信息数采网与控制网之间安全防护示意图
中央管理平台和安全管理平台
中央管理平台CMP通过一台工作站来配置和管理控制网络安全。 CMP的专用软件能够通过一个工作站进行配置、管理和监测网络上 的所有安全设备。这样既可快速创建整个控制网络模型。可视的拖 放式编辑工具可以轻松地创建、编辑和测试安全设备。取得此安全 系统的授权后，CMP可以立刻看到整个系统的运行状态，并用一系 列措施应对网络遇到的威胁。 在办公局域网内安装安全管理平台SMP，可以集成所有来自 CMP平台的所有事件报警信息，并可划分等级进行报警，通过采用 手机短信及电子邮件等方式进行实时通知相关主管人员。该平台能 够准确捕获现场所有安装防火墙的通讯信道中的攻击，并且详细显 示攻击源、通讯协议和攻击目标，以总揽大局的方式为工厂网络故 障的及时排查与分析提供可靠依据。
b．基于工控软件与杀毒软件的兼容性问题，在操
作站上通常不安装杀毒软件。即使安装有杀毒软件， 其基于病毒库查杀的机制在工控领域使用也有局限 性，对病毒库的升级维护难于统一，更重要的是对 新病毒的处理总是存在滞后，这导致每年都会大规 模地爆发病毒，特别是新病毒。
c．OPC是基于Microsoft的分布式组件对象模式
实架 时构 数体 据系 库。
分厂级数据采集系统结构图
分厂级实时数据库对底层控制系统及仪表的数据采集都 通过OPC接口来实现（如图），通过Infoplus.21实时数据库 的Cim-IO For InofPlus.21接口实现与公司级Infoplus.21 实时数据库间的数据传输，从以上二级分厂的实时数据库中 将所需数据读取到公司实时数据库中。
DCS控制网安全防护解决方案
控制网络安全防护示意图 对工程师站和APC站与控制网络隔离。工程师站和 APC站较多接触移动介质，感染病毒机率较大，增加 防火墙后与控制网络进行隔离，即使感染病毒不至 于扩散。
工厂信息数采网与控制网之间的安全防 护解决方案
采用工业 防火墙解决方 案，在两层网 络之间增加OPC 通信协议防火 墙。整个解决 方案由TSA防火 墙硬件+ OPC Enforcer +CMP 用了远程过程调用（RPC） 网络协议来实现工业网络中的以太网连接。来自该 领域的安全研究人员（包括黑客组织）却发现该标 准中存在一些严重问题。如OPC 使用的Windows的 DCOM和RPC服务极易受到攻击。在过去的5年内，来 自网络的病毒和蠕虫对这些接口的攻击越来越强， 这个方式几乎成为了病毒和蠕虫开发者目前的最爱。
DCS控制网为第1层，该网络为实时控制网，负责 控制器、操作站及工程师站之间过程控制数据实时通 讯。
分厂信息数采网为第2层，其核心设备由各个分厂数 据采集实时数据库（Aspen IP21）服务器和各个装置 DCS数据采集缓存机（Buffer）以及OPC Server构成。 MES/OA信息网为第3层，各个分厂的实时数据库通 过Aspen CM-IO与齐鲁公司的总实时数据库相连，实现 基于生产过程数据的MES应用。
采用以太网和TCP/IP协议作为最主要的 通讯协议和手段，向网络化、标准化、开放 化发展是各种工业通讯和自动化控制系统技 术的主要潮流。 这也必将导致其面临传统局域网、广域 网面临的安全问题。但只要遵循以区域及管 道保护网络为核心的通讯原则，并采用集中 安全管理监控的管理方式，对企业内控制系 统进行深入分析，实施全面、有针对性的防 护策略，就能提供必要的安全保障，确保企 业生产控制系统长期稳定的安全运行。
该公司控制网安全防护解决方案
企业网络要保证安全可靠，最好的方法是建 立一个私有信道，并创造一个相对独立的网 络。 1，通讯可控 2，区域隔离 3，实时报警
目前，该公司使用Tofino技术实施整体网络安全解 决方案，现以烯烃厂为例进行说明。
分别在过程控制网内部、 数采网和过程控制网之间、 APC控制站与过程控制网 之间、DCS与数采网之间 安装防火墙，并安装相应 的LSM软插件，然后在数 采网安装中央管理平台 （Central Management Platform，CMP）对TSA进 行管理和组态，最后在办 公局域网内安装安全管理 平台，对整个网络进行实 时在线监控。 烯烃厂工业网络安全结构拓扑
该公司是实施DCS控制系统和实时数据库 最早的企业之一，共有各类DCS、PLC系统等 近九十多套，但是仅有少数安装了防病毒软 件和硬件防火墙。为给MES系统提供最基础数 据源，建立了上、下一体的两级InfoPlus.21 实时数据库平台体系。系统的拓扑和整体架 构和拓扑如图所示。
系 统 拓 扑 结 构 图
现有架构体系下的安全隐患风险
从前文所述的整个架构体系中可以看出，该公 司的管理网与控制网是紧密融合在一起的，九十多 套DCS和PLC系统所构成的实时数据采集架构体系几 乎覆盖了公司的整个管理网络，安全形势不容乐观， 存在下述安全风险隐患：
a．目前许多控制系统的工程师站/操作站(HMI)都
是Windows平台，为保证过程控制系统相对的独立性， 通常在系统开车后不会对Windows平台打任何补丁， 更为重要的是打过补丁的操作系统没有经过制造商 测试，存在安全运行风险。但是与之相矛盾的是， 系统不打补丁就会存在被攻击的漏洞，即使是普通 常见病毒也会遭受感染，可能造成本机乃至控制网 络的瘫痪。
谢谢观看！
本ppt资料来自网络
企业工业控制网络安全
以某公司控制网络构架及 面临风险为例
该公司公司是一家特大型炼化企业，其企 业网支撑着ERP、MES、OA等多种应用，基本 涵盖了整个企业管理和生产控制单元。 根据企业网络建设现状，结合业内工 业安全的先进安全技术，制定和实施管理网 和控制网整体安全解决方案有两部分。
1 ,现有控制网和管理网架构体系
d．在实现数据采集的过程中，数据采集服务器虽
然采用了双网卡技术，管理信息网与控制网通过该 服务器进行了隔离，部分恶意程序不能直接攻击到 控制网络，但对于能够利用 Windows 系统漏洞的网 络蠕虫及病毒等，这种配置没有作用，病毒会在信 息网和控制网之间互相传播。安装杀毒软件可以对 部分病毒或攻击有所抑制，但病毒库存在滞后，所 以不能从根本上进行防护。