２、工业控制SCADA系统的安全防护体系。

工业控制SCADA系统的信息安全防护体系包含：在总体安全策略指导下，建立SCADA系统的安全技术体系，进行SCADA系统控制中心、通信网络和现场设备的安全防护，确保控制中心数据安全、网络传输数据的完整性、保密性和可用性以及站控设备的安全防护能力。２.１总体安全策略

SCADA系统的总体安全策略主要包含以下几个方面：

１）安全分区，隔离防护。安全分区是SCADA安全的基础，主要包括对控制中心和站控系统进行安全区域的划分，应根据系统的安全性、实时性、控制与非控制等方面的特点，将安全需求类似的系统、计算机、网络设备等划分在同一安全区域中，实行统一安全防护；应主要进行控制中心和站控系统生产相关系统与对外web应用服务系统的隔离、生产相关系统中控制系统与非控制系统的隔离等。采用工业防火墙对各安全区中的业务系统进行隔离保护，加强不同安全区域间的访问控制措施。

２）专用通道。认证加密。在控制中心和站控系统的纵向专用通道上建立生产控制专用数据网络。在数据网络中添加工业防火墙实现与对外服务网络的物理隔离。实现多层次的保护；同时应在纵向通信时对控制中心和站控中心实现双向身份认证，确保通信双方的合法身份,并根据纵向传输通道中数据的保密性要求，选择不同的安全策略。实现不同安全策略的防护机制。

3）实时报警。报警的首要问题是把网络安全问题消灭在萌芽中，同时通过对报警事件的记录存储，为企业网络解决部分已发生过的安全事件提供分析依据，告别主观经验推断的模式。怎样才能及时发现网络中存在的感染及其它问题，准确找到故障的发生点，是维护控制网络安全的前提。

2.2安全技术体系

SCADA系统安全解决方案在技术上系统性地考虑了控制中心和各站控系统之间的网络纵向互联、横向互联和数据通信等安全性问题，通过划分安全区、专用网络、区域隔离和通讯检查等多项技术从多个层次构筑纵深防线，抵御网络黑客和恶意代码攻击。

1）边界安全防护。如图2所示

在SCADA系统边界控制中心与站控系统之间增加工业防火墙并安装Firewall插件。通过Friewall插件的组态对控制中心与站控系统之间的纵向边界进行认证、加密、访问控制等措施实现安全防护，数据传输的机密性、完整性。

2）站控系统网络安全防护。

如图3所示，对操作站和PLC控制器与站控控制网络隔离。操作站较多接触移动介质，感染病毒机率较大，增加防火墙后与控制网络进行隔离，即使感染病毒不至于扩散。

当控制系统通过以太网与RTU或其它第三方系统连接时，在两者之间添加防火墙。

并安装Firewall和Modbus Enforcer插件（操作站、RTU和PLC防护）；

通过对Firewall及Modbus Enforcer插件的组态，通信规则只允许DCS制造商的通讯协议以及正确的Modbus协议功能码访问对应的寄存器地址才能通过，其它任何病毒或其它非法访问都被阻止，这样来自防护区域内的病毒感染不会扩散到外面的网络中去，来自外部的攻击也不会影响到防护区域内的设备，提供防火墙及网络交通控制功能的软插件，符合 ANSI/ISA-99.00.02 的网络分段要求，达到区域隔离目标。

3） SCADA信息数采安全防护解决方案

采用工业防火墙解决方案，在OPC Server和控制中心之间增加工业防火墙。并安装Firewall插件和OPC Enforcer插件；

通过对Firewall及OPC Enforcer插件的组态管控OPC服务器及授权客户端之间的数据通信，并且应用专有技术动态跟踪OPC通信所需端口，同时工业防火墙的 Sanity Check检查功能能够阻挡任何不符合OPC标准格式的DCE/RPC 访问。同样也对OPC授权客户端发往OPC服务器的OPC对象请求进行检查，以提高OPC服务的安全性。

4） 中央管理平台和安全管理平台

中央管理平台通过一台工作站来配置和管理控制网络安全。中央管理平台的专用软件能够通过一个工作站进行配置、管理和监测网络上的所有安全设备。可视的拖放式编辑工具可以轻松地创建、编辑和测试安全设备。

安全管理平台，可以集成所有来自中央管理平台的所有事件报警信息，并可划分等级进行报警，通过采用手机短信及电子邮件等方式进行实时通知相关主管人员。该平台能够准确捕获现场所有安装防火墙的通讯信道中的攻击，并且详细显示攻击源、通讯协议和攻击目标，以总揽大局的方式为SCADA网络故障的及时排查与分析提供可靠依据。

３结束语

随着我国基础产业“两化融合”进程的不断加快，SCADA系统的应用日益广泛，其安全防护已纳入国家战略，建立工控SCADA的信息安全防护体系，确保SCADA系统的安全、稳定和优质运行，能更好地为国民经济高速发展和满足人民生活需要服务。