时间：2022-10-02 03:10:45
1过程控制系统网络的特点与风险点
改革开放以来，我国石油化工企业的自动化和信息化水平，无论在装备上、技术水平上、功能与规模上都有了较大的发展。测量和控制装置不断更新升级，DCS、PLC和IPC已成为大中型石油和化工企业的主要控制手段[3]。而由DCS、PLC和FCS等控制系统构成的控制网络在石化行业中也得到了广泛的应用。
1.1过程控制系统网络的特点过程控制系统的网络与传统的IT网络不同，具有以下特点。1）较高的实时性和可靠性。过程控制系统网络主要需要保证所有传输数据的实时性以及网络的可靠性，在传输过程中不允许有中断出现，需要整个传输过程始终在系统的可控范围内，不能出现失控的状态。2）专有通信协议。早先每一个过程控制系统供应商都有自己独自研发的专有通信协议，但随着过程控制系统的网络面逐渐扩大，而在彼此的通信传输中需要进行转换，不同通讯协议导致的不便捷性逐渐显露出来。近几年随着系统开放性呼声越来越高，在行业内部出现了一些开放的公用的专有通信协议，例如OPC，ModbusTCP，现场总线(Foundation／Hart／Profibus)等。3）相对的独立性。过程控制系统通常都是根据工艺设备的要求而进行独立设计，所以无论从前期网络设计到实际物理安装，整个控制系统网络都是相当独立的，不会与其他任何应用存在交联部分。在与外界交互的通道上仅仅开放OPCServer一个接口，通过OPC工业通信协议与外部进行数据交换。4）较长的产品更新周期。过程控制系统产品不以追求设备的先进性为目标，更多地是强调安全性与稳定性。所以结合实际工艺生产以及设备投资来进行综合考虑，过程控制系统通常具有较长的更新周期，这样就导致系统操作平台的安全漏洞得不到及时的维护。5）与杀毒软件兼容性差。目前市场上的杀毒软件厂商基本都是针对常用的应用软件进行兼容性测试，针对市场上使用频率较高的软件进行病毒防治策略的研究。而在网络中基于Windows平台上安装的所有过程控制软件，几乎没有杀毒软件厂商对其进行过完整的兼容性测试。这种情况同样也适应于过程控制系统制造商，各家控制系统制造商一般只认可少数几种防病毒软件，所以在工控领域的操作层级进行统一部署防护策略是一件很困难的事。
1.2过程控制系统网络的风险点根据对过程控制系统结构的分析，通常易受病毒侵袭的主要风险点主要有“数据采集网络的连接”，“先进过程控制站的连接”，“操作站”之间的三处连接。1）与数据采集网络的通信安全隐患例如采用双网卡配置的OPC数据采集机，但无其他任何防护措施。虽然OPC数据采集机采用双网卡配置，并已经将控制网与信息网进行隔离，信息网已经无法对控制网进行操纵攻击，但是双网卡结构的配置，对病毒的传播没有任何阻挡作用，所以来自上层信息网对控制网的病毒感染是目前的最大隐患。2）先进控制过程站的病毒感染隐患例如先进控制过程站通常可以由软件供应商进行自由操作，先进控制过程站本身并无任何防护措施，具有较高的病毒感染风险。首先先进控制过程站的安装、调试、运行一般需要较长的时间，而且需要项目工程师进行不断的调试、修改。期间先进控制过程站需要频繁与外界进行数据交换，这给先进控制过程站本身带来很大感染病毒的风险。一旦先进控制过程站受到病毒感染，其对实时运行的控制系统安全会造成极大隐患。另外先进过程控制站是应用OPC通信协议进行数据通信的，所以采用常规IT策略（例如常规的通用防火墙）无法提供适宜的防护。3）操作站互相感染的隐患目前大多数操作站都运行一个工作网络中，但在网络内部没有采取任何有效防护措施。而工业平台基本采用PC+Windows架构，同时也广泛应用以太网进行连接，TCP，STMP，POP3，ICMP，Netbios等大量开放的通信协议被广泛应用。但活跃在这些通讯协议上的木马、蠕虫等计算机病毒也具有一定的规模。目前普通的防火墙无法实现工业通信协议的过滤，所以当网络中某个操作站或工程师站感染病毒时，可能会马上通过数据交换传播到该工作网络中的其他PC机上，这就容易造成网络上所有操作站同时发生故障，严重时可导致所有操作站同时失控，甚至造成不可估计的损失。
2防护措施与建议
通过考虑石油化工过程控制系统中的网络架构和安全设计，同时参考保护层理论，列出了硬件、网络通信预防手段、杀毒软件预防手段、网络管理规章制度、良好的个人工作习惯等多个“保护层”，下图为石油化工过程控制系统网络的安全防护洋葱模型。图1石油化工过程控制系统网络的安全防护洋葱模型根据上图列出的各个风险点，可以参考以下措施进行有针对性的安全防护。
2.1设置防火墙相关单位或部门应该针对过程控制系统设置防火墙。防火墙是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。在网络通信中采用防火墙，它能允许系统预设的人员和数据（白名单）进入你的网络，同时将系统未允许的人员和数据拒之门外，可以最大限度地阻止网络中的黑客访问公司内部网络，在内部网和外部网之间、专用网与公共网之间的界面上构造一道保护屏障，从而保护内部网免受非法用户的侵入。一般的防火墙软件例如ComodoFirewall、ZoneAlarm、瑞星个人防火墙、卡巴斯基等均有完善的白名单以及黑名单设置，管理员可以根据相应的软件说明书和自身状况进行详细设置。
2.2安装专业杀毒软件在已联网的过程控制系统工业计算机上安装相应的杀毒软件，以降低电脑病毒、特洛伊木马和恶意软件等感染计算机的概率。杀毒软件通常集成监控识别、病毒扫描和清除和自动升级等功能，有的专业杀毒软件还带有数据恢复等功能，是计算机防御系统（包含杀毒软件，防火墙，特洛伊木马和其他恶意软件的查杀程序，入侵预防系统等）的重要组成部分。但是需要注意的是，有的时候杀毒软件会对工业计算机上的一些正常行为误报为病毒或木马。这时候就需要网络安全管理人员在安装杀毒软件的同时，将已确认的工业正常行为录入杀毒软件的信任列表，以避免误删重要程序或导致系统停机的情况发生。
2.3建立完善的规章管理制度公司应建立完善的网络系统安全管理规章制度，安排专人（网络安全管理人员）负责公司内部网络系统的安全运行工作。同时设置一定的权限，以阻止管理员之外的人员进行随意操作与变更。
【关键词】电厂；生产控制系统；网络信息安全
中图分类号：F407 文献标识码： A
一、前言
作为电厂生产运作的一项重要工具，生产控制系统在近期得到了较为广泛的应用和深入的研究。研究其网络信息安全，能够更好地提升电厂生产控制系统的可靠性，从而更好地保证电厂生产的顺利进行。本文从概述相关内容开始探究。
二、概述
为了提高工作效率，绝大多数电厂都建立了自己的内部网络，内部网络存在的安全隐患同样会对信息安全造成很多的威胁，甚至会对电厂造成重大经济损失。电厂网络面临的威胁来自于电厂内部和电厂外部两个方面，安全隐患主要体现在管理不严，导致非法入侵；电厂内部操作不规范，故意修改自己的IP地址等，导致电厂内部信息的泄漏；网络黑客通过系统的漏洞进行攻击，导致网络的瘫痪，数据的盗取；病毒通过局域网资料的共享造成病毒的蔓延等。
电厂网络面临的外部威胁主要是指黑客攻击，它们凭借计算机技术和通信技术侵入到电厂内部网络信息系统中，非法获得电厂内部的机密文件和信息。无论是操作系统还是网络服务都存在一定的安全漏洞，这些漏洞的存在，就给攻击者提供了入侵的机会。网络黑客通过各种手段对网络中的计算机进行攻击，非法闯入信息系统，窃取信息，泄露信息系统内的重要文件。
由于电厂内部管理不善，电厂员工的恶意行为也影响着信息的安全，内部人员的威胁行为分为违规操作和恶意报复。其中，内部员工的违规操作是造成外部威胁得逞的主要原因，有的工作人员利用自己的工作便利进入电厂的信息系统，窃取电厂信息系统内的重要文件，并将信息泄漏给他人，获取一定的利益；有的员工直接打开从网上下载的文件和视频，不经过专业杀毒软件的扫描，给电厂的内部网络带来安全隐患，甚至带来的病毒在全网络蔓延，造成电厂内网的瘫痪，严重损坏公司的利益，影响公司的正常运转。
三、电厂生产控制系统面临的安全隐患
1.被动攻击形式
被动攻击这种情况下在计算机领域中称作是流量分析现象。在计算机网络安全中，最为典型的信息攻击方式是信息的截获，信息的捕获主要指的是在信息技术中，网络攻击者通过网络技术对他人的私人信息进行不断的窃取和攻击这一信息安全性的现状。在这个过程中，网络信息得到攻击者通过对数据信息的观察与分子，进行相应的网络信息的攻击，尤其是对其中的一个数据单元进行相应的攻击，其中攻击的是网络中的信息数据，并不是信息流。上述的这些网络信息的安全隐患中，网络信息的攻击者和黑客是无处不在的，总是对网络系统中的数据信息进行攻击，盗取用户的个人信息，这些攻击者主要是通过网络中的数据协议PUD对用户的信息资源进行了一定的控制与盗取，最终导致而来网络信息资源安全隐患的产生。
2.主动攻击
计算机网络安全注的主动攻击是指，在计算机网络通讯系统中，攻击者或者是黑客，通过网络技术，连接到具体的数据通讯协议进行有目的有计划的信息资源的获取。这个过程是一种目的性明确的信息盗取方式，对于系统中的信息进行有目的的安全性攻击。并且在整个计算机网络通讯技术的安全性攻击过程中，攻击者通过对系统中的数据协议进行攻击，延迟了PDU的运行，严重情况下，最终将一种伪造的PDU输送到相应的网络中进行信息数据的传输。其中，此处所述的信息中断、信息篡改以及数据信息内容的伪造是上述所说的一种计算机网络完全的被动攻击方式。
四、电厂生产控制系统对网络安全的改进方案
1.物资需求计划的应用
MRP即物资需求计划，所谓物资需求计划指根据产品结构中不同层次的物品的从属关系和数量关系，以单件产品为对象，以完工时间为标准的倒排计划，根据提前期的长短制定物品下达时间的先后顺序，是一种电厂内的物资计划管理模式。通过运用物资需求计划，精确地对每月的生产任务进行合理安排，可以有效解决电厂生产过程中出现的“月初任务松，月末任务紧”的现象，通过合理调整生产计划，使发电厂对市场的应变能力加强。
2.完善身生产生产计划和控制系统
发电厂需要将安全生产列为其主要的研究内容，通过确保其生产质量提高其在同行业中的竞争力，从而获得较大的经济效益。通过完善发电厂自身的管理体系，使其在进行安全生产的同时，保障其生产计划的顺利执行。建立并完善合理的监督管理体系，有助于提高发电厂内部员工的自觉性和职业素质，可以在满足客户需求的同时，有效地提高发电厂的经济效益。
3.主生产计划方案编制
所谓主生产计划，是物资需求计划的主要输入因素，其以合同为依据，并按一定的时间段对相关电力产品的数量以及交货日期进行合理分析，并在现有的生产计划与设备资源中做出相应的平衡的新型生产计划。另一方面，从客户和电厂的双方面角度出发，主生产计划方案的编制一方面为电厂制定了完备的生产和控制计划，另一方面使得电厂的各项生产得以有序进行，从而提高了电厂与用户的合作效率。
五、强化生产控制系统安全的措施
1.对安全规划产生足够的重视
电厂网络安全规划就是全面的思考网络的安全问题，对于安全问题，需要以系统观点进行考虑。要想提升安全管理的有效性，就需要对信息安全管理体系进行全面系统的构建。
2.对安全域进行合理划分
电厂将电厂网络的内外网实行了物理隔离，但是在内网上，安全域的合理划分依然非常重要。在划分的时候，需要结合整体的安全规划和信息安全等级来进行，对核心重点防范区域和一般防范区域以及开放区域进行划分。网络安全的核心就是重点防范区域，用户不能够对这个区域直接访问，安全级别较高；应该在这个区域内放置各种重要数据、服务器和数据库服务器，在本区域内运行各种应用系统、OA系统等。
3.对安全管理进行强化，对制度建设产生足够的重视
为了促使电厂网络信息安全得到保证，就需要系统性的考虑电厂网络信息安全，对于电厂网络的安全问题，非常重要的一个方面就是安全管理和制度建设。首先要对日志管理和安全审计产生足够的重视，通常情况下，审计功能是防火墙和入侵检测系统都具备的，要将它们的审计功能给充分利用起来，提升网络日志管理和安全审计的质量。要严格管理审计数据，任何人不得对审计记录进行随意的修改和删除。
4.构建内网的统一认证系统
网络信息安全最为关键的一项技术就是认证，通过认证，身份鉴别服务、访问控制服务以及机密都可以得到实现。对病毒防护体系进行构建，将防病毒体系安装于电厂网络上，远程安装、远程报警以及集中管理等都是防病毒软件的功能；要对防病毒的管理制度进行构建，不能够在内网主机上随意拷贝互联网上下载的数据，不能够在联网计算机上使用来历不明的移动存储设备，发现病毒之后，相关工作人员需要及时采取处理措施。
六、结束语
通过对电厂生产控制系统网络信息安全的相关研究，我们可以发现，威胁其安全的因素来自多方面，有关人员应该从电厂生产控制系统运作的客观实际出发，充分分析威胁因素，从而研究制定最为切合实际的网络信息安全应对策略。
参考文献：
[1] 覃冠标.关于发电厂生产计划与控制系统的改进研究[J].科技资讯.2013（34）：141-143.
[2] 吴兴波.S公司生产计划与控制改进研究[J].华南理工大学学报.2010（01）：88-89.
[3] 李随成，樊相宇.MRP生产计划与控制系统的探讨[J].西安理工大学学报.2010（23）：356-360.
关键词： 网络系统；控制安全；措施分析
中图分类号：TP273 文献标识码：A 文章编号：1671-7597（2012）1210177-01
0 前言
随着计算机应用的日益广泛、通信技术和信息网络的快速发展，一些功能独立的计算机利用信息技术来互联起来，这样就形成了一个庞大的网络系统。计算机网络系统已经广泛的应用于社会的各个领域。计算机网络系统在给人们带来便利的同时，其安全问题也日益突显出来。网络自身存在着脆弱性，这样就会导致网络系统平台的搭建过程中出现不稳定的因素。这样就会导致非法入侵、病毒传播以及平台崩溃等现象出现。因此，解决网络中的不安全问题，提高网络系统的安全性与可靠性，是现阶段亟待解决的问题。加强计算机网络系统安全是十分有意义的。
1 网络系统安全的定义
所谓网络系统安全，主要是指软件、硬件以及其系统中的数据受到保护，并且不受偶然或者恶意原因造成的破坏和泄露，从而系统可以连续正常可靠的运行。网络服务不中断主要包括网络系统和信息安全。在实际的应用过程中，网络协议本身就存在着缺陷，计算机软件也存在一些安全漏洞，人们忽视了网络系统的安全等。这些都会使网络系统面临着严重的安全问题，并且还会给网络系统带来很大的风险。
2 网络系统的不安全因素
计算机网络系统面临的威胁主要分为两种：一种是对网络系统中信息的威胁，还有一种就是对网络系统中设备的威胁。影响计算机网络系统的因素有很多种。在这些因素中，有一些因素是有意的，而还有一些因素则是无意的；有些因素是认为的，还有一些因素是非人为的；有些因素是外来的黑客对网络系统资源的非法占有。这样总的来说，针对计算机网络系统的不安全因素主要有以下几方面：
1）人为的无意的失误。网络系统操作员安全配置不恰当时引起的网络系统安全漏洞，网络系统用户的安全意识不够强，用户口令的选择也比较简单，计算机用户将自己的账号随便地转接给他人使用或者与别人共享自己的账号，这样都会给网络系统安全带来威胁。
2）人为的恶意的攻击。人为的恶意的攻击时计算机网络所面临的最大的威胁。对手的攻击和计算机网络犯罪属于人为的恶意的攻击这一类。人为的恶意的攻击主要包括两种：一种是主动攻击，这种攻击是以各种方式进行有选择的破坏信息的有效性和完整性；另一种就是被动攻击，这种攻击是在不影响计算机网络系统正常工作的情况下，利用截获、窃取以及破译等的方式来获得重要的机密信息。人为的恶意的攻击不仅对计算机网络系统造成很大的危害，还有可能导致一些机密数据泄漏。
3）计算机网络软件的漏洞。计算机网络软件并不是百分之百的没有缺陷和漏洞的。然而，黑客进行攻击的首选目标就是计算机网络软件的漏洞和缺陷。那些黑客攻击计算机网络内部的事件，大多数就是因为计算机网络系统安全措施不完善所导致的结果。还有软件公司的编程人员为了自身的利益设置一些软件的“后门”，这些“后门”一般都不为外人所知道。然后，这些后门将会造成很严重的后果。
3 网络系统的安全对策
1）物理安全策略。计算机网络系统的核心部分之一就是机房。因此，要想保证网络信息系统的安全，就要采取一定的物理安全策略，构建一个良好的工作环境。对于那些重要的的设备则要安装防电磁辐射装置。同时还要建立一个完备的安全管理制度，这样可以防止偷窃、破坏等活动的发生。
2）设立防火墙。所谓防火墙是一个负责访问控制的安全设备。这种设备可以内外隔离，从而有效地阻止外界对内部网络资源的非法访问，同时还可以控制对外部那些特殊站点的访问。因此，要想充分发挥防火墙的作用，这就需要计算机网络管理人员对防火墙进行合理的配置。尽可能的少开一些端口。同时还要采用一些过滤严格的WEB程序以及一些加密的HTTP协议。
3）对网络数据进行加密。对计算机网络数据进行加密主要是为了保证数据在存储和传输的过程中的保密性。对网络数据进行加密主要是通过变换和置换的方式将那些需要被保护的信息置换成秘闻，然后进行信息的存数和传输。在对信息进行加密的过程中，要保证那些加密信息在进行存储和传输的过程中不会被那些非授权人员获得，从而达到保护信息的目的。
4）对计算机网络系统进行入侵检测。对计算机网络系统进行入侵检测就是从计算机网络中手机信息。通过对这些信息来分析计算机网络的入侵特征。查找那些非法用户的越权操作，同时还要检测网络系统的正确性和安全漏洞，并手机相关的入侵攻击信息。避免网络系统受到入侵。
5）安装安全防护软件。计算机网络系统是一个动态运行的系统。计算机网络受病毒等恶意程序的威胁。因此，要采取一些企业级别的防护产品，并对网络系统进行定期的升级和修补。对于那些来历不明的软件和程序，不要随便打开或者执行。
6）对网络安全漏洞进行扫描。计算机网络系统安全扫描不仅可以检测到本地主机上的弱点，还可以让网络管理人员及时对这些漏洞进行修补。安全漏洞扫描软件主要包括主机、网络漏洞扫描以及专门对数据库安全漏洞进行检查的扫描器。
7）计算机网络管理。在对计算机网络进行网络风险防范时，还要重视管理工作。可以指定一些网络管理规章制度以及一些应急措施，规划计算机网络安全策略，确保网络的安全性和可靠性。
4 结束语
在计算机网络系统中，没有绝对的安全。所谓的网络安全不仅是技术上的问题，还是安全管理上的问题。因此，为了保障计算机网络安全，要建立一个良好的计算机网络安全系统，提高计算机的安全意识，确保网络系统的安全，确保网络信息的安全。
参考文献：
[1]闫娟、杨慧斌，神经网络PID在PLC系统控制中的应用研究[J].计算机仿真，2012（1）.
[2]杨海波，计算机网络系统安全问题探讨[J].中国科技纵横，2012（6）.
关键词：医院 信息网络系统 风险控制
当今社会，人们获取信息的重要途径就是计算机网络，在计算机网络发展的同时也存在一些安全隐患，它不会通过安全的体系设计方案进行解决，比如非法访问用户账户、干扰计算机网络的正常运行、破坏数据的完整性，传播网络病毒，进行数据盗取等。医院要想计算机网络消除安全方面的隐患，需要先对影响计算机安全的因素有个大体的了解。下面就讲解了影响医院计算机信息网络系统安全的因素。
一、影响医院信息系统安全的因素
1．自身系统及软硬件的不稳定
医院信息网络系统不可避免的会出现安全漏洞。信息网络系统最容易出现漏洞的方面有调用RPC漏洞，缓冲区溢出漏洞。信息网络系统的数据库也比较容易受到攻击。信息网络系统出现的漏洞被利用后，可能会遭受远程攻击。应用软件具有一定的软件缺陷，这种缺陷可以存在于小程序中，也可以存在于大型的软件系统中。软件的缺陷导致了医院信息网络系统的安全风险。网络硬盘设备方面也存着在缺陷，网络硬盘作为信息传递中重要的硬件设备，在被人们使用的同时也存在着安全隐患，它包含的电磁信息泄露是主要的安全隐患。网络硬盘与计算机信息网络系统组成的不牢固也能造出计算机信息网络系统安全隐患。
2．网络病毒的恶意传播
现在网络病毒从类型上来分有木马病毒和蠕虫病毒。木马病毒采用的是后门启动程序，它往往会隐藏在医院计算机的操作系统中，对用户资料进行窃取。而蠕虫病毒比木马病毒更高级一些，它的传播可以通过操作系统以及软件程序的漏洞进行主动攻击，传播途径非常广泛，每一个蠕虫病毒都带有检查计算机电脑是否有系统及软件漏洞的模块，如果发现电脑含有漏洞，立刻启动传播程序传播出去，它的这一特点，使危害性比木马病毒大的多，在一台电脑感染了蠕虫病毒后，通过这个电脑迅速的传播到、该电脑所在网络的其他电脑中，电脑被感染蠕虫病毒后，会接受蠕虫病毒发送的数据包，被感染的电脑由于过多的无关数据降低了自己的运行速度，或者造成CPU内存占用率过高而死机。漏洞型病毒传播方法主要通过微软windows操作系统。由于windows操作系统漏洞很多或者用户没有及时的进行windows系统的自身更新，造成了漏洞型病毒趁虚而入，攻占医院的计算机电脑。计算机技术在更新换代，病毒技术也在发展变化，现在的网络病毒不像以前的计算机病毒，现在的病毒有的可以通过多种途径共同传播，比如集木马型病毒、漏洞型病毒于一体的新病毒混合体。该病毒对网络的危害性更大，处理查杀起来也比较困难。
3．人为恶意攻击
人为的恶意攻击是医院计算机信息网络系统面临的最大安全风险，人为的恶意攻击可以分为主动攻击和被动攻击，主动攻击是有选择的通过各种形式破坏信息网络系统的完整性和有效性；被动攻击是在不影响医院信息网络系统正常运行的情况下，进行数据信息的窃取、截获以及寻找重要的机密文件。它们都对医院的信息网络系统造成了巨大的危害。
二、保护医院信息系统安全的措施
1．建立防火墙防御技术
防火墙设计的理念是防止计算机网络信息泄露，它通过既定的网络安全策略，对网内外通信实施强制性的访问控制，借此来保护计算机网络安全。它对网络间传输的数据包进行安全检查，监视计算机网络的运行状态。一个完整的防火墙保护体系可以很好的阻止威胁计算机的用户及其数据，阻止黑客通过病毒程序访问自己的电脑网络，防止不安全因素扩散到电脑所在的局域网络。通过将用户电脑的使用账户密码设置的高级些，，禁用或者删除无用的账号，不定期进行账号密码的修改都可以很好的防止病毒侵入。由于网络入侵者的实时性、动态性，所以在计算机网络中防火墙软件要做到实时监控的要求。防火墙的实时监控技术通过过滤在调用前的所以程序，发现含有破坏网络安全的程序文件，并发出警报，对可疑程序进行查杀，将网络入侵者阻拦，使计算机免受其害。
2.采用特征码技术
目前的查杀病毒采用方法主流是通过结合特征码查毒和人工解毒。当搜查病毒时采用特征码技术查毒，在杀除清理的时候采用人工编制解毒技术。特征码查毒技术体现了人工识别病毒的基本方法，它是人工查毒的简单描述，按照“病毒中某一类代码相同”的原则进行查杀病毒。当病毒的种类和变形病毒有相关同一性时，可以使用这种特性进行程序代码比较，然后查找出病毒。但是描述特征码不能用于所有的病毒，许多的病毒很难被特征码进行描述或者根本描述不出来。在使用特征码技术时，一些补充功能需要一同使用，比如压缩包和压缩可执行性文件的自动查杀技术。
3．其他网络安全保护对策
加密技术通过将医院计算机信息网络系统的可读信息变为密文来保护网络安全。IP地址影响着用户的计算机网络安全，网络黑客通过特殊的网络探测手段抓取用户IP，然后对此发送网络攻击。对IP进行隐藏是指通过用户服务器上网，防止了网络黑客获取自己的IP。关闭电脑中不必要的端口也可以有效防范黑客的入侵，还能提高系统的资源利用率。对自己的账号密码进行定期、不定期的更改，然后设置账号密码保护问题，可以在第一道防线阻止网络黑客的入侵。及时更新计算机操作系统和应用软件可以有效避免漏洞病毒的侵入。安装知名的保护网络安全软件，对保护网络安全的软件进行及时更新。
总结
医院信息网络系统的安全与医院的经济效益息息相关。影响医院信息网络系统安全的因素是多方面的，网络病毒也在不断发展进化，面对这种严峻的形势，我们不能只采用单一的防范措施，而是采用多种保护医院信息网络系统安全的措施，相互协调，发挥优势，扬长避短，保证医院的信息网络系统在防范风险方面取得较好的效果。
参考文献：
[1]王鑫.关于医院网络环境下计算机安全的防范技术[J].计算机与数字工程，2009
[2]邓立新.加强医院中信息网络系统安全的思考[J].科技资讯,2008(26)
关键词：水泥厂工控；网络安全；防护建设
近年来，水泥企业信息化和智能化建设发展迅速，抓住了智能制造发展的制高点，信息化是水泥企业信息化建设的必由之路，对企业管理，企业生产和节能降耗都产生了很大的效果。但是对于网络的运行控制和安全保障已成为水泥厂发展中的智能制造问题。为实现企业的转型，我公司介绍了建设和网络安全管理的方法和经验。
1运行控制与网络安全建设背景
1.1信息化建设
在信息化建设初期，我公司的网络安全还不完善，在信息化和智能化建设方面，没有考虑网络管理和安全问题。但在施工过程中，网络安全越来越重要，在实施过程中发现了以下问题：比如OPC协议是目前以信息为基础的通信方式，是实现建筑信息智能传输的重要通信方式，当前正在解决信息隔离问题。公司能源管理系统数据和DCS系统监控数据应通过OPC通信进行隔离和控制，方便员工使用。在出差过程中快速监控直流生产和生产画面，为了监控数据和曲线，我公司采用智能集成工厂，并在手机上安装移动工厂应用程序。在保证网络安全的前提下，我们可以对公司生产的图像进行监控，但是如何管理数据通过网络在手机上移动，基于前面应用实现的方便性，没有必要的安全设施，生产系统的安全是否得到保证。目前，智能物流广泛应用于水泥行业，销售系统和生产统计等其他系统以及数据通信量最大的系统具有最高的安全性。生产原材料多个生产和办公系统缺乏主机管理和控制软件及防病毒，导致控制自动化系统各设备的USB接口，缺乏有效的移动媒体控制状态。系统维护工程师必须定期复制数据，操作人员也可以秘密使用USB接口，存在较大的网络风险。因为发生网络安全事件会导致整个工厂系统瘫痪、服务器崩溃和数据损失等严重后果。我公司从2020年开始实施网络升级改造，优化和提高了管理网络和生产网络的安全性[1-3]。
1.2信息安全保护发展
新的应用没有等级保护标准，缺乏完整的风险评估和安全监测系统，因此很难适应互联网信息安全保护的要求，为了适应新技术和新的应用发展，满足各种系统等级保护的需求威海工业控制领域的云计算，信息系统等方面提供了重要保证，以重要保证为基础，目前工业控制系统网络安全保护还不够，工业控制系统网络安全保护的必要性分析工业控制系统需要使用的许多控制系统，包括，产业生产中监控系统，数据采集系统和分布式控制系统，如PLC等应用广泛，与人们的生产和生活密切相关，本文分析了他面临的威胁。
1.3工业控制系统网络安全事件分析
2019年出现的第一个控制系统，打破离心分离器运行的产业控制器，建立了一个全新的脚本技术和适应大规模应用的完美安全保护体系。祝贺很重要。2018年，黑客利用工业恶性软件攻击乌克兰的一个变电站，导致基辅等地区的供电中断，使用软件自动运行，导致机器控制系统无法正常运行因此，电力网和其他基础设施的安全受到了严重的威胁。例如，2017年有100多个地区受到威胁软件感染的影响，中国的石油和交通受到影响，造成严重后果。
1.4工业控制系统网络应用
目前这些系统由于需求不足，各种业务系统存在潜在的安全隐患，比如远程访问保护要求，大多数工业控制和生产网络的远程维护都是由供应商提供的。渠道使用存在入侵风险。还有网络监控和审核要求，目前行业使用的各种监控软件和审计软件和基础设施还不完善，难以对数据进行有效的控制其次是操作系统漏洞管理需求；工业生产控制系统对网络的要求很高，这就给系统漏洞升级带来了难题，一旦出现安全漏洞，就会威胁到系统运行的安全；恶意代码风险防范要求，在工控系统应用中实际发生恶意代码时，存在着安装杀毒软件和安全隐患等安全防护缺失等重大风险。在分析网络安全需求的基础上，分析了网络安全对人身安全财产安全的影响，为保证网络安全运行所采取相应的措施，建立工业控制系统的网络安全保护策略，实施安全管理体系。根据安全防护工作要求设置专门的部门和人员，由安全管理人员和安全管理人员负责，组织网络安全委员会或领导小组。掌握具体工作，要求做好网络安全防护工作，并根据需要制定相应的管理制度和方法，实现岗位职责和资源的有效分工。配置足够的人力资源，确保网络安全工作的顺利进行，加强与安全供应商和企业的沟通，确保安全，及时掌握事态发展，定期进行安全检查。首先做好检查记录，编制安全检查报告，确保各项工作顺利完成，其次，建立安全管理机构，配备网络安全管理人员；安全管理体系能否有效启动，与组织机构组成、人员配置、工作要求、人力资源配置、协调指导密切相关。对实施网络安全管理等任务，建立有效的安全防护组织体系。加强安全施工管理，在安全施工管理方面，以信息系统的整个生命周期为中心实施安全管理措施，系统审核和控制安全等级等关键环节，加强安全运输和层次管理，结合网络安全威胁和风险的原因和特点，实施安全评价和安全强化，对机舱环境、漏洞和网络、实施设施安全运行维护管理等安全管理，有效变更备份及修复管理和各种安全事件。
1.5安全技术系统建设
安全通信网络设计技术体系和安全通信网络设计的重点是网络结构。利用关键网络设备和电脑设备，以不必要的结构划分安全区域，实现安全隔离。通信传输。使用密码确保通信的完整性和机密性。可以信赖的验证。对于产业控制和网络安全建设的总体规划，应该保护事务网络和管理网络的界限，并且在划分网络层次结构的同时，根据各信息系统的功能，将与管理系统有密切关系的系统划分为控制层，将系统数据并连接外部网络时系统分为电源管理系统等生产管理层，软件系统与管理系统的数据交流较少，企业管理中其他企业管理软件，如智能物流系统的数据交换较多的软件系统，在网络边界处配置入侵防御和防火墙安全产品，实时分析链接的传输数据，阻断链接隐藏的威胁。
1.6边界网络屏障设置
警戒保护并在相关控制系统中读取的所有数据通过网络屏障确保系统的安全。我公司拥有两个DCS系统，一个是加工品水泥生产线的DCS系统，另一个是起到外部控制作用的DCS系统，公司的两个工业控制系统的外部数据传输链接的出口端增加了产业防火墙。所有的管理系统都要通过防火墙来通讯外部数据。进行管理防止系统中未授权的程序和未知存储介质的运行，白色命名单系统由非系统管理者随意使用USB接口或随意复制或安装各种软件，对生产主机进行安全管理、提高设备运行能力，确保各生产业务系统的安全运行。对于安全区域边界设计内容包括警戒保护和入侵预防等，恶意代码和安全审计。对于正在运行的工业无线网络，无线AP或无线路由器由上述端口控制，例如在访问防火墙端口时，以工业防火墙为边界进行逻辑隔离，实现网络区域的有效隔离。从实施网络安全保护的角度分析了安全计算环境，安全计算环境的设计主要内容如下，首先是安全监控，由于工业控制系统的运行环境越来越复杂，新技术和新设备的广泛应用，对环境保护计算具有重要意义。利用数据库协议的分析和控制技术，可以达到阻塞危险命令、控制访问行为等目的。保护数据库运行安全。由安全管理中心建立的安全管理中心具有以下功能，基于工控系统安全管理平台，对登录人员进行动态认证。并且组织安全管理人员和监理人员的授权，实行统一调配管理，其次，还要进行安全监督管理；确认相应人员的身份并监督其工作，如工作日志和门禁等进行安全管理，最后通过集中管理和数据和信息的收集和分析，了解系统运行的安全状态，并采取设施安全防护措施。
2网络运行控制及具体实施
根据上述总体安全策略的要求，我们的办公网络和管理网络被划分为VLAN，VLAN将办公网络和管理网络隔离开来，我们还建造了办公室和机械宿舍，建筑细节如下，公司所使用的防火墙是可以将新的入侵防御系统与网络病毒过滤和杀灭相结合。根据实际管理和控制原则，各子网在网络区域内组织地址区域，避免广播风造成公司网络整体瘫痪，并确定网络故障点。从网络层面分为办公网络和工业控制网络，在两个网络隔离边界上设置网关，在网络隔离的基础上实现数据交换。公司从管理网读取DCS系统数据，并增加双向控制体系。我们公司有两套DCS系统，一个是水泥生产线的DCS系统，另一个是为了余热发电的DCS系统。在配套系统中增加Moxa工业基地的交换机，对工业行为进行审查，通过镜像流动对整个网络进行流量审计和检查，建立专用作业控制运输管理区并通过产业防火墙隔离，设置主机白名单和漏洞扫描，确保网络安全和安全，除上述建设内容外，我公司将根据融合管理体系建立公司的机械住宅和网络布局完善是实现网络化和工业控制的必要手段，具体情况如下：公司已经建立了标准控制网络，并且要求机房独立连接接地网，在静电地板下用10毫米宽的铜箔设置屏蔽网格，确保整个机房连接良好，设置传感器系统，安装恒温系统和自动灭火系统，建立完整的同环检测平台，确保机房不断供电和火灾警报，公司的两个机房采用远程自动备份系统和自动备份服务器系统和软件数据，并可在网络空间发生灾难后迅速恢复，设置网络管理软件。主要是网络扫描，远程监控和警报管理。微信警告，支持网络管理多个资产许可证，便于网络管理，公司客房内多种通信专用线和联合线的双轨连接，确保公司网络实时正常运行，防止专用线路故障导致整个公司网络的瘫痪[4-5]。
3结束语
近年来，水泥企业信息化和智能化建设发展迅速，各企业纷纷实施信息化建设竞争，抓住了智能制造发展的制高点，信息化是水泥企业信息化建设的必由之路，对企业管理，企业生产和节能降耗都产生了很大的效果。但是对于网络的运行控制和安全保障已成为水泥厂发展中的智能制造问题。企业在改造后，公司网络系统运行稳定，网络不会出现由于间断而影响业务和生产，也不会发生系统或服务器中毒事件，各信息系统运行稳定。防火墙和防火墙形成的保护体系运行稳定，预防外部多次的网络入侵攻击和病毒。企业的网络系统结构具有良好的扩展性和安全性，在企业实施不同的信息化项目时，可以更加便利鲜明地将新系统配置在网络结构中，提高系统的线上效率和稳定运行。
参考文献
[1]杨永恩,张国恒.水泥厂工控及网络安全防护建设[J].水泥工程,2019(03):56-59.
[2]金世尧,刘俊.工业互联网在局域网中的安全问题剖析[J].科技风,2021(13):95-96.
[3]李杺恬,郭翔宇,宁黄江,李世斌.区块链技术在工业互联网中的应用及网络安全风险分析[J].工业技术创新,2021,08(02):37-42.
[4]樊佩茹,李俊,王冲华,张雪莹,郝志强.工业互联网供应链安全发展路径研究[J].中国工程科学,2021,23(02):56-64.
【 关键词 】 工业控制系统；基础设施安全；安全隔离网关；边界防护
1 引言
“两化”融合的推进和以太网技术在工业控制系统中的大量应用，引发的病毒和木马对工业控制系统的攻击事件频发，直接影响公共基础设施的安全，其造成的损失可能非常巨大，甚至不可估量。而在工业控制系统中，工控网络管理和维护存在着特殊性，不同设备厂家使用不同的通信协议/规约，不同的行业对系统网络层次设计要求也各不相同，直接导致商用IT网络的安全技术无法适应工业控制系统。
2 国内工控安全现状
2.1 信息化建设的趋势
过去10年间，世界范围内的过程控制系统（DCS/PLC/PCS/RTU等）及SCADA系统广泛采用信息技术，Windows、Ethernet、现场总线技术、OPC 等技术的应用使工业设备接口越来越开放，企业信息化让控制系统及SCADA系统等不再与外界隔离。但是，越来越多的案例表明，来自商业网络、因特网、移动U盘、维修人员笔记本电脑接入以及其它因素导致的网络安全问题正逐渐在控制系统及SCADA系统中扩散，直接影响了工业稳定生产及人身安全，对基础设备造成破坏。
2.2 以太网及协议的普及
目前，市场上具有以太网接口和TCP/IP协议的工控设备很多。以太网技术的高速发展及它的80%的市场占有率和现场总线的明显缺陷，促使工控领域的各大厂商纷纷研发出适合自己工控产品且兼容性强的工业以太网。其中，应用较为广泛的工业以太网之一是德国西门子公司研发的PROFINET工业以太网。
施耐德电气公司推出了一系列完整、以TCP/IP 以太网为基础、对用户高度友好的服务，专门用于工业控制领域。自1979 年以来， Modbus 就已成为工业领域串行链路协议方面的事实标准。它已经在数以百万计的自动化设备中作为通信协议得到了应用。Modbus 已经得到了国际标准IEC 61158 的认可，同时也成为了“中国国家标准”。通过Modbus 消息可以在TCP/IP 以太网和互联网上交换自动化数据，以及其它各种应用（ 文件交换、网页、电子邮件等等）。
如今，在同一个网络上，无需任何接口就可以有机地融合信息技术与自动化已成为现实。
2.3 国产化程度
随着工业控制系统、网络、协议的不断发展和升级，不同厂商对于以太网技术也在加速推广，而国内80%以上的控制系统由国外品牌和厂商所占据，核心的技术和元件均掌握在他人手里，这给国内的工业网络安全形势，造成了极大的威胁和隐患。
目前，在国内工控领域应用比较多的是通用网闸产品和工业安全隔离网关产品，用于工控企业控制网和办公网的物理隔离和边界防护。由于国内重要控制系统有超过80%的系统都使用的是国外产品和技术，这些技术和产品的漏洞不可控，将给控制系统留下巨大的安全隐患。而国内通用IT网络与工业控制网络存在巨大差异，通用IT的安全解决方案无法真正满足工控领域的需求，工业控制系统的安全威胁，一触即发。
2.4 软、硬件的漏洞
国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD），在2011年CNVD收录了100余个对我国影响广泛的工业控制系统软件安全漏洞，较2010年大幅增长近10倍，涉及西门子、北京三维力控和北京亚控等国内外知名工业控制系统制造商的产品。相关企业虽然积极配合CNCERT处理了安全漏洞，但这些漏洞可能被黑客或恶意软件利用。
由于早期的工业控制都是相对独立的网络环境，在产品设计和网络部署时，只考虑了功能性和稳定性，对安全没有考虑。经过测试，很多支持以太网的控制器都存在比较严重的漏洞和安全隐患。
2.5 病毒攻击的发展
国外典型工业控制系统入侵事件。
* 2007 年，攻击者入侵加拿大的一个水利SCADA 控制系统，通过安装恶意软件破坏了用于取水调度的控制计算机。
* 2008 年，攻击者入侵波兰某城市的地铁系统，通过电视遥控器改变轨道扳道器，导致4 节车厢脱轨。
* 2010 年，“网络超级武器”Stuxnet 病毒通过针对性的入侵ICS 系统，严重威胁到伊朗布什尔核电站核反应堆的安全运营。
* 2011 年，黑客通过入侵数据采集与监控系统SCADA，使得美国伊利诺伊州城市供水系统的供水泵遭到破坏。
* 2011年，Stuxnet 变种 Duqu， 有关“Duqu”病毒的消息是在10月出现的。 “Duqu”病毒似乎专为收集数据而来，其目的是使未来发动网络袭击变得更加容易。这种新病毒的目的不是破坏工业控制系统，而是获得远距离的进入能力。
* 2012年，肆虐中东的计算机病毒“火焰”日前现身美国网络空间，甚至攻破了微软公司的安全系统。
3 工控安全与通用IT安全的区别
3.1 协议区别
比如OPC，因为其基于DCOM技术，在进行数据通讯时，为了响应请求，操作系统就会为开放从1024到5000动态端口使用，所以IT部门在使用普通商用防火墙时根本没有任何意义。对于一般防火墙更无法进行剖析，而使OPC客户端可以轻易对OPC服务器数据项进行读写，一旦黑客对客户端电脑取得控制权，控制系统就面临很大风险。
黑客可以很轻松的获得系统所开放的端口，获取/伪装管理员身份，对系统进行恶意破坏，影响企业的正常生产运营。
3.2 成本及影响对照（如图1所示）
4 工控安全防御方法建议
4.1 白名单机制
白名单主动防御技术是通过提前计划好的协议规则来限制网络数据的交换，在控制网到信息网之间进行动态行为判断。通过对约定协议的特征分析和端口限制的方法，从根源上节制未知恶意软件的运行和传播。
“白名单”安全机制是一种安全管理规范，不仅应用于防火墙软件的设置规则，也是在实际管理中要遵循的原则，例如在对设备和计算机进行实际操作时，需要使用指定的笔记本、U盘等，管理人员只信任可识别的身份，未经授权的行为将被拒绝。
4.2 物理隔离
网络物理隔离类技术诞生较早，最初是用来解决网络与非网络之间的安全数据交换问题。后来，网络物理隔离由于其高安全性，开始被广泛应用于政府、军队、电力、铁道、金融、银行、证券、保险、税务、海关、民航、社保等多个行业部门，其主要功能支持：文件数据交换、http访问、www服务、ftp访问、收发电子邮件、关系数据库同步以及TCP/UDP定制等。
在工业控制领域，网络物理隔离也开始得到应用和推广。通常采用“2+1”的三模块架构，内置双主机系统，隔离单元通过总线技术建立安全通道以安全地实现快速数据交换。网络物理隔离提供的应用专门针对控制网络的安全防护，因此它只提供控制网络常用通信功能如OPC、Modbus等，而不提供通用互联网功能，因此更适合于控制网络与办公网络，以及控制网络各独立子系统之间的隔离。其主要特点有几种：
* 独立的运算单元和存储单元，各自运行独立的操作系统和应用系统；
* 安全隔离区采用私有加密的数据交互技术，数据交换不依靠TCP/IP协议；
* 工业通信协议，OPC/MODBUS/60870-5-104/等；
* 与信息层上传数据时，可实现断线缓存、续传；
* 实时数据交换，延时时间小于1ms；
* 访问控制；
* 身份认证；
* 安全审计与日志管理。
4.3 工业协议深度解析
商用防火墙是根据办公网络安全要求设计的一种防火墙，它可以对办公网络中传输使用的大部分通用网络协议（如http、ftp等）进行完全包过滤，能给办公网络提供有效的保护。但是，对于工业网络上使用的工业通信协议（如Modbus、OPC等应用层协议）的网络包，商用防火墙只能做网络层和传输层的浅层包过滤，它无法对网络包中应用层数据进行深层检查，因此，商用防火墙有一定的局限性，无法满足工业网络的要求。因此，自动化行业内迫切需要一款专用于工业网络的工业防火墙，可以针对工业通信协议进行有效的过滤检查，以保证工业控制系统的运行安全。
4.4 漏洞扫描
工信部在“451”号文以后，开展了全国各地的工控系统安全调研活动，对文中所涉及到的各行业发放了调查问卷。在实际工作中，我们了解到，各地工信部、委和央企信息中心在落实工作的过程中，缺少对工控系统的了解和培训，不敢轻易对工控系统进行调查、检测等操作。因此针对工控领域的第三方的权限设备和技术，将有效解决该问题。
4.5 云管理服务平台
构建满足工业控制系统的全厂级风险识别模型，除了需要细化工业控制系统的风险因素，还需要建立基于工业控制系统的安全管理域，实施分等级的基线建设，兼顾包括终端与链路、威胁与异常、安全与可用性等综合因素的功能考虑。
安全管理私有云服务平台的建立要求包括：
* 方便地对整个系统里所有安全设备模块、控制器和工作站，进行部署、监控和管理；
* 规则辅助生成，指导用户方便快捷地从权限、授权管理报告中，创建防火墙的规则；
* 自动阻止并报告任何与系统流量不匹配的规则；
* 接收、处理和记录由安全模块所上传的报警信息；
* 全网流量收集识别能力；
* 基于白名单的终端应用控制能力；
* 实时ICS 协议与内容识别能力；
* 异常行为的仿真能力；
* 可视化配置、组态；
* 安全事件搜索、跟踪和预处理能力。
5 结束语
随着以太网技术在工业控制网络的应用，以及国家对“两化”整合的继续推进，未来的工业控制系统将会融合更多的先进的信息安全技术，如可信计算、云安全等，信息安全成为关系政治稳定、经济发展的重要因素，本文介绍了在工业控制系统安全中采用的技术手段和策略，与此同时，还需不断加强对工业控制领域的整体安全部署，完善和提供整体的安全解决方案。
参考文献
[1] DRAFT Guide to Industrial Control Systems （ICS） Security.
[2] 王聪.工业网络安全（Security）.来源：e-works， 2012-3-8.
[3] 工业以太网在实际应用中安全对策解决方案.来源： ducuimei.
[4] 施耐德Connexium工业以太网产品目录及参数.
[5] 2011年我国互联网网络安全态势综述 CNVD.
[6] 王孝良，崔保红，李思其.关于工控系统信息安全的思考与建议. 信息网络安全，2012.8.
[7] 刘威，李冬，孙波.工业控制系统安全分析.信息网络安全，2012.8.
[8] 余勇，林为民.工业控制SCADA系统的信息安全防护体系研究.信息网络安全，2012.5.
作者：刘琳单位：厦门医学高等专科学校
认识网络安全保障体系
1而目前，随着互联网和网络技术的发展，对于政府或企业的信息系统来讲，更是面临着更大的风险和挑战。这就使得更多的用户、厂商和标准化组织都在寻求一种完善的体系，来有效的保障信息系统的全面安全。于是，网络安全保障体系应运而生，其主要目的是通过信息安全管理体系、信息安全技术体系以及信息安全运维体系的综合有效的建设，让政府或企业的网络系统面临的风险能够达到一个可以控制的标准，进一步保障网络信息系统的安全稳定运行。
网络安全保障体系是针对传统网络安全管理体系的一种重大变革。它依托安全知识库和工作流程驱动将包括主机、网络设备和安全设备等在内的不同资产和存放在不同位置中的大量的安全信息进行范式化、汇总、过滤和关联分析，形成基于资产/域的统一等级的威胁与风险管理，并对威胁与风险进行响应和处理，该系统可以极大地提高网络信息安全的可控性。
2网络安全保障体系的作用。网络安全保障体系在网络信息安全管理中具有十分重要的作用，主要体现在如下三个方面：首先，网络安全保障体系可以对整个网络系统中不同的安全设备进行有效的管理，而且可以对重要的网络通信设备资产实施完善的管理和等级保护；其次，网络安全保障体系可以有效帮助网络安全管理人员准确分析现有网络信息系统所面临的安全威胁，从而可以帮助管理人员制定合理的网络安全应急响应流程；最后，网络安全保障体系可以通过过对网络风险进行量化，实现对网络风险的有效监控和管理。
网络安全保障体系的构建策略
1确定网络安全保障体系构建的具体目标。网络安全保障体系建设是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它包括信息安全组织和策略体系两大部分，通过信息安全治理来达到具体的建设目标。其中，信息安全的组织体系是指为了在某个组织内部为了完成信息安全的方针和目标而组成的特定的组织结构，主要包括决策、管理、执行和监管机构四部分组成；信息安全的策略体系是指信息安全总体方针框架、规范和信息安全管理规范、流程、制度的总和。
2确定适合的网络安全保障体系构建的方法。（1）网络安全管理基础理论。网络安全保障体系的安全管理方法就是通过建立一套基于有效的应用控制机制的安全保障体系，实现网络应用系统与安全管理系统的有效融合，确保网络信息系统的安全可靠性。（2）建立有效的网络安全保障体系。一是网络信息安全组织保障体系作为网络信息安全组织、运作、技术体系标准化、制度化后形成的一整套对信息安全的管理规定，建立的网络安全保障体系可以在完善信息安全管理与控制的流程上发挥重要作用；二是网络信息安全技术保障体系作为网络安全保障体系的重要支撑，有效利用访问控制、身份鉴别、数据完整性、数据保密性等安全机制，是实现网络安全防护的重要技术手段；三是网络信息安全运维保障体系可以通过对网络信息系统的安全运行管理，实现整个网络信息系统安全监控、运行管理、事件处理的规范化，充分保障网络信息系统的稳定可靠运行。
3建立网络安全保障体系组织架构。网络安全组织体系是网络信息安全管理工作的保障，以保证在实际工作中有相关的管理岗位对相应的控制点进行控制。因此，需要根据该组织的网络信息安全总体框架结合实际情况，确定该网络组织信息安全管理组织架构。其中，网络安全保障体系组织架构主要包括如下内容：一是网络信息安全组织架构。针对该组织内部负责开展信息安全决策、管理、执行和监控等工作的各部门进行结构化、系统化的结果；二是信息安全角色和职责，主要是针对信息安全组织中的个体在信息安全工作中扮演的各种角色进行定义、划分和明确职责；三是安全教育与培训。主要包括对安全意识与认知，安全技能培训，安全专业教育等几个方面的要求；四是合作与沟通。与上级监管部门，同级兄弟单位，本单位内部，供应商，安全业界专家等各方的沟通与合作。
4建立网络安全保障体系管理体系。（1）网络访问控制。用户访问管理规范及对应表单、网络访问控制规范与对应表单、操作系统访问控制规范及对应表单、应用及信息访问规范及对应表单、移动计算及远程访问规范及对应表单。（2）网络通信与操作管理。网络安全管理规范与对应表单、Internet服务使用安全管理规范及对应表单、恶意代码防范规范、存储及移动介质安全管理规范与对应表单。（3）网络信息系统的获取与维护。网络信息系统的获取与维护即要求明确网络信息安全项目立项管理规范及对应表单、软件安全开发管理规范及对应表单和相关的软件系统。
随着我国石油工业的不断发展进步，企业数字化管理作为为网络时代的产物，已经成为企业管理发展的方向。随着各企业内部网络规模的急剧膨胀，网络用户的快速增长，企业内部网安全问题已经成为当前各企业网络建设中不可忽视的首要问题。
一、目前企业内部网络的安全现状
1.操作系统的安全问题
目前，被广泛使用的网络操作系统主要是UNIX、WINDOWS 和Linux等，这些操作系统都存在各种各样的安全问题，许多新型计算机病毒都是利用操作系统的漏洞进行传染。如不对操作系统进行及时更新，弥补各种漏洞，计算机即使安装了防毒软件也会反复感染。
2. 病毒的破坏
计算机病毒影响计算机系统的正常运行、破坏系统软件和文件系统、破坏网络资源、使网络效率急剧下降、甚至造成计算机和网络系统的瘫痪，是影响企业内部网络安全的主要因素。
3.黑客
在《中华人民共和国公共安全行业标准》中，黑客的定义是：“对计算机系统进行非授权访问的人员”，这也是目前大多数人对黑客的理解。大多数黑客不会自己分析操作系统或应用软件的源代码、找出漏洞、编写工具，他们只是能够灵活运用手中掌握的十分丰富的现成工具。黑客入侵的常用手法有：端口监听、端口扫描、口令入侵、JAVA等。
4.口令入侵
为管理方便，一般来说，企业为每个上网的领导和工人分配一个账号，并根据其应用范围，分配相应的权限。某些人员为了访问不属于自己应该访问的内容，用不正常的手段窃取别人的口令，造成了企业管理的混乱及企业重要文件的外流。
5.非正常途径访问或内部破坏
在企业中，有人为了报复而销毁或篡改人事档案记录；有人改变程序设置，引起系统混乱；有人越权处理公务，为了个人私利窃取机密数据。这些安全隐患都严重地破坏了学校的管理秩序。
6.设备受损
设备破坏主要是指对网络硬件设备的破坏。企业内部网络涉及的设备分布在整个企业内，管理起来非常困难，任何安置在不能上锁的地方的设施，都有可能被人有意或无意地损坏，这样会造成企业内部网络全部或部分瘫痪的严重后果。
7.敏感服务器使用的受限
由于财务等敏感服务器上存有大量重要数据库和文件，因担心安全性问题，不得不与企业内部网络物理隔离，使得应用软件不能发挥真正的作用。
8.技术之外的问题
企业内部网是一个比较特殊的网络环境。随着企业内部网络规模的扩大，目前，大多数企业基本实现了科室办公上网。由于上网地点的扩大，使得网络监管更是难上加难。由于企业中部分员工对网络知识很感兴趣，而且具有相当高的专业知识水平。同时，许多领导和员工的计算机网络安全意识薄弱、安全知识缺乏。企业的规章制度还不够完善，还不能够有效的规范和约束领导和员工的上网行为。
二、企业内部网络安全策略
安全策略是指一个特定环境中，为保证提供一定级别的安全保护所必须遵守的规则。安全策略包括严格的管理、先进的技术和相关的法律。安全策略决定采用何种方式和手段来保证网络系统的安全。即首先要清楚自己需要什么，制定恰当的满足需求的策略方案，然后才考虑技术上如何实施。
1.物理安全策略 保证计算机网络系统各种设备的物理安全是整个网络安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。其目的是保护计算机系统、web 服务器、打印机等硬件实体和通信链路层网络设备免受自然灾害、人为破坏和搭线攻击等。它主要包括两个方面：①环境安全。对系统所在环境的安全保护， 确保计算机系统有一个良好的电磁兼容工作环境。②设备安全。包括设备的防盗、防毁、防电磁信息辐射泄漏、抗电磁干扰及电源保护等。
2.访问控制策略 访问控制的主要任务是保证网络资源不被非法使用和访问， 它是保证网络安全最重要的核心策略之一。主要有以下七种方式：①入网访问控制。入网访问控制为网络访问提供了第一层访问控制， 它控制哪些用户能够登录到服务器并获取网络资源；控制准许用户入网的时间和准许他们在哪台工作站入网。②网络的权限控制。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。③目录级安全控制。网络应允许控制用户对目录、文件、设备的访问。④属性安全控制。当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。⑤网络服务器安全控制。网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。⑥网络监测和锁定控制。网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。⑦网络端口和节点的安全控制。端口是虚拟的“门户”，信息通过它进入和驻留于计算机中，网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。
3.防火墙控制策略 防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障。它是位于两个网络之间执行控制策略的系统（可能是软件或硬件或者是两者并用），用来限制外部非法（未经许可）用户访问内部网络资源，通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻挡外部网络的侵入，防止偷窃或起破坏作用的恶意攻击。
4.信息加密策略 信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。信息加密过程是由各种加密算法来具体实施。多数情况下，信息加密是保证信息机密性的唯一方法。
5.备份和镜像技术 用备份和镜像技术提高完整性。备份技术指对需要保护的数据在另一个地方制作一个备份，一旦失去原件还能使用数据备份。镜像技术是指两个设备执行完全相同的工作，若其中一个出现故障，另一个仍可以继续工作。
6.网络安全管理规范 网络安全技术的解决方案必须依赖安全管理规范的支持，在网络安全中，除采用技术措施之外，加强网络的安全管理，制定有关的规章制度，对于确保网络安全、可靠地运行将起到十分有效的作用。网络的安全管理策略包括：确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入办公室管理制度； 制定网络系统的维护制度和应急措施等 。
[论文摘要]随着高职院校数字校园建设的推进和信息系统的广泛应用，网络信息安全问题也随之不断涌现，这就要求我们必须对网络危险信号的入侵有所预测。本文建立了一套高效、通用、安全的高职院校数字化校园网络安全防控体系，确保高职院校数字化校园的网络安全。
1 引言
随着高职院校数字校园建设的推进和信息系统的广泛应用，也产生了网络信息安全的问题。信息时代，信息可以企业或个人受益，一些不法分子也会盗取破坏信息来谋利。因此，当今计算机网络安全已经上升为焦点问题。
计算机网络安全包括组成网络系统的硬件、软件及在网络传输过程中信息的安全性，使其不遭受破坏。网络安全既有技术方面的问题，也有管理方面的问题。本文建立一个高效、通用、安全的高职数字化校园网络安全防控体系，进而提高工作效率，降低风险，减少不必要的损失。
2 高职数字化校园网络安全防控体系
高职数字化校园网络安全防控体系需要具有前瞻性，从而加强计算机的网络安全性的防控。
2.1物理实体安全防控策略
物理实体安全策略目的是保护网络服务器、计算机、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击等。
(1)硬件环境。服务器机房的建设要严格按照国家统一标准进行建设。并将配电室、空调间、计算机机房等连接计算机系统的重要部门进行严格管理，同时配备防火、防水、防雷、防震、防盗、防磁等设备。
(2)设备维护。建立维护日志管理系统。对计算机及网络设备定期检修、维护，并作好检修、维护日志记录。对突发安全事故处理有应急预案，对主要服务器及网络设备，需要指派专人负责，发生故障确保及时修复，力求所有设备处于最佳运行状态。
(3)安全管理制度。制定健全的安全管理体制，不断地加强计算机信息网络的安全规范化管理力度，强化使用人员和管理人员的安全防范意识，尽可能地把不安全的因素降到最低，从而使广大用户的利益得到保障。
2.2网络安全隔离防控策略
网络安全隔离防控策略具体如下：
(1)路由器。网络架构的第一层设备就是路由器，它也是黑客攻击的首要目标。所以，路由器必须设置一定的过滤规则，用以滤掉被屏蔽的1p地址及服务。
(2)防火墙。防火墙是用于限制被保护校园网内部网络与外部网络之间进行信息存取、传递操作，是防止“黑客”进入网络的防御体系。它所处的位置在内部网络与外部网络之间。它是根据连接网络的数据包来进行监控的，掌管系统的各端口，对其进行身份核实，限制外部用户进入内部网，同时过滤掉危及网络的不安全服务，拒绝非法用户的进入。如分布式防火墙。
(3)ids（入侵监测系统）。它是安装在计算机网络的关键部位，负责监测网络上所有的包，用来实时监测网络和信息系统访问的异常行为。其目的就是捕捉危险或有恶意的动作．并及时发出警告信息。与防火墙的区别之处是按用户指定的规则对端口进行实时监测、扫描，及时发现入侵者，能识别防火墙通常不能识别的攻击，如来自企业内部的攻击。
(4)网闸。它是物理隔离与信息交换系统，运用物理隔离网络安全技术设计的安全隔离系统。当企业网内部的生产系统因为信息化建设过程中对外网访问的需求而影响内部网络系统的安全性及可用性时，物理隔离与信息交换系统能够对内部网络与不可信网络进行物理隔断，可以及时阻止各种已知和未知的网络层和操作系统层攻击，提供比防火墙、入侵检测等技术更好的安全性能。
(5)访问控制。它是网络安全防控的核心策略之一，其目的是保证网络资源不被非法使用和访问。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。传统的访问控制策略包括自主访问和强制访问，为考虑网络安全和传输流，目前采用的是基于对象和任务的访问控制。
2.3网络主机安全防控策略
网络主机的安全防控策略对保护数字化校园的网络安全至关重要，具体包括如下几个方面：
（1）操作系统的安全。网络主机操作系统的安全极为重要，首先要确保是正版的操作系统，并实时更新。然后要保证以下几个内容：操作系统的裁剪，不安装或删除不必要使用的系统组件；操作系统服务裁剪，关闭所有不使用的服务和端口，并清除不使用的磁盘文件；操作系统漏洞控制，在内网中建立操作系统漏洞管理服务器。
（2）数据库的备份与恢复。数据库的备份与恢复可以确保数据安全性和完整性，备份策略包括只备份数据库、备份数据库和事务日志、增量备份。做好数据的备份是解决数据安全问题的最直接与最有效措施之一，如双机热备份、异地备份。
（3）密码技术。它是信息安全核心技术，为信息安全提供了可靠保证。基于密码的数字签名和身份认证是当前保证信息完整性的最主要方法之一。
（4）病毒防护。安装病毒防火墙、杀病毒软件，进行实时过滤。对网络服务器中的文件进行频繁扫描和监测，在工作站上采用防病毒卡，加强网络目录和文件访问权限的设置。
（5）数字签名与认证。应用系统须利用ca提供的数字证书进行应用级的身份认证，对文件和数据进行数字签名和认证，保证文件和数据的完整性以及防止源发送者抵赖。
（6）虚拟机技术及其虚拟网络环境。虚拟机是支持多操作系统并行在单个物理服务器上的一种系统，能够提供更加有效的底层硬件使用。虚拟机能在同一台电脑使用好几个os，不但方便，而且可安全隔离。
3 结论
总之，高职院校数字化校园的发展及应用，方便了信息的共享、交流与获取的同时，网络安全的重要性也越显突出。本文构建了一套网络安全防控体系，全方位，多角度地实时防控，确保数字化校园的网络安全。安全管理制度是安全的基石，技术是安全的保障，执行是安全的防线，从而提高网络安全性，并不断增强全意识，完善安全技术，补充安全策略，加强安全教育和安全管理，从而提高防范风险的能力。
参考文献：
[1]熊晨潞.计算机网络安全与防范措施的认识[j].华章,2008(18).
[2]吴建军. 2010年计算机网络安全前瞻[j].科技传媒,2010(9).
[3]苏姗娜.浅谈计算机网络安全[j].电工理工,2008(1).
关键词：网络时代电算化会计内部控制
一、网络时代电算化会计对企业内部控制制度的挑战
1.企业会计核算范围扩大。网络时代，会计核算环境发生了很大的变化。第一，会计部门的组成人员结构发生了变化，由原来的财务、会计人员转变为由财务、会计人员和计算机操作员、网络系统维护员、网络系统管理员等组成。第二，会计业务处理范围变大，除完成基本的会计业务，网络会计同时还集成许多管理以及财务功能的相关功能。第三，网络会计提供在线办公等服务，从而使会计信息的网上实时处理成为可能。因此，企业内部控制制度的范围和控制方法更加广泛和复杂。
2.会计信息储存方式和媒介发生变化。从数据和交易层次看，网络会计采用高度电子化的交易方式，对数据的正确性、交易及其轨迹均带来新的变化。网络环境下会计内部控制的重点由对人的控制转变为对人、计算机和互联网的控制。
3.企业面临的安全风险加大。网络会计的应用使原来封闭的局域网会计系统面临开放的互联网世界，给财务系统的安全提出了严峻的挑战，企业面临的安全风险日益增多。
4.法律法规建设滞后。网络会计、电子商务的迅猛发展远远超出了现有法律体系的规范，电子交易可能引发的法律争端，如证据、合同的履行以及可靠性问题等，成为企业内部控制不得不关注的又一问题。
二、对网络环境企业内部控制应采取的措施。
1.基于企业内部网的控制措施。（1）会计信息资源控制。会计信息来源于网络服务器的数据库系统中，因而网络数据库系统是整个网络会计系统控制的重点目标。对数据库系统的安全威胁主要有两个方面：一是网络系统内外人员对数据库的非授权访问；二是系统故障、误操作或人为破坏数据库造成的物理损坏。针对上述威胁，会计信息资源控制应采取以下措施：①采用三层式客户机/服务器模式组建企业内部网，即利用中间服务器隔离客户与数据库服务器的联系，实现数据的一致性；②采用较为成熟的大型网络数据库产品并合理定义应用子模式，子模式是全部数据资料中面向某一特定用户或应用项目的一个数据处理集，通过它可以分别定义面向用户操作的用户界面，做到特定数据面向特定用户开放；③建立会计信息资源授权表制度；④采取有效的网络数据备份、恢复及灾难补救计划。
（2）系统开发控制。系统开发控制是一种预防性控制，目的是确保网络会计系统开发过程及内容符合内部控制的要求。①在网络会计系统开发之初，要进行详细的可行性研究；②在系统开发过程中，内审和风险管理人员要参与系统控制功能的研究与设计，制定有效的内部控制方案，并将制定的控制方案在系统中实现；③在系统测试运行阶段，要加强管理与监督，严格按照《商品化会计核算软件评审规则》等各种标准进行。
（3）系统应用控制。应用控制是指具体的应用系统中用来预防、检测和更正错误，以及防止不法行为的内部控制措施。①在输入控制中，要求输入的数据应经过必要的授权，并经有关内部控制部门检查，还要采用各种技术手段对输入数据的准确性进行校验；②在处理控制中，要对数据进行有效性控制和文件控制，有效性控制包括对数字的核对、字段和记录长度检查、代码和数值有效范围的检查、记录总数的检查等，文件控制包括检查文件长度、标识和是否染毒等；③在输出控制中，一要验证输出结果是否正确和是否处于最新状态，以便用户随时得到最新和最准确的会计信息，二要确保输出结果能够送发到合法的输出对象，文件传输安全正确。
（4）系统维护控制。系统维护包括软件修改、代码结构修改和计算机硬件与通讯设备的维修等，涉及到系统功能的调整、扩充和完善。对网络会计系统进行维护，必须经过周密计划和严格记录，维护过程的每一环节都必须设置必要的控制，维护的原因和性质要有书面形式的报告，经批准后才能实施修改。
（5）管理控制。管理控制是指企业对网络会计系统涉及的各个部门和人员所建立的内部控制制度。①设置适应于网络下作业的组织机构并设置相应的工作站点；②合理建立上机管理制度，包括轮流值班制度、上机记录制度、完善的操作手册、上机时间安排及保存完备的操作日志文件等；③建立完备的设备管理制度。
（6）内部审计。内部审计应包括：①对会计资料定期进行审计，会计电算化系统账务处理是否正确，是否遵照《会计法》及有关法律、法规的规定；②监督数据保存方式的安全、合法性，防止发生非法修改历史数据的现象；③对系统运行各环节进行审查，防止存在漏洞。
2.基于企业外部网的控制措施。（1）周界控制。周界控制是通过对安全区域的周界实施控制来达到保护区域内部系统安全的目的，它是预防一切实行外来攻击措施的基础，主要内容包括：①设置外部访问区域，明确企业内部网络的边界，防止“黑客”通过电话网络进入系统；②建立防火墙，在内部网和外部网之间的界面上构造保护屏障，防止非法入侵、非法使用系统资源，执行安全管理措施，记录所有可疑事件。
（2）大众访问控制。大众访问包括文件传递、电子邮件、网上会计信息查询等。由于互联网络系统是一个全方位开放的系统，对社会大众的网上行为实际上是不可控的。因此，企业应在网络会计系统外部访问区域内采取相应防护措施。①在网络会计系统中设置多重口令，对用户的登录名和口令的合法性进行检查；②合理设置网络资源的属主、属性和访问权限；③对网络进行实时监视，找出并解决网络上的安全问题，如定位网络故障点、捉住非法入侵者、控制网络访问范围等；④审计与跟踪，包括对网络资源的使用、网络故障、系统记账等方面的记录和分析。
（3）电子商务控制。网络会计是电子商务的基石，是电子商务的重要组成部分，对电子商务活动也必须进行管理与控制。主要措施有：①建立与关联方的电子商务联系模式；②建立网上交易活动的授权、确认制度，以及相应的电子会计文件的接收、签发验证制度；③建立交易日志的记录与审计制度。
（4）远程处理控制。网络会计系统的应用为跨国企业、集团企业实现远程报表、远程报账、远程查账、远程审计以及财务远程监控等创造了条件。这些功能的启用也必须采取相应的控制措施。
（5）数据通讯控制。①保证良好的物理安全，在埋设地下电缆的位置设立标牌加以防范，尽量采用结构化布线来安装网络；②采用虚拟专用网（VPN）线路传输数据，开辟安全数据通道；③对传输的数据进行加密与数字签名。确保传输数据的保密性和完整性。
（6）防病毒控制。①对不需要本地硬盘和软盘的工作站，尽量采用无盘工作站；②采用基于服务器的网络杀毒软件进行实时监控、追踪病毒；③在网络服务上采用防病毒卡或芯片硬件，能有效防治病毒；④财务软件可挂接或捆绑第三方反病毒软件，加强软件自身的防病毒能力；⑤对外来软件和传输的数据必须经过病毒检查，在业务系统严禁使用游戏软件；⑥及时升级本系统的防病毒产品。
参考文献：
“十三五”规划纲要和今年政府工作报告再次对制造强国进行部署，制造业作为立国之本、兴国之器、强国之基的地位愈发受到重视。在产业大规模升级和两化深度融合的情况下，我国工业控制系统的网络信息安全问题也愈发突出，亟待补齐短板。
工业控制系统是制造业基础设施运行的“大脑”，广泛应用于电力、航空航天、铁路、汽车、交通、石化等领域。2010年“震网”病毒攻击伊朗核设施，2011年“火焰”病毒入侵中东国家，2015年底“黑暗能源”病毒攻击乌克兰电网……一系列突发事件表明，工业控制系统的网络安全面临严峻的挑战。无论以美国为代表的“工业互联网”，还是以德国为代表的“工业4.0”，都将工业控制系统的网络安全视为重中之重。
中国政府对工业系统的网络安全同样极为重视。2011年开始，国务院先后出台的《工业转型升级规划（2011-2015）》、《关于大力推进信息化发展和切实保障信息安全的若干意见》、《中国制造2025》等一系列文件，都强调了两化融合中网络安全保障的重要性。
然而，与工业系统的快速数字化、信息化和智能化相比，中国工业控制系统的网络安全保障进展缓慢，防护薄弱，问题仍较为突出。
乌克兰电网被攻击后，国内相关网络安全公司的监测报告显示，在国内交通、能源、水利等多个领域的各类工业控制设备中，完全暴露在外、可以被轻易攻击的多达935个。有些城市和地区的工业控制系统面临较大的安全风险。
造成这一隐患的原因众多，关键是一些企事业单位在借助信息化提高生产效率的同时，没有考虑工业控制系统的网络安全防护。而即使认识到工业控制系统安全的重要性，在系统改造实施过程中，由于没有专业知识、人员和部门支撑，所采取的安全措施也往往浮于表面，未得实效。
从实际情况看，中国的工业控制系统虽然还没有发生影响巨大、后果严重的网络安全事件，但不少领域的企业都已经或多或少遭遇了因计算机病毒引发的安全事故。如果上升到国家安全层面，一旦这些控制系统的安全漏洞被利用，将有可能导致核电站过载、电网停电、地铁失控等灾难性后果，这绝非危言耸听。
面对日益严峻的网络安全形势，加强工业控制系统的网络安全保障迫在眉睫。既要有国家自上而下的体系化顶层设计，也要有产业和企业自下而上的探索与实践。
从国家层面来看，在保障体系的机制建设上，需要一个高规格的协调机构，以应对关键基础设施和重要系统可能遭受的高强度攻击，同时组建以工业企业、信息网络、公共安全为主的应急联动机制，制定应急响应处理办法。
与此同时，做好重点行业的工业控制系统威胁情报研究，各方联动，形成合力，提供有价值的威胁情报信息，建立更有实用性的威胁情报库，为政府机构、安全厂商、企事业单位提供更好的支持。
在技术上，要做好整个安全保障体系的“供应链”安全，特别是在一些关键基础设施和重要信息系统新建项目上，必须强化项目规划和设计阶段的网络安全风险评估，引入第三方安全机构或服务商对技术实施方案和产品供应链进行审查。同时加大投资力度，大力发展具有自主知识产权的安全防护技术和产品。
关键词：SCADA 系统 安全性 网络隔离 MIS系统
SCADA(Supervisor Control And Data Acquisition)系统是一个相对孤立的物理隔离的系统，有着强有力的访问控制，是相对安全的。然而，随着网络技术、通信技术和计算机技术的发展，SCADA系统逐渐发展成开放式透明运作的标准系统，由此造成该系统的安全性降低。随着SCADA系统联人MIS系统和因特网以及一些安全事故的发生， 如何保障SCADA系统网络的安全性越发引起人们的重视。
一、SCADA系统结构简介
SCADA 系统一般由三大部分组成:安装在各基层生产单位的远程终端单元RTU (Remote TerminalUnit)、远程数据通信网络及控制中心站。RTU的主要作用是进行数据采集及本地控制。进行本地控制时作为系统的一个独立的工作站，进行数据采集时作为一个远程数据通信单元。系统的通信网络主要用于RTU与控制中心站通信及其他RTU通信。控制中心站是一个局域网，包括操作站、数据存储与处理站、自动化工程工作站等多个工作站和支持网络功能的设备，以完成不同的工作。
二、 SCADA系统网络安全性分析
SCADA 系统控制中心站通过中心站软件管理系统数据库，每个工作站通过组态画面监测现场站点，下发控制命令进行控制，并完成工况图、统计曲线、报表等功能。SCADA系统大都是基于Windows,U nix,Li nux等操作系统的组态软件，这些操作系统并非是完美无暇的，一些怀有恶意的用户可以利用已知的操作系统漏洞人侵web服务器，然后从网络中获取没有防护措施的SCADA系统的访问权，甚至篡改数据。现有的SCADA系统与MIS系统和因特网之间的联网大都采用路由器或防火墙进行安全隔离，在很大程度上起到防范作用，但是防火墙要保证服务，就必须开放相应的端口，这就给无授权的非法访问留下空子。网络黑客会利用开放服务的数据隐蔽隧道进行攻击以及攻击开放服务的软件缺陷，都会使防火墙无所作为。
三、网络隔离技术的原理及特点
网络隔离，英文名为Network Isolation，主要是指把两个或两个以上可路由的网络（如：TCP/IP）通过不可路由的协议（如：IPX/SPX、NetBEUI等）进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也叫协议隔离（Protocol Isolation）。
应用网络隔离技术产生的网络隔离器自身具有高度的安全性，在理论和实践上要比防火墙高一个安全级别。从技术实现上，除了和防火墙一样对操作系统进行加固优化或采用安全操作系统外，关键在于要把外网接口和内网接口从一套操作系统中分离出来。也就是说至少要由两套主机系统组成，一套控制外网接口，另一套控制内网接口，然后在两套主机系统之间通过不可路由的协议进行数据交换，如此，既便黑客攻破了外网系统，仍然无法控制内网系统，就达到了更高的安全级别。
见结构图:
网络隔离技术实现的是网间隔离,即监控SCADA网络和MIS网络(因特网)的网络包不可路由到对方网络。网络隔离在隔离网络包的同时要完成网间应用数据的交换,对网络包进行协议分析，完成应用层数据的提取, 然后进行数据交换,彻底防范基于网络协议的攻击，即不能够让网络层的攻击包到达要保护的网络中这样就把诸TearDrop、Land、Smurf和SYN Flood等网络攻击包，彻底地阻挡在了监控SCADA网络之外，从而明显地增强了监控SCADA网络的安全性。
网络隔离技术采用基于会话的认证技术和内容分析与控制引擎对网间的访问进行严格的控制和检查，确保每次数据交换都是可信的和可控制的，严格防止非法通道的出现，确保信息数据的安全和访问的可审计性。
4.应用实例
犍为电网监控SCADA系统最初是采用硬件防火墙与MIS系统联网,共享SCADA系统的信息数据,在联网后通过网络监测工具监测到有大量MIS系统的网络包渗透到SCADA系统网络中,严重影响了SCADA系统中正常的网络通讯,并且时常有来自MIS系统的网络病毒感染SCADA系统中的计算机系统,造成SCADA系统不能稳定运行,严重危及到整个电网的安全生产运行。为保障SCADA系统的稳定安全运行,采用了网络隔离装置取代硬件防火墙,实现了SCADA系统与MIS系统的网络隔离,彻底地阻挡了MIS系统中的非法网络包渗透和网络病毒的攻击.
* 结束语
网络隔离技术通过专用通信设备、专有安全协议和加密验证机制及应用层数据提取和鉴别认证技术，实现不同安全级别网络之间的数据交换，彻底阻断了网络间的直接TCP/IP连接，同时对网间通信的双方、内容、过程施以严格的身份认证、内容过滤、安全审计等多种安全防护机制，从而保证了网间数据交换的安全、可控，杜绝了由于操作系统和网络协议自身漏洞带来的安全风险。SCADA系统是工业自动化控制的核心,采用网络隔离技术来保障SCADA系统网络的稳定安全,可以实现信息共享的同时提高SCADA系统的效能,促进工业自动化生产提高经济效益。
参考文献:
[1] William FRush,et al.Here's What You Need To Know To Protect SCADA Systems From Cyber-Attack Pipeline&Gas Journal,200 3( 2): 29-30.
[2l张峻，等.武汉电力SCADA系统安全互连策略[Jl.湖北电力，2004(2) :44 -4 6.
