工業(yè)控制系統(tǒng)信息庫(kù)如何防范安全問(wèn)題

工業(yè)4.0是德國(guó)人提出的概念，認(rèn)為制造業(yè)未來(lái)只能通過(guò)智能化的生產(chǎn)創(chuàng)造價(jià)值，而美國(guó)則提出工業(yè)互聯(lián)網(wǎng)，以通用電氣（GE）為代表，注重通過(guò)機(jī)器互聯(lián)、軟件及大數(shù)據(jù)分析，提升生產(chǎn)效率，創(chuàng)造數(shù)字工業(yè)的未來(lái)。兩化融合，管控一體化等推進(jìn)，將傳統(tǒng)的工控孤島與辦公網(wǎng)、互聯(lián)網(wǎng)進(jìn)行連接，而工控系統(tǒng)應(yīng)用傳統(tǒng)總線(xiàn)協(xié)議，欠缺對(duì)安全性的考慮，導(dǎo)致安全漏洞、隱患嚴(yán)重。工控安全事件頻發(fā)。

據(jù)權(quán)威工業(yè)安全事件信息庫(kù)RISI統(tǒng)計(jì)，截止到2011年10月，全球已發(fā)生200余起針對(duì)工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開(kāi)發(fā)標(biāo)準(zhǔn)與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對(duì)工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長(zhǎng)，結(jié)果導(dǎo)致整體控制系統(tǒng)的故障，甚至惡性安全事故，對(duì)人員、設(shè)備和環(huán)境造成嚴(yán)重的后果。比如伊朗核電站的震網(wǎng)病毒事件，給全球工業(yè)界控制系統(tǒng)的信息安全問(wèn)題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切。

我國(guó)工控領(lǐng)域的安全可靠性問(wèn)題突出，工控系統(tǒng)的復(fù)雜化、IT化和通用化加劇了系統(tǒng)的安全隱患，潛在的更大威脅是我國(guó)工控產(chǎn)業(yè)綜合競(jìng)爭(zhēng)力不強(qiáng)，嵌入式軟件、總線(xiàn)協(xié)議、工控軟件等核心技術(shù)受制于國(guó)外，缺乏自主的通信安全、信息安全、安全可靠性測(cè)試等標(biāo)準(zhǔn)。工信部發(fā)布《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，要求加強(qiáng)與國(guó)計(jì)民生緊密相關(guān)的多個(gè)重點(diǎn)領(lǐng)域內(nèi)工業(yè)控制系統(tǒng)信息安全管理。事實(shí)告訴我們，只有做到居安思危、未雨綢繆，才能保證工業(yè)控制系統(tǒng)健康穩(wěn)定地運(yùn)行。

安全產(chǎn)品現(xiàn)狀

工業(yè)防火墻、工業(yè)安全網(wǎng)關(guān)產(chǎn)品大多使用X86架構(gòu)，在商業(yè)安全產(chǎn)品中屬低端產(chǎn)品，吞吐量在100M級(jí)別，不能勝任1000M網(wǎng)絡(luò)容量，當(dāng)網(wǎng)絡(luò)負(fù)載大時(shí)工業(yè)防火墻成為網(wǎng)絡(luò)瓶頸。

工業(yè)防火墻相關(guān)產(chǎn)品只在協(xié)議級(jí)別檢測(cè)，不檢測(cè)傳輸?shù)臄?shù)據(jù)內(nèi)容。

網(wǎng)絡(luò)設(shè)備僅采用口令進(jìn)行認(rèn)證，訪(fǎng)問(wèn)控制不充分，用戶(hù)、數(shù)據(jù)與設(shè)備的認(rèn)證不標(biāo)準(zhǔn)，或不存在。

安全策略與規(guī)則用明文傳輸，傳輸時(shí)不認(rèn)證身份，策略下發(fā)后也不檢查完整性等。

東土工控安全解決方案

安全分區(qū)

不同工藝段進(jìn)行獨(dú)立分區(qū)。確保工段間不會(huì)相互影響

基本原則：

獨(dú)立性原則： 即保證控制系統(tǒng)獨(dú)立性，不同工段進(jìn)行獨(dú)立分區(qū)。確保工段間不會(huì)存在相互影響。

適應(yīng)性原則： 區(qū)域劃分按照技術(shù)及管理體系進(jìn)行規(guī)劃，確保同一類(lèi)型技術(shù)處于相同分區(qū)內(nèi)，方便技術(shù)規(guī)劃及管理。

可行性原則： 確?？砂凑諈^(qū)域規(guī)劃執(zhí)行具體的安全策略。

主機(jī)安全

主機(jī)安全防護(hù)策略包括：

建立主機(jī)白名單庫(kù)： 工控安全衛(wèi)士掃描本地磁盤(pán)所有可執(zhí)行文件，包括exe/dll/com等，生成數(shù)字簽名，根據(jù)簽名創(chuàng)建主機(jī)應(yīng)用白名單。

阻止非法程序執(zhí)行：采用應(yīng)用白名單防護(hù)機(jī)制，阻止白名單外的任何程序執(zhí)行，可有效阻止病毒、木馬、“0-day”漏洞的感染和被利用。

主機(jī)加固： 從操作系統(tǒng)、注冊(cè)表、內(nèi)存空間的完整性及本地安全策略等方面對(duì)站控、服務(wù)器進(jìn)行安全加固，防止操作系統(tǒng)被惡意篡改。

移動(dòng)存儲(chǔ)介質(zhì)授權(quán)：采用安全U盤(pán)或其它移動(dòng)介質(zhì)，根據(jù)需求控制安全移動(dòng)存儲(chǔ)介質(zhì)的“禁用、只讀、讀寫(xiě)”權(quán)限。

用戶(hù)審計(jì)：通過(guò)安全審計(jì)平臺(tái)對(duì)事件產(chǎn)生日志、告警進(jìn)行全面記錄，包括管理員、應(yīng)用程序名稱(chēng)及違反安全策略的行為或誤操作等

通信安全

零丟包技術(shù)是滿(mǎn)足工業(yè)自動(dòng)化網(wǎng)絡(luò)數(shù)據(jù)傳輸完整性的關(guān)鍵技術(shù)。工業(yè)測(cè)量與控制中的數(shù)據(jù)傳輸完整性要求工業(yè)以太網(wǎng)交換機(jī)在環(huán)網(wǎng)鏈路中斷、電磁干擾、高低溫、高濕度、振動(dòng)等惡劣工業(yè)環(huán)境條件下，仍然能保證報(bào)文不丟包，即保證數(shù)據(jù)傳輸交換的安全性。東土解決方案支持HSR/PRP （IEC62439-6）以實(shí)現(xiàn)網(wǎng)絡(luò)穩(wěn)定可靠零丟包零倒換。

另外，東土產(chǎn)品還支持：

寬范圍的工作溫度 -40℃～+85℃

工業(yè)四級(jí)電磁兼容性，抗電磁干擾適應(yīng)工業(yè)現(xiàn)場(chǎng)環(huán)境

多種防護(hù)等級(jí)IP40/IP65/IP67可選，防塵防水

防潮濕、防鹽霧、防霉菌

無(wú)風(fēng)扇散熱方式，自然冷卻

綠色低功耗

長(zhǎng)MTBF

通過(guò)權(quán)威機(jī)構(gòu)測(cè)試

在軟件安全特性上，東土產(chǎn)品能夠做到：

建立業(yè)務(wù)白名單：運(yùn)用“白名單”機(jī)制，智能學(xué)習(xí)正常工業(yè)通信記錄，建立業(yè)務(wù)安全通信模型。

工業(yè)協(xié)議報(bào)文深度解析過(guò)濾：對(duì)OPC/S7-TCP/IECE-104/Modbus TCP等工業(yè)主流協(xié)議報(bào)文深度解析。

安全加密傳輸：通過(guò)SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證數(shù)據(jù)傳輸過(guò)程的保密性。

通訊審計(jì)：對(duì)工業(yè)協(xié)議規(guī)約異常、數(shù)據(jù)異常、數(shù)值變化加速度等不符合白名單的異常行為進(jìn)行實(shí)時(shí)監(jiān)測(cè)、告警。

管理安全

身份驗(yàn)證：運(yùn)用802.1X技術(shù)配合TACACS+、RADIUS功能， 驗(yàn)證通過(guò)才允許用戶(hù)進(jìn)行訪(fǎng)問(wèn)；

配置管理：在網(wǎng)絡(luò)中部署配置管理平臺(tái)，用于配置、管理、監(jiān)測(cè)網(wǎng)絡(luò)中所有的交換機(jī)、防火墻，并接收來(lái)自網(wǎng)絡(luò)報(bào)警信息。

審計(jì)及告警：對(duì)用戶(hù)行為、事件進(jìn)行記錄，非法、越權(quán)操作進(jìn)行告警。

安全加密傳輸：通過(guò)SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證管理數(shù)據(jù)傳輸過(guò)程的安全保密性。

安全態(tài)勢(shì)分析平臺(tái)

智能感知： 在辦公網(wǎng)部署安全管理平臺(tái)，主動(dòng)或被動(dòng)的感知工控設(shè)備狀態(tài)，掌握全局態(tài)勢(shì)，實(shí)現(xiàn)對(duì)整個(gè)生產(chǎn)網(wǎng)絡(luò)的實(shí)時(shí)監(jiān)控，及時(shí)發(fā)現(xiàn)病毒、非法入侵以及各類(lèi)威脅并迅速解決，為現(xiàn)場(chǎng)故障的及時(shí)排查、分析提供可靠的依據(jù)。

數(shù)據(jù)分析： 通過(guò)智能庫(kù)以及大數(shù)據(jù)平臺(tái)，進(jìn)行數(shù)據(jù)分析與挖掘。

智能決策： 生成趨勢(shì)分析并提供預(yù)警，統(tǒng)計(jì)并展示工控安全實(shí)時(shí)狀態(tài)，結(jié)合輿情進(jìn)行分析提供建議決策支持。