股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
立即咨詢
行業(yè)面臨問題
行業(yè)背景
隨著新一輪工業(yè)革命的來臨，互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等信息技術(shù)正在深入推動制造業(yè)融合創(chuàng)新發(fā)展，我國制造業(yè)轉(zhuǎn)型升級已是刻不容緩。我國政府也出臺相關(guān)政策力推智能制造，隨著“中國制造2025”、“工業(yè)互聯(lián)網(wǎng)”等戰(zhàn)略的快速推進，智能制造試點示范項目分布已經(jīng)逐步拓展到全國范圍，數(shù)字化工廠、智能車間、“燈塔工廠”不斷引領(lǐng)行業(yè)發(fā)展高潮。由于智能制造是基于新一代信息技術(shù)，貫穿設(shè)計、生產(chǎn)、管理、服務(wù)等制造活動各個環(huán)節(jié)，工控信息安全形勢也變得更加復雜嚴峻。
安全問題
工業(yè)控制系統(tǒng)為滿足企業(yè)數(shù)字化轉(zhuǎn)型，逐步打破了原始信息孤島的形式，生產(chǎn)管理系統(tǒng)MES、倉儲管理系統(tǒng)（WMS）與生產(chǎn)控制SCADA/PLC/DNC/CNC/Robot聯(lián)系越發(fā)緊密，也帶來一系列安全風險：不可信數(shù)據(jù)包進入控制系統(tǒng)網(wǎng)，非法身份的用戶對控制系統(tǒng)的訪問，易受來自辦公網(wǎng)或內(nèi)部其它區(qū)域的攻擊威脅。工業(yè)控制系統(tǒng)采用標準的TCP/IP通訊協(xié)議與軟硬件系統(tǒng)，將數(shù)據(jù)共享至工業(yè)控制系統(tǒng)之外的系統(tǒng)，為工業(yè)生產(chǎn)帶來極大推動作用的同時，也帶來了諸多工控系統(tǒng)的安全問題，如：網(wǎng)絡(luò)邊界模糊、TCP/IP協(xié)議自身安全問題、工業(yè)組態(tài)軟件與控制器漏洞、工控機系統(tǒng)漏洞、工業(yè)病毒攻擊、未經(jīng)授權(quán)訪問、非法網(wǎng)絡(luò)嗅探、APT攻擊、僵尸網(wǎng)絡(luò)威脅等等網(wǎng)絡(luò)安全風險和漏洞。同時以往的IT網(wǎng)絡(luò)安全防護技術(shù)已不能適應(yīng)現(xiàn)有的工業(yè)控制系統(tǒng)安全防護需求（如無法實現(xiàn)OPC動態(tài)端口協(xié)議以及其他工業(yè)協(xié)議深度解析的安全防護需求），可見工業(yè)控制系統(tǒng)安全道路任重，刻不容緩！
亞信安全解決方案
工業(yè)控制系統(tǒng)系統(tǒng)網(wǎng)絡(luò)架構(gòu)遵循IEC62264工業(yè)控制系統(tǒng)普渡模型，但基于不同行業(yè)工藝要求的不同以及自動化技術(shù)的迭代，部分層級可能存在不同程度的融合。根據(jù)等保2.0、工業(yè)信息安全防護指南中對工業(yè)控制系統(tǒng)安全要求，依據(jù)“安全分區(qū)、立體防御、安全運維”的原則進行總體防護。同時，智能工廠OT與IT深度融合，不僅僅是流程、技術(shù)、管理的融合，更重要的是觀念、團隊的融合，使得網(wǎng)絡(luò)安全問題全程貫穿，而網(wǎng)絡(luò)安全作為IT與OT融合的前提，必須得到可靠保證。因此，樹立動態(tài)、綜合的網(wǎng)絡(luò)安全防御理念成為必須選項，用系統(tǒng)思維構(gòu)建以基礎(chǔ)結(jié)構(gòu)安全、積極防御、態(tài)勢感知、威脅情報為核心的防御體系。
-
- 網(wǎng)絡(luò)結(jié)構(gòu)
- 依據(jù)業(yè)務(wù)屬性、實際網(wǎng)絡(luò)結(jié)構(gòu)、等級保護要求，將整個網(wǎng)絡(luò)劃分為生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和生產(chǎn)執(zhí)行層四個區(qū)域。根據(jù)業(yè)務(wù)特點、控制系統(tǒng)特點，橫向上對工業(yè)控制系統(tǒng)進行安全區(qū)的劃分，對處于不同的安全區(qū)的系統(tǒng)進行有針對性的安全防護。
-
- 邊界安全
- 通過工業(yè)網(wǎng)閘數(shù)據(jù)單向擺渡的機制，對工業(yè)數(shù)據(jù)進行單向傳輸，杜絕任何來自除工控網(wǎng)絡(luò)以外其他系統(tǒng)的網(wǎng)絡(luò)威脅，同時通過工控防火墻，對跨安全域的訪問行為進行監(jiān)控，阻止非合規(guī)訪問流量通過邊界，尤其是對工業(yè)協(xié)議進行深度解析，通過協(xié)議白名單策略，實現(xiàn)對工業(yè)流量的過濾，防止工業(yè)數(shù)據(jù)傳輸時被竊聽、篡改。
-
- 工控機安全
- 對生產(chǎn)控制區(qū)域內(nèi)部操作員站、服務(wù)器等設(shè)備節(jié)點的防護已成為工控系統(tǒng)安全的基礎(chǔ)環(huán)節(jié)，可為控制系統(tǒng)提供基礎(chǔ)的防御與保護。通過在生產(chǎn)控制區(qū)域內(nèi)的工程師站、操作員站部署工業(yè)主機白名單產(chǎn)品，對工控主機系統(tǒng)、工控軟件、接入設(shè)備等計算環(huán)境進行安全加固與白名單管理。實現(xiàn)主機惡意代碼防范，提升主機本體防御能力。
-
- 流量安全監(jiān)測
- 對生產(chǎn)控制區(qū)域，根據(jù)網(wǎng)絡(luò)結(jié)構(gòu)及安全域劃分，在關(guān)鍵網(wǎng)絡(luò)節(jié)點及系統(tǒng)，對全流量進行監(jiān)測，對生產(chǎn)設(shè)備及資產(chǎn)進行自動發(fā)現(xiàn)和識別，實現(xiàn)資產(chǎn)管理；對監(jiān)控系統(tǒng)的資產(chǎn)進行脆弱性檢查，包括資產(chǎn)所對應(yīng)的漏洞信息，開放的端口和不安全的協(xié)議；進行工業(yè)環(huán)境的異常操作監(jiān)測，如：工程師站組態(tài)變更、操控指令變更、下裝、固件升級等關(guān)鍵事件；對控制網(wǎng)絡(luò)中的工業(yè)入侵行為、網(wǎng)絡(luò)病毒進行監(jiān)測預警。
為防護APT攻擊，實現(xiàn)對高級可持續(xù)威脅的防護，須在生產(chǎn)區(qū)域關(guān)鍵匯聚節(jié)點部署高級可持續(xù)威脅防護系統(tǒng)，實現(xiàn)全流量溯源、威脅分析。
-
- 安全運維
- 在生產(chǎn)管理層，嚴格管控對生產(chǎn)監(jiān)控網(wǎng)的訪問，通過工業(yè)堡壘機進行認證管理、賬號管理、權(quán)限管理、操作審計等策略，實現(xiàn)運維操作的準入、控制以及審計，根據(jù)身份與權(quán)限進行訪問控制，并且對操作行為進行安全審計。
-
- 數(shù)據(jù)安全
- 部署存儲備份系統(tǒng)或容災恢復系統(tǒng)對靜態(tài)存儲和動態(tài)傳輸過程中的重要工業(yè)數(shù)據(jù)進行保護，能夠提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復功能。重要工業(yè)數(shù)據(jù)應(yīng)加密存儲，定期備份關(guān)鍵業(yè)務(wù)數(shù)據(jù)，并設(shè)置訪問權(quán)限。
-
- 安全管理運營
- 為滿足等級保護相關(guān)要求，提高工業(yè)安全運營管理的效率，應(yīng)建立工業(yè)安全管理中心，通過部署工控安全管理平臺進行企業(yè)工業(yè)網(wǎng)絡(luò)安全的統(tǒng)一管理，實現(xiàn)安全設(shè)備集中狀態(tài)監(jiān)控、日志收集、策略下發(fā)等，實現(xiàn)對整個工控系統(tǒng)網(wǎng)絡(luò)安全威脅的集中管控與展示；部署日志審計系統(tǒng)，實現(xiàn)日志留存、審計分析，為安全專員提供有效技術(shù)手段。
