工控安全市場之我見——啟明星辰工控安全之路
發布時間 2018-01-30
工業互聯網應用，作為智能制造的關鍵基礎，打破了傳統工業相對封閉可信的制造環境，但與此同時，這也造成病毒、木馬、高級持續性攻擊等互聯網安全風險對工業生產的威脅日益加劇，工業互聯網的信息安全保障迫在眉睫。
從目前已有的工業互聯網平臺架構來看，工業互聯網安全的市場焦點將主要圍繞工業物聯網安全、工業云安全、工業數據安全等方面。在工業物聯網安全，可信計算、物聯網設備認證、密鑰管理、可視化管控等將會是主要趨勢。而在工業云平臺，更多的將會聚焦于數據安全、權限控制、API安全、APT攻擊、拒絕服務、安全評估服務等。對于工業數據安全，數據作為工業互聯網的核心，已開始從少量、單一、單向正在向大量、多維、雙向轉變，因此，工業數據安全重點強調數據的整個生命周期的管理。
啟明星辰集團早在多年前就將工控安全業務作為公司戰略，專門成立了貫穿前、中、后場的統一協調、有效溝通、直接面向行業客戶的工控安全特別任務小組，經過多年探索，已在石油、電力、軌道交通、煙草、先進制造等行業建立了工控安全示范項目。
石油行業
開展多個油田、煉化廠兩網隔離，為實現注、采、輸從井口到場站各類地面設備運行狀況、設施工藝參數等數據安全傳輸到數據中心。
部署工控網閘或工業防火墻實現對生產網與管理網進行安全隔離，保障數據及文件的安全傳輸，可以有效防止管理網絡對生產網絡數據的異常操作，對OPC\IEC104\Modbus\CIP協議智能識別跟蹤，可以阻止來自從網絡任何協議層發起的攻擊、入侵和非法訪問，實現信任網絡和非信任網絡之間的數據交換。
電力行業
工控安全主要是針對各級調度的電力監控系統、智能變電站、用采系統、電廠生產控制系統、電網配網的安全防護。參照36號文要求，我司已有多個電力工控系統的防護案例。實現了工控網絡入侵檢測、敏感指令檢測、異常流量監測，工控系統邊界安全防護，運維操作審計，操作站安全管理等安全技術建設。
軌道交通行業
綜合監控系統和信號系統均有多個建設樣板工程，重點解決了對車站級到中央級的嚴格訪問控制，車地之間、自動化系統之間的安全通信，自動發現網絡中的活躍主機、端口，以及接口間的訪問關系，對工控網絡的各種入侵、病毒、木馬攻擊行為，發現PSCADA、BAS等系統指令異常，統一實量監測所有事件。
煙草行業
啟明星辰作為煙草行業工控安全標準制定者，扎實走穩每一步，已落實多個工控安全項目。重點解決普遍存在的設備間的通訊超時、操作站下發指令緩慢甚至不成功還是操作站顯示異常等頻發問題。
■ 采取了對工控系統進行設備資產梳理、網絡系統拓撲圖梳理、訪問關系梳理；
■ 進行了安全域劃分，普遍采用將每個車間劃分為一個安全域，區域間設置訪問控制措施，部署針對煙草行業普遍使用的s7/Modbus／opc等工控協議進行深度解析的工業防火墻產品。在工控系統和辦公網的邊界部署工業網閘或工業防火墻實現數據的安全傳輸；
■ 對工程師站、操作員站進行安全配置加固和統一安全管理，解決普遍存在的弱口令，投產后無補丁更新，無軟件白名單管理等問題；
■ 實現工控網絡的入侵監測和異常操作檢測；
■ 部署統一有效的信息安全監控工具對工業控制系統中的網絡設備、服務器、數據庫等進行有效安全監控和管理，在工業控制系統和控制網絡的設備出現故障時，能夠及時的預警和故障定位；
■ 在運維工程師筆記本電腦接入工控網絡之前對筆記本進行安全基線檢查和病毒查殺，可能會對工業控制系統的安全造成很大的威脅。
先進制造行業
針對機床類的精密加工場景，解決其普遍存在的網絡無安全劃分，機床近端防護措施缺失，運維操作無審計紀錄，無違規異常發現機制。我們采取了在機床和上位機之間部署CNC防護裝置，將上行、下行兩路數據分開，設置僅允許機床和DNC 服務器、編程工作站、運維堡壘機通信；
■ 工控異常監測梳理出設備訪問白名單，對關鍵操作進行審計，對網絡內的異常訪問、入侵、病毒等行為進行異常監測。
■ 工控運維審計系統為機床提供安全的遠程運維方式，可實時監控和阻斷機床運維，可對機床運維人員的操作進行審計。
■ 工控漏洞掃描和配置基線核查系統，對DNC網絡的組態軟件、操作系統、中間價、數據庫等進行漏洞掃描和核查。
■ 工控安全管理系統對DNC網中的網絡設備、安全設備、服務器、終端進行安全統一監控和報警呈現。
此外，啟明星辰還是中國儀器儀表學會物聯網分委會、國家工控信息安全實驗室、中國儀器儀表學會產信委等協會的理事單位和成員單位，旨在致力于推動工業互聯網的發展，并與行業同仁一起攜手共進，共同保障國家基礎設施和國計民生生產領域中的工控系統的網絡安全。
工控安全之路才剛剛啟程，未來的路還很長，需要我輩解決的信息安全問題還很多很多，唯有扎實走好每一步，無懼困難，砥礪前行，才能實現我們在網絡空間戰時代的國泰民安。
京公網安備11010802024551號