案例精选 | 网御星云某冶金集团工业控制系统安全解决方案
“2021年度工业安全系统典型应用案例”
网御星云
“某冶金集团工业控制系统安全解决方案”
成功入选
以下是《自动化博览》杂志刊登
方案原文摘录
工业控制系统脆弱的安全状况以及日益严重的攻击威胁，已经受到国家高度重视，甚至提升到国家安全战略的高度。在明确重点领域工业控制系统信息安全管理要求的同时，国家主管部门在政策和科研层面上也在积极部署工业控制系统的安全保障工作。
冶金行业利用先进的工业技术以及信息技术，不断提高工业系统的自动化、网络化程度，以减轻工业生产操作人员的工作负担，提高工业管理者的管理效率。但随着信息化和工业化的深度融合，网络化管理操作也使得针对工业控制系统的病毒和木马攻击呈现出攻击来源复杂化、攻击目的多样化以及攻击过程持续化特征。当前主流的冶金工业控制系统普遍存在安全漏洞，且多为能够造成远程攻击、越权执行的严重威胁类漏洞。专有的工业控制通信协议或规约在设计时通常只强调通信的实时性及可用性，对安全性普遍考虑不足：比如缺少足够强度的认证、加密、授权等。工业控制系统没有足够的安全政策、管理制度以及人员安全意识培养，都给生产系统埋下极大的安全隐患。
网御星云某冶金集团项目案例
网御星云通过采用多层次的隔离防护措施、全面的监控手段、纵深的防御技术，构建工控系统安全体系架构、各层详细部署方案以及工业控制系统安全管理平台，实现对工业控制系统的整体安全防护，从而保障整个工业控制系统安全稳定运行。
网御星云工业控制系统安全解决方案主要从三个方面解决工业控制系统安全问题：构建工控系统安全体系架构；全面监控工业控制系统可用性与安全事件；对工业控制系统的工控终端、服务器、工控应用进行纵深防御。
1.方案目标
解决方案要确保冶金行业工业控制系统中即使某一点发生网络安全事故，系统也能正常运行，同时，操作人员能够很迅速地找到问题并进行处理，建设目标如下：
l 区域隔离：工业防火墙能够过滤两个区域网络间的通信，或者在锌锭生产的流程阶段中间实现隔离；
l 实时监控：所有部署的安全防护设备都能由安全管理平台统一进行实时监控，任何非法的（没有被组态允许的）访问，都会在安全管理平台产生实时信息，从而故障问题会在原始发生区域被迅速发现和解决。
2 案例亮点
（1）集专业性与先进性于一体
当前，工业数字化转型发展趋势显著，尤其在冶金行业，正逐步向“清洁、低碳、高效、安全、智能”转型，发展智能化、精益化管理等模式。目前冶金行业存在的突出问题在于使用细粒度安全技术特性的同时，没有充分考虑到生产安全的兼容性。本项目采用工控系统、安全系统同步建设方式进行，考虑需求全面，建设内容丰富，实现功能多样，在后期推广复制时，可以根据各项目实际情况进行方案裁剪。
本项目通过分析冶金行业的业务场景及其安全需求，构建出多维度、深层次的安全场景化方案，追求安全防护与业务深度耦合，确保有效落地。
本项目基于流程制造的控制特性实现控制设备终端管控以及整体展示，安全能力在保障控制系统运行的同时，突出发挥了整体安全建设优势，有力保障冶金行业信息安全和持续运营。
本项目实时检测工业设备控制命令，保障下发指令在合理范围内无越权操作与违规操作。
（2）良好的规范性和扩展性
本项目从需求角度分析，分为自驱力需求和刚性需求。其中自驱力引导的建设需求属于弹性需求，此需求产生的根本原因是各地冶金企业在推进建设“数字化转型”的过程中逐渐意识到网络安全是保障持续生产、安全生产的必要条件，与此同时，各地政府也在十四五期间关于本地冶金行业的发展规划中重点强调了智慧冶炼、安全冶炼等概念。而监管侧引导的建设需求则属于刚性需求，例如网络安全法、等保、关保对于大型冶金企业的强制性建设要求，目的在于弥补生产企业在网络安全建设方面的不足，将合规安全建设纳入在新生产场景建设规划中，实现同步规划、同步建设、同步运营。本项目既满足客户在调研咨询中产生的独特性安全需求，也满足了监管单位对于此类企业的合规要求。
（3）多维度多样化的数据分析展现
Ø 业务资产数据分析
随着冶金企业业务的不断壮大，各种业务支撑平台和管理系统越来越多，服务器、存储设备、网络设备、安全设备越来越复杂，给管理员的资产管理工作带来诸多不便。本项目最终能够通过但不限于扫描引擎、流设备，采用主被动相结合的机制快速发现工业资产，利用资产指纹库建立各类型资产的特征，准确识别网络设备、控制设备、安全设备、各类操作系统、数据库、应用中间件等资产的属性及信息，包括主机名称、设备类型、端口情况、操作系统、配置变更情况、设备接口以及开放的服务等，此类资产指纹信息皆可参与网络安全威胁分析，提高威胁分析准确性，加强攻击溯源能力。
Ø 现场业务行为数据分析
本项目通过收集现场上位机、控制软件、中间件、PLC、MES系统、能源管理系统、DNS、代理服务器、访问流数据、负载均衡日志等数据对业务行为基线进行分析及建立。利用威胁建模形成用户网络各业务系统的威胁视图，从每条业务路径上分析各类常见威胁发生的可能性。针对各类威胁动作采取不同的分析和防御措施，判断列举的威胁动作是否真实的发生，不断调整和优化对威胁过程的监控和管理。
Ø 工业基础设施秩序数据分析
本项目通过收集控制系统日志、应用日志、网络日志、系统日志及网络访问审计日志对现场业务系统基础设施进行访问及安全运行秩序感知，可以利用威胁建模构建秩序白名单，并利用机器学习及行为模型或数据模型发现违反基础设施及网络访问秩序的异常情况。
