工业控制系统信息安全技术与方案部署
工业控制系统信息安全整体解决方案
北京威努特技术有限公司总经理：龙国东
威努特—工控安全专家
内容提纲
1
2
威努特公司介绍
工控安全标准解读
威努特工控安全理念 威努特工控安全解决方案 行业案例
3
4
5
公司简介
威努特—工控安全专家
北京威努特技术有限公司是一家专注于工业控制系统网络安全产品与解决
方案研发的创新型高科技公司。
3
4
5
威努特工控安全解决方案
行业案例
威努特工控安全解决方案
核心技术理念：
纵深防护
威努特—工控安全专家
白名单机制
工业协议深度解析
实时监控审计
统一平台管理
Page 17
威努特工控安全解决方案—白名单机制
“白名单”主动防御技术是通过提前计划好的协议规则来限制
威努特—工控安全专家
网络数据的交换，在控制网到信息网之间进行动态行为判断。通
防病毒软件在长年不更新病毒库的工控网内的实际作用非常有限，老旧的病毒库无 法抵御新型病毒的攻击；安装防病毒软件只是自欺欺人的一厢情愿罢了。
Page 12
威努特工控安全理念—传统信息安全产品解决不了工控安全问题
可用性和机密性的矛盾 工业控制系统“可用性”第一，而IT信息系统以“机密性”第一
从而要求安全产品的软硬件重新设计。例如：系统fail-to-open。
工控安全
实时适度的吞吐量高延迟或抖动不可接受 重新启动不可接受可用性要求可能需要冗余系统 停机必须有计划和提前预定时间高可用性要求充分的部署前测试 人身安全是最重要的，其次是过程保护 容错是必须的，即使瞬间的停机也可能不可接受 主要的风险影响是不合规，环境影响，生命、设备或生产损失 首要重点是保护边缘设备，如现场设备、过程控制器 中央服务器的保护也很重要 安全产品必须先测试，例如在离线工控系统上测试，以保它们不 会影响工控系统的正常运行 人机交互及紧急情况下快速反应是关键 应严格控制对工控系统的访问，但不应妨碍或干预人机交互 专用的操作系统，往往没有内置的安全功能 软件变更必须慎重，通常由软件供应商操作 系统被设计为支持预定的工业过程，可能没有足够的资源支持增 加安全功能 许多专有的和标准的通信协议 使用多种类型网络，包括有线、无线（无线电和卫星）
工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知
工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知文章属性•【制定机关】工业和信息化部•【公布日期】2017.12.12•【文号】工信部信软〔2017〕316号•【施行日期】2017.12.12•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】电子信息正文工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知工信部信软〔2017〕316号各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门，有关中央企业：为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》《国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见》等文件精神，加快我国工业控制系统信息安全保障体系建设，提升工业企业工业控制系统信息安全防护能力，促进工业信息安全产业发展，制定《工业控制系统信息安全行动计划（2018-2020年）》。
现印发你们，请结合实际，抓好贯彻落实。
附件：工业信息安全行动计划（2018-2020年）工业和信息化部2017年12月12日附件工业控制系统信息安全行动计划（2018-2020年）工业控制系统信息安全（以下简称工控安全）是实施制造强国和网络强国战略的重要保障。
近年来，随着中国制造全面推进，工业数字化、网络化、智能化加快发展，我国工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等新挑战。
为全面落实国家安全战略，提升工业企业工控安全防护能力，促进工业信息安全产业发展，加快我国工控安全保障体系建设，制定本行动计划。
一、总体要求（一）指导思想全面贯彻落实党的十九大精神，以习近平新时代中国特色社会主义思想为指引，坚持总体国家安全观，以落实企业主体责任为关键，紧紧围绕新时期两化深度融合发展需求，重点提升工控安全态势感知、安全防护和应急处置能力，促进产业创新发展，建立多级联防联动工作机制，为制造强国和网络强国战略建设奠定坚实基础。
信息安全技术工业控制系统安全控制应用指南
信息安全技术工业控制系统安全控制应用指南信息安全技术在工业控制系统中的应用日益重要，保障工业控制系统的安全性已经成为了当务之急。
本文将从信息安全技术在工业控制系统中的应用角度，探讨如何进行安全控制，以保护工业控制系统免受各种威胁的侵害。
一、工业控制系统的安全威胁工业控制系统是指用于监控和控制工业过程的系统，如电力系统、水处理系统、交通信号系统等。
然而，随着互联网的普及，工业控制系统也面临着越来越多的安全威胁。
黑客攻击、恶意软件、物理攻击等威胁可能导致工业控制系统发生故障、停工甚至事故。
因此，保障工业控制系统的安全性至关重要。
二、信息安全技术在工业控制系统中的应用1. 认识威胁：了解工业控制系统可能面临的各种安全威胁，包括网络攻击、恶意软件、物理攻击等，并进行风险评估，以制定相应的安全措施。
2. 访问控制：采用身份认证、访问控制列表、权限管理等技术，限制未经授权的人员或设备对工业控制系统的访问和操作，防止非法入侵和误操作。
3. 数据加密：对工业控制系统中的敏感数据进行加密，确保数据在传输和存储过程中不被窃取或篡改，提高数据的保密性和完整性。
4. 安全监测：利用入侵检测系统（IDS）、入侵防御系统（IPS）等技术，对工业控制系统进行实时监测和检测，及时发现和阻止安全事件的发生。
5. 安全培训：对工业控制系统的管理员和操作人员进行安全培训，提高其安全意识和技能，减少人为失误导致的安全事故。
6. 安全更新：及时安装工业控制系统的安全补丁和更新，修复已知的漏洞，提高系统的安全性。
7. 应急响应：建立应急响应机制，制定应急预案，提前应对可能发生的安全事件，减少损失和影响。
8. 物理安全：确保工业控制系统的物理环境安全，如安装监控摄像头、闸机等设备，防止未经授权的人员进入控制区域。
9. 网络隔离：将工业控制系统与企业内部网络和互联网隔离，减少攻击面，防止安全事件扩散和蔓延。
10. 安全审计：定期对工业控制系统进行安全审计，发现和解决安全隐患，提高系统的安全性和稳定性。
2023工控安全报告
2023工控安全报告概述工控系统（Industrial Control System，简称ICS）是指用于监控和控制工业过程的自动化系统，它们在许多关键领域中发挥着重要作用，如能源、交通、水务和制药等。
随着互联网和信息技术的快速发展，工控系统面临着瞬息万变的网络安全威胁。
本报告将分析2023年工控安全领域的最新趋势和挑战，并提供相应的解决方案和建议。
工控系统威胁面扩大2023年，随着工控系统的不断普及和应用，对其安全性的要求也越来越高。
然而，随着工控系统与互联网的深度融合，其面临的威胁也随之扩大。
攻击者可以通过网络入侵、物理接触等方式来破坏工控系统的正常运行，造成严重的后果。
1. 网络攻击网络攻击是工控系统最常见的威胁方式之一。
黑客可以通过网络渗透、恶意软件传播、拒绝服务攻击等手段来对工控系统进行攻击。
网络攻击可以导致工控系统的瘫痪、数据丢失或被篡改，给相关行业带来巨大的经济损失和安全风险。
2. 物理攻击物理攻击是指攻击者通过直接接触工控系统设备来对其进行破坏或篡改。
这种攻击方式一般需要攻击者具备一定的技术能力和对目标系统的深入了解。
物理攻击对工控系统的破坏程度往往更严重，恢复起来也更加困难。
3. 社会工程学攻击社会工程学攻击是对工控系统进行针对性攻击的一种方式。
攻击者通过伪装成合法用户、诱骗操作员等手段来获取工控系统的访问权限，从而实施进一步的攻击。
社会工程学攻击不需要攻击者具备高超的技术能力，但却具有高度的隐蔽性。
工控系统安全挑战与解决方案面对不断扩大的工控系统安全威胁，我们需要采取有效的措施来保护工控系统的安全。
1. 安全培训和意识提升建立一个安全意识良好的组织文化非常重要。
通过对工控系统用户和管理人员的安全培训，提高其对工控系统安全风险的认知和了解，减少安全漏洞的发生。
同时，建立安全漏洞报告和响应机制，及时处理潜在的安全风险。
2. 安全漏洞管理与补丁更新工控系统供应商和用户应共同努力，建立全面的安全漏洞管理和补丁更新机制。
工业控制系统信息安全标准化
工业控制系统信息安全标准化是为了确保工业控制系统的安全
性和可靠性而制定的一系列标准。
这些标准涉及到工业控制系统的各个方面，包括系统安全、网络安全、数据安全等。
通过制定和实施这些标准，可以规范工业控制系统在设计、开发、部署、运行和维护过程中的安全行为，提高系统的安全性、可靠性和可控性。
同时，标准化也有助于促进工业控制系统之间的互操作性和兼容性，降低安全风险和成本。
工业控制系统信息安全标准化的主要内容包括：
系统安全：制定系统安全标准和规范，确保工业控制系统的物理安全、逻辑安全和网络安全。
网络安全：制定网络安全标准和规范，确保工业控制系统的网络通信安全、网络设备安全和网络管理安全。
数据安全：制定数据安全标准和规范，确保工业控制系统的数据完整性、数据保密性和数据可用性。
应用安全：制定应用安全标准和规范，确保工业控制系统中的应用程序的安全性和可靠性。
安全管理：制定安全管理标准和规范，确保工业控制系统在安全管理方面的规范化和标准化。
工业控制系统信息安全标准化的实施需要政府、企业和社会各界的共同努力。
政府应加强标准化工作的引导和支持，企业应加强自身的标准化建设和管理，社会各界应加强标准化的宣传和推广。
总之，工业控制系统信息安全标准化是保障工业控制系统安全的重要手段，对于促进工业控制系统的发展和应用具有重要意义。
工业控制网络安全和工业控制网安全解决方案
工业控制网络安全解决方案数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。
一旦工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。
随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。
2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。
2011年工信部发布了《关于加强工业控制系统信息安全管理的通知》，通知要求，各地区、各部门、各单位务必高度重视工业控制系统信息安全管理，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。
加强数据采集与监控安全（SCADA安全）、分布式控制系统安全（DCS安全）、过程控制系统安全（PCS安全）、可编程逻辑控制器安全（PLC安全）等工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。
通知特别要求：“1.断开工业控制系统同公共网络之间的所有不必要连接。
2.对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。
”要实现高安全的工控网安全防护保障,还是必须采用网络安全隔离,也就是使用隔离网闸,这也是为什么国家电网强制要求使用安全隔离网闸的原因。
凭借雄厚的技术实力，北京数码星辰为了解决工业控制网和公共网络之间的物理隔离，控制网和管理网（MIS网），以及控制网与企业内部网之间的隔离，专门研制针对控制网和MIS连接保护的宇宙盾网络安全隔离产品，并以此提出了数码星辰的控制网安全防护解决方案。
工业控制系统安全分析及解决方案
据权威 工业安 全事件 信息库 Ｒ Ｉ Ｓ Ｉ（ Ｒ ｅ ｐ ｏ ｓ ｉ ｔ ｏ ｒ ｙ ｏ ｆ
Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙＩ ｎ ｃ ｉ ｄ ｅ ｎ ｔ ｓ ） 的统计 ， 截止 ２ ０ １ １年 １ ０月 ， 全 球 已 发
控平 台 、 网络 、 安全 策略 、 管 理流 程等 方面对 工业 控制 系统 的安 全性 进行 了分 析 ， 并 针 对工 业控制 系统 的不 同层次提 出 了相 应 的解决 方 案。 【 关键词 】 工业控 制 系统 ； Ｓ Ｃ Ａ Ｄ Ａ； 安全 防护 ； 解决 方案
ｎ ｄ ｕ ｓ ｔ ｒ ｉ ａ ｌ Ｃ ｏ ｎ ｔ ｒ ｏ ｌ Ｓ ｙ ｓ ｔ ｅ ｍ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ Ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ ａ ｎ ｄ Ｓ ｏ ｌ ｕ ｔ ｉ ｏ ｎ
１ 引言
现代工业控制系统 （ Ｉ ＣＳ ） 包 括 数 据 采 集 系 统 （ Ｓ Ｃ Ａ ＤＡ） ， 分 布式 控 制 系 统 （ ＤＣＳ ） ， 程 序 逻 辑 控 制（ Ｐ Ｌ Ｃ ） 以及 其 他 控制 系统 等 ， 目前 已应 用 于 电力 、 水力 、 石化 、 医药 、 食 品以及 汽车 、 航天 等１ 二 业领 域 ， 成 为 国家关 键基
《 国 家信 息 安全 产 业 “ 十 二五 ” 规划 》 特 别 将工 业 控制 系
统 安 全 技 术 作 为 重 点 发 展 的关 键 技 术 之 一 。
与传 统基 于 Ｔ Ｃ Ｐ ／ Ｉ Ｐ协议 的网络 与信 息 系统 的安全 相比， 我国Ｉ Ｃ Ｓ的安全保 护水平 明显偏 低 ， 长期 以来没有 得到关 注 。 大 多数 Ｉ Ｃ Ｓ在 开发 时 ， 由于传 统 Ｉ Ｃ Ｓ技术 的计 算 资源有 限 ， 在设 计 时只考虑 到效率 和实 时等特性 ， 并 未 将安 全作为 一个主要 的指标 考虑 。随着 信息化 的推动 和 工业 化进程 的加速 ，越来 越多 的计算机 和 网络 技术应 用 于工业 控制 系统 ，在为工业 生产 带来极 大推 动作用 的同 时， 也带来 了 Ｉ Ｃ Ｓ的安全 问题 ， 如木 马 、 病毒、 网络攻 击造
工业控制系统网络安全的挑战与解决方案
工业控制系统网络安全的挑战与解决方案随着信息技术的快速发展，工业控制系统（Industrial Control Systems，简称ICS）在现代工业中起着至关重要的作用。
然而，网络化的工业控制系统也带来了一系列的网络安全挑战。
本文将探讨工业控制系统网络安全所面临的挑战，并提出一些解决方案以应对这些挑战。
一、工业控制系统网络安全挑战1. 网络攻击威胁：工业控制系统面临多种网络攻击威胁，包括恶意软件感染、黑客入侵、数据篡改和拒绝服务攻击等。
这些攻击可能导致产业设备故障、生产数据泄露、工厂生产中断等严重后果。
2. 技术老化和漏洞：许多工业控制系统使用过时的技术和软件，这些技术和软件往往存在漏洞和安全隐患。
黑客可以利用这些漏洞实施攻击，并窃取关键信息或者破坏工业设备。
3. 隔离困难：工业控制系统通常由多个网络和子系统组成，这些网络和子系统之间需要进行互联和数据共享。
然而，这也给网络安全带来了挑战，因为网络和子系统的互联可能导致攻击者通过一个子系统侵入整个工业控制系统。
4. 人为因素：人为因素也是工业控制系统网络安全的一个重要挑战。
员工的不规范行为、信息泄露、密码弱点等都可能成为网络攻击的入口。
二、工业控制系统网络安全解决方案1. 安全培训和教育：组织应加强对员工的网络安全培训和教育，提高员工的安全意识和技能，以减少人为因素导致的网络安全风险。
2. 网络监测和入侵检测系统：建立网络监测和入侵检测系统，实时监控工业控制系统的网络流量和异常活动，及时发现并应对潜在的网络攻击。
3. 漏洞管理和补丁更新：定期对工业控制系统进行漏洞扫描和安全评估，即时安装补丁和更新软件，以确保系统的及时修复和漏洞修补。
4. 访问控制和权限管理：实施严格的访问控制策略，限制对工业控制系统的访问权限，确保只有授权人员能够访问和操作系统，减少潜在的攻击风险。
5. 网络隔离和分区：将工业控制系统划分为不同的网络区域，实施网络隔离和分区措施，限制不同网络之间的通信和数据共享，减少攻击面。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
-8-
3.1.5 工业防火墙具体服务规则
1．域名解析系统（DNS） DNS主要用于域名和IP地址之间的翻译。 2．超文本传输协议（HTTP） HTTP是在互联网进行Web浏览服务的协议。 3．文件传输协议（FTP）和一般的文件传输协议（TFTP） FTP和TFTP用于设备之间的文件传输。 4．用于远程联接服务的标准协议（Telnet） Telnet协议在用户端和主机端之间定义一个互动的、以文本为基础的通信。
--加快数据包的处理速度 --具有更好的性能和安全性
状态包检测防火墙虽然成本高一点，对管理员要求复杂一点，但它能提供比数据包过滤防 火墙更高的安全性和更好的性能，因而在工业控制中应用越来越多。
-5-
3.1.2 工业防）技术
代理服务（Proxy Service）又称为链路级网关或TCP通道（Circuit Level Gateways or T CP Tunnels），也有人将它归于应用级网关一类。
-10-
3.1.6 工业防火墙争论问题
1．数据历史服务器 数据历史服务器放在公司网，那么一些不安全的协议，如Modbus/TCP或DCOM，必须穿过防火墙 向数据历史服务器汇报，而出现在公司网。同样，数据历史服务器放在控制网，那么一些有问 题的协议，如HTTP或SQL，必须穿过防火墙向数据历史服务器汇报，而出现在控制网。 因此，最好的办法是不用两区系统，采用三区系统，即控制网区、DMZ和公司网。在控制网区收 集数据，数据历史服务器放在DMZ。然而，若很多公司网用户访问历史服务器，将加重防火墙的 负担。这可以采用安装两台服务器来解决： 第一台放置在控制网收集数据，第二台放置在公司 网，镜像第一台服务器，同时支持用户询问，并做好两台服务器的时间同步。 2．远程支持访问 用户或供应商需通过远程访问进入控制网，则需通过验证。 控制组可以在DMZ建立远程访问系统，也可以由IT部门用已有的系统。 远程支持人员必须采用VPN技术访问控制设备。 3．多点广播数据流 多点广播数据流，提高了网络的效率，但也带来了防火墙的复杂问题。
《工业控制系统信息安全》
第3章 工业控制系统信息安全技术与方案部署
-1-
第3章工业控制系统信息安全技术与方案部署
3.1 工业防火墙技术 3.2 虚拟专用网（VPN）技术 3.3 控制网络逻辑分隔 3.4 网络隔离 3.5 纵深防御架构
-2-
3.1.1 防火墙的定义
-3-
3.1.2 工业防火墙技术
-9-
3.1.5 工业防火墙具体服务规则
5．简单邮件传输协议（SMTP） SMTP是互联网上主要的邮件传输协议。 6．简单网络管理协议（SNMP） SNMP用于在中央管理控制台与网络设备之间的网络管理服务。 7．分布式组件对象模型（DCOM） DCOM是OPC和Profinet的基本传输协议。 8．SCADA与工业网络协议 SCADA和一些工业网络协议，诸如Modbus/TCP、EtherNet/IP等，对于多数控制设备之间的通信 是很关键的。只是这些协议设计时没有安全考虑，且不需要任何验证对控制设备远程发出执行 命令。因此，这些协议只允许用于控制网，而不允许过渡到公司网。
数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明性好。 “白名单” “黑名单” 数据包过滤防火墙适用于工业控制，早期市场中已普遍使用，但其缺陷也慢慢显现出来。
-4-
3.1.2 工业防火墙技术
2．状态包检测（Stateful Inspection）技术
状态包检测防火墙采用基于会话连接的状态检测机制，将属于同一连接的所有数据包作为 一个整体的数据流看待，构成动态连接状态表，通过访问控制列表与连接状态表的共同配合， 不仅可以对数据包进行简单的包过滤（也就是对源地址、目标地址和端口号进行控制），而且 还对状态表中的各个连接状态因素加以识别，检测此次会话连接的每个数据包是否符合此次会 话的状态，能够根据此次会话前面的数据包进行基于历史相关的访问控制。
1．数据包过滤（Packet Filtering）技术 数据包过滤技术是在OSI第3层网络层对数据包进行选择，选择的依据是系统内设置的过滤
逻辑，称为访问控制表（Access Control Table）。通过检查数据流中每个数据包的源地址、 目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。
代理服务网关防火墙不太适用于工业控制，但也有不计较延时情况的应用。
-6-
3.1.3 工业防火墙技术发展方向
1．透明接入技术 2．分布式防火墙技术 3．智能型防火墙技术
-7-
3.1.4 工业防火墙与一般IT防火墙区别
数据包过滤防火墙与一般IT防火墙的区别主要表现在以下几点： （1）支持基于白名单策略的访问控制，包括网络层和应用层。 （2）工业控制协议过滤，应具备深度包检测功能，支持主流的工控协议的格式检查机制、 功能码与寄存器检查机制。 （3）支持动态开放OPC协议端口。 （4）防火墙应支持多种工作模式，保证防火墙区分部署和工作过程以实现对被防护系统的 最小影响。例如，学习模式，防火墙记录运行过程中经过防火墙的所有策略、资产等信息， 形成白名单策略集；验证模式或测试模式，该模式下防火墙对白名单策略外的行为做告警， 但不拦截；工作模式，防火墙的正常工作模式，严格按照防护策略进行过滤等动作保护。 （5）防火墙应具有高可靠性，包括故障自恢复、在一定负荷下72小时正常运行、无风扇、 支持导轨式或机架式安装等。