您的位置 » 首页 » 工控机 » 制 华普信工控机造业工业控制系统主机防护探讨

制 华普信工控机造业工业控制系统主机防护探讨

发表于3年前 | 作者: blog | 分类: 工控机 | 破蛋日:2020年10月18日 |

我国制造业可分为三种类型,一类是轻纺工业,诸如食品、饮料、烟草、造纸、纺织等等。一类是以资源加工为主,比如石油、化工、化纤、医药、黑色金属等。一类则是以机械、电子制造为代表,最具代表性的就是装备、重工制造,不限于机床、专用设备、交通运输工具、机械设备、仪器仪表等。随着我国国力的增长,制造业获得了长足的发展,并已成为国家未来发展主要支撑领域。制造业是我国国力强盛的最主要特征,其必将成为我国“工业互联网”的重要基础,制造业的发展程度直接影响我国强国梦的实现。

虽然我国制造业近几年获得了较大发展,但是整体水平较发达国家还是有较大差距,制造企业自身也面临一系列发展瓶颈和不足,主要包括:

1、规模不断扩大,网络不断更新。横向延伸、DNC网络越来越庞大,产线不断扩容,覆盖面积越来越广,网络安全面临挑战。纵向扩展、服务器体量越来越大,总体终端数量越来越多,以一个中型的汽车制造企业为例,其操作终端可多达400~500台左右,占了办公终端的近十分之一。如何确保主机终端安全可控面临巨大挑战;

2、随着市场需求多样化,生产分工越来越精细化、功能性控制器(PLC、机床功能板卡等)程多样化,设计端对DNC服务器及产线的干预(本地监控站甚至机床本身)越来越多,未知风险愈来愈难以掌控;

3、随着国家“工业互联网”建设推进,作为“数据采集基础”中的基础-“企业中各种服务器和管理终端设备”,往往存在大量未知风险,面临被淘汰、虚拟化趋势。但企业、行业工业APP、工业云PaaS平台建设缓慢,很长一段时间内,现有设备仍是生产主力,主要依赖对象。寻求既可满足生产实际需求,也可保障设备自身安全的方案,是每个企业面临的首要问题。

2017年,是我国工控安全的转折点,这一年“勒索病毒-永恒之蓝”肆虐,波及制造业(比如著名的台积电事件)、油气中下游产业链,医疗、海关、政府办公等等行业,被业内人士称为“网络的512地震”。勒索病毒主要感染对象为操作主机,因此未来一段时间勒索病毒仍是制造业面临的主要威胁。

2016年5月13日,国务院就已颁发《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)文件,推出关于深化制造业与互联网融合发展的指导意见,进一步强调制造业是国民经济的主体,是实施“互联网+”行动的主战场,明确提出“提高工业信息系统安全水平”建设任务。

可见我国在制造业已加大力度,打造工业强国不遗余力,及时解决制造业目前所面临的问题,对于“工业互联网”安全生态环境至关重要。基础安全是互联的前提,终端安全是根本。

从制造业本身特点来看,除了网络的必要防护之外(比如边界隔离、入侵检测、网络审计等),其最核心的应当是主机安全防护了,毕竟人的因素才是最根本的。由于生产网络庞大,操作节点众多且分散,任何一个节点遭到攻击都会造成网络的局部、甚至全网瘫痪。从对企业实际情况的调研来看,无论操作员站、工程师站、服务器等都面临一些共性问题,为了解决问题,需要从以下几个方面去解决:

1) 调整网络结构,设置数据中转及操作专属设备(或被称为DMZ区),规范访问路径、限制操作行为,禁止非授权对终端主机的访问和操作;

2) 对办公网主机进行安全加固和补丁修补,预防再次中毒的危险;利用“白名单技术”对生产网工控主机,建立主机安全运行环境;

1、①号位置进行主机加固,封堵不必要的通讯端口,例如139、445等,同时依据相关技术要求,建立主机安全基线。办公网主机由于其特殊性,存在大量的网络操作和访问,随时会产生大量新的程序和文件,不适用主机白名单防护;

2、②号位置,由于其系统及操作相对固定,不会频繁更新和升级,适合主机白名单防护机制;

3、③号位置,其操作系统固定,系统及软件更新不频繁,适合主机白名单机制防护。但是考虑到现场经常有就地组态更新,这里主要有两种情况:一是如果是技术参数调整不会影响主机安全卫士的运行,且主机卫士也不会进行拦截。二是如果进行组态更新,涉及到整个文件后缀名发生变化,或者增加新的文件(白名单中不存在的),则可以通过统一管理平台将该台主机白名单暂时放开即可;

4、由于现场操作的存在,一定要保证专用调试工具的安全,这可以通过工具管理实现,参考工控安全管理规范;

5、与主机卫士配套使用的还有安全授权U盘,专业维护工具也可安装白名单软件,对应安全授权U盘,实现数据安全摆渡。

部署工控主机卫士对系统内主机进行防护,主机卫士采用“白名单”管理技术,通过对数据采集和分析,其内置智能学习模块会自动生成工业控制软件正常行为的白名单,与现网中的实时传输数据进行比较、匹配、判断。如果发现其用户节点的行为不符合白名单中的行为特征,其主机安全防护系统将会对此行为进行阻断或告警,以此避免主机网络受到未知漏洞威胁,同时还可以有效地阻止操作人员异常操作带来的危害。

在控制网区域控制室各操作员站,工程师站,服务器部署工控主机卫士对主机注册表,操作系统,以及运行在主机上的工控软件进行保护,拒绝任何未经授权的安装、修改、卸载、删除操作,从而做到斩断病毒、恶意代码的运行传播,起到加固控制网主机的作用。

在采用智能主动防御基础上,融合主机加固功能,满足GB/T 20272-2006《信息安全技术 操作系统安全技术要求》对操作系统安全技术要求。它不用更改操作系统就可以安装,操作方便。同时在操作系统的基础安全功能之上提供安全保护层,通过截取系统调用来实现对文件系统的访问控制,提高操作系统的安全性。它具有完整的用户身份鉴别、访问权限控制、外设控制、完整性校验、日志审计的功能,并且采用集中式管理,克服了分布式系统在管理上的诸多问题。

3) 利用统一管理平台,工业主机存在的问题,对主机进行双因子认证、外设监管、非法外联监控、软体防火墙告警、主机流量、多种日志审计、存储和管理等。

2) 目前国内还没有一款针对工业主机的专用杀毒软件,即使有也存在一定安全隐患,比如病毒库升级问题;

3) 由于特殊使用环境,主机应用软件存在一定漏洞,但又不敢轻易打补丁,白名单技术,固化主机运行环境,解决主机升级、打补丁烦恼;

4) 绝大部分主机缺少必要的安全策略和管理规划,主机安全卫士融合主机加固技术,解决安全基线建设不足问题。

制 华普信工控机造业工业控制系统主机防护探讨

文本标签:
本文地址:http://www.huapuxin.cn/blog/64970.html
除非注明,本站所有文章皆为原创,转载请以链接形式标明本文地址

马上分享给你的朋友吧~

评论已关闭!