隨著智能信息時代的來臨，工業控制系統正面臨著來自各個方面的安全威脅。有來自工業控制系統內部的，也有來自企業信息網絡和互聯網的威脅。包括人為的蓄意破壞和攻擊、盜取程序及關鍵數據、不可抗拒的自然災害和工作人員安全防范不專業導致的意外操作等。

　　除此之外，安全威脅還存在于未授權訪問和未授權的操作中，一些設備由于無授權訪問機制進而導致設備被非法訪問。因此，安全風險的存在會增加工業控制系統正常運行中斷、產生安全事故以及知識產權受到侵犯等問題。

　　面對工業控制系統中存在的各式威脅，我們需要使用更加智能高效的方法來應對。羅克韋爾自動化深入工業控制安全領域不斷探索應對安全威脅的更優實踐方式。在安全實踐中，為保護工業控制系統免受內部和外部威脅的侵害，必須實現縱深防御的安全策略。范圍包括物理安全、網絡安全、計算機加固、應用程序安全和設備加固等方面。

　　這個想法的基本思想是，如果攻擊者剝奪了一層防御，總會有另外一層阻止他們的努力，所以，基于該實踐的工業控制系統應該更加安全，并且可以避免或減輕威脅。除了這些技術上的措施外，為保護工業控制系統的安全，最重要的還是工業企業管理層應該具有安全意識，制定企業的安全策略和程序，并組織對員工進行安全意識和工業控制系統安全知識的培訓。

　　抵御安全威脅的“保護網”

　　一直以來信息安全通訊協議在IT領域已經被廣泛使用，隨著工業自動化控制系統和企業信息技術網絡的不斷融合，在工業自動化現場也必須使用安全的通訊協議來抵御存在的安全威脅，所以羅克韋爾自動化和 ODVA 在2015年推出了 CIP Security™ 工業網絡安全通訊協議。

　　CIP Security™ 是眾所周知的標準傳輸層安全協議, 同時也是通過 TLS 安全傳輸層協議和 DTLS 數據報安全傳輸層協議來封裝 CIP 通訊的 CIP 擴展協議，并且，EtherNet/IP 的安全傳輸也可通過 CIP Security™ 來幫助實現 。標準的 CIP 協議使用了 TCP 和 UDP 來包裹封裝，但安全的 CIP 通訊則是使用 TLS 和 DTLS 來進行包裹封裝，例如：我們所熟知和常用的 Https 也是使用TLS進行包裹封裝的。

　　同時，CIP Security™ 還具有高適用性，不但常規的 CIP 協議可以使用，CIP Security™ 和CIP Motion等都可以使用，也就是說傳輸 CIP Safety 和 CIP Motion 的數據包時也可以通過 TLS 和 DTLS 進行包裹封裝。并且，該協議是基于 IT 領域已經成熟且廣泛使用的開放式安全標準，設備身份標識是采用 X.509 v3 數字證書，可用于為設備提供加密的安全標識，即加密的身份信息，通過 TLS 傳輸來進行設備的身份驗證，此外，TLS 和 DTLS 也用于之后設備數據的完整性檢查和加密傳輸。數據的完整性采用密鑰散列消息認證碼，即HMAC。

　　使用 CIP Security™ 可幫助實現 EtherNet/IP 安全傳輸，使連接到 EtherNet/IP 的設備能夠保護自身，CIP Security™ 可以防止三個方面的安全威脅。

• 一是拒絕非受信人員或非受信設備發送的消息，即識別設備身份的真實性
• 二是拒絕中間人篡改的數據，即確保數據的完整性
• 三是防止數據在通訊的過程中被非法查看，即保證數據的機密性

　　CIP Security™ 是對設備的安全加固，是屬于縱深防御的一部分，實施多層安全方案更能抵御攻擊。

　　CIP Security™ 的多區域部署

　　目前羅克韋爾自動化已經有多種產品支持CIP Security，軟件產品有 FactoryTalk Policy Manager、FactoryTalk Linx 等；硬件有 ControlLogix 5580 系列控制器、1756-EN4TR EtherNet/IP 通訊網卡、CompactLogix™ 5380、Compact GuardLogix® 5380、CIP Security代理、PowerFlex 755T 變頻器、Armor PowerFlex 以及 Kinetix 5700/Kinetix5300 伺服驅動器等，近期還將陸續推出更多支持 CIP Security 的產品。

　　羅克韋爾自動化

　　1756-EN4TR EtherNet/IP

通訊網卡

　　1756-EN4TR 以太網通訊模塊提供了更高的吞吐量，雙1Gig 網口，支持 DLR 環網，能夠連接256根伺服軸，可以作為冗余遠程 IO 適配器使用，同時支持 CIP Security，提供了設備間的認證、數據完整性及數據加密等安全功能，滿足了客戶日益增長的性能及安全需求。

　　羅克韋爾自動化

　　CIP安全代理

　　1783-CSP

　　1783-CSP 是 CIP Security 代理，有了 CIP Security  代理，每個 EtherNet/IP 適配器就都能夠無條件支持 CIP Security 的版本，無需另外開發。特別是對一些老的 I/O 適配器和設備，要實現工業通訊的安全傳輸，支持 CIP Security 的設備可以直接接到控制系統網絡上，把不支持 CIP Security 的產品接到控制系統之前先接到 1783-CSP，然后再把 1783-CSP 接到控制系統上，這樣 1783-CSP 和 PLC 間的通訊也就是安全的工業通訊。

　　小羅有話說

　　安全威脅無處不在，為工業安全系統安全多加一層“防護”，羅克韋爾自動化多種產品、多項選擇適用于 CIP Security 多層安全方案，共同抵御安全威脅攻擊，為工業安全保駕護航。