安全防护依据

● 《关于加强工业控制系统信息安全管理的通知》(工信部协〔2010〕451号文)

● 《工业控制系统系统信息安全防护指南》(工信软函〔2016〕338号)

● 《工业控制系统信息安全防护能力评估工作管理办法》(工信部信软〔2017〕188号)

● 《关于深化“互联网+先进制造业”发展工业互联网的指导意见》(国发〔2017〕50号)

● 《 “十四五”智能制造发展规划》(工信部联规〔2021〕207号)

● GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》

● GB/T 39204-2022《信息安全技术 关键信息基础设施安全保护要求》

● Q/GN 0048-2022《煤炭企业工业控制系统网络安全建设规范》

安全防护原则
安全分区
对于生产网络与企业办公网络互联互通的现象,首先需要进行网络优化,明确生产网络边界,尽量避免存在多个生产网络边界的现象。

同时工控系统内部根据生产区域重要性和业务需求进行安全区域划分,阻止来自不同区域之间的越权访问,防止网络安全事件的扩散。
安全审计
对生产网络内部的日常操作行为进行基于白名单策略监控,及时发现网络中存在的异常流量、违规操作、非法访问、恶意程序等异常行为,并要求对生产网络的运行日志进行记录保存,至少保留6个月;对于已经发生攻击事件的情况,要求可以对攻击事件进行追踪、溯源,定位网络攻击的位置或具体用户。
边界防护
根据业务网络实际情况,在生产网络外部边界处部署工业防火墙或单向隔离网闸设备,保证生产网络向办公网络或其他外部网络数据单向传输。

工业控制系统上位操作主机(操作站、工程师站、服务器)作为生产网络的内部边界,需要对用户登陆、操作、运行等行为进行安全监控与审计,并对通过上位主机外设接口与生产网络进行数据通讯的行为进行授权管理。
恶意代码防范
对于以“白名单”防护策略为主的工控安全防护方案,除了对外部网络边界进行有效的访问控制和威胁监测以外,需要对上位主机的USB接口使用过程进行安全有效管理,对于临时接入工控网络的移动存储设备,必须先进行病毒查杀,才可以使用。
典型部署

● 在生产网和办公网各区域间部署工业防火墙,实现区域之间的逻辑隔离和访问控制;现场控制层与管理信息层部署单向隔离网关,实现数据的单向传输控制要求,实现物理隔离;

● 在生产监控层网络边界部署入侵检测系统,解决控制网络边界没有针对外部攻击和威胁的有效检测手段,特别是利用系统本身漏洞发起的攻击行为;

● 在生产监控层网络边界分别部署日志审计系统,实时将工控网络中网络设备、安全设备、服务器、数据库系统的日 志信息,进行统一地收集、处理和关联分析;并将数据接入安管平台;

● 在控制系统上位工程师站、操作员站以及服务器等终端资产部署工控主机安全卫士产品,解决上位主机资源访问权限控制、非法程序进程控制、策略扫描及加固、通讯端口监测、注册表锁定等功能需求;

● 在生产监控层交换机旁路部署USB安全隔离装置,解决上位主机的USB接口滥用、无权限控制、无使用记录等问题,针对需要通过U盘等移动存储进行数据存取的过程提供有效恶意代码查杀手段;

● 在生产监控层网络边界分别部署账号集中管理与审计系统,可以对网络中所有用户的账号进行集中管理、运维操作的身份鉴别,以及对运维过程的全程监控与审计功能;

● 在生产监控层网络边界分别部署漏洞扫描系统,对工业控制系统快速、精确、高效的进行网络安全风险合规巡检;

● 单独组建安全管理网络,对生产管理、过程监控层网络中所有安全设备分别进行集中管理,并对生产网络的安全态势进行集中监控与分析,通过安全管理平台进行统一显示。