安全数据隔离系统时间同步(GPS北斗授时)方案
安全数据隔离系统时间同步(GPS北斗授时)方案
京准电子科技官微——ahjzsz
背景
随着IT技术的发展,工业上通过现场总线、串行通行、网络等方式的自动化系统越来越普遍,信息化水平越来越高。伴随而来的,面临的安全威胁也越来越严重。在没有安全防护的系统上,黑客或别有用心的人,能够轻易的进入自动化系统,对整个生产系统进行破坏。作为基于IP的以太网,随着几十年通信网络的发展,已经发展了丰富的软硬件防火墙系统,基本能够保证网络的安全,所以自动化系统的IP通信网络系统,能够在这样的基础上,通过传统或改良的防火墙系统,对自动化系统起到一定的防护作用,但要达到安全的防护效果,还需要进行应用层的安全数据隔离。
但对于串行通信、现场总线,目前国际上都还没有对应的安全防护措施。当自动化系统的IP网络一旦被黑客进入,与之相连的串行通信系统、总线系统均暴露在黑客面前,任由黑客攻击。特别在下述的情况下,这种安全问题优为严重:当两个大型区域自动化系统通过串行接口进行通信时,如果其中一个自动化系统由于安全防护弱的原因,被黑客或其内部人员无授权的进入,另外相连的自动化系统可能就面临非常大的安全问题。
基于这种考虑,我们设计了一种安全数据隔离网关,对两边的串口、网络口进行数据安全过滤隔离,只允许通过事先定义好的数据和协议指令,实现对两边自动化系统的安全隔离。
安全数据隔离网关
该网关由两个带冗余硬件的模块成对构成。每个模块均有两个CPU构成冗余模式,保证模块的高可用性,见下图。
![](https://ask.qcloudimg.com/http-save/5521045/t6i6wqtjbi.jpeg?imageView2/2/w/1620)
模块对串口/网口过来的数据,根据其通信协议,对数据进行过滤,对符合通信协议和设定地址的数据放入内部实时数据库中,并影射到数据同步区中,同步到另外一个模块的同步区中,该同步区数据将自动影射到模块的数据发送区,通过选定的通信协议,把数据发送出去。对于不符合通信协议,或者是非设定地址的数据,模块在接收端即直接丢弃,这样就保证了通信的绝对安全。见下图示意:
![](https://ask.qcloudimg.com/http-save/5521045/mzq8x0ijz2.png?imageView2/2/w/1620)
从上图可以看到,安全网关通过协议过滤、数据过滤、数据同步这三个安全隔离防护措施,完全阻隔了非法数据的通过和非法的入侵。无论从安全网关的哪一侧开始入侵,入侵均被阻隔在第一个模块处,而无法进入第二个模块,这就保证了第二个模块后面的自动化系统安全。
典型应用方案
![](https://ask.qcloudimg.com/http-save/5521045/2m3xdvgty7.jpeg?imageView2/2/w/1620)
![](https://ask.qcloudimg.com/http-save/5521045/a0m9w1ll16.jpeg?imageView2/2/w/1620)
通过串口安全网关,对互相通信的两个PLC/RTU/DCS系统进行隔离,每个PLC/RTU/DCS只能看到安全网关的其中一个模块,另外一个模块是安全隔离的,由此实现对安全网关后面系统的隐藏。该网关通过对通信的安全过滤,实现两个PLC/RTU/DCS系统的安全可靠通信,有效防止非法入侵与访问。