比亞迪是一家致力于“用技術(shù)創(chuàng)新，滿足人們對(duì)美好生活的向往”的高新技術(shù)企業(yè)。比亞迪成立于1995年2月，經(jīng)過(guò)24年的高速發(fā)展，已由成立之初的20人壯大到今天的24萬(wàn)人，并在全球設(shè)立30多個(gè)工業(yè)園，實(shí)現(xiàn)全球六大洲的戰(zhàn)略布局。比亞迪業(yè)務(wù)布局涵蓋電子、汽車、新能源和軌道交通等領(lǐng)域，并在這些領(lǐng)域發(fā)揮著舉足輕重的作用，從能源的獲取、存儲(chǔ)，再到應(yīng)用，全方位構(gòu)建零排放的新能源整體解決方案。比亞迪是香港和深圳上市公司，營(yíng)業(yè)額和總市值均超過(guò)千億元。
在工業(yè)信息安全領(lǐng)域，以集團(tuán)管控為核心，通過(guò)辦公自動(dòng)化、財(cái)務(wù)一體化、內(nèi)控風(fēng)險(xiǎn)管控等管理信息系統(tǒng)為主要建設(shè)對(duì)象，提高辦公效率、實(shí)現(xiàn)全集團(tuán)有效監(jiān)控。公司對(duì)兩化融合工作進(jìn)行系統(tǒng)、全面的整體規(guī)劃，按照“統(tǒng)一規(guī)劃、分布實(shí)施”的總體實(shí)施策略，制定了分階段的兩化融合可實(shí)施路線。通過(guò)合理規(guī)劃和有序?qū)嵤瑯?gòu)建出行業(yè)領(lǐng)先的工程機(jī)械全產(chǎn)業(yè)鏈信息化業(yè)務(wù)管理平臺(tái)，實(shí)現(xiàn)了技術(shù)融合、產(chǎn)品融合、業(yè)務(wù)融合與資源融合，取得了在產(chǎn)品全生命周期集成應(yīng)用、業(yè)務(wù)模式創(chuàng)新等方面的系列成果。
一、項(xiàng)目概況
1. 項(xiàng)目背景
由于工業(yè)控制系統(tǒng)（以下簡(jiǎn)稱工控系統(tǒng)）上位機(jī)操作系統(tǒng)老舊且長(zhǎng)期運(yùn)行未升級(jí)，存在很多的安全隱患，病毒問(wèn)題一直是威脅工控系統(tǒng)主機(jī)安全的一個(gè)棘手問(wèn)題，從震網(wǎng)病毒到2017年末的工業(yè)破壞者，這些如幽靈般游蕩在工控系統(tǒng)網(wǎng)絡(luò)中的殺手總是伺機(jī)而動(dòng)，一旦得手就會(huì)帶來(lái)巨大的危害。
2. 項(xiàng)目簡(jiǎn)介
制造產(chǎn)線遭受病毒侵襲，生產(chǎn)制造產(chǎn)線幾臺(tái)上位機(jī)莫名出現(xiàn)頻繁藍(lán)屏死機(jī)現(xiàn)象，并迅速蔓延至整個(gè)生產(chǎn)園區(qū)內(nèi)大部分上位機(jī)，產(chǎn)線被迫停止生產(chǎn)。企業(yè)日產(chǎn)值超千萬(wàn)，停產(chǎn)直接損失嚴(yán)重，信息安全部門采取了若干緊急處理措施，防止病毒擴(kuò)散的同事，盡快解決問(wèn)題恢復(fù)生產(chǎn)，同時(shí)尋求安全廠商共同制定長(zhǎng)期有效的安全解決方案。
3. 項(xiàng)目目標(biāo)
解決生產(chǎn)廠區(qū)感染W(wǎng)annaCry病毒帶來(lái)的藍(lán)屏重啟問(wèn)題，提升上位機(jī)的主動(dòng)防御能力，實(shí)現(xiàn)上位機(jī)從啟動(dòng)、加載到持續(xù)運(yùn)行過(guò)程的全生命周期安全保障。
二、項(xiàng)目實(shí)施概況
1. 安全問(wèn)題研判
工業(yè)現(xiàn)場(chǎng)的上位機(jī)大多老舊，服役10年以上仍在運(yùn)行的主機(jī)也很常見(jiàn)，而工業(yè)現(xiàn)場(chǎng)的相對(duì)封閉性，使得補(bǔ)丁升級(jí)、病毒處理變成一件很復(fù)雜的事情。工業(yè)生產(chǎn)的穩(wěn)定性往往會(huì)面臨上位機(jī)脆弱性的挑戰(zhàn)，一旦感染病毒就會(huì)造成巨大影響。
企業(yè)生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)連通，未部署安全防護(hù)措施進(jìn)行隔離；生產(chǎn)制造產(chǎn)線上位機(jī)運(yùn)行異常，重復(fù)重啟或藍(lán)屏，初步斷定為病毒入侵。
由于上位機(jī)操作系統(tǒng)都是老舊的Windows XP，感染病毒之后頻繁藍(lán)屏重啟，無(wú)法在問(wèn)題終端采樣進(jìn)行病毒分析。在生產(chǎn)網(wǎng)絡(luò)核心交換機(jī)位置旁路部署工業(yè)安全檢查評(píng)估系統(tǒng)對(duì)生產(chǎn)網(wǎng)絡(luò)數(shù)據(jù)流量進(jìn)行檢測(cè)，基于安全大數(shù)據(jù)能力生成多維度海量惡意威脅情報(bào)數(shù)據(jù)庫(kù)，對(duì)工業(yè)控制網(wǎng)絡(luò)進(jìn)行自動(dòng)化數(shù)據(jù)采集與關(guān)聯(lián)分析，識(shí)別網(wǎng)絡(luò)中存在的各種安全威脅。借助工業(yè)安全檢查評(píng)估系統(tǒng)的強(qiáng)大檢測(cè)分析能力，安服人員很快判定該上位機(jī)感染了“永恒之藍(lán)”蠕蟲(chóng)病毒（也稱為WannaCry）。
比亞迪生產(chǎn)環(huán)境有如下復(fù)雜的特性：
（1）場(chǎng)景復(fù)雜性
比亞迪有IT、汽車、新能源和軌道交通四大產(chǎn)業(yè)，每個(gè)產(chǎn)業(yè)群都有多個(gè)生產(chǎn)工廠、車間，如：電池、電子、手機(jī)、PAD、筆記本電腦、汽車電子、汽車零配件、發(fā)動(dòng)機(jī)、動(dòng)力電池、儲(chǔ)能設(shè)備、云軌、云巴、軌道通信等多達(dá)上百個(gè)大大小小的車間。
（2）應(yīng)用復(fù)雜性
公司生產(chǎn)應(yīng)用系統(tǒng)、軟件復(fù)雜多樣，MES、PLC、DCS等等，不同的產(chǎn)業(yè)群、產(chǎn)品車間，都有不同的產(chǎn)品測(cè)試、檢測(cè)、調(diào)校、數(shù)據(jù)采集、分析等各類生產(chǎn)應(yīng)用。
（3）網(wǎng)絡(luò)復(fù)雜性
管理層面已規(guī)劃辦公網(wǎng)絡(luò)、生產(chǎn)網(wǎng)絡(luò)、無(wú)線網(wǎng)絡(luò)、有線網(wǎng)絡(luò)、獨(dú)立局域網(wǎng)絡(luò)，但很多生產(chǎn)網(wǎng)絡(luò)環(huán)境并沒(méi)有嚴(yán)格隔離，網(wǎng)絡(luò)情況復(fù)雜。
（4）適配復(fù)雜性
各種IT、汽車、儲(chǔ)能、軌道交通車間的檢測(cè)機(jī)、測(cè)試板卡、數(shù)據(jù)采集卡、燒錄器、U盤、SD卡、掃描器等外設(shè)設(shè)備的適配。
（5）實(shí)施復(fù)雜性
集團(tuán)產(chǎn)業(yè)多樣、工業(yè)園分布全球各地，生產(chǎn)車間業(yè)務(wù)繁忙，給予的時(shí)間、人員協(xié)調(diào)有限，必須要準(zhǔn)備充分，根據(jù)不同生產(chǎn)線準(zhǔn)備對(duì)應(yīng)的應(yīng)急響應(yīng)措施。
在信息安全技術(shù)方面存在的問(wèn)題主要表現(xiàn)在以下幾個(gè)方面：
系統(tǒng)網(wǎng)絡(luò)未進(jìn)行嚴(yán)格的安全劃分，區(qū)域間未設(shè)置嚴(yán)格的訪問(wèn)控制措施；
缺少信息安全風(fēng)險(xiǎn)監(jiān)控技術(shù)，不能及時(shí)發(fā)現(xiàn)信息安全問(wèn)題，出現(xiàn)問(wèn)題后靠人員經(jīng)驗(yàn)排除；
操作系統(tǒng)安全配置薄弱，防病毒軟件安裝不全面；
工程師缺少身份認(rèn)證和接入控制，且權(quán)限很大；
存在使用移動(dòng)存儲(chǔ)介質(zhì)不規(guī)范問(wèn)題，易引入病毒及黑客攻擊程序；
第三方運(yùn)維生產(chǎn)系統(tǒng)無(wú)審計(jì)措施，不能追根溯源；
生產(chǎn)上線前未進(jìn)行信息安全測(cè)試，存在安全風(fēng)險(xiǎn)漏洞；
在信息安全管理方面存在的問(wèn)題主要表現(xiàn)在以下幾個(gè)方面：
組織結(jié)構(gòu)人員職責(zé)不完善，工控安全人員缺乏；
生產(chǎn)信息安全管理制度和流程不夠完善；
應(yīng)急響應(yīng)機(jī)制不健全，需進(jìn)一步提供安全事件應(yīng)對(duì)能力；
人員信息安全培訓(xùn)不足，人員安全意識(shí)有待提高；
尚需完善第三方人員管理體制。
2. 對(duì)策與措施
安服人員發(fā)現(xiàn)上位機(jī)感染W(wǎng)annaCry病毒之后，為了避免上位機(jī)中數(shù)據(jù)被加密帶來(lái)進(jìn)一步的危害，緊急在生產(chǎn)網(wǎng)絡(luò)中部署一臺(tái)偽裝病毒服務(wù)器，域名設(shè)定為病毒網(wǎng)站，并通過(guò)策略設(shè)置將生產(chǎn)網(wǎng)上位機(jī)DNS指向此偽裝服務(wù)器，阻止了WannaCry病毒的后續(xù)影響。
企業(yè)生產(chǎn)園區(qū)占地范圍很大，感染病毒的上位機(jī)幾乎遍布各個(gè)園區(qū)，單純依靠人力難以逐一定位問(wèn)題終端。工業(yè)安全檢查評(píng)估工具在此過(guò)程中發(fā)揮了巨大作用，不僅給出了感染病毒的準(zhǔn)確研判，而且詳細(xì)統(tǒng)計(jì)出所有問(wèn)題終端的IP地址和MAC地址，結(jié)合企業(yè)提供的資產(chǎn)清單，安服人員和廠方技術(shù)人員很快確定了絕大部分問(wèn)題終端的具體位置。
完成定位之后，安服人員第一時(shí)間關(guān)閉了網(wǎng)絡(luò)和終端的445端口，避免病毒進(jìn)一步擴(kuò)散。經(jīng)過(guò)現(xiàn)場(chǎng)細(xì)致排查溝通，確定以下信息：
（1）上位機(jī)硬件配置資源有限，無(wú)法安裝殺毒軟件；
（2）專用的生產(chǎn)軟件對(duì)操作系統(tǒng)版本有嚴(yán)格限制，無(wú)法對(duì)操作系統(tǒng)進(jìn)行打補(bǔ)丁操作；
（3）重裝系統(tǒng)會(huì)導(dǎo)致專用軟件授權(quán)失效，帶來(lái)經(jīng)濟(jì)損失。
結(jié)合上述信息，安服人員只能對(duì)問(wèn)題終端采取殺毒處理。為了避免殺毒過(guò)程中對(duì)上位機(jī)系統(tǒng)和數(shù)據(jù)造成影響，安服人員首先備份了問(wèn)題終端系統(tǒng)及數(shù)據(jù)，然后用WannaCry病毒專殺工具進(jìn)行殺毒處理，清除感染的病毒。
3. 具體應(yīng)用場(chǎng)景和解決方案
為了避免處理完成的上位機(jī)再次感染病毒，安服人員在上位機(jī)上部署安裝了工業(yè)主機(jī)安全防護(hù)軟件，該軟件基于輕量級(jí)“應(yīng)用程序白名單”技術(shù)，能夠智能學(xué)習(xí)并自動(dòng)生成工業(yè)主機(jī)操作系統(tǒng)及專用工業(yè)軟件正常行為模式的“白名單”防護(hù)基線，放行正常的操作系統(tǒng)進(jìn)程及專用工業(yè)軟件，主動(dòng)阻斷未知程序、木馬病毒、惡意軟件、攻擊腳本等運(yùn)行，為工業(yè)主機(jī)創(chuàng)建干凈安全的運(yùn)行環(huán)境。同時(shí)，針對(duì)可聯(lián)網(wǎng)的上位機(jī)，通過(guò)部署網(wǎng)絡(luò)版的工業(yè)主機(jī)安全防護(hù)軟件進(jìn)行分組管理、策略制定下發(fā)、終端軟硬件資產(chǎn)管理、安全日志收集告警等，從而實(shí)現(xiàn)統(tǒng)一管理、配置和安全風(fēng)險(xiǎn)管控。
圖1 工業(yè)主機(jī)安全防護(hù)部署架構(gòu)圖
4. 其他亮點(diǎn)
（1）工業(yè)專用的主機(jī)防護(hù)軟件：
針對(duì)比亞迪工業(yè)主機(jī)復(fù)雜性特點(diǎn)，工業(yè)主機(jī)防護(hù)系統(tǒng)須進(jìn)行老舊操作系統(tǒng)（如winXP）的兼容、比亞迪工業(yè)軟件C15/MES系統(tǒng)、專用的電池軟件等幾十種工業(yè)軟件的適配支持以及各類工業(yè)主機(jī)硬件的支持。
比亞迪生產(chǎn)線上工控系統(tǒng)不允許在運(yùn)行期間進(jìn)行升級(jí)，白名單技術(shù)無(wú)需進(jìn)行病毒庫(kù)升級(jí)，能夠智能學(xué)習(xí)并自動(dòng)生成工業(yè)主機(jī)操作系統(tǒng)及專用工業(yè)軟件正常行為模式的“白名單”防護(hù)基線，并且白名單支持三種工作模式，告警、防護(hù)、關(guān)閉一鍵切換。
（2）工業(yè)主機(jī)“永恒之藍(lán)”防御：
針對(duì)比亞迪的“永恒之藍(lán)”勒索病毒，白名單在防護(hù)模式下會(huì)放行正常的操作系統(tǒng)進(jìn)程及專用工業(yè)軟件，主動(dòng)阻斷未知程序、木馬病毒、惡意軟件、攻擊腳本等運(yùn)行，同時(shí)結(jié)合漏洞防御進(jìn)行永恒之藍(lán)的超前防御，可以形成關(guān)卡一樣層層攔截模式。
針對(duì)比亞迪生產(chǎn)線上通過(guò)U盤進(jìn)行文件拷貝容易造成病毒傳播的情況，工業(yè)主機(jī)安全防護(hù)可針對(duì)主機(jī)插入的USB移動(dòng)存儲(chǔ)進(jìn)行權(quán)限管控，通過(guò)針對(duì)USB移動(dòng)存儲(chǔ)的硬件ID進(jìn)行識(shí)別和匹配，對(duì)所允許的外設(shè)進(jìn)行權(quán)限管控（讀和讀寫），對(duì)不允許的外設(shè)進(jìn)行禁用。從而，避免工業(yè)主機(jī)通過(guò)USB移動(dòng)存儲(chǔ)進(jìn)行病毒傳播和非法外設(shè)進(jìn)行文件讀取。
（3）工業(yè)資產(chǎn)全面可見(jiàn)
針對(duì)比亞迪生產(chǎn)線中工業(yè)主機(jī)資產(chǎn)難以梳理，并依靠手工登記匯總的情況，工業(yè)主機(jī)防護(hù)具有強(qiáng)大的終端發(fā)現(xiàn)功能，通過(guò)定義網(wǎng)絡(luò)IP段分組，對(duì)指定的網(wǎng)絡(luò)分組進(jìn)行周期性地發(fā)現(xiàn)與統(tǒng)計(jì)網(wǎng)絡(luò)中的終端數(shù)量及類型。從而了解生產(chǎn)線上工業(yè)主機(jī)數(shù)量和工業(yè)主機(jī)安全防護(hù)系統(tǒng)終端的安裝量，為比亞迪進(jìn)行工業(yè)主機(jī)管理和安全運(yùn)維提供有效的參考。
比亞迪生產(chǎn)線中，當(dāng)存在大量工業(yè)主機(jī)、設(shè)備時(shí)，尤其出現(xiàn)安全風(fēng)險(xiǎn)或問(wèn)題時(shí)，需要一臺(tái)一臺(tái)主機(jī)和設(shè)備進(jìn)行安全排查，工業(yè)主機(jī)防護(hù)具有軟件化的控制中心，可以針對(duì)主機(jī)上客戶端進(jìn)行集中管理和安全風(fēng)險(xiǎn)分析，基于用戶組織架構(gòu)進(jìn)行安全風(fēng)險(xiǎn)管理并可以進(jìn)行終端功能進(jìn)行單點(diǎn)維護(hù)和定制化。
三、下一步實(shí)施計(jì)劃
1. 進(jìn)行全面的資產(chǎn)排查，檢查產(chǎn)線中是否還存在遺漏的未進(jìn)行安全防護(hù)的工業(yè)主機(jī)。
2. 做好此次事件的總結(jié)，制定好工控應(yīng)急響應(yīng)計(jì)劃和定期演練，避免再次出現(xiàn)病毒大規(guī)模擴(kuò)散傳播，及造成產(chǎn)線停產(chǎn)帶來(lái)的嚴(yán)重經(jīng)濟(jì)損失。
3. 針對(duì)新購(gòu)置和上線的機(jī)器進(jìn)行安全防護(hù)措施，如上線前安裝工業(yè)主機(jī)安全防護(hù)軟件并進(jìn)行白名單設(shè)置和U盤管控。
四、項(xiàng)目創(chuàng)新點(diǎn)和應(yīng)用價(jià)值
1. 項(xiàng)目先進(jìn)性及創(chuàng)新點(diǎn)
工業(yè)安全檢查評(píng)估工具和工業(yè)主機(jī)防護(hù)軟件是解決工業(yè)主機(jī)脆弱性問(wèn)題的一劑良藥。工業(yè)主機(jī)安全防護(hù)軟件基于輕量級(jí)“應(yīng)用程序白名單”技術(shù)，以及基于ID的U盤管控技術(shù)，高穩(wěn)定、低開(kāi)銷、無(wú)需升級(jí)庫(kù)文件、網(wǎng)絡(luò)版資產(chǎn)管理及安全風(fēng)險(xiǎn)管理等特點(diǎn)，真正貼合了工業(yè)企業(yè)的實(shí)際需求，操作簡(jiǎn)單的特點(diǎn)也符合生產(chǎn)技術(shù)人員的操作習(xí)慣。該方案能夠適用于大部分工業(yè)控制系統(tǒng)，是一套成熟可靠的安全解決方案。
2. 實(shí)施效果
針對(duì)比亞迪 “永恒之藍(lán)”的安全問(wèn)題，通過(guò)在全國(guó)各地園區(qū)生產(chǎn)線上共計(jì)部署17000多點(diǎn)工業(yè)主機(jī)安全防護(hù)軟件，自部署以來(lái)運(yùn)行穩(wěn)定。通過(guò)工業(yè)主機(jī)安全防護(hù)軟件，能夠自動(dòng)生成工業(yè)主機(jī)操作系統(tǒng)及專用工業(yè)軟件正常行為模式的“白名單”防護(hù)基線，以及針對(duì)單個(gè)U盤的管控，為比亞迪工業(yè)主機(jī)創(chuàng)建安全的運(yùn)行環(huán)境，讓比亞迪信息基礎(chǔ)設(shè)施運(yùn)行的更安全、更可靠。
在比亞迪所有園區(qū)生產(chǎn)線中工業(yè)主機(jī)均部署了工業(yè)主機(jī)防護(hù)軟件：
對(duì)生產(chǎn)線中裸奔的工業(yè)主機(jī)實(shí)現(xiàn)了安全防護(hù)，防止惡意程序攻擊，保障生產(chǎn)穩(wěn)定運(yùn)行；
對(duì)生產(chǎn)線中工業(yè)主機(jī)進(jìn)行了全面梳理，有利于實(shí)現(xiàn)資產(chǎn)統(tǒng)計(jì)和分析；
對(duì)生產(chǎn)線中的可聯(lián)網(wǎng)工業(yè)主機(jī)進(jìn)行全面風(fēng)險(xiǎn)監(jiān)控和集中管理，能夠在第一時(shí)間發(fā)現(xiàn)工業(yè)主機(jī)安全風(fēng)險(xiǎn)；
積攢了生產(chǎn)線中工業(yè)主機(jī)軟件安裝和生產(chǎn)之間的協(xié)調(diào)經(jīng)驗(yàn)，有利于后續(xù)產(chǎn)線工業(yè)軟件安裝和處置。
3. 實(shí)施價(jià)值
（1）整體化的安全方案
從設(shè)備安全來(lái)看，從技術(shù)層面出發(fā)，全網(wǎng)終端形成了統(tǒng)一的防病毒體系，有效抵御病毒及木馬的入侵，并結(jié)合終端管理軟件對(duì)終端進(jìn)行集中管理，安全策略集中部署、補(bǔ)丁下發(fā)控制、資產(chǎn)收集統(tǒng)計(jì)、終端行為控制與審計(jì)、流氓軟件識(shí)別、安全控制等方面進(jìn)行了整體部署。
從管理角度出發(fā)，工控態(tài)勢(shì)感知、漏洞檢測(cè)、安全審計(jì)和監(jiān)測(cè)、功能的引入將實(shí)現(xiàn)對(duì)全網(wǎng)工控行為、漏洞、狀態(tài)、安全趨勢(shì)的完全管理。
從運(yùn)維安全角度來(lái)看， 規(guī)范本行操作人員和第三方代維廠商的操作行為。審計(jì)和監(jiān)測(cè)系統(tǒng)的部署，使得所有系統(tǒng)管理人員，第三方系統(tǒng)維護(hù)人員通過(guò)實(shí)施網(wǎng)絡(luò)管理和服務(wù)器維護(hù)，對(duì)所有的操作行為，都做到可記錄、可控制，審計(jì)人員通過(guò)定期對(duì)維護(hù)人員的操作審計(jì)，可以提高維護(hù)人員的操作規(guī)范性。
（2）針對(duì)性的區(qū)域隔離防護(hù)能力
在各個(gè)地區(qū)與總部之間分別部署安全防火墻，實(shí)現(xiàn)工業(yè)園級(jí)的病毒安全防護(hù)隔離，實(shí)現(xiàn)網(wǎng)絡(luò)分層分區(qū)，邊界訪問(wèn)控制。
（3）符合工控安全防護(hù)指南要求
方案針對(duì)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》所提出安全建議，對(duì)應(yīng)實(shí)現(xiàn)的安全防護(hù)見(jiàn)表格中內(nèi)容。
1、物理安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
| 一、安全軟件選擇與管理 | 建立防病毒和惡意軟件入侵管理機(jī)制，對(duì)工業(yè)控制系統(tǒng)及臨時(shí)接入的設(shè)備采取病毒查殺等安全預(yù)防措施。 | 在工作站、服務(wù)器布置防病毒的白名單軟件。 |
| 二、配置和補(bǔ)丁管理 | 做好工業(yè)控制網(wǎng)絡(luò)、工業(yè)主機(jī)和工業(yè)控制設(shè)備的安全配置，建立工業(yè)控制系統(tǒng)配置清單，定期進(jìn)行配置審計(jì)。 | 部署安全配置核查系統(tǒng)，對(duì)系統(tǒng)各類設(shè)備進(jìn)行安全配置核查設(shè)計(jì)，對(duì)于安全配置較差的設(shè)備，在保證生產(chǎn)的前提下進(jìn)行安全配置變更。 |
| 密切關(guān)注重大工控信息安全漏洞及其補(bǔ)丁發(fā)布，即使采取補(bǔ)丁升級(jí)措施。在補(bǔ)丁安裝前，需對(duì)補(bǔ)丁進(jìn)行嚴(yán)格的安全評(píng)估和測(cè)試驗(yàn)證。 | 部署工控漏洞掃描系統(tǒng)，及時(shí)發(fā)現(xiàn)工作站、服務(wù)器、網(wǎng)絡(luò)設(shè)備及工控設(shè)備中存在的安全漏洞，定期更新漏洞庫(kù)。 |
2、網(wǎng)絡(luò)安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
| 三 邊界安全防護(hù) | 通過(guò)工業(yè)控制網(wǎng)絡(luò)邊界防護(hù)設(shè)備對(duì)工業(yè)控制網(wǎng)絡(luò)與企業(yè)網(wǎng)或互聯(lián)網(wǎng)之間的邊界進(jìn)行安全防護(hù)，禁止沒(méi)有防護(hù)的工業(yè)控制網(wǎng)絡(luò)與互聯(lián)網(wǎng)連接。 | 網(wǎng)絡(luò)出口位置部署安全防火墻，實(shí)現(xiàn)各園區(qū)網(wǎng)絡(luò)邊界的防護(hù)。 |
| 通過(guò)工業(yè)防火墻、網(wǎng)閘等防護(hù)設(shè)備對(duì)工業(yè)控制網(wǎng)絡(luò)安全區(qū)域之間進(jìn)行邏輯隔離安全防護(hù)。 |
3、主機(jī)安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
一、安全軟件選擇與管理 | 建立防病毒和惡意軟件入侵管理機(jī)制，對(duì)工業(yè)控制系統(tǒng)及臨時(shí)接入的設(shè)備采取病毒查殺等安全預(yù)防措施。 | 在工作站、服務(wù)器布置防病毒的白名單軟件 |
二、配置和補(bǔ)丁管理 | 做好工業(yè)控制網(wǎng)絡(luò)、工業(yè)主機(jī)和工業(yè)控制設(shè)備的安全配置，建立工業(yè)控制系統(tǒng)配置清單，定期進(jìn)行配置審計(jì)。 | 部署安全配置核查系統(tǒng)，對(duì)系統(tǒng)各類設(shè)備進(jìn)行安全配置核查設(shè)計(jì)，對(duì)于安全配置較差的設(shè)備，在保證生產(chǎn)的前提下進(jìn)行安全配置變更。 |
| 密切關(guān)注重大工控信息安全漏洞及其補(bǔ)丁發(fā)布，即使采取補(bǔ)丁升級(jí)措施。在補(bǔ)丁安裝前，需對(duì)補(bǔ)丁進(jìn)行嚴(yán)格的安全評(píng)估和測(cè)試驗(yàn)證。 | 部署工控漏洞掃描系統(tǒng)，及時(shí)發(fā)現(xiàn)工作站、服務(wù)器、網(wǎng)絡(luò)設(shè)備及工控設(shè)備中存在的安全漏洞，定期更新漏洞庫(kù)。 |
4、工業(yè)控制設(shè)備安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
| 二、配置和補(bǔ)丁管理
| 密切關(guān)注重大工控信息安全漏洞及其補(bǔ)丁發(fā)布，即使采取補(bǔ)丁升級(jí)措施。在補(bǔ)丁安裝前，需對(duì)補(bǔ)丁進(jìn)行嚴(yán)格的安全評(píng)估和測(cè)試驗(yàn)證。 | 部署工控漏洞掃描系統(tǒng)，及時(shí)發(fā)現(xiàn)工作站、服務(wù)器、網(wǎng)絡(luò)設(shè)備及工控設(shè)備中存在的安全漏洞，定期更新漏洞庫(kù)。 |
二、安全監(jiān)測(cè)和應(yīng)急預(yù)案演練 | 在重要工業(yè)設(shè)備前端部署具備工業(yè)協(xié)議深度包檢測(cè)功能的防護(hù)設(shè)備，限制違法操作。 | 在工業(yè)子系統(tǒng)的控制設(shè)備前端部署適用于工業(yè)現(xiàn)場(chǎng)的專用防火墻。 |
5、應(yīng)用安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
五、身份認(rèn)證 | 強(qiáng)化工業(yè)控制設(shè)備、工控軟件、工業(yè)通信設(shè)備等的登錄賬戶及密碼，避免使用默認(rèn)口令和弱口令，定期更新口令。 | 部署堡壘機(jī)等第三方身份認(rèn)證措施。 |
6、數(shù)據(jù)安全
| 防護(hù)指南 | 具體內(nèi)容 | 防護(hù)措施 |
| 九、數(shù)據(jù)安全 | 1、對(duì)測(cè)試數(shù)據(jù)進(jìn)行保護(hù)。 2、對(duì)靜態(tài)存儲(chǔ)和動(dòng)態(tài)傳輸過(guò)程中的重要工業(yè)數(shù)據(jù)進(jìn)行保護(hù)，根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)數(shù)據(jù)信息進(jìn)行分級(jí)分類管理。 | 部署數(shù)據(jù)防泄密系統(tǒng)，對(duì)重要數(shù)據(jù)進(jìn)行加密和管控，防止重要數(shù)據(jù)的外泄和破壞。 |