陈鑫，张晓

(中国石化青岛炼油化工有限责任公司，山东 青岛 266500)

传统模式下，工业控制系统网络多采用专用技术的封闭网络，即系统孤立封闭，对外没有互联互通，其面临的网络安全威胁不突出。但是随着“两化融合”“智能制造”的推进，使得工业控制系统不再孤立，正快速地从封闭、孤立的系统走向互通互联，为了降低成本广泛采用开放和通用技术，随之而来的是各种威胁可被引入工业控制网络中，互联网中的病毒、网络黑客等威胁通过开放的网络连接正在向工业控制网络扩散，威胁到生产装置的安全生产，因此工业控制系统网络安全问题日益突出。工业控制网络与工厂办公网络之间的边界防护是工业控制系统网络安全防护中最重要的一个环节。

1 传统的工业控制系统边界防护办法

在传统的网络边界防护办法中，一般是采用防火墙、工业网关、网闸等设备来实现。在工业控制网络与工厂办公网之间建设隔离区(DMZ)来实现工业控制网络和工厂办公网之间的边界防护，是目前比较通用的方法。

以某炼化公司为例，其在工业控制网络和工厂办公网之间利用三道防火墙建设了DMZ区，按照应用范围进一步将DMZ区划分为DMZ前区和DMZ后区，在DMZ前区配置网络管理系统和堡垒机，主要监控该区内网络设备运行情况以及工厂办公网用户访问该区的动态。在DMZ后区部署工业控制态势感知系统，用以监控该区域内所有设备运行情况，以及DMZ后区所有设备数据交换情况，包括与工业控制层、DMZ前区与DMZ后区内设备数据的交换情况。……