股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
立即咨詢
行業(yè)面臨問題
行業(yè)背景
隨著新一輪工業(yè)革命的來臨，互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等信息技術(shù)正在深入推動(dòng)制造業(yè)融合創(chuàng)新發(fā)展，我國制造業(yè)轉(zhuǎn)型升級(jí)已是刻不容緩。我國政府也出臺(tái)相關(guān)政策力推智能制造，隨著“中國制造2025”、“工業(yè)互聯(lián)網(wǎng)”等戰(zhàn)略的快速推進(jìn)，智能制造試點(diǎn)示范項(xiàng)目分布已經(jīng)逐步拓展到全國范圍，數(shù)字化工廠、智能車間、“燈塔工廠”不斷引領(lǐng)行業(yè)發(fā)展高潮。由于智能制造是基于新一代信息技術(shù)，貫穿設(shè)計(jì)、生產(chǎn)、管理、服務(wù)等制造活動(dòng)各個(gè)環(huán)節(jié)，工控信息安全形勢(shì)也變得更加復(fù)雜嚴(yán)峻。
安全問題
工業(yè)控制系統(tǒng)為滿足企業(yè)數(shù)字化轉(zhuǎn)型，逐步打破了原始信息孤島的形式，生產(chǎn)管理系統(tǒng)MES、倉儲(chǔ)管理系統(tǒng)（WMS）與生產(chǎn)控制SCADA/PLC/DNC/CNC/Robot聯(lián)系越發(fā)緊密，也帶來一系列安全風(fēng)險(xiǎn)：不可信數(shù)據(jù)包進(jìn)入控制系統(tǒng)網(wǎng)，非法身份的用戶對(duì)控制系統(tǒng)的訪問，易受來自辦公網(wǎng)或內(nèi)部其它區(qū)域的攻擊威脅。工業(yè)控制系統(tǒng)采用標(biāo)準(zhǔn)的TCP/IP通訊協(xié)議與軟硬件系統(tǒng)，將數(shù)據(jù)共享至工業(yè)控制系統(tǒng)之外的系統(tǒng)，為工業(yè)生產(chǎn)帶來極大推動(dòng)作用的同時(shí)，也帶來了諸多工控系統(tǒng)的安全問題，如：網(wǎng)絡(luò)邊界模糊、TCP/IP協(xié)議自身安全問題、工業(yè)組態(tài)軟件與控制器漏洞、工控機(jī)系統(tǒng)漏洞、工業(yè)病毒攻擊、未經(jīng)授權(quán)訪問、非法網(wǎng)絡(luò)嗅探、APT攻擊、僵尸網(wǎng)絡(luò)威脅等等網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和漏洞。同時(shí)以往的IT網(wǎng)絡(luò)安全防護(hù)技術(shù)已不能適應(yīng)現(xiàn)有的工業(yè)控制系統(tǒng)安全防護(hù)需求（如無法實(shí)現(xiàn)OPC動(dòng)態(tài)端口協(xié)議以及其他工業(yè)協(xié)議深度解析的安全防護(hù)需求），可見工業(yè)控制系統(tǒng)安全道路任重，刻不容緩！
亞信安全解決方案
工業(yè)控制系統(tǒng)系統(tǒng)網(wǎng)絡(luò)架構(gòu)遵循IEC62264工業(yè)控制系統(tǒng)普渡模型，但基于不同行業(yè)工藝要求的不同以及自動(dòng)化技術(shù)的迭代，部分層級(jí)可能存在不同程度的融合。根據(jù)等保2.0、工業(yè)信息安全防護(hù)指南中對(duì)工業(yè)控制系統(tǒng)安全要求，依據(jù)“安全分區(qū)、立體防御、安全運(yùn)維”的原則進(jìn)行總體防護(hù)。同時(shí)，智能工廠OT與IT深度融合，不僅僅是流程、技術(shù)、管理的融合，更重要的是觀念、團(tuán)隊(duì)的融合，使得網(wǎng)絡(luò)安全問題全程貫穿，而網(wǎng)絡(luò)安全作為IT與OT融合的前提，必須得到可靠保證。因此，樹立動(dòng)態(tài)、綜合的網(wǎng)絡(luò)安全防御理念成為必須選項(xiàng)，用系統(tǒng)思維構(gòu)建以基礎(chǔ)結(jié)構(gòu)安全、積極防御、態(tài)勢(shì)感知、威脅情報(bào)為核心的防御體系。
-
- 網(wǎng)絡(luò)結(jié)構(gòu)
- 依據(jù)業(yè)務(wù)屬性、實(shí)際網(wǎng)絡(luò)結(jié)構(gòu)、等級(jí)保護(hù)要求，將整個(gè)網(wǎng)絡(luò)劃分為生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場(chǎng)控制層和生產(chǎn)執(zhí)行層四個(gè)區(qū)域。根據(jù)業(yè)務(wù)特點(diǎn)、控制系統(tǒng)特點(diǎn)，橫向上對(duì)工業(yè)控制系統(tǒng)進(jìn)行安全區(qū)的劃分，對(duì)處于不同的安全區(qū)的系統(tǒng)進(jìn)行有針對(duì)性的安全防護(hù)。
-
- 邊界安全
- 通過工業(yè)網(wǎng)閘數(shù)據(jù)單向擺渡的機(jī)制，對(duì)工業(yè)數(shù)據(jù)進(jìn)行單向傳輸，杜絕任何來自除工控網(wǎng)絡(luò)以外其他系統(tǒng)的網(wǎng)絡(luò)威脅，同時(shí)通過工控防火墻，對(duì)跨安全域的訪問行為進(jìn)行監(jiān)控，阻止非合規(guī)訪問流量通過邊界，尤其是對(duì)工業(yè)協(xié)議進(jìn)行深度解析，通過協(xié)議白名單策略，實(shí)現(xiàn)對(duì)工業(yè)流量的過濾，防止工業(yè)數(shù)據(jù)傳輸時(shí)被竊聽、篡改。
-
- 工控機(jī)安全
- 對(duì)生產(chǎn)控制區(qū)域內(nèi)部操作員站、服務(wù)器等設(shè)備節(jié)點(diǎn)的防護(hù)已成為工控系統(tǒng)安全的基礎(chǔ)環(huán)節(jié)，可為控制系統(tǒng)提供基礎(chǔ)的防御與保護(hù)。通過在生產(chǎn)控制區(qū)域內(nèi)的工程師站、操作員站部署工業(yè)主機(jī)白名單產(chǎn)品，對(duì)工控主機(jī)系統(tǒng)、工控軟件、接入設(shè)備等計(jì)算環(huán)境進(jìn)行安全加固與白名單管理。實(shí)現(xiàn)主機(jī)惡意代碼防范，提升主機(jī)本體防御能力。
-
- 流量安全監(jiān)測(cè)
- 對(duì)生產(chǎn)控制區(qū)域，根據(jù)網(wǎng)絡(luò)結(jié)構(gòu)及安全域劃分，在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)及系統(tǒng)，對(duì)全流量進(jìn)行監(jiān)測(cè)，對(duì)生產(chǎn)設(shè)備及資產(chǎn)進(jìn)行自動(dòng)發(fā)現(xiàn)和識(shí)別，實(shí)現(xiàn)資產(chǎn)管理；對(duì)監(jiān)控系統(tǒng)的資產(chǎn)進(jìn)行脆弱性檢查，包括資產(chǎn)所對(duì)應(yīng)的漏洞信息，開放的端口和不安全的協(xié)議；進(jìn)行工業(yè)環(huán)境的異常操作監(jiān)測(cè)，如：工程師站組態(tài)變更、操控指令變更、下裝、固件升級(jí)等關(guān)鍵事件；對(duì)控制網(wǎng)絡(luò)中的工業(yè)入侵行為、網(wǎng)絡(luò)病毒進(jìn)行監(jiān)測(cè)預(yù)警。
為防護(hù)APT攻擊，實(shí)現(xiàn)對(duì)高級(jí)可持續(xù)威脅的防護(hù)，須在生產(chǎn)區(qū)域關(guān)鍵匯聚節(jié)點(diǎn)部署高級(jí)可持續(xù)威脅防護(hù)系統(tǒng)，實(shí)現(xiàn)全流量溯源、威脅分析。
-
- 安全運(yùn)維
- 在生產(chǎn)管理層，嚴(yán)格管控對(duì)生產(chǎn)監(jiān)控網(wǎng)的訪問，通過工業(yè)堡壘機(jī)進(jìn)行認(rèn)證管理、賬號(hào)管理、權(quán)限管理、操作審計(jì)等策略，實(shí)現(xiàn)運(yùn)維操作的準(zhǔn)入、控制以及審計(jì)，根據(jù)身份與權(quán)限進(jìn)行訪問控制，并且對(duì)操作行為進(jìn)行安全審計(jì)。
-
- 數(shù)據(jù)安全
- 部署存儲(chǔ)備份系統(tǒng)或容災(zāi)恢復(fù)系統(tǒng)對(duì)靜態(tài)存儲(chǔ)和動(dòng)態(tài)傳輸過程中的重要工業(yè)數(shù)據(jù)進(jìn)行保護(hù)，能夠提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能。重要工業(yè)數(shù)據(jù)應(yīng)加密存儲(chǔ)，定期備份關(guān)鍵業(yè)務(wù)數(shù)據(jù)，并設(shè)置訪問權(quán)限。
-
- 安全管理運(yùn)營
- 為滿足等級(jí)保護(hù)相關(guān)要求，提高工業(yè)安全運(yùn)營管理的效率，應(yīng)建立工業(yè)安全管理中心，通過部署工控安全管理平臺(tái)進(jìn)行企業(yè)工業(yè)網(wǎng)絡(luò)安全的統(tǒng)一管理，實(shí)現(xiàn)安全設(shè)備集中狀態(tài)監(jiān)控、日志收集、策略下發(fā)等，實(shí)現(xiàn)對(duì)整個(gè)工控系統(tǒng)網(wǎng)絡(luò)安全威脅的集中管控與展示；部署日志審計(jì)系統(tǒng)，實(shí)現(xiàn)日志留存、審計(jì)分析，為安全專員提供有效技術(shù)手段。
