隨(sui)著(zhe)智(zhi)能(neng)信(xin)息(xi)時(shi)代(dai)的(de)來(lai)臨(lin)
，工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)正(zheng)麵(mian)臨(lin)著(zhe)來(lai)自(zi)各(ge)個(ge)方(fang)麵(mian)的(de)安(an)全(quan)威(wei)脅(xie)。有(you)來(lai)自(zi)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)內(nei)部(bu)的(de)
，也(ye)有(you)來(lai)自(zi)企(qi)業(ye)信(xin)息(xi)網(wang)絡(luo)和(he)互(hu)聯(lian)網(wang)的(de)威(wei)脅(xie)。包(bao)括(kuo)人(ren)為(wei)的(de)蓄(xu)意(yi)破(po)壞(huai)和(he)攻(gong)擊(ji)
、盜取程序及關鍵數據、不可抗拒的自然災害和工作人員安全防範不專業導致的意外操作等。

　　除(chu)此(ci)之(zhi)外(wai)
，安(an)全(quan)威(wei)脅(xie)還(hai)存(cun)在(zai)於(yu)未(wei)授(shou)權(quan)訪(fang)問(wen)和(he)未(wei)授(shou)權(quan)的(de)操(cao)作(zuo)中(zhong)
，一(yi)些(xie)設(she)備(bei)由(you)於(yu)無(wu)授(shou)權(quan)訪(fang)問(wen)機(ji)製(zhi)進(jin)而(er)導(dao)致(zhi)設(she)備(bei)被(bei)非(fei)法(fa)訪(fang)問(wen)。因(yin)此(ci)，安(an)全(quan)風(feng)險(xian)的(de)存(cun)在(zai)會(hui)增(zeng)加(jia)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)正(zheng)常(chang)運(yun)行(xing)中(zhong)斷(duan)、產生安全事故以及知識產權受到侵犯等問題。

　　麵mian對dui工gong業ye控kong製zhi係xi統tong中zhong存cun在zai的de各ge式shi威wei脅xie
，我wo們men需xu要yao使shi用yong更geng加jia智zhi能neng高gao效xiao的de方fang法fa來lai應ying對dui。羅luo克ke韋wei爾er自zi動dong化hua深shen入ru工gong業ye控kong製zhi安an全quan領ling域yu不bu斷duan探tan索suo應ying對dui安an全quan威wei脅xie的de更geng優you實shi踐jian方fang式shi。在zai安an全quan實shi踐jian中zhong
，為wei保bao護hu工gong業ye控kong製zhi係xi統tong免mian受shou內nei部bu和he外wai部bu威wei脅xie的de侵qin害hai
，必bi須xu實shi現xian縱zong深shen防fang禦yu的de安an全quan策ce略lve。範fan圍wei包bao括kuo物wu理li安an全quan、網絡安全、計算機加固、應用程序安全和設備加固等方麵。

　　這(zhe)個(ge)想(xiang)法(fa)的(de)基(ji)本(ben)思(si)想(xiang)是(shi)
，如(ru)果(guo)攻(gong)擊(ji)者(zhe)剝(bo)奪(duo)了(le)一(yi)層(ceng)防(fang)禦(yu)，總(zong)會(hui)有(you)另(ling)外(wai)一(yi)層(ceng)阻(zu)止(zhi)他(ta)們(men)的(de)努(nu)力(li)，所(suo)以(yi)
，基(ji)於(yu)該(gai)實(shi)踐(jian)的(de)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)應(ying)該(gai)更(geng)加(jia)安(an)全(quan)
，並(bing)且(qie)可(ke)以(yi)避(bi)免(mian)或(huo)減(jian)輕(qing)威(wei)脅(xie)。除(chu)了(le)這(zhe)些(xie)技(ji)術(shu)上(shang)的(de)措(cuo)施(shi)外(wai)，為(wei)保(bao)護(hu)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)的(de)安(an)全(quan)
，最(zui)重(zhong)要(yao)的(de)還(hai)是(shi)工(gong)業(ye)企(qi)業(ye)管(guan)理(li)層(ceng)應(ying)該(gai)具(ju)有(you)安(an)全(quan)意(yi)識(shi)，製(zhi)定(ding)企(qi)業(ye)的(de)安(an)全(quan)策(ce)略(lve)和(he)程(cheng)序(xu)，並(bing)組(zu)織(zhi)對(dui)員(yuan)工(gong)進(jin)行(xing)安(an)全(quan)意(yi)識(shi)和(he)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)安(an)全(quan)知(zhi)識(shi)的(de)培(pei)訓(xun)。

　　抵禦安全威脅的“保護網”

　　一直以來信息安全通訊協議在ITlingyuyijingbeiguangfanshiyong
，suizhegongyezidonghuakongzhixitongheqiyexinxijishuwangluodebuduanronghe，zaigongyezidonghuaxianchangyebixushiyonganquandetongxunxieyilaidiyucunzaideanquanweixie

，suoyiluokeweierzidonghuahe ODVA 在2015年推出了 CIP Security™ 工業網絡安全通訊協議。

　　CIP Security™ 是眾所周知的標準傳輸層安全協議, 同時也是通過 TLS 安全傳輸層協議和 DTLS 數據報安全傳輸層協議來封裝 CIP 通訊的 CIP 擴展協議，並且
，EtherNet/IP 的安全傳輸也可通過 CIP Security™ 來幫助實現 。標準的 CIP 協議使用了 TCP 和 UDP 來包裹封裝
，但安全的 CIP 通訊則是使用 TLS 和 DTLS 來進行包裹封裝，例如：我們所熟知和常用的 Https 也是使用TLS進行包裹封裝的。

　　同時，CIP Security™ 還具有高適用性
，不但常規的 CIP 協議可以使用
，CIP Security™ 和CIP Motion等都可以使用，也就是說傳輸 CIP Safety 和 CIP Motion 的數據包時也可以通過 TLS 和 DTLS 進行包裹封裝。並且，該協議是基於 IT 領域已經成熟且廣泛使用的開放式安全標準，設備身份標識是采用 X.509 v3 數字證書
，可用於為設備提供加密的安全標識，即加密的身份信息，通過 TLS 傳輸來進行設備的身份驗證，此外，TLS 和 DTLS 也用於之後設備數據的完整性檢查和加密傳輸。數據的完整性采用密鑰散列消息認證碼，即HMAC。

　　使用 CIP Security™ 可幫助實現 EtherNet/IP 安全傳輸，使連接到 EtherNet/IP 的設備能夠保護自身
，CIP Security™ 可以防止三個方麵的安全威脅。

• 一是拒絕非受信人員或非受信設備發送的消息
  ，即識別設備身份的真實性
• 二是拒絕中間人篡改的數據，即確保數據的完整性
• 三是防止數據在通訊的過程中被非法查看，即保證數據的機密性

　　CIP Security™ 是對設備的安全加固，是屬於縱深防禦的一部分
，實施多層安全方案更能抵禦攻擊。

　　CIP Security™ 的多區域部署

　　目前羅克韋爾自動化已經有多種產品支持CIP Security，軟件產品有 FactoryTalk Policy Manager、FactoryTalk Linx 等；硬件有 ControlLogix 5580 係列控製器
、1756-EN4TR EtherNet/IP 通訊網卡、CompactLogix™ 5380、Compact GuardLogix® 5380、CIP Security代理、PowerFlex 755T 變頻器、Armor PowerFlex 以及 Kinetix 5700/Kinetix5300 伺服驅動器等
，近期還將陸續推出更多支持 CIP Security 的產品。

　　羅克韋爾自動化

　　1756-EN4TR EtherNet/IP

通訊網卡

　　1756-EN4TR 以太網通訊模塊提供了更高的吞吐量
，雙1Gig 網口，支持 DLR 環網，能夠連接256根伺服軸
，可以作為冗餘遠程 IO 適配器使用


，同時支持 CIP Security，提供了設備間的認證、數據完整性及數據加密等安全功能，滿足了客戶日益增長的性能及安全需求。

　　羅克韋爾自動化

　　CIP安全代理

　　1783-CSP

　　1783-CSP 是 CIP Security 代理，有了 CIP Security  代理，每個 EtherNet/IP 適配器就都能夠無條件支持 CIP Security 的版本，無需另外開發。特別是對一些老的 I/O 適配器和設備，要實現工業通訊的安全傳輸，支持 CIP Security 的設備可以直接接到控製係統網絡上，把不支持 CIP Security 的產品接到控製係統之前先接到 1783-CSP
，然後再把 1783-CSP 接到控製係統上，這樣 1783-CSP 和 PLC 間的通訊也就是安全的工業通訊。

　　小羅有話說

　　安全威脅無處不在，為工業安全係統安全多加一層“防護”，羅克韋爾自動化多種產品、多項選擇適用於 CIP Security 多層安全方案，共同抵禦安全威脅攻擊，為工業安全保駕護航。