钢铁行业工业互联网安全解决方案Word文档下载推荐.docx

钢铁行业工业互联网安全解决方案Word文档下载推荐.docx

《钢铁行业工业互联网安全解决方案Word文档下载推荐.docx》由会员分享，可在线阅读，更多相关《钢铁行业工业互联网安全解决方案Word文档下载推荐.docx（13页珍藏版）》请在冰豆网上搜索。

为加速提升工业互联网的应用质量与效果，为我国的经济结构调整、动能转换贡献力量，全面推进“中国制造2025”和“互联网+”行动计划，有必要围绕国家网

络安全法和网络安全等级保护制度加强对钢铁行业工业互联网信息安全领域解决方案的研究。

1.2适用范围

钢铁行业工业互联网。

1.3在工业互联网网络体系架构中的位置

本解决方案在下图中所处的位置为⑦。

2需求分析

图1工业互联网互联示意图

2.1钢铁行业工业互联网脆弱性分析

2.1.1操作系统漏洞

PC与Windows的技术架构现已成为控制系统上位机的主流。

而在控制网络中，上位机是实现与MES通信的主要网络结点，因此其操作系统的漏洞就成为了整个控制网络信息安全中的一个短板。

操作系统漏洞频繁出现，安全事故时有发生。

以WindowsXP版本为例，就曾被发现了大量漏洞，典型的如输入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&

IDQ缓冲区

—369—

溢出漏洞、Printer溢出漏洞、Cookie漏洞等等。

这些漏洞大部分危害巨大，恶意代码通过这些漏洞，可以获得WindowsXP操作站的完全控制权，甚至为所欲为。

2.1.2工业控制系统漏洞

由于早期的钢铁行业工业控制系统都是在相对独立的网络环境下运行，在产品设计和网络部署时，只考虑了功能性和稳定性，对安全性考虑不足。

随着钢铁行业工业控制系统网络之间互联互通的不断推进，以及工控系统和工业设备接入互联网的数量越来越多，通过互联网对工业控制系统实施攻击的可能性越来越高，而每年新发现的SCADA、DCS、PLC漏洞数量也不断增加，这些都为钢铁行业工业互联网带来巨大的安全隐患。

2.1.3工业网络漏洞

钢铁工业控制网络的设备分布于厂区各处，由于网络基础设施的局限性，经常需要无线网络、卫星、GPRS/CDMA等通用传输手段来实现与调度中心的连接和数据交换。

这些传输手段没有足够的安全保护和加密措施，很容易出现网络窃听、数据劫持、第三人攻击等安全问题，而且攻击者还可以利用不安全传输方式作为攻击工业控制网络的入口，实现对于整个工业控制网络的渗透和控制。

2.1.4工业云平台安全问题

在钢铁行业工业云平台中，作为底层支撑技术的虚拟化技术在带来效率提升和开销降低的同时,也带来了一系列由于物理的共享与逻辑隔离的冲突而导致的数据安全问题。

在钢铁行业公有云环境下，不同机构之间物理隔离的网络被由网络虚拟化

—370—

技术构建的虚拟网络取代。

这种网络资源复用模式虽然实现了网络资源的高效利用、网络流量的集中分发，但也带来了诸多安全问题。

2.2钢铁行业工业互联网安全威胁分析

2.2.1来自外部网络的渗透

钢铁行业工业互联网会有较多的开放服务，攻击者可以通过扫描发现开放服务，并利用开放服务中的漏洞和缺陷登录到网络服务器获取企业关键资料，同进还可以利用办公网络作为跳板，逐步渗透到控制网络中。

通过对于办公网络和控制网络一系列的渗透和攻击，最终获取企业重要的生产资料、关键配方，严重的是随意更改控制仪表的开关状态，恶意修改其控制量，造成重大的生产事故。

2.2.2帐号口令破解

由于企业有对外开放的应用系统（如邮件系统），在登录开放应用系统的时候需要进行身份认证，攻击都通过弱口令扫描、Sniffer密码嗅探、暴力破解、信任人打探套取或社工比较合成口令等手段来获取用户的口令，这样直接获得系统或应用权限。

获取了用户权限就可以调取相关资料，恶意更改相关控制设施。

2.2.3利用移动介质攻击

当带有恶意程序的移动介质连接到工程师站或操作员站时，移动介质病毒会利用移动介质自运行功能，自动启动对控制设备进行恶意攻击或恶意指令下置。

一方面造成网络病毒在企业各个网络层面自动传播和感染，靠成业务系统和控制系统性能的下降，从而影响企业监测、统筹、决策能力。

另一方面会针

—371—

对特定控制系统或设备进行恶意更改其实际控制量，造成生成事故。

2.2.4PLC程序病毒的威胁

通过对工程师站及编程服务器的控制，感染（替换）其相关程序，当PLC程序的下发时，恶意程序一起被下发到PLC控制设备上。

恶意程序一方面篡改PLC的实际控制流，另一方面将运算好的虚假数据发给PLC的输出，防止报警。

通过这种方式造成现场设备的压力、温度、液位失控，但监测系统不能及时发现，造成重大的安全事故。

2.2.5利用工业通信协议的缺陷

Modbus、DNP3、OPC等传统工业协议缺乏身份认证、授权以及加密等安全机制，利用中间人攻击捕获和篡改数据，给设备下达恶意指令，影响生产调度，造成生产失控。

2.2.6利用无线网络入侵

控制网络通过DTU无线设备通过802.11b协议连接到管理区的网络，通过对网络无线信息的收集，侦测WEP安全协议漏洞，破解无线存取设备与客户之间的通讯，分析出接入密码，从而成功接入控制网络，控制现场设备，获取机要信息，更改控制系统及设备的控制状态，造成重大影响。

3解决方案

3.1设计思路

钢铁行业工业互联网安全框架设计是在充分借鉴传统网络安全框架和国外工业互联网安全相关框架的基础上，结合我国钢铁行业工业互联网的特点研究并提出的，旨在指导钢铁行业

—372—

工业互联网开展安全防护体系建设，提升安全防护能力。

钢铁行业工业互联网安全防护对象是明确工业互联网安全防护工作范围的基础，并为防护工作的实施指明方向。

在传统网络安全框架与工业互联网安全相关框架中，都对其防护对象做了明确界定，钢铁行业工业互联网安全体系部分也从防护对象角度提出了工业互联网安全的五大重点方向，即安全保障、平台安全、网络安全、应用安全和工控安全。

3.2安全建设目标

为确保钢铁行业工业互联网的正常运转和安全可信，应对工业互联网设定合理的安全目标，并根据相应的安全目标进行风险评估和安全策略的选择实施。

工业互联网安全目标并非是单一的，需要结合工业互联网不同的安全需求进行明确。

工业互联网安全包括保密性、完整性、可用性、可靠性、弹性和隐私六大目标，这些目标相互补充，共同构成了保障工业互联网安全的关键特性。

•保密性：

确保信息在存储、使用、传输过程中不会泄漏给非授权用户或实体。

•完整性：

确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。

•可用性：

确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及资源。

•可靠性：

确保工业互联网系统在其寿命区间内以及在正常运行条件下能够正确执行指定功能。

—373—

•弹性回复：

确保工业互联网系统在受到攻击或破坏后恢复正常功能。

•隐私安全：

确保工业互联网系统内用户的隐私安全。

3.3安全设计框架

钢铁行业工业互联网安全设计框架主要不同的防护对象部署相应的安全防护措施，根据实时监测结果发现网络中存在的或即将发生的安全问题并及时做出响应。

同时加强防护管理，明确基于安全目标持续改进的管理方针，保障工业互联网的持续安全。

钢铁工业互联网安全框架如下图所示。

图2钢铁行业工业互联网安全整体架构图

钢铁行业工业互联网安全整体架构设计主要考虑钢铁行业以属地化生产业务为主，因此聚焦于工厂内网环境，主要分为5个方面内容组成，分别是安全保障体系、工业云平台、工业应用、网络安全和工业控制系统安全，其中钢铁行业IT层面关注于安全保障体系、工业云平台、工业应用和网络安全，OT层面关注于工业控制系统安全。

3.4钢铁行业IT层面安全建设方案

—374—

3.4.1安全保障体系

3.4.1.1安全评估

钢铁行业工业互联网必须以安全风险管控为切入点，必须定期对工业互联网系统的各安全要素进行风险评估。

对应工业互联网整体安全目标，分析整个工业互联网系统的资产、脆弱性和威胁，评估安全隐患导致安全事件的可能性及影响，结合资产价值，明确风险的处置措施，包括预防、转移、接受、补偿、分散等，确保在工业互联网数据私密性、数据传输安全性、设备接入安全性、平台访问控制安全性、平台攻击防范安全性等方面提供可信服务，并最终形成风险评估报告。

3.4.1.2安全监测与预警

钢铁行业工业互联网要构建一个能覆盖安全业务全生命周期的，以安全事件为核心，实现对安全事件的“预警、检测、响应”动态防御体系。

能够在攻击发生前进行有效的预警和防护，在攻击中进行有效的攻击检测，在攻击后能快速定位故障，进行有效响应，避免实质损失的发生。

安全策略中描述了工业互联网总体的安全考虑，并定义了保证工业互联网日常正常运行的指导方针及安全模型。

通过结合安全目标以及风险评估结果，明确当前工业互联网各方面的安全策略，包括对设备、控制、网络、应用、数据等防护对象应采取的防护措施，以及监测响应及处置恢复措施等。

同时，为打造持续安全的工业互联网，面对不断出现的新的威胁，需不断完善安全策略。

3.4.1.3安全威胁感知

—375—

钢铁行业工业互联网安全威胁监测感知是部署相应的安全监测措施，主动来自系统内外部的安全风险，具体措施包括数据采集、收集汇聚、特征提取、关联分析、状态感知等。

数据采集指对工业现场网络及工业互联网平台中各类数据进行采集，为网络异常分析、设备预测性维护等提供数据来源。

对于数据的收集汇聚主要分为两个方面。

一是对SCADA、MES、ERP等工业控制系统及应用系统所产生的关键工业互联网数据进行汇聚，包括产品全生命周期的各类数据的同步采集、管理、存储及查询，为后续过程提供数据来源。

二是对全网流量进行监听，并将监听过程中采集到的数据进行汇聚。

特征提取是指对数据特征进行提取、筛选、分类、优先级排序、可读等处理，从而实现从数据到信息的转化过程，该过程主要是针对单个设备或单个网络的纵向数据分析。

信息主要包括内容和情景两方面，内容指工业互联网中的设备信号处理结果、监控传输特性、性能曲线、健康状况、报警信息、DNC及SCADA网络流量等；

情景指设备的运行工况、维护保养记录、人员操作指令、人员访问状态、生产任务目标、行业销售机理等。

关联分析过程通过将运行机理、运行环境、操作内容、外部威胁情报等有机结合，基于大数据进行横向大数据分析和多维分析，利用群体经验预测单个设备的安全情况，或根据历史状况和当前状态的差异发现网络及系统异常。

状态感知基于关联分析过程，实现对企业工业互联网运行规律、异常情况、安全目标、安全态势、业务背景等的认知，确定安全基线，结合大数据分析技术，发现潜在威胁、预测黑客攻击。

—376—

3.4.2工业云平台安全

对于钢铁行业工业互联网平台是业务生产稳定运行的基础保障，可采取的安全