如何提高自动化控制系统安全及管理水平培训课件.ppt

如何提高自动化控制系统安全及管理水平 多重的安全威胁 误操作 未授权的操作 未授权的访问 拒绝服务攻击 窃贼 未授权的远程访问 自然或人为灾害 破坏活动 蠕虫和病毒 安全来自纵深式的防御 3 网络安全架构 4 推荐的架构 不推荐的架构 2层到3层交换功能对应从简单到复杂网络应用 高级安全功能 从工厂到企业网络的集成 技术 产品 高级的交换、路由及安全特性 对自动控制 及IT部门提供通用的工具 维护简便 面向运维及IT应用 面向自动控制的需求 网络安全工具- Stratix™ 系列交换机的优点 网络安全工具-Stratix 5900™ 含2层及3层安全功能路由器 提供路由及2层及3层安全服务 路由器 + 防火墙 虚拟私有网络(VPN) 网络地址转换 (NAT) 访问控制列表 (ACL) 入侵防止系统 (IPS) 端口: 1 Gigabit WAN 端口 4 Fast Ethernet端口 工业标准, DIN 导轨安装 使用于厂级站点间连接、单元区域的防火墙及OEM设备的通讯集成 New 7 Levels 4 5 – Data Center Enterprise Zone Level 3 - Site Operations Industrial Zone Physical or Virtualized Servers FactoryTalk Application Servers Services Platform Network Services – e.g. DNS, AD, DHCP, AAA Remote Access Server (RAS) Call Manager Storage Array Levels 0-2 Cell/Area Zones Level 3.5 - IDMZ Remote Site #1 Local Cell/Area Zone #1 Local OEM Skid / Machine #1 网络安全工具-Stratix 5900™ 含2层及3层安全功能路由器 系统管理员可以管理 用户帐户 Windows FactoryTalk 用户组 自定义用户组及角色 Windows用户组 计算机 计算机组 系统策略 产品策略 产品操作 控制器安全 控制器区域 8 应用层安全工具- FactoryTalk Security 用户帐户创建 9 “Fred”; user name and PW FactoryTalk 系统安全策略 10 “Fred’s” PW expires in 30 days 分配用户组或角色 11 “Fred” is an Engineer 分配产品权限 12 “Fred” can use Logix5000 分配角色或用户组的允许权限 13 Engineers can Modify AOI’s 资源分配到应用区域 14 Finally; “Fred” is an Engineer who can Modify AOI’s on all controllers in “Area2” PC #2 15 15 PC #1 Logix 5000 Project Security Authority Security Administration Logix 5000 Project Security Administration ID = 795D5EF-12... ID = A73R5CG – 89... ID= 795D5EF-12.. Security Authority ID = 795D5EF-12… EtherNet/IP ID’s Match ID’s Don’t Match 应用层安全工具- FactoryTalk Security 在 Logix Controllers中使用FactoryTalk Security 安全认证号码 (SAID) 使用FactoryTalk Services Platform SR5 和 RSLogix 5000 V20 (以及更高版本) 配置Logix控制器时，在要求所有用户在访问控制器前必须通过一个FactoryTalk目录来认证权限 安全认证号码存储在工程文件中 – 可以保护离线文件 16 当“Security Authority ID required” 使能后… 访问前需要登录 ….. … 使用FactoryTalk目录服务来启用安全功能 SAID备份 使用 FactoryTalk管理控制台, 安全认证号码 可以被… 加密来保护备份 允许多个FactoryTalk 目录使用同一个ID 可以用来替换v20版停用的CPU加密功能 The Security Authority Identifier looks li