English日本語
本文提出一种合用于烟草行业的工控系统安全监测与管控规划， 通过将安全监测系统和安全防护网关进行有机联动，鉴别并预测工控系 统攻击异常事务，并自动天生针对该攻击异常事务的处置规定。同时， 防护网关使用该规定实现异常攻击行为的阻断，大大加强了工控系统安 全防护的可操作性，使异常攻击事务得到实时的响应与处置，提升烟草 行业工控系统安全防护与预警能力，保险安全不变运行。
引言
随着网络和信息技术的迅猛发展，网络已经覆盖能源、电力、交通、金融、电信和烟草等沉要行业和主题领域，在推进技术创新、经济发展的同时，网络安全问题日益凸显，已经成为关系国度安全和社会安全的沉大问题。在烟草行业，尤其是烟草打叶复烤出产线，由预处置、叶梗分离、叶烤、烤梗、除尘段等共同组成烟叶出产流水线，整条出产线设备繁多，分散，散布时变参数多，信息交互量大，凭据打叶复烤出产线特点及节造要求，国内普遍选取PC+Ethernet+PLC+FCS模式构建SCADA系统，实现复烤出产线的实时监控。大部门烟草企业的工业节造系统安全防护建设已依照行业尺度进行搭建，但在现实运行中仍存在跨网运维、违规表联互联网、工控互换机回绝服务、关键设备脆弱口令、病毒攻击、异常报文等极度典型的安全问题。
针对工业节造系统安全，目前存在安全监测和安全防护两种解决规划。
（1）安全监测；诹髁颗月凡杉，使用和谈深度解析技术（DPI），结合工控病毒库、攻击特点库以及工控基线规定等配置，通过关联分析实时发现针对 PLC、DCS等沉要工业节造系统的攻击和粉碎行为，以及病毒、木马等恶意软件的扩散和传布行为，为工业节造网络安全事务调查提供凭据。由于选取旁路方式部署，对出产过程“零影响”。
（2）安全防护；诤吞干疃冉馕黾际鹾凸た叵谓邮欠敲ス娑，阻断所有犯法接见，仅允许可信的流量在网络上传输。为工控网络与表部网络互联、工控网络内部区域之间的衔接提供安全保险。
安全监测用于鉴别并检测工控系统异常攻击行为，而安全防护用于对发现的异常攻击行为进行阻断，实时性要求更高，然而分析的领域相对监测系统要窄，并且其工控接见规定配置专业性要求很高，执行操作难题，若是规定配置单一，达不到安全防护的主张，而规定配置复杂，对正常治理与产生业务又会造成影响。针对以上情景，本文提出一种烟草行业工控系统安全监测与管控规划，通过将安全监测系统与安全防护网关等进行有机结归并联动，通过安全监测系统进行多档次异常攻击分析，使用回归预测算法，鉴别并预测工控系统攻击异常事务，并自动天生针对该攻击异常事务的处置规定，发送给安全防护网关，网关防护网关使用该规定实现异常攻击行为的阻断，提升烟草行业工业节造系统安全防护与预警能力，保险其安全不变运行。
2 规划设计
为保险烟草行业工控出产系统不变安全运行，其节造设备网络通常选取冗余环网技术和冗余供电系统， 如图1所示。
为实现对图1所示烟草工控系统的全面安全监测与管控，本系统需在预处置、叶梗分离、叶烤、烤梗、除尘等各个出产线均部署工控安全采集探针和工控安全网关，在治理端部署工控安全监测平台。工控安全采集探针蕴含两路网口，一路用于旁路采集工控监控系统网络通讯流量，一路用于工控安全监测平台的通讯，并能够凭据工控安全监测平台的指令，将工控安全接见节造列表下发给工控安全网关，实现工控安全监测和工控安全防护的联动，部署架构如图2所示。
烟草行业工控系统安全监测与管控系统蕴含数据采集、安全监测与预警，以及安全管控三个部门的职能，数据采集职能由工控数据采集探针实现；安全监测与预警职能由工控安全监测平台实现；安全管控职能由工控安全网关实现。
（1）数据采集
工控系统数据采集能够凭据现场工控网络现实环境的分歧，选取较为成熟的互换机端口镜像、分流和分光等多种旁路采集技术实现。 ·
互换机端口镜像。若是被采集点的主题互换机可提供端口镜像职能，可把要监控的端口流量都汇聚镜像到一个空闲口，再将汇聚口接入到流量采集分析探针，该种方式能够操作好，对出产过程“零影响”。 ·
分流。对于基于网线传输的流量，能够使用TAP分流设备对通过网线传输的流量进行分流处置，将原有的电信号流量分成齐全一样的若干份，不影响原有业务。高端TAP设备还具备把若干根网线的流量汇聚成一个口输出的能力，并保障不丢包。 ·
分光。对于基于光纤传输的流量，如电信主题网、工业节造环网，能够通过度光器进行流量分流， 这种技术能够保障将原有的光信号流量分成齐全一样的若干份，不影响原有业务，同时流量分析系统能够同时 接管到齐全一样的流量进行同步分析。
通过以上方式，数据采集可获到各类关键监控点的原始流量，并不会影响原有业务。
（2）安全监测与预警
安全监测与预警蕴含和谈深度解析、异常攻击鉴别与预警和安全接见规定天生与下发等职能。 ·
和谈深度解析。对于采集的工控网络通讯数据，使用传输端口、和谈特点等多种方式进行急剧和谈鉴别并高快实时解析。和谈深度解析支持高快鉴别与解析OPC-DA、OPC-UA、Modbus-TCP、Siemens-S7、Profinet和Ethernet/IP等烟草行业典型利用工控和谈，并支持到报文类型、子类型、指令、变量和值级别，便于进行变量阈值的查抄和正常行为的建模。 ·
异常攻击鉴别与预警；诙怨た睾吞傅耐ㄑ侗ㄎ慕胁杉肷疃冉馕，利用基于攻击特点与基于行为异常的检测方式，对当前工控系统通讯中含有显著恶意特点或偏离正常行为基线较远的流量进行监测并告警？杉鸩《竟セ鳌⒒鼐务攻击、旁路节造、异常指令操作、跨网运维、违规表联互联网、异常工控和谈报文、敏感信息明文传输、脆弱口令、未知设备接入和异常衔接等异常攻击行为。使用回归预测算法，对工控操作数据和工控流量运行预测分析，可描述工控安全出产态势，实现安全出产故障预警职能。 ·
安全接见规定天生与下发；谝斐９セ骷鹩朐ぞ治龅牧司，对于异常攻击行为，综合分析其攻击蹊径选择与攻击伎俩，自动天生抑造并阻断该种异常攻击行为的接见节造列表，该列表蕴含三层IP接见节造列表，工控节造指令接见规定列表和工控操作数据阈值列表等。
（3）安全管控
在病毒攻击检测、网络攻击检测的基础上，对工控网络流量进行实时解析，加载工控安全监测平台的安全接见规定，实时阻断异常攻击行为，实现烟草工控出产系统的操作指令和操作数据的和谈级实时管控。对于工控天生影响比力大的接见节造规定，可按配置，要求治理员或安全专家确认后，能力生效，在降低安全接见网关执行操作难度的同时，可大大削减由于人为误操作的战术配置而导致的工控出产变乱的产生。
3 结语
目前传统的防火墙、网闸等安全防护产品的安全战术需手动配置与更新，且专业性强，难度高，更新慢，难以达到安全管控且不影响工控天生的成效。本文针对烟草行业工控系统安全监测与防护技术的钻研，提出旁路安全监测预警与串行安全防护两种机造进行有机结归并实现联动的安全监测管控规划，使工业节造系统异常攻击行为得到急剧的抑造进而达到阻断的成效，通过安全监测平台自动天生安全接见规定战术，大大加强了工控系统安全防护的可操作性和时效性，使异常攻击事务得到实时的响应与处置，提高了烟草行业工控系统安全防护与预警能力，保险工控出产安全不变运行。
本规划基于工控和谈深度解析实现对工控网络环境的安全监测与管控，部署方便矫捷，可操作性优良，扩大性强，合用于打叶复烤、造丝、卷接包和烟草薄片等烟草领域各个工控出产环节，其中关键技术也可逐步拓展利用到石油、化工、交通等其他关键信息基础执行；ち煊，拥有辽阔利用远景。
作者简介
文化玫（1984-）女，湖南长沙人，博士，现任湖南省烟草专卖局（公司）工程师，在湖南烟叶复烤有限公司从事烟草行业网络安全和项目治理工作。
李建强（1983-），男，陕西宝鸡人，硕士，国度推算 机网络应急技术处置协调中心工程师，在工业节造系统网络安全应急技术工信部沉点尝试室重要从事工业节造系统网络安全防护钻研工作
谢博文（1989-）男，瑶族，湖南永州人，本科，湖南烟叶复烤有限公司郴州复烤厂助理工程师，重要钻研方向为工业节造系统网络安全。
资 捷（1979-）男，湖南耒阳人，本科，工程师，现 任湖南烟叶复烤有限公司网络安全与信息技术员，重要 钻研方向为推算机利用和网络安全。
吴秋果（1983-）男，湖南汨罗人，硕士，工程师，现任湖南烟叶复烤有限公司网络安全与信息技术员，重要钻研方向为软件工程。
Copyright ? 沙巴 版权所有 京ICP备05032414号 
京公网安备11010802024551号
