工业控制（工控）

IPSec的VPN可以为网络边界的通信提供安全隧道，通常在相应的防火墙上执行。IPsec可以保证完整性、认证和数据保密性。在隧道入口处，IP包外增加额外的数据包头，路由器使用新的包头信息转发数据，到达隧道出口时，将原始IP包提取出来。在用户认证过程中，IPSec通常使用私钥和RSA签名。在消息认证和完整性保护时，使用MD5或SHA哈希函数。在数据加密时，使用AES或3DES。IPSec还使用Diffie-Hellman作为对称密钥推导。IPSec设备使用IKE协议认证其他设备、协商和分配对称加密密钥以及建立IPSec安全连接。

　　控制系统的安全管理包括检测、分析、提供安全和事件响应。具体内容包括动态调整安全要求，安全漏洞的优先级排序，以及安全要求到安全管理的映射：认证和授权服务器，安全密钥，流量过滤，IDS，登录等。SNMP用于管理IP网络资源，如路由，防火墙和服务器等。SNMP也可用于提供控制系统网络的集中管理。SNMPv3包括的安全特性有消息完整性，认证和加密。SNMPv3使用MD5和SHA哈希算法和DES以及AES加密算法。

　　（5）其他措施

　　为了保证网络操作的可靠性，工业控制系统需要设置冗余拓扑和功能。工业控制系统中大多使用以太网和IP网络作为通信协议。以太网层的冗余可以通过在局域网内使用RSTP协议中的网格拓扑而实现。IP层的冗余通过路由间的备份链接，如OSPF动态路由协议，和IP网络冗余接人，如VRRP协议等。MPLS可以为IP网络中的虚拟任意协议数据提供可靠的数据传输。隧道如L2TP协议等也可以为IP网络中的数据提供可靠传输。

　　在控制系统中的时钟和网络设备需要精确同步，事件日志记录时也需要记录下准确的时间。NTP协议和IEEEl588协议可以用于时间同步。NTP协议在因特网中广泛使用，IEEEl588协议则主要满足控制系统对于时钟同步的要求。这两种协议均可由独立设备提供服务，或者有其他网络设备的组件提供服务。

　　2.2协议安全性

　　工业通讯协议，如MODBUS协议等，协议设计时未采取安全措施。然而随着控制系统与外部网络的连接增多，需要增加通信双方的认证过程。协议的安全性可以通过两种方式提高，一是直接修改协议，增加认证功能;二是在不修改现有协议的基础上，增加信息安全层。

　　文献设计了一种认证型Modbus协议，该协议通过对消息使用加密函数和哈希链，增强Modbus协议的认证功能，从而使攻击者无法伪装成主机。同时利用一个压缩函数，减少数据存储大小。这种方式可以增加协议对于通信双方的认证过程，但同时也会增加通讯负担，即每次通话传输的消息都需要经过加密认证，不一定能满足控制系统对于实时性的要求。因此在设计时需要同时考虑计算效率与计算消耗。

　　文献借鉴功能安全的概念，提出了一种在通信系统之上增加信息安全模块的方法。控制系统的功能安全在传输系统的基础上增加功能安全层，无需改变底层传输系统，即可实现系统的故障安全。类似地，文献设计一种信息安全模块，用于保护端到端通信的认证、完整性和保密性。所谓的安全模块不是指简单的物理模块，而是与PROFINET IO中的设备模型相对应，是一个软件实现。如图2所示，安全模块从应用层中获取过程数据，通过加密算法加密过程数据，利用MD5算法计算消息完整性编码，状态字节用于表示消息完整性和超时。安全模块通过参数化，可以适应不同的安全需求和不同的计算能力。消息完整性编码可以防止中间人攻击，例如，攻击者截取发送的消息并篡改过程数据，由于没有密钥，无法计算出准确的消息完整性编码，接受者在接收到消息后对MAC进行验证，如果无法验证其正确性，则会修改状态字节，用以汇报受攻击状态。

　　安全模块是置于PROFINET IO之上的软件层，只能用于防御基于网络的攻击，而不能保证设备安全。如果攻击者获取了设备的控制权，那么数据会被操控，而安全模块将无法产生作用。因此，可以将安全模块可以与设备安全措施相结合，解决设备和网络安全。

　　协议安全性主要是体现在对传输数据进行加密处理，保证消息的完整性和保密性，并实现对设备的安全认证。在实际应用中，需要考虑两个影响因素，一方面，由于加密措施的计算量大，对通信实时性和系统的可用资源都会产生影响，二是需要设计合理有效的密钥管理方法。

　　3.控制器设计

　　以上从网络防护和通讯协议的角度介绍了两种安全问题解决思路，但其本质上都是对信息的保护。无论是何种攻击，其最终的目的都是实现对物理设施的破坏，因此，需要研究攻击对于系统的状态预测和控制算法的影响，从物理系统的角度设计防御措施。

为了理解控制系统与物理世界的交