鑽石舞台

1.實訓教學平台建設的目標與原則

浙江大學工業控制系統信息安全實訓教學平台（下文簡稱「實訓教學平台」）面向浙江大學工業控制專業、電氣工程與網絡信息安全相關專業的本科生和研究生而開發，以培養滿足工業企業實際需求的人才為目標，最大限度地提供實網、實境、實戰的工控系統信息安全沉浸式教育。此外，實訓教學平台還可以面向社會承擔工控系統信息安全培訓任務。

實訓教學平台在建設過程中遵循兩大原則：①實訓教學平台能夠逼真地模擬典型工業場景，在學習過程中給學生以沉浸式感受，增強學習效果；②實訓教學平台採用虛實相結合的形式，儘可能地減少場地占用，節約建設成本。

2.實訓教學平台架構設計

根據學生實訓需求和工業企業的工控系統應用現狀，本研究選取電力系統、天然氣長輸管線兩大工業場景來構建實訓教學平台。依據兩大場景的現場工業控制系統網絡拓撲，本研究設計了實訓教學平台4層網絡架構，如圖1所示。為保證每層網絡的數據安全，每層網絡之間不能直通，因而在企業辦公網與生產管理網之間用1台信息網絡防火牆隔離，在生產管理網與生產控制網之間用1台工業網絡防火牆隔離，每個防火牆都配置相應的安全策略。

①0層：學生實訓接入網，是學生參加實訓時的接入平台。學生實訓接入網配置了11台交換機，且全部採用實物方式配置。其中，1台為匯聚交換機，其他10台為接入交換機。學生實訓接入網一次可以容納10組學生參加實訓，但每組最多為4名學生，因此實訓教學平台最多可以同時承擔40名學生的實訓學習。

圖1 工業控制系統信息安全實訓教學平台架構

②1層：企業辦公網，用於模擬企業辦公所需的各類應用與服務。1層的企業辦公網配置了1台辦公服務器，可以安裝20台虛擬機。虛擬機之間相互隔離，其中10台虛擬機作為企業門戶網站服務器並安裝相關軟件，另外10台作為企業郵件服務器並安裝相關軟件，以提供與企業現場相同的企業門戶網站與郵件服務功能——這20台虛擬機均可作為遠程攻擊滲透的入口。

③2層：企業生產管理網，用於模擬企業生產管理所需的各類應用與服務。2層的企業生產管理網配置了1台生產管理服務器，可以安裝30台虛擬機。虛擬機之間相互隔離，其中10台虛擬機作為企業資產管理站，10台作為生產過程優化站，另外10台作為企業生產管理站，分別安裝與企業現場相同的資產管理、生產過程優化、企業生產管理軟件，以提供與企業現場相同的應用與服務——這30台虛擬機均可作為網絡攻擊滲透通道。

④3層：企業生產控制網，用於模擬企業生產過程與工業控制系統的各類應用與服務。3層的企業生產控制網配置了3台生產模擬服務器、20台工控操作員站、2套流程工業微縮生產裝置和2套工業控制系統。具體來說，3台生產模擬服務器安裝40台虛擬機，其中20台虛擬機作為虛擬工控系統操作站，在操作員站和虛擬操作員站安裝工業控制系統監控軟件，用於模擬工業現場的操作員行為；另外20台虛擬機作為工控蜜罐安裝工控系統蜜罐軟件，工控蜜罐用於增加實訓學習過程中的攻防難度。20台工控操作員站用於U盤擺渡滲透，不同工控操作員站之間通過IP分配策略相互隔離。2套流程工業微縮生產裝置是指1套電力系統縮微生產裝置和1套天然氣長輸管線微縮生產裝置，前者能夠動態、逼真地模擬火力發電場景中的發、變、輸、配、用等關鍵流程並可發出1kw電力供給用電設備，後者能夠動態、逼真地模擬天然氣傳輸場景的首站、增壓站、門站等關鍵工業流程，這2套裝置均配置傳感器與執行器，通過硬接線與工業控制系統進行數據交互。2套流程工業微縮生產裝置分別由其對應的1套工業控制系統進行控制，這2套系統採用國內企業使用的主流工業控制系統軟硬件，能夠實現對微縮生產裝置相關設備的啟動、停止操作和聲光電信號狀態反饋顯示，並實時監控微縮生產裝置的運行狀態。

上述1～3層網絡模擬了電力系統和天然氣長輸管線兩大工業場景的工業控制系統網絡拓撲和生產所需的各類應用服務。考慮到經費與場地受限，實訓教學平台採用虛實結合方式建設：企業辦公網與企業生產管理網的硬件以虛擬為主，企業生產控制網的硬件以實物為主；所有軟件全部採用工業生產現場所用軟件。參加實訓課程的學生可以在0層接入實訓教學平台，由此進入企業辦公網，之後滲透穿過防火牆進入企業生產管理網，最後滲透穿過工業防火牆進入企業生產控制網，並在企業生產控制網內的工業控制系統完成對電力縮微生產裝置或天然氣長輸縮微生產裝置的操控，觸發縮微生產裝置聲、光、電的響應和執行器的動作，從而完成一次完整的信息安全攻防實踐。

值得一提的是，實訓教學平台還配置了1台攻防管理服務器、1台入侵檢測服務器、1台終端防護服務器。其中，攻防管理服務器安裝攻防管理軟件與課程管理軟件，提供登錄管理、學習過程動態記錄、自動打分等功能；入侵檢測服務器安裝流量異常檢測軟件，用於數據流量監測、異常報警；終端防護服務器安裝終端安全防護軟件，用於整個網絡中每台計算機和服務器異常行為的辨識與報警，自動構建網絡攻擊滲透路徑，並對網絡攻擊鏈追蹤溯源。入侵檢測服務器和終端防護服務器還有一個重要功能，是作為學習過程中防守方的防守工具與接入口。

工控系統信息安全實訓課程緊密依託實訓教學平台開發，主要分為兩類：①知識學習課程，具有內容廣而精、針對性強的特點。與傳統的專業課程相比，知識學習課程的知識面更廣，涉及計算、自動化、電氣、能源動力學科的相關內容；課程內容也更具針對性，其在各學科中只抽取與工控系統信息安全相關的內容放到課程內容中。②攻防實訓課程，是利用實訓教學平台中的工控系統、縮微生產裝置和其他應用服務與學生互動的課程，以學生動手實戰實操為主。

1.知識學習課程設計

知識學習課程是指工控系統信息安全學習過程中必備的基本知識，主要包括基礎知識、專業知識、網絡安全知識，如表1所示。其中，網絡安全知識是指網絡安全相關的概念及術語。知識學習課程配有名師講解錄製的視頻、實踐操作的演示視頻、課後作業題與思考題，知識學習課程被存放在攻防管理服務器中，學生可以通過客戶端註冊、登錄後學習。

表1 知識學習課程設計

2.攻防實訓課程設計

攻防實訓課程是指依託實訓教學平台，利用感官或動手操作來完成的實踐課程，包括工業生產及其安全、工業控制系統及其功能安全、工控系統信息安全與常用攻防手段、國內外典型工控系統信息安全案例分析及復現、工控系統信息安全攻防實踐五類課程，具體如表2所示。

表2 攻防實訓課程設計

值得一提的是，「工控系統信息安全攻防實踐」課程採用奪旗賽（Capture The Flag，CTF）模式，將實訓學生分成若干個小組，每個小組4人，要求每個小組針對課程設定的Flag或目標逐級滲透，並以最終提交Flag或改變目標狀態作為滲透成功的標誌。在CTF模式下，實訓教學平台為實訓學生提供了網絡安全工具庫，供學生參與實訓課程時方便地下載使用相關安全工具。