等保20时代智能工控安全建设方案.docx

《等保20时代智能工控安全建设方案.docx》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、等保2.0时代智能工控安全建设方案i0=白够学吧1.概述3••…2.什么是工业控制系统3…3.等保2.0之工控安全要求解读.5…4.小结1131.概述网络安全等级保护（以下简称，等保2.0）相较于等保1.0《GB/T22239-2008信息安全技术信息系统安全等级保护基本要求》，一个主要变化是将原来的基本安全要求升级为通用安全要求和安全扩展要求，其中，安全扩展要求针对个性化保护需求提出，需要根据安全保护等级和使用的特定技术或特定的应用场景选择性实现安全扩展要求，而工业控制系统扩展要求为五大扩展要求的重要组成部分。2.什么是工业控制系统根据《GB/T32919-2016信息安全技术工业控制系统安

2、全控制应用指南》定义，工业控制系统（ICS）是一个通用术语，它包括多种工业生成中使用的控制系统，包括监控和数据采集系统（SCADA）、分布式控制系统（DCS）和其他较小的控制系统，如可编程逻辑控制器（PLC），典型系统示意图见图1所示，现已广泛应用在电力、能源、化工、水利、制药、污水处理、石油天然气、交通运输以及航空航天等工业领域和关键基础设施j)AIE却耐■魁时！■JT-ri密in1Igra#'SCADA系统DCS33注：上图摘自《NISTSP800-82r2GuidetoIndustrialControlSystems(ICS)Security3tSiI白鸽学吧工业控制系统有着许多区别于传

3、统别。图1工业控制系统示意图IT系统的特点，本文通过图2及表1简要说明二者之间的差首先是图2所示的信息安全CIA三原则优先级的差异:CIA三原则的优先级传统IT可用性4ICS图2CIA三原则优先级对比其次，在其他管理维度也存在着诸多差异：5分类IT系统ICSj性能要求非实时，可接受高延迟或抖动实时】不能出现烏延迟或抖动可用性耍求可用性缺陷足可接逐的,如重启等可用性要求高,甚至需要冗余系统保证可用性风险管理耍求数撮保密性和充第性礙为朿要，可容忍可用性缺軌主要凤险影咱是业务操作的延迟人身安全和过程保护嚴蔭嗨1容错必不町少希主姿凤险影响是不合规*环境影晌J生命、设备或生产损失系顿运行典型的商用操作系

4、统除通用操作系统’还包括专有操作系统资源限制+系统资源充足内存和计算贵源有限通信标准通倍协议尸商利有协议及通讯协议变更管理变更及时，一般是H动执ir递增方式部署,且变更应实现制定计划?可以运行厂商不再支持的系统管理支持；支持模武多元化依赖单•供应商俎件生命周期10-15年组件部署位置通常在本地，可方便访问可以是隔离的、远程的，坊问较困难注：上图摘自《NISTSP800-82r2GuidetoIndustrialControlSystems(ICS)Security》表1IT系统和ICS的差异梳理由于工业控制系统与IT系统之间的上述差异，IT系统的通用安全要求无法直接满足工业控制系统，因此，等保

5、2.0针对工业控制系统的扩展要求即是结合工业控制系统的特定场景提出的有针对性的要求。1.等保2.0之工控安全要求解读根据等保2.0附录G,工业控制系统主要分为5个层次：现场设备层、现场控制层、过程监控层、生产管理层以及企业资源层，如图3所示。5注：上图摘自《GB/T22239-2019信息安全技术网络安全等级保护基本要求》图3工业控制系统功能层次模型工业控制系统安全扩展要求则主要针对现场设备层和现场控制层提出网络安全要求，具体包括5个控制域和9个控制点，表2为工业控制系统安全扩展要求概况。50=白够学吧控制域控制点箜求数冃级〔级三级四级京全物理坏境窣外控制设备物理防护22222'安全通信网络网

6、络架构323r3r3通信传输10111安全区域边界访问控制21222拨号便用控制30123无线使用控制4224r4安全计莫环境控制设备安全5225P5女全雀设管理产品采购和使用10111外包软件开发10111注：信息系统安全等级保护定级方法请参考《GB22240-2008信息安全技术信息系统安全等级保护定级指南》表2工业控制系统安全扩展要求概况本文摘选三级技术安全控制点进行简要的分析如下：01室外控制设备物理防护a）室外控制设备应放置于采用铁板或其他防火材料制作的箱体或者装置中并紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等；b）室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避

7、免应及时做好应急处置及检修，保证设备正常运行。该项要求为物理安全要求，实践中发现各企业基本能够做到物理安全。02网络架构a）工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用符合国家或行业规定的专用产品实现单向安全隔离；安全域之间应采用技术隔离手段;b）工业控制系统内部应根据业务特点划分为不同的安全域,c）涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与