2021信息安全工程师学习笔记（二十四）

工控安全需求分析与安全保护工程

1、工控系统安全威胁与需求分析

工业控制系统概念：由各种控制组件、监测组件、数据处理与展示组件共同构成的对工业生产过程进行控制和监控的业务流程管控系统；简称工控系统（ICS）；分为离散制造类和过程控制类。控制系统包括：

• SCADA系统。数据采集与监视控制系统。以计算机为基础对远程分布运行的设备进行监控，功能包括数据采集、参数测量和调节。由主终端控制单元（MTU）、通信线路和设备、远程终端单位（RTU）组成；
• 分布式控制系统（DCS）：对生产过程进行分布控制、集中管理的系统；一般包括现场控制级、系统控制级和管理级两/三个层次；
• 过程控制系统（PCS）：实时采集被控设备状态参数进行调节，以保证被控设备保存某一特定状态的控制系统；
• 可编程逻辑控制器（PLC）：主要执行各类运算、顺序控制、定时等指令；
• 主终端设备（MTU）：用于生产过程的信息收集和监测；
• 远程终端设备（RTU）：用于生产过程的信息采集、自动测量记录和传导；
• 人机界面（HMI）：工业控制系统主要采用计算机终端进行人机交互工作；
• 工控通信网络：是各种工业控制设备及组成单元的连接器；

工控系统的安全威胁：

• 自然灾害及环境；
• 内部安全威胁；
• 设备功能安全故障；
• 恶意代码；
• 网络攻击；

工业控制系统安全隐患类型：由传统IT技术及控制技术综合形成的复杂系统；主要安全隐患：

• 工控协议安全；
• 工控系统技术产品安全漏洞；
• 工控系统基础软件安全漏洞；
• 工控系统设备固件漏洞；
• 工控系统算法安全漏洞；
• 工控系统开放接入漏洞；
• 工控系统供应链安全；

工控系统网络信息安全需求顺序：可用性——完整性——保密性；

工控系统的网络信息安全：主要有技术安全要求和管理安全要求；

技术安全：

• 安全物理环境；
• 安全通信网络；
• 安全区域边界；
• 安全计算环境；
• 安全管理中心；

管理安全：

• 安全管理制度；
• 安全管理机构；
• 安全管理人员；
• 安全建设管理；
• 安全运维管理；

2、工控系统安全保护机制与技术

安全隔离类型分为：物理隔离、网络逻辑隔离；

常见的工业控制边界安全防护设备：工业防火墙、工业网闸、单向隔离设备及企业定制的边界安全防护网关；

身份认证与访问控制具体内容：

• 在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理；
• 以最小特权原则分配账户权限；
• 强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码；
• 加强对身份认证证书信息的保护力度；

远程访问安全要求：

• 严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务；
• 采用数据单向访问控制等策略进行安全加固；
• 采用虚拟专用网络（VPN）；
• 对操作过程进行安全审计；

恶意代码防范要求：

• 经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件；
• 建立工业控制系统防病毒和恶意软件入侵管理机制；
• 密切关注重大工控安全漏洞及其补丁发布；

工控数据安全：工业生产数据是工业企业的核心资源。常见的工业数据类型：

• 研发数据：研发设计数据、开放测试数据等；
• 生产数据：控制信息、工况状态、工艺参数、系统日志；
• 运维数据：物流数据、业务统计数据等；
• 外部数据：与其他主体共享的数据等
• 管理数据：系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等；

工控数据安全防护措施：

• 对静态存储和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分级分类管理；
• 定期备份关键业务数据；
• 对测试数据进行保护；

网络安全监测与应急响应相关要求：

• 工业控制网络部署安全监测设备；
• 部署具有工业协议深度包检测功能的防护设备；
• 制定工控安全事件应急响应预案；
• 定期进行演练；
• 对关键设备进行冗余配置；

2017年工业和信息化部发布了《工业控制系统信息安全事件应急管理工作指南》

3、工控系统安全综合应用案例分析

电子监控系统的安全策略：安全分区、网络专用、横向隔离、纵向认证

安全分区：安全区域主要分成生产控制大区和管理信息大区；

• 生产控制大区：分为控制区和非控制区；
• 管理信息大区：若干业务安全区；
• 生产控制大区应当选用安全可靠的硬件防火墙；

网络专用：电力监控系统的调度控制网络采用专用网络；

横向隔离：是电力二次安全防护体系的横向防线；在生产控制大区与管理信息大区之间设置电力专用横向单向安全隔离装置，隔离强度应当接近或达到物理隔离；

纵向认证：采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。在生产控制大区与广域网的纵向连接处设置电力专用纵向加密认证装置或者加密认证网关及相应设施。安全接入内纵向通信应当采用基于非对称密钥技术的单向认证；

工控安全防护厂商方案：主要包含以下几部分：

• InTrust工控可信计算安全平台；
• Guard工业防火墙；
• 中央管理平台（CMP）；
• 安全管理平台（SMP）；