1、用户介绍

某制药厂是中国大型综合性现代化制药企业，该制药厂的全自动生产线和其他主要生产设备及检测仪器均购自于世界主要专业制药设备制造商。

2、安全风险

● 信息办公网络没有专用的网络机房，存在多个网络边界，且没有部署任何边界防护设备；

● 缺少统一资产管理工具，对生产网络、管理网络、办公网络缺少统一的资产监控与管理工具，不能及时掌握信息系统网络安全状况；

● 信息办公网与生产控制网络边界均没有入侵防范、网络审计、身份鉴别等安全设备； 

● 缺少有效针对USB接口安全使用的管理手段，对于U盘、移动硬盘等设备的使用记录和使用权限没有审计与控制措施，对于临时接入的存储介质没有病毒查杀的机制。

3、 解决方案

●  在办公网络与互联网连接的边界，以及MES系统与办公网络连接的网络边界分别部署防火墙，做好不同区域网络边界的安全防护与访问控制功能；

●  在办公网络网络中通过交换机镜像口旁路形式分别部署一套入侵检测系统，通过准确监测网络异常流量，自动应对各类攻击流量，及时发现安全威胁；

●  在办公网络中和MES层网络中各部署一套账号集中管理与审计系统，可以对网络中所有用户的账号进行集中管理、运维操作的身份鉴别，以及对运维过程的全程监控与审计功能；

●  在办公网络中部署一套日志审计，能够实时控制网络中网络设备、安全设备、服务器、数据库系统的日志信息，进行统一地收集、处理和关联分析；

●  在生产网各个车间的控制网络中通过交换机镜像口旁路部署工控安全审计系统各一套，实现对风场生产网络中网络威胁、违规操作、异常流程等网络攻击行为的实时监控与分析；

●  各主机终端部署网络版工控主机安全卫士，实现终端进程的可信管理，从根本上提高了工控主机的安全性；

●  在办公网络和MES系统网络，以及各车间的交换机上分别部署一套USB安全隔离装置，可以实现对上位主机的外设USB接口的使用管理，内置的病毒查杀引擎可以对U盘移动存储设备实现外部病毒查杀，并对USB设备的文件存取权限、文件拷贝类型等内容进行白名单策略限制。可以通过办公网络交换机部署一套网络版USB安全隔离装置；

●  在办公网络部署1套安全管理平台对安全设备的分析数据进行集中展示与预警。

4、客户价值

● 社会效益

制药行业作为直接关系人身安全的关键行业，保障生产系统按照预定程序、流程进行正常生产，是维护企业形象、社会稳定的关键步骤。

● 安全效益

通过对制药生产装置控制系统网络的安全防护，提升生产系统抵御外部网络入侵攻击的能力，保障了生产系统的安全、稳定运行。

● 管理效益

生产企业积极开展信息安全防护工作，不仅与集团公司的整体信息化安全规划相吻合，同时也符合了工信部、公安部等监管部门的信息安全要求。