● 在生产网和办公网各区域间部署工业防火墙，实现区域之间的逻辑隔离和访问控制；现场控制层与管理信息层部署单向隔离网关，实现数据的单向传输控制要求，实现物理隔离；

● 在生产监控层网络边界部署入侵检测系统，解决控制网络边界没有针对外部攻击和威胁的有效检测手段，特别是利用系统本身漏洞发起的攻击行为；

● 在生产监控层网络边界分别部署日志审计系统，实时将工控网络中网络设备、安全设备、服务器、数据库系统的日 志信息，进行统一地收集、处理和关联分析；并将数据接入安管平台；

● 在控制系统上位工程师站、操作员站以及服务器等终端资产部署工控主机安全卫士产品，解决上位主机资源访问权限控制、非法程序进程控制、策略扫描及加固、通讯端口监测、注册表锁定等功能需求；

● 在生产监控层交换机旁路部署USB安全隔离装置，解决上位主机的USB接口滥用、无权限控制、无使用记录等问题，针对需要通过U盘等移动存储进行数据存取的过程提供有效恶意代码查杀手段；

● 在生产监控层网络边界分别部署账号集中管理与审计系统，可以对网络中所有用户的账号进行集中管理、运维操作的身份鉴别，以及对运维过程的全程监控与审计功能；

● 在生产监控层网络边界分别部署漏洞扫描系统，对工业控制系统快速、精确、高效的进行网络安全风险合规巡检；

● 单独组建安全管理网络，对生产管理、过程监控层网络中所有安全设备分别进行集中管理，并对生产网络的安全态势进行集中监控与分析，通过安全管理平台进行统一显示。