关于OPC网络安全的研究

来源：automation
OPC Consideration for Network Security
Cyber security means the confidentiality, integrity, and availability of computers, applications, and digital-based assets. In most organizations, this is the responsibility of the corporate IT group. Unfortunately, whenever IT meets real-time control systems, trouble erupts. So when IT implements different Windows Domains and Firewalls, the first casualty is typically DCOM communication and, consequently, OPC traffic.


网络安全意味着计算机应用和数字式资产的机密性、完整性和可用性。在大多数组织中，网络安全由企业IT小组负责。不幸的是，每当IT小组遇到实时控制系统时，问题总会出现。因此，当IT小组执行不同的Windows域和防火墙时，首先遭殃的是典型的分布式组件对象模型（DCOM）的通信，因而影响了OPC的通信。

在当今世界，无论是家用、商用还是在工业设施上，微软Windows视窗都是最流行的桌面操作系统，这是不争的事实。因此，Windows也就成为了受恶意网络攻击最广泛的目标。事实上，黑客们经常开发出新的蠕虫和病毒来试图攻击穿透每个网络。这些恶意的应用程序具有很强的传染性，以至于当一个被感染的笔记本电脑连入到一个未曾受到感染的网络中时都可以导致一个企业系统在很短时间内崩溃。

正因如此，IT部门需要参与到网络安全问题上来。他们的目标是要保护用户以及所有互联的设备。不幸的是，IT部门并不清楚商业生产方面的操作需求，所以，很快就出现了通信和兼容性方面的问题。首先出现的问题之一是分布式组件对象模型（DCOM）。

微软开发的DCOM为远程Windows应用和计算机工作提供了易于使用的通信基础。DCOM使得开发者能够在自己的应用程序中重复使用微软的方法和程序。这些加速了应用程序的发展，增加了可靠性。这正是OPC基金会选择DCOM作为基本构件用于OPC通信的原因。

DCOM来自于IT世界，程序员能方便地使用它，但是需要付出代价。DCOM需要许多端口用于寻找其他主机、解析名称、请求服务、取得认证、发送数据和其他功能。如果这些端口不可用，DCOM会自动搜寻其他端口。当然，DCOM使用的任何端口和服务都是网络攻击（病毒和蠕虫）的目标。所以，当DCOM遇到安全问题时，包括OPC应用在内的所有应用都会受到感染。最近出现的Blaster和Sasser病毒攻击了OPC使用的同一组件，正在使用OPC的任何人将来都可能极易受到此类病毒的攻击。

如果过程控制网络想要与商业网络结合，那么网络安全对其来说是必需的。再次提醒，由于Windows和DCOM内在的性质，当IT部门开放通信时，包括OPC在内的许多应用将会立刻受到频繁的攻击。但是如果工厂和商业系统进行过正确的配置和维护的话，网络安全和OPC将能很好的共存下去，这是个不错的消息。

在工厂生产和商业系统间发展网络安全是项复杂的任务，以至于大多数IT和自动化部门都在犹豫是否要进行此项任务。ＩＴ部门可能不熟悉复杂的工业系统，任何错误都会对生产起到反作用。从工业自动化的前景和与ＩＴ安全的挑战来看，自动化部门宁可选择独立运行，在这些系统中留下通信“缺口”。工业网络安全至少需要考虑下面列出的范围。
　　•过滤和存取控制
　　•书面的最优方法和策略
　　•反病毒
　　•修复程序
　　•数据备份策略
　　•事件处理程序
　　•积极的监控和检测
　　•不间断培训和通告
　　•修补处理
　　•第三方验证

以上的简短列表只是一个简介，要建立网络安全则需要考虑更多的因素。通常来说，技术和人是需要重点考虑的两个因素，哪个先考虑则无所谓。需要记住的最重要的事是企业IT策略必须重视实时控制系统的需求，因为许多规则会因此而改变。

优先考虑网络和网络安全使得防火墙成为必需，防火墙的出现对ＤＣＯＭ造成了新的挑战。因为DCOM需要对如此多的端口进行操作，而这对于防火墙来说并不友好。因此，DCOM经常不是终止于不同网络之间的通信就是对蠕虫攻击大开其门。

幸运的是，已经出现了新的解决方法。例如，OPC能够利用隧道技术使其在不同的系统和防火墙间工作。类似于虚拟专用网络（VPN）和点对点隧道协议（PPTP），OPC隧道将数据有效载荷封装入另一协议中。从隧道外看，它就像是数据流，但是，在数据流内却是非常重要的产品数据。隧道技术也能够利用端口限制、用户认证和数据流加密来克服大多数IT安全缺陷。

网络和网络安全对工业系统来说十分重要，因为它们能够影响控制系统的产品生产。一个复杂的任务需要得到具备现场经验的专家们的帮助。专家们会为每个安全集中领域推荐解决方案，比如将OPC隧道技术用于防火墙中。在网络安全影响到产品生产之前尽快地做冒安全风险的准备是相当重要的。


此文作者是BAIST-NM，CET 的Donovan Tindill，他是Matrikon网络服务组的技术带头人。Donovan给工业部门的客户提供专业级的咨询服务，并提供具有容错能力、安全性高、可扩展和具成本效益的解决方案。Donovan将时间花在了研究尖端科技及其趋势上，他亲自检查工业设施，设计工厂信息系统，寻求关于工厂ＩＴ安全、可靠性和性能的建议。