熱線(xiàn)電話(huà)：
? ??400-0351-366
解決方案
SOLUTION
- 煤炭行業(yè)
- 焦化行業(yè)
- 冶金行業(yè)
- 電力行業(yè)
- 大數(shù)據(jù)安全保密應(yīng)用行業(yè)
- 物聯(lián)網(wǎng)安全應(yīng)用行業(yè)
- 教育行業(yè)
- 醫(yī)療行業(yè)
煤礦行業(yè)工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
煤炭工業(yè)控制系統(tǒng)是整個(gè)煤炭企業(yè)安全生產(chǎn)監(jiān)控系統(tǒng)信息的集成，它需要一個(gè)快速、安全、可靠的網(wǎng)絡(luò)平臺(tái)為大量的信息流動(dòng)提供支撐，同時(shí)要有一個(gè)功能全面的安全生產(chǎn)信息應(yīng)用系統(tǒng)為礦井安全生產(chǎn)提供科學(xué)調(diào)度、決策的依據(jù)。做好煤炭企業(yè)工控安全建設(shè)是實(shí)現(xiàn)生產(chǎn)安全的必要保障。
綜合自動(dòng)化系統(tǒng)是指在工業(yè)生產(chǎn)、管理、經(jīng)營(yíng)過(guò)程中，通過(guò)信息基礎(chǔ)設(shè)施，在集成平臺(tái)上，實(shí)現(xiàn)信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進(jìn)和自動(dòng)控制、通訊、信息技術(shù)和現(xiàn)化管理技術(shù)結(jié)合，將企業(yè)的生產(chǎn)過(guò)程控制、運(yùn)行與管理作為一個(gè)整體進(jìn)行控制與管理，提供整體解決方案，以實(shí)現(xiàn)企業(yè)的優(yōu)化運(yùn)行、控制和管理。
二、安全分析
（1）缺乏整體信息安全規(guī)劃；
（2）缺乏工控安全管理制度、應(yīng)急預(yù)案、培訓(xùn)與意識(shí)培養(yǎng)；
（3）調(diào)度人員有時(shí)通過(guò)連通互聯(lián)網(wǎng)的手機(jī)在調(diào)度室主機(jī)U口上充電，導(dǎo)致生產(chǎn)網(wǎng)絡(luò)通過(guò)手機(jī)被打通，造成邊界模糊。
（4）主機(jī)操作系統(tǒng)老舊，從不升級(jí)，極易出現(xiàn)安全漏洞和缺陷；新建系統(tǒng)主機(jī)雖然會(huì)安裝殺毒軟件，但是為保障生產(chǎn)運(yùn)行，殺毒軟件一般處于關(guān)閉狀態(tài)，這些都存在安全隱患，無(wú)法防御“0-DAY”病毒和勒索病毒。
（5）調(diào)度人員或運(yùn)維人員使用帶有病毒的U盤(pán)插入主機(jī)中，造成整個(gè)網(wǎng)絡(luò)感染病毒。
（6）煤炭生產(chǎn)現(xiàn)場(chǎng)PLC多為西門(mén)子或AB的產(chǎn)品，而PLC本身存在漏洞，西門(mén)子和AB近些年被曝出存在高危漏洞，攻擊者可以利用漏洞控制現(xiàn)場(chǎng)設(shè)備，執(zhí)行錯(cuò)誤命令，嚴(yán)重影響安全生產(chǎn)。
（7）黑客也可通過(guò)技術(shù)手段潛入生產(chǎn)網(wǎng)絡(luò)，獲取關(guān)鍵生產(chǎn)數(shù)據(jù)，牟取利益。
三、煤礦行業(yè)工控系統(tǒng)安全防護(hù)解決方案
安全防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
? 部署工控安全綜合監(jiān)管平臺(tái)、工業(yè)安全防火墻，深度解析工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻運(yùn)行狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)；
? 在操作員站和工程師站部署工控主機(jī)安全防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為；
? 部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞；
? 采用工控安全隔離網(wǎng)閘設(shè)備，物理隔離煤礦辦公網(wǎng)和生產(chǎn)網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
焦化工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
焦化企業(yè)普遍采用基于信息網(wǎng)、管理網(wǎng)和控制網(wǎng)三層架構(gòu)的的管控一體化信息模型，焦化企業(yè)是典型的資金和技術(shù)密集型企業(yè)，生產(chǎn)的連續(xù)性很強(qiáng)，裝置和重要設(shè)備的意外停產(chǎn)都會(huì)導(dǎo)致巨大的經(jīng)濟(jì)損失，因此生產(chǎn)過(guò)程控制大多采用DCS等先進(jìn)的控制系統(tǒng)，且以國(guó)外廠(chǎng)商為主。經(jīng)過(guò)多年的發(fā)展，焦化行業(yè)信息化建設(shè)已經(jīng)有了較好的基礎(chǔ)，企業(yè)在管理層的指揮、協(xié)調(diào)和監(jiān)控能力在實(shí)時(shí)性、完整性和一致性上都有了很大的提升，相應(yīng)的網(wǎng)絡(luò)安全防護(hù)也有了較大提高。隨著焦化企業(yè)管控一體化的實(shí)現(xiàn)，越來(lái)越多的控制網(wǎng)絡(luò)系統(tǒng)通過(guò)信息網(wǎng)絡(luò)連接到互聯(lián)上，潛在的威脅就越來(lái)越大。
二、安全分析
（1）控制網(wǎng)絡(luò)與管理網(wǎng)絡(luò)互聯(lián)，存在來(lái)自上層網(wǎng)絡(luò)的安全威脅存在。
（2）存在來(lái)自工作站（接入U(xiǎn)盤(pán)、便攜設(shè)備等）的病毒傳染隱患。
（3）網(wǎng)絡(luò)中沒(méi)有設(shè)置安全監(jiān)控平臺(tái)，無(wú)法對(duì)網(wǎng)絡(luò)安全事故進(jìn)行預(yù)警和分析，影響問(wèn)題識(shí)別和系統(tǒng)修復(fù)效率。
（4）控制系統(tǒng)缺少分級(jí)、分區(qū)的安全防護(hù)，容易受到信息網(wǎng)絡(luò)及相鄰系統(tǒng)的潛在威脅。
（5）對(duì)違規(guī)操作缺乏控制和審計(jì)。
三、焦化行業(yè)工控系統(tǒng)安全防護(hù)解決方案
防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
（1）根據(jù)焦化行業(yè)的網(wǎng)絡(luò)拓?fù)鋱D，結(jié)合相關(guān)標(biāo)準(zhǔn)及技術(shù)規(guī)范與要求，將整個(gè)網(wǎng)絡(luò)劃分為操作管理層、現(xiàn)場(chǎng)監(jiān)控層、生產(chǎn)控制層和生產(chǎn)執(zhí)行層四個(gè)區(qū)域。
（2）在現(xiàn)有網(wǎng)絡(luò)架構(gòu)下，協(xié)同部署工控系統(tǒng)安全防護(hù)產(chǎn)品，全面防護(hù)包括OPC數(shù)據(jù)采集、控制設(shè)備和工程師工作站的安全。
（3）采用工控網(wǎng)絡(luò)隔離網(wǎng)關(guān)設(shè)備隔離內(nèi)外網(wǎng)，提供內(nèi)外網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)、病毒及惡意代碼的傳播。
（4）部署分布式工業(yè)防火墻和工控安全監(jiān)控平臺(tái)，深度解析多種工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻工作狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)絡(luò)安全事件日志和報(bào)警任務(wù)。
（5）在工作站應(yīng)用工控安全主機(jī)防護(hù)系統(tǒng)，防范非法程序、應(yīng)用以及未經(jīng)授權(quán)的任何行為，給予終端計(jì)算機(jī)全生命周期的安全防護(hù)。
（6）在操作管理層部署審計(jì)平臺(tái)和堡壘機(jī)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞。
冶金鋼鐵工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
冶金鋼鐵行業(yè)工業(yè)以太網(wǎng)一般采用環(huán)網(wǎng)結(jié)構(gòu)，為實(shí)時(shí)控制網(wǎng)，負(fù)責(zé)控制器、操作站和工程師站之間過(guò)程控制數(shù)據(jù)實(shí)時(shí)通訊，網(wǎng)絡(luò)上所有操作站、數(shù)采機(jī)和PLC都采用以太網(wǎng)接口，網(wǎng)絡(luò)中遠(yuǎn)距離傳輸介質(zhì)為光纜，本地傳輸介質(zhì)為網(wǎng)線(xiàn)（如PLC與操作站之間）。生產(chǎn)監(jiān)控主機(jī)利用雙網(wǎng)卡結(jié)構(gòu)與管理網(wǎng)互聯(lián)。
二、安全分析
（1）鋼鐵冶金企業(yè)沒(méi)有對(duì)其內(nèi)部生產(chǎn)控制系統(tǒng)及網(wǎng)絡(luò)進(jìn)行分區(qū)、分層，無(wú)法將惡意軟件、黑客攻擊、非法操作等行為控制在特定區(qū)域內(nèi)，易發(fā)生全局性網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
（2）分廠(chǎng)控制網(wǎng)絡(luò)采用同網(wǎng)段組網(wǎng)，PLC、DCS等重要控制系統(tǒng)缺乏安全防護(hù)和訪(fǎng)問(wèn)控制措施。
（3）各分廠(chǎng)控制網(wǎng)與骨干環(huán)網(wǎng)之間無(wú)隔離防護(hù)措施。
（4）鋼鐵冶金企業(yè)辦公網(wǎng)和生產(chǎn)監(jiān)控網(wǎng)之間無(wú)物理隔離措施，導(dǎo)致病毒、木馬、黑客攻擊等極易以辦公網(wǎng)為跳板對(duì)生產(chǎn)控制系統(tǒng)發(fā)起攻擊。
（5）由于鋼鐵冶金企業(yè)控制流程復(fù)雜、設(shè)備種類(lèi)繁多、通信協(xié)議多樣，導(dǎo)致采集數(shù)據(jù)安全性無(wú)法得到保障。
（6）鋼鐵冶金企業(yè)內(nèi)部控制系統(tǒng)及網(wǎng)絡(luò)缺乏安全監(jiān)測(cè)與審計(jì)措施，無(wú)法及時(shí)發(fā)現(xiàn)非法訪(fǎng)問(wèn)、非法操作、惡意攻擊等行為。
（7）鋼鐵冶金企業(yè)內(nèi)部缺乏統(tǒng)一的安全管理平臺(tái)。
三、冶金鋼鐵行業(yè)工控系統(tǒng)安全防護(hù)解決方案
防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
（1）部署工控安全監(jiān)控系統(tǒng)和工業(yè)防火墻，對(duì)工控協(xié)議深度解析，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻工作狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)，保障PLC設(shè)備和各服務(wù)器安全。
（2）在各高爐操作站和工程師站應(yīng)用工控安全主機(jī)防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為。
（3）部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞。
（4）采用工控網(wǎng)絡(luò)隔離網(wǎng)關(guān)設(shè)備隔離生產(chǎn)控制網(wǎng)和控制子站環(huán)網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
火力發(fā)電工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
火電廠(chǎng)工控系統(tǒng)主要由中央控制室和各配電室、電子間等子站組成，系統(tǒng)中布置有數(shù)千個(gè)開(kāi)關(guān)、數(shù)百個(gè)模擬測(cè)量點(diǎn)以及數(shù)個(gè)PID調(diào)節(jié)回路的控制對(duì)象。其中，中央控制室設(shè)備通常包括建立在以太網(wǎng)連接上的操作員站、工程師站、數(shù)據(jù)采集服務(wù)器、報(bào)表打印設(shè)備等。中央控制網(wǎng)絡(luò)與各子站控制系統(tǒng)采用光纖為通信鏈路，各子站配有光纖收發(fā)器和工業(yè)交換機(jī)。
二、安全分析
（1）中央控制網(wǎng)絡(luò)與各控制子站網(wǎng)絡(luò)互聯(lián)，存在來(lái)自上層網(wǎng)絡(luò)的安全威脅，缺少重點(diǎn)邊界、區(qū)域的安全防護(hù)手段；
（2）工控系統(tǒng)及網(wǎng)絡(luò)缺乏監(jiān)測(cè)手段，無(wú)法感知未知設(shè)備、非法應(yīng)用和軟件的入侵，無(wú)法對(duì)網(wǎng)絡(luò)中傳輸?shù)奈粗惓Ａ髁窟M(jìn)行監(jiān)測(cè)；
（3）工控系統(tǒng)缺乏對(duì)用戶(hù)操作行為的監(jiān)控和審計(jì)，針對(duì)用戶(hù)操作行為缺乏有效可靠的審計(jì)手段；
（4）工業(yè)控制系統(tǒng)缺乏分區(qū)邊界防護(hù)，容易受到來(lái)自信息網(wǎng)絡(luò)和相鄰系統(tǒng)的安全影響。
三、火力發(fā)電行業(yè)工控系統(tǒng)安全防護(hù)解決方案
安全防護(hù)原則
（1）安全分區(qū)
按照《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，原則上將基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對(duì)一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)Ⅰ）及非控制區(qū)（安全區(qū)Ⅱ），重點(diǎn)保護(hù)生產(chǎn)控制以及直接影響電力生產(chǎn)（機(jī)組運(yùn)行）的系統(tǒng)。
（2）網(wǎng)絡(luò)專(zhuān)用
電力調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專(zhuān)用網(wǎng)絡(luò)，承載電力實(shí)時(shí)控制、在線(xiàn)交易等業(yè)務(wù)。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)在專(zhuān)用通道上使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實(shí)現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)劃分為邏輯隔離的實(shí)時(shí)子網(wǎng)和非實(shí)時(shí)子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。
（3）橫向隔離 縱向認(rèn)證
橫向隔離是電力監(jiān)控系統(tǒng)安全防護(hù)體系的橫向防線(xiàn)。應(yīng)當(dāng)采用不同強(qiáng)度的安全設(shè)備隔離各安全區(qū)，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用橫向單向安全隔離裝置，隔離強(qiáng)度應(yīng)當(dāng)接近或達(dá)到物理隔離。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當(dāng)采用具有訪(fǎng)問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者相當(dāng)功能的設(shè)施，實(shí)現(xiàn)邏輯隔離。防火墻的功能性能電磁兼容性必須經(jīng)過(guò)國(guó)家相關(guān)部門(mén)的認(rèn)證和測(cè)試。
縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護(hù)體系的縱向防線(xiàn)。生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當(dāng)設(shè)置經(jīng)過(guò)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用縱向加密認(rèn)證裝置，實(shí)現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪(fǎng)問(wèn)控制。
（4）綜合防護(hù)
綜合防護(hù)是結(jié)合國(guó)家信息安全等級(jí)保護(hù)工作的相關(guān)要求對(duì)電力監(jiān)控系統(tǒng)從主機(jī)、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計(jì)、備份及容災(zāi)等多個(gè)層面進(jìn)行信息安全防護(hù)的過(guò)程。
生產(chǎn)控制大區(qū)可以統(tǒng)一部署一套網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，應(yīng)當(dāng)合理設(shè)置檢測(cè)規(guī)則，檢測(cè)發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息流中的入侵行為，分析潛在威脅并進(jìn)行安全審計(jì)。
非控制區(qū)的網(wǎng)絡(luò)設(shè)備與安全設(shè)備應(yīng)當(dāng)進(jìn)行身份鑒別、訪(fǎng)問(wèn)權(quán)限控制、會(huì)話(huà)控制等安全配置加固。可以應(yīng)用電力調(diào)度輸子證書(shū)，在網(wǎng)絡(luò)設(shè)備和安全設(shè)備實(shí)現(xiàn)支持HTTPS的縱向安全WEB服務(wù)，能夠?qū)g覽器客戶(hù)端訪(fǎng)問(wèn)進(jìn)行身份認(rèn)證及加密傳輸。
生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)應(yīng)當(dāng)具備安全審計(jì)功能，能能夠?qū)Σ僮飨到y(tǒng)、數(shù)據(jù)庫(kù)、業(yè)務(wù)應(yīng)用的重要操作盡心記錄、分析，及時(shí)發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。對(duì)于遠(yuǎn)程用戶(hù)登陸到本地系統(tǒng)中的操作行為，應(yīng)當(dāng)進(jìn)行嚴(yán)格的安全審計(jì)。
具體方案
部署工控安全綜合監(jiān)管平臺(tái)、工業(yè)安全防火墻，深度解析工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻運(yùn)行狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)；
在操作員站和工程師站部署工控主機(jī)安全防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為；
部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞；
采用工控安全隔離網(wǎng)閘設(shè)備，物理隔離中央控制室和各子站網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
1-智慧城市數(shù)據(jù)溯源保密安全解決方案
根據(jù)智慧城市數(shù)據(jù)交換平臺(tái)的需求情況，提出采用自主可控?cái)?shù)據(jù)共享與溯源綜合管理平臺(tái)（以下簡(jiǎn)稱(chēng)數(shù)據(jù)溯源系統(tǒng)）來(lái)實(shí)現(xiàn)智慧城市信息數(shù)據(jù)交換共享中的數(shù)據(jù)脫敏及溯源追蹤保密安全的痛點(diǎn)問(wèn)題。
系統(tǒng)部署于智慧城市數(shù)據(jù)交換共享中心內(nèi)部網(wǎng)絡(luò)當(dāng)中（不同安全域之間），當(dāng)智慧城市數(shù)據(jù)共享交換系統(tǒng)通過(guò)RestAPI獲取到DB數(shù)據(jù)提供者提供的相關(guān)數(shù)據(jù)后，該系統(tǒng)會(huì)將這些數(shù)據(jù)及其相應(yīng)的數(shù)據(jù)屬性信息提交到數(shù)據(jù)交換安全處理中心，該中心安全域內(nèi)部署了兩種數(shù)據(jù)安全處理系統(tǒng)，一為數(shù)據(jù)脫敏系統(tǒng)，第二為數(shù)據(jù)溯源交換系統(tǒng)。在該安全處理中心會(huì)對(duì)相關(guān)的數(shù)據(jù)進(jìn)行數(shù)據(jù)脫敏操作和數(shù)據(jù)溯源標(biāo)識(shí)操作。
1) 數(shù)據(jù)溯源種子植入。該操作步驟會(huì)按照溯源種子植入策略進(jìn)行敏感數(shù)據(jù)的溯源種子植入，處理完成后的數(shù)據(jù)將提交給智慧城市數(shù)據(jù)共享交換系統(tǒng)轉(zhuǎn)發(fā)給具體的數(shù)據(jù)使用者。
2) 數(shù)據(jù)溯源標(biāo)識(shí)。相應(yīng)的DB數(shù)據(jù)提供者的數(shù)據(jù)將會(huì)被打上知識(shí)產(chǎn)權(quán)標(biāo)簽，相關(guān)的宿主屬性會(huì)無(wú)縫地嵌入到現(xiàn)有的數(shù)據(jù)之上，并且不改變現(xiàn)有數(shù)據(jù)的任何結(jié)構(gòu)，當(dāng)這種數(shù)據(jù)進(jìn)入數(shù)據(jù)使用者的時(shí)候，不會(huì)影響數(shù)據(jù)使用者的使用，但是如果數(shù)據(jù)使用者將該數(shù)據(jù)泄露給其他公司或個(gè)人，智慧城市交換中心可以借助于該溯源追蹤平臺(tái)進(jìn)行審計(jì)和跟蹤，從而實(shí)現(xiàn)數(shù)據(jù)的非授權(quán)擴(kuò)散監(jiān)管問(wèn)題。
2-大數(shù)據(jù)安全脫敏系統(tǒng)解決方案
數(shù)據(jù)安全脫敏系統(tǒng)采用大數(shù)據(jù)分析技術(shù)來(lái)實(shí)現(xiàn)隱私數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)提取、數(shù)據(jù)漂白、測(cè)試數(shù)據(jù)管理、數(shù)據(jù)裝載等功能于一體的高性能數(shù)據(jù)脫敏設(shè)備。系統(tǒng)采用專(zhuān)用的脫敏處理算法對(duì)敏感數(shù)據(jù)進(jìn)行變形、屏蔽、替換、加密（格式保留加密處理和高強(qiáng)度加密處理），將敏感數(shù)據(jù)進(jìn)行處理后屏蔽了原有數(shù)據(jù)的敏感性，實(shí)現(xiàn)了數(shù)據(jù)的隱私性保護(hù)。同時(shí)脫敏后的數(shù)據(jù)保留了原有數(shù)據(jù)的數(shù)據(jù)結(jié)構(gòu)和數(shù)據(jù)的業(yè)務(wù)邏輯一致，也能維持脫敏前后的數(shù)據(jù)唯一性，如：身份證、銀行卡、手機(jī)號(hào)、IMSI等。使得上層應(yīng)用無(wú)需改變相應(yīng)的業(yè)務(wù)邏輯。
系統(tǒng)具有流程化、自動(dòng)化和作業(yè)復(fù)用等特點(diǎn)。作為軟硬一體化的設(shè)備，它擁有強(qiáng)大的功能、易于部署和使用等特點(diǎn)，開(kāi)箱即用式的優(yōu)勢(shì)能夠極大減輕工作人員的工作強(qiáng)度以及項(xiàng)目周期。
系統(tǒng)對(duì)主流數(shù)據(jù)類(lèi)型均能友好支持。包括支持國(guó)產(chǎn)關(guān)系型主流數(shù)據(jù)庫(kù)系統(tǒng)Oracle、Informix、SQL Server、DB2、MySQL。國(guó)產(chǎn)主流數(shù)據(jù)庫(kù)南大通用GBase、人大金倉(cāng)、虛谷等、非關(guān)系型主流數(shù)據(jù)庫(kù)Hive、MongoDB、Redis、Hbase等。
3-數(shù)據(jù)庫(kù)保密檢查解決方案
1. 需求
需要用新的技術(shù)手段實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)進(jìn)行高效涉密數(shù)據(jù)檢查。具體需求如下。
1)檢查范圍廣。包括結(jié)構(gòu)化數(shù)據(jù)庫(kù)、非結(jié)構(gòu)化數(shù)據(jù)庫(kù)、云計(jì)算的虛擬機(jī)和壓縮文件、大數(shù)據(jù)集群系統(tǒng)、服務(wù)器系統(tǒng)等
2)檢查效率高。需要快速對(duì)高達(dá)100T的數(shù)據(jù)庫(kù)進(jìn)行保密檢查，檢查效率是傳統(tǒng)方式的100-1000倍
3)檢查類(lèi)型多。需要對(duì)數(shù)據(jù)庫(kù)中涉及到的多種文本文件（Word、PDF等）、圖片文件中的數(shù)據(jù)進(jìn)行數(shù)據(jù)敏感性檢查
4)檢查精度高。需要能在海量數(shù)據(jù)庫(kù)內(nèi)容中精準(zhǔn)定位涉密信息或數(shù)據(jù)，誤報(bào)率低
5)多種檢查方法。需要提供多種檢查算法，能從多維度定位目標(biāo)數(shù)據(jù)系統(tǒng)。
2. 功能概述
系統(tǒng)采用大數(shù)據(jù)技術(shù)創(chuàng)新性地用于數(shù)據(jù)庫(kù)涉密信息檢查，能有效達(dá)到以下目標(biāo)。
1)高效采集。大數(shù)據(jù)Sqoop技術(shù)實(shí)現(xiàn)數(shù)據(jù)的分布式采集。
2)高效分析。大數(shù)據(jù)MapReduce技術(shù)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)內(nèi)容的快速分析和檢查
3)精準(zhǔn)定位。結(jié)合檢查專(zhuān)家?guī)?，快速?duì)政務(wù)敏感信息定位，并能生成詳盡的分析報(bào)告
數(shù)據(jù)庫(kù)保密檢查系統(tǒng)安裝部署方便，只需要保證與被檢查數(shù)據(jù)庫(kù)網(wǎng)絡(luò)可達(dá)即可；出于檢查效率的考慮，建議采用千兆及以上網(wǎng)絡(luò)環(huán)境。
資料更新中...
一、背景情況
校園網(wǎng)絡(luò)是學(xué)校為教職員工和學(xué)生提供網(wǎng)絡(luò)接入，滿(mǎn)足教學(xué)、科研、管理服務(wù)需求的信息化基礎(chǔ)設(shè)施，包括有線(xiàn)寬帶網(wǎng)絡(luò)、無(wú)線(xiàn)局域網(wǎng)絡(luò)和移動(dòng)通信網(wǎng)絡(luò)，因此提高高等學(xué)校網(wǎng)絡(luò)管理和服務(wù)質(zhì)量，提升校園網(wǎng)絡(luò)用戶(hù)上網(wǎng)體驗(yàn)，保障校園網(wǎng)絡(luò)安全是當(dāng)前教育行業(yè)的重要工作。對(duì)于學(xué)校而言，維護(hù)校園網(wǎng)絡(luò)安全，是保障教育教學(xué)正常開(kāi)展的基礎(chǔ)性工作，也是構(gòu)建新時(shí)代育人環(huán)境的重要工作。
二、安全分析
1.校園各類(lèi)信息服務(wù)系統(tǒng)的數(shù)據(jù)安全。由于校園內(nèi)各種二級(jí)、三級(jí)域名系統(tǒng)管理相對(duì)分散，針對(duì)各類(lèi)漏洞風(fēng)險(xiǎn)可能會(huì)存在安全維護(hù)不及時(shí)等問(wèn)題。這會(huì)導(dǎo)致部分網(wǎng)站或信息系統(tǒng)存在被拖庫(kù)、竄改等風(fēng)險(xiǎn)，從而導(dǎo)致師生的各類(lèi)敏感信息泄露。
2.校園網(wǎng)絡(luò)、移動(dòng)通信網(wǎng)無(wú)線(xiàn)接入安全。由于校園網(wǎng)絡(luò)中WiFi（行動(dòng)熱點(diǎn)）接入點(diǎn)眾多且大多采用802.1x（一種訪(fǎng)問(wèn)控制和認(rèn)證協(xié)議）方式，人員密集使其成為具有較高價(jià)值的攻擊目標(biāo)，因此存在大量的偽熱點(diǎn)、基站試圖竊取用戶(hù)敏感賬號(hào)信息，進(jìn)行釣魚(yú)欺詐等。
3.校園信息系統(tǒng)中輿情內(nèi)容安全（不良信息及言論的傳播）。由于大學(xué)生初步掌握了各種獲取信息的工具，可以輕易接觸到色情、暴力、反動(dòng)等不良信息，這會(huì)影響其人生觀(guān)、世界觀(guān)的形成和發(fā)展。
4.學(xué)校網(wǎng)絡(luò)安全管理制度存在不足。學(xué)校內(nèi)計(jì)算機(jī)和網(wǎng)絡(luò)已經(jīng)普及，需要學(xué)校對(duì)網(wǎng)絡(luò)安全加以重視，并建立完善的管理制度。但是，學(xué)校還沒(méi)有認(rèn)識(shí)到網(wǎng)絡(luò)安全的重要性，且考慮不全面，建立的管理制度存在不足；同時(shí)，沒(méi)有對(duì)管理人員進(jìn)行專(zhuān)業(yè)技術(shù)和職業(yè)素養(yǎng)方面的培訓(xùn)，影響網(wǎng)絡(luò)安全管理效率與質(zhì)量。
三、教育行業(yè)系統(tǒng)安全防護(hù)解決方案
網(wǎng)絡(luò)層面：關(guān)注安全域劃分、訪(fǎng)問(wèn)控制、抗拒絕服務(wù)攻擊，針對(duì)區(qū)域邊界采取隔離手段，并在隔離后的各個(gè)安全區(qū)域邊界執(zhí)行嚴(yán)格的訪(fǎng)問(wèn)控制，防止非法訪(fǎng)問(wèn)，利用漏洞管理系統(tǒng)、網(wǎng)絡(luò)安全審計(jì)等網(wǎng)絡(luò)安全產(chǎn)品，為客戶(hù)構(gòu)建嚴(yán)密、專(zhuān)業(yè)的網(wǎng)絡(luò)安全保障體系。
應(yīng)用層面：WEB應(yīng)用防火墻能夠?qū)EB應(yīng)用漏洞進(jìn)行預(yù)先掃描，同時(shí)具備對(duì)SQL注入、跨站腳本等通過(guò)應(yīng)用層的入侵動(dòng)作實(shí)時(shí)阻斷，并結(jié)合網(wǎng)頁(yè)防篡改子系統(tǒng)，真正達(dá)到雙重層面的“網(wǎng)頁(yè)防篡改”效果。
數(shù)據(jù)層面：數(shù)據(jù)庫(kù)將被隱藏在安全區(qū)域，同時(shí)通過(guò)專(zhuān)業(yè)的安全加固服務(wù)對(duì)數(shù)據(jù)庫(kù)進(jìn)行安全評(píng)估和配置，對(duì)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)權(quán)限進(jìn)行嚴(yán)格設(shè)定，最大限度保證數(shù)據(jù)庫(kù)安全。同時(shí)，有效保護(hù)重要數(shù)據(jù)信息的健康度。
一、背景情況
醫(yī)療衛(wèi)生行業(yè)的健康發(fā)展，直接關(guān)系到民生問(wèn)題。隨著醫(yī)院信息化建設(shè)的逐步深入，網(wǎng)上業(yè)務(wù)由單一到多元化，各類(lèi)應(yīng)用系統(tǒng)數(shù)十個(gè)，信息系統(tǒng)承受的壓力日益增長(zhǎng)，醫(yī)院信息系統(tǒng)已經(jīng)成為醫(yī)院正常運(yùn)行不可或缺的支撐環(huán)境和工作平臺(tái)。醫(yī)院業(yè)務(wù)系統(tǒng)作為我國(guó)重要的關(guān)鍵信息基礎(chǔ)設(shè)施，是黑客的重點(diǎn)攻擊對(duì)象，醫(yī)療行業(yè)網(wǎng)絡(luò)攻擊事件層出不窮。因此，建設(shè)完善的網(wǎng)絡(luò)安全防御體系，落實(shí)醫(yī)院網(wǎng)絡(luò)安全等級(jí)化建設(shè)工作勢(shì)在必行。
二、安全分析
近年來(lái)，各類(lèi)勒索病毒、挖礦病毒、黑客木馬等自動(dòng)化攻擊程序的出現(xiàn)和持續(xù)增加，如何快速有效的解決醫(yī)院資產(chǎn)全生命周期閉環(huán)管理，完成安全合規(guī)的落地化工作并盡量少地影響醫(yī)院核心臨床應(yīng)用，也成為當(dāng)前醫(yī)院面臨的嚴(yán)峻安全挑戰(zhàn)之一。
三、醫(yī)療行業(yè)安全防護(hù)解決方案
●安全物理環(huán)境
依據(jù)《信息安全技術(shù)-網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》中的“安全物理環(huán)境”要求對(duì)對(duì)機(jī)房進(jìn)行整改建設(shè)。
●安全通信網(wǎng)絡(luò)
安全通信網(wǎng)絡(luò)從網(wǎng)絡(luò)架構(gòu)、通信傳輸和可信驗(yàn)證三個(gè)方面進(jìn)行設(shè)計(jì)和安全防護(hù)。
保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿(mǎn)足業(yè)務(wù)高峰期需要；
關(guān)鍵業(yè)務(wù)區(qū)和管理區(qū)采取可靠的技術(shù)手段與其他區(qū)域進(jìn)行隔離；
重要數(shù)據(jù)的通信傳輸采取加密措施；
●安全區(qū)邊界
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在內(nèi)網(wǎng)區(qū)和外網(wǎng)區(qū)的邊界部署安全隔離設(shè)備，保證HIS、LIS等系統(tǒng)面臨的APT攻擊、非法外聯(lián)/違規(guī)接入網(wǎng)絡(luò)等安全威脅進(jìn)行有針對(duì)性的安全控制。
針對(duì)數(shù)據(jù)的傳輸、使用和存儲(chǔ)等過(guò)程，使用數(shù)據(jù)加密傳輸、數(shù)據(jù)脫敏等措施，保護(hù)醫(yī)院重要數(shù)據(jù)資產(chǎn)的安全。
●安全計(jì)算環(huán)境
安全計(jì)算環(huán)境防護(hù)建設(shè)主要通過(guò)主機(jī)加固、入侵防范、漏洞掃描、惡意代碼防護(hù)等多種安全機(jī)制實(shí)現(xiàn)。
解決方案
SOLUTION
煤礦行業(yè)工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
煤炭工業(yè)控制系統(tǒng)是整個(gè)煤炭企業(yè)安全生產(chǎn)監(jiān)控系統(tǒng)信息的集成，它需要一個(gè)快速、安全、可靠的網(wǎng)絡(luò)平臺(tái)為大量的信息流動(dòng)提供支撐，同時(shí)要有一個(gè)功能全面的安全生產(chǎn)信息應(yīng)用系統(tǒng)為礦井安全生產(chǎn)提供科學(xué)調(diào)度、決策的依據(jù)。做好煤炭企業(yè)工控安全建設(shè)是實(shí)現(xiàn)生產(chǎn)安全的必要保障。
綜合自動(dòng)化系統(tǒng)是指在工業(yè)生產(chǎn)、管理、經(jīng)營(yíng)過(guò)程中，通過(guò)信息基礎(chǔ)設(shè)施，在集成平臺(tái)上，實(shí)現(xiàn)信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進(jìn)和自動(dòng)控制、通訊、信息技術(shù)和現(xiàn)化管理技術(shù)結(jié)合，將企業(yè)的生產(chǎn)過(guò)程控制、運(yùn)行與管理作為一個(gè)整體進(jìn)行控制與管理，提供整體解決方案，以實(shí)現(xiàn)企業(yè)的優(yōu)化運(yùn)行、控制和管理。
二、安全分析
（1）缺乏整體信息安全規(guī)劃；
（2）缺乏工控安全管理制度、應(yīng)急預(yù)案、培訓(xùn)與意識(shí)培養(yǎng)；
（3）調(diào)度人員有時(shí)通過(guò)連通互聯(lián)網(wǎng)的手機(jī)在調(diào)度室主機(jī)U口上充電，導(dǎo)致生產(chǎn)網(wǎng)絡(luò)通過(guò)手機(jī)被打通，造成邊界模糊。
（4）主機(jī)操作系統(tǒng)老舊，從不升級(jí)，極易出現(xiàn)安全漏洞和缺陷；新建系統(tǒng)主機(jī)雖然會(huì)安裝殺毒軟件，但是為保障生產(chǎn)運(yùn)行，殺毒軟件一般處于關(guān)閉狀態(tài)，這些都存在安全隱患，無(wú)法防御“0-DAY”病毒和勒索病毒。
（5）調(diào)度人員或運(yùn)維人員使用帶有病毒的U盤(pán)插入主機(jī)中，造成整個(gè)網(wǎng)絡(luò)感染病毒。
（6）煤炭生產(chǎn)現(xiàn)場(chǎng)PLC多為西門(mén)子或AB的產(chǎn)品，而PLC本身存在漏洞，西門(mén)子和AB近些年被曝出存在高危漏洞，攻擊者可以利用漏洞控制現(xiàn)場(chǎng)設(shè)備，執(zhí)行錯(cuò)誤命令，嚴(yán)重影響安全生產(chǎn)。
（7）黑客也可通過(guò)技術(shù)手段潛入生產(chǎn)網(wǎng)絡(luò)，獲取關(guān)鍵生產(chǎn)數(shù)據(jù)，牟取利益。
三、煤礦行業(yè)工控系統(tǒng)安全防護(hù)解決方案
安全防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
? 部署工控安全綜合監(jiān)管平臺(tái)、工業(yè)安全防火墻，深度解析工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻運(yùn)行狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)；
? 在操作員站和工程師站部署工控主機(jī)安全防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為；
? 部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞；
? 采用工控安全隔離網(wǎng)閘設(shè)備，物理隔離煤礦辦公網(wǎng)和生產(chǎn)網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
焦化工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
焦化企業(yè)普遍采用基于信息網(wǎng)、管理網(wǎng)和控制網(wǎng)三層架構(gòu)的的管控一體化信息模型，焦化企業(yè)是典型的資金和技術(shù)密集型企業(yè)，生產(chǎn)的連續(xù)性很強(qiáng)，裝置和重要設(shè)備的意外停產(chǎn)都會(huì)導(dǎo)致巨大的經(jīng)濟(jì)損失，因此生產(chǎn)過(guò)程控制大多采用DCS等先進(jìn)的控制系統(tǒng)，且以國(guó)外廠(chǎng)商為主。經(jīng)過(guò)多年的發(fā)展，焦化行業(yè)信息化建設(shè)已經(jīng)有了較好的基礎(chǔ)，企業(yè)在管理層的指揮、協(xié)調(diào)和監(jiān)控能力在實(shí)時(shí)性、完整性和一致性上都有了很大的提升，相應(yīng)的網(wǎng)絡(luò)安全防護(hù)也有了較大提高。隨著焦化企業(yè)管控一體化的實(shí)現(xiàn)，越來(lái)越多的控制網(wǎng)絡(luò)系統(tǒng)通過(guò)信息網(wǎng)絡(luò)連接到互聯(lián)上，潛在的威脅就越來(lái)越大。
二、安全分析
（1）控制網(wǎng)絡(luò)與管理網(wǎng)絡(luò)互聯(lián)，存在來(lái)自上層網(wǎng)絡(luò)的安全威脅存在。
（2）存在來(lái)自工作站（接入U(xiǎn)盤(pán)、便攜設(shè)備等）的病毒傳染隱患。
（3）網(wǎng)絡(luò)中沒(méi)有設(shè)置安全監(jiān)控平臺(tái)，無(wú)法對(duì)網(wǎng)絡(luò)安全事故進(jìn)行預(yù)警和分析，影響問(wèn)題識(shí)別和系統(tǒng)修復(fù)效率。
（4）控制系統(tǒng)缺少分級(jí)、分區(qū)的安全防護(hù)，容易受到信息網(wǎng)絡(luò)及相鄰系統(tǒng)的潛在威脅。
（5）對(duì)違規(guī)操作缺乏控制和審計(jì)。
三、焦化行業(yè)工控系統(tǒng)安全防護(hù)解決方案
防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
（1）根據(jù)焦化行業(yè)的網(wǎng)絡(luò)拓?fù)鋱D，結(jié)合相關(guān)標(biāo)準(zhǔn)及技術(shù)規(guī)范與要求，將整個(gè)網(wǎng)絡(luò)劃分為操作管理層、現(xiàn)場(chǎng)監(jiān)控層、生產(chǎn)控制層和生產(chǎn)執(zhí)行層四個(gè)區(qū)域。
（2）在現(xiàn)有網(wǎng)絡(luò)架構(gòu)下，協(xié)同部署工控系統(tǒng)安全防護(hù)產(chǎn)品，全面防護(hù)包括OPC數(shù)據(jù)采集、控制設(shè)備和工程師工作站的安全。
（3）采用工控網(wǎng)絡(luò)隔離網(wǎng)關(guān)設(shè)備隔離內(nèi)外網(wǎng)，提供內(nèi)外網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)、病毒及惡意代碼的傳播。
（4）部署分布式工業(yè)防火墻和工控安全監(jiān)控平臺(tái)，深度解析多種工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻工作狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)絡(luò)安全事件日志和報(bào)警任務(wù)。
（5）在工作站應(yīng)用工控安全主機(jī)防護(hù)系統(tǒng)，防范非法程序、應(yīng)用以及未經(jīng)授權(quán)的任何行為，給予終端計(jì)算機(jī)全生命周期的安全防護(hù)。
（6）在操作管理層部署審計(jì)平臺(tái)和堡壘機(jī)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞。
冶金鋼鐵工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
冶金鋼鐵行業(yè)工業(yè)以太網(wǎng)一般采用環(huán)網(wǎng)結(jié)構(gòu)，為實(shí)時(shí)控制網(wǎng)，負(fù)責(zé)控制器、操作站和工程師站之間過(guò)程控制數(shù)據(jù)實(shí)時(shí)通訊，網(wǎng)絡(luò)上所有操作站、數(shù)采機(jī)和PLC都采用以太網(wǎng)接口，網(wǎng)絡(luò)中遠(yuǎn)距離傳輸介質(zhì)為光纜，本地傳輸介質(zhì)為網(wǎng)線(xiàn)（如PLC與操作站之間）。生產(chǎn)監(jiān)控主機(jī)利用雙網(wǎng)卡結(jié)構(gòu)與管理網(wǎng)互聯(lián)。
二、安全分析
（1）鋼鐵冶金企業(yè)沒(méi)有對(duì)其內(nèi)部生產(chǎn)控制系統(tǒng)及網(wǎng)絡(luò)進(jìn)行分區(qū)、分層，無(wú)法將惡意軟件、黑客攻擊、非法操作等行為控制在特定區(qū)域內(nèi)，易發(fā)生全局性網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
（2）分廠(chǎng)控制網(wǎng)絡(luò)采用同網(wǎng)段組網(wǎng)，PLC、DCS等重要控制系統(tǒng)缺乏安全防護(hù)和訪(fǎng)問(wèn)控制措施。
（3）各分廠(chǎng)控制網(wǎng)與骨干環(huán)網(wǎng)之間無(wú)隔離防護(hù)措施。
（4）鋼鐵冶金企業(yè)辦公網(wǎng)和生產(chǎn)監(jiān)控網(wǎng)之間無(wú)物理隔離措施，導(dǎo)致病毒、木馬、黑客攻擊等極易以辦公網(wǎng)為跳板對(duì)生產(chǎn)控制系統(tǒng)發(fā)起攻擊。
（5）由于鋼鐵冶金企業(yè)控制流程復(fù)雜、設(shè)備種類(lèi)繁多、通信協(xié)議多樣，導(dǎo)致采集數(shù)據(jù)安全性無(wú)法得到保障。
（6）鋼鐵冶金企業(yè)內(nèi)部控制系統(tǒng)及網(wǎng)絡(luò)缺乏安全監(jiān)測(cè)與審計(jì)措施，無(wú)法及時(shí)發(fā)現(xiàn)非法訪(fǎng)問(wèn)、非法操作、惡意攻擊等行為。
（7）鋼鐵冶金企業(yè)內(nèi)部缺乏統(tǒng)一的安全管理平臺(tái)。
三、冶金鋼鐵行業(yè)工控系統(tǒng)安全防護(hù)解決方案
防護(hù)原則
（1）安全分區(qū)
對(duì)于生產(chǎn)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)、企業(yè)集團(tuán)內(nèi)網(wǎng)存在互聯(lián)互通的現(xiàn)象，首先需要進(jìn)行網(wǎng)絡(luò)優(yōu)化，明確生產(chǎn)網(wǎng)絡(luò)邊界，盡量避免多個(gè)生產(chǎn)網(wǎng)絡(luò)邊界的現(xiàn)象。
（2）安全審計(jì)
對(duì)生產(chǎn)網(wǎng)絡(luò)內(nèi)部的日常操作行為進(jìn)行基于白名單策略監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的異常流量、違規(guī)操作、非法訪(fǎng)問(wèn)、惡意程序等異常行為，并要求對(duì)生產(chǎn)網(wǎng)絡(luò)的運(yùn)行日志進(jìn)行記錄保存，至少保留6個(gè)月；對(duì)于已經(jīng)發(fā)生攻擊事件的情況，要求可以對(duì)攻擊事件進(jìn)行追蹤、溯源，定位網(wǎng)絡(luò)攻擊的位置或具體用戶(hù)。
（3）邊界防護(hù)
根據(jù)業(yè)務(wù)網(wǎng)絡(luò)實(shí)際情況，在生產(chǎn)網(wǎng)絡(luò)外部邊界處部署工業(yè)防火墻或單向隔離網(wǎng)閘設(shè)備，保證生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)或其他外部網(wǎng)絡(luò)數(shù)據(jù)單向傳輸。工業(yè)控制系統(tǒng)上位操作主機(jī)（操作站、工程師站、服務(wù)器）作為生產(chǎn)網(wǎng)絡(luò)的內(nèi)部邊界，需要對(duì)用戶(hù)登陸、操作、運(yùn)行等行為進(jìn)行安全監(jiān)控與審計(jì)，并對(duì)通過(guò)上位主機(jī)外設(shè)接口與生產(chǎn)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)通訊的行為進(jìn)行授權(quán)管理。
（4）惡意代碼防范
對(duì)于以“白名單”防護(hù)策略為主的工控安全防護(hù)方案，除了對(duì)外部網(wǎng)絡(luò)邊界進(jìn)行有效的訪(fǎng)問(wèn)控制和威脅監(jiān)測(cè)以外，需要對(duì)上位主機(jī)的USB接口使用過(guò)程進(jìn)行安全有效管理，對(duì)于臨時(shí)接入工控網(wǎng)絡(luò)的移動(dòng)存儲(chǔ)設(shè)備，必須先進(jìn)行病毒查殺，才可以使用。
具體方案
（1）部署工控安全監(jiān)控系統(tǒng)和工業(yè)防火墻，對(duì)工控協(xié)議深度解析，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻工作狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)，保障PLC設(shè)備和各服務(wù)器安全。
（2）在各高爐操作站和工程師站應(yīng)用工控安全主機(jī)防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為。
（3）部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞。
（4）采用工控網(wǎng)絡(luò)隔離網(wǎng)關(guān)設(shè)備隔離生產(chǎn)控制網(wǎng)和控制子站環(huán)網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
火力發(fā)電工業(yè)控制系統(tǒng)安全防護(hù)解決方案
一、背景情況
火電廠(chǎng)工控系統(tǒng)主要由中央控制室和各配電室、電子間等子站組成，系統(tǒng)中布置有數(shù)千個(gè)開(kāi)關(guān)、數(shù)百個(gè)模擬測(cè)量點(diǎn)以及數(shù)個(gè)PID調(diào)節(jié)回路的控制對(duì)象。其中，中央控制室設(shè)備通常包括建立在以太網(wǎng)連接上的操作員站、工程師站、數(shù)據(jù)采集服務(wù)器、報(bào)表打印設(shè)備等。中央控制網(wǎng)絡(luò)與各子站控制系統(tǒng)采用光纖為通信鏈路，各子站配有光纖收發(fā)器和工業(yè)交換機(jī)。
二、安全分析
（1）中央控制網(wǎng)絡(luò)與各控制子站網(wǎng)絡(luò)互聯(lián)，存在來(lái)自上層網(wǎng)絡(luò)的安全威脅，缺少重點(diǎn)邊界、區(qū)域的安全防護(hù)手段；
（2）工控系統(tǒng)及網(wǎng)絡(luò)缺乏監(jiān)測(cè)手段，無(wú)法感知未知設(shè)備、非法應(yīng)用和軟件的入侵，無(wú)法對(duì)網(wǎng)絡(luò)中傳輸?shù)奈粗惓Ａ髁窟M(jìn)行監(jiān)測(cè)；
（3）工控系統(tǒng)缺乏對(duì)用戶(hù)操作行為的監(jiān)控和審計(jì)，針對(duì)用戶(hù)操作行為缺乏有效可靠的審計(jì)手段；
（4）工業(yè)控制系統(tǒng)缺乏分區(qū)邊界防護(hù)，容易受到來(lái)自信息網(wǎng)絡(luò)和相鄰系統(tǒng)的安全影響。
三、火力發(fā)電行業(yè)工控系統(tǒng)安全防護(hù)解決方案
安全防護(hù)原則
（1）安全分區(qū)
按照《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，原則上將基于計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，并根據(jù)業(yè)務(wù)系統(tǒng)的重要性和對(duì)一次系統(tǒng)的影響程度將生產(chǎn)控制大區(qū)劃分為控制區(qū)（安全區(qū)Ⅰ）及非控制區(qū)（安全區(qū)Ⅱ），重點(diǎn)保護(hù)生產(chǎn)控制以及直接影響電力生產(chǎn)（機(jī)組運(yùn)行）的系統(tǒng)。
（2）網(wǎng)絡(luò)專(zhuān)用
電力調(diào)度數(shù)據(jù)網(wǎng)是與生產(chǎn)控制大區(qū)相連接的專(zhuān)用網(wǎng)絡(luò)，承載電力實(shí)時(shí)控制、在線(xiàn)交易等業(yè)務(wù)。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)在專(zhuān)用通道上使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實(shí)現(xiàn)與電力企業(yè)其他數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。生產(chǎn)控制大區(qū)的電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)劃分為邏輯隔離的實(shí)時(shí)子網(wǎng)和非實(shí)時(shí)子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。
（3）橫向隔離 縱向認(rèn)證
橫向隔離是電力監(jiān)控系統(tǒng)安全防護(hù)體系的橫向防線(xiàn)。應(yīng)當(dāng)采用不同強(qiáng)度的安全設(shè)備隔離各安全區(qū)，在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須部署經(jīng)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用橫向單向安全隔離裝置，隔離強(qiáng)度應(yīng)當(dāng)接近或達(dá)到物理隔離。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應(yīng)當(dāng)采用具有訪(fǎng)問(wèn)控制功能的網(wǎng)絡(luò)設(shè)備、安全可靠的硬件防火墻或者相當(dāng)功能的設(shè)施，實(shí)現(xiàn)邏輯隔離。防火墻的功能性能電磁兼容性必須經(jīng)過(guò)國(guó)家相關(guān)部門(mén)的認(rèn)證和測(cè)試。
縱向加密認(rèn)證是電力監(jiān)控系統(tǒng)安全防護(hù)體系的縱向防線(xiàn)。生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處應(yīng)當(dāng)設(shè)置經(jīng)過(guò)國(guó)家指定部門(mén)檢測(cè)認(rèn)證的電力專(zhuān)用縱向加密認(rèn)證裝置，實(shí)現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪(fǎng)問(wèn)控制。
（4）綜合防護(hù)
綜合防護(hù)是結(jié)合國(guó)家信息安全等級(jí)保護(hù)工作的相關(guān)要求對(duì)電力監(jiān)控系統(tǒng)從主機(jī)、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計(jì)、備份及容災(zāi)等多個(gè)層面進(jìn)行信息安全防護(hù)的過(guò)程。
生產(chǎn)控制大區(qū)可以統(tǒng)一部署一套網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，應(yīng)當(dāng)合理設(shè)置檢測(cè)規(guī)則，檢測(cè)發(fā)現(xiàn)隱藏于流經(jīng)網(wǎng)絡(luò)邊界正常信息流中的入侵行為，分析潛在威脅并進(jìn)行安全審計(jì)。
非控制區(qū)的網(wǎng)絡(luò)設(shè)備與安全設(shè)備應(yīng)當(dāng)進(jìn)行身份鑒別、訪(fǎng)問(wèn)權(quán)限控制、會(huì)話(huà)控制等安全配置加固?？梢詰?yīng)用電力調(diào)度輸子證書(shū)，在網(wǎng)絡(luò)設(shè)備和安全設(shè)備實(shí)現(xiàn)支持HTTPS的縱向安全WEB服務(wù)，能夠?qū)g覽器客戶(hù)端訪(fǎng)問(wèn)進(jìn)行身份認(rèn)證及加密傳輸。
生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)應(yīng)當(dāng)具備安全審計(jì)功能，能能夠?qū)Σ僮飨到y(tǒng)、數(shù)據(jù)庫(kù)、業(yè)務(wù)應(yīng)用的重要操作盡心記錄、分析，及時(shí)發(fā)現(xiàn)各種違規(guī)行為以及病毒和黑客的攻擊行為。對(duì)于遠(yuǎn)程用戶(hù)登陸到本地系統(tǒng)中的操作行為，應(yīng)當(dāng)進(jìn)行嚴(yán)格的安全審計(jì)。
具體方案
部署工控安全綜合監(jiān)管平臺(tái)、工業(yè)安全防火墻，深度解析工控協(xié)議，防范非法訪(fǎng)問(wèn)，迅速檢測(cè)異常網(wǎng)絡(luò)節(jié)點(diǎn)，及時(shí)預(yù)警，并監(jiān)控工業(yè)防火墻運(yùn)行狀態(tài)，實(shí)時(shí)獲取工控網(wǎng)安全事件日志和報(bào)警任務(wù)；
在操作員站和工程師站部署工控主機(jī)安全防護(hù)系統(tǒng)，防范非法程序和應(yīng)用以及未經(jīng)授權(quán)的任何行為；
部署堡壘機(jī)及工控安全綜合審計(jì)系統(tǒng)，對(duì)違規(guī)操作行為進(jìn)行控制和審計(jì)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受外部和內(nèi)部用戶(hù)的入侵和破壞；
采用工控安全隔離網(wǎng)閘設(shè)備，物理隔離中央控制室和各子站網(wǎng)，提供兩網(wǎng)數(shù)據(jù)交換安全通道，阻止來(lái)自上層網(wǎng)絡(luò)的非法訪(fǎng)問(wèn)以及病毒和惡意代碼的傳播。
1-智慧城市數(shù)據(jù)溯源保密安全解決方案
根據(jù)智慧城市數(shù)據(jù)交換平臺(tái)的需求情況，提出采用自主可控?cái)?shù)據(jù)共享與溯源綜合管理平臺(tái)（以下簡(jiǎn)稱(chēng)數(shù)據(jù)溯源系統(tǒng)）來(lái)實(shí)現(xiàn)智慧城市信息數(shù)據(jù)交換共享中的數(shù)據(jù)脫敏及溯源追蹤保密安全的痛點(diǎn)問(wèn)題。
系統(tǒng)部署于智慧城市數(shù)據(jù)交換共享中心內(nèi)部網(wǎng)絡(luò)當(dāng)中（不同安全域之間），當(dāng)智慧城市數(shù)據(jù)共享交換系統(tǒng)通過(guò)RestAPI獲取到DB數(shù)據(jù)提供者提供的相關(guān)數(shù)據(jù)后，該系統(tǒng)會(huì)將這些數(shù)據(jù)及其相應(yīng)的數(shù)據(jù)屬性信息提交到數(shù)據(jù)交換安全處理中心，該中心安全域內(nèi)部署了兩種數(shù)據(jù)安全處理系統(tǒng)，一為數(shù)據(jù)脫敏系統(tǒng)，第二為數(shù)據(jù)溯源交換系統(tǒng)。在該安全處理中心會(huì)對(duì)相關(guān)的數(shù)據(jù)進(jìn)行數(shù)據(jù)脫敏操作和數(shù)據(jù)溯源標(biāo)識(shí)操作。
1) 數(shù)據(jù)溯源種子植入。該操作步驟會(huì)按照溯源種子植入策略進(jìn)行敏感數(shù)據(jù)的溯源種子植入，處理完成后的數(shù)據(jù)將提交給智慧城市數(shù)據(jù)共享交換系統(tǒng)轉(zhuǎn)發(fā)給具體的數(shù)據(jù)使用者。
2) 數(shù)據(jù)溯源標(biāo)識(shí)。相應(yīng)的DB數(shù)據(jù)提供者的數(shù)據(jù)將會(huì)被打上知識(shí)產(chǎn)權(quán)標(biāo)簽，相關(guān)的宿主屬性會(huì)無(wú)縫地嵌入到現(xiàn)有的數(shù)據(jù)之上，并且不改變現(xiàn)有數(shù)據(jù)的任何結(jié)構(gòu)，當(dāng)這種數(shù)據(jù)進(jìn)入數(shù)據(jù)使用者的時(shí)候，不會(huì)影響數(shù)據(jù)使用者的使用，但是如果數(shù)據(jù)使用者將該數(shù)據(jù)泄露給其他公司或個(gè)人，智慧城市交換中心可以借助于該溯源追蹤平臺(tái)進(jìn)行審計(jì)和跟蹤，從而實(shí)現(xiàn)數(shù)據(jù)的非授權(quán)擴(kuò)散監(jiān)管問(wèn)題。
2-大數(shù)據(jù)安全脫敏系統(tǒng)解決方案
數(shù)據(jù)安全脫敏系統(tǒng)采用大數(shù)據(jù)分析技術(shù)來(lái)實(shí)現(xiàn)隱私數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)提取、數(shù)據(jù)漂白、測(cè)試數(shù)據(jù)管理、數(shù)據(jù)裝載等功能于一體的高性能數(shù)據(jù)脫敏設(shè)備。系統(tǒng)采用專(zhuān)用的脫敏處理算法對(duì)敏感數(shù)據(jù)進(jìn)行變形、屏蔽、替換、加密（格式保留加密處理和高強(qiáng)度加密處理），將敏感數(shù)據(jù)進(jìn)行處理后屏蔽了原有數(shù)據(jù)的敏感性，實(shí)現(xiàn)了數(shù)據(jù)的隱私性保護(hù)。同時(shí)脫敏后的數(shù)據(jù)保留了原有數(shù)據(jù)的數(shù)據(jù)結(jié)構(gòu)和數(shù)據(jù)的業(yè)務(wù)邏輯一致，也能維持脫敏前后的數(shù)據(jù)唯一性，如：身份證、銀行卡、手機(jī)號(hào)、IMSI等。使得上層應(yīng)用無(wú)需改變相應(yīng)的業(yè)務(wù)邏輯。
系統(tǒng)具有流程化、自動(dòng)化和作業(yè)復(fù)用等特點(diǎn)。作為軟硬一體化的設(shè)備，它擁有強(qiáng)大的功能、易于部署和使用等特點(diǎn)，開(kāi)箱即用式的優(yōu)勢(shì)能夠極大減輕工作人員的工作強(qiáng)度以及項(xiàng)目周期。
系統(tǒng)對(duì)主流數(shù)據(jù)類(lèi)型均能友好支持。包括支持國(guó)產(chǎn)關(guān)系型主流數(shù)據(jù)庫(kù)系統(tǒng)Oracle、Informix、SQL Server、DB2、MySQL。國(guó)產(chǎn)主流數(shù)據(jù)庫(kù)南大通用GBase、人大金倉(cāng)、虛谷等、非關(guān)系型主流數(shù)據(jù)庫(kù)Hive、MongoDB、Redis、Hbase等。
3-數(shù)據(jù)庫(kù)保密檢查解決方案
1. 需求
需要用新的技術(shù)手段實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)進(jìn)行高效涉密數(shù)據(jù)檢查。具體需求如下。
1)檢查范圍廣。包括結(jié)構(gòu)化數(shù)據(jù)庫(kù)、非結(jié)構(gòu)化數(shù)據(jù)庫(kù)、云計(jì)算的虛擬機(jī)和壓縮文件、大數(shù)據(jù)集群系統(tǒng)、服務(wù)器系統(tǒng)等
2)檢查效率高。需要快速對(duì)高達(dá)100T的數(shù)據(jù)庫(kù)進(jìn)行保密檢查，檢查效率是傳統(tǒng)方式的100-1000倍
3)檢查類(lèi)型多。需要對(duì)數(shù)據(jù)庫(kù)中涉及到的多種文本文件（Word、PDF等）、圖片文件中的數(shù)據(jù)進(jìn)行數(shù)據(jù)敏感性檢查
4)檢查精度高。需要能在海量數(shù)據(jù)庫(kù)內(nèi)容中精準(zhǔn)定位涉密信息或數(shù)據(jù)，誤報(bào)率低
5)多種檢查方法。需要提供多種檢查算法，能從多維度定位目標(biāo)數(shù)據(jù)系統(tǒng)。
2. 功能概述
系統(tǒng)采用大數(shù)據(jù)技術(shù)創(chuàng)新性地用于數(shù)據(jù)庫(kù)涉密信息檢查，能有效達(dá)到以下目標(biāo)。
1)高效采集。大數(shù)據(jù)Sqoop技術(shù)實(shí)現(xiàn)數(shù)據(jù)的分布式采集。
2)高效分析。大數(shù)據(jù)MapReduce技術(shù)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)內(nèi)容的快速分析和檢查
3)精準(zhǔn)定位。結(jié)合檢查專(zhuān)家?guī)?，快速?duì)政務(wù)敏感信息定位，并能生成詳盡的分析報(bào)告
數(shù)據(jù)庫(kù)保密檢查系統(tǒng)安裝部署方便，只需要保證與被檢查數(shù)據(jù)庫(kù)網(wǎng)絡(luò)可達(dá)即可；出于檢查效率的考慮，建議采用千兆及以上網(wǎng)絡(luò)環(huán)境。
資料更新中...
聯(lián)系地址：山西省太原市綜改示范區(qū)學(xué)府園區(qū)長(zhǎng)治路227號(hào)高新國(guó)際B座
郵編：030006
企業(yè)郵箱：sxtk_mail@163.com
電話(huà)：400-0351-366 18903512955
版權(quán)所有：山西天科信息安全科技有限公司 備案號(hào)：晉ICP備18011408號(hào)-1