西門子代理商 西門子一級代理商 西門子SM331數字量輸入模塊 西門子SM331數字量輸入模塊

網絡罪犯越來越多地襲擊工業設施，試圖在安全墻上找到漏洞。作為對策，專家們不斷升級防御措施。西門子已制定出一套防御策略來協助他們。

2017年是安全專家們難忘的一年。5月，WannaCry病毒爆發，所到之處一片狼藉，為之震驚。在德國，許多火車站的電子告示牌一度關閉，英國的一些醫院不得不推遲手術，世界各地的汽車制造商紛紛發現裝配線停滯不動。但事情遠未就此結束。時隔短短一個月，在6月，一個名為NotPetya的類似病毒再次爆發。這里僅舉一例來說明其影響之惡劣：受其影響，大航運公司馬士基（Maersk）無法知道有哪些貨物已出海，有哪些貨物還在集裝箱碼頭。此次網絡襲擊造成了高達3億歐元的損失。

確保數字系統的安全至關重要，因為網絡襲擊不僅影響到消費者，而且影響到越來越多的工業企業。據俄羅斯網絡犯罪專家卡巴斯基實驗室收集的統計數據，2017年它在范圍內調查的1000家公司中，三分之一表示它們曾受到有針對性的網絡襲擊——比上一年的數據增加了8%。不僅如此，網絡襲擊變得越來越復雜，有時要在幾周之后才會被發現。

未來，生產線將能獨立響應變化的需求，如要求生產不同車型，所需部件都有存貨。當這樣的發展成為現實，隨之而來的密集信息成為了犯罪分子垂涎的目標。

量身定制的襲擊

挑戰在于，當今的工業制造工廠不僅嚴重依賴數字系統，而且聯網日益緊密。這樣一來，效力于政府、犯罪組織或其他機構的將找到越來越多的薄弱點，從而進行蓄意破壞、工業間諜活動或敲詐勒索。他們不再使用隨機擴散的分布式拒絕服務（DDoS）發動攻擊，通過狂轟濫炸似的詢問導致網站崩潰。西門子工業安全服務主管Henning Rudolf博士表示，“網絡罪犯越來越多地發起針對特定工業設施量身定制的襲擊。作為自動化解決方案制造商，我們每天都要遭遇這樣的襲擊。確保這些系統的安全是我們的日常工作。”

要想獲得成功，比起這些需要動用大量資源、使用高度專業化手段的復雜襲擊而言，西門子這樣的公司必須一步，先發制人。Rudolf說：“這是一場貓鼠游戲。當然，這意味著安全措施必須隨時跟上技術。”哪怕它們保護的設備已不再那么先進，仍須如此。辦公設備的生命周期通常為2到4年，而工業設施的使用壽命則長達20年乃至30年。

亟需保護：模擬、3D打印、輕型機器人——這些都是推動第四次工業革命（或稱工業4.0）的創新技術。在德國埃爾蘭根的西門子電子制造工廠，它們已經成為現實。

100多萬臺設備使用安全的MindSphere

有鑒于此，西門子工業安全服務部門的專家制定出一套基于“縱深防御”概念的階段式防御策略，以支持西門子提供的工業技術和其他制造商生產的設備適應不斷變化的威脅。這一策略包含三個相互協調的連續保護功能。首先是設施安全系統，如采用生物特征識別的物理門禁系統。第二條防御線是網絡安全系統，譬如，借助防火墻和虛擬專網（VPN）等手段來保護生產系統和工業通訊。第三道保護墻是系統集成，為終端和自動化系統提供密碼保護，或者僅允許通過白名單殺毒軟件授予權限的特定軟件進行訪問。

多虧有1275名網絡安全員工，西門子得以做好充分的準備抵御網絡襲擊。這些專家發揮他們數字工廠技術專長，充分利用MindSphere——西門子基于云的開放式物聯網操作系統，支持設施管理者執行預測性維護和能源數據管理或優化利用資源。目前已有超過100萬臺設備連接至MindSphere，預計到2018年底，這個數字將增至125萬臺。盡管“云”聽起來短暫易逝，但將數據保存在云端比保存在許多企業計算機中更加安全。MindSphere符合主流安全標準，如規定了自動化系統IT安全等級的標準IEC62443。MindSphere對數據流量進行加密，并使用高度安全的計算機中心。

保護理念的專家：西門子工業安全服務主管Henning Rudolf

自適應的安全架構

不幸的是，許多工業設施的安全之門敞開著，網絡罪犯輕而易舉就能向它們發起攻擊。當Henning Rudolf這樣的專家造訪客戶時，他們常常遇到像“123456”或“Password”這樣的密碼。此外，許多公司都不及時下載安全更新。去年，如果及時安裝了這樣的更新，那么，一些系統或許根本不會受到WannaCry和NotPetya的影響。

長遠來看，西門子專家認為，僅僅確保主要生產設施的安全是不夠的，還必須全天候監測安全系統。Rudolf說：“對于西門子設施，我們使用了一個包含約40000個網絡襲擊指示參數的監測系統。”一些公司無力承擔這樣的監測，因此，單獨的安全中心，包括西門子提供的安全中心，終將為它們提供監測服務。Rudolf表示，“未來，自適應安全架構也將有助于確保安全，它們可利用數據來測試操作系統。然而，現在網絡罪犯也在使用人工智能。”換句話說，網絡安全的貓鼠游戲將是一場曠日持久的對峙。

運行 CPU 所需的 SIMATIC 存儲卡

CPU 1517-3 PN/DP 是具有極大容量程序及數據存儲器的 CPU，適用于除集中式 I/O 外還包含分布式自動化結構的應用中要求十分苛刻的任務。

可被用作 PROFINET IO 控制器或分布智能系統（PROFINET 智能設備）。集成式 PROFINET IO IRT 接口設計為 2-端口交換機以便在系統中設立總線型拓撲。

附加的集成 PROFINET 接口，具有單獨的 IP 地址，可用于網絡分離等。

分布式 I/O 可通過 PROFIBUS 以及集成 PROFIBUS 接口進行連接。

另外，CPU 還提供全面的控制功能，并能夠通過標準化的 PLC-open 塊連接變頻器。

西門子CPU 1515-2 PN產品信息：

• 性能
  • 指令處理速度更快, 取決于 CPU 型號、語言擴展和新的數據類型
  • 由于背板總線速度顯著提高，CPU 的響應時間縮短
  • 功能強大的網絡連接：
    每個 CPU 均標配PROFINET IO IRT（2 端口交換機）標準接口。
• 集成技術
  • 通過標準化的塊 (PLCopen) 連接模擬驅動器和具有 PROFIdrive 功能的驅動器
  • 支持轉速控制軸和定位軸以及外部編碼器
  • 具有所有 CPU 變量的跟蹤功能，用于實時診斷和偶發故障檢測
  • 全面的控制功能，例如，通過便于組態的塊可自動優化控制參數實現優控制質量
• 集成安全功能
  • 通過密碼進行知識保護，防止未經授權讀取和修改程序塊
  • 通過復制保護，可綁定 SIMATIC 存儲卡的程序塊和序列號：只有在將配置的存儲卡插到 CPU 中時，該程序塊才可運行。
  • 4-級 授權理念：
    也可以對和 HMI設備之間進行的通信進行限制。
  • 操作保護：
    該控制器可以識別工程組態數據的更改和未授權傳輸。
• 設計與操作
  • 顯示器，用于顯示概覽信息，
    例如：站名、高級別名稱、位置名稱等概覽信息、診斷信息、模塊信息和顯示器設置。
  • 顯示器上可能的操作： 
    設置 CPU 或者所連接以太網通信處理器的地址、設置日期和時間、選擇 CPU 的操作模式、復位 CPU 至默認設置、禁用/啟用顯示器、激活保護等級。
• 集成式系統診斷
  • 顯示屏上、TIA Portal 中、人機界面設備上以及 Web 服務器上以普通文本形式*顯示系統診斷信息（甚至能顯示來自變頻器的消息），即使 CPU 處于停止模式也會進行更新。
  • 集成在 CPU 的固件中，無須進行特殊組態
• SIMATIC 存儲卡（運行 CPU 所需）
  • 用作插入式裝載存儲器，或用于更新固件。
  • 還可用于存儲附加文檔或 csv 文件（用于配方和歸檔）
  • 通過用戶程序的系統函數創建數據塊實現數據存儲/讀取
• 數據記錄（歸檔）和配方
  • csv 格式配方文件存儲并歸檔在 SIMATIC 存儲卡中；
    利用辦公工具或 Web 瀏覽器可以方便地訪問與設備相關的運行數據
  • 通過網頁瀏覽器或 SD 讀卡器，可方便地訪問機器的組態數據（與控制器之間的雙向數據交換）
• 編程
  • 使用 STEP 7 Professional V13 或更高版本進行編程
  • 移植工具，用于 SIMATIC S7-300/S7-400 至 S7-1500 的移植操作，可以自動地完成大部分程序代碼的轉換工作。記錄不可轉換的代碼，并可以手動進行調整。