工業(yè)控制系統(tǒng)的范疇一般包括：分散控制系統(tǒng) ( DIcS ) 、現(xiàn)場總線控制系統(tǒng) ( FCS ) 、安全儀表系統(tǒng) ( SIS ) 、數(shù)據(jù)采集和監(jiān)控系統(tǒng) ( SCADA ) 、可編程邏輯控制器 ( PLC ) 、工業(yè)控制計算機系統(tǒng) ( IPC ) ( 含嵌入式計算機系統(tǒng) ) 、機組控制系統(tǒng) ( CCS ) 等。2000 年以前的 DCS 等控制系統(tǒng)一般都有自己獨立的操作系統(tǒng)，其開放性及通用性較弱。但當今時代的控制系統(tǒng)一般使用通用的開放的 Windows 操作系統(tǒng)，使用 OPC 采集數(shù)據(jù)，網(wǎng)絡采用冗余工業(yè)以太網(wǎng)模式，尤其是服務器結構的 DCS，一旦服務器出現(xiàn)異常，受侵害的不僅僅是一個操作站，而是整個系統(tǒng)的癱瘓。
越來越多的工控安全事件表明，來自工廠信息網(wǎng)絡、移動存儲介質(zhì)、互聯(lián)網(wǎng)以及其他因素導致的網(wǎng)絡安全問題正逐漸在控制系統(tǒng)中擴散。二、工業(yè)控制系統(tǒng)安全管理外來安全1. 邊界防護邊界防護是指過程控制層、操作監(jiān)控層應通過 OPC 服務器、網(wǎng)絡隔離設備向數(shù)據(jù)服務層傳輸數(shù)據(jù)。OPC 服務器與數(shù)據(jù)服務層相連的網(wǎng)卡應獨立設置。不同應用的 OPC 服務器應獨立設置，禁止 OPC 服務器與工程師站共用。網(wǎng)絡隔離設備應獨立配置，禁止采用帶有防火墻功能的網(wǎng)絡交換機替代，禁止采用軟件隔離代替硬件隔離。網(wǎng)絡隔離設備應具備工業(yè)協(xié)議內(nèi)容識別和網(wǎng)絡訪問控制能力，并啟用網(wǎng)絡訪問策略保障雙向通信安全。網(wǎng)絡訪問為雙向訪問時，宜使用工業(yè)防火墻；網(wǎng)絡訪問為單向訪問時，可使用網(wǎng)閘或者數(shù)據(jù)采集隔離網(wǎng)關。
2. 主機防護
主機防護是指在 DCS 服務器和操作站上部署 DCS 探針軟件，用于采集監(jiān)視 DCS 操作站核心控制及應用系統(tǒng)運行狀態(tài)、安全隱患、異常及威脅等。采集方式為定期采集，采集數(shù)據(jù)采用加密的 HTTPS 通信通道保證數(shù)據(jù)安全不被篡改。DCS 探針采集的數(shù)據(jù)包括系統(tǒng)故障、系統(tǒng)漏洞及補丁、系統(tǒng)配置、系統(tǒng)資源占用、用戶操作行為、網(wǎng)絡連接、網(wǎng)絡服務、DCS 核心業(yè)務進程、服務啟停、防護能力狀態(tài)、防護系統(tǒng)、外部存儲接入等。同時部署硬件主機探針用于匯聚抑制 DCS 探針采集數(shù)據(jù)并轉(zhuǎn)發(fā)給監(jiān)控中心服務器，用于分析 DCS 網(wǎng)絡服務啟停狀態(tài)、異常重啟、在線狀態(tài)、健康狀態(tài)和防護系統(tǒng)啟停狀態(tài)等。
3. 網(wǎng)絡防護1 ) 部署防病毒軟件 為了防止來自使用 U 盤、光盤等移動存儲介質(zhì)導致的病毒傳播，可以在控制網(wǎng)的 DCS 操作站和服務器上安裝經(jīng)過 DCS 廠家認證的網(wǎng)絡版殺毒軟件。防病毒軟件優(yōu)先選用主動式病毒防護軟件，以防止防病毒軟件攻擊正常操作軟件導致事故發(fā)生，同時采用具有進程和服務配置功能的應用程序白名單和黑名單策略，并在網(wǎng)絡上連接 1 臺病毒庫升級服務器，為每個操作站安裝經(jīng)過 DCS 廠家認證的最新的 Windows 補丁。建議工業(yè)控制系統(tǒng)在工廠安裝、組態(tài)開發(fā)、測試期間應同步安裝防病毒軟件。發(fā)現(xiàn)該系統(tǒng)疑似被病毒感染時，應按照應急預案及時采取緊急防護措施，防止事件擴大。2 ) 安裝網(wǎng)絡探針 一般是在 DCS 控制網(wǎng)交換機上配置全流量鏡像網(wǎng)絡探針。網(wǎng)絡探針具備對鏡像流量，資產(chǎn)發(fā)現(xiàn)、異?；ヂ?lián)分析、分布式拒絕服務攻擊 ( DDOS ) 攻擊監(jiān)測、互聯(lián)監(jiān)控、異常及危險指令監(jiān)測和異常流量監(jiān)測等功能。自身安全1. 預知維護工業(yè)控制系統(tǒng)預知維護，就是通過維護數(shù)據(jù)，結合該系統(tǒng)故障的歷史、現(xiàn)狀和運行環(huán)境等進行綜合判斷分析，預測工業(yè)控制系統(tǒng)隱患的發(fā)展趨勢，搶在系統(tǒng)出現(xiàn)故障前提出防范措施和治理對策，將故障消滅在萌芽狀態(tài)。如某石化公司要求各控制系統(tǒng)的維護人員每月至少做一次預知維護，根據(jù)對操作站的故障分析，預知維護首先從每月主動重啟 1 次操作站，定期清理操作站軟件垃圾和病毒開始，督促企業(yè)變被動維護為預知維護、主動維護，降低工業(yè)控制系統(tǒng)的故障次數(shù)。2. 資產(chǎn)管控資產(chǎn)管控是指采集和整合 DCS 等控制系統(tǒng)運維所需的多種動態(tài)、靜態(tài)信息，建立工業(yè)控制系統(tǒng)資產(chǎn)管控實時平臺，實現(xiàn)基礎資料信息化，提高維護效率，方便運維人員維護。資產(chǎn)管控的信息包括：DCS 配置邏輯結構圖、機柜布置圖、DCS 復雜控制回路組態(tài)信息、DCS 卡件類型、數(shù)量、安裝時間、維修記錄、IO 通道空余數(shù)量等信息統(tǒng)計及資源管理。
三、工業(yè)控制系統(tǒng)安全監(jiān)控平臺智能制造業(yè)工業(yè)控制系統(tǒng)安全監(jiān)控平臺主要包括：DCS 探針軟件、主機探針 ( 硬件 ) 、網(wǎng)絡探針 ( 硬件 ) 、生產(chǎn)網(wǎng)與辦公網(wǎng)間工業(yè)防火墻 ( 硬件 ) 、辦公網(wǎng)監(jiān)控中心服務器等，在保證不影響現(xiàn)有 DCS 正常監(jiān)控業(yè)務、不改變現(xiàn)有 DCS 網(wǎng)絡拓撲結構和保證 DCS 自身安全的同時，監(jiān)控整個 DCS 的安全隱患、異常和威脅狀態(tài)等，實現(xiàn)工業(yè)控制系統(tǒng)的安全可視化監(jiān)控。充分利用網(wǎng)絡態(tài)勢感知先進、成熟、高效的解決方案，結合企業(yè)工業(yè)控制網(wǎng)絡的運營環(huán)境、業(yè)務與威脅的特殊性，實現(xiàn)網(wǎng)絡防護與安全運維的有機結合，重點提升工業(yè)控制生產(chǎn)安全監(jiān)測、網(wǎng)絡安全態(tài)勢感知、安全防護和應急處置能力，為全面落實《網(wǎng)絡安全法》對工業(yè)控制網(wǎng)絡安全的防護要求打下堅實基礎。充分利用大數(shù)據(jù)分析、物聯(lián)網(wǎng)、可視化交互等技術手段，對工業(yè)控制網(wǎng)絡內(nèi)重要資產(chǎn)的生產(chǎn)環(huán)境、運行狀態(tài)、安全風險、網(wǎng)絡威脅進行多級別、多粒度、多維度的信息安全監(jiān)管與保障，為目標用戶提供海量資產(chǎn)管理、系統(tǒng)自動運維、異常行為監(jiān)控、網(wǎng)絡威脅預警與工業(yè)生產(chǎn)安全早期預警等核心能力。
