工業(yè)以太網(wǎng)的應(yīng)用安全問題分析
(1)在傳統(tǒng)工業(yè)以太網(wǎng)中上下網(wǎng)段使用不同的協(xié)議無法互操作，所以使用一層防火墻防止來自外部的非法訪問，但工業(yè)以太網(wǎng)將控制層和管理層連接起來，上下網(wǎng)段使用相同的協(xié)議，具有互操作性，所以使用兩級(jí)防火墻，第二級(jí)的防火墻用于屏蔽內(nèi)部網(wǎng)絡(luò)的非法訪問和分配不同權(quán)限合法用戶的不同授權(quán)。另外還可用根據(jù)日志記錄調(diào)整過濾和登錄策略。
要采取嚴(yán)格的權(quán)限管理措施，可以根據(jù)部門分配權(quán)限，也可以根據(jù)操作分配權(quán)限。由于工廠應(yīng)用專業(yè)性很強(qiáng)，進(jìn)行權(quán)限管理能有效避免非授權(quán)操作。同時(shí)要對(duì)關(guān)鍵性工作站的操作系統(tǒng)的訪問加以限制，采用內(nèi)置的設(shè)備管理系統(tǒng)必須擁有記錄審查功能，數(shù)據(jù)庫自動(dòng)記錄設(shè)備參數(shù)修改事件：誰修改，修改的理由，修改之前和之后的參數(shù)，從而可以有據(jù)可查。
(2)在工業(yè)以太網(wǎng)的應(yīng)用中可以采用加密的方式來防止關(guān)鍵信息竊取。目前主要存在兩種密碼體制：對(duì)稱密碼體制和非對(duì)稱密碼體制。對(duì)稱密碼體制中加密解密雙方使用相同的密鑰且密鑰保密，由于在通信之前必須完成密鑰的分發(fā)，該體制中這一環(huán)節(jié)是不安全的。所以采用非對(duì)稱密碼體制，由于工業(yè)以太網(wǎng)發(fā)送的多為周期性的短信息，所以采用這種加密方式還是比較迅速的。對(duì)于工業(yè)以太網(wǎng)來說是可行的。還要對(duì)外部節(jié)點(diǎn)的接入加以防范。
(3)工業(yè)以太網(wǎng)的實(shí)時(shí)性目前主要是由以下幾點(diǎn)保證：限制工業(yè)以太網(wǎng)的通信負(fù)荷，采用100M的快速以太網(wǎng)技術(shù)提高帶寬，采用交換式以太網(wǎng)技術(shù)和全雙工通信方式屏蔽固有的CSMA/CD機(jī)制。隨著網(wǎng)絡(luò)的開放互連和自動(dòng)化系統(tǒng)大量IT技術(shù)的引入，加上TCP/IP協(xié)議本身的開放性和層出不窮的網(wǎng)絡(luò)病毒和攻擊手段，網(wǎng)絡(luò)安全可以成為影響工業(yè)以太網(wǎng)實(shí)時(shí)性的一個(gè)突出問題。
1)病毒攻擊。在互聯(lián)網(wǎng)上充斥著類似Slammer、“沖擊波”等蠕蟲病毒和其它網(wǎng)絡(luò)病毒的襲擊。以蠕蟲病毒為例，這些蠕蟲病毒攻擊的直接目標(biāo)雖然通常是信息層網(wǎng)絡(luò)的PC機(jī)和服務(wù)器，但是攻擊是通過網(wǎng)絡(luò)進(jìn)行的，因此當(dāng)這些蠕蟲病毒大規(guī)模爆發(fā)時(shí)，交換機(jī)、路由器會(huì)首先受到牽連。用戶只有通過重啟交換路由設(shè)備、重新配置訪問控制列表才能消除蠕蟲病毒對(duì)網(wǎng)絡(luò)設(shè)備造成的影響。蠕蟲病毒攻擊能夠?qū)е抡麄€(gè)網(wǎng)絡(luò)的路由震蕩，這樣可能使上層的信息層網(wǎng)絡(luò)部分流量流入工業(yè)以太網(wǎng)，加大了它的通信負(fù)荷，影響其實(shí)時(shí)性。在控制層也存在不少計(jì)算機(jī)終端連接在工業(yè)以太網(wǎng)交換機(jī)，一旦終端感染病毒，病毒發(fā)作即使不能造成網(wǎng)絡(luò)癱瘓，也可能會(huì)消耗帶寬和交換機(jī)資源。
2) MAC攻擊。工業(yè)以太網(wǎng)交換機(jī)通常是二層交換機(jī)，而MAC地址是二層交換機(jī)工作的基礎(chǔ)，網(wǎng)絡(luò)依賴MAC地址保證數(shù)據(jù)的正常轉(zhuǎn)發(fā)。動(dòng)態(tài)的二層地址表在一定時(shí)間以后(AGE TIME)會(huì)發(fā)生更新。如果某端口一直沒有收到源地址為某一MAC地址的數(shù)據(jù)包，那么該MAC地址和該端口的映射關(guān)系就會(huì)失效。這時(shí)，交換機(jī)收到目的地址為該MAC地址的數(shù)據(jù)包就會(huì)進(jìn)行泛洪處理，對(duì)交換機(jī)的整體性能造成影響，能導(dǎo)致交換機(jī)的查表速度下降。而且，假如攻擊者生成大量數(shù)據(jù)包，數(shù)據(jù)包的源MAC地址都不相同，就會(huì)充滿交換機(jī)的MAC地址表空間，導(dǎo)致真正的數(shù)據(jù)流到達(dá)交換機(jī)時(shí)被泛洪出去。這種通過復(fù)雜攻擊和欺騙交換機(jī)入侵網(wǎng)絡(luò)方式，近來已有不少實(shí)例。一旦表中MAC地址與網(wǎng)絡(luò)段之間的映射信息被破壞，迫使交換機(jī)轉(zhuǎn)儲(chǔ)自己的MAC地址表，開始失效恢復(fù)，交換機(jī)就會(huì)停止網(wǎng)絡(luò)傳輸過濾，它的作用就類似共享介質(zhì)設(shè)備或集線器，CSMA/CD機(jī)制將重新作用從而影響工業(yè)以太網(wǎng)的實(shí)時(shí)性。
目前信息層網(wǎng)絡(luò)采用的交換機(jī)安全技術(shù)主要包括以下幾種。流量控制技術(shù) ，把流經(jīng)端口的異常流量限制在一定的范圍內(nèi)。訪問控制列表(ACL)技術(shù) ，ACL通過對(duì)網(wǎng)絡(luò)資源進(jìn)行訪問輸入和輸出控制，確保網(wǎng)絡(luò)設(shè)備不被非法訪問或被用作攻擊跳板。 安全套接層(SSL) 為所有 HTTP流量加密，允許訪問交換機(jī)上基于瀏覽器的管理 GUI。802.1x和RADIUS 網(wǎng)絡(luò)登錄 控制基于端口的訪問，以進(jìn)行驗(yàn)證和責(zé)任明晰。源端口過濾只允許指定端口進(jìn)行相互通信。Secure Shell (SSHv1/SSHv2) 加密傳輸所有的數(shù)據(jù)，確保IP網(wǎng)絡(luò)上安全的CLI遠(yuǎn)程訪問。安全FTP 實(shí)現(xiàn)與交換機(jī)之間安全的文件傳輸，避免不需要的文件下載或未授權(quán)的交換機(jī)配置文件復(fù)制。不過，應(yīng)用這些安全功能仍然存在很多實(shí)際問題，例如交換機(jī)的流量控制功能只能對(duì)經(jīng)過端口的各類流量進(jìn)行簡(jiǎn)單的速率限制，將廣播、組播的異常流量限制在一定的范圍內(nèi)，而無法區(qū)分哪些是正常流量，哪些是異常流量。同時(shí)，如何設(shè)定一個(gè)合適的閾值也比較困難。一些交換機(jī)具有ACL，但如果ASIC支持的ACL少仍舊沒有用。一般交換機(jī)還不能對(duì)非法的ARP(源目的MAC為廣播地址)進(jìn)行特殊處理。網(wǎng)絡(luò)中是否會(huì)出現(xiàn)路由欺詐、生成樹欺詐的攻擊、802.1x的DoS攻擊、對(duì)交換機(jī)網(wǎng)管系統(tǒng)的DoS攻擊等，都是交換機(jī)面臨的潛在威脅。
在控制層，工業(yè)以太網(wǎng)交換機(jī)，一方面可以借鑒這些安全技術(shù)，但是也必須意識(shí)到工業(yè)以太網(wǎng)交換機(jī)主要用于數(shù)據(jù)包的快速轉(zhuǎn)發(fā)，強(qiáng)調(diào)轉(zhuǎn)發(fā)性能以提高實(shí)時(shí)性。應(yīng)用這些安全技術(shù)時(shí)將面臨實(shí)時(shí)性和成本的很大困難，目前工業(yè)以太網(wǎng)的應(yīng)用和設(shè)計(jì)主要是基于工程實(shí)踐和經(jīng)驗(yàn)，網(wǎng)絡(luò)上主要是控制系統(tǒng)與操作站、優(yōu)化系統(tǒng)工作站、先進(jìn)控制工作站、數(shù)據(jù)庫服務(wù)器等設(shè)備之間的數(shù)據(jù)傳輸，網(wǎng)絡(luò)負(fù)荷平穩(wěn)，具有一定的周期性。但是，隨著系統(tǒng)集成和擴(kuò)展的需要、IT技術(shù)在自動(dòng)化系統(tǒng)組件的大力應(yīng)用、B/S監(jiān)控方式的普及等等，對(duì)網(wǎng)絡(luò)安全因素下的可用性研究已經(jīng)十分必要，例如猝發(fā)流量下的工業(yè)以太網(wǎng)交換機(jī)的緩沖區(qū)容量問題以及從全雙工交換方式轉(zhuǎn)變成共享方式對(duì)已有網(wǎng)絡(luò)性能的影響。所以，另一方面，工業(yè)以太網(wǎng)必須從自身體系結(jié)構(gòu)入手，加以應(yīng)對(duì)。
（轉(zhuǎn)載）
