保护好制造业计算和控制资产.docVIP

保护好制造业计算与控制的资产 很多制造商都会问及下列问题：制造企业如何构建自身的工业网络？如何实现制造与企业信息平台的融合？最佳实践的方法是什么？如何保护制造业中的设备资产？如何建立制造企业的安全模型？使用什么样的安全策略规避风险？如何使用专用的软件对网络监控？如何对生产、数据、安全进行控制、管理、分析并做出合理的商业决定？ 概述 在工厂中把 EtherNet/IP用于控制和信息的解决方案，引领了企业内部广泛使用标准以太网的热潮。随着这个过程的推进，企业逐步认识到融合制造网络和管理网络的重要性，制造业已经通过提高生产的关键性能指标（KPI）而从中获益。在正确的水平和正确的时间上接受KPI，可以帮助制造商做出明智的商业决策。融合还唤起了改进工业网络安全策略的动议，这不再只是维持制造区域间的隔离问题了。制造业的计算和控制资产已经成为与企业其他部门相同的、易受攻击的要害部分。一个安全策略需要保护制造资产，而且要很好地平衡诸如：24x7小时连续运行、短的平均维护时间（MTTR）和整体设备效能（OEE）等因素。 保护制造资产需要一个全面的安全模型，基于一系列明确的安全策略。为了应对这些风险，策略应该确定有哪些安全风险和采用什么样的化解技术。就这些问题，本文将给出通行的整体策略和实施大纲，帮助用户保护制造资产。 1 整体安全 保护制造资产需要一个“按深度保护”的保护方法，按照图1中的描述，防止来自内部和外部的安全威胁。这个方法使用多层次的防卫（物理的和电子的），在不同的层次应用不同的策略和程序应对不同类型的威胁。比如，多层的网络安全保护网络上的资产、数据和终端的安全，多层的物理安全保护高价值资产的安全。到目前为止，还没有一种单一的技术或方法能够保护整个工业控制系统的安全。 在“按深度保护”的方法中，需要有种工作流程来建立和维护安全能力。这种安全操作流程应该包括： 1) 确定优先等级（比如按可用性、完整性、保密性）； 2) 设定要求（比如：远程访问不能影响控制通信流量）； 3) 确定投资； 4) 确定潜在内部和外部的威胁和风险； 5) 确定所需功能； 6) 设计体系结构； 7) 编制和执行策略。 设计和实现一个完整的制造安全模型，有助于用户从概念理论向制造实践的顺利过渡。用户不必教条地去实施制造过程的安全。 为了实现本文的目标，用于保护制造资产的“按深度保护”层包括： ·物理安全：这个层限制区域、控制屏、设备、电缆、控制室和其他位置的授权人的访问，以及跟踪访问者。 ·网络安全：这个层包括网络构架，诸如用于侵入检测和侵入禁止系统（IDS/IPS）的防火墙和诸如具有集成保护的网络设备：如交换机和路由器等。 ·计算机加固：这个层包括补丁程序管理和防病毒软件，以及能够删除不使用的程序、协议和服务等。 ·应用安全：这个层包含鉴定、授权和审核软件。 ·设备加固：这个层处理变更管理和限制访问。 图1 “按深度保护”的多层结构 2 用于制造业网络安全的框架 罗克韦尔自动化公司和思科公司协同开发的制造企业参考架构支持和加速了制造与企业网络的融合。为了帮助用户建立坚固和安全的网络架构，制造企业参考架构提供了设计指南、推荐方案和最佳实践。 制造企业会按照现有的公共技术与标准来建立IT与制造间的参考构架。这其中包括了技术标准如：IEEE 802.3，未经修改的以太网，因特网任务工作组 （IETF）的因特网协议（IP）和ODVA公共工业协议（CIPTM）。进一步信息可访问ODVA网站：HYPERLINK 另外，制造企业参考架构按制造业的标准建立一个制造网络安全框架，如图2所示。这个框架建立了进行流量管理和执行网络分段的基础，诸如：安全实施、远程访问和服务质量（QoS）。这个框架遵从工业标准和应用指南，诸如ISA-95 企业－控制系统集成、ISA-99制造业和控制系统的安全和用于控制层次的珀杜（Purdue）参考模型。 ISA-95和用于控制层次的珀杜模型把制造工厂中的工业控制设备按流程分割成不同的层次。使用“层”作为公共术语来划分和决定工厂中的信息流。为了加强安全和流量管理，ISA-99把分割的层称为“区”。 区建立了可信赖的域，形成更小的局域网，易于安全访问和流量管理。这个框架利用了校园网络的参考模型。与企业网络共通，这种多层模型自然地把流量划分到3个主要层：核心层、分布层和远程层。这三个层次的设计为网络安全提供了一个清晰的分割方法，并且建立了一种高可用性和宽伸缩性的网络基础。 点击图片查看大图 图2 制造网络安全框架 制造框架把不同的层合并成下面的区实现