2024年1月30日

天融信安全2.0解读系列三工控安全

作者 admin

随着网络安全等级保护体系2.0国家标准的正式发布,我国网络安全等级保护工作进入了新时代。 在传统系统的基础上,保护对象范围扩展到云计算、移动互联网、物联网、工业控制系统等。 本文具体详细讲解了工业控制的安全扩展需求。

工业控制系统(ICS)广泛应用于电力、水务、石化、交通、制药、烟草、食品加工等涉及国计民生的工业生产领域。 工业控制系统网络架构按照IEC62264-1的层次结构模型进行划分。 从上到下分为5个层次,分别是企业资源层、生产管理层、过程监控层、现场控制层和现场设备层。 不同层实时性要求不同。

工控设备是什么意思_工控其他设备_工控设备包括哪些

企业资源层通常由客户端、服务器等主机设备组成,可按照GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》中的通用要求进行保护。

生产管理层、过程监控层、现场控制层、现场设备层的网络资产类型较多,涉及不同的设备制造商、控制系统制造商、第三方运维制造商。 企业的生产经营受到影响,其安全防护不仅需要按照GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》中的通用要求进行防护,还需要按照工业控制系统的安全扩展要求进行保护。

工业控制系统的安全扩展要求

工控设备是什么意思_工控其他设备_工控设备包括哪些

1、

安全的物理环境

1.1. 室外控制设备的物理保护

a) 室外控制设备应放置在铁板或其他防火材料制成的盒子或装置内并紧固; 箱体或装置具有通风、散热、防盗、防雨、防火的能力; (1级)

解读:本项要求控制系统部署的物理环境安全,保证控制系统的可用性,避免因控制设备停机、线路短路、火灾、盗窃等因素造成其他生产事故,从而影响生产经营。

b) 室外控制设备应放置在远离强电磁干扰、强热源等环境的地方。 如果无法避免,应及时进行应急处理和维护,以保证设备的正常运行。 (1级)

解读:本项要求设备部署的外部环境安全,避免因电磁、高温等环境因素影响控制系统的正常运行。

2、

安全通信网络

2.1. 网络架构

a) 企业的工业控制系统与其他系统应划分为两个区域,区域之间应采用单向技术隔离方法; (1级)

解释:本条目要求生产网络(L0/L1/L2/L3)和信息网络(L4)之间有必要的隔离手段。 这种单向隔离方式主要针对应用层,即数据流实现单向循环,采用只读属性,不允许写操作。

b) 工业控制系统内部应根据业务特点划分不同的安全域,安全域之间应采用技术隔离方法; (1级)

解读:根据工控系统承载的不同业务能力和网络架构,进行合理的分区和域。 通常,具有相同业务特征的控制设备和网络资产划分为独立的区域,不同业务特征的资产设备应划分为不同的安全域,不同区域之间通过工业防火墙分隔。

c) 对于涉及实时控制和数据传输的工业控制系统,应采用独立的网络设备组网,实现与其他数据网络和外部公共信息网络在物理层面的安全隔离。 (2级)

解读:在实时性要求较高的工业场景中,生产网络应与管理网络或其他网络在物理层面隔离,禁止生产网络与其他网络直接通信。

2.2. 通讯传输

如果工业控制系统中采用广域网进行控制命令或相关数据交换,则应采用加密和认证技术来实现身份认证、访问控制和加密数据传输。 (2级)

解读:在工控系统需要通过广域网进行通信的场景下,需要对通信的主/从站采用相应的身份认证手段,在对目标身份进行认证后进行数据交互; 数据交互过程应具有访问控制手段,即对通信五元组进行控制; 生产数据在广域网传输过程中需要加密。

3.

安全区边界

3.1. 访问控制

a) 工控系统与其他企业系统之间应部署访问控制设备,配置访问控制策略,禁止跨区域的通用网络服务,如E-Mail、Web、Telnet、Rlogin、FTP等禁止; (1级)

解读:生产网络、办公网络和管理网络之间应部署访问控制设备,访问控制策略支持常见的IT网络服务,包括电子邮件、Web、Telnet、Rlogin、FTP等。在访问控制策略中,禁用上述通用网络服务,在保证业务正常通信的情况下,本着最小化原则禁用所有其他策略。

b) 当工业控制系统中安全域与安全域之间的边界保护机制出现故障时,应及时发出警报。 (2级)

解读:本文的目的是要求当边境安全管控失灵或失灵时,需要有相应的检测机制,及时向管理者通报上述问题,避免出现大面积的防护盲点。

3.2. 拨号使用控制

a) 工业控制系统确需使用拨号接入服务时,应限制具有拨号访问权限的用户数量,并采取用户身份认证、访问控制等措施; (2级)

解释:本条目旨在限制使用拨号方式进行网络访问的工业控制系统。 在网络访问过程中,用户连接数和会话数都会受到限制。 同时,将对访问者的身份进行验证,并对所有拨号方式的用户访问过程进行控制。

b) 拨号服务器和客户端均应使用安全加固的操作系统,并采取数字证书认证、传输加密、访问控制等措施。 (3级)

解读:本文旨在要求为搭建的拨号网络系统服务器和客户端安装专用的安全加固系统。 同时,服务器与客户端建立通信时,应采用数字证书认证,并且必须对建立的通信内容进行加密,以保证通信内容的保密性和对客户端的访问控制。

c) 涉及实时控制和数据传输的工业控制系统禁止提供拨号接入服务。 (4级)

解读:本条旨在对有实时性要求的工业控制系统采取禁止使用拨号接入服务的政策。 在物理层面实现实时控制和数据传输功能的工业控制系统,不被任何人或个人拨号访问。

3.3. 无线使用控制

a) 所有参与无线通信的用户(人员、软件进程或设备)应被提供唯一的标识和认证; (1级)

解读:本条旨在对无线通信中的身份认证提出要求。 在借助运营商(无线)网络的网络中,需要为通信端(通信应用设备或通信网络设备)建立基于用户的身份(用户)。 名称、证书等),标识唯一,支持该属性的标识; 在工业现场自建无线(WiFi、zigbee等)网络中,通信网络设备在组网过程中应具有唯一标识,并支持该属性的标识。 设备属性被识别。

b) 所有参与无线通信的用户(人员、软件进程或设备)均应被授权并限制执行使用; (2级)

解读:无线通信中的应用设备或网络设备需要支持无线通信策略的授权。 未经授权的设备或应用程序无法访问无线网络; 未经授权的功能无法在无线通信网络中执行响应动作,授权用户需要拥有权限。 控制策略。

c) 无线通信应采用传输加密的安全措施,实现传输消息的机密性保护; (3级)

解读:无线通信过程中,消息需要加密。 加密方式可分为脱敏加密或私有协议加密,以保证通信过程的保密性。

d) 使用无线通信技术进行控制的工业控制系统应能够识别在其物理环境中发出的未经授权的无线设备,并报告未经授权的访问或干扰控制系统的尝试。 (3级)

解读:在应用无线通信技术的工业生产环境中,应存在对工业环境中其他未授权无线设备的射频信号进行识别和检测的应用,并对未授权的无线访问行为和应用进行审计、报警和联动控制,避免无线信号干扰影响生产,防止未经授权的用户通过无线门禁系统破坏生产。

4.

安全计算环境

4.1. 控制设备安全

a) 控制设备本身应达到相应级别通用安全要求提出的身份认证、访问控制、安全审计等安全要求。 控制设备因条件限制不能达到上述要求的,其上级控制或管理设备应实现相同的功能或通过管理手段控制; (1级)

解读:控制设备应满足相应级别的通用安全要求; 考虑到控制系统的自主可控范围较低,当其本身不满足上述条件时,必须通过上级控制系统或其他管理设备来实现上述要求。

b) 经过充分的测试和评估,在不影响系统安全稳定运行的情况下,应对控制设备进行补丁和更新; (1级)

解读:考虑到工业生产环境的特殊性(应用兼容性较弱),对控制设备进行补丁更新、固件更新时,需要对控制系统进行充分验证、兼容性测试、评估,然后停产维护。 对系统进行更新升级,保证控制系统的可用性。

c) 控制设备的软盘驱动器、光驱、USB接口、串口或冗余网口等应关闭或拆除,确需保留的,应通过相关部门实施严格的监控和管理。技术措施; (3级)

解读:由于工业生产环境脆弱,为了避免通过不必要的外围接口对工业系统造成损害,需要拆除或屏蔽软驱、光驱、USB接口、串口以及冗余网络控制设备的端口。 对具备拆除条件或者确实需要保留的,要通过管理措施严格控制。

d) 控制设备应更新专用设备和专用软件; (3级)

解读:控制设备的更新需要使用专用硬件来保证运维版本控制,控制系统的更新都是专用软件。

e) 应确保控制设备上线前经过安全测试,避免控制设备固件中存在恶意代码程序。 (3级)

解读:控制设备上线前需要进行漏洞检测和恶意代码检测。

5.

安全施工管理

5.1. 产品购买及使用

工业控制系统的重要设备应经过专业机构的安全测试合格后购买和使用。 (2级)

解读:本条目旨在要求工业企业在采购重要关键控制系统或信息安全产品时,了解产品是否通过了国家相关认证标准,并在相关专业机构进行了安全检测。 目的是防止此类设备在运行过程中出现故障影响正常生产。

5.2. 外包软件开发

外包开发合同中应规定对开发单位和供应商的约束,包括设备和系统在生命周期内的保密、禁止关键技术扩散、设备行业特定内容等。 (2级)

解读:该条是指工业企业进行外包项目时,应当与外包公司、控制设备提供商签订保密协议或合同,确保其不会将项目的重要施工流程和内容公开和重复利用案子。 施工期间工业企业敏感信息、重要信息等内容不会泄露。

天融信在工控安全方面积累了多年的实践经验。 是等级保护2.0国家标准的参与者、工控安全产品和服务的提供商、等级保护体系的支持者。 结合工控系统业务实际情况,根据等级安全2.0国标总体要求和工控安全扩展要求,提出“白环境行为基线”工控系统安全体系,可为用户提供满足合规性、保障业务运营计划持续稳定的工控安全整体解决方案。

天融信解决方案

工控设备是什么意思_工控设备包括哪些_工控其他设备