解读《工业控制系统信息安全防护指南》之欧阳治创编.docx
- 文档编号:26848176
- 上传时间:2023-06-23
- 格式:DOCX
- 页数:10
- 大小:21.52KB
解读《工业控制系统信息安全防护指南》之欧阳治创编.docx
《解读《工业控制系统信息安全防护指南》之欧阳治创编.docx》由会员分享,可在线阅读,更多相关《解读《工业控制系统信息安全防护指南》之欧阳治创编.docx(10页珍藏版)》请在冰豆网上搜索。
解读《工业控制系统信息安全防护指南》之欧阳治创编
解读《工业控制系统信息平安防护指南》制定《指南》的布景
时间2021.03.10
创作:
欧阳治
通知中明确“为贯彻落实《国务院关于深化制造业与互联网融合成长的指导意见》(国发〔〕28号),包管工业企业工业控制系统信息平安,工业和信息化部制定《工业控制系统信息平安防护指南》。
”可以看出,《工业控制系统信息平安防护指南》是根据《意见》制定的。
《意见》中相关要求
《意见》“七年夜任务”中专门有一条“提高工业信息系统平安水平”。
工信部根据《十三五规划纲要》、《中国制造2025》和《意见》等要求编制的《工业和信息化部关于印发信息化和工业化融合成长规划()》中进一步明确,在十三五期间,我国两化融合面临的机遇和挑战第四条就是“工业领域信息平安形势日益严峻,对两化融合成长提出新要求”,其“七年夜任务”中也提到要“逐步完善工业信息平安包管体系”,“六年夜重点工程”中之一就是“工业信息平安包管工程”。
以上这些,就是政策层面的指导思想和要求。
《指南》条款详细解读
《指南》整体思路借鉴了品级呵护的思想,具体提出了十一条三十款要求,贴近实际工业企业真实情况,务实可落地。
我们从《指南》要求的主体、客体和办法将十一条分为三年夜类:
a、针对主体目标(法人或人)的要求,包含第十条供应链管理、第十一条人员责任:
1.10供应链管理
(一)在选择工业控制系统规划、设计、建设、运维或评估等办事商时,优先考虑具备工控平安防护经验的企事业单位,以合同等方法明确办事商应承担的信息平安责任和义务。
解读:
工业控制系统的全生产周期的平安管理过程中,采取适合于工业控制环境的管理和办事方法,要求办事商具有丰富的平安办事经验、熟悉工业控制系统工作流程和特点,且对平安防护体系和工业控制系统平安防护的相关法令律例要有深入的理解和解读,包管相应法令律例的有效落实,并以合同的方法约定办事商在办事过程中应当承担的责任和义务。
(二)以保密协议的方法要求办事商做好保密工作,防备敏感信息外泄。
解读:
与工业控制系统平安办事方签定保密协议,要求办事商及其办事人员严格做好保密工作,尤其对工业控制系统内部的敏感信息(如工艺文件、设备参数、系统管理数据、现场实时数据、控制指令数据、法度上传/下载数据、监控数据等)进行重点呵护,防备敏感信息外泄。
1.11落实责任
通过建立工控平安管理机制、成立信息平安协调小组等方法,明确工控平安管理责任人,落实工控平安责任制,安排工控平安防护办法。
解读:
设立工业控制系统平安管理工作的职能部分,担任工业控制系统全生命周期的平安防护体系建设和管理,明确平安管理机构的工作规模、责任及工作人员的职责,制定工业控制系统平安管理方针,继续实施和改进工业控制系统的平安防护能力,不竭提升工业控制系统防攻击和抗干扰的水平。
b、针对客体目标(被呵护的资产或数据)的平安要求,包含第八条资产平安、第九条数据平安:
1.8资产平安
(一)建设工业控制系统资产清单,明确资产责任人,以及资产使用及处理原则。
解读:
为实现和坚持对组织机构资产的适当呵护,确保所有资产可查,应建设工业控制系统资产清单,并明确资产使用及处理原则,配置资产清单,按期更新清单库,并对资产进行分类。
所有资产应指定责任人,并且明确责任人的职责,明确资产使用权。
制定资产在生产、调试、运行、维护、报废等过程中的处理原则。
(二)对关键主机设备、网络设备、控制组件等进行冗余配置。
解读:
在系统运行过程中,可能呈现的宕机、中断、死机、病毒攻击、自然灾害等资产被侵害的事件产生,招致系统无法正常工作,给企业和社会带来损失,甚至威胁到员工生命和财富平安。
对关键主机设备、网络设备、控制组件等进行冗余配置,避免重年夜平安事件的产生。
1.9数据平安
(一)对静态存储数据和静态传输过程中的重要工业数据进行呵护,根据风险评估结果对数据信息进行分级分类管理。
解读:
在数据创建、使用、分发、共享、销毁的整个生命周期中,对重要数据如工艺文件、设备参数、系统管理数据、现场实时数据、控制指令数据、法度上传/下载数据、监控数据等应进行呵护,如加密技术、平安存储介质等。
数据遭受破坏时及时采纳需要的恢复办法。
风险评估对数据的分类分级原则应包含对企业经济影响、生产稳定性影响、人身平安、法令风险、名誉度损失等角度开展,根据数据的重要水平在信息存储、信息传输、信息交换、信息使用等过程中采纳相应的防护办法。
(二)按期备份关键业务数据。
解读:
为包管系统在灾难产生时,数据能够尽量还原真实数据,应对历史数据库办事器、实时数据办事器、先进控制系统、优化控制系统等重要系统设备进行硬件冗余,启用实时数据备份功能,包管当主设备呈现故障时冗余设备可以无扰动的切换并恢单数据,对关键的业务数据,应按期进行软备份。
(三)对测试数据进行呵护。
解读:
测试数据一般来源于真实的现场设备实时数据,有需要对测试数据进行平安防护,避免产生数据泄露、窜改、破坏,呵护企业资产。
c、针对呵护办法办法的要求,根据工业控制网络由内而外的结构包含:
终端(第一条软件选择与管理、第四条物理环境平安);配置(第二条配置平安);网络(第五条身份认证、第三条鸿沟防护、第六条远程平安);例外(第七条监测应急)。
1.1平安软件选择与管理
(一)在工业主机上采取经过离线环境中充分验证测试的防病毒软件或应用法度白名单软件,只允许经过工业企业自身授权和平安评估的软件运行。
解读:
工业控制系统对可用性和实时性要求很是高,任何未经验证测试的软件都可能影响控制系的稳定性,应对防病毒软件或应用法度白名单软件进行离线测试,测试无风险后,方可在工业主机上安排。
目前工业主机有效防护机制有“黑名单机制”和“白名单机制”,相比之下工控网络则更加注重防护的“高可用性”和“高可靠性”,鉴于工业应用的特殊性,“黑名单机制”无法应对多元化的风险及威胁。
利用“白名单机制”可以建立工控行业应用法度信誉库,为工控应用法度提供可信认证、授权和评估,同时帮助沙箱检测技术和杀毒软件进行应用法度软件的平安性测试,从根本上包管了工控主机平安。
(二)建立防病毒和歹意软件入侵管理机制,对工业控制系统及临时接入的设备采纳病毒查杀等平安预防办法。
解读:
病毒和歹意代码是工控系统主要威胁之一,应对工控系统设备(例如操纵员站、工程师站、控制办事器等)安排病毒和歹意代码集中监控、防护管理办法,对工业控制系统及临时接入的设备进行病毒和歹意代码扫描检测,避免遭受病毒和歹意软件攻击。
1.4物理和环境平安防护
(一)对重要工程师站、数据库、办事器等核心工业控制软硬件所在区域采纳拜访控制、视频监控、专人值守等物理平安防护办法。
解读:
重要的工程师站、数据库、办事器是工业控制系统的核心组件,为了避免来自人为的歹意破坏。
应对核心工业控制软硬件所在的位置,依照物理位置和业务功能进行区域划分,区域之间设置物理隔离装置。
在需要区域前设置交付或装置等过渡区域,特殊区域应配置电子门禁系统,7*24小时的视频监控。
对核心工业控制软硬件所在区域,收支口应安插专人值守,控制、鉴别和记录进入的人员,来访人员应经过申请和审批流程,并限制和监控其活动规模。
(二)裁撤或封闭工业主机上不需要的USB、光驱、无线等接口。
若确需使用,通过主机外设平安管理技术手段实施严格拜访控制。
解读:
工业主机越来越多采取通用计算机,USB、光驱、无线等接口的使用,为病毒、木马、蠕虫等歹意代码入侵提供了途径,裁撤或封闭工业主机上不需要的USB、光驱、无线等接口可以从根本上切断不法数据、法度的传播途径。
若确需使用,可以通过主机平安管理软件对外设的端口进行控制,记录文件的导入导出等操纵痕迹,实现对端口的严格拜访控制。
1.2配置和补丁管理
(一)做好工业控制网络、工业主机和工业控制设备的平安配置,建立工业控制系统配置清单,按期进行配置审计。
解读:
平安配置是基础性的平安防护办法,平安配置能够增强工控网络、工业主机和工控设备平安性,应建立工控系统平安配置清单,包含工控网络设备、工业主机、工控设备的平安配置清单。
在日常运维管理方面,指导管理人员对系统平安配置优化,避免存在平安隐患。
根据工业控制系统配置清单,按期对工业控制网络、工业主机和工业控制设备开展配置审计,及时发明配置问题。
(二)对重年夜配置变动制定变动计划并进行影响阐发,配置变动实施前进行严格平安测试。
解读:
工控系统的日常维护管理经常涉及到配置变动,但未经严格平安测试的重年夜变动可能会对工控系统造成破坏。
在工控系统重年夜配置变动之前,应制定变动计划,对变动可能呈现的影响进行评估阐发,并在工控系统离线环境中进行平安测试,包管配置变动的平安性和可靠性。
(三)密切关注重年夜工控平安漏洞及其补丁宣布,及时采纳补丁升级办法。
在补丁装置前,需对补丁进行严格的平安评估和测试验证。
解读:
工控系统较传统的IT系统更懦弱,在补丁升级方面要很是慎重,补丁升级可能会影响工控系统的稳定性,如果补丁升级失败,可能对工控系统造成破坏,招致工控系统运行中断。
因此,工控系统在补丁升级之前必须进行严格验证测试,包含平安性、稳定性、兼容性和可靠性验证测试。
1.5身份认证
(一)在工业主机登录、应用办事资源拜访、工业云平台拜访等过程中使用身份认证管理。
对关键设备、系统和平台的拜访采取多因素认证。
解读:
面对工业控制主机和系统的登录、拜访过程中罕见身份冒用,越权拜访等平安风险,给工业控制生产活动带来平安隐患。
通过采纳身份鉴别、角色判定、权限分派等平安办法实现工业主机登录、应用办事资源拜访、工业云平台拜访等过程的统一身份认证管理。
对关键设备、系统和平台应采纳如口令、usbkey、智能卡、生物指纹等多种认证方法组合的多因素认证方法。
一是避免他人盗用、误用,二是提高设备、系统和平台的攻击难度。
(二)合理分类设置账户权限,以最小特权原则分派账户权限。
解读:
应限定网络中每个主体所必须的最小特权,确保可能的事故、毛病、窜改等原因造成的损失最小化,对超等管理员账号未禁止、各账户权限未实现分立制约等罕见问题应及时发明并更正。
(三)强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码,避免使用默认密码或弱密码,按期更新口令。
解读:
对登录账户和密码要及时更新,密码要以多位数含数字、字母、特殊符号的组合方法提高密码强度,建议采取验证码机制,提高被暴力破解的难度。
避免使用默认密码、易猜测密码、空口令甚明文张贴密码的现象产生。
(四)加强对身份认证证书信息呵护力度,禁止在不合系统和网络环境下共享。
解读:
建议采取平安介质存储证书信息,对证书的申请、发放、使用、撤消等过程通过技术手段严格控制,并建立相关制度包管。
建议采取国际通用的平安商密算法或国密算法。
在不必系统和网络环境下禁止传递证书信息。
1.3鸿沟平安防护
(一)别离工业控制系统的开发、测试和生产环境。
解读:
工业控制系统的开发、测试和生产环境承载的功能不合,为了避免由开发、测试环境引入的平安威胁给生产环境带来作业风险,需要将开发、测试和生产环境别离。
将开发、测试和生产环境辨别置于不合的区域,进行逻辑或物理隔离。
(二)通过工业控制网络鸿沟防护设备对工业控制网络与企业网或互联网之间的鸿沟进行平安防护,禁止没有防护的工业控制网络与互联网连接。
解读:
工业控制网络与企业网或互联网之间互联互通,为工业控制系统带来巨年夜创作创造力和生产力的同时,也会引入更加庞杂、严峻的平安问题。
一是深度网络化和多层面互联互通增加了攻击路径;二是传统IT产品的引入带来了更多平安漏洞;三是新兴信息技术在工业控制领域的防护体系尚不成熟。
因此,需要在不合网络鸿沟之间,安排鸿沟平安防护设备实现平安拜访控制,阻断不法网络拜访,严格禁止没有防护的工业控制网络与互联网连接。
(三)通过工业防火墙、网闸等防护设备对工业控制网络平安区域之间进行逻辑隔离平安防护。
解读:
为了降低工业控制网络平安区域之间连接风险,减少攻击平面,需要在区域之间安排逻辑隔离设备,如工业防火墙、网闸。
在区域间有双向拜访需求的网络,可采取工业防火墙进行逻辑隔离,深度检测并过滤主流工控协议(如:
OPC、Modbus、S7、Ethernet/IP等)带来的平安风险;在区域间只需要单向拜访的情况下,可采取网闸进行隔离防护。
1.6远程拜访平安
(一)原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络办事。
解读:
基于明文传输的HTTP、FTP、Telnet等网络办事协议容易遭到不法窃听、数据窜改、敏感信息泄露等高平安风险。
因此,在工业控制系统中,需要严格禁止HTTP、FTP、Telnet等高风险通用网络办事面向互联网开通。
(二)确需远程拜访的,采取数据单向拜访控制等战略进行平安加固,对拜访时限进行控制,并采取加标锁定战略。
解读:
远程拜访工业控制系统网络,意味着为黑客开辟了一条攻击工业控制网络的通路,存在极年夜隐患。
但在确需远程拜访的情况下,需要采取数据单向拜访控制等战略进行平安加固,并对拜访时间进行控制,还可以采取加标锁定来限制对机器、设备、工艺和电路的操纵行为。
(三)确需远程维护的,采取虚拟专用网络(VPN)等远程接入方法进行。
解读:
确需远程维护的,采取虚拟专用网络(VPN)等远程接入方法连接,相当于在公用网络上为用户建立了一条专用通道,这条专用通道上的所有通讯数据会被加密处理,并通过对数据包的加密和数据包目标地址转换实现平安的远程拜访。
(四)保存工业控制系统的相关拜访日志,并对操纵过程进行平安审计。
解读:
保存工业控制系统相关拜访日志,可以在产生非授权的远程登录后进行日志阐发。
通过日志中记录到的登入登出、人员账号、拜访时间等信息对非授权登录行为进行追踪、定位,做到有源可溯,并对操纵过程进行平安审计,记录所有操纵行为,做到有据可查。
1.7平安监测和应急预案演练
(一)在工业控制网络安排网络平安监测设备,及时发明、陈述并处理网络攻击或异常行为。
解读:
工控系统网络组成元素单一,不法入侵、歹意代码、维修接入甚至是误操纵都可能招致生产运行的瘫痪或功能丧失,通过安排工控平安监测设备,采取工控协议深度包解析等多种技术,对工业控制网络可能存在的病毒、蠕虫、木马及针对工控网络的攻击行为和误操纵进行实时检测并告警。
(二)在重要工业控制设备前端安排具备工业协议深度包检测功能的防护设备,限制违法操纵。
解读:
重要工业控制设备是工业企业生产核心控制单位,包含PLC、DCS控制器等,核心控制设备的异常将危及生产平安、公众健康甚至社会稳定。
在重要工业控制设备前端安排具备工业协议深度包检测功能的防护设备,对Modbus、S7、Ethernet/IP等主流工控协议进行深度阐发,采取“白名单”机制对发送至重要工控设备的指令进行过滤,根绝违法操纵,并抑制歹意代码及未知攻击行为,包管重要工业控制设备运行平安。
(三)制定工控平安事件应急响应预案,当遭受平安威胁招致工业控制系统呈现异常或故障时,应立即采纳紧急防护办法,避免事态扩年夜,并逐级报送直至属地省级工业和信息化主管部分,同时注意呵护现场,以便进行调查取证。
解读:
工控平安应急响应预案可提高工业控制系统应对突发事件的应急响应能力,最年夜限度减少工控系统的损失及影响,做到“第一时间发明问题,第一时间解决问题”。
应急预案框架应包含应急计划的战略和规程、应急处理流程、系统恢复流程、事后教育和培训、系统备份、系统恢复重建等外容。
同时预案需从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源包管。
在产生平安事件时,应根据应急预案流程采纳平安防护办法,并依照应急预案规程逐级上报至平安主管部分。
同时,应对事故现场进行呵护,便于事后调查取证。
(四)按期对工业控制系统的应急响应预案进行演练,需要时对应急响应预案进行修订。
解读:
通过开展应急演练工作,使各工控企业熟悉应急响应机制、熟练应急响应流程、提高应急响应的处理能力,同时检验应急响应预案的可行性、相关部分的协调与配合能力、相关工作的落实情况以及应急响应所需备用设备的完备情况等,同时应根据应急演练中遇到的问题,对应急演练计划进行及时修订。
小结
《指南》从十一条三十款具体要求宏观描述了工业控制系统信息平安防护的轮廓,面向工控网络真实环境及特殊性提出了多项针对性要求,为工业控制平安防护标准制定、技术研究、评估内容等方面提供了具体依据,尤其对工业控制平安供需双方指明了具体标的目的和思路,便于开展工控平安规划,落地实施。
同时参考《网络平安法》和其他相关法令律例中对监管部分责任、网络攻击组织或个人的惩罚规定,相关行业对生产平安的要求,以及新修订品级呵护标准中对工控平安的相关要求,企业将对如何实施工业控制系统整体平安防护有更完整的思路。
时间2021.03.10
创作:
欧阳治
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 工业控制系统信息安全防护指南 解读 工业 控制系统 信息 安全 防护 指南 欧阳 创编