，實現計算機模塊、控制模塊、通信模塊等的協調，在這個過程中，以太網技術不斷流行，這種技術具備良好的數據傳輸可靠性、實時性。

無論是信息通信環節、通信數據庫構建環節、內部資源優化配置環節，以太技術的應用都能取得良好的工作效益。極大地滿足了現代化工業控制系統的工作要求。隨著時代的發展，以太網技術體系日益健全，在控制系統網絡中，以太技術實現了大規模的普及，無論是控制系統網絡還是鐵路信號控制系統都能看到以太網應用的縮影。

2.時代的不斷發展，需要工業控制系統具備更強的信息共享性，震網病毒的出現，讓工業控制網絡系統的安全性問題更加引起世界各界的重視，面臨著日益嚴峻的網絡信息安全問題，進行大容量、實時性、可靠性數據信息傳遞及交互技術的應用是必要的，比如進行GSM無線通信技術的引進，在地面設備系統中，進行無線閉塞中心及無線通信網絡系統的應用。

無線公共信道是GSM通信系統信號的重要實現途徑，這種渠道的應用，讓鐵路信號系統網絡具備更強的開發性，但是這也一定程度上加大了鐵路信號系統信息的擴散威脅性。我國的鐵路信號體系實現了4個模塊的結合，分別是GSM通信網絡模塊、集中監測網絡模塊、信號安全數據網絡模塊、信號網絡基礎模塊。在實際工作中，鐵路信號系統網絡結構比較復雜，其內部存在各種網絡模式，這些網絡模式具備不同的安全等級，它的網絡設備內部設置比較復雜，存在較大的維修困難問題，現階段鐵路信號系統的整體安全性比較低，缺乏統一性的安全策略，難以滿足現代化鐵路工程智能化、集中管理化等的工作要求。

3.我國的鐵路信號信息安全系統并不具備較強的安全防護等級，缺乏比較先進的病毒防控、隔離等技術，防火墻技術比較落后，難以滿足我國鐵路通信應用協議的工作規范要求。為了進一步提升鐵路信號設備通信的安全性及可靠性，需要進行鐵路信號系統安全通信數據網絡的優化，做好一系列的信息安全防護措施。

為了解決現階段高速鐵路工程信息安全性問題，必須進行信號系統網絡整體架構的優化，提升信號系統的整體網絡安全性，做好詳細地分析工作，進行鐵路信號系統內部子系統接口安全性的分析，實現信號網絡系統系統網絡由高安全等級工程網絡的轉換，這就需要進行SDN鐵路信號系統網絡安全性方案的應用，做好該系統功能的特性分析工作，進行基于軟件定義鐵路信號鐵路系統網絡的應用。

二、信號系統網絡內部結構的優化

鐵路信號系統的內部配置具備較強的復雜性，它不是簡單的信號設備的結合，而是由不同層次的控制模塊構成的，這些控制模塊的功能不一，但是又能相互協作，共同實現鐵路信號系統的安全運行。鐵路信號系統的內部各個要素之間相互聯系，為了現階段的安全防護要求，工作人員需要進行該系統內部資源的優化配置，深入了解其復雜的系統性結構，確保高鐵信號系統的穩定運行。

高鐵信號系統的內部構造比較復雜，由信號集中監測系統、行車指揮系統等構成，列控系統主要由無線閉塞中心、列控中心、傳輸網絡、應答器等構成。行車指揮系統由服務器系統、信號網絡基礎中心、自律分機等構成。信號集中監測系統由列車控制中心、軌道鐵路系統、信號設備連接系統、信號網絡系統通信網絡系統等構成。區別于集中監測網絡的安全性，信號安全通信數據網具備獨立成網性，其實現了物理手段隔離模式的應用，理論上來說，信號網絡系統通信網絡系統、通信數據網系統、集中監測網絡相互隔離卻又相互滲透。

三、信號系統網絡接口方案的優化

1.為了提升高鐵工程信號系統的安全性，必須實現列車與RBC無線承載控制系統的連接，確保其良好的連接性，這需要做好RBC系統與列車的連接確認工作，保證列控中心指令的正確傳達，通過對以太網的應用，實現聯鎖模塊及列控模塊的有效協調，這兩個模塊之間不需要進行防火墻的隔離設置，因為一旦隔離，就可能影響到數據傳輸的實時性及安全性，這不利于鐵路數據信息數據的傳輸要求。為了滿足實際工作的要求，必須保證地面設備及列車車載設備的相互通信，確保其與列控系統之間的信息傳遞。在這個過程中，信息傳遞差異是客觀存在的，這是由于列控中心與地面設備的距離性導致的，這種差異性很可能導致行車精確性的降低。IP安全數據通信網是臨時限速服務器及RBC系統的連接網絡，這種連接網絡的應用，可以確保鐵路信號系統傳遞的安全性，這兩者之間沒有進行防火墻的安全防護設置。

在高鐵工程信號系統的應用過程中，局域網通信協議是常見的網絡配置模式，信號網絡系統系統與上位機，信號網絡系統分機與上位機的接口，都是聯鎖系統的常見內部配置模式，這些接口之間并非進行安全通信協議的應用，但應用了防火墻防護方案。客觀上來說，信號網絡系統系統具備非安全性，為了確保系統邊界防護效益的提升，必須進行安全通信協議的應用，確保上位機及信號網絡系統分機接口的安全通信協議的應用，通過對這兩者安全通信協議的應用可以避免這兩種網絡體系的相互滲透問題，避免以太網控制網系統內部要素的相互滲透狀況。

2.信號網絡系統及上位機并不能進行控制指令的傳遞，一旦采用安全協議，必然會導致信號網絡系統分機與上位機數據傳遞效率的降低，但是這并不影響控制系統的核心功能，通信系統部分軟件性能的提升，并不會增加該系統的維護成本。集中監測系統車站分機及維修機間的接口并未進行防火墻防護，采用的是IP協議及安全通信協議，客觀來說，集中監測系統并非安全性系統，為了提升工程信號系統的安全性，必須實現集中監測系統及維修機安全網絡等級的提升。

高鐵列車的安全運行離不開列車控制模塊的開展，列控中心系統、計算機聯鎖系統、臨時限速服務器系統等都將直接影響到高鐵列車的安全運行，信號安全數據網需要為最高等級的網絡子系統，信號網絡系統系統網絡負責現場設備及其相關網絡子系統的控制工作，集中監測系統主要負責故障信息的報警，現場設備狀態的監測等工作，并不負責列車及設備的控制工作，其整體安全性等級較低。列車的控制系統與集中監測網絡并無太大的關聯。

3.信號安全數據網絡進行了一系列服務器的設置，進行了不同種專用操作系統的應用，比如FreeBSD、Linux系統等，這些操作系統內部并沒有進行安全功能的設置，由于信號系統的自身復雜性，其軟件變更的周期比較長，為了保證信號信息的安全性，必須做好信號系統的徹底測試工作，確保信號系統的整體優化，從而保證系統可靠性及安全性的提升。這就需要做好信號系統軟件的及時更新工作，避免出現具備威脅性的漏洞，從而避免被網絡黑客攻擊。

以信號網絡系統車站局域網為基點，有兩種方法可以威脅到高鐵工程信號系統的安全性，第一條途徑是由信號網絡系統車站子系統到信號網絡系統中心系統，在這個步驟中，一旦取得BC接口服務器的控制器，就會由信號安全數據網的服務器入侵到信號安全數據的子系統中。第二條途徑與第一條途徑類似，第二條途徑的威脅在于臨時限速接口服務器控制權的獲得，如果不能實現與臨時限速接口連接的路由器的良好配置，就會威脅到信號安全數據網的信息傳遞。

為了提升高鐵工程信號系統的安全性，需要實現統一安全管控方案的優化，這種方案基于SDN模式的應用，這種系統具備新型的網絡內部架構，實現了路由器及交換機數據平面及控制平面的分離，由網絡操作系統為上層進行網絡資源的提供，實現了網絡虛擬化，進行網絡虛擬化層的形成，通過不同控制程序的應用，實現了不同網絡虛擬化模塊的數據傳遞。高鐵信號系統由集中監測網絡、信號網絡系統系統網絡、信號安全網絡系統構成，這三者之間互為獨立性的物理網絡，物理手段的使用可以讓這三者之間實現隔離，這就進一步加大系統間接口的復雜性，這些系統結構的安全等級不同，容易出現維修管理難問題，從而不利于鐵路工程信號系統整體安全性提升。

4.軟件定義高鐵信號系統網絡的應用，以SDN架構為基礎，通過對信號系統復雜性網絡安全管理問題的解決，實現了工程信號系統整體安全性的提升。該網絡的穩定運行離不開3個工作模塊的結合，需要實現集中監測網絡、信息安全網絡、信號網絡系統系統工作網絡的結合，在SDN應用結構的基礎上，實現網絡硬件平臺的利用，保證分布式控制技術的統一性應用。這種鐵路信號系統網絡基于網絡硬件平臺的應用，通過對網絡虛擬化技術的使用，實現了系統不同功能子網的協調，確保了軟件隔離網絡的高效化、可控化，有利于提升信號系統網絡安全性。

四、網絡統一安全管控系統的健全

1.為了提升高速鐵路工程信號系統的安全性，需要做好設備開啟的網絡服務認證工作，做好不同設備網絡服務的注冊及認證工作，這需要在鐵路設備資產安全管理服務器上進行操作，針對那些非認證服務及訪問關系，網絡控制器禁止其使用網絡，這有利于提升網絡服務模塊的管控強度，實現合理化網絡服務模塊與其他服務模塊訪問關系的確定，實現業務通信管理矩陣的制定。在網絡控制器的操作過程中，通過對通信管理矩陣的使用，實現各個設備及程序的網絡服務資源的強制控制工作，確保全局安全通信的管理及訪問控制工作效率的提升。

在該系統的運作過程中，網絡控制器可以實現不同數據包來源的標識及記錄工作，實現數據包及其來源信息的綁定準確性的提升。在這個過程中，如果網絡安全檢測設備發現異常，就會追溯故障的源頭，如果發現業務數據的異常問題，就可以根據綁定信息，做好異常設備的迅速定位工作，實習高速鐵路信號系統信息安全性及網絡安全性的提升，降低不同系統接口之間的安全威脅問題，確保GSM系統安全性的提升，實現低安全網絡系統向高安全等級網絡系統的滲透。

2.高速鐵路工程信號系統的日常工作，需要建立在安全性分析的基礎上，信號系統網絡的探索工作，進行鐵路信號系統新型網絡架構的提出，在此基礎上，落實好信息系統資產注冊及其相關問題，做好信息系統的服務管理工作，落實好網絡數據的信息追蹤工作，實現系統內部不同模塊的訪問控制工作，實現我國高速鐵路信號系統整體網絡安全性的提升，降低信號系統的日常管理難度，實現我國高鐵信號系統網絡的穩定發展。

結語

通過對高速鐵路工程信號系統的安全及管理模式的應用，可以滿足現代化高鐵工程信號系統的管理要求，保障了高速鐵路工程信號系統的整體安全性，實現了數據信息的安全性傳遞。

⒖嘉南

[1]禹志陽.高速鐵路信號系統集成、測試技術及“走出去”策略[J].鐵路通信信號工程技術，2015（1）：12-14.

篇8

一、我國互聯網網絡安全形勢

(一)基礎網絡防護能力明顯提升，但安全隱患不容忽視

根據工信部組織開展的2011年通信網絡安全防護檢查情況，基礎電信運營企業的網絡安全防護意識和水平較2010年均有所提高，對網絡安全防護工作的重視程度進一步加大，網絡安全防護管理水平明顯提升，對非傳統安全的防護能力顯著增強，網絡安全防護達標率穩步提高，各企業網絡安全防護措施總體達標率為98.78%，較2010年的92.25%、2009年的78.61%呈逐年穩步上升趨勢。

但是，基礎電信運營企業的部分網絡單元仍存在比較高的風險。據抽查結果顯示，域名解析系統(DNS)、移動通信網和IP承載網的網絡單元存在風險的百分比分別為6.8%、17.3%和0.6%。涉及基礎電信運營企業的信息安全漏洞數量較多。據國家信息安全漏洞共享平臺(CNVD)收錄的漏洞統計，2011年發現涉及電信運營企業網絡設備(如路由器、交換機等)的漏洞203個，其中高危漏洞73個；發現直接面向公眾服務的零日DNS漏洞23個，應用廣泛的域名解析服務器軟件Bind9漏洞7個。涉及基礎電信運營企業的攻擊形勢嚴峻。據國家計算機網絡應急技術處理協調中心(CNCERT)監測，2011年每天發生的分布式拒絕服務攻擊(DDoS)事件中平均約有7%的事件涉及到基礎電信運營企業的域名系統或服務。2011年7月15日域名注冊服務機構三五互聯DNS服務器遭受DDoS攻擊，導致其負責解析的大運會官網域名在部分地區無法解析。8月18日晚和19日晚，新疆某運營商DNS服務器也連續兩次遭到拒絕服務攻擊，造成局部用戶無法正常使用互聯網。

(二)政府網站安全事件顯著減少，網站用戶信息泄漏引發社會高度關注

據CNCERT監測，2011年中國大陸被篡改的政府網站為2807個，比2010年大幅下降39.4%；從CNCERT專門面向國務院部門門戶網站的安全監測結果來看，國務院部門門戶網站存在低級別安全風險的比例從2010年的60%進一步降低為50%。但從整體來看，2011年網站安全情況有一定惡化趨勢。在CNCERT接收的網絡安全事件(不含漏洞)中，網站安全類事件占到61.7%；境內被篡改網站數量為36612個，較2010年增加5.1%；4月-12月被植入網站后門的境內網站為12513個。CNVD接收的漏洞中，涉及網站相關的漏洞占22.7%，較2010年大幅上升，排名由第三位上升至第二位。網站安全問題進一步引發網站用戶信息和數據的安全問題。2011年底，CSDN、天涯等網站發生用戶信息泄露事件引起社會廣泛關注，被公開的疑似泄露數據庫26個，涉及帳號、密碼信息2.78億條，嚴重威脅了互聯網用戶的合法權益和互聯網安全。根據調查和研判發現，我國部分網站的用戶信息仍采用明文的方式存儲，相關漏洞修補不及時，安全防護水平較低。

(三)我國遭受境外的網絡攻擊持續增多

2011年，CNCERT抽樣監測發現，境外有近4.7萬個IP地址作為木馬或僵尸網絡控制服務器參與控制我國境內主機，雖然其數量較2010年的22.1萬大幅降低，但其控制的境內主機數量卻由2010年的近500萬增加至近890萬，呈現大規模化趨勢。其中位于日本(22.8%)、美國(20.4%)和韓國(7.1%)的控制服務器IP數量居前三位，美國繼2009年和2010年兩度位居榜首后，2011年其控制服務器IP數量下降至第二，以9528個IP控制著我國境內近885萬臺主機，控制我國境內主機數仍然高居榜首。在網站安全方面，境外黑客對境內1116個網站實施了網頁篡改；境外11851個IP通過植入后門對境內10593個網站實施遠程控制，其中美國有3328個IP(占28.1%)控制著境內3437個網站，位居第一，源于韓國(占8.0%)和尼日利亞(占5.8%)的IP位居第二、三位；仿冒境內銀行網站的服務器IP有95.8%位于境外，其中美國仍然排名首位——共有481個IP(占72.1%)仿冒了境內2943個銀行網站的站點，中國香港(占17.8%)和韓國(占2.7%)分列二、三位。總體來看，2011年位于美國、日本和韓國的惡意IP地址對我國的威脅最為嚴重。另據工業和信息化部互聯網網絡安全信息通報成員單位報送的數據，2011年在我國實施網頁掛馬、網絡釣魚等不法行為所利用的惡意域名約有65%在境外注冊。此外，CNCERT在2011年還監測并處理多起境外IP對我國網站和系統的拒絕服務攻擊事件。這些情況表明我國面臨的境外網絡攻擊和安全威脅越來越嚴重。

(四)網上銀行面臨的釣魚威脅愈演愈烈

隨著我國網上銀行的蓬勃發展，廣大網銀用戶成為黑客實施網絡攻擊的主要目標。2011年初，全國范圍大面積爆發了假冒中國銀行網銀口令卡升級的騙局，據報道此次事件中有客戶損失超過百萬元。據CNCERT監測，2011年針對網銀用戶名和密碼、網銀口令卡的網銀大盜、Zeus等惡意程序較往年更加活躍，3月-12月發現針對我國網銀的釣魚網站域名3841個。CNCERT全年共接收網絡釣魚事件舉報5459件，較2010年增長近2.5倍，占總接收事件的35.5%；重點處理網頁釣魚事件1833件，較2010年增長近兩倍。

(五)工業控制系統安全事件呈現增長態勢

繼2010年伊朗布舍爾核電站遭到Stuxnet病毒攻擊后，2011年美國伊利諾伊州一家水廠的工業控制系統遭受黑客入侵導致其水泵被燒毀并停止運作，11月Stuxnet病毒轉變為專門竊取工業控制系統信息的Duqu木馬。2011年CNVD收錄了100余個對我國影響廣泛的工業控制系統軟件安全漏洞，較2010年大幅增長近10倍，涉及西門子、北京亞控和北京三維力控等國內外知名工業控制系統制造商的產品。相關企業雖然能夠積極配合CNCERT處置安全漏洞，但在處置過程中部分企業也表現出產品安全開發能力不足的問題。

(六)手機惡意程序現多發態勢。

隨著移動互聯網生機勃勃的發展，黑客也將其視為攫取經濟利益的重要目標。2011年CNCERT捕獲移動互聯網惡意程序6249個，較2010年增加超過兩倍。其中，惡意扣費類惡意程序數量最多，為1317個，占21.08%，其次是惡意傳播類、信息竊取類、流氓行為類和遠程控制類。從手機平臺來看，約有60.7%的惡意程序針對Symbian平臺，該比例較2010年有所下降，針對Android平臺的惡意程序較2010年大幅增加，有望迅速超過Symbian平臺。2011年境內約712萬個上網的智能手機曾感染手機惡意程序，嚴重威脅和損害手機用戶的權益。

(七)木馬和僵尸網絡活動越發猖獗

2011年，CNCERT全年共發現近890萬余個境內主機IP地址感染了木馬或僵尸程序，較2010年大幅增加78.5%。其中，感染竊密類木馬的境內主機IP地址為5.6萬余個，國家、企業以及網民的信息安全面臨嚴重威脅。根據工業和信息化部互聯網網絡安全信息通報成員單位報告，2011年截獲的惡意程序樣本數量較2010年增加26.1%，位于較高水平。黑客在瘋狂制造新的惡意程序的同時，也在想方設法逃避監測和打擊，例如，越來越多的黑客采用在境外注冊域名、頻繁更換域名指向IP等手段規避安全機構的監測和處置。

(八)應用軟件漏洞呈現迅猛增長趨勢

2011年，CNVD共收集整理并公開信息安全漏洞5547個，較2010年大幅增加60.9%。其中，高危漏洞有2164個，較2010年增加約2.3倍。在所有漏洞中，涉及各種應用程序的最多，占62.6%，涉及各類網站系統的漏洞位居第二，占22.7%，而涉及各種操作系統的漏洞則排到第三位，占8.8%。除預警外，CNVD還重點協調處置了大量威脅嚴重的漏洞，涵蓋網站內容管理系統、電子郵件系統、工業控制系統、網絡設備、網頁瀏覽器、手機應用軟件等類型以及政務、電信、銀行、民航等重要部門。上述事件暴露了廠商在產品研發階段對安全問題重視不夠，質量控制不嚴格，發生安全事件后應急處置能力薄弱等問題。由于相關產品用戶群體較大，因此一旦某個產品被黑客發現存在漏洞，將導致大量用戶和單位的信息系統面臨威脅。這種規模效應也吸引黑客加強了對軟件和網站漏洞的挖掘和攻擊活動。

(九)DDoS攻擊仍然呈現頻率高、規模大和轉嫁攻擊的特點

2011年，DDoS仍然是影響互聯網安全的主要因素之一，表現出三個特點。一是DDoS攻擊事件發生頻率高，且多采用虛假源IP地址。據CNCERT抽樣監測發現，我國境內日均發生攻擊總流量超過1G的較大規模的DDoS攻擊事件365起。其中，TCP SYN FLOOD和UDP FLOOD等常見虛假源IP地址攻擊事件約占70%，對其溯源和處置難度較大。二是在經濟利益驅使下的有組織的DDoS攻擊規模十分巨大，難以防范。例如2011年針對浙江某游戲網站的攻擊持續了數月，綜合采用了DNS請求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請求攻擊等多種方式，攻擊峰值流量達數十個Gbps。三是受攻擊方惡意將流量轉嫁給無辜者的情況屢見不鮮。2011年多家省部級政府網站都遭受過流量轉嫁攻擊，且這些流量轉嫁事件多數是由游戲私服網站爭斗引起。

二、國內網絡安全應對措施

(一)相關互聯網主管部門加大網絡安全行政監管力度

堅決打擊境內網絡攻擊行為。針對工業控制系統安全事件愈發頻繁的情況，工信部在2011年9月專門印發了《關于加強工業控制系統信息安全管理的通知》，對重點領域工業控制系統信息安全管理提出了明確要求。2011年底，工信部印發了《移動互聯網惡意程序監測與處置機制》，開展治理試點，加強能力建設。6月起，工信部組織開展2011年網絡安全防護檢查工作，積極將防護工作向域名服務和增值電信領域延伸。另外還組織通信行業開展網絡安全實戰演練，指導相關單位妥善處置網絡安全應急事件等。公安部門積極開展網絡犯罪打擊行動，破獲了2011年12月底CSDN、天涯社區等數據泄漏案等大量網絡攻擊案件；國家網絡與信息安全信息通報中心積極發揮網絡安全信息共享平臺作用，有力支撐各部門做好網絡安全工作。

(二)通信行業積極行動，采取技術措施凈化公共網絡環境

面對木馬和僵尸程序在網上的橫行和肆虐，在工信部的指導下，2011年CNCERT會同基礎電信運營企業、域名從業機構開展14次木馬和僵尸網絡專項打擊行動，次數比去年增加近一倍。成功處置境內外5078個規模較大的木馬和僵尸網絡控制端和惡意程序傳播源。此外，CNCERT全國各分中心在當地通信管理局的指導下，協調當地基礎電信運營企業分公司合計處置木馬和僵尸網絡控制端6.5萬個、受控端93.9萬個。根據監測，在中國網民數和主機數量大幅增加的背景下，控制端數量相對2010年下降4.6%，專項治理工作取得初步成效。

(三)互聯網企業和安全廠商聯合行動，有效開展網絡安全行業自律

2011年CNVD收集整理并漏洞信息，重點協調國內外知名軟件商處置了53起影響我國政府和重要信息系統部門的高危漏洞。中國反網絡病毒聯盟(ANVA)啟動聯盟內惡意代碼共享和分析平臺試點工作，聯合20余家網絡安全企業、互聯網企業簽訂遵守《移動互聯網惡意程序描述規范》，規范了移動互聯網惡意代碼樣本的認定命名，促進了對其的分析和處置工作。中國互聯網協會于2011年8月組織包括奇虎360和騰訊公司在內的38個單位簽署了《互聯網終端軟件服務行業自律公約》，該公約提倡公平競爭和禁止軟件排斥，一定程度上規范了終端軟件市場的秩序；在部分網站發生用戶信息泄露事件后，中國互聯網協會立即召開了“網站用戶信息保護研討會”，提出安全防范措施建議。

(四)深化網絡安全國際合作，切實推動跨境網絡安全事件有效處理

作為我國互聯網網絡安全應急體系對外合作窗口，2011年CNCERT極推動“國際合作伙伴計劃”，已與40個國家、79個組織建立了聯系機制，全年共協調國外安全組織處理境內網絡安全事件1033起，協助境外機構處理跨境事件568起。其中包括針對境內的DDoS攻擊、網絡釣魚等網絡安全事件，也包括針對境外蘇格蘭皇家銀行網站、德國郵政銀行網站、美國金融機構Wells Fargo網站、希臘國家銀行網站和韓國農協銀行網站等金融機構，加拿大稅務總局網站、韓國政府網站等政府機構的事件。另外CNCERT再次與微軟公司聯手，繼2010年打擊Waledac僵尸網絡后，2011年又成功清除了Rustock僵尸網絡，積極推動跨境網絡安全事件的處理。2011年，CNCERT圓滿完成了與美國東西方研究所(EWI)開展的為期兩年的中美網絡安全對話機制反垃圾郵件專題研討，并在英國倫敦和我國大連舉辦的國際會議上正式了中文版和英文版的成果報告“抵御垃圾郵件建立互信機制”，增進了中美雙方在網絡安全問題上的相互了解，為進一步合作打下基礎。

三、2012年值得關注的網絡安全熱點問題

隨著我國互聯網新技術、新應用的快速發展，2012年的網絡安全形勢將更加復雜，尤其需要重點關注如下幾方面問題：

(一)網站安全面臨的形勢可能更加嚴峻，網站中集中存儲的用戶信息將成為黑客竊取的重點。由于很多社交網站、論壇等網站的安全性差，其中存儲的用戶信息極易被竊取，黑客在得手之后會進一步研究利用所竊取的個人信息，結合社會工程學攻擊網上交易等重要系統，可能導致更嚴重的財產損失。

(二)隨著移動互聯網應用的豐富和3G、wifi網絡的快速發展，針對移動互聯網智能終端的惡意程序也將繼續增加，智能終端將成為黑客攻擊的重點目標。由于Android手機用戶群的快速增長和Android應用平臺允許第三方應用的特點，運行Android操作系統的智能移動終端將成為黑客關注的重點。

(三)隨著我國電子商務的普及，網民的理財習慣正逐步向網上交易轉移，針對網上銀行、證券機構和第三方支付的攻擊將急劇增加。針對金融機構的惡意程序將更加專業化、復雜化，可能集網絡釣魚、網銀惡意程序和信息竊取等多種攻擊方式為一體，實施更具威脅的攻擊。

(四)APT攻擊將更加盛行，網絡竊密風險加大。APT攻擊具有極強的隱蔽能力和針對性，傳統的安全防護系統很難防御。美國等西方發達國家已將APT攻擊列入國家網絡安全防御戰略的重要環節，2012年APT攻擊將更加系統化和成熟化，針對重要和敏感信息的竊取，有可能成為我國政府、企業等重要部門的嚴重威脅。

(五)隨著2012年ICANN正式啟動新通用頂級域名(gTLD)業務，新增的大量gTLD及其多語言域名資源，將給域名濫用者或欺詐者帶來更大的操作空間。

(六)隨著寬帶中國戰略開始實施，國家下一代互聯網啟動商用試點，以及無線城市的大規模推進和云計算大范圍投入應用，IPv6網絡安全、無線網安全和云計算系統及數據安全等方面的問題將會越來越多地呈現出來。

篇9

【關鍵詞】 核電 工業控制系統 安全測試 風險評估 應對策略

【Abstract】 This paper illustrates the difference between ICS and IT system， the diversity between information security and functional safety and significant security events abroad. The specification of ICS in nuclear power generation is presented. The regulations and safety standards for ICS in nuclear power plant are also introduced. Based on the basic security requirements for nuclear power generation in our country， an integrated protect strategy is proposed.

【Key words】 Nuclear power generation；Industrial control system ；Safety testing；Risk assessment；Protect strategy

1 引言

隨著信息和通信技術的發展，核電領域工業控制系統（Industrial Control System，ICS）的結構變得愈發開放，其需求方逐漸采用基于標準通信協議的商業軟件來代替自主研發的工業控制軟件。這種趨勢降低了最終用戶的研發投入成本，同時，設備與軟件的維護任務可以交給工業控制系統解決方案提供方，節省了人力維護成本。

ICS系統的聯通特性在帶來方便的同時也給核電工業控制系統安全防護提出了新的挑戰，近年來，多個國家的ICS系統受到了安全威脅。為應對核電領域網絡安全風險挑戰，建立工業控制安全與核安全相結合的保障體系，本文從工業控制系統與信息系統的界定、核電信息安全與功能安全的區別、核電工業控制系統基本安全要求等方面闡述我國目前面臨的核電信息安全形勢，介紹了核電領域重要的信息安全事件，并總結了核電工業控制系統安全的應對策略。

2 工業控制系統與信息系統的界定

標準通信協議的引入使ICS具備了互聯互通的特性，ICS與傳統IT系統的界線似乎變得更加模糊了。然而，ICS系統與IT系統相比仍然具有很多本質上的差異。

美國問責總署（GAO）的報告GAO-07-1036[1]、美國國家標準技術研究院NIST SP 800-82[2]根據系統特征對IT系統和ICS系統進行了比較，IT系統屬于信息系統（Cyber System），ICS系統屬于信息物理融合系統（Cyber-Physical System）。下文將從不同角度說明兩種系統的差異。

2.1 工業控制系統與信息系統的界定

模型和參考體系是描述工業控制系統的公共框架，工業控制系統被劃分為五層結構，如圖1。

第五層―經營決策層。經營決策層具有為組織機構提供核心生產經營、重大戰略決策的功能。該層屬于傳統IT管理系統，使用的都是傳統的IT技術、設備等，主要由服務器和計算機構成。當前工業領域中企業管理系統等同工業控制系統之間的耦合越來越多，參考模型也將它包含進來。

第四層―管理調度層。管理調度層負責管理生產所需最終產品的工作流，它包括業務管理、運行管理、生產管理、制造執行、能源管理、安全管理、物流管理等，主要由服務器和計算機構成。

第三層―集中監控層。集中監控層具有監測和控制物理過程的功能，主要由操作員站、工程師站、輔操臺、人機界面、打印工作站、數據庫服務器等設備構成。

第二層―現場控制層。現場控制層主要包括利用控制設備進行現場控制的功能，另外在第二層也對控制系統進行安全保護。第二層中的典型設備包括分散控制系統（DCS）控制器、可編程邏輯控制器（PLC）、遠程終端控制單元（RTU）等。

第一層―采集執行層。現場執行層指實際的物理和化學過程數據的采集、控制動作的執行。本層包括不同類型的生產設施，典型設備有直接連接到過程和過程設備的傳感器、執行器、智能電子儀表等。在工業控制系統參考模型中，現場執行層屬于物理空間，它同各工業控制行業直接相關，例如電力的發電、輸電、配電，化工生產、水處理行業的泵操作等；正是由于第一層物理空間的過程對實時性、完整性等要求以及它同第二、三、四層信息空間融合才產生工業控制系統特有的特點和安全需求[3]。

隨著信息物理的融合，從廣義來說，上述五層都屬于工業控制系統；從狹義來說，第一層到第三層的安全要求及技術防護與其他兩層相比具備較大差異，第一層到第三層屬于狹義工業控制系統，第四層到第五層屬于信息系統。

2.2 工業控制系統與信息系統的差異

從用途的角度來說，ICS屬于工業生產領域的生產過程運行控制系統，重點是生產過程的采集、控制和執行，而信息系統通常是信息化領域的管理運行系統，重點在于信息管理。

從系統最終目標的角度來看，ICS更多是以生產過程的控制為中心的系統，而信息技術系統的目的是人使用信息進行管理。

從安全的角度來說，傳統IT系統的安全三要素機密性、完整性、可用性按CIA原則排序，即機密性最重要，完整性次之，可用性排在最后；而工業控制系統不再適用于這一原則，其安全目標應符合AIC原則，即可用性排在第一位，完整性次之，機密性排在最后。

從受到攻擊后產生的結果來說，工業控制系統被攻陷后產生的影響是巨大的，有時甚至是災難性的：一是造成物質與人員損失，如設備的報廢、基礎設備的損壞、對人員的傷害、財產的損失、數據的丟失；二是造成環境的破壞，如水、電、氣、熱等人民生活資源的污染，有毒、危險物質的無序排放、非法轉移與使用，公共秩序的混亂；三是造成對國民經濟的破壞，如企業生產與經營中斷或停頓、工人停工或失業，對一個地區、一個國家乃至對全球經濟具備重要的影響；四是嚴重的則會導致社會問題和國家安全問題，如公眾對國家的信心喪失、恐怖襲擊等。

從安全需求的角度來說，ICS系統與IT的差異可以歸納為表1。

3 核電信息安全與功能安全的區別

功能安全（Functional Safety）是保證系統或設備執行正確的功能。它要求系統識別工業現場的所有風險，并將它控制在可容忍范圍內。

安全相關系統的概念是基于安全完整性等級（SIL1到SIL4）的。它將系統的安全表示為單個數字，而這個數字是為了保障人員健康、生產安全和環境安全而提出的衡量安全相關系統功能失效率的保護因子，級別越高，失效的可能性越小。某一功能安全的SIL等級一旦確定，代表它的風險消減能力要求被確定，同時，對系統的設計、管理、維護的要求嚴格程度也被確定。信息安全與功能安全雖然都是為保障人員、生產和環境安全，但是功能安全使用的安全完整性等級是基于硬件隨機失效或系統失效的可能性計算得出的，而信息安全的失效具有更多可能的誘因和后果。影響信息安全的因素非常復雜，很難用一個簡單的數字描述。然而，功能安全的全生命周期安全理念同樣適用于信息安全，信息安全的管理和維護也須是反復迭代進行的。

4 核電工業控制系統基本安全要求

我國核安全法規及政策文件主要包括《HAF001中華人民共和國民用核設施安全監督管理條例》、《HAF501中華人民共和國核材料管制條例》、《HAF002核電廠核事故應急管理條例》、《民用核安全設備監督管理條例 500號令》、《關于加強工業控制系統信息安全管理的通知》（工信部協[2011]451號）等；指導性文件主要有《HAD核安全導則》，與核電廠工業控制系統安全相關的有《HAF003 核電廠質量保證安全規定》、《HAD102-01核電廠設計總的安全原則》、《HAD102-10核電廠保護系統及有關設備》、《HAD102-14核電廠安全有關儀表和控制系統》、《HAD102-16核電廠基于計算機的安全重要系統軟件》、《HAD102-17核電廠安全評價與驗證》等導則，標準規范有《GB/T 13284.1-2008 核電廠安全系統 第1部分：設計準則》、《GB/T 13629-2008 核電廠安全系統中數字計算機的適用準則》、《GB/T 15474-2010 核電廠安全重要儀表和控制功能分類》、《GB/T 20438-2006 電氣/電子/可編程電子安全相關系統的功能安全》、《GB/T 21109-2007 過程工業領域安全儀表系統的功能安全》[4]等。

然而，我國核電信息安全方面的標準與我國法律的結合不緊密。《RG 5.71核設施的信息安全程序》是美國核能監管委員會（NRC）參考聯邦法規中對計算機、通信系統和網絡保護的要求，針對核電廠而制定的法規，《RG 1.152核電廠安全系統計算機使用標準》是為保障用于核電廠安全系統的數字計算機的功能可靠性、設計質量、信息和網絡安全而制定的法規，其所有的背景與定義均來源于聯邦法規。而我國的相關標準僅是將RG 5.71中的美國標準替換為中國標準，且國內相關核電領域法規缺乏對信息安全的要求。

5 核電工業控制系統重要安全事件

5.1 蠕蟲病毒導致美國Davis-Besse核電站安全監控系統癱瘓

2003年1月，“Slammer”蠕蟲病毒導致美國俄亥俄州Davis-Besse核電站安全監控系統癱瘓，核電站被迫停止運轉進行檢修。經調查，核電站沒有及時進行安裝補丁，該蠕蟲使用供應商被感染的電腦通過電話撥號直接連到工廠網絡，從而繞過防火墻。

5.2 信息洪流導致美國Browns Ferry核電站機組關閉

2006年8月，美國阿拉巴馬州的Browns Ferry核電站3號機組受到網絡攻擊，當天核電站局域網中出現了信息洪流，導致反應堆再循環泵和冷凝除礦控制器失靈，致使3號機組被迫關閉。

5.3 軟件更新不當引發美國Hatch核電廠機組停機

2008年3月，美國喬治亞州Hatch核電廠2號機組發生自動停機事件。當時，一位工程師正在對該廠業務網絡中的一臺計算機進行軟件更新，該計算機用于采集控制網絡中的診斷數據，以同步業務網絡與控制網絡中的數據。當工程師重啟計算機時，同步程序重置了控制網絡中的相關數據，使得控制系統誤以為反應堆儲水庫水位突然下降，從而自動關閉了整個機組。

5.4 震網病毒入侵伊朗核電站導致核計劃停頓

2010年10月，震網病毒（Stuxnet）通過針對性的入侵伊朗布什爾核電站核反應堆控制系統，攻擊造成核電站五分之一的濃縮鈾設施離心機發生故障，直接影響到了伊朗的核計劃進度，嚴重威脅到的安全運營。該事件源于核電廠員工在內部網絡和外部網絡交叉使用帶有病毒的移動存儲介質。

5.5 無線網絡引入的木馬引發韓國核電站重要信息泄露

2015年8月，曾泄漏韓國古里核電站1、2號機組內部圖紙、月城核電站3、4號機組內部圖紙、核電站安全解析代碼等文件的“核電反對集團”組織通過社交網站再次公開了核電站等機構的內部文件，要求韓國政府與該組織就拿到的10萬多張設計圖問題進行協商，并威脅韓國政府如不接受上述要求，將向朝鮮以及其他國家出售所有資料。本事件源于核電廠員工在企業內網和企業外部利用手機使用不安全的無線網絡信號，被感染木馬而引發。

6 核電工業控制系統安全應對策略

6.1 完善核電工業控制系統安全法規及標準

根據工信部協[2011]45l號文[5]，工業控制系統組網時要同步規劃、同步建設、同步運行安全防護措施，明確了工業控制系統信息安全管理基本要求，即連接管理要求、組網管理要求、配置管理要求、設備選擇與升級管理要求、數據管理要求、應急管理要求。核電行業主管部門、國有資產監督管理部門應結合實際制定完善相關法規制度，并參考《IEC 62443工業通訊網絡 網絡和系統安全》、《NIST SP800-82 工業控制系統安全指南》、《GB/T 26333-2010工業控制網絡安全風險評估規范》、《GB/T 30976.1-2014 工業控制系統信息安全 第1部分：評估規范》、《GB/T 30976.2-2014工業控制系統信息安全 第2部分：驗收規范》、《GB/T 22239-2008 信息安全技術 信息系統安全等級保護基本要求》、《IEEE Std 7-432-2010 核電站安全系統計算機系統》制定適用于核電領域的工業控制系統安全標準。同時，部分企業對推薦性標準的執行力度不夠，有必要出臺若干強制性標準。

6.2 健全核電工業控制系統安全責任制

核電企業要按照誰主管按照誰負責、誰運營誰負責、誰使用誰負責的原則建立健全信息安全責任制，建立信息安全領導機構和專職部門，配備工業控制系統安全專職技術人員，統籌工業控制系統和信息系統安全工作，建立工業控制系統安全管理制度和應急預案，保證充足的信息安全投入，系統性開展安全管理和技術防護。

6.3 統籌開展核電工業控制系統安全防護

結合生產安全、功能安全、信息安全等多方面要求統籌開展工業控制系統安全防護，提升工業控制系統設計人員、建設人員、使用人員、運維人員和管理人員的信息安全意識，避免殺毒等傳統防護手段不適用導致工業控制系統未進行有效防護、工業控制系統遭受外界攻擊而發生癱瘓、工業控制系統安全可靠性不足導致停機事故、工業控制系統重要信息失竊密等風險。

6.4 建立核電工業控制系統測試管控體系

系統需求、設計、開發、運維階段的一些問題會影響工業控制系統的安全可靠運行，因此有必要在系統需求設計、選型、招標、建設、驗收、運維、擴建等階段強化廠商內部測試、出廠測試、選型測試、試運行測試、驗收測試、安全測試、入網測試、上線或版本變更測試等測試管控手段，提升系統安全性。

6.5 開展工業控制系統安全測試、檢查和評估

企業要定期開展工業控制系統的安全測試、風險評估、安全檢查和安全評估，以便及時發現網絡安全隱患和薄弱環節，有針對性地采取管理和技術防護措施，促進安全防范水平和安全可控能力提升，預防和減少重大網絡安全事件的發生。核電行業主管部門、網絡安全主管部門要加強對核電領域工業控制系統信息安全工作的指導監督，加強安全自查、檢查和抽查，確保信息安全落到實處。

綜上所述，圍繞我國核設施安全要求，完善核電信息安全法規標準，落實信息安全責任制，統籌開展安全技術防護，建立工業控制系統測試管控體系，定期開展安全測試和評估，是當前和今后核電領域開展工業控制系統信息安全保障的重要內容。

參考文獻：

[1]David A. Multiple Efforts to Secure Control Systems Are Under Way， but Challenges Remain， GAO-07-1036 [R].Washington DC，USA：US Government Accountability Office（US GAO），2007.

[2]NIST SP800-82.Guide to Industrial Control Systems （ICS） Security [S].Gaithersburg， USA： National Institute of Standards and Technology （NIST），2011.

[3]彭勇，江常青，謝豐，等.工業控制系統信息安全研究進展 [J].清華大學學報，2012，52（10）：1396-1408.

篇10

隨著網絡的普及率的提高，使得電力企業不斷提高其辦公的信息化，同時也提升了企業對信息化網絡依賴程度，網絡內部存在不安全因素對信息安全存在著一定的威脅。本文主要介紹了網絡準入控制系統控制原理、控制技術方式及在電網公司中的應用情況，及相關問題，需要不斷完善。僅供參考。

【關鍵詞】

網絡準入系統供電局終端安全應用管理

1前言

隨著網絡應用的推廣，電網企業的管理依賴于信息網絡，企業相關的所有設備都需要接入企業內部網絡實現企業資源的共享局面，同時也增加了電網企業內網安全管理的工作難度。根據有關統計［1］，絕大多數信息泄露事件都是由于企業內部人員所泄露的，因此加強企業內部網絡安全管理是一件刻不容緩的事情。

2網絡準入系統控制原理

網絡準入系統控制的目的即減少降低相關病毒、黑客木馬等破壞性程序對企業信息安全造成的威脅。該系統的應用能夠阻擾未經授權許可的終端設備接入公司集團網絡，只有經過相關安全授權的終端設備才能順利與企業網絡相連接。有效的提高了企業網絡的安全性。網絡準入系統的全新構架模式，基本分為以下三個重要組成部分:企業內部網絡的外界安全防護，對于來自網絡外部的安全威脅實時防護;內部網絡自身的安全威脅防護，對來自網絡內部的安全威脅進行防護;外網移動用戶安全接入防護，用于保證內部移動用戶在不同網絡環境中的自身安全及企業網絡安全［2］。

3常見網絡準入控制技術

實現網絡準入控制技術的幾種方式:802．1x協議的網絡準入控制技術其技術要求網絡設備能夠支持802．1x，不需要調整網絡結構，不會降低網絡的可靠性及其他性能，適用于所有規模的網絡用戶，也是眾多企業所廣泛應用的一種網絡系統準入控制。其具有國際標準是主流技術;思科EoU方式的網絡準入控制，其與802．1X的網絡準入控制技術類似;網關型網絡準入控制，其技術特點是非授權終端不能訪問受網關保護的網絡資源，并且終端之間可以互相訪問。其技術要求需要調整網絡結構，要有專門適用的網關，其會給網絡帶來一些有關可靠性、性能的問題。其不適合大規模的組網;DHCP方式的網絡準入控制，其技術特點是終端可以通過自行IP等手段，繞開DHCP準入控制，無需調整網絡結構，但是需要在每一個網段部署專用DHCP服務器。不會降低網絡的可靠性，其適應于中小規模的網絡;ARP方式的網絡準入控制，其技術特點是終端能夠通過自行設置本紀的路由器、ARP映射等繞開ARP準入控制，無需調整網絡結構，需要在每一個網段設置ARP干擾器。其過多的ARP廣播會給網絡帶來諸多性能等故障問題。其適應于小規模的網絡。

4網絡準入控制系統在供電局的應用概況

電網企業的信息化管理正處于高速發展的狀態，許多電網企業都采用了網絡準入系統對于企業信息安全的控制管理，能夠提高企業信息的安全性，保障電網企業的正常運行。SymantecSNAC網絡準入系統是許多電網企業普遍使用的網絡準入系統之一［4］。為了提高企業終端的網絡準入系統，廣西電網公司在全省各地市供電局統一采用的網絡準入系統是華賽TSM網絡準入控制，該系統主要有六種主要功能，如對終端補丁進行管理的功能，對終端用戶行為、資產以及軟件等進行管理的功能。通過控制網絡終端訪問、準入系統，及對網絡終端實行安全檢查和安全修復工作，能夠控制許多人員對于企業網絡的訪問，如企業內部人員、外部訪客及合作伙伴等。與此同時，系統能夠自動查詢發現安全威脅并及時隔離該安全威脅，提升了關系電網網絡防御保護的能力。規范了終端的接入程序，緩解了對其的維護壓力，提升了網絡安全性能，同時依舊存在迫切需要改進的問題［5］。(1)存在多主機模式。網絡準入系統中的多主機模式是指在TSM網絡準入系統中，當企業需要進行某些遠程會議時，開通無線網絡，企業信息中心會架設一個普通的無線AP或者是一個充當HUB作用的交換機，當其中有一臺終端設備通過了了認真授權后，其后面的任何終端都可以無數次不限量的訪問企業網絡。這種現象會影響網絡準入系統的控制能力，影響企業網絡訪問的安全性，因此在使用時應控制對無線AP的使用。(2)無線網絡準入控制。無線網絡的工作原理是通過電磁波來傳輸相關信息數據的，同時也存在著不可輕視的信息安全問題，其根源性的問題基于無線信號具有空間擴散這一特性。要解決這一問題，能夠在網絡準入系統中增加無線入侵防護系統作為補充，將成功通過MAC地址認證的無線AP接入企業網絡，其他的無線AP則無法進入企業網絡進行通信，這一補充措施能夠從根本上保障無線網絡的安全接入，保障企業網絡信息安全。(3)對虛擬化技術應用的支持。在現有的技術層面，普遍存在的是服務器與桌面的虛擬化技術，而如果要在終端網絡準入系統中采用虛擬化技術，必要將技術上升到更高的層次才能解決相關安全問題。假如網絡準入控制系統沒有辦法從網卡中區分出是否真實，僅僅是通過一刀切的方式來禁止網卡的使用網絡的情況，會影響正常用戶的正常網絡接入，給網絡準入系統帶來一定的困擾工作。

5結語

綜上所述，應重視信息泄露的嚴重后果，及早組建企業終端網絡安全準入系統，做到對于企業信息安全的防護作用，能夠有效阻止終端電腦信息的非法外泄，保障企業信息安全，促進企業正常運轉，提高經濟效益。

作者：李永英 單位：平頂山工業職業技術學院

參考文獻:

［1］呂維新．網絡準入系統在供電局終端安全管理中的應用［J］．電力信息化，2011(06):94～97．

［2］宋經偉．網絡準入控制技術在終端安全管理系統中的應用［J］．軟件導刊，2014(02):136～138．

［3］常榮．網絡準入控制系統在電網企業的應用研究［J］．電力信息與通信技術，2013(11):38～44．

［4］梁彪．基于網絡準入控制的內網安全防護方案探討［J］．廣西電力，2014(06):59～62．