方捷睿，曹卫民，白建涛，熊智华，杨 帆

(1.清华大学自动化系,北京 100084；2.中国石化安庆分公司，安徽 安庆 246002)

0 引言

随着石化企业信息集成度的提高，工业控制系统由“封闭走向开放”已成为主流趋势。但是“震网”、“超级工厂”等病毒的出现，已经造成了有些企业的工业控制系统安全事故。因此，工业控制网络的安全问题凸显[1-2]。目前，工业互联网的安全问题也在国际、国内引起了高度的重视[3-4]。未来，随着工业互联网的发展和推进，工业控制网络安全措施的实施范围也将从局域网上升到全网的高度。

工业控制系统的安全防护主要采用系统隔离、网络分区分域管理。这些传统的安全防御方法无法抵御各种病毒的靶向攻击[5]。工业控制系统信息安全问题非常复杂，依赖于单一的安全防护方案难以实现系统整体安全。因此，可行的方案是将工业控制网络划分为不同的安全区，分层或分区域部署防火墙、入侵检测等多种安全防护措施，形成整体防护能力[6]。石化企业网络安全的解决方案通常采用网闸和防火墙技术，对企业管理网络与工业控制网络进行“区域和渠道”的连接控制[7]。对每个分层或分域采用特定的网络安全控制策略，深度解析和检查每个区域的通信连接和协议，保障工业控制系统的安全运行。

本文在工控网络安全防护方案的基础上，结合工控网络报文定制性的特点，详细分析了基于应用层协议解析的安全防护策略。该方案在传统工业防火墙的基础上，通过对应用于过程控制的对象连接和嵌入(OLE for process control，OPC)等工业网络传输协议的报文深入解析，拦截与功能实现无关的报文。……