如何提高自动化控制系统安全及管理水平

如何提高自动化控制系统安全及管理水平多重的安全全威胁误操作未授权的操作作未授权的的访问拒绝服务务攻击窃贼未授权的远程程访问自然或人人为灾害害破坏活动动蠕虫和病病毒安全来自自纵深式式的防御御3网络安全全架构4推荐的架构构不推荐的的架构Enterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkSwitchwithVLANsPlant-wideNetworkEnterprise-wideNetworkFirewallBetterPlant-wideNetworkEnterprise-wideNetworkIDMZBestPlant-wideNetworkEnterprise-wideNetworkRouter(ZoneBasedFW)Good2层到3层交换功功能对应应从简单单到复杂杂网络应应用高级安全全功能从工厂到到企业网网络的集集成技术产品高级的交交换、路路由及安安全特性性对自动控控制及IT部门提供供通用的的工具维护简便便面向运维及及IT应用面向自动动控制的的需求网络安全全工具-Stratix™系列交换机机的优点点网络安全全工具-Stratix5900™™含2层及3层安全功功能路由由器提供路由由及2层及3层安全服服务路由器+防火墙虚拟私有有网络(VPN)网络地址址转换(NAT)访问控制列列表(ACL)入侵防止系系统(IPS)端口:1GigabitWAN端口4FastEthernet端口工业标准准,DIN导轨安装装使用于厂厂级站点点间连接接、单元元区域的的防火墙墙及OEM设备的通通讯集成成New7Enterprise-wideBusinessSystemsLevels4&&5–DataCenterEnterpriseZoneLevel3-SiteOperationsIndustrialZonePhysicalorVirtualizedServersFactoryTalkApplicationServers&ServicesPlatformNetworkServices–e.g.DNS,,AD,DHCP,AAARemoteAccessServer((RAS)CallManagerStorageArrayLevels0-2Cell/AreaZonesLevel3.5--IDMZRemoteSite##1LocalCell/AreaZone##1LocalOEMSkid//Machine##1Plant-wideSite-wideOperationSystemsSite-to-SiteConnectionStratix59001)Site-to-SiteConnectionStratix59003)OEMIntegrationStratix59002)Cell/AreaZoneFirewall网络安全全工具-Stratix5900™™含2层及3层安全功功能路由由器系统管理理员可以以管理用户帐户户WindowsFactoryTalk用户组自定义用用户组及及角色Windows用户组计算机计算机组组系统策略略产品策略产品操作作控制器安全全控制器区域8应用层安安全工具-FactoryTalkSecurity用户帐户户创建9“Fred”;;usernameandPWFactoryTalk系统安全全策略10“Fred’s”PWexpiresin30days分配用户户组或角角色11“Fred”isanEngineer分配产品品权限12“Fred”canuseLogix5000分配角色色或用户户组的允允许权限限13EngineerscanModifyAOI’’s资源分配配到应用用区域14Finally;““Fred”isanEngineerwhocanModifyAOI’sonallcontrollersin“Area2”PC##21515PC##1Logix5000ProjectFactoryTalkServicesSecurityAuthoritySecurityAdministrationLogix5000ProjectFactoryTalkServicesSecurityAdministrationID==795D5EF--12....ID==A73R5CG–89....ID=795D5EF-12...SecurityAuthorityID==795D5EF--12……EtherNet/IPID’sMatchID’sDon’tMatch应用层安安全工具具-FactoryTalkSecurity在LogixControllers中使用FactoryTalkSecurity安全认证证号码(SAID)使用FactoryTalkServicesPlatformSR5和RSLogix5000V20(以及更高版版本)配置Logix控制器时时，在要要求所有有用户在在访问控控制器前前必须通通过一个个FactoryTalk目录来认认证权限限安全认证证号码存存储在工工程文件件中–可以保护护离线文文件16当“SecurityAuthorityIDrequired”使能后…访问前需要要登录…..…使用FactoryTalk目录服务务来启用用安全功功能SAID备份使用FactoryTalk管理控制台台,安全认证证号码可以被…加密来保保护备份份允许多个个FactoryTalk目录使用用同一个个ID可以用来替替换v20版停用的的CPU加密功能能TheSecurityAuthorityIdentifierlookslikethis17限制通讯讯卡槽Copyright©©2011RockwellAutomation,,Inc.Allrightsreserved.19数据访问问控制用户可以以设置外外部数据据访问权权限：读读/写、只读及及无权限限在RSLogix5000及Logix控制器需需要建立立信任连连接确保只能能通过RSLogix5000修改标签签属性谁能修改改属性由由FactoryTalkSecurity来控制用户还可可以把标标签定义义为常数数，常数不能能被控制制器逻辑辑程序修修改。20FactoryTalkViewSE安全FactoryTalkViewSE安全可以以被应用用到:画面21FactoryTalkViewSE安全FactoryTalkViewSE安全可以以被应用用到:画面对象22FactoryTalkViewSE安全FactoryTalkViewSE安全可以以被应用用到:画面对象项目应用ControlLogix®实时修改监监测ControlLogixV20或更高版版本支持持实时修修改监测测功能可以通过过控制器器修改日日志获得得监测信信息可以通过过事件日日志生成成活动报报告可以监测测到恶意意修改可以选择择发送信信息到监监测服务务器23控制器实实时修改改监测每个LogixPAC™™开放一个个修改监监测数值值当影响到到控制器器运行的的行为被被监测到到时，这这个值会会自动改改变该监测值值可以通通过RSLogix™5000和Studio5000LogixDesigner™访问,其它软件件或应用用可以通通过Message指令访问问可以组态态什么事事件被监监测24控制器实时时修改监监测监测值被被记录到到每个控控制器的的日志中中，FactoryTalk®AssetCentre((Version4.1),可以从控控制器日日志中读读取该监监测值25Copyright©©2011RockwellAutomation,,Inc.Allrightsreserved.FactoryTalk®AssetCentre监测功能能26集中记录录与控制制系统的的交互信信息Copyright©©2009RockwellAutomation,,Inc.Allrightsreserved.FactoryTalkAssetCentre软件具备一套套针对资资产集中中管理工工具，用用于安全全的集中中管理您您的自动动化设备备对控制系系统的安安全访问问追踪用户户操作提供备份份及恢复复操作的的组态管理设备备组态配配置文件件配置过程程仪表管理设备备整定可扩展的的设计允允许功能能及设备备数量的的扩展提供从小小型生产产线到工工厂范围围的解决决方案低入门费费用（概概念设计计及证明明测试））版本控制制/源文件控控制集中存储储文件、、组态、、程序、SOPs,CAD,,和其他文文件自动的版版本控制制维护单一一主文件件关系当维护主主文件时时允许他他人获得得程序拷拷贝FactoryTalkAssetCentre容灾备份份功能定期自动动备份设设备组态态选择和特特定备份份版本比比较差异异最新版本本指定版本本当差异监监测到后后自动创创建新版版本在事件数数据库中中自动生生成差异异报告并并发送邮邮件容灾备份选选项RockwellAutomation设备Logix5000设备以及SLC--500,PLC--5PanelViewPlus,Standard以及Enhanced变频器远程计算算机文件或文文件夹通用FTP设备文件或文文件夹SiemensS7400和300系列控制器器TCP//IP协议SiemensS5100系列TCP//IP协议FanucRobotsRJ3和RJ3i控制器MotomanRobotsXRC和NX-100控制器ABBRobotsIRC5和S4C++robot控制器FactoryTalkAssetCentre监测及事事件记录提供监测信信息集中中存储服服务，如如：FactoryTalk应用、RSLogix5,500&&5000系列控制制器。监测及事事件信息息包含记记录时间间、当前前时间、、用户、、设备、、计算机机以及操操作信息息实现系统统集中诊诊断管理理FactoryTalkAssetCentre监测及改改动报告告通过FactoryTalkAssetCentre检索事件监测归档历史史文件y定期或立立即生成成报告定期以Email形式发送送报告Examples检索某一一资产故故障以前前4个小时的的修改记记录检索上个个月某个个用户修修改了什什么文件件检索上载载任务失失败的记记录检索每个个班次做做过的数数据强制制及程序序空行来来改善厂厂级的安安全32FactoryTalkAssetCentre仪表管理理智能仪表表组态(PDC)实现集中中监测及及组态多多个仪表表供应商商的智能能仪表设设备，减减少整体体维护以以及现场场工作时时间仪表整定定可以通过过整定计计划、整整定报告告及整定定追踪等等功能高高效的管管理过程程仪表。。Copyright©©2009RockwellAutomation,,Inc.Allrightsreserved.应用案例例子:某酿酒厂厂某个人修修改了加加油系统统的时间间。从原原来的20分钟改为为8个小时。。公司没没有任何何关于什什么时候候修改的的记录。。.结果该