工業(yè)控制系統(tǒng)信息安全防護需求

工業(yè)控制系統(tǒng)信息安全防護需求一、工業(yè)控制系統(tǒng)信息安全防護建設目標1.1提高工業(yè)網(wǎng)絡抗攻擊能力通過工業(yè)網(wǎng)絡的安全體系的建設，使工業(yè)網(wǎng)絡可以有效防護內(nèi)部、外部、惡意代碼、ATP等攻擊，安全風險降低到可控范圍內(nèi)，減少安全事件的發(fā)生，保護生產(chǎn)網(wǎng)絡能夠高效、穩(wěn)定運行，減少因為系統(tǒng)停機帶來的生產(chǎn)損失。1.2提高工業(yè)網(wǎng)絡的管理力度通過工業(yè)網(wǎng)絡安全體系的建設，可以對工業(yè)網(wǎng)絡的網(wǎng)絡流量、網(wǎng)絡連接、工控協(xié)議識別和解析、工程師站組態(tài)變更、操作指令變更、PLC下裝等進行審計和記錄，網(wǎng)絡管理人員可以直觀了解網(wǎng)絡運行狀態(tài)及存在的安全隱患。1.3保護重要信息財產(chǎn)安全通過工業(yè)網(wǎng)絡安全體系的建設，可以對工業(yè)網(wǎng)絡內(nèi)重要信息的流轉(zhuǎn)進行管理，禁止未授權的存儲介質(zhì)的接入和使用，保護重要信息、文件、圖紙不會被隨意的拷貝和流轉(zhuǎn)，降低工業(yè)網(wǎng)絡的泄密風險。二、工業(yè)控制系統(tǒng)信息安全防護建設需求依據(jù)工業(yè)環(huán)網(wǎng)的實際情況，對安全防護體系架構進行如下規(guī)范：規(guī)范邊界：內(nèi)、外聯(lián)網(wǎng)邊界，辦公網(wǎng)與生產(chǎn)數(shù)據(jù)服務器區(qū)域網(wǎng)邊界；規(guī)范服務區(qū)域：生產(chǎn)管理區(qū)域，生產(chǎn)過程區(qū)域，生產(chǎn)控制區(qū)域；通過上述規(guī)范，具體需求如下防護設備：?區(qū)域邊界防護：通過明確服務區(qū)域，針對服務區(qū)域內(nèi)的設備（關鍵控制器、主機等）進行內(nèi)部加固，將區(qū)域內(nèi)部的網(wǎng)絡問題直接匯聚在本區(qū)域內(nèi)，通過建立區(qū)域白名單策略，規(guī)范區(qū)域內(nèi)的網(wǎng)絡規(guī)則。有效保護安全區(qū)域內(nèi)網(wǎng)絡信息安全，以避免信息泄漏及病毒“串染”，有效保護各安全區(qū)域間網(wǎng)絡信息安全。設備要求符合工業(yè)和信息化部《工業(yè)控制系統(tǒng)信息安全防護指南》中第三大項“邊界安全防護”第二小項要求“通過工業(yè)控制網(wǎng)絡邊界防護設備對工業(yè)控制網(wǎng)絡與企業(yè)網(wǎng)或互聯(lián)網(wǎng)之間的邊界進行安全防護，禁止沒有防護的工業(yè)控制網(wǎng)絡與互聯(lián)網(wǎng)連接”，需要在生產(chǎn)控制網(wǎng)絡和陸地內(nèi)網(wǎng)邊界增加部署工業(yè)安全網(wǎng)關，防范工業(yè)攻擊對生產(chǎn)控制網(wǎng)絡的安全威脅。?生產(chǎn)服務器主機安全加固：由于辦公網(wǎng)與生產(chǎn)網(wǎng)互聯(lián)互通，任何終端實際上對生產(chǎn)網(wǎng)都可能成為威脅點。在生產(chǎn)信息化網(wǎng)絡中，除了對邊界防護之外還需要解決終端的安全威脅，主機由于操作系統(tǒng)漏洞、應用軟件漏洞而引起的攻擊、阻止未授權程序在這些主機上的操作運行，控制非管理人員對這些主機的訪問等，防止類似“Wannacry”攻擊事件再次發(fā)生，也是對生產(chǎn)控制網(wǎng)絡的又一層保護屏障。對辦公網(wǎng)終端主機安裝病毒防護軟件（可由客戶自主選擇）。設備要求符合工業(yè)和信息化部《工業(yè)控制系統(tǒng)信息安全防護指南》中第一大項“安全軟件選擇與管理”中的第二小項要求“建立防病毒和惡意軟件入侵管理機制，對工業(yè)控制系統(tǒng)及臨時接入的設備采取病毒查殺等安全預防措施”，以及《GB/T30976.1-2014工業(yè)控制系統(tǒng)信息安全》第一部分評估規(guī)范中“第6.4.2SR3.2：惡意代碼的防護”，明確提出建立生產(chǎn)網(wǎng)絡的防病毒和惡意軟件入侵管理機制。?網(wǎng)絡威脅監(jiān)測：對生產(chǎn)信息化網(wǎng)絡中的攻擊行為、數(shù)據(jù)流量、重要操作等進行監(jiān)測審計，實現(xiàn)網(wǎng)絡威脅的態(tài)勢感知，也用于事后回溯和網(wǎng)絡分析。設備要求符合工業(yè)和信息化部《工業(yè)控制系統(tǒng)信息安全防護指南》中第七大項“安全監(jiān)測和應急預案演練”中第一小項要求“在生產(chǎn)控制網(wǎng)絡部署網(wǎng)絡安全監(jiān)測設備，及時發(fā)現(xiàn)、報告并處理網(wǎng)絡攻擊或異常行為”。在工業(yè)生產(chǎn)網(wǎng)絡核心交換機上旁路鏡像部署基于工業(yè)協(xié)議的工控安全監(jiān)測設備，對工控網(wǎng)絡中的攻擊行為、數(shù)據(jù)流量、重要操作等進行監(jiān)測審計，用于事后回溯和網(wǎng)絡分析。?安全產(chǎn)品統(tǒng)一管理：對生產(chǎn)信息化網(wǎng)絡中的相關安全產(chǎn)品進行統(tǒng)一的管理及運維，信息安全管理人員可以通過統(tǒng)一安全管理平臺對整個工業(yè)控制網(wǎng)內(nèi)信息安全情況進行統(tǒng)一實時的監(jiān)控，在第一時間內(nèi)發(fā)現(xiàn)網(wǎng)絡安全問題。三、所需設備的拓撲圖由劇內(nèi)網(wǎng)峋火埼:心變視機2工業(yè)ILL變覲IH北找入.必融I工控安全威曲監(jiān)測與審計系統(tǒng)信息網(wǎng)盼濯X內(nèi)網(wǎng)打■公區(qū)，刁防