前言：寻找写作灵感？中文期刊网用心挑选的智能水务工控网络信息安全方案设计，希望能为您的阅读和创作带来灵感，欢迎大家阅读并分享。
摘要:针对目前智能水务工控网络存在的安全问题与风险，提出并系统设计了智能水务工控网络信息安全方案，通过“白名单”运行管理机制，对工控网络流量、工作站软件状态实现监控，构筑智能水务工控系统“安全白环境”。
关键词:智能水务;等保2.0;“白名单”;工控网络信息安全
2012年7月，国务院在《关于大力推进信息化发展和切实保障信息安全的若干意见》的报告中提出要将水务系统作为智慧城市建设进程中的重要组成部分。住房与城乡建设部的《关于国家智慧城市2014年度试点名单的通知》中进一步将“智慧水务”列为“智慧城市”专项建设内容之一。因此，各个城市都积极建设智能水务系统，并采用国际性大公司的智能水务控制系统平台，从而实现“智慧水务”、“智慧城市”的国家发展战略。工业控制系统作为“智慧水务”的重要组成部分，其重要性不言而喻，然而大量工业控制系统依赖国外进口的弊端也逐步显现，特别是工控信息安全风险在新一代信息技术发展的背景下日益突出。
1智能水务工控网络安全问题与风险
近两年国家“两化融合”（工业化、信息化）标准的提出，以及工业互联网的积极推进建设，工控安全也被提高到了前所未有的高度。水务安全直接关系国计民生，因此自来水供水企业中带有工控系统运行的智能水务控制系统信息安全的重要性也提升到了非常重要的位置。目前我国智能水务生产控制网络安全防护滞后于系统的建设速度，生产控制系统缺乏自身的安全性设计。在信息安全意识、策略、机制、法规标准等方面都存在不少问题。
1.1工控网络系统本身存在一定的脆弱性
（1）已建项目主要软硬件多为进口，可能存有后门；（2）关键性设备的安全门槛设置不够，易被网络攻击所利用；（3）部分设备网络借用公共电信网络和互联网组网，增加了网络接入风险。
1.2工控网络工作站操作人员技术手段与安全意识面临考验
（1）违规操作（U盘滥用、软件乱装）成为常态，缺少有效的访问控制手段；（2）取水泵房、水质监测广泛使用无线通信，易被搭线监听、窃密和干扰；（3）工作人员缺乏定期信息安全培训，不能适应工控信息安全变化发展要求。
1.3工控网络安全防护体系不能适应新技术发展
（1）关键设备资产底数不清楚，信息记录不完备；（2）严重漏洞难以及时处理，系统软件补丁管理困难，难以应对APT攻击；（3）两化融合加速了网络安全风险的暴露，没有形成应对的策略。针对目前的智能水务生产控制网络安全的现状，以及国家“两化融合”的推进，建立有效的智能水务生产控制网络安全体系势在必行。
2智能水务系统工控网络防护的等级要求
2019年5月10日，国家市场监督管理总局、国家标准化管理委员会信息安全技术网络安全等级保护基本要求及测评要求（等保2.0），该标准按保护等级要求对工业控制网络系统做了详细的说明。“等保2.0”是在2008年全国重要信息系统安全等级保护定级工作的基础上进行的进一步升级。网络安全等级保护对网络进行分等级保护、分等级监督，是将信息网络、信息系统、网上的数据和信息，按照重要性和遭受损坏后的危害性分成五个安全保护等级。公安机关对第二级网络进行指导，对第三、第四级网络定期开展监督、检查。等保2.0覆盖工业控制系统、云计算、大数据、物联网等新技术新应用。“工业控制系统”作为新列入的标准，构成了“安全通用要求+新型应用安全扩展要求”的要求内容。安全通用要求针对共性化保护需求提出，等级保护对象无论以何种形式出现，必须根据安全保护等级实现相应级别的安全通用要求。安全扩展要求针对个性化保护需求提出，需要根据安全保护等级和使用的特定技术或特定的应用场景实现安全扩展要求。新标准“基本要求、设计要求和测评要求”分类框架统一，形成了“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”支持下的三重防护体系架构。其次，新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求。工业控制系统安全扩展要求章节针对工业控制系统的特点提出特殊保护要求。对工业控制系统主要增加的内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等方面。具体如表1所示：由表1可知，第一级与第二级因为是属于一般网络，控制点与要求项少一些，第三第四级为重要与特别重要网络，因此控制点项上有明显增加。根据智能水务系统工控网络的重要性，防护等级定级要求应为三级。
3智能水务系统工控网络信息安全架构体系
基于国家“等保2.0”的要求，本文提出了通过建立“白名单”运行管理机制的智能水务系统工控网络信息安全方案，该方案按三级保护进行设计。
3.1“白名单”机制运行原理
运用“白名单”的思想，通过对工控网络流量、工作站软件运行状态等进行监控，运用大数据技术收集并分析流量数据及工作站状态，建立工控系统及网络正常工作的安全模型，进而构筑水务工控网络系统的网络“安全白环境”，如图1所示。（1）只有可信任的设备，才允许接入控制网络；（2）只有可信任的命令，才能在网络上传输；（3）只有可信任的软件，才能在主机上执行。该方案创新的采用“软可信”计算技术，降低方案成本，提高实用性，通过机器自学习“白环境”智能建模技术，降低维护成本，提高易用性；高速工控协议深度包解析技术，具备高安全性，低时延影响。
3.2工控安全纵深防御体系
该方案针对现有智能水务工控系统中边界防护、访问控制策略、入侵和异常行为监测等薄弱环节，以及工控系统PLC控制器末端防护缺失等问题进行重点关注，部署相关安全软硬件设备提升防御能力，网络拓扑如图2所示。智能水务工控网络系统主要分为企业资源层、生产管理层、过程监控层以及现场控制层。企业资源层通过TCP/IP协议与外部互联网相连，设计方案通过在企业资源层与生产管理层之间部署工控隔离网闸，截断TCP连接，对工业协议（OPCClassic、ModbusTCP、DNP3）数据进行数据交换，能够实现对工业应用数据的深度解析控制，起到边界隔离，纵深安全防护的作用。在核心交换机上部署工控检测审计系统，通过对网络访问及工控协议进行检测与深度解析，实时监测工业控制系统的运行，总结没有威胁的“白名单”，并进行实时更新，确保智能水务工控系统运行安全。在生产管理与过程监控层界面部署工控主机防火墙，依据程序特征建立操作系统运行“白环境”，并且禁止非授信程序运行，避免因无关程序的运行与升级而带来安全性风险。在现场控制层面的PLC控制器末端部署工控防火墙，通过对工业协议解析模块来对协议进行过滤和解析，确保控制PLC的程序代码的安全性，得到最小化的访问控制。该设计方案已经在某地区的自来水厂部署运行，现场反馈良好，达到了部署的目的。
4结语
随着智慧城市的进一步发展，“智慧水务”的实施，国家工业互联网的进一步推进，以及国家“等保2.0”的，全面提高自来水厂智能水务工控网络系统的整体安全性是形势所迫，大势所趋.只有提高设备、系统、网络的安全性、可靠性、稳定性，才能为水务安全生产保驾护航，人民生活满意度才能得到提升。本文设计的智能水务工控网络信息安全方案，为实现这一目标提供了很好的借鉴。
参考文献
[1]王宝令,张美玲,张青山.智慧水务建设评价指标体系的构建[J].沈阳建筑大学学报,2018(20):155-161.
[2]郭启全等.网络安全法与网络安全等级保护制度培训教程[M].北京：电子工业出版社,2018:135-137.
[3]高维娜,杨旭升.智慧水务新构想[J].物联网技术,2016(6):91-92.
[4]田雨,蒋云钟,杨明祥.智慧水务建设的基础及发展战略研究[J].中国水利,2014(20):14-17.
作者:陈夏裕 袁键 章明飞 范海健
