隨著智能信息時代的來臨，工業(yè)控制系統(tǒng)正面臨著來自各個方面的安全威脅。有來自工業(yè)控制系統(tǒng)內(nèi)部的，也有來自企業(yè)信息網(wǎng)絡(luò)和互聯(lián)網(wǎng)的威脅。包括人為的蓄意破壞和攻擊、盜取程序及關(guān)鍵數(shù)據(jù)、不可抗拒的自然災(zāi)害和工作人員安全防范不專業(yè)導(dǎo)致的意外操作等。

除此之外，安全威脅還存在于未授權(quán)訪問和未授權(quán)的操作中，一些設(shè)備由于無授權(quán)訪問機制進而導(dǎo)致設(shè)備被非法訪問。因此，安全風(fēng)險的存在會增加工業(yè)控制系統(tǒng)正常運行中斷、產(chǎn)生安全事故以及知識產(chǎn)權(quán)受到侵犯等問題。

面對工業(yè)控制系統(tǒng)中存在的各式威脅，我們需要使用更加智能高效的方法來應(yīng)對。羅克韋爾自動化深入工業(yè)控制安全領(lǐng)域不斷探索應(yīng)對安全威脅的更優(yōu)實踐方式。在安全實踐中，為保護工業(yè)控制系統(tǒng)免受內(nèi)部和外部威脅的侵害，必須實現(xiàn)縱深防御的安全策略。范圍包括物理安全、網(wǎng)絡(luò)安全、計算機加固、應(yīng)用程序安全和設(shè)備加固等方面。

這個想法的基本思想是，如果攻擊者剝奪了一層防御，總會有另外一層阻止他們的努力，所以，基于該實踐的工業(yè)控制系統(tǒng)應(yīng)該更加安全，并且可以避免或減輕威脅。除了這些技術(shù)上的措施外，為保護工業(yè)控制系統(tǒng)的安全，最重要的還是工業(yè)企業(yè)管理層應(yīng)該具有安全意識，制定企業(yè)的安全策略和程序，并組織對員工進行安全意識和工業(yè)控制系統(tǒng)安全知識的培訓(xùn)。

抵御安全威脅的“保護網(wǎng)”

一直以來信息安全通訊協(xié)議在it領(lǐng)域已經(jīng)被廣泛使用，隨著工業(yè)自動化控制系統(tǒng)和企業(yè)信息技術(shù)網(wǎng)絡(luò)的不斷融合，在工業(yè)自動化現(xiàn)場也必須使用安全的通訊協(xié)議來抵御存在的安全威脅，所以羅克韋爾自動化和 odva 在2015年推出了 cip security™ 工業(yè)網(wǎng)絡(luò)安全通訊協(xié)議。

cip security™ 是眾所周知的標準傳輸層安全協(xié)議, 同時也是通過 tls 安全傳輸層協(xié)議和 dtls 數(shù)據(jù)報安全傳輸層協(xié)議來封裝 cip 通訊的 cip 擴展協(xié)議，并且，ethernet/ip 的安全傳輸也可通過 cip security™ 來幫助實現(xiàn) 。標準的 cip 協(xié)議使用了 tcp 和 udp 來包裹封裝，但安全的 cip 通訊則是使用 tls 和 dtls 來進行包裹封裝，例如：我們所熟知和常用的 https 也是使用tls進行包裹封裝的。

同時，cip security™ 還具有高適用性，不但常規(guī)的 cip 協(xié)議可以使用，cip security™ 和cip motion等都可以使用，也就是說傳輸 cip safety 和 cip motion 的數(shù)據(jù)包時也可以通過 tls 和 dtls 進行包裹封裝。并且，該協(xié)議是基于 it 領(lǐng)域已經(jīng)成熟且廣泛使用的開放式安全標準，設(shè)備身份標識是采用 x.509 v3 數(shù)字證書，可用于為設(shè)備提供加密的安全標識，即加密的身份信息，通過 tls 傳輸來進行設(shè)備的身份驗證，此外，tls 和 dtls 也用于之后設(shè)備數(shù)據(jù)的完整性檢查和加密傳輸。數(shù)據(jù)的完整性采用密鑰散列消息認證碼，即hmac。

使用 cip security™ 可幫助實現(xiàn) ethernet/ip 安全傳輸，使連接到 ethernet/ip 的設(shè)備能夠保護自身，cip security™ 可以防止三個方面的安全威脅。

一是拒絕非受信人員或非受信設(shè)備發(fā)送的消息，即識別設(shè)備身份的真實性

二是拒絕中間人篡改的數(shù)據(jù)，即確保數(shù)據(jù)的完整性

三是防止數(shù)據(jù)在通訊的過程中被非法查看，即保證數(shù)據(jù)的機密性

cip security™ 是對設(shè)備的安全加固，是屬于縱深防御的一部分，實施多層安全方案更能抵御攻擊。

cip security™ 的多區(qū)域部署

目前羅克韋爾自動化已經(jīng)有多種產(chǎn)品支持cip security，軟件產(chǎn)品有 factorytalk policy manager、factorytalk linx 等；硬件有 controllogix 5580 系列控制器、1756-en4tr ethernet/ip 通訊網(wǎng)卡、compactlogix™ 5380、compact guardlogix® 5380、cip security代理、powerflex 755t 變頻器、armor powerflex 以及 kinetix 5700/kinetix5300 伺服驅(qū)動器等，近期還將陸續(xù)推出更多支持 cip security 的產(chǎn)品。

羅克韋爾自動化

1756-en4tr ethernet/ip

通訊網(wǎng)卡

1756-en4tr 以太網(wǎng)通訊模塊提供了更高的吞吐量，雙1gig 網(wǎng)口，支持 dlr 環(huán)網(wǎng)，能夠連接256根伺服軸，可以作為冗余遠程 io 適配器使用，同時支持 cip security，提供了設(shè)備間的認證、數(shù)據(jù)完整性及數(shù)據(jù)加密等安全功能，滿足了客戶日益增長的性能及安全需求。

羅克韋爾自動化

cip安全代理

1783-csp

1783-csp 是 cip security 代理，有了 cip security 代理，每個 ethernet/ip 適配器就都能夠無條件支持 cip security 的版本，無需另外開發(fā)。特別是對一些老的 i/o 適配器和設(shè)備，要實現(xiàn)工業(yè)通訊的安全傳輸，支持 cip security 的設(shè)備可以直接接到控制系統(tǒng)網(wǎng)絡(luò)上，把不支持 cip security 的產(chǎn)品接到控制系統(tǒng)之前先接到 1783-csp，然后再把 1783-csp 接到控制系統(tǒng)上，這樣 1783-csp 和 plc 間的通訊也就是安全的工業(yè)通訊。

小羅有話說

安全威脅無處不在，為工業(yè)安全系統(tǒng)安全多加一層“防護”，羅克韋爾自動化多種產(chǎn)品、多項選擇適用于 cip security 多層安全方案，共同抵御安全威脅攻擊，為工業(yè)安全保駕護航。