Automation Direct 的 BRX 系列PLC 集成了加密、用戶名/ 密碼、訪問控制和活動審計技術，為所有現代系統提供必要的安全性。本文圖片來源：Automation Direct

作者：Damon Purvis, AutomationDirect

“

盡管PLC 和HMI 的功能越來越強大，但網絡安全功能并沒有同步發展。對于現代工業控制系統，網絡安全的重要性不言而喻。

”

工業自動化項目的設計人員将主要精力放在提供合适、可靠的設備功能上，這毋庸置疑。然而現在，大多數智能自動化設備都包括有線或無線連接，最終用戶越來越希望獲得設備數據，因此這些接口的網絡安全變得非常重要。

盡管可編程邏輯控制器（PLC）和人機界面（HMI）的功能越來越強大，但網絡安全功能并沒有同步發展。此外，改進的網絡安全不僅涉及PLC/HMI 硬件和軟件，還需要改變工程師和最終用戶的行為。

在可預見的未來，PLC 和HMI 還将是工業控制系統的支柱，當然它們将會持續發展。設計師和最終用戶需要在他們選擇的自動化平台中，尋找以網絡安全為中心的功能，并鼓勵适當的以網絡安全為中心的最終用戶行為。

過去，PLC、HMI 和其它相關設備，依賴于“隐秘的網絡安全”，網絡入侵者也不像今天那麼普遍（圖1）。經典的自動化設備使用專有網絡和協議，工廠車間很少與外部世界連接。這種以 " Air Gap" （物理隔離）形式存在的物理網絡安全很普遍，一般認為它足夠安全。

▎圖1：用于現代自動化系統的PLC、HMI 和其它支持以太網的自動化設備，不再依賴于“模糊的網絡安全”和“空氣間隙”。它們必須逐步采用先進的IT 類型安全功能。

現代自動化設備已經具有有線以太網、Wi-Fi 和其它形式的連接，一些用戶認為這些專用系統仍然具有足夠的安全性。随着網絡攻擊的頻率和嚴重程度不斷增加，事實證明它們并非像想象的那樣安全。并非所有的壞人都隻是為了尋求竊取數據或接管系統控制。還有一些黑客希望通過相對野蠻的攻擊來破壞運營或損壞設備。無論是哪種情況，都是對設備和人員安全的威脅，必須認真對待。

技術可以使商業以太網能夠經濟地應用于工業級設備，同樣也可以使生産系統、商業網絡、基于雲的資源和網絡罪犯之間的互聯變得更容易。本地自動化的設計者，通常無法完全了解這些系統在面對外部人員時的脆弱程度。

現代PLC 需要集成一些先進技術來确保網絡安全，并鼓勵用戶改變行為。4 個關鍵要素是：端到端加密；用戶名/ 密碼保護；訪問控制和端口管理；以及活動審計。

1端到端加密

任何新PLC 都應支持端到端加密，然後将其應用于所有以太網通信。這包括PLC 和編程環境、網絡上其它支持以太網的設備以及任何外部客戶端和嵌入式網絡服務器之間的交互。用于為PLC 創建代碼的編程軟件需要采取一定的措施，使管理員可以在需要外部訪問時管理網絡安全證書。

不幸的是，加密和處理器有關，很多老舊PLC 無法實現這種功能。這促使設計師選擇最新的PLC。如果無法避免使用老舊的PLC，則應将其保存在隔離網絡或防火牆後。

2用戶名/ 密碼保護

這是PLC 中必須内置的功能，應強烈鼓勵用戶在配置PLC 時，不要使用默認密碼。在開發過程中，許多用戶覺得這個步驟很煩人，因此他們要麼禁用密碼保護，要麼保留默認值，從而大大降低了保護的效果。然而，重要的是用戶的思維方式必須改變，要像保護公司的PC 一樣來保護PLC。

即使是具有用戶名/ 密碼功能的現代PLC，也可能隻允許通過編程軟件在本地管理這些設置。但在未來，可編程邏輯控制器需要獲得與身份驗證和管理基礎設施集成的能力，以便對用戶活動和訪問進行更徹底的管理和跟蹤。将這種标準的IT 級網絡安全與運營技術（OT）産品相結合，可以改善工業系統的整體安全态勢。

高級用戶名和密碼管理，可以促成使其它有用的功能。例如，創建時間敏感憑證的能力，意味着系統所有者可以指定特定的訪問級别和持續時間，以便承包商能夠以受控的方式開展工作，承包商的訪問權限僅在完成工作的合理時間内有效。

3訪問控制和端口管理

這一步涉及配置哪些通信協議處于活動狀态、為特定協議重新分配端口以及指定哪些IP 地址可以訪問PLC 的能力。雖然像辦公室筆記本電腦這樣的IT 設備也可以進進出出，但OT 網絡通常由穩定的配置和衆所周知的通信需求組成。

OT 管理員可能會混淆一些已知的端口和協議，并将訪問限制在特定的IP 地址範圍内。在必要時，限制隻有特定的已知設備才能訪問，設計師可以用這種方法來減少不良行為者發現和幹擾設備的機會。

相對于商業網絡的通信體系結構，自動化系統的通信體系結構是相對靜态的，因此更易于采取積極的步驟，在需要的地方分配特定的訪問權限。關閉未使用的以太網端口，使用不太常見的端口，這樣惡意訪問者更難發現入口。在配置軟件中，默認情況下最好關閉未使用的端口。這樣可以減少攻擊面，并且不需要用戶采取行動來保護設備。相反，用戶必須采取行動，通過做出明智的決定來增加連接性。

4活動審計

在不能完全預防網絡入侵的情況下，活動審計早已成為早期檢測的一種必要形式（圖3）。避免成為網絡安全事件受害者的一種方法，是查看訪問活動日志，嘗試發現未經授權的事件，然後采取措施防止未經授權事件的發生。

許多黑客會使用軟件工具暴力破解，循環使用常用的用戶名和密碼來嘗試登錄。對于這類活動，傳統PLC幾乎沒有日志記錄和審計功能。然而，現代PLC 正在獲得審計功能，因此用戶可以跟蹤訪問記錄或實際訪問的日期/ 時間和IP 地址。

▎圖3：活動審計就是一個例子：在最新的PLC 中添加類似IT 的功能，為用戶提供檢測和分析網絡安全事件的基本工具。

現在，在大多數制造業和關鍵基礎設施中，PLC 都是自動化系統的支柱，并将在一段時間内繼續發揮關鍵作用。傳統模式受到當時可用技術的限制，這通常意味着它們具有很少或沒有網絡安全功能。

在當前和未來的運行環境中，任何新建或改造工程的PLC，都應在設計中考慮網絡安全功能。不應當在工程完工後再考慮添加網絡安全功能。完全集成的網絡安全應作為基礎設施，實現OT 與IT 的無縫融合，允許從工廠車間安全地向管理層傳輸數據。

先進的PLC 制造商必須進行盡職調查，以驗證支持以太網的PLC 是否符合最新的網絡安全标準，并解決任何漏洞。設計良好且安全的PLC 硬件和軟件，減輕了終端用戶的一些負擔，同時促進了安全系統的配置和管理。适合的技術可以推動用戶朝着正确的方向發展，以實現更安全、更可靠的系統。

關鍵概念：

■ 任何新建或改造工程的PLC，都應在設計中考慮網絡安全功能。

■ 改進的網絡安全不僅涉及PLC/HMI 硬件和軟件，還需要改變工程師和最終用戶的行為。

思考一下：

設計良好且安全的PLC 硬件和軟件，将為終端用戶帶來哪些好處？