工業控制網絡縱深防御解決方案(編輯修改稿)

　

【文章內容簡介】 連，對于 （ 1） ，雖然考慮了雙網卡配置，管理 信息 網與控制網通過采集站進行了隔離，病毒等破壞性程序不能 直接攻擊到控制網絡，但對于能夠利用 Windows 系統本身缺陷的網絡蠕蟲病毒，這種配置幾乎沒有作用，除非能夠把采集站的 Windows 系統的系統漏洞消除在利用該漏洞的蠕蟲病毒攻擊之前，使得蠕蟲病毒無法攻入采集站系統，從而無 法利用采集站作為進一步 共計 的基地 ； 對于 （ 2）和（ 3） ，病毒 庫及 系統補丁的升級總是 存在滯后效應 ， 對于新型入侵及攻擊無法抵御， 因此還不能完全阻止攻擊； 對于（ 4）（ 5）項是用戶一直非常頭痛的部分，缺乏有效的解決方案來實施； 對于 （ 6）（ 7）（ 8）（ 9）項，基本都是管理方面的內容 ， 其 作用在于防止 非計算機的人為破壞 因素 。 常規的 IT網絡安全技術 沒有專門針對控制網絡需求進行規劃設計 ， 以上所列 安全措施只是對 控制 網絡入侵的一種限制手段，但 無法達到 網絡安全的要求，需要 通過專業網絡安全 設備，去限定并且管控有限 的連接， 來 滿足化工裝置對網絡安全的要求 。 更多技術了解訪問 MES/SCADA/DCS/PLC 工業控制網絡安全專家 控制 網絡 安全 必須達到的兩個目標 雖然各個工廠在針對控制網絡安全都采取了在本文檔 施（或者其它更高級的措施），但我們相信，要保證控制網絡中基于 PC+Windows方式的操作站（ HMI） 100%免受病毒感染或者其它攻擊是根本不可能的。 這些感染或攻擊的途徑可能來自： ◆來自上層 信息網對控制網 的攻擊或病毒感染； ◆工程師使用 U盤、光盤 導致的 病毒傳播 ； ◆設備 維修 時 筆記本電腦接入 而來； 總結以上列舉的種種問題，我們認為要保證控制網絡的安全運行必須達到兩個目標： （ 1） 即使 在 控制網 單點出現問題，也能保證 裝置或工廠的安全穩定運行 對于現代計算機網絡，我們認為最可怕的是病毒的急速擴散，它會 瞬間令整個網絡癱瘓，該防護目標 在 于 當控制網絡的某個局部存在病毒感染或者其它不安全因素時， 不會向其它設備或網絡擴散，從而保證裝置或工廠的安全穩定運行。 （ 2） 能夠及時準 確的確認故障點，并排解決問題 怎樣能夠及時發現網絡中存在的感染及其它問題，準確找到故障的發生點，是維護控制網絡安全的 前提。 ANSI/ISA99區域防護概念 解析 目前 國內針對工業控制網絡的防護 標準尚不成形， 公安部會同有關部門 也在制定計算機信息系統安全等級的劃分標準和安全等級保護的具體辦法， 在國際上，美國在 2021 年頒布的 Chemical Facility AntiTerrorism Standards (CFATS)標準（該標準由美國國土安全部頒布）以及 2021 年頒布的 US Chemical AntiTerrorism Act（美國化學反恐怖主義法） 針對化工設備安全做了強制要求，目前，石油，水處理以及制造業都還 沒有必須 按照以上立法規定作業，但是為了避免重大的風險， 基本都 遵守 ANSI/ISA99 Standards 的要求 進行規劃 。 更多技術了解訪問 MES/SCADA/DCS/PLC 工業控制網絡安全專家 來自國際 的行業標準，如 ANSI/ISA99 指出過程控制系統或 SCADA 控制網絡 的控制網絡安全要點： 要點名稱 要點描述 達到目標 區域劃分 具備相同功能和安全要求的設備在同一區域內 安全等級分區 管道建立 實現區域間執行管道通信 易于控制 通信管控 通過控制 區域間管道中通信管理控制來實現設備保護 數據通信可控 想要滿足這一安全要求， Tofino 是一種經濟高效的方式。 Tofino 能夠用來分離 信息 系統網絡與過程系統網絡，分隔不同供應商的控制系統，并隔離關鍵系統與非關鍵系統 ，保護控制系統底層邊緣設備（例如 操作站、 控制器等） 。 更多技術了解訪問 MES/SCADA/DCS/PLC 工業控制網絡安全專家 4． Tofino工業 網絡 安全解決方案 Tofino 工業網絡安全解決方案針對 SCADA 和過程控制系統特別設計，旨在為其提供一種分 區 的安全解決方案。 Tofino 擁有極高的性價比， 它能夠在工廠車間中建立 深層防護架構，因此，即使有黑客或病毒通過主 要的企業防火墻，他們也將面對 基于控制網絡特點而設計的專業 安全設備，只有穿過這些設備才能進而造成損害。 Tofino 模塊 采用 Tofino Central Management Platform (CMP，中央管理平臺 )進行集中配置、組態和管理 （可遠程甚至跨國使用） ，控制網或企業網均可以在適當位置安裝 CMP。使用 CMP，并裝載各種必要的 Loadable Security Modules (LSMs，可裝載安全軟件插件 )，就可以 實時在線 調整 Tofino 模塊，使之滿足所保護 區域及 設備的安全要求。 Tofino 安全解決方案系統配置示意 LSM能夠為工廠用戶量身定制的加密，入侵檢測及控制協議識別等安全解決方案。例如，可以將其中一個 Tofino 模塊作為 專有 PLC 網絡的防火墻，將另FW Module Being Loaded to Appliance PLC Controllers Cluster of DCS Controllers SCADA RTU HMI Station Tofino? Central Management Platform Tofino? Monitoring DCS Network Status Being Sent to CMP Corporate Intra Tofino? Appliance Protecting PLC Tofino? Encrypting Traffic Telco Network Tofino? Firewalling Control System DCS Stations 更多技術了解訪問 MES/SCADA/DCS/PLC 工業控制網絡安全專家 外一個 Tofino 模塊作為網絡 RTU通訊的加密系統。 當然，單個 Tofino 模塊可以同時 裝載多個 LSM，同時提供多重安全防護。 Tofino Security System 一方面是一個完整的分布式的安全解決方案，另一方面又可以簡單、安全地進行集中管理，這些特性使得它成為一款獨一無二的產品。對大型工業企業來說， Tofino Security System更意味著最佳的安全效益和技術支持，并不只是簡單 滿足 了獨立的關鍵控制設備的安全需求。 不同于傳統的 IT 防火墻， Tofino 專為工業環境控制網絡通信 安全要求而設計?，F場技術人員只需簡單為 Tofino 接入電源，并連接兩個網絡的電纜即可，無需其他任何操作。一旦安裝成功，安全 /技術人員即可毫不費力地管理任何系統，以總攬公司大局的方式對網絡威脅作出反應。最重要的是， Tofino 既可以靈活運用在單純由 PLC 構成的小型工廠中，又能夠滿足那些 擁有 成千上萬 個 設備并且分布全球各地的大型跨國公司的使用要求 。 Tofino安全解決方案構成 一個完整的 Tofino 安全解決方案包含以下三部分： Tofino 安全模塊 （ TSA） —— 增強型工業環境要求設計 ，應用于受保護的 區域或 控制器 等關鍵設備 之前。 下圖為 Tofino 安全模塊 硬件的兩種選型 。 Tofino 可裝載安全軟插件 (LSM)—— 專為 TSA 設計的安全軟插件，提供安全服務，如 工業通信 防火墻、 事件與報警管理， OPC/Modbus TCP 通信深度檢查、安全設備資產管理、 VPN 加密等。 LSM可以直接裝載到 Tofino 安全模塊中，并根據系統需求提供各種定制安全服務。 Tofino 中央管理平臺（ CMP） —— 窗口化的中央管理平臺系統及數據庫，用于 Tofino 安全模塊的配置、 組態 和管理 更多技術了解訪問 MES/SCADA/