工业控制系统信息安全整体解决方案
工业控制系统信息安全防御及解决方案
工业控制系统信息安全防御及解决方案工业控制系统是由工业自动化生产设备，如PLC、RTU、DCS系统等组成，不同于IT网络，工业控制系统有着专有的通信协议和通信机制。
由于相对独立的使用环境，工业控制系统多重视系统的功能实现，对安全的关注相对缺乏。
因此工业控制系统存在大量的安全缺陷，这些缺陷使工业控制系统极其脆弱。
随着工业信息化的快速发展以及工业4.0时代的到来，工业化与信息化的融合趋势越来越明显，工业控制系统也在利用最新的计算机网络技术来提高系统间的集成、互联以及信息化管理水平。
未来为了提高生产效率和效益，工控网络会越来越开放，不可能完全的隔离，给工控系统网络安全防护带来了挑战。
一、工业控制系统信息安全威胁近年来，各个工业行业频发的信息安全事故表明，一直以来被认为相对安全、相对封闭的工业控制系统已经成为不法组织和黑客的攻击目标，黑客攻击正在从开放的互联网向封闭的工控网蔓延。
多个重要且关乎国计民生的行业，如电力、石油、石化、天然气、军工等均遭受到了严峻的工业控制网络安全威胁，急需加大在工业控制网络安全方面的投入，防止工业企业受到针对工控网络的攻击。
如何解决工控安全问题已成为企业面临的严峻挑战，受到越来越多的工业企业的关注，并且得到了国家的高度重视。
针对关乎国家经济命脉的电力、石油、石化、军工等行业，国家在鼓励要求提高工业信息化的同时，将网络安全问题提升到了国家战略层面，并要求各级政府部门和相关企业加大对于工控安全技术的研发力度，加速推进相关技术和解决方案的完善以及相关政策标准的推出。
二、工业控制系统信息安全防御建议工业控制系统安全的重要性及其普遍安全防护措施不足的现实，使得加强工业控制系统的安全性来说无疑是一项相对艰巨的任务。
结合工业控制系统自身的安全问题，本文提出一些安全建议，具体有：1、加强对工业控制系统的脆弱性研究，提供针对性的解决方案和安全保护措施；2、尽可能采用安全的通信协议及规范，并提供协议异常性检测能力；3、建立针对工业控制系统的违规操作、越权访问等行为的监管；4、建立完善的工业控制系统安全保障体系，加强安全运维与管理；5、加强针对工业控制系统的新型攻击技术（例如APT）的防范研究。
工业控制系统信息安全整体解决方案
北京威努特技术有限公司总经理：龙国东
威努特—工控安全专家
内容提纲
1
2
威努特公司介绍
工控安全标准解读
威努特工控安全理念 威努特工控安全解决方案 行业案例
3
4
5
公司简介
威努特—工控安全专家
北京威努特技术有限公司是一家专注于工业控制系统网络安全产品与解决
方案研发的创新型高科技公司。
3
4
5
威努特工控安全解决方案
行业案例
威努特工控安全解决方案
核心技术理念：
纵深防护
威努特—工控安全专家
白名单机制
工业协议深度解析
实时监控审计
统一平台管理
Page 17
威努特工控安全解决方案—白名单机制
“白名单”主动防御技术是通过提前计划好的协议规则来限制
威努特—工控安全专家
网络数据的交换，在控制网到信息网之间进行动态行为判断。通
防病毒软件在长年不更新病毒库的工控网内的实际作用非常有限，老旧的病毒库无 法抵御新型病毒的攻击；安装防病毒软件只是自欺欺人的一厢情愿罢了。
Page 12
威努特工控安全理念—传统信息安全产品解决不了工控安全问题
可用性和机密性的矛盾 工业控制系统“可用性”第一，而IT信息系统以“机密性”第一
从而要求安全产品的软硬件重新设计。例如：系统fail-to-open。
工控安全
实时适度的吞吐量高延迟或抖动不可接受 重新启动不可接受可用性要求可能需要冗余系统 停机必须有计划和提前预定时间高可用性要求充分的部署前测试 人身安全是最重要的，其次是过程保护 容错是必须的，即使瞬间的停机也可能不可接受 主要的风险影响是不合规，环境影响，生命、设备或生产损失 首要重点是保护边缘设备，如现场设备、过程控制器 中央服务器的保护也很重要 安全产品必须先测试，例如在离线工控系统上测试，以保它们不 会影响工控系统的正常运行 人机交互及紧急情况下快速反应是关键 应严格控制对工控系统的访问，但不应妨碍或干预人机交互 专用的操作系统，往往没有内置的安全功能 软件变更必须慎重，通常由软件供应商操作 系统被设计为支持预定的工业过程，可能没有足够的资源支持增 加安全功能 许多专有的和标准的通信协议 使用多种类型网络，包括有线、无线（无线电和卫星）
工控网络安全解决方案
⼯控⽹络安全解决⽅案第⼀章安全概况SCADA、DCS、PCS、PLC等⼯业控制系统⼴泛运⽤于⼯业、能源、交通、⽔利以及市政等领域，⽤于控制⽣产设备的运⾏。
⼀旦⼯业控制系统信息安全出现漏洞，将对⼯业⽣产运⾏和国家经济安全造成重⼤隐患。
随着计算机和⽹络技术的发展，特别是信息化与⼯业化深度融合以及物联⽹的快速发展，⼯业控制系统产品越来越多地采⽤通⽤协议、通⽤硬件和通⽤软件，以各种⽅式与互联⽹等公共⽹络连接，病毒、⽊马等威胁正在向⼯业控制系统扩散，⼯业控制系统信息安全问题⽇益突出。
年发⽣的“震⽹”病毒事件，充分反映出⼯业控制系统信息安全⾯临着严峻的形势。
与此同时，我国⼯业控制系统信息安全管理⼯作中仍存在不少问题，主要是对⼯业控制系统信息安全问题重视不够，管理制度不健全，相关标准规范缺失，技术防护措施不到位，安全防护能⼒和应急处置能⼒不⾼等，威胁着⼯业⽣产安全和社会正常运转。
对此，各地区、各部门、各单位务必⾼度重视，增强风险意识、责任意识和紧迫感，切实加强⼯业控制系统信息安全管理。
去年，⼀款名为Worm.Win32.Stux的蠕⾍病毒席卷全球⼯业界，在短时间内威胁到了众多企业的正常运⾏。
Stux病毒被多国安全专家形容为全球⾸个“超级⼯⼚病毒”，截⾄⽬前，该病毒已经感染了全球超过45000个⽹络，伊朗、印尼、美国等多地均不能幸免。
其中，以伊朗遭到的攻击最为严重，该病毒已经造成伊朗布什尔核电站推迟发电，60%的个⼈电脑感染了这种病毒。
年1⽉，Slammer蠕⾍病毒⼊侵⼤量⼯⼚⽹络，直到防⽕墙将其截获，⼈们依然认为系统是安全的。
年8⽉13⽇美国佳⼠拿汽车⼯⼚的控制系统通过维修⼈员的笔记本电脑感染病毒，虽然已安装了IT防⽕墙，病毒就在⼏秒钟之内从⼀个车间感染到另⼀个车间，从⽽最终导致停⼯。
年10⽉⼀部被感染的笔记本电脑(维修⽤的),让⿊客⼊侵访问了在美国宾⼣法尼亚州的哈⾥斯堡⽔处理⼚的计算机系统。
年8⽉因反应堆在‘⾼功率、低流量条件’的危险情况下, 美国Browns Ferry核电⼚所有⼈员不得不全部撤离，原因是控制⽹络上“通讯负荷”的缘故。
工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知
工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知文章属性•【制定机关】工业和信息化部•【公布日期】2017.12.12•【文号】工信部信软〔2017〕316号•【施行日期】2017.12.12•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】电子信息正文工业和信息化部关于印发《工业控制系统信息安全行动计划（2018-2020年）》的通知工信部信软〔2017〕316号各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门，有关中央企业：为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》《国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见》等文件精神，加快我国工业控制系统信息安全保障体系建设，提升工业企业工业控制系统信息安全防护能力，促进工业信息安全产业发展，制定《工业控制系统信息安全行动计划（2018-2020年）》。
现印发你们，请结合实际，抓好贯彻落实。
附件：工业信息安全行动计划（2018-2020年）工业和信息化部2017年12月12日附件工业控制系统信息安全行动计划（2018-2020年）工业控制系统信息安全（以下简称工控安全）是实施制造强国和网络强国战略的重要保障。
近年来，随着中国制造全面推进，工业数字化、网络化、智能化加快发展，我国工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等新挑战。
为全面落实国家安全战略，提升工业企业工控安全防护能力，促进工业信息安全产业发展，加快我国工控安全保障体系建设，制定本行动计划。
一、总体要求（一）指导思想全面贯彻落实党的十九大精神，以习近平新时代中国特色社会主义思想为指引，坚持总体国家安全观，以落实企业主体责任为关键，紧紧围绕新时期两化深度融合发展需求，重点提升工控安全态势感知、安全防护和应急处置能力，促进产业创新发展，建立多级联防联动工作机制，为制造强国和网络强国战略建设奠定坚实基础。
工业控制系统的信息安全问题研究
统 认 为 用 于 给核 燃 料 棒 降 温 的水 温 下 降 ］ 。
控 制 系 统 的 另 一 个 特 点 在 于 对 实 时 性 的要 求 …。 控 制 系 统 的 主要 任 务 是 对 生 产 过 程 自动 做 出 实 时 的 判 断 与 决 策 。尽 管 传 统 信 息 安 全 对 可 用 性 的研 究 很 多 ，但 实 时 可 用 性 需 要 提 供 更 为 严格 的操作环境。例如 ， 传统 Ｉ Ｔ系 统 中经 常 采 用 握 手 协 议 和 加 密等措施增强安全性 ， 而在 控 制 系 统 中 ， 增 加 安 全 措 施 可 能 会 严
面， 介绍控制系统信息安全解决思路。
２ ． １ 网络 边 界 防护 上 文 所 述 工 业 控 制 系统 的 系 统 威 胁 ，一 方 面是 由 于 系 统 采
用 传统 Ｉ Ｔ技 术 ， 如操作 系统 、 Ｗｅ ｂ服 务 器 、 邮 箱 的漏 洞 等 造 成 ，
另 一 方 面控 制 系统 与 企 业 网实 现互 连 ， 暴 露 于 公 共 网络 之 中 ， 面 临更 多 的攻 击 。 因此 ， 为 了保 证 工 业 控 制 系 统 的 安 全 性 ， 首 先 需
１ ） 欺骗 攻击 ： 在 通 信 过 程 中伪 装 成 某 个 合 法 设 备 。例 如 ， 使
用 一 个 伪 造 的 网络 源 地 址 。
２ ） 拒绝 式 服 务攻 击 …］ ： 系 统 中 任 意 资 源 的 不 可 用 。例 如 ， 设 备 因忙 于 应 答 大 量 的恶 意 流 量 而 无 法 响 应 其 他 消 息 等 。 ３ ） 中 间人 攻 击 ： 攻 击者 从 通 信 的 一端 拦 截 所 有 消 息 ， 修 改 消息后再转发到终端接收设备 。 ４ ） 重播 攻 击 。 ］ ： 重复 发送 某 个 过 时 的 消 息 ， 如 用 户 认 证 或 命 令等 。
工业控制网络安全和工业控制网安全解决方案
工业控制网络安全解决方案数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。
一旦工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。
随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。
2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。
2011年工信部发布了《关于加强工业控制系统信息安全管理的通知》，通知要求，各地区、各部门、各单位务必高度重视工业控制系统信息安全管理，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。
加强数据采集与监控安全（SCADA安全）、分布式控制系统安全（DCS安全）、过程控制系统安全（PCS安全）、可编程逻辑控制器安全（PLC安全）等工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。
通知特别要求：“1.断开工业控制系统同公共网络之间的所有不必要连接。
2.对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。
”要实现高安全的工控网安全防护保障,还是必须采用网络安全隔离,也就是使用隔离网闸,这也是为什么国家电网强制要求使用安全隔离网闸的原因。
凭借雄厚的技术实力，北京数码星辰为了解决工业控制网和公共网络之间的物理隔离，控制网和管理网（MIS网），以及控制网与企业内部网之间的隔离，专门研制针对控制网和MIS连接保护的宇宙盾网络安全隔离产品，并以此提出了数码星辰的控制网安全防护解决方案。
工业控制系统信息安全防护措施
工业控制系统信息安全防护措施第一，物理安全措施。
工业控制系统的物理设备需要进行严格的保护，确保不被未经授权的人员接触。
比如采用门禁系统、视频监控系统等措施，限制只有授权人员才能接近和操作设备。
第二，网络安全措施。
工业控制系统往往与互联网相连，因此需要采取一系列网络安全措施来保护系统免受网络攻击。
使用防火墙来保护系统内部网络，配置入侵检测系统来监控网络流量，封堵异常连接，及时发现和应对潜在的攻击。
访问控制措施。
为了确保只有授权人员可以访问工业控制系统，需要采取严格的访问控制措施。
比如采用强密码策略，要求用户定期更改密码，并限制用户访问权限。
还可以采用双因素认证、用户身份认证等措施增加访问的安全性。
第四，安全更新和漏洞修复措施。
及时更新系统和软件补丁是保护工业控制系统安全的重要措施。
定期检查系统和软件的安全更新，并及时安装修复漏洞的补丁，以减少系统被攻击的风险。
第五，数据备份和恢复措施。
在事件发生后，及时进行数据备份可以减少数据的损失。
建立可靠的数据恢复机制，能够快速恢复系统功能，降低因数据损失导致的影响。
第六，安全培训和意识教育。
为工业控制系统的用户和管理员提供相关的安全培训和意识教育是非常重要的。
通过培训和教育，提高用户和管理员的安全意识，让他们能够识别潜在的安全威胁，并采取相应的防护措施。
工业控制系统信息安全防护措施需要从物理安全、网络安全、访问控制、漏洞修复、数据备份和安全培训等方面综合考虑，确保工业控制系统的安全性。
只有全面采取这些措施，才能有效地提升工业控制系统的信息安全水平。
工业控制系统安全分析及解决方案
据权威 工业安 全事件 信息库 Ｒ Ｉ Ｓ Ｉ（ Ｒ ｅ ｐ ｏ ｓ ｉ ｔ ｏ ｒ ｙ ｏ ｆ
Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙＩ ｎ ｃ ｉ ｄ ｅ ｎ ｔ ｓ ） 的统计 ， 截止 ２ ０ １ １年 １ ０月 ， 全 球 已 发
控平 台 、 网络 、 安全 策略 、 管 理流 程等 方面对 工业 控制 系统 的安 全性 进行 了分 析 ， 并 针 对工 业控制 系统 的不 同层次提 出 了相 应 的解决 方 案。 【 关键词 】 工业控 制 系统 ； Ｓ Ｃ Ａ Ｄ Ａ； 安全 防护 ； 解决 方案
ｎ ｄ ｕ ｓ ｔ ｒ ｉ ａ ｌ Ｃ ｏ ｎ ｔ ｒ ｏ ｌ Ｓ ｙ ｓ ｔ ｅ ｍ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ Ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ ａ ｎ ｄ Ｓ ｏ ｌ ｕ ｔ ｉ ｏ ｎ
１ 引言
现代工业控制系统 （ Ｉ ＣＳ ） 包 括 数 据 采 集 系 统 （ Ｓ Ｃ Ａ ＤＡ） ， 分 布式 控 制 系 统 （ ＤＣＳ ） ， 程 序 逻 辑 控 制（ Ｐ Ｌ Ｃ ） 以及 其 他 控制 系统 等 ， 目前 已应 用 于 电力 、 水力 、 石化 、 医药 、 食 品以及 汽车 、 航天 等１ 二 业领 域 ， 成 为 国家关 键基
《 国 家信 息 安全 产 业 “ 十 二五 ” 规划 》 特 别 将工 业 控制 系
统 安 全 技 术 作 为 重 点 发 展 的关 键 技 术 之 一 。
与传 统基 于 Ｔ Ｃ Ｐ ／ Ｉ Ｐ协议 的网络 与信 息 系统 的安全 相比， 我国Ｉ Ｃ Ｓ的安全保 护水平 明显偏 低 ， 长期 以来没有 得到关 注 。 大 多数 Ｉ Ｃ Ｓ在 开发 时 ， 由于传 统 Ｉ Ｃ Ｓ技术 的计 算 资源有 限 ， 在设 计 时只考虑 到效率 和实 时等特性 ， 并 未 将安 全作为 一个主要 的指标 考虑 。随着 信息化 的推动 和 工业 化进程 的加速 ，越来 越多 的计算机 和 网络 技术应 用 于工业 控制 系统 ，在为工业 生产 带来极 大推 动作用 的同 时， 也带来 了 Ｉ Ｃ Ｓ的安全 问题 ， 如木 马 、 病毒、 网络攻 击造
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2016.03.29工业控制系统信息安全整体解决方案
北京威努特技术有限公司CEO：龙国东
威努特—工控安全专家内容提纲
1
威努特公司介绍
传统IT安全在工控系统应用困境
2
威努特工控安全技术理念
3
威努特工控安全解决方案
4
成功案例
5
威努特—工控安全专家公司简介
☐北京威努特技术有限公司是一家专注于工业控制系统网络安全产品与解决方案研发的创新型高科技公司。
☐我们致力于为企业客户提供工控安全整体解决方案与服务，帮助企业客户识别工控系统安全风险，掌控工控安全现状与趋势，提高工控安全防护与事件响应能力。
☐公司组建了一支由业界知名信息安全专家、工控系统专家、成熟产品研发团队组成的专业化团队。
可为企业客户提供：
稳定可靠的工控安全防护产品；
专业深度的工控安全咨询培训；
全方位的安全服务：风险评估/漏洞挖掘/渗透测试/攻防演练；
☐帮助电力、石油、石化、水利、化工、军工、冶金、交通以及市政等关键行业客户建立稳定可控的工控安全整体防护体系。
Page 3。