优秀案例---工业信息安全产品及服务实践案例

优秀案例---工业信息安全产品及服务实践案例

一、案例背景

作为国家重要的大型装备制造企业，为提高复杂产品的工艺创新能力、缩短产品研制周期、提高市场应变能力不断采用先进的协同设计与过程控制应用，按照信息安全同步建设、同步规划的思想，需要在使用先进的协同设计与过程控制应用时，从订单、设计、工艺、生产各环节中同步保障其信息安全。工业控制系统是某公司的核心竞争力，所以本项目按等级保护和工控系统的层级防护要求进行总体架构设计，结合DNC系统中的机床防护需求形成。

二、核心问题分析

企业在对工控生产网络进行信息化建设时，暴露出了一些信息安全问题，比如：

（1）大多CNC设备采用国外品牌，面临着国外厂商运维时重要数据泄露的风险。

（2）工控网络未进行安全域划分，缺少访问控制措施。

工业控制系统操作站及服务器大多采用windows系统，存在系统漏洞，USB接口缺乏管控。

（3）工控网络与管理网或与DNC服务器连接时，在提高效率的同时也面临着被感染病毒、恶性攻击的风险。

（4）整体安全管理策略缺失，如编程工作站、机床的漏洞、人员的操作流程等方面。

三、对策与措施

***公司深耕工业互联网安全4年有余，形成了完善的产品体系。并在石油石化、电力、轨道交通、烟草、先进制造、市政等多个领域建立近百个工控安全实践案例。

根据各行业应用特征，为用户提供该项目总体设计框架图如下所示：

图基于全生命周期的信息安全总体框架

建设规模内容：

（1）以机床为核心的工控网区域划分：按等级保护的基本要求，以“纵向分层、横向分区”的主导思想对工控网区域进行划分。纵向分为管理执行层、生产控制层、现场设备层。再在各个层级中按照车间进行相应区域的划分。在现场设备层主要是设备区，生产控制层中分生产系统区和安全运维区，管理层中主要是技术中心和DNC服务器区。

（2）现场设备层的安全防护：主要针对数控机床进行安全防护，抵御来自工控网将现场数控机床设备与管理层系统连接的一切风险，隔离对数控机床不合法的一切连接，阻止非法入侵与攻击。对数控机床访问进行控制，明确访问的目的地址与源地址，防止非法访问，在连接工控网的每一台数控机床前面，部署一台工业防火墙。

（3）生产控制层的网络安全防护：对生产控制层网络进行安全防护，主要是对边界进行访问控制，对网络内部进行异常监测。防止网络边界不清晰使病毒蠕虫进入工控网中,并且及时发现网络异常行为。

（4）生产控制层的主机安全防护：对生产控制层的主机进行安全防护，主要是对工作站主机进行保护，针对一些孤立的或者在很小范围内实现网络互联的一些工控系统主机进行保护。部署试用工控系统的工控漏洞扫描系统，被动的进行工控漏洞扫描，及时发现工控系统漏洞。对工控系统的所有网络设备、主机设备、中间件等进行基准的安全要求核查。

（5）生产控制的应用和数据安全防护：针对生产数据的保护，需要通过部署恶意代码监测系统和敏感信息检测系统，通过对多种类型的文件、多种报警方式进行深度扫描和分析，识别出可能存在的0DAY 漏洞和NDAY漏洞，进行相应处置，保证安全性。

（6）建立一套信息安全管理平台：按照等级保护安全技术设计要求，应建立工控信息安全管理平台。平台统一管理工业控制的系统设备、安全设备及日志信息，将多个设备日志信息关联分析，对所有工控安全设备的事件统一展示并分析。

（7）建立工控安全管理制度规范：按照国际SP800-82标准和国家等级保护标准，本次项目在完成技术防护措施基础上，需要建立安全管理制度，制度从组织人员、物理及环境、应急预案、运维管理几个方面保障在制度层面对工控系统有完整的保护措施。

四、案例特色及应用价值

（一）工业控制网络安全区域划分

以机床为核心的工业控制网络区域划分，按照等级保护的基本要求，以“纵向分层、横向分区”的主导思想，将纵向分为管理执行层、生产控制层、现场设备层。横向从网络功能的角度进行分区，如技术中心为一个安全区，服务器区为一个安全区、办公区为一个安全区。现场设备层的车间从地理区域的角度进行划分，如车间1为一个安全区，车间2为一个安全区。在安全区域划分的同时明确第三方运维人

员的运维方式，明确运维连接的接口，远程运维人员通过SSLVPN访问现场故障设备。

（二）安全防护精细

通过工控网边界隔离，数控机床近端安全防护降低了机床被攻击的风险。

（三）运维安全可靠

实现远程运维链路加密、运维操作的访问控制和审计。

（四）风险全面监测

实现工控网已知和未知入侵、病毒检测及敏感信息泄漏检测，工控系统漏洞检测以及安全配置基线全面管控。

（五）数据深度解析

实现不同来源的工控信息安全事件统一分级及处理，实现信息深度分析，呈现全网信息安全状况，提升安全管理水平。