當(dāng)前，隨著工業(yè)信息化的迅猛發(fā)展，“兩化融合、工業(yè)互聯(lián)網(wǎng)”等國家戰(zhàn)略的推出，以及云計(jì)算、大數(shù)據(jù)、人工智能、物聯(lián)網(wǎng)等新一代信息技術(shù)與制造技術(shù)的加速融合，工業(yè)控制系統(tǒng)（以下簡稱“工控系統(tǒng)”）由從原始的封閉獨(dú)立走向開放、由單機(jī)走向互聯(lián)、由自動(dòng)化走向智能化。但在工業(yè)企業(yè)獲得巨大發(fā)展動(dòng)能的環(huán)境背景下，也產(chǎn)生了大量安全風(fēng)險(xiǎn)，工控安全正面臨嚴(yán)峻的挑戰(zhàn)。

要做好工控系統(tǒng)的安全防護(hù)方案，不僅要對工控系統(tǒng)及相關(guān)網(wǎng)絡(luò)有深入了解，更要對其所承載的業(yè)務(wù)有著足夠認(rèn)識(shí)。但從現(xiàn)狀來說，工控安全人員與業(yè)務(wù)運(yùn)行、系統(tǒng)運(yùn)行的銜接性還有待加強(qiáng)，掌握的數(shù)據(jù)不夠準(zhǔn)確，對工控系統(tǒng)的網(wǎng)絡(luò)安全需求定位不夠清晰，導(dǎo)致實(shí)施的安全防護(hù)策略對系統(tǒng)運(yùn)行產(chǎn)生非正面的影響，或使用的相關(guān)網(wǎng)絡(luò)安全技術(shù)針對性不足，沒有真正起到防護(hù)作用。

一、工控系統(tǒng)的特殊性

工控系統(tǒng)以“可用性”為第一安全需求，而傳統(tǒng)IT網(wǎng)絡(luò)安全以“機(jī)密性”為第一安全需求。在信息安全的三個(gè)屬性（機(jī)密性、完整性、可用性）中，傳統(tǒng)安全的優(yōu)先順序是機(jī)密性、完整性、可用性，而工控系統(tǒng)則是可用性、完整性、機(jī)密性。

工控系統(tǒng)對實(shí)時(shí)性要求高，不允許延遲，更不允許出現(xiàn)網(wǎng)絡(luò)中斷。針對這一差異，無論是工控安全解決方案還是工控安全產(chǎn)品均要考慮工控系統(tǒng)這一特點(diǎn)：

1.工控安全產(chǎn)品

必須從軟硬件設(shè)計(jì)上達(dá)到更高的可靠性，例如：硬件要求無風(fēng)扇設(shè)計(jì)與寬溫寬壓設(shè)計(jì)，像工業(yè)防火墻還要支持Bypass功能等。

2.安全解決方案

工控安全解決方案的體系、框架均要圍繞著工控系統(tǒng)的生命周期高可用性出發(fā)，最大程度地保護(hù)工控系統(tǒng)的安全，避免與工控系統(tǒng)產(chǎn)生沖突，讓工業(yè)生產(chǎn)始終保持綠色生產(chǎn)。

二、工控系統(tǒng)風(fēng)險(xiǎn)與需求

1.工控網(wǎng)絡(luò)層面

工控環(huán)網(wǎng)、調(diào)度網(wǎng)、信息管理網(wǎng)、視頻網(wǎng)及第三方邊界等互聯(lián)互通、多網(wǎng)互聯(lián)，大區(qū)生產(chǎn)企業(yè)對數(shù)據(jù)流向不清晰、隔離措施不完善、隔離強(qiáng)度不夠等，存在網(wǎng)絡(luò)層面各區(qū)域間及跨網(wǎng)交換非授權(quán)訪問風(fēng)險(xiǎn)以及病毒橫向傳播風(fēng)險(xiǎn)。

2.工控主機(jī)層面

工控主機(jī)系統(tǒng)漏洞很少修補(bǔ)、補(bǔ)丁不敢下載、身份認(rèn)證方式單一等，工控主機(jī)也未部署對已知和未知病毒的防護(hù)措施，工控主機(jī)環(huán)境存在誤操作、非法攻擊、勒索病毒感染等風(fēng)險(xiǎn)，迫切需要對工控主機(jī)進(jìn)行主機(jī)加固、病毒免疫等。

3.工控協(xié)議層面

在當(dāng)前的生產(chǎn)網(wǎng)絡(luò)中，各類安全威脅不斷涌入工業(yè)控制系統(tǒng)，大多生產(chǎn)企業(yè)內(nèi)部缺少工業(yè)流量監(jiān)測審計(jì)手段，無法針對工控系統(tǒng)協(xié)議層面存在的惡意攻擊、異常流量進(jìn)行審計(jì)，更無法對工控指令攻擊和控制參數(shù)篡改進(jìn)行實(shí)時(shí)監(jiān)測和告警，讓網(wǎng)絡(luò)入侵長時(shí)間陪同，最終導(dǎo)致安全生產(chǎn)事故的發(fā)生。

4.工控管理層面

工業(yè)企業(yè)缺乏符合落地的工控安全管理制度，未建立安全管理體系，各種管理制度不完善，甚至無安全管理人員等，因此大大制約了生產(chǎn)企業(yè)快速發(fā)展。

三、一中心、二分離、三邊界

基于以上背景與需求，安盟信息工控安全解決方案防御理念從一中心、兩分離，三邊界三點(diǎn)出發(fā)。

安盟信息工控安全解決方案防御理念

1.一中心

問題分析

由于工控系統(tǒng)脆弱性十分明顯，使用者對資產(chǎn)底數(shù)不清、安全態(tài)勢不明、風(fēng)險(xiǎn)預(yù)警缺乏。

在安全防護(hù)不易開展、用戶不敢嘗試和措施難以執(zhí)行等原因，導(dǎo)致工控系統(tǒng)信息安全如同瓷器店里捉老鼠。瓷器很脆弱，既要抓住老鼠，又不能破壞瓷器。在這種情況下就要堅(jiān)持一體化安全管理。

解決方案

以企業(yè)安全生產(chǎn)為中心，通過安全管理中心/安全態(tài)勢管理中心保障企業(yè)生產(chǎn)穩(wěn)定運(yùn)行，實(shí)現(xiàn)對工業(yè)生產(chǎn)全景進(jìn)行安全態(tài)勢感知、分析、預(yù)警及準(zhǔn)入控制等。

另外，需要對異常報(bào)警行為形成工單分配給人工進(jìn)行干預(yù)處理，同時(shí)與相應(yīng)防護(hù)設(shè)備進(jìn)行協(xié)同防御。

一中心：堅(jiān)持一中心，讓安全賦能生產(chǎn)，促生產(chǎn)、保生產(chǎn)

2.兩分離

問題分析

在工控網(wǎng)絡(luò)管理中，存在工控業(yè)務(wù)流與安全管理數(shù)據(jù)流，那工控系統(tǒng)運(yùn)行和網(wǎng)絡(luò)安全管理會(huì)不會(huì)沖突呢？答案是肯定的。

形成這種情況一是因?yàn)楣た叵到y(tǒng)的特點(diǎn)業(yè)務(wù)流決定的，在一些工業(yè)客戶中，生產(chǎn)網(wǎng)單向上傳數(shù)據(jù)到管理網(wǎng)，管理網(wǎng)無下發(fā)數(shù)據(jù)，因此部署在管理網(wǎng)的安全管理中心，無法收集日志與管理生產(chǎn)網(wǎng)安全設(shè)備。

二是工控系統(tǒng)在建設(shè)之初并沒有過多考慮網(wǎng)絡(luò)安全的需求，一些生產(chǎn)系統(tǒng)在并發(fā)、性能及安全上有一定瓶頸，后期安全的介入，無論是運(yùn)維操作還是數(shù)據(jù)上傳，在工控系統(tǒng)中產(chǎn)生影響是不可避免的。工控安全以業(yè)務(wù)系統(tǒng)穩(wěn)定為重心，安全與業(yè)務(wù)統(tǒng)籌兼顧，互為補(bǔ)充的和諧狀態(tài)。

解決方案

實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)流和安全管理防護(hù)數(shù)據(jù)流的分離，互不干涉；對網(wǎng)絡(luò)安全設(shè)備的運(yùn)行狀態(tài)、安全風(fēng)險(xiǎn)、流量日志進(jìn)行收集與分析。

方案要適合生產(chǎn)系統(tǒng)分布特點(diǎn)，突破生產(chǎn)系統(tǒng)地域限制,如對各裝置DCS系統(tǒng)安全設(shè)備進(jìn)行集中管理與維護(hù)。

兩分離：楚河漢界+互不干涉，構(gòu)建業(yè)務(wù)與安全數(shù)據(jù)分離

3.三邊界

問題分析

工控系統(tǒng)作為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，已經(jīng)成為黑客、黑產(chǎn)、極端勢力攻擊的重要目標(biāo)，生產(chǎn)企業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化發(fā)展的同時(shí)，網(wǎng)絡(luò)安全隱患和風(fēng)險(xiǎn)陡然加劇，眾多信息系統(tǒng)從彼此孤立向數(shù)據(jù)互通、系統(tǒng)互聯(lián)的全聯(lián)通方向發(fā)展，給工業(yè)生產(chǎn)智能化帶來新的安全挑戰(zhàn)與風(fēng)險(xiǎn)。

工控系統(tǒng)存在若干個(gè)邊界，如信息化、調(diào)度中心、企業(yè)內(nèi)部邊界；集團(tuán)管理、主管機(jī)構(gòu)及其他第三方監(jiān)管單位等外部邊界等。工控系統(tǒng)主要的三邊界為生產(chǎn)網(wǎng)與第三方外聯(lián)邊界、生產(chǎn)網(wǎng)與管理網(wǎng)邊界以及主機(jī)邊界。

從現(xiàn)狀看，很多企業(yè)掌握的內(nèi)外部邊界不夠準(zhǔn)確，對工控系統(tǒng)的業(yè)務(wù)流向不夠清晰，導(dǎo)致邊界安全防護(hù)沒有真正起到防護(hù)作用，這些都會(huì)影響到生產(chǎn)業(yè)務(wù)的連續(xù)性。

解決方案

攘外

▲ 邊界明了：找出所有網(wǎng)絡(luò)邊界

▲ 區(qū)分隔離技術(shù)：單向、雙向、雙單向

▲ 內(nèi)部隔離：內(nèi)部子域隔離依然要重視

安內(nèi)

▲ 第一需要解決的就是主機(jī)安全問題

▲ 部署主機(jī)衛(wèi)士，實(shí)現(xiàn)軟件、進(jìn)程白名單防護(hù)

▲同時(shí)可部署安盟華御機(jī)甲衛(wèi)士進(jìn)行三合一防護(hù)（網(wǎng)口、串口、USB）

三邊界：攘外+安內(nèi)，構(gòu)建邊界安全防御體系

工控三邊界防護(hù)是工控安全最重要的措施，應(yīng)堅(jiān)持“能單向不雙向”、“能雙單向不雙向”的原則：

▲即根據(jù)實(shí)際業(yè)務(wù)流向需求，即能通過單向數(shù)采光閘完成業(yè)務(wù)數(shù)據(jù)交換需求的，優(yōu)先選擇此方案，如與第三方外聯(lián)及信息化的OPC采集等。

▲ 單向無法滿足業(yè)務(wù)需求的，可以利用兩套單導(dǎo)平臺(tái)完成正反向數(shù)據(jù)交換，兩條獨(dú)立通路，互不干涉，即工控系統(tǒng)與辦公互聯(lián)可選擇此方案。

▲ 最后是選擇普通雙向交換，即域內(nèi)交換或各工藝間的隔離選擇此方案。

總結(jié)

工控安全強(qiáng)調(diào)的是與工控系統(tǒng)本體安全相融合，工控安全是個(gè)大安全范疇，是支撐工控系統(tǒng)整個(gè)生命周期的高可用性的關(guān)鍵，由控制系統(tǒng)本身安全、安全防護(hù)設(shè)備、業(yè)務(wù)生產(chǎn)過程安全、功能安全、工控網(wǎng)絡(luò)安全、信息安全共同構(gòu)成，解決方案需將工控安全與工業(yè)生產(chǎn)深度融合，著重保障工控系統(tǒng)可用性為目標(biāo)，綜合運(yùn)用功能安全、信息安全等技術(shù)手段和防護(hù)措施，保障工控系統(tǒng)在生命周期內(nèi)的安全穩(wěn)定運(yùn)行。

隨著工業(yè)企業(yè)的發(fā)展，傳統(tǒng)IT安全設(shè)備或單一的技術(shù)手段已經(jīng)不能保證工控系統(tǒng)的安全穩(wěn)定運(yùn)行，只有建立工控安全頂層保障體系，從自主可控、密碼賦能、協(xié)議安全等頂層設(shè)計(jì)出發(fā)，才能從根本上解決工控系統(tǒng)的網(wǎng)絡(luò)安全隱患。安盟信息憑借在新一代邊界安全、工業(yè)互聯(lián)網(wǎng)安全、商用密碼應(yīng)用和數(shù)據(jù)安全方面深入地理解和深厚的經(jīng)驗(yàn)，多維度強(qiáng)化工控安全防護(hù)能力，推動(dòng)我國數(shù)字經(jīng)濟(jì)進(jìn)入全面發(fā)展的新時(shí)代，助力我國工業(yè)行業(yè)高質(zhì)量發(fā)展！