信息安全工程师（2版）工控安全需求分析与安全保护工程

本章首先阐述了工业控制系统的概念及相关安全威胁、安全隐患、安全需求；然后给出了工业控制系统常见的安全保护机制，包括物理及环境安全防护、安全分区及边界保护、身份认证与访问控制、运程访问安全、恶意代码防范、安全监测等安全机制和实现技术；最后提供了工业控制系统安全应用参考案例。

第24章 工控安全需求分析与安全保护工程

• 24.1 工控系统安全威胁与需求分析
  • 24.1.1 工业控制系统概念及组成
    • 由各种控制组件、监测组件、数据处理与展示组件共同构成的对工业生产过程进行控制和监测的业务流程管理系统
    • SCADA（Supervisory Control And Data Acquisition，数据采集与监视控制系统）
      • 作用：以计算机为基础对远程分布运行的设备进行监控
      • 功能：数据采集、参数测量和调节
      • 组成：终端控制单元（MTU）、通信线路和设备、远程终端单位（RTU）
    • 分布式控制系统（DCS）（Distribution Control System）
      • 作用：基于计算机技术对生产过程进行分布控制、集中管理
      • 层次划分：现场控制级、系统控制级（和管理级）
        • 现场控制级：对单个子进程进行控制
        • 系统控制级：对多个密切相关的过程进行数据采集、记录、分析和控制，由统一人机交互处理实现过程的集中控制和展示
        • 管理器：实现组态的配置和分发
    • 过程控制系统（PCS）（Process Control System）
      • 通过实时采集被控设备状态参数进行调节，以保证被控设备保持某一特定状态的控制系统，参数包括温度、压力、流量、液位、成分等
    • 可编程逻辑控制器（PLC）（Programmable Logic Controller）
      • 执行各类运算、顺序控制、定时等指令，是工业控制系统的基础单元
    • 主终端设备（MTU）（Master Terminal Unit）
      • 部署在调度控制中心，主要用于生产过程的信息收集和监测，通过网络与 RTU 保持通信
    • 远程终端设备（RTU）（Remoter Terminal Unit）
      • 主要用于生产过程中的信息采集、自动测量记录和传到，通过网络与 MTU 保持通信
    • 人机界面（HMI）（Human-Machine Interface）
      • 为操作者和控制器之间提供操作界面和数据通信的软硬件平台。
    • 工控通信网络
      • 形式：专用协议形成封闭网络
      • 协议：OPC、Modbus、DNP3
      • 网络：DCS 主控网络、SCADA 主控网络、现场控制级通信网络
      • 趋势：TCP/IP
  • 24.1.2 工业控制系统安全威胁分析
    • 自然灾害及环境
    • 内部安全威胁
    • 设备功能安全故障
    • 恶意代码
    • 网络攻击
  • 24.1.3 工业控制系统安全隐患类型
    • 工控协议安全（协议缺乏安全设计、无安全认证、加密、审计）
    • 工控系统技术产品安全漏洞（西门子、施耐德等存在安全漏洞）
    • 工控系统基础软件安全漏洞（操作系统、数据库等）
    • 工控系统算法安全漏洞
    • 工控系统设备固件漏洞
    • 工控系统设备硬件漏洞
    • 工控系统开放接入漏洞
    • 工控系统供应链安全
  • 24.1.4 工业控制系统安全需求分析
    • 传统网络安全要求：保密性--完整性--可用性
    • 工控网络安全要求：可用性--完整性--保密性
    • 技术安全要求：物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心
    • 管理安全要求：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理
    • 参考：《信息安全技术 网络安全等级保护基本要求 第5部分：工业控制系统安全扩展要求》（GB/T 1390.5-2017）
• 24.2 工控系统安全保护机制与技术
  • 24.2.1 物理机环境安全防护
    • 对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施
    • 拆除或封闭工业主机上不必要的 USB、光驱、天线等接口
  • 24.2.2 安全边界保护
    • 目的：为确保安全风险的区域隔离及安全控制管理，应将工控系统划分为若干安全域
    • 隔离类型：物理隔离、网络逻辑隔离
    • 隔离设备：工业防火墙、工业网闸、单向隔离设备、安全防护网关
  • 24.2.3 身份认证与访问控制
    • 在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对关键设备、系统和平台的访问采用多因素认证
    • 合理分类设置账户权限，以最小特权原则分配账户权限
    • 强化工控设备、SCADA 软件、工业通信设备等的登录账户及密码，避免使用默认口令、弱口令，定期更换口令
    • 加强对身份认证证书信息的保护力度，禁止在不同系统和网络环境下共享
  • 24.2.4 远程访问控制
    • 原则上严格禁止工控系统面向互联网开通 HTTP、FTP、Telnet等高风险通用网络服务
    • 确需远程访问的，采用数据单向访问控制等策略进行安全加固，限制访问时间
    • 确需远程维护的，采用 VPN 等远程接入方式进行
    • 保留工控系统相关日志
  • 24.2.5 工控系统安全加固
    • 方法：安全配置策略、身份认证增强、强制访问控制、程序白名单控制
  • 24.2.6 工控安全审计
    • 通过审计系统保留工控设备、应用等访问日志，定期备份。
  • 24.2.7 恶意代码防范
    • 在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件
    • 工业企业需要建立工控系统防病毒和恶意软件入侵管理机制
    • 密切关注重大工控安全漏洞及其补丁发布
  • 24.2.8 工控数据安全
    • 常见数据类型：
      • 研发数据：研发设计数据、开发测试数据
      • 生产数据：控制信息、工况信息、工艺参数、日志
      • 运维数据：物流数据、售后服务数据
      • 管理数据：系统设备资产信息、客户与产品信息、供应链数据、业务统计数据 外部数据
    • 防护措施要求：
      • 根据风险评估结果对数据信息进行分级分类管理，建立和完善分级分类管理制度。静态存储：加密存储，访问控制；动态数据：加密传输，VPN
      • 定期备份关键业务数据
      • 对测试数据进行保护（包括安全评估数据、现场组态开发数据、系统联调数据、现场测试数据、应急演练数据）
  • 24.2.9 工控安全监测与应急响应
    • 在工控网络部署网络安全监测设备，及时发现、报告并处理网络攻击或异常行为
    • 在重要工控设备前端部署具备工业协议深度包检测功能的防护设备，限制违法操作
    • 制定工控安全事件应急响预案
    • 定期对工控系统的应急响应预案进行演练，必要时修正
    • 对关键主机设备、网络设备、控制组件进行冗余配置
  • 24.2.10 工控安全管理
    • 建设工业控制系统资产清单，明确资产责任人，以及资产使用和处置规则
    • 对关键主机设备、网络设备、控制组件进行冗余配置（冗余电源、冗余设备、冗余网络）
    • 安全软件选择与管理（①选择离线环境下充分测试的防病毒软件或白名单软件；②建立防病毒和恶意软件入侵管理机制）
    • 配置和补丁管理（①建立配置清单，定期进行配置审计；②对重大配置变更进行影响分析；③关注重大工控安全漏洞及补丁发布）
    • 供应链安全（①考虑经验；②考虑保密）
    • 落实责任
  • 24.2.11 工控安全典型产品技术
    • 防护类型
      • 工控防火墙：解读工控协议数据包内容
      • 工控加密：VPN、加密机、数据加密工具
      • 身份认证：口令、双因素认证、人脸、指纹
      • 工控可信计算
      • 系统安全加固
    • 物理隔离类型
      • 网闸、正反向隔离装置
    • 审计与监测类型
      • 工控安全审计
      • 工控入侵检测
    • 检查类型
      • 工控漏洞扫描：设备、操作系统、工控软件
      • 工控漏洞挖掘：技术包括协议分析、软件逆向分析、模糊测试
      • 工控安全基线：根据工控安全策略、安全标准规范、最佳实践制定
    • 运维和风险管控类型
      • 工控堡垒机：集中管理工控设备的运维和运维过程审计
      • 工控风险管理系统：管理工控系统的资产、安全威胁、安全漏洞
• 24.3 工控系统安全综合应用案例分析
  • 24.3.1 电力监控系统安全总体方案
    • 安全分区。（生产控制大区和管理信息大区，生产控制大区分为控制区与非控制区，管理信息大区分为若干业务安全区。控制区与非控制区采用逻辑隔离措施）
    • 网络专用。（专用网络）
    • 横向隔离。（控制大区与管理大区使用横向单向安全隔离装置，接近物理隔离；生产控制大区内安全区采用具有访问控制功能的设备实现逻辑隔离）
    • 纵向加密。（采用认证、加密、访问控制等技术实现数据的远方安全传输以及纵向边界的安全防护）
  • 24.3.2 水厂工控安全集中管理
  • 24.3.3 工控安全防护厂商方案
    • InTrust工控可信计算安全平添
    • Guard工业防火墙
    • 中央管理平台CMP
    • 安全管理平台SMP
• 24.4 本章小结
  • 本章首先阐述了工业控制系统的概念及相关安全威胁、安全隐患、安全需求；然后给出了工业控制系统常见的安全保护机制，包括物理及环境安全防护、安全分区及边界保护、身份认证与访问控制、运程访问安全、恶意代码防范、安全监测等安全机制和实现技术；最后．提供了工业控制系统安全应用参考案例。