钢铁行业工业互联网安全解决方案Word文档下载推荐.docx

1、为加速提升工业互联网的应用质量与 效果，为我国的经济结构调整、动能转换贡献力量，全面推进 “中国制造 2025”和“互联网+”行动计划，有必要围绕国家网 络安全法和网络安全等级保护制度加强对钢铁行业工业互联网信息安全领域解决方案的研究。1.2适用范围钢铁行业工业互联网。1.3在工业互联网网络体系架构中的位置本解决方案在下图中所处的位置为。2需求分析图 1 工业互联网互联示意图2.1钢铁行业工业互联网脆弱性分析2.1.1操作系统漏洞PC 与 Windows 的技术架构现已成为控制系统上位机的主流。而在控制网络中，上位机是实现与 MES 通信的主要网络结点， 因此其操作系统的漏洞就成为了整个控制网

2、络信息安全中的一个短板。操作系统漏洞频繁出现， 安全事故时有发生。以Windows XP 版本为例，就曾被发现了大量漏洞，典型的如输入法漏洞、IPC$漏洞、RPC 漏洞、Unicode 漏洞、IDA&IDQ 缓冲区 369 溢出漏洞、Printer 溢出漏洞、Cookie 漏洞等等。这些漏洞大部分危害巨大，恶意代码通过这些漏洞，可以获得 Windows XP 操作站的完全控制权，甚至为所欲为。2.1.2工业控制系统漏洞由于早期的钢铁行业工业控制系统都是在相对独立的网络环境下运行，在产品设计和网络部署时，只考虑了功能性和稳定性，对安全性考虑不足。随着钢铁行业工业控制系统网络之间互联互通的不断推进

3、，以及工控系统和工业设备接入互联网的数量越来越多，通过互联网对工业控制系统实施攻击的可能性越来越高，而每年新发现的 SCADA、DCS、PLC 漏洞数量也不断增加，这些都为钢铁行业工业互联网带来巨大的安全隐患。2.1.3工业网络漏洞钢铁工业控制网络的设备分布于厂区各处，由于网络基础设施的局限性，经常需要无线网络、卫星、GPRS/CDMA 等通用传输手段来实现与调度中心的连接和数据交换。这些传输手段没有足够的安全保护和加密措施，很容易出现网络窃听、数据劫持、第三人攻击等安全问题，而且攻击者还可以利用不安全传输方式作为攻击工业控制网络的入口，实现对于整个工业控制网络的渗透和控制。2.1.4工业云平

4、台安全问题在钢铁行业工业云平台中，作为底层支撑技术的虚拟化技术在带来效率提升和开销降低的同时,也带来了一系列由于物理的共享与逻辑隔离的冲突而导致的数据安全问题。在钢铁行业公有云环境下，不同机构之间物理隔离的网络被由网络虚拟化 370 技术构建的虚拟网络取代。这种网络资源复用模式虽然实现了网络资源的高效利用、网络流量的集中分发，但也带来了诸多安全问题。2.2钢铁行业工业互联网安全威胁分析2.2.1来自外部网络的渗透钢铁行业工业互联网会有较多的开放服务，攻击者可以通过扫 描发现开放服务，并利用开放服务中的漏洞和缺陷登录到网络 服务器获取企业关键资料，同进还可以利用办公网络作为跳板， 逐步渗透到控制

5、网络中。通过对于办公网络和控制网络一系列 的渗透和攻击，最终获取企业重要的生产资料、关键配方，严 重的是随意更改控制仪表的开关状态，恶意修改其控制量，造 成重大的生产事故。2.2.2帐号口令破解由于企业有对外开放的应用系统（如邮件系统），在登录开 放应用系统的时候需要进行身份认证，攻击都通过弱口令扫描、Sniffer 密码嗅探、暴力破解、信任人打探套取或社工比较合成口令等手段来获取用户的口令，这样直接获得系统或应用权限。获取了用户权限就可以调取相关资料，恶意更改相关控制设施。2.2.3利用移动介质攻击当带有恶意程序的移动介质连接到工程师站或操作员站时， 移动介质病毒会利用移动介质自运行功能，自

6、动启动对控制设 备进行恶意攻击或恶意指令下置。一方面造成网络病毒在企业 各个网络层面自动传播和感染，靠成业务系统和控制系统性能 的下降，从而影响企业监测、统筹、决策能力。另一方面会针 371 对特定控制系统或设备进行恶意更改其实际控制量，造成生成事故。2.2.4PLC 程序病毒的威胁通过对工程师站及编程服务器的控制，感染（替换）其相关程序，当 PLC 程序的下发时，恶意程序一起被下发到 PLC 控制设备上。恶意程序一方面篡改 PLC 的实际控制流，另一方面将运算好的虚假数据发给 PLC 的输出，防止报警。通过这种方式造成现场设备的压力、温度、液位失控，但监测系统不能及时发现，造成重大的安全事故

7、。2.2.5利用工业通信协议的缺陷Modbus、DNP3、OPC 等传统工业协议缺乏身份认证、授权以及加密等安全机制，利用中间人攻击捕获和篡改数据，给设备下达恶意指令，影响生产调度，造成生产失控。2.2.6利用无线网络入侵控制网络通过 DTU 无线设备通过 802.11b 协议连接到管理区的网络，通过对网络无线信息的收集，侦测 WEP 安全协议漏洞，破解无线存取设备与客户之间的通讯，分析出接入密码， 从而成功接入控制网络，控制现场设备，获取机要信息，更改控制系统及设备的控制状态，造成重大影响。3解决方案3.1设计思路钢铁行业工业互联网安全框架设计是在充分借鉴传统网络安全框架和国外工业互联网安全

8、相关框架的基础上，结合我国钢铁行业工业互联网的特点研究并提出的，旨在指导钢铁行业 372 工业互联网开展安全防护体系建设，提升安全防护能力。钢铁行业工业互联网安全防护对象是明确工业互联网安全防护工作范围的基础，并为防护工作的实施指明方向。在传统网络安全框架与工业互联网安全相关框架中，都对其防护对象做了明确界定，钢铁行业工业互联网安全体系部分也从防护对象角度提出了工业互联网安全的五大重点方向，即安全保障、平台安全、网络安全、应用安全和工控安全。3.2安全建设目标为确保钢铁行业工业互联网的正常运转和安全可信，应对工业互联网设定合理的安全目标，并根据相应的安全目标进行风险评估和安全策略的选择实施。工

9、业互联网安全目标并非是单一的，需要结合工业互联网不同的安全需求进行明确。工业互联网安全包括保密性、完整性、可用性、可靠性、弹性和隐私六大目标，这些目标相互补充，共同构成了保障工业互联网安全的关键特性。保密性：确保信息在存储、使用、传输过程中不会泄漏给非授权用户或实体。完整性：确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。可用性：确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及资源。可靠性：确保工业互联网系统在其寿命区间内以及在正常运行条件下能够正确执行指定功能。 373

10、弹性回复：确保工业互联网系统在受到攻击或破坏后恢复正常功能。隐私安全：确保工业互联网系统内用户的隐私安全。3.3安全设计框架钢铁行业工业互联网安全设计框架主要不同的防护对象部署相应的安全防护措施，根据实时监测结果发现网络中存在的或即将发生的安全问题并及时做出响应。同时加强防护管理， 明确基于安全目标持续改进的管理方针，保障工业互联网的持续安全。钢铁工业互联网安全框架如下图所示。图 2 钢铁行业工业互联网安全整体架构图钢铁行业工业互联网安全整体架构设计主要考虑钢铁行业以属地化生产业务为主，因此聚焦于工厂内网环境，主要分为 5 个方面内容组成，分别是安全保障体系、工业云平台、工业应用、网络安全和工

11、业控制系统安全，其中钢铁行业 IT 层面关注于安全保障体系、工业云平台、工业应用和网络安全，OT 层面关注于工业控制系统安全。3.4钢铁行业 IT 层面安全建设方案 374 3.4.1安全保障体系3.4.1.1安全评估钢铁行业工业互联网必须以安全风险管控为切入点，必须 定期对工业互联网系统的各安全要素进行风险评估。对应工业 互联网整体安全目标，分析整个工业互联网系统的资产、脆弱 性和威胁，评估安全隐患导致安全事件的可能性及影响，结合 资产价值，明确风险的处置措施，包括预防、转移、接受、补 偿、分散等，确保在工业互联网数据私密性、数据传输安全性、设备接入安全性、平台访问控制安全性、平台攻击防范安

12、全性 等方面提供可信服务，并最终形成风险评估报告。3.4.1.2安全监测与预警钢铁行业工业互联网要构建一个能覆盖安全业务全生命周 期的，以安全事件为核心，实现对安全事件的“预警、检测、 响应”动态防御体系。能够在攻击发生前进行有效的预警和防 护，在攻击中进行有效的攻击检测，在攻击后能快速定位故障， 进行有效响应，避免实质损失的发生。安全策略中描述了工业互联网总体的安全考虑，并定义了保证工业互联网日常正常运行的指导方针及安全模型。通过结合安全目标以及风险评估结果，明确当前工业互联网各方面的安全策略，包括对设备、控制、网络、应用、数据等防护对象应采取的防护措施，以及监测响应及处置恢复措施等。同时，

13、 为打造持续安全的工业互联网，面对不断出现的新的威胁，需不断完善安全策略。3.4.1.3安全威胁感知 375 钢铁行业工业互联网安全威胁监测感知是部署相应的安全 监测措施，主动来自系统内外部的安全风险，具体措施包括数 据采集、收集汇聚、特征提取、关联分析、状态感知等。数据 采集指对工业现场网络及工业互联网平台中各类数据进行采集， 为网络异常分析、设备预测性维护等提供数据来源。对于数据 的收集汇聚主要分为两个方面。一是对 SCADA、MES、ERP 等工业控制系统及应用系统所产生的关键工业互联网数据进行汇聚， 包括产品全生命周期的各类数据的同步采集、管理、存储及查 询，为后续过程提供数据来源。二

14、是对全网流量进行监听，并 将监听过程中采集到的数据进行汇聚。特征提取是指对数据特 征进行提取、筛选、分类、优先级排序、可读等处理，从而实 现从数据到信息的转化过程，该过程主要是针对单个设备或单 个网络的纵向数据分析。信息主要包括内容和情景两方面，内 容指工业互联网中的设备信号处理结果、监控传输特性、性能 曲线、健康状况、报警信息、DNC 及SCADA 网络流量等；情景指设备的运行工况、维护保养记录、人员操作指令、人员访问状 态、生产任务目标、行业销售机理等。关联分析过程通过将运 行机理、运行环境、操作内容、外部威胁情报等有机结合，基 于大数据进行横向大数据分析和多维分析，利用群体经验预测 单个设备的安全情况，或根据历史状况和当前状态的差异发现 网络及系统异常。状态感知基于关联分析过程，实现对企业工 业互联网运行规律、异常情况、安全目标、安全态势、业务背 景等的认知，确定安全基线，结合大数据分析技术，发现潜在 威胁、预测黑客攻击。 376 3.4.2工业云平台安全对于钢铁行业工业互联网平台是业务生产稳定运行的基础保障，可采取的安全