工業(yè)控制系統(tǒng)信息庫如何防范安全問題

工業(yè)4.0是德國人提出的概念，認(rèn)為制造業(yè)未來只能通過智能化的生產(chǎn)創(chuàng)造價值，而美國則提出工業(yè)互聯(lián)網(wǎng)，以通用電氣（GE）為代表，注重通過機(jī)器互聯(lián)、軟件及大數(shù)據(jù)分析，提升生產(chǎn)效率，創(chuàng)造數(shù)字工業(yè)的未來。兩化融合，管控一體化等推進(jìn)，將傳統(tǒng)的工控孤島與辦公網(wǎng)、互聯(lián)網(wǎng)進(jìn)行連接，而工控系統(tǒng)應(yīng)用傳統(tǒng)總線協(xié)議，欠缺對安全性的考慮，導(dǎo)致安全漏洞、隱患嚴(yán)重。工控安全事件頻發(fā)。

據(jù)權(quán)威工業(yè)安全事件信息庫RISI統(tǒng)計(jì)，截止到2011年10月，全球已發(fā)生200余起針對工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開發(fā)標(biāo)準(zhǔn)與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長，結(jié)果導(dǎo)致整體控制系統(tǒng)的故障，甚至惡性安全事故，對人員、設(shè)備和環(huán)境造成嚴(yán)重的后果。比如伊朗核電站的震網(wǎng)病毒事件，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切。

我國工控領(lǐng)域的安全可靠性問題突出，工控系統(tǒng)的復(fù)雜化、IT化和通用化加劇了系統(tǒng)的安全隱患，潛在的更大威脅是我國工控產(chǎn)業(yè)綜合競爭力不強(qiáng)，嵌入式軟件、總線協(xié)議、工控軟件等核心技術(shù)受制于國外，缺乏自主的通信安全、信息安全、安全可靠性測試等標(biāo)準(zhǔn)。工信部發(fā)布《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，要求加強(qiáng)與國計(jì)民生緊密相關(guān)的多個重點(diǎn)領(lǐng)域內(nèi)工業(yè)控制系統(tǒng)信息安全管理。事實(shí)告訴我們，只有做到居安思危、未雨綢繆，才能保證工業(yè)控制系統(tǒng)健康穩(wěn)定地運(yùn)行。

安全產(chǎn)品現(xiàn)狀

工業(yè)防火墻、工業(yè)安全網(wǎng)關(guān)產(chǎn)品大多使用X86架構(gòu)，在商業(yè)安全產(chǎn)品中屬低端產(chǎn)品，吞吐量在100M級別，不能勝任1000M網(wǎng)絡(luò)容量，當(dāng)網(wǎng)絡(luò)負(fù)載大時工業(yè)防火墻成為網(wǎng)絡(luò)瓶頸。

工業(yè)防火墻相關(guān)產(chǎn)品只在協(xié)議級別檢測，不檢測傳輸?shù)臄?shù)據(jù)內(nèi)容。

網(wǎng)絡(luò)設(shè)備僅采用口令進(jìn)行認(rèn)證，訪問控制不充分，用戶、數(shù)據(jù)與設(shè)備的認(rèn)證不標(biāo)準(zhǔn)，或不存在。

安全策略與規(guī)則用明文傳輸，傳輸時不認(rèn)證身份，策略下發(fā)后也不檢查完整性等。

東土工控安全解決方案

安全分區(qū)

不同工藝段進(jìn)行獨(dú)立分區(qū)。確保工段間不會相互影響

基本原則：

獨(dú)立性原則： 即保證控制系統(tǒng)獨(dú)立性，不同工段進(jìn)行獨(dú)立分區(qū)。確保工段間不會存在相互影響。

適應(yīng)性原則： 區(qū)域劃分按照技術(shù)及管理體系進(jìn)行規(guī)劃，確保同一類型技術(shù)處于相同分區(qū)內(nèi)，方便技術(shù)規(guī)劃及管理。

可行性原則： 確?？砂凑諈^(qū)域規(guī)劃執(zhí)行具體的安全策略。

主機(jī)安全

主機(jī)安全防護(hù)策略包括：

建立主機(jī)白名單庫： 工控安全衛(wèi)士掃描本地磁盤所有可執(zhí)行文件，包括exe/dll/com等，生成數(shù)字簽名，根據(jù)簽名創(chuàng)建主機(jī)應(yīng)用白名單。

阻止非法程序執(zhí)行：采用應(yīng)用白名單防護(hù)機(jī)制，阻止白名單外的任何程序執(zhí)行，可有效阻止病毒、木馬、“0-day”漏洞的感染和被利用。

主機(jī)加固： 從操作系統(tǒng)、注冊表、內(nèi)存空間的完整性及本地安全策略等方面對站控、服務(wù)器進(jìn)行安全加固，防止操作系統(tǒng)被惡意篡改。

移動存儲介質(zhì)授權(quán)：采用安全U盤或其它移動介質(zhì)，根據(jù)需求控制安全移動存儲介質(zhì)的“禁用、只讀、讀寫”權(quán)限。

用戶審計(jì)：通過安全審計(jì)平臺對事件產(chǎn)生日志、告警進(jìn)行全面記錄，包括管理員、應(yīng)用程序名稱及違反安全策略的行為或誤操作等

通信安全

零丟包技術(shù)是滿足工業(yè)自動化網(wǎng)絡(luò)數(shù)據(jù)傳輸完整性的關(guān)鍵技術(shù)。工業(yè)測量與控制中的數(shù)據(jù)傳輸完整性要求工業(yè)以太網(wǎng)交換機(jī)在環(huán)網(wǎng)鏈路中斷、電磁干擾、高低溫、高濕度、振動等惡劣工業(yè)環(huán)境條件下，仍然能保證報(bào)文不丟包，即保證數(shù)據(jù)傳輸交換的安全性。東土解決方案支持HSR/PRP （IEC62439-6）以實(shí)現(xiàn)網(wǎng)絡(luò)穩(wěn)定可靠零丟包零倒換。

另外，東土產(chǎn)品還支持：

寬范圍的工作溫度 -40℃～+85℃

工業(yè)四級電磁兼容性，抗電磁干擾適應(yīng)工業(yè)現(xiàn)場環(huán)境

多種防護(hù)等級IP40/IP65/IP67可選，防塵防水

防潮濕、防鹽霧、防霉菌

無風(fēng)扇散熱方式，自然冷卻

綠色低功耗

長MTBF

通過權(quán)威機(jī)構(gòu)測試

在軟件安全特性上，東土產(chǎn)品能夠做到：

建立業(yè)務(wù)白名單：運(yùn)用“白名單”機(jī)制，智能學(xué)習(xí)正常工業(yè)通信記錄，建立業(yè)務(wù)安全通信模型。

工業(yè)協(xié)議報(bào)文深度解析過濾：對OPC/S7-TCP/IECE-104/Modbus TCP等工業(yè)主流協(xié)議報(bào)文深度解析。

安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證數(shù)據(jù)傳輸過程的保密性。

通訊審計(jì)：對工業(yè)協(xié)議規(guī)約異常、數(shù)據(jù)異常、數(shù)值變化加速度等不符合白名單的異常行為進(jìn)行實(shí)時監(jiān)測、告警。

管理安全

身份驗(yàn)證：運(yùn)用802.1X技術(shù)配合TACACS+、RADIUS功能， 驗(yàn)證通過才允許用戶進(jìn)行訪問；

配置管理：在網(wǎng)絡(luò)中部署配置管理平臺，用于配置、管理、監(jiān)測網(wǎng)絡(luò)中所有的交換機(jī)、防火墻，并接收來自網(wǎng)絡(luò)報(bào)警信息。

審計(jì)及告警：對用戶行為、事件進(jìn)行記錄，非法、越權(quán)操作進(jìn)行告警。

安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證管理數(shù)據(jù)傳輸過程的安全保密性。

安全態(tài)勢分析平臺

智能感知： 在辦公網(wǎng)部署安全管理平臺，主動或被動的感知工控設(shè)備狀態(tài)，掌握全局態(tài)勢，實(shí)現(xiàn)對整個生產(chǎn)網(wǎng)絡(luò)的實(shí)時監(jiān)控，及時發(fā)現(xiàn)病毒、非法入侵以及各類威脅并迅速解決，為現(xiàn)場故障的及時排查、分析提供可靠的依據(jù)。

數(shù)據(jù)分析： 通過智能庫以及大數(shù)據(jù)平臺，進(jìn)行數(shù)據(jù)分析與挖掘。

智能決策： 生成趨勢分析并提供預(yù)警，統(tǒng)計(jì)并展示工控安全實(shí)時狀態(tài)，結(jié)合輿情進(jìn)行分析提供建議決策支持。