威努特工控安全----大话工控安全“白环境”.v.1.5
工业控制系统信息安全整体解决方案
2016.03.29工业控制系统信息安全整体解决方案
北京威努特技术有限公司CEO：龙国东
威努特—工控安全专家内容提纲
1
威努特公司介绍
传统IT安全在工控系统应用困境
2
威努特工控安全技术理念
3
威努特工控安全解决方案
4
成功案例
5
威努特—工控安全专家公司简介
☐北京威努特技术有限公司是一家专注于工业控制系统网络安全产品与解决方案研发的创新型高科技公司。
☐我们致力于为企业客户提供工控安全整体解决方案与服务，帮助企业客户识别工控系统安全风险，掌控工控安全现状与趋势，提高工控安全防护与事件响应能力。
☐公司组建了一支由业界知名信息安全专家、工控系统专家、成熟产品研发团队组成的专业化团队。
可为企业客户提供：
稳定可靠的工控安全防护产品；
专业深度的工控安全咨询培训；
全方位的安全服务：风险评估/漏洞挖掘/渗透测试/攻防演练；
☐帮助电力、石油、石化、水利、化工、军工、冶金、交通以及市政等关键行业客户建立稳定可控的工控安全整体防护体系。
Page 3。
威努特工控安全监测与审计系统产品白皮书
威努特工控安全监测与审计系统产品白皮书北京威努特技术有限公司目录一．引言 (3)1.1工业控制系统面临的主要安全问题 (3)1.2工控安全审计平台能够解决哪些问题 (5)二．威努特工控安全审计平台 (5)2.1产品概述 (5)2.2产品架构 (6)2.3产品优势 (7)2.3.1工控协议指令级检测与审计 (7)2.3.2支持私有工控协议的扩展接口 (8)2.3.3高性能的深度解析及检测能力 (8)2.3.4专为工控环境设计的工业级硬件 (8)2.3.5自主可控的工控安全操作系统 (9)2.3.6针对工控行业用户习惯设计的使用体验 (9)2.4主要功能 (9)2.4.1工控网络异常检测 (9)2.4.2工控网络攻击检测 (10)2.4.3工控关键事件检测 (11)2.4.4工控网络连接视图 (11)2.4.5告警事件统计 (12)2.4.6网络连接统计 (13)2.4.7网络通信记录回溯 (14)2.4.8短信告警 (14)2.5典型部署 (14)三．客户价值 (16)3.1及时发现网络攻击，减少系统停车时间 (16)3.2为安全事故的调查，提供详实的数据支持 (16)3.3通过网络通信可视化，提高工控网络运维效率 (16)一．引言1.1工业控制系统面临的主要安全问题目前，超过80%的涉及国计民生的关键基础设施依靠工业控制系统来实现自动化作业。
工业控制系统已经成为国家关键基础设施的重要组成部分，工业控制系统的安全关系到国家的战略安全。
随着工业信息化的快速发展，工业化与信息化的融合趋势越来越明显，工业控制系统也在利用最新的计算机网络技术来提高系统间的集成、互联以及信息化管理水平。
未来为了提高生产效率和效益，工控网络会越来越开放，而开放带来的安全问题将成为制约两化融合以及工业4.0发展的重要因素。
传统的物理隔离的解决方法已经不能满足现阶段两化融合发展对安全的需求了，工业控制系统面临如下常见的安全问题：●工业控制协议缺乏安全性考虑，易被攻击者利用专有的工业控制通信协议或规约在设计时通常只强调通信的实时性及可用性，对安全性普遍考虑不足：比如缺少足够强度的认证、加密、授权等，导致容易遭受攻击。
威努特工控安全---典型SCADA系统安全防护案例分享
典型SCADA系统安全防护案例分享一、前言工业控制系统已广泛应用于电力、轨道交通、石油化工、航空航天等工业领域。
目前，大量的涉及国计民生的关键基础设施依靠工业控制系统来实现自动化操作。
工业控制系统已经成为国家关键基础设施的重要组成部分。
随着工业化与信息化进程的不断交叉融合，越来越多的信息技术应用到了工业领域。
由于工业控制系统广泛采用通用网络设备和IT设施，以及与企业信息管理系统的集成，传统信息网络所面临的病毒、木马、入侵攻击、拒绝服务等安全威胁也正在向工业控制系统扩散。
二、项目背景国内某知名油田分公司下属采气厂所辖探区范围广阔，天然气探明储量具有举足轻重的战略地位，是油田最具开发潜力的区块之一。
该采气厂同时负责多个气田及其他探区的开发建设和管理，承担着部分气量转输以及向华北地区及周边城市供气的艰巨任务。
采气厂在2015年8月和2016年5月，先后发生两次异常停机事件，事件影响恶劣并直接造成了巨大的经济损失，然而事故原因无法查证。
事件引起公司管理层对工业控制系统安全的高度重视，并将工控系统安全防护提升到战略层面。
三、需求分析从接到客户需求的那一刻起，北京威努特技术有限公司（以下简称威努特）以实时高效为前提、安全可靠为目标、主动防御为手段，力求为该采气厂工控系统的安全防护量身打造精准的解决方案。
工控系统安全防护区别于信息系统安全防护的一个重要特征就是：防护的方案一定是基于对客户生产工艺流程的了解。
从大的方面讲，工控安全是生产安全的一部分，所有安全防护的目标就是保证生产的安全稳定运行，因此工控系统的实地调研和风险评估是一个非常重要的环节，通过该环节，才可以真正让安全需求落地。
经过调研和评估，威努特总结出如下几个关键的安全薄弱环节：●管理网与外网连接，生产网与管理网互通，生产网与管理网边界存在重大安全隐患。
●作为数据采集及存储的关键部分，OPC 服务器存在诸多安全隐患。
●工业控制相关的应用系统普遍存在弱口令问题，这也反映出安全意识的不足。
威努特：工控信息安全市场的特种部队
释 ，对 于 其他 企 ＼ ｌ Ｊ ， 来 讲 ，工 控 信 息 安全 或 许 是 他 们 的 一部 分 业 务 但 对于 威 努特 而 言 ，是 将 １ （ １ （ ］ ％的
精 力 投 入 到 工 控 息 安 全市 场 ，这 让 我 们 挖 掘 到 了
一
刚 络 匝 注重 防 护 的 高 可用 性 和 岛 呵 性 。曾经 有 一
上宾 ” ，这颗 “ 白色炸弹 ”逐渐 现 出它 的威 力。 所谓 “ 白”是指 好的 、 信 的 ，即 只 有 可 信
仟的 、 殳备 、软 件和 数 据 ，才允 许 工 控 网络 内 部 流
通，
他 恶意 的 、不 明 确 的战 旨 定 不允 许的 东 西
昔 ｌ ５ 不 允 许流 通 使 用 。 这 有别 于 “ 黑名单 “ 的 处 理方 式 ，即 通 过 建 立 病 毒 库 、逐 条 匹 配 查 杀 ，只 要 设 钎 、软件 和 数 据 被 识别 为 “ 黑 的 ” ，就 会 被 阻止 运 行。 “ 由此 可 见 ， ‘ 名 单 ’的 防护 方 式 明显 不 适 用 于 工业 环 境 ” ，龙 围东 进 一 步 解释 ： “ 因为 工控
、
发 、销售 、售 前 支 持 等 内 的 １ ０ ０余人 团队 ． ．与 麒 人 员 规 模 同步 增 长 的 还 有 威 努 特 ２０１ ６年 的 营 业 收 入 ，较 ２ ０１ ５ 年 有 了５ 似 的 增 长 。 威 努 特创 人 兼 ＣＥＯ龙 圄 东 做 了 一个 卡 ７ Ｊ 步的估 汁 ： “ 按 照 伞 网 工 业 现场 实 施 的 工 控 安全 项 目数 爿 ∈ 悦 。威 努 特 ｒ 与据 了其 中 ６ ０ ％～７ ０％的 份 额 ，并 同 时 存 八 九个 ｛ 彳业 中 都 已 形 成 成 功 案 例 ” 。 这 威 努 特 当 之 尢 愧 地 成
威努特工业控制系统网络安全---基于OPC协议的工控网络系统防护浅析
基于OPC协议的工控网络系统防护浅析1. 协议概述提到OPC协议，大家想到最多的就是OPC Classic 3.0，实际上现在OPC协议有两个大类，一种是基于微软COM/DCOM技术的“Classic”，另一种是基于Web service的OPC UA。
前者在DCOM协议之上，诞生较早，已广泛应用在各种工业控制系统现场，成为工业自动化领域的事实标准。
后者与前者比出生较晚，但在设计时考虑了安全因素，有了加密机制，不过目前应用范围较小。
本文主要讨论的是前者在工控系统中的防护。
微软的DCOM协议是在网络安全问题被广泛认识之前设计的，而基于DCOM协议的OPC Classic基本没有增加任何安全相关的特性，几乎所有著名的工业自动化软件(包括HMI软件、先进控制与优化软件、监控平台软件、综合集成软件等)都是基于windows平台开发,都采用或部分采用了OPC技术，所以对使用OPC协议进行通信的工控系统进行防护也变得复杂和困难。
2. 动态端口与大多数应用层协议不同，OPC的基础协议DCOM协议使用动态端口机制，在真正建立数据连接之前通讯双方还需要协商需要使用的端口。
示例图如下：图1 OPC动态端口协商过程上图中，OPC客户端使用5568作为源端口首先向OPC服务器的135端口发起连接，连接成功后再经过OPC服务器分配新端口1118，并通过接口ISystemActivator的方法RemoteCreateInstance的应答报文返回给客户端，之后客户端使用5569作为源端口向服务器的1118端口发起新的连接用来后面的真正数据的传输。
3. 面临的安全威胁基于OPC协议的工控网络系统面临各种各样的威胁。
在“两网”融合的大背景下，工业控制系统的隔离性被打破，面临来自网络的威胁空前加剧。
无用端口的开放、工业软件依赖的操作系统本身存在的安全漏洞、工业协议本身安全性的缺失等等都将给工业控制网络带来巨大的安全隐患。
在真正接入到企业管理网、互联网之前，基于OPC协议的工业控制系统必须加入相应的安全设备进行防护，才能提高自身网络的安全。
威努特工控安全---电力36号文解读连载1-V4
统一收集网络日志，通过建模分析当前网络安全状态，为管理员提供可视化的操作 行为、异常波动、告警信息等。
36 号文要求（章节 5.4）
生产控制大区· · · · · ·能够对数据库、操作系 统、业务应用的重要操作进行记录、分析及时 发现各种攻击行为，对远程登陆应当严格审 计。
解决方案
旁路部署网络堡垒机，接管数据库、 网络等设备的登录，运维人员、第三 方人员统一在堡垒机上操作。
管理信息大区
关键业务数据容灾
定期对关键业务的数据进行备份，并实现历史归档数据异地保存。
关键主机设备，网络设备或关键部件应当进行相应的冗余配置。
生产控制大区
业务系统冗余
控制区尽量减少不必要的应用系统，尽量减少服务应用。为保障系统高可
用性，控制区应当采用冗余方式。
专用安全产品——生产控制大区恶意代码防范
生产控制区——第三方边界防护
36 号文要求（章节 4.3）
如控制区系统与环保、安全等政府部门交互，其边界应采用生产控制大区和管理信 息大区之间的安全防护措施。
解决方案
在控制区的网络边界放置单向隔离装置，利用单向隔离装置实现生产控制网数据 单向流入。
安全收益
安全环保等政府机构，而这些第三方机构不能通过单向隔离装置向生产控制网发 送数据。
OPC Server
OPC Server
OPC Server
OPC Server
SIS系统
补给水设备间
励磁系统&AVC系统
锅炉DCS控制系统
操作员站
补给水系统 补给水系统
操作员站 励磁控制系统 ＡＶＣ控制系统
操作员站
锅炉DCS 系统
工业控制系统信息安全整体解决方案
系统被设计为支持预定的工业过程，可能没有足够的资源支持增 加安全功能
许多专有的和标准的通信协议 使用多种类型网络，包括有线、无线（无线电和卫星）
通常由单一供应商提供技术支持
生命周期
3-5年
15-20年
组件访问
组件通常在本地，可方便工地业访问控制系统信息组 问安件可全能是整隔离的，远程的，需要大量的物力才能获得对其的访 体解决方案
工业控制系统信息安全整 体解决方案
威努特工控安全理念—传统信息安全产品解决不了工控安全问题
可用性和机密性的矛盾 工业控制系统“可用性”第一，而IT信息系统以“机密性”第一
从而要求安全产品的软硬件重新设计。例如：系统fail-to-open。
升级和兼容性的矛盾 工业控制系统不能接受频繁的升级更新操作
威努特工控安全解决方案
核心技术理念： 纵深防护 白名单机制 工业协议深度解析 实时监控审计 统一平台管理
工业控制系统信息安全整 体解决方案
威努特工控安全解决方案—白名单机制
“白名单”主动防御技术是通过提前计划好的协议规则来限制网 络数据的交换，在控制网到信息网之间进行动态行为判断。通过 对约定协议的特征分析和端口限制的方法，从根源上节制未知恶 意软件的运行和传播。
核心安全理念
创新性的率先提出了建立工控系统的 可信任网络白环境 和 工控软件白名单 理念
1. 只有可信任的设备，才能接入控制网络；
2. 只有可信任的消息，才能在网络上传输； 3. 只有可信任的软件，才允许被执行；
技术亮点 及创新点
1. 创新的“软可信”计算技术，降低方案成本，提高实用性； 2. 机器自学习“白环境”智能建模技术，降低维护成本，提高易用性； 3. 工控协议深度解析技术，具备高安全性，低时延影响；
《工业控制系统信息安全事件应急管理工作指南》学习心得--威努特工控安全
工信部网站2017年06月15日正式发布“工业和信息化部关于印发《工业控制系统信息安全事件应急管理工作指南》的通知”，同时发布“《工业控制系统信息安全事件应急管理工作指南》解读”，对我们工控安全企业有重大指导意义，下面是我的一些学习心得。
一、《指南》出台的背景我认为指南的出台是多方面因素共同作用的结果，第一是政策因素，这点在《解读》中说的很清楚，国家“十三五”规划《纲要》、网络强国、中国制造2025及“互联网+”等一系列战略部署的推进实施，对我国工控安全保障工作提出了更高的要求，迫切需要快速提升工控安全保障水平和事件应急处置能力；也是进一步贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》和《中华人民共和国网络安全法》、《中华人民共和国突发事件应对法》的重要举措。
第二是政治因素，为迎接十九大召开，预防研判、有效应对可能出现的工控安全事件非常重要，迫切需要完善工控安全管理体系。
第三是事件诱因，2017年5月12日，WannaCry蠕虫通过MS17-010漏洞在全球范围大爆发，对我国企事业单位也造成了不小的影响，工业企业近年在《工业控制系统信息安全防护指南》等一系列规定指导下工控安全建设长足进步，在面对WannaCry时起到了良好效果，受损较小，但也暴露了一些问题，反映了现有安全事件应急处理的不足。
多方合力，有了《指南》的迅速出台。
二、《指南》是一部组织基本法为什么这样说，《指南》不是具体的技术指导，而是为了构建一个成熟的工业控制系统信息安全事件应急管理体系，这个体系包含四大要点：一是职能职责；二是组织机构；三是规章制度；四是资源（人、财、物）。
我将从这四个点说说自己的理解。
1、职能职责概括就一句话，在《指南》总则第四条中说的很清楚“做好工控安全事件的预防和处置工作”。
分开来说也很清楚：（1）监测通报：工业和信息化部指导国家工业信息安全发展研究中心等技术机构，组织开展全国工控安全风险监测、预警通报等工作，提升情报搜集、态势分析、风险评估和信息共享能力。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
大话工控安全“白环境”
编者按：本文的目的是尽量通俗的让那些对工控安全感兴趣，但对如何做安全防护却不甚了解的读者理解工控安全的技术特点。
工控安全这个安全的细分领域现如今也是流派纷呈、百家争鸣、欣欣向荣的景象。
概括来讲，厂商可以分成三个大类：自动化背景的厂商、传统IT安全厂商和专业工控安全厂商（对这部分详情感兴趣的读者可以参考我司公众号上的相关文章，这里不再细表）。
北京威努特技术有限公司属于第三种类型-专业工控安全厂商，因为专业，所以专注，因为专注，所以创新。
小威在客户现场经常会被人问到如下一些问题：我们的方案是如何设计定的？产品是如何工作的？防护的效果是怎么样的？小威是一个专业的技术人员，于是乎会不厌其烦、滔滔不绝的给客户讲方案、讲技术……，但面对的听众其技术基础不尽相同，琴瑟和鸣的情况也有，但曲高和寡的情形更多。
今天我们就大话一下小威公司在业界首创的工控安全“白环境”解决方案。
开讲之前，上个图先，正所谓有图有真相。
工业控制系统的安全问题有别于传统IT网络安全问题，因此在技术理念和产品实现上也完全不同。
威努特创新性的提出了建立工控系统的可信任网络白环境和工控软件白名单理念，为客户构筑工控系统“安全白环境”整体防护体系，保护国家基础工业设施安全。
•只有可信任的设备，才能接入控制网络；
•只有可信任的消息，才能在网络上传输；
•只有可信任的软件，才允许被执行。
我们的防护理念:从“黑”到“白”,从“被动防御”到“主动防护”。
理念过于技术化，大家会表示看不懂，那么让我们一一解惑。
这是如何做到的呢?
网络分层、区域隔离,只有可信任的主机间才能通信,主机上只有可信任的软件才能运行,只有可信任软件发送的工控消息才能在监控网与控制网传输。
何为可信任的主机?
经过技术检测及处理过并安装了可信卫士的主机。
何为可信任的软件?
经过技术鉴定完整可用的业务相关软件(存在于可信卫士白名单中的软件)。
什么样的工控消息是可信任的?
由可信任的业务软件发出的到另一台可信设备之间的且额定参数在合理区间的数据消息。
以上基础的白环境中需要使用两个基础产品:可信网关、可信卫士。
下面我们来简要的说下，它们是如何工作的。
先说可信网关的产品架构：它采用专用多核硬件平台，主处理器为专用MIPS架构，自主设计开发的威努特智能工控安全操作系统集设备智能调度、工控协议解析、内容检测审计于一体，极大提高了底层硬件的安全性、工控协议解析处理速度。
可信网关的架构看完了，再来介绍下功能，比如防火墙的功能大家都知道，但是它是怎么实现的呢？
五元组 + DPI
五元组是通信术语。
通常是指源IP地址，源端口，目的IP地址，目的端口和传输层协议；DPI是通信术语，这里指工控协议的深度解析；
话说有个土匪A，要到城里搞事情，在进城时被抓捕了，因为他说自己是从A处来，要到金库去兑换外币，而A是个匪山，源就不被信任且金库不兑换外币（五元组不符）；
第二天土匪B来了，他说自他说自己是从邻市来的，要到金库去检修损坏的设备，也被抓捕了，因为检查工具包的时候发现了不和谐器具而不是检修工具（DPI解析，协议不符合）；
五元组+DPI 实现了网络访问和工控协议的管控，那这样是不是万事大吉了呢？
NO！
第三天有个“聪明”的土匪C，化妆成了李铁柱（金库员工）想进城到金库搞事情，依然抓捕了！
土匪想不明白，自己绕过了五元组、绕过了DPI的协议识别，怎么还是被发现了呢？！
………
原来警察（可信网关）对金库的每位员工的身份（值域）、工作内容（控制指令）等细节立了白名单库（可信安全通信模型）。
铁柱是位优秀的员工，但她是位女士 ~~ 土匪却是男性！这就是白名单思想~
在工业网环境中相比信息网要“单纯”很多，可信安全通信模型其威力强大有着得天独厚的优势，如该技术可以抵御0Day恶意软件和有针对性的攻击等。
可信网关使用以上技术打出一套组合拳，去解决现今工控行业遇见的安全问题以及隐患，如：
防止非法的对工控系统的指令操作；
防止非法身份的用户对工控系统的访问；
防止非法时间段对工控系统的操作；
防止非法协议进入工控系统。
威努特工控主机卫士具有完全自主的知识产权，能够帮助涉密单位、关系国计民生的大型工控企业对工控系统工作站、服务器进行安全防护和安全加固，杜绝安全后门隐患，使用先进的白名单防护技术，能够有效抵御病毒、木马、恶意软件、零日攻击对工控网络工作站、服务器的攻击与破坏行为，真正帮助企业发现工控网络攻击，解决安全问题，使企业的安全投入物有所值。
工控主机卫士是运行在主机操作系统上的白名单思想的安全防护软件，工控主机卫士的
白名单和可信网关的白名单名字一样但意义不同！！（此处重点理解~）
首先，主机在安装工控主机卫士之前我们会进行技术检测，确保主机就当前情况下是安全的，业务软件是完整可用的（想知道怎么做的吗？欢迎技术交流~）。
其次，安装我们的工控主机卫士到主机上，简单配置后开启安全防护。
我们的可信卫士内置白名单list，目前的操作系统及工控组态软件大部分文件已经被我们收录，如果现场主机上的组态软件没有被收录可信卫士也有手动追加白名单的功能。
在开启防护后，没有在白名单内的可执行程序（PE类、脚本语言类）将不允许执行（来我们这交流啊！我们当面告诉你~）。
再次，工控主机卫士还可以对操作系统完整性、进程完整性进行检测，也对移动存储等外设设备进行控制（工控主机卫士还有很多功能，再次欢迎技术交流~）。
随着工业4.0及两化融合的趋势到来，传统的工业控制系统网络安全(简称工控安全)问题已成为企业及国家安全面临的严峻挑战，受到越来越多的企业及政府关注。
针对广泛分布于工控网络的工作站、服务器等设备，北京威努特技术有限公司提供了基于白名单主动防御技术的威努特工控主机卫士产品，和威努特可信网关、检测与审计系统一起构建可控、可靠、可管理的工控网络“白环境”纵深安全防御体系。
这就是我们的解决思路，我们的设备，我们的方案。
关于工控安全的宏观思考，行业方案可参见我司公众号的其他文章。