1704018680
1704018681
为了保证性能需求，建议客户遵循如下针对网络规模和网络分段的规则：
1704018682
1704018683
1）一个PROFINET I/O系统中的所有设备都规划到一个网络单元中。
1704018684
1704018685
2）在设备和设备之间的通信数据量非常大的情况下，应该将它们规划到一个网络单元中。
1704018686
1704018687
3）如果一台设备仅仅和一个网络单元之间存在数据通信，同时保护目标是一致的，则应该将该设备和网络单元合并到一个网络单元中。
1704018688
1704018689
2.办公网络和工厂网络联网的安全
1704018690
1704018691
从一种网络过渡到其他网络时，可以通过防火墙和建立非军事区（DMZ）对工厂网络进行监控与保护。DMZ是为了保护工厂网络增加的一道安全防线。DMZ对其他网络可以提供数据服务，同时也确保其他网络不能直接访问自动化网络。即使DMZ中的计算机被黑客劫持，自动化网络仍然能被保护（见图7-13）
1704018692
1704018693
3.远程访问的安全
1704018694
1704018695
越来越多的工厂通过互联网连接到了一起。由于世界各地的械设备对远程服务、远程应用和实时监控的需求，远程的工厂通过移动网络（GPRS、UMTS、LTE）连接起来。
1704018696
1704018697
在这种情形下，安全访问尤其重要。借助搜索引擎、端口扫描或者自动化的脚本，黑客能够轻易发现不安全的访问节点。这就是通信节点要身份认证，数据的传输需要加密且数据的完整性必须保证的原因，特别是对于工厂的关键基础设施的访问而言。未经授权人员的访问、机密数据的读取和控制命令参数的修改都可能导致相当大的破坏、环境的污染及人员的伤害。
1704018698
1704018699
1704018700
1704018701
1704018702
图7-13 办公网络和工厂网络联网的安全
1704018703
1704018704
VPN机制提供身份认证、加密和完整性保护，是可以提供有效保护的一种措施。西门子的互联网安全产品支持VPN连接，因此可以安全地通过互联网或移动网进行数据传输、控制和访问。
1704018705
1704018706
正常的情况下，设备认证证书和值得信赖的IP地址或域名名称通过防火墙的规则来阻止或允许。VPN设备和SCALANCE S防火墙使用特定用户防火墙规则赋予访问用户权限。在这种情况下，用户使用他们的名字和密码登陆Web界面，由于每个已授权的用户被分配了特殊的防火墙规则，所以该用户根据其访问权限获得相应的访问能力。使用用户防火墙规则的优势在于可以清楚地跟踪特定时间内对系统的访问情况。
1704018707
1704018708
带有三个端口的SCALANCE S623防火墙给系统集成商、OEM和最终用户提供了相应的解决方案。一方面，设备制造商出于远程维护的目的需要访问安装在最终用户那里的机器；但另一方面，最终用户的IT部门不愿意在外部访问工厂机器时连接工厂的整个网络。通过SCALANCE S623，机器可以连接到工厂网络并且使用第三个端口连接防火墙到互联网。这样可以从互联网访问机器而不能从互联网访问该工厂网络。也就是，技术服务人员可以远程访问机器设备但不可以访问工厂网络（见图7-14）。
1704018709
1704018710
1704018711
1704018712
1704018713
图7-14 不能访问工厂网络情况下的远程访问工厂设备
1704018714
1704018715
7.7.4 系统完整性
1704018716
1704018717
系统完整性意味着自动化系统的控制器组件、SCADA和HMI系统等要具备防止未经授权和恶意软件的访问或者需要满足特殊需求（如专有知识等）的保护功能。
1704018718
1704018719
1.在工厂网络中保护基于PC的系统
1704018720
1704018721
就像办公网络的计算机系统为了防止恶意软件的侵袭，通过安装更新补丁来消除操作系统或用户软件的漏洞，在工厂网络中的工业计算机和基于PC的控制系统也需要相应的保护措施。在办公环境中已经证明的保护系统（如病毒扫描器）也可以在工厂网络中使用。因为病毒扫描器无法检测到所有的病毒，也无法阻止最新的病毒，特别在自动化环境中不能及时地更新软件，例如需要7×24操作期，所以应根据情况来选择是否使用病毒扫描器。
1704018722
1704018723
使用一种所谓的白名单软件可以替代病毒扫描器。白名单只允许运行用户定义的程序列表。如果一个用户或恶意软件试图安装一个新的程序，白名单会拒绝，从而防止其对系统的破环。
1704018724
1704018725
（1）系统加固
1704018726
1704018727
系统加固是对操作系统进行适当有效的配置，减少系统受攻击的弱点，主要可以从以下3个方面考虑：
1704018728
1704018729
1）网络服务。