独立王国-2017工业控制系统信息安全峰会.PPTVIP

一体化 1.产品的实现（不满足需求） 私有性 2.产品的融合问题（影响工控系统的正常运行） 于是乎国家在行动、企业在行动,当然，IT 安全从业者也在行动， 主要从 两个方面进行谈谈个人关于工控安全实践方面的感受 包括两部分 先简单介绍一下标准 感谢标准相关制定机构以及参与制定的专家们，正是有了这些信息安全标准的制定。 信息安全工作有了方向， 目前国内，国际 很多 标准，… 但是工控信息安全标准编制工作国内起步较晚，不过目前也有一些标准可以参考， 如；。。。 简单介绍基本要求，30976 1.这个标准，大家应该都不陌生吧，等级保护实施这么多年了，信息安全的应该都比较了解了。 2.每年公安部会同工信部等其他部位每年对我国重要信息系统进行的安全大检查的主要依据就是该标准 3.前一段时间，公安部，能源局对和利时实施的某核电厂控制系统信息安全检查，就是依据等级保护基本要求进行，其中就发现了一些安全问题。用户专门召集，相关厂商商量解决这些问题。 去年年底新发布专门针对工控系统的信息安全标准 第一部分，从管理、（技术）能力两个方面对工业控制系统风险进行评估，其实就是提要求，基本要求相似，侧重点不同 第二部分对工业控制系统的验收过程进行了规定. 和利时作为国内工控行业领军企业，也是较早关注工控系统信息安全的企业之一，在之前的研发实践中，对控制系统整体信息安全方面主要参考等级保护基本要求， 工控系统中实施等级保护基本要求，现阶段，主要关注点，……,其他也很重要，比如，数据安全，完整性，可用性… 根据等保对网络结构安全的要求，工控系统，从纵向和横向两个维度进行安全区域的划分 比如DCS系统 纵向：可分， 横向：各层安全域划分方式和原则不尽相同， 现场控制层：可以根据不同生产线、不同工艺流程进行划分；化工厂，尿素，复合肥 过程控制层:对于一些大型DCS系统，生产线，生产工艺， 安全区域划分不是绝对的，具体实施时要根据企业现场环境和需求而定 企业管理网络以前基本不连，现在很多开始相连，随着两化融合的深入 1. 主要隔离设备：工业防火墙、 1电磁干扰、抗震、防尘、绝缘等，温、湿度 2.使用自己的私有协议（比如和利时工控系统）。 3. 只使用一种私有的工控协议，策略简单，就1、2条策略或10来条策略； 企业管理网络防火墙，几十上百条策略 提高安全性， 简单即安全 2.位置的选择 选择原则基本可以参考传统信息安全的相关原则，主要区别是在控制器前部署工控防火墙，基于几个原因： 1.对控制器进行访问控制（一种工控协议，私有的） 2.保护控制器不受数据包泛洪等的影响（和利时目前在工控系统维护方面，广播风暴是目前碰到的最多问题之一），控制器硬件处理能力不像计算机那么强，一般都比较有限。 1.白名单优点： 2.工控主机系统安装程序较为单一、稳定的特定， 网络设备，主机系统的日志收集，审计与传统信息安全一样。 主要问题：对工控软件的日志集中收集问题，解决两个问题 ： 1. 集中日志收集的支持 2. 审计系统对工控软件日志内容，格式的支持，（日志字段，警告级别，可能与传统信息安全不太一样） 等保要求三级系统需要对系统管理用户进行双因子身份鉴别，放到工控里边，那些用户需要使用双因子鉴别：工程师账户，网络设备管理员等 在什么情况下需要身份鉴别：… 传统信息安全 登录系统， 不需要二次身份鉴别了， 工控系统，二次身份鉴别: 工程组态程序下装， 重要参数修改（发电机转速…） 1.防止误操作，进行二次确认 2.进一步保护控制系统不被恶意人员破坏。 包括三个方面：1、主机、2网络设备、3工业控制系统 1,参考常规的加固方式：DHCP, DNS …， 2.网络多余服务：HTTP,TELNET , 3.工控系统自身防护的功能需要加强，比如在身份鉴别，日志记录，数据输入的有效性等方面需要加强 边界完整性主要关注 1.非授权设备，不 能谁拿一台设备都能接入到工控网络， 2. 不可避免外部数据输入，引入安全风险，特别是U盘病毒，措施1. 专用清洗系统杀毒，2.使用专用U盘进行数据转运，3.通过数据转运系统进行，如linux 上安装文件服务器方式等等 3，DCS系统基本不用，SCADA 系统中可能用到，油气田， 加密，无线网络部分与有线网络部分进行安全隔离