郭繼如 楊志國 張濤

摘要：本文通過對(duì)當(dāng)前我國工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全現(xiàn)狀分析后，提出一種基于等保2.0標(biāo)準(zhǔn)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全技術(shù)防護(hù)體系。該防護(hù)體系通過構(gòu)造1個(gè)管理中心，安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境3重防護(hù)手段，同時(shí)融入了P2DR、 IATF 模型理念，實(shí)現(xiàn)事前預(yù)防、事中響應(yīng)、事后審計(jì)的可信、可控、可管的縱深防護(hù)體系。

關(guān)鍵詞：等保2.0;工業(yè)控制系統(tǒng);網(wǎng)絡(luò)安全;防護(hù)體系

1引言

隨著德國工業(yè)4.0、美國工業(yè)互聯(lián)網(wǎng)、我國中國制造2025等再工業(yè)化革命戰(zhàn)略的不斷推進(jìn)，原本封閉的工業(yè)控制系統(tǒng)逐步被打破，變成越來越開放的系統(tǒng)。與此同時(shí)，工業(yè)控制系統(tǒng)也面臨了新的挑戰(zhàn)，各種網(wǎng)絡(luò)威脅，病毒、木馬以及黑客、敵對(duì)勢(shì)力隨之而來，再加上工業(yè)控制系統(tǒng)本身存在一些脆弱性，這些脆弱性又被這些威脅利用就會(huì)導(dǎo)致安全事件的發(fā)生。針對(duì)安全事件，我國非常重視，分別從國家戰(zhàn)略、法律法規(guī)、政策、標(biāo)準(zhǔn)制定等方面積極采取措施。

2工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全安全現(xiàn)狀分析

2.1控制系統(tǒng)有漏洞

由于工業(yè)控制系統(tǒng)早期在設(shè)計(jì)時(shí)候，主要考慮系統(tǒng)的穩(wěn)定性、實(shí)時(shí)性以及可靠性，并沒有考慮安全問題。所以導(dǎo)致工業(yè)控制系統(tǒng)漏洞不斷報(bào)出，據(jù)國家信息安全漏洞共享平臺(tái) CNVD 統(tǒng)計(jì)的工控漏洞截止到2019年8月5號(hào)有2018個(gè)漏洞。其中西門子、施耐德、研華的產(chǎn)品漏洞最多，高中危漏洞占95%以上。

2.2網(wǎng)絡(luò)邊界模糊、缺少控制措施

隨著業(yè)務(wù)的不斷發(fā)展，工業(yè)控制系統(tǒng)與管理網(wǎng)、互聯(lián)網(wǎng)連接的需求，再加上工業(yè)控制系統(tǒng)運(yùn)行維護(hù)多年，網(wǎng)絡(luò)結(jié)構(gòu)早已改變，結(jié)果導(dǎo)致工業(yè)控制系統(tǒng)網(wǎng)絡(luò)邊界模糊，且網(wǎng)絡(luò)邊界缺少防護(hù)措施，非法訪問，越權(quán)操作等行為屢有發(fā)生。

2.3缺少流量審計(jì)、異常流量不易發(fā)現(xiàn)

由于缺少網(wǎng)絡(luò)異常流量分析系統(tǒng)，無法檢測(cè)未知的威脅，存在新型惡意代碼傳播，病毒、蠕蟲等惡意代碼威脅將無法感知。

2.4工業(yè)主機(jī)存在安全問題

為保證控制系統(tǒng)的運(yùn)行穩(wěn)定性，企業(yè)通常不會(huì)對(duì)工業(yè)主機(jī)操作系統(tǒng)進(jìn)行補(bǔ)丁升級(jí)，也很少安裝殺毒軟件，即使安裝了殺毒軟件，病毒庫的更新在工業(yè)控制環(huán)境下也難以實(shí)現(xiàn)。

3基于等保2.0工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)技術(shù)體系設(shè)計(jì)

基于等級(jí)保護(hù)2.0的要求，構(gòu)建集安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境及安全管理中心為一體的1中心3防護(hù)的縱深防御體系，同時(shí)融合了P2DR模型和 IATF 技術(shù)框架模型理念，實(shí)現(xiàn)事前預(yù)防、事中響應(yīng)、事后審計(jì)的可信、可控、可管的安全防御系統(tǒng)。

3.1安全通信網(wǎng)絡(luò)設(shè)計(jì)

◆網(wǎng)絡(luò)架構(gòu)

關(guān)鍵網(wǎng)絡(luò)設(shè)備和計(jì)算設(shè)備應(yīng)采用冗余，劃分合理的安全域，不同安全域之間進(jìn)行邏輯隔離。

◆通信傳輸

通信完整性和保密性主要由工業(yè)控制系統(tǒng)完成。在通信雙方建立連接之前，工業(yè)控制系統(tǒng)與互聯(lián)系統(tǒng)間及工業(yè)控制系統(tǒng)內(nèi)部利用雙方協(xié)商的會(huì)話協(xié)議進(jìn)行會(huì)話初始化驗(yàn)證，并對(duì)通信過程中的敏感信息字段進(jìn)行加密。

◆可信驗(yàn)證

此項(xiàng)為可選項(xiàng)，系統(tǒng)自身配置可信計(jì)算板卡，信任機(jī)制，滿足可信驗(yàn)證要求即可。

3.2安全區(qū)域邊界設(shè)計(jì)

◆邊界防護(hù)

在生產(chǎn)線車間、數(shù)控車間以及工業(yè)無線網(wǎng)絡(luò)的出口部署工業(yè)防火墻;在過程監(jiān)控層與生產(chǎn)管理層之間部署工業(yè)防火墻;在企業(yè)資源層與生產(chǎn)管理層之間部署網(wǎng)閘設(shè)備，解決不同安全域之間違規(guī)訪問與邏輯隔離。在生產(chǎn)管理層部署網(wǎng)絡(luò)準(zhǔn)入設(shè)備，針對(duì)終端的違規(guī)接入和非法外聯(lián)進(jìn)行管控。

◆訪問控制

在工業(yè)防火墻中設(shè)置精簡且必要的訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信，訪問控制規(guī)則對(duì)數(shù)據(jù)包進(jìn)行檢查，實(shí)現(xiàn)數(shù)據(jù)的安全傳輸。

◆入侵防范

在交換機(jī)旁路部署監(jiān)測(cè)審計(jì)設(shè)備，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)流量進(jìn)行實(shí)時(shí)解析。同時(shí)利用白名單、黑名單規(guī)則庫，實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)入侵并實(shí)時(shí)報(bào)警，詳實(shí)記錄一切網(wǎng)絡(luò)通信行為，包括指令級(jí)的協(xié)議通信記錄。

◆安全審計(jì)

在生產(chǎn)管理層部署運(yùn)維堡壘機(jī)，針對(duì)運(yùn)維人員在遠(yuǎn)程運(yùn)維設(shè)備時(shí)，進(jìn)行集中賬號(hào)管理、集中登錄認(rèn)證、集中用戶授權(quán)和集中操作審計(jì)

3.3安全計(jì)算環(huán)境

◆身份鑒別

工業(yè)主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、控制設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)庫等應(yīng)內(nèi)置身份鑒別功能或身份鑒別措施。

◆訪問控制

在工業(yè)主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)庫等設(shè)備或系統(tǒng)，對(duì)登錄的用戶分配賬戶及相應(yīng)操作權(quán)限。終端的默認(rèn)賬戶，修改默認(rèn)口令，修改后的口令滿足等保復(fù)雜度要求。對(duì)管理用戶授權(quán)，遵循必要的最小權(quán)限原則。

◆安全審計(jì)

在生產(chǎn)管理層部署數(shù)據(jù)庫審計(jì)，基于數(shù)據(jù)庫協(xié)議分析與控制技術(shù)，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫操作“危險(xiǎn)指令阻斷、訪問行為控制、安全態(tài)勢(shì)分析、全面行為審計(jì)”的數(shù)據(jù)庫安全主動(dòng)防御。工業(yè)主機(jī)上部署工控安全衛(wèi)士進(jìn)行主機(jī)審計(jì)，并定時(shí)將數(shù)據(jù)上報(bào)到安全管理平臺(tái)。

◆入侵防范

網(wǎng)絡(luò)、安全設(shè)備或應(yīng)用系統(tǒng)等遵循最小化安裝原則，只安裝必要的組件和應(yīng)用程序。關(guān)閉非必要的系統(tǒng)服務(wù)和默認(rèn)共享，關(guān)閉非必要的高危端口等。

3.4安全管理中心

◆審計(jì)管理

審計(jì)管理員通過雙因子認(rèn)證登錄到管理平臺(tái)上，對(duì)系統(tǒng)的操作日志以及告警日志進(jìn)行統(tǒng)一查看、分析、審計(jì)等。

◆安全管理

安全管理員通過雙因子認(rèn)證登錄到管理平臺(tái)上，對(duì)安全策略下發(fā)、配置、修改、訪問控制、授權(quán)等統(tǒng)一配置管理。

◆集中管理

通過工控安全管理平臺(tái)對(duì)所有安全設(shè)備統(tǒng)一管理，所有終端的事件信息統(tǒng)一上傳，參數(shù)配置統(tǒng)一下發(fā)等功能，實(shí)現(xiàn)對(duì)工業(yè)控制系統(tǒng)的整體安全態(tài)勢(shì)集中可視化展現(xiàn)（資產(chǎn)、漏洞、拓?fù)?、事件）、分析、入侵檢測(cè)和安全事件的預(yù)警、管控，提升企業(yè)安全防護(hù)整體水平。

結(jié)語

通過對(duì)工業(yè)控制系統(tǒng)的安全現(xiàn)狀分析，以及結(jié)合等保2.0標(biāo)準(zhǔn)通用要求和工業(yè)控制系統(tǒng)擴(kuò)展要求，設(shè)計(jì)了一種基于等保2.0標(biāo)準(zhǔn)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全技術(shù)防護(hù)體系，即構(gòu)造1個(gè)中心，3重防護(hù)的縱深防御體系，為工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)提供了理論參考依據(jù)。

作者簡介：郭繼如（1964年5月）男，籍貫：河北省唐山市人，漢族，現(xiàn)職稱：高級(jí)工程師，學(xué)歷：研究生，研究方向：計(jì)算機(jī)網(wǎng)絡(luò)，從事計(jì)算機(jī)專業(yè)工作。