1、背景與挑戰(zhàn)

在“兩化”融合的行業(yè)發(fā)展需求下，為了提高工業(yè)生產運行、管理效率，國內眾多行業(yè)大力推進工業(yè)控制系統(tǒng)自身的集成化，集中化管理，推進工控系統(tǒng)及現(xiàn)場設備聯(lián)網化，在提高生產效率的同時，也使固有的工業(yè)控制系統(tǒng)及網絡信息安全風險凸顯、放大。國內外近些年針對工業(yè)控制系統(tǒng)及網絡的攻擊、安全漏洞、安全事件層出不窮，“震網”病毒事件為全球工業(yè)控制系統(tǒng)安全問題敲響了警鐘，促使國家和社會開始關注工業(yè)控制系統(tǒng)的信息安全問題。軍工行業(yè)作為國家關鍵的工業(yè)生產支柱型行業(yè)，關系著國計民生及國防安全，更為重中之重，容不得半分懈怠?？上驳氖?，軍工企業(yè)近幾年也開始高度重視工業(yè)控制系統(tǒng)安全，但由于涉密行業(yè)整體工控安全標準的缺失，軍工行業(yè)用戶在工業(yè)控制系統(tǒng)安全體系建設中不可避免的存在滯后性，無法滿足工業(yè)系統(tǒng)及網絡建設中對整體安全防護能力的實際需求，暴露出了眾多的信息安全問題，諸如： 

（1）缺乏現(xiàn)場運維審計手段，面臨著第三方運維人員運維時無法監(jiān)管的問題，存在著較大的泄密及安全事故風險；

（2）工控生產網絡與涉密辦公網連接時，在提高效率的同時也面臨著被感染病毒、惡性攻擊的風險；

（3）工控網絡內沒有有效的終端管理、私接、移動介質管理手段，容易造成泄密事件，也無法控制木馬等惡意程序的私自或無意中植入；

（4）工控網絡內部安全防護、檢測、審計等手段的缺失，造成無法有效的防御外部威脅、內部違規(guī)操作，無法進行有效的審計和追溯；

（5）工控安全管理制度缺失，側重于對生產流程的管理，缺乏安全檢測、脆弱性評估、移動介質管理、終端管控、密碼策略、備份與恢復等方面的管理規(guī)程等等。

    廣聚安全非常重視工業(yè)控制系統(tǒng)信息安全問題，目前已參與了多個國家及行業(yè)工控安全標準的制訂工作，并研發(fā)了工業(yè)控制信息安全管理管理系統(tǒng)、工業(yè)防火墻、工控漏洞掃描系統(tǒng)、現(xiàn)場運維審計與管理系統(tǒng)、工控異常監(jiān)測系統(tǒng)等多款工業(yè)控制系統(tǒng)信息安全產品，并可以提供包括工控網絡風險評估、安全建設咨詢、安全培訓等多類型的工控安全專業(yè)服務，可有效支持軍工行業(yè)客戶的工控安全體系建設需求。

2、安全解決方案

2.1思路

    廣聚安全基于對軍工行業(yè)工控安全建設的深度理解，建議在保證系統(tǒng)可用性前提下，通過對工業(yè)控制系統(tǒng)進行分層分級防護，實現(xiàn)“垂直分層，水平分區(qū)。邊界控制，內部監(jiān)測”。

“垂直分層、水平分區(qū)”即對工業(yè)控制系統(tǒng)垂直方向化分為四層：現(xiàn)場設備層、現(xiàn)場控制層、監(jiān)督控制層、生產管理層。水平分區(qū)指各工業(yè)控制系統(tǒng)之間應該從網絡上隔離開，處于不同的安全區(qū)。

“邊界控制，內部監(jiān)測”即對系統(tǒng)邊界即各操作站、工業(yè)控制系統(tǒng)連接處、無線網絡等要進行邊界防護和準入控制等。對工業(yè)控制系統(tǒng)內部要監(jiān)測網絡流量數(shù)據(jù)以發(fā)現(xiàn)入侵、業(yè)務異常、訪問關系異常和流量異常等問題。

2.2安全設計

    軍工行業(yè)對工控安全的需求主要存在于工控網絡內部合規(guī)安全建設，工控生產網與涉密管理網的網間安全數(shù)據(jù)交換兩個方面，具體安全建設設計如下：

    工控網內安全體系建設

    軍工行業(yè)工控網內面臨的主要安全威脅來自于黑客攻擊、惡意代碼（病毒蠕蟲）、越權訪問（非授權接入、移動介質、弱口令、操作系統(tǒng)漏洞、誤操作和業(yè)務異常、第三方廠家運維監(jiān)管空白等，因此，其安全體系建設應在以下方面予以重點完善和強化：

-入侵檢測及防御；

-惡意代碼防護；

-內部網絡異常行為的檢測；

-邊界訪問控制和系統(tǒng)訪問控制策略；

-身份認證和行為審計；

-號唯一性和口令安全，尤其是管理員賬號和口令的管理；

-操作站操作系統(tǒng)安全；

-移動存儲介質的標記、權限控制和審計；

-設備物理安全。

-現(xiàn)場運維審計

-適應工控生產安全需要的配套管理制度、人員組織等

    廣聚安全現(xiàn)有的工業(yè)控制信息安全產品體系，以工業(yè)控制信息安全管理系統(tǒng)為核心，以旁路檢測、串聯(lián)防護、現(xiàn)場防護三大引擎為支撐，全面實現(xiàn)全網工控設備的統(tǒng)一安全監(jiān)測和防護，安全風險集中分析和展現(xiàn)。輔助以貫穿工業(yè)控制系統(tǒng)需求、設計、建設、運營、廢除全生命周期的工控安全風險評估平臺，可以有效覆蓋軍工行業(yè)用戶的上述安全能力需求，提供整體性的工業(yè)系統(tǒng)安全保障能力。

  工控網與管理網安全數(shù)據(jù)交換

    為滿足網間數(shù)據(jù)交換的的絕對單向傳輸要求，建議采用專業(yè)的物理單向工業(yè)網閘系統(tǒng)，在滿足必要的數(shù)據(jù)傳輸能力的同時，需具備物理單向無反饋、多協(xié)議支持特別是主流工業(yè)控制協(xié)議支持、全程監(jiān)控與審計、病毒木馬防護能力等功能要求。

    同時由于跨網絡開展請求服務是網間交換請求的必然選擇，但是絕大部分的應用系統(tǒng)所采用的請求服務方式是通過協(xié)議來完成，而這些協(xié)議在不同網絡之間是禁止連通的，單向網閘系統(tǒng)僅能實現(xiàn)文件的傳輸而無法實現(xiàn)協(xié)議的穿透，為了滿足工控網絡內應用系統(tǒng)跨網絡請求服務的需求，同時盡可能實現(xiàn)各種業(yè)務系統(tǒng)無縫接入，無需修改其應用程序，需要使用安全請求服務系統(tǒng)配合單向工業(yè)網閘系統(tǒng)實現(xiàn)絕對物理單向的數(shù)據(jù)傳輸能力，避免泄密可能。

通過安全請求服務系統(tǒng)配合單向工業(yè)網閘系統(tǒng)最終實現(xiàn)絕對物理單向的數(shù)據(jù)傳輸能力，同時滿足工控網和涉密管理網內各類數(shù)據(jù)及請求交換的需求。

3、方案價值

-滿足軍工行業(yè)用戶工控網絡內部安全能力建設需求

-滿足軍工行業(yè)用戶工控生產網和涉密管理網安全數(shù)據(jù)交換及工控協(xié)議通訊的需求；

-滿足軍工行業(yè)工控網絡內部操作員站、工程師站及移動介質管理的普遍性核心訴求；

-解決軍工行業(yè)用戶無法有效監(jiān)管第三方運維人員針對工控系統(tǒng)及現(xiàn)場設備運維行為的問題，做到全程可監(jiān)管、全程可控制、全程可審計，避免數(shù)據(jù)泄密及木馬植入風險，并可追溯追責；

-可有效指導軍工行業(yè)用戶直面工控網絡內外部安全威脅并進行針對性的安全建設，逐步建立有效的工控安全管理制度體系、工控安全運維支撐體系。