工业控制系统安全体系架构与管理平台
工业控制系统信息安全整体解决方案
北京威努特技术有限公司总经理：龙国东
威努特—工控安全专家
内容提纲
1
2
威努特公司介绍
工控安全标准解读
威努特工控安全理念 威努特工控安全解决方案 行业案例
3
4
5
公司简介
威努特—工控安全专家
北京威努特技术有限公司是一家专注于工业控制系统网络安全产品与解决
方案研发的创新型高科技公司。
3
4
5
威努特工控安全解决方案
行业案例
威努特工控安全解决方案
核心技术理念：
纵深防护
威努特—工控安全专家
白名单机制
工业协议深度解析
实时监控审计
统一平台管理
Page 17
威努特工控安全解决方案—白名单机制
“白名单”主动防御技术是通过提前计划好的协议规则来限制
威努特—工控安全专家
网络数据的交换，在控制网到信息网之间进行动态行为判断。通
防病毒软件在长年不更新病毒库的工控网内的实际作用非常有限，老旧的病毒库无 法抵御新型病毒的攻击；安装防病毒软件只是自欺欺人的一厢情愿罢了。
Page 12
威努特工控安全理念—传统信息安全产品解决不了工控安全问题
可用性和机密性的矛盾 工业控制系统“可用性”第一，而IT信息系统以“机密性”第一
从而要求安全产品的软硬件重新设计。例如：系统fail-to-open。
工控安全
实时适度的吞吐量高延迟或抖动不可接受 重新启动不可接受可用性要求可能需要冗余系统 停机必须有计划和提前预定时间高可用性要求充分的部署前测试 人身安全是最重要的，其次是过程保护 容错是必须的，即使瞬间的停机也可能不可接受 主要的风险影响是不合规，环境影响，生命、设备或生产损失 首要重点是保护边缘设备，如现场设备、过程控制器 中央服务器的保护也很重要 安全产品必须先测试，例如在离线工控系统上测试，以保它们不 会影响工控系统的正常运行 人机交互及紧急情况下快速反应是关键 应严格控制对工控系统的访问，但不应妨碍或干预人机交互 专用的操作系统，往往没有内置的安全功能 软件变更必须慎重，通常由软件供应商操作 系统被设计为支持预定的工业过程，可能没有足够的资源支持增 加安全功能 许多专有的和标准的通信协议 使用多种类型网络，包括有线、无线（无线电和卫星）
工业控制系统信息安全浅析
1 工业控制系统信息安全简介工业控制系统被广泛应用于现代社会的诸多关键领域，包括能源、水电、通信、交通、调度、工业制造等。
在工业控制系统与互联网连接的趋势下，工业控制系统信息安全越来越引起业界的关注。
一个完整的工控企业的信息系统通常分为四层，即企业管理层、生产管理层、生产控制层和设备层。
企业管理层实现企业内部办公系统功能，生产相关数据不包括在内。
一般将生产管理层、生产控制层和设备层涉及的部分统称为工业控信息系统。
工业控制信息系统不但包括SCADA、DCS、PLC、RTU等专用的信号采集、数据传输和信息控制系统，还包括专用的工业通信输设备及工业企业专用数据库。
S C A D A（S u p e r v i s o r y C o n t r o l A n d D a t a Acquisition）即数据采集与监视控制系统，用来控制地域上分散的大型分布式系统。
SCADA系统控制的分布式系统，地域跨度大，分散的数据采集和集中的数据处理是SCADA的主要特点。
典型的SCADA系统有供水和污水收集系统、石油和天然气管道、电力电网及铁路运输系统等。
DCS（Distributed Control System）即分布式控制系作者简介：李莉中国信息通信研究院泰尔系统实验工程师。
统，是对工业系统的生产过程进行集中管理和分散控制的计算机系统。
DCS对实时性和可靠性要求较高。
DCS 通常是专用定制化系统，使用专用处理器，采用私有通信协议通信，运行针对企业特定应用的定制化软件系统。
DCS广泛应用在在能源化工、汽车生产、食品、废水处理等行业。
图1 工业控制系统架构PLC（Programmable Logic Controller）即可编程逻辑控制器，用于控制工业设备和生产过程。
PLC通常在较小的控制系统配置中作为主要组件，用于提供离散过工业控制系统信息安全浅析Analysis of Certification Requirements for IoT Wireless Communication Products at Home and Abroad李 莉（中国信息通信研究院，北京 100191）摘 要：本文首先研究了工业控制系统信息安全的范畴和发展现状，然后对工业控制信息体统安全行业发展带来的新机遇进行了探讨，接下来对促进工控信息系统发展的国内外相关标准做了梳理，最后给出了工控安全行业发展展望和建议。
等级保护解决方案(2.0)
【安全管理区】身份认证\漏洞扫描\堡垒机\终端安全管理\全流量分析\安全管理平台
【综合业务区】OA服务器群集…ERP服务器群集…
【数据存储区】数据库群集…IP SAN存储群集…备份服务器群集…
【终端接入区】
【核心交换区】
防火墙
防火墙
防火墙
防火墙
防火墙
网络访问策略的控制要求，包括安全域的划分、网络之间的隔离。
网络架构
网络架构
通信传输
通信传输
安全通信网络
安全通信网络建设
合理的区域划分对具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享相同的安全策略，划分不同的网络区域；区域访问控制避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；通信链路加密采用校验码技术或加解密技术保证通信过程中数据的完整性、保密性；
代表终端杀毒、EDR类产品
安全管理中心建设
安全管理体系
安全服务体系
应急响应服务
安全培训服务
安全测试服务
安全开发服务
安全咨询服务
安全运维服务
SecurityServices
应急演练
等保咨询
开发安全运维
重保安全
数据安全咨询
安全运营体系
依据标准化安全运营体系设计，为用户方提供全面的基础运营保障、安全风险分析研判与检测控制能力、风险监控预警能力以及安全事件的日常与应急处置能力。
身份安全认证对授权主体进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。终端安全管理实时针对终端的安全关机，包括漏洞扫描，基线核查、主机防病毒等，保证内网终端环境安全；全面安全审计保证审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计，审计记录满足等保要求；数据安全保护保证数据传输过程、数据存储中的加密，个人信息数据使用的审计，非法访问的禁止。
工业控制系统安全指南(40页)
网络方面的脆弱性
在ICS中的漏洞可能会出现缺陷，错误配置，或对ICS网络及 与其他网络的连接管理不善。这些漏洞可以通过各种安全 控制消除或者弱化，如防御深入的网络设计，网络通信加 密，限制网络流量，并提供网络组件的物理访问控制。
网络配置漏洞 网络硬件漏洞 网络边界漏洞 网络监控和记录漏洞 通信中的漏洞 无线连接中的漏洞
14
ICS特性
本文中ICS特性主要是通过与IT系统的区别而列举出来的。
起初，ICS与IT系统并无相似之处，随着ICS采 用广泛使用的、低成本的互联网协议（IP）设备 取代专有的解决方案，以促进企业连接和远程访 问能力，并正在使用行业标准的计算机、操作系 统（OS）和网络协议进行设计和实施，它们已经 开始类似于IT系统了。但是，ICS有许多区别于传 统IT系统的特点，包括不同的风险和优先级别。其 中包括对人类健康和生命安全的重大风险，对环 境的严重破坏，以及金融问题如生产损失和对国 家经济的负面影响。
38
以上概要介绍了美国在解决工业控制 系统安全问题上的思想、途径以及方法， 这些内容对我国目前实际开展的ICS安 全工作，对我国ICS安全战略制定、标 准化工作、安全技术研发和创新等，均 具有很好的参考价值。
39
谢谢！
40
NISTSP800-82
1
开始语
《SP 800—82 ：工业控制系统(ICS)安全指南》于 2010年1O月发布，是NIST依据2002年联邦信息安 全管理法 、2003年国土安全总统令HSPD-7等编制 而成。它遵循《OMB手册 》的要求“保障机构信 息系统 ，为联邦机构使用，同时允许非政府组织 自愿使用，不受版权管制。”
DCS系统用于控制在同一地理位置的生产系统，被 用来控制工业生产过程，如炼油厂，水和污水处 理，发电设备，化学品制造工厂，和医药加工设 施等行业。
网络信息安全之工业控制系统信息安全技术
关键技术及难点
工业控制系统信息安全防护和测评体系
对信息系统安全实行等级保护是国家信息安全政 策，并颁布了系列国家标准，包括定级、设计、 实施、测评等环节的基本要求和指南 工业控制系统信息安全也应实行等级保护政策， 基于行业/系统重要性不同来分级 现行的等级保护标准并不适合，需要制定针对工 业控制系统信息安全的等级保护标准 通过实施等级保护政策和标准，建立规范化的工 业控制系统信息安全防护和测评体系
网络信息安全之工业控制系统信息安 全技术
安全风险分析
工业控制系统中的管理终端一般没有采取措施对
移动U盘和光盘使用进行有效的管理，导致移动介
质的滥用而引发的安全事件时有发生
在工业控制系统维护时，通常需要接入笔记本电
脑。由于对接入的笔记本电脑缺乏有效的安全监
管，给工业控制系统带来很大的安全风险
由于对工业控制系统的操作行为缺乏有效的安全
网络信息安全之工业控制系统信息安 全技术
国内外技术现状
总体上，我国工业控制系统信息安全工作起 步晚，普遍存在安全意识薄弱、管理制定不 健全、标准规范不完善、技术储备不足、安 全产品缺乏、防护措施不到位等问题 由于工业控制系统的特殊性，现有的信息安 全技术及产品并不能直接用于工业控制系统 中，必须针对工业控制系统的特点，研制适 用的信息安全技术及产品
网络信息安全之工业控制系统信息安 全技术
震网病毒警示
震网病毒给工业控制系统信息安全敲响了 警钟，网络攻击正在从开放的互联网向封 闭的工业控制网蔓延 据权威工业安全事件信息库(RISI)统计，截 止到2011年10月，全球已发生了200余起针 对工业控制系统的攻击事件 2001年后，随着通用开发标准与互联网技 术的广泛使用，针对工业控制系统的攻击 行为也出现大幅度增长
工业控制系统信息安全管理
促进企业可持续发展：工业控制系统信息安全不仅关系到企业的当前利益，还关系到企业的未来发展。建 立完善的信息安全管理体系可以为企业提供长期、稳定的信息安全保障，促进企业的可持续发展。
添加标题
添加标题
添加标题
添加标题
病毒传播：病毒通过感染工业控制 系统中的设备或软件，导致系统崩 溃或数据泄露
人为误操作：操作人员因疏忽或错 误操作导致工业控制系统中的数据 泄露或系统故障
工业控制系统信息安全问题原因
工业控制系统自身脆弱性：工业控制系统设计时未充分考虑安全问题，存在漏洞和缺陷，容易被攻击者利用。
访问控制：通过身份验证、权限管理等手段，确保只有授权人员能够访问工业控制系统。 物理隔离：将工业控制系统与外部网络进行物理隔离，以防止未经授权的访问和攻击。
监控和报警：通过安装监控设备和传感器，实时监测工业控制系统的运行状态，及时发现异常情况并报警。 冗余设计：采用冗余设计技术，确保工业控制系统的关键设备能够互为备份，提高系统的可靠性和稳定性。
工业控制系统信息安全管理体系的构成
添加标题
组织架构：明确各部 门职责，建立专门的 信息安全管理部门
添加标题
制度体系：制定信息 安全管理制度、操作 规程等，确保各项工 作的规范化
添加标题
人员管理：对工作人 员进行信息安全培训， 提高安全意识，加强 人员管理
添加标题
物理环境：确保工业 控制系统的物理环境 安全，如机房、设备 等的安全
添加标题
网络安全与工业安 全深度融合：未来， 网络安全与工业安 全将深度融合，形 成更加紧密的合作 关系，共同应对工 业控制系统信息安
《NIST SP800-82工业控制系统安全指南》
开始语
《SP 800—82 ：工业控制系统(ICS)安全指南》于 2010年1O月发布，是NIST依据2002年联邦信息安 全管理法 、2003年国土安全总统令HSPD-7等编制
而成。它遵循《OMB手册 》的要求“保障机构信 息系统 ，为联邦机构使用，同时允许非政府组织 自愿使用，不受版权管制。”
主要ICS元件
控制元件：控制服务器、SCADA服务器或主终端单
元（MTU）、远程终端装置（RTU）、可编程逻辑控 制器（PLC）、智能电子设备（IED）、人机界面 （HMI）、历史数据、输入/输出（IO）服务器；
网络组件：现场总线网络、控制网络、通讯路由器、
防火墙、调制解调器、远程接入点。
如何建立一个ICS安全计划？
①建立安全业务方案
安全业务方案 建成安全项目的 收益 不实施安全项目 的潜在后果 安全程序的实施、运行、 监管、维护等流程 开发、实施、维护 安全项目所需的成 本和资源
安全业务方案由四个关键要素组成： 威胁优先化、商业后果优先化、商业利益优先化以 及年度商业影响。
②综合安全程序的开发和部署
ICS安全控制
安全控制是一个信息系统保护其信息的
保密性、完整性和有效性而制定的管理、 操作和技术控制。本文此部分的内容主 要是如何把SP 800—53中“联邦信息系统 与组织安全控制方法” 部分提出的管理、 运营和技术方面的控制措施运用在ICS中。
NIST SP 800-53在联邦政府信息系统的支持下，
SCADA系统
SCADA系统是用来控制地理上分散的资产的高度分布
式的系统，往往分散数千平方公里，其中集中的数据 采集和控制是系统运行的关键。这些系统被用于配水 系统和污水收集系统，石油和天然气管道，电力设施 的输电和配电系统，以及铁路和其他公共交通系统。
工业控制系统安全管理体系研究_ICS工业控制系统安全风险分析之二
工业控制系统安全管理体系研究_ICS工业控制系统安全风险分析之二工业控制系统安全管理体系研究——ICS 工业控制系统安全风险分析之二张帅针对不同区域间数据通信安全和整体信息化建信息化与工业化深度融合的今天，无论是关乎国计民生的电力、石化、水利、铁路、民航等基础设要求，实施工业控制网络安全建设,首先需要针保障行业，还是逐渐成规模的物联网、移动互联网对ICS 网络管理的关键区域实施可靠的边界安全策等新型行业，交互已成 ICS 系统的重要特性。
互联略，实现分层级的纵深安全防御策略，抵御各种已与交互体验提升的同时，威胁也在与日俱增. 知的攻击威胁。
目前我国 ICS 系统的信息安全管理仍存在诸多问题，例如,大型制造行业普遍存在因设备使用时间较长，安全防护能力缺失等问题 ;而在诸如石化电力等重要基础设施保障行业，又因为应用和新技术的更替，海量的分布式控制组件与业务单元都让电力控制网络变得愈发复杂，在可用性面前安全防御机制难免出现疏漏.因此，在参照国际流行标准以及我国工业控制系统所存在的具体安全风险等因图 1 工业控制系统边界防御思想素后，一种基于终端可用性和安全性兼顾的控制系统安全解决方案被提出，用以从威胁入侵的根源满2 办公网络终端的安全防御足工业控制系统的安全需求. 办公网络相对于工业控制网络是开放,其安全防御的核心是确保各种办公业务终端的安全性和可用性，以及基于终端使用者的角色实施访问控制策略。
办公网络也是最容易受到攻击者攻击并实施进 1 基于终端的工业系统安全防御体系一步定向攻击的桥头堡，实施有效的办公网络终端工业网络中同时存在保障工业系统的工业控制安全策略可最大限度地抵御针对 ICS 系统的破坏. 网络和保障生产经营的办公网络，考虑到不同业务办公网络通用终端安全防御能力建设包括：终端的安全性与故障容忍程度的不同,对其防御的（1) 病毒、木马等威胁系统正常运行恶意软件防策略和保障措施应该按照等级进行划分，实施分层御能力；次的纵深防御体系。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
工业控制系统安全体系架构与管理平台
一、工业控制系统安全分析工业控制系统(IndustrialControlSystems,ICS)，是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成。
其组件包括数据采集与监控系统(SCADA)、分布式控制系统(DCS)、可编程逻辑控制器(PLC)、远程终端(RTU)、智能电子设备(IED)，以及确保各组件通信的接口技术。
典型的ICS控制过程通常由控制回路、HMI、远程诊断与维护工具三部分组件共同完成，控制回路用以控制逻辑运算，HMI执行信息交互，远程诊断与维护工具确保ICS能够稳定持续运行。
1.1工业控制系统潜在的风险 1.操作系统的安全漏洞问题由于考虑到工控软件与操作系统补丁兼容性的问题，系统开车后一般不会对Windows平台打补丁，导致系统带着风险运行。
2.杀毒软件安装及升级更新问题用于生产控制系统的Windows操作系统基于工控软件与杀毒软件的兼容性的考虑，通常不安装杀毒软件，给病毒与恶意代码传染与扩散留下了空间。
3.使用U盘、光盘导致的病毒传播问题。
由于在工控系统中的管理终端一般没有技术措施对U 盘和光盘使用进行有效的管理，导致外设的无序使用而引发的安全事件时有发生。
4.设备维修时笔记本电脑的随便接入问题工业控制系统的管理维护，没有到达一定安全基线的笔记本电脑接入工业控制系统，会对工业控制系统的安全造成很大的威胁。
5.存在工业控制系统被有意或无意控制的风险问题如果对工业控制系统的操作行为没有监控和响应措施，工业控制系统中的异常行为或人为行为会给工业控制系统带来很大的风险。
6.工业控制系统控制终端、服务器、网络设备故障没有及时发现而响应延迟的问题对工业控制系统中IT 基础设施的运行状态进行监控，是工业工控系统稳定运行的基础。
1.2“两化融合”给工控系统带来的风险工业控制系统最早和企业管理系统是隔离的，但近年来为了实现实时的数据采集与生产控制，满足“两化融合”的需求和管理的方便，通过逻辑隔离的方式，使工业控制系统和企业管理系统可以直接进行通信，而企业管理系统一般直接连接Internet，在这种情况下，工业控制系统接入的范围不仅扩展到了企业网，而且面临着来自Internet 的威胁。
同时，企业为了实现管理与控制的一体化，提高企业信息化合综合自动化水平，实现生产和管理的高效率、高效益，引入了生产执行系统MES，对工业控制系统和管理。