鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案文獻(xiàn)

1、鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案概述背景伴隨著互聯(lián)網(wǎng)信息技術(shù)、工業(yè)自動(dòng)化技術(shù)的革命性突破和 全球經(jīng)濟(jì)一體化的發(fā)展，工業(yè)互聯(lián)網(wǎng)應(yīng)運(yùn)而生，弁迅速成為熱 門(mén)技術(shù)，已經(jīng)成為鋼鐵行業(yè)不斷研究和持續(xù)探索的熱點(diǎn)課題。 經(jīng)過(guò)近幾年的發(fā)展，鋼鐵工業(yè)互聯(lián)網(wǎng)的推廣普及已經(jīng)成為工業(yè) 經(jīng)濟(jì)發(fā)展提供了更多的內(nèi)驅(qū)力。為更好地激發(fā)工業(yè)互聯(lián)網(wǎng)的技 術(shù)潛能，引領(lǐng)工業(yè)互聯(lián)網(wǎng)技術(shù)實(shí)現(xiàn)技術(shù)應(yīng)用開(kāi)發(fā)。鋼鐵工業(yè)互 聯(lián)網(wǎng)是滿足工業(yè)智能化發(fā)展需求，具有低時(shí)延、高可靠、廣覆 蓋特點(diǎn)的關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施，是新一代信息通信技術(shù)與先進(jìn)制 造業(yè)深度融合所形成的新興業(yè)態(tài)與應(yīng)用模式。網(wǎng)絡(luò)體系是實(shí)現(xiàn)連接鋼鐵行業(yè)工業(yè)系統(tǒng)、全價(jià)值鏈、全

2、產(chǎn)業(yè) 鏈的基礎(chǔ)，包括網(wǎng)絡(luò)互連、標(biāo)識(shí)解析、應(yīng)用支撐三大體系。數(shù)據(jù)包括“采集交換-集成處理-建模分析-決策與控制”，形成 優(yōu)化 閉環(huán)，驅(qū)動(dòng)工業(yè)智能化。安全是鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)各個(gè)領(lǐng)域和環(huán)境的安全保障，包括設(shè)備安全、控制安全、網(wǎng)絡(luò)安全、應(yīng)用安 全和數(shù)據(jù)安全等。為加速提升工業(yè)互聯(lián)網(wǎng)的應(yīng)用質(zhì)量與效果，為我國(guó)的經(jīng)濟(jì)結(jié)構(gòu)調(diào)整、動(dòng)能轉(zhuǎn)換貢獻(xiàn)力量，全面推進(jìn)“中國(guó)制造2025”和“互聯(lián)網(wǎng)+”行動(dòng)計(jì)劃，有必要圍繞國(guó)家網(wǎng) 絡(luò)安全法和網(wǎng)絡(luò)安全等級(jí)保護(hù)制度加強(qiáng)對(duì)鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng) 信息安全領(lǐng)域解決方案的研究。適用范圍鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)。在工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)體系架構(gòu)中的位置本解決方案在下圖中所處的位置為。,-11聯(lián)網(wǎng)加智嬴生可

3、 所絡(luò)化尚1 7件化定制索瓦由石:科遂仿向II大用握哄0云”二、 t =U-外 wra 絡(luò)-一一 國(guó)聯(lián)圖/移動(dòng)同，專(zhuān)用同婚卜 11.腳急孫工與力-院影也3d都昌與工廠元平fl HF13VW4. WIKHVRB5工廠由觸牛鹿年工廠云Pr: t RNIHE6.工廠云平Riffle件 與引聲7. zrm( auto* ja wa產(chǎn)KXT圖1工業(yè)互聯(lián)網(wǎng)互聯(lián)示意圖砰流產(chǎn)拓需求分析鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)脆弱性分析操作系統(tǒng)漏洞PC與Windows的技術(shù)架構(gòu)現(xiàn)已成為控制系統(tǒng)上位機(jī)的主流。而在控制網(wǎng)絡(luò)中，上位機(jī)是實(shí)現(xiàn)與MES通信的主要網(wǎng)絡(luò)結(jié)點(diǎn)，因此其操作系統(tǒng)的漏洞就成為了整個(gè)控制網(wǎng)絡(luò)信息安全中的一個(gè) 短板。操作系統(tǒng)

4、漏洞頻繁出現(xiàn)，安全事故時(shí)有發(fā)生。以Windows XP版本為例，就曾被發(fā)現(xiàn)了大量漏洞，典型的如輸入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區(qū)溢出漏洞、 Printer 溢出漏洞、 Cookie 漏洞等等。這些漏洞大部分危害巨大，惡意代碼通過(guò)這些漏洞，可以獲得Windows XP操作站的完全控制權(quán)，甚至為所欲為。工業(yè)控制系統(tǒng)漏洞由于早期的鋼鐵行業(yè)工業(yè)控制系統(tǒng)都是在相對(duì)獨(dú)立的網(wǎng)絡(luò)環(huán)境下運(yùn)行，在產(chǎn)品設(shè)計(jì)和網(wǎng)絡(luò)部署時(shí)，只考慮了功能性和穩(wěn)定性，對(duì)安全性考慮不足。隨著鋼鐵行業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)之間互聯(lián)互通的不斷推進(jìn)，以及工控系統(tǒng)和工業(yè)設(shè)備接入互聯(lián)網(wǎng)的數(shù)量越來(lái)越多，通過(guò)互聯(lián)網(wǎng)對(duì)

5、工業(yè)控制系統(tǒng)實(shí)施攻擊的可能性越來(lái)越高，而每年新發(fā)現(xiàn)的SCAD、A DCS、 PLC 漏洞數(shù)量也不斷增加，這些都為鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)帶來(lái)巨大的安全隱患。工業(yè)網(wǎng)絡(luò)漏洞鋼鐵工業(yè)控制網(wǎng)絡(luò)的設(shè)備分布于廠區(qū)各處，由于網(wǎng)絡(luò)基礎(chǔ)設(shè)施的局限性，經(jīng)常需要無(wú)線網(wǎng)絡(luò)、衛(wèi)星、GPRS/CDM嚕通用傳輸手段來(lái)實(shí)現(xiàn)與調(diào)度中心的連接和數(shù)據(jù)交換。這些傳輸手段沒(méi)有足夠的安全保護(hù)和加密措施，很容易出現(xiàn)網(wǎng)絡(luò)竊聽(tīng)、數(shù)據(jù)劫持、第三人攻擊等安全問(wèn)題，而且攻擊者還可以利用不安全傳輸方式作為攻擊工業(yè)控制網(wǎng)絡(luò)的入口，實(shí)現(xiàn)對(duì)于整個(gè)工業(yè)控制網(wǎng)絡(luò)的滲透和控制。工業(yè)云平臺(tái)安全問(wèn)題在鋼鐵行業(yè)工業(yè)云平臺(tái)中，作為底層支撐技術(shù)的虛擬化技術(shù)在帶來(lái)效率提升和開(kāi)銷(xiāo)降

6、低的同時(shí) , 也帶來(lái)了一系列由于物理的共享與邏輯隔離的沖突而導(dǎo)致的數(shù)據(jù)安全問(wèn)題。在鋼鐵行業(yè)公有云環(huán)境下，不同機(jī)構(gòu)之間物理隔離的網(wǎng)絡(luò)被由網(wǎng)絡(luò)虛擬化技術(shù)構(gòu)建的虛擬網(wǎng)絡(luò)取代。這種網(wǎng)絡(luò)資源復(fù)用模式雖然實(shí)現(xiàn)了網(wǎng)絡(luò)資源的高效利用、網(wǎng)絡(luò)流量的集中分發(fā)，但也帶來(lái)了諸多安全問(wèn)題。鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全威脅分析來(lái)自外部網(wǎng)絡(luò)的滲透鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)會(huì)有較多的開(kāi)放服務(wù)，攻擊者可以通過(guò)掃描發(fā)現(xiàn)開(kāi)放服務(wù)，并利用開(kāi)放服務(wù)中的漏洞和缺陷登錄到網(wǎng)絡(luò)服務(wù)器獲取企業(yè)關(guān)鍵資料，同進(jìn)還可以利用辦公網(wǎng)絡(luò)作為跳板，逐步滲透到控制網(wǎng)絡(luò)中。通過(guò)對(duì)于辦公網(wǎng)絡(luò)和控制網(wǎng)絡(luò)一系列的滲透和攻擊，最終獲取企業(yè)重要的生產(chǎn)資料、關(guān)鍵配方，嚴(yán)重的是隨意更改控制

7、儀表的開(kāi)關(guān)狀態(tài)，惡意修改其控制量，造成重大的生產(chǎn)事故。帳號(hào)口令破解由于企業(yè)有對(duì)外開(kāi)放的應(yīng)用系統(tǒng)（如郵件系統(tǒng)） ，在登錄開(kāi)放應(yīng)用系統(tǒng)的時(shí)候需要進(jìn)行身份認(rèn)證，攻擊都通過(guò)弱口令掃描、Sniffer 密碼嗅探、暴力破解、信任人打探套取或社工比較合成口令等手段來(lái)獲取用戶的口令，這樣直接獲得系統(tǒng)或應(yīng)用權(quán)限。獲取了用戶權(quán)限就可以調(diào)取相關(guān)資料，惡意更改相關(guān)控制設(shè)施。利用移動(dòng)介質(zhì)攻擊當(dāng)帶有惡意程序的移動(dòng)介質(zhì)連接到工程師站或操作員站時(shí)，移動(dòng)介質(zhì)病毒會(huì)利用移動(dòng)介質(zhì)自運(yùn)行功能，自動(dòng)啟動(dòng)對(duì)控制設(shè)備進(jìn)行惡意攻擊或惡意指令下置。一方面造成網(wǎng)絡(luò)病毒在企業(yè)各個(gè)網(wǎng)絡(luò)層面自動(dòng)傳播和感染，靠成業(yè)務(wù)系統(tǒng)和控制系統(tǒng)性能的下降，從而影響企

8、業(yè)監(jiān)測(cè)、統(tǒng)籌、決策能力。另一方面會(huì)針對(duì)特定控制系統(tǒng)或設(shè)備進(jìn)行惡意更改其實(shí)際控制量，造成生成事故。PLC程序病毒的威脅通過(guò)對(duì)工程師站及編程服務(wù)器的控制，感染（替換）其相關(guān)程序，當(dāng) PLC 程序的下發(fā)時(shí)，惡意程序一起被下發(fā)到 PLC 控制設(shè)備上。惡意程序一方面篡改 PLC 的實(shí)際控制流，另一方面將運(yùn)算好的虛假數(shù)據(jù)發(fā)給PLC 的輸出，防止報(bào)警。通過(guò)這種方式造成現(xiàn)場(chǎng)設(shè)備的壓力、溫度、液位失控，但監(jiān)測(cè)系統(tǒng)不能及時(shí)發(fā)現(xiàn)，造成重大的安全事故。利用工業(yè)通信協(xié)議的缺陷Modbus DNP3 OPC等傳統(tǒng)工業(yè)協(xié)議缺乏身份認(rèn)證、授權(quán)以及加密等安全機(jī)制，利用中間人攻擊捕獲和篡改數(shù)據(jù)，給設(shè)備下達(dá)惡意指令，影響生產(chǎn)調(diào)度，

9、造成生產(chǎn)失控。利用無(wú)線網(wǎng)絡(luò)入侵控制網(wǎng)絡(luò)通過(guò)DTU 無(wú)線設(shè)備通過(guò)802.11b 協(xié)議連接到管理區(qū)的網(wǎng)絡(luò)，通過(guò)對(duì)網(wǎng)絡(luò)無(wú)線信息的收集，偵測(cè)WEP安全協(xié)議漏洞，破解無(wú)線存取設(shè)備與客戶之間的通訊，分析出接入密碼，從而成功接入控制網(wǎng)絡(luò)，控制現(xiàn)場(chǎng)設(shè)備，獲取機(jī)要信息，更改控制系統(tǒng)及設(shè)備的控制狀態(tài)，造成重大影響。解決方案設(shè)計(jì)思路鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全框架設(shè)計(jì)是在充分借鑒傳統(tǒng)網(wǎng)絡(luò)安全框架和國(guó)外工業(yè)互聯(lián)網(wǎng)安全相關(guān)框架的基礎(chǔ)上，結(jié)合我國(guó)鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)的特點(diǎn)研究并提出的，旨在指導(dǎo)鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)開(kāi)展安全防護(hù)體系建設(shè)，提升安全防護(hù)能力。鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全防護(hù)對(duì)象是明確工業(yè)互聯(lián)網(wǎng)安全防護(hù)工作范圍的基礎(chǔ)，并為防護(hù)工

10、作的實(shí)施指明方向。在傳統(tǒng) 網(wǎng)絡(luò)安全框架與工業(yè)互聯(lián)網(wǎng)安全相關(guān)框架中，都對(duì)其防護(hù)對(duì)象 做了明確界定，鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全體系部分也從防護(hù)對(duì) 象角度提出了工業(yè)互聯(lián)網(wǎng)安全的五大重點(diǎn)方向，即安全保障、 平臺(tái)安全、網(wǎng)絡(luò)安全、應(yīng)用安全和工控安全。安全建設(shè)目標(biāo)為確保鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)的正常運(yùn)轉(zhuǎn)和安全可信，應(yīng)對(duì)工業(yè)互聯(lián)網(wǎng)設(shè)定合理的安全目標(biāo)，并根據(jù)相應(yīng)的安全目標(biāo)進(jìn)行 風(fēng)險(xiǎn)評(píng)估和安全策略的選擇實(shí)施。工業(yè)互聯(lián)網(wǎng)安全目標(biāo)并非是 單一的，需要結(jié)合工業(yè)互聯(lián)網(wǎng)不同的安全需求進(jìn)行明確。工業(yè) 互聯(lián)網(wǎng)安全包括保密性、完整性、可用性、可靠性、彈性和隱 私六大目標(biāo)，這些目標(biāo)相互補(bǔ)充，共同構(gòu)成了保障工業(yè)互聯(lián)網(wǎng) 安全的關(guān)鍵特性。保密性：

11、確保信息在存儲(chǔ)、使用、傳輸過(guò)程中不會(huì)泄漏 給非授權(quán)用戶或?qū)嶓w。 完整性：確保信息在存儲(chǔ)、使用、傳輸過(guò)程中不會(huì)被非 授權(quán)用戶篡改，同時(shí)還要防止授權(quán)用戶對(duì)系統(tǒng)及信息進(jìn) 行不恰當(dāng)?shù)拇鄹?，保持信息?nèi)、外部表示的一致性。 可用性：確保授權(quán)用戶或?qū)嶓w對(duì)信息及資源的正常使用不 會(huì)被異常拒絕，允許其可靠而及時(shí)地訪問(wèn)信息及資源。 可靠性：確保工業(yè)互聯(lián)網(wǎng)系統(tǒng)在其壽命區(qū)間內(nèi)以及在正 常運(yùn)行條件下能夠正確執(zhí)行指定功能。 # 彈性回復(fù)：確保工業(yè)互聯(lián)網(wǎng)系統(tǒng)在受到攻擊或破壞后恢 復(fù)正常功能。隱私安全：確保工業(yè)互聯(lián)網(wǎng)系統(tǒng)內(nèi)用戶的隱私安全。安全設(shè)計(jì)框架鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全設(shè)計(jì)框架主要不同的防護(hù)對(duì)象部 署相應(yīng)的安全防護(hù)措施，根

12、據(jù)實(shí)時(shí)監(jiān)測(cè)結(jié)果發(fā)現(xiàn)網(wǎng)絡(luò)中存在的 或即將發(fā)生的安全問(wèn)題弁及時(shí)做出響應(yīng)。同時(shí)加強(qiáng)防護(hù)管理， 明確基于安全目標(biāo)持續(xù)改進(jìn)的管理方針，保障工業(yè)互聯(lián)網(wǎng)的持 續(xù)安全。鋼鐵工業(yè)互聯(lián)網(wǎng)安全框架如下圖所示。圖2鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全整體架構(gòu)圖鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全整體架構(gòu)設(shè)計(jì)主要考慮鋼鐵行業(yè) 以屬地化生產(chǎn)業(yè)務(wù)為主，因此聚焦于工廠內(nèi)網(wǎng)環(huán)境，主要分為 5個(gè)方面內(nèi)容組成，分別是安全保障體系、工業(yè)云平臺(tái)、工業(yè) 應(yīng)用、網(wǎng)絡(luò)安全和工業(yè)控制系統(tǒng)安全，其中鋼鐵行業(yè) IT層面 關(guān)注于安全保障體系、工業(yè)云平臺(tái)、工業(yè)應(yīng)用和網(wǎng)絡(luò)安全，OT層面關(guān)注于工業(yè)控制系統(tǒng)安全。鋼鐵行業(yè)IT層面安全建設(shè)方案安全保障體系安全評(píng)估鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)必須以

13、安全風(fēng)險(xiǎn)管控為切入點(diǎn)，必須定期對(duì)工業(yè)互聯(lián)網(wǎng)系統(tǒng)的各安全要素進(jìn)行風(fēng)險(xiǎn)評(píng)估。對(duì)應(yīng)工業(yè)互聯(lián)網(wǎng)整體安全目標(biāo)，分析整個(gè)工業(yè)互聯(lián)網(wǎng)系統(tǒng)的資產(chǎn)、脆弱性和威脅，評(píng)估安全隱患導(dǎo)致安全事件的可能性及影響，結(jié)合資產(chǎn)價(jià)值，明確風(fēng)險(xiǎn)的處置措施，包括預(yù)防、轉(zhuǎn)移、接受、補(bǔ)償、分散等，確保在工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)私密性、數(shù)據(jù)傳輸安全性、設(shè)備接入安全性、平臺(tái)訪問(wèn)控制安全性、平臺(tái)攻擊防范安全性等方面提供可信服務(wù)，并最終形成風(fēng)險(xiǎn)評(píng)估報(bào)告。安全監(jiān)測(cè)與預(yù)警鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)要構(gòu)建一個(gè)能覆蓋安全業(yè)務(wù)全生命周期的，以安全事件為核心，實(shí)現(xiàn)對(duì)安全事件的“預(yù)警、檢測(cè)、響應(yīng)”動(dòng)態(tài)防御體系。能夠在攻擊發(fā)生前進(jìn)行有效的預(yù)警和防護(hù)，在攻擊中進(jìn)行有效的攻擊檢測(cè)，

14、在攻擊后能快速定位故障，進(jìn)行有效響應(yīng)，避免實(shí)質(zhì)損失的發(fā)生。安全策略中描述了工業(yè)互聯(lián)網(wǎng)總體的安全考慮，并定義了保證工業(yè)互聯(lián)網(wǎng)日常正常運(yùn)行的指導(dǎo)方針及安全模型。通過(guò)結(jié)合安全目標(biāo)以及風(fēng)險(xiǎn)評(píng)估結(jié)果，明確當(dāng)前工業(yè)互聯(lián)網(wǎng)各方面的安全策略，包括對(duì)設(shè)備、控制、網(wǎng)絡(luò)、應(yīng)用、數(shù)據(jù)等防護(hù)對(duì)象應(yīng)采取的防護(hù)措施，以及監(jiān)測(cè)響應(yīng)及處置恢復(fù)措施等。同時(shí)，為打造持續(xù)安全的工業(yè)互聯(lián)網(wǎng)，面對(duì)不斷出現(xiàn)的新的威脅，需不斷完善安全策略。安全威脅感知 # 鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全威脅監(jiān)測(cè)感知是部署相應(yīng)的安全監(jiān)測(cè)措施，主動(dòng)來(lái)自系統(tǒng)內(nèi)外部的安全風(fēng)險(xiǎn)，具體措施包括數(shù)據(jù)采集、收集匯聚、特征提取、關(guān)聯(lián)分析、狀態(tài)感知等。數(shù)據(jù)采集指對(duì)工業(yè)現(xiàn)場(chǎng)網(wǎng)絡(luò)及工業(yè)互

15、聯(lián)網(wǎng)平臺(tái)中各類(lèi)數(shù)據(jù)進(jìn)行采集，為網(wǎng)絡(luò)異常分析、設(shè)備預(yù)測(cè)性維護(hù)等提供數(shù)據(jù)來(lái)源。對(duì)于數(shù)據(jù)的收集匯聚主要分為兩個(gè)方面。一是對(duì)SCADA、 MES、 ERP 等工業(yè)控制系統(tǒng)及應(yīng)用系統(tǒng)所產(chǎn)生的關(guān)鍵工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行匯聚，包括產(chǎn)品全生命周期的各類(lèi)數(shù)據(jù)的同步采集、管理、存儲(chǔ)及查詢，為后續(xù)過(guò)程提供數(shù)據(jù)來(lái)源。二是對(duì)全網(wǎng)流量進(jìn)行監(jiān)聽(tīng)，并將監(jiān)聽(tīng)過(guò)程中采集到的數(shù)據(jù)進(jìn)行匯聚。特征提取是指對(duì)數(shù)據(jù)特征進(jìn)行提取、篩選、分類(lèi)、優(yōu)先級(jí)排序、可讀等處理，從而實(shí)現(xiàn)從數(shù)據(jù)到信息的轉(zhuǎn)化過(guò)程，該過(guò)程主要是針對(duì)單個(gè)設(shè)備或單個(gè)網(wǎng)絡(luò)的縱向數(shù)據(jù)分析。信息主要包括內(nèi)容和情景兩方面，內(nèi)容指工業(yè)互聯(lián)網(wǎng)中的設(shè)備信號(hào)處理結(jié)果、監(jiān)控傳輸特性、性能曲線、健康狀況

16、、報(bào)警信息、DNC及SCAD刎絡(luò)流量等；情景指設(shè)備的運(yùn)行工況、維護(hù)保養(yǎng)記錄、人員操作指令、人員訪問(wèn)狀態(tài)、生產(chǎn)任務(wù)目標(biāo)、行業(yè)銷(xiāo)售機(jī)理等。關(guān)聯(lián)分析過(guò)程通過(guò)將運(yùn)行機(jī)理、運(yùn)行環(huán)境、操作內(nèi)容、外部威脅情報(bào)等有機(jī)結(jié)合，基于大數(shù)據(jù)進(jìn)行橫向大數(shù)據(jù)分析和多維分析，利用群體經(jīng)驗(yàn)預(yù)測(cè)單個(gè)設(shè)備的安全情況，或根據(jù)歷史狀況和當(dāng)前狀態(tài)的差異發(fā)現(xiàn)網(wǎng)絡(luò)及系統(tǒng)異常。狀態(tài)感知基于關(guān)聯(lián)分析過(guò)程，實(shí)現(xiàn)對(duì)企業(yè)工業(yè)互聯(lián)網(wǎng)運(yùn)行規(guī)律、異常情況、安全目標(biāo)、安全態(tài)勢(shì)、業(yè)務(wù)背景等的認(rèn)知，確定安全基線，結(jié)合大數(shù)據(jù)分析技術(shù)，發(fā)現(xiàn)潛在威脅、預(yù)測(cè)黑客攻擊。3.4.2 工業(yè)云平臺(tái)安全4) 大數(shù)據(jù)安全監(jiān)測(cè) 3.4.2 工業(yè)云平臺(tái)安全4) 大數(shù)據(jù)安全監(jiān)測(cè) 對(duì)于鋼

17、鐵行業(yè)工業(yè)互聯(lián)網(wǎng)平臺(tái)是業(yè)務(wù)生產(chǎn)穩(wěn)定運(yùn)行的基礎(chǔ)保障，可采取的安全措施包括安全審計(jì)、認(rèn)證授權(quán)、大數(shù)據(jù)安全分析等。并對(duì)平臺(tái)公開(kāi)漏洞和后門(mén)并加以修補(bǔ)；對(duì)惡意行為進(jìn)行實(shí)時(shí)監(jiān)測(cè)，以發(fā)現(xiàn)可疑行為并進(jìn)行異常阻止，從而降低未公開(kāi)漏洞產(chǎn)生的危害。安全審計(jì)安全審計(jì)主要是指對(duì)平臺(tái)中與安全有關(guān)的活動(dòng)的相關(guān)信息進(jìn)行識(shí)別、記錄、存儲(chǔ)和分析。平臺(tái)建設(shè)過(guò)程中應(yīng)考慮具備一定的安全審計(jì)功能，將平臺(tái)與安全有關(guān)的信息進(jìn)行有效識(shí)別、充分記錄、長(zhǎng)時(shí)間的存儲(chǔ)和自動(dòng)分析。能對(duì)平臺(tái)的安全狀況做到持續(xù)、動(dòng)態(tài)、實(shí)時(shí)的有依據(jù)的安全審計(jì)，并向用戶提供安全審計(jì)的標(biāo)準(zhǔn)和結(jié)果。認(rèn)證授權(quán)工業(yè)互聯(lián)網(wǎng)平臺(tái)用戶分屬不同企業(yè)，需要采取嚴(yán)格的認(rèn)證授權(quán)機(jī)制保證不同用戶能夠

18、訪問(wèn)不同的數(shù)據(jù)資產(chǎn)。同時(shí)，認(rèn)證授權(quán)需要采用更加靈活的方式，確保用戶間可以通過(guò)多種方式將數(shù)據(jù)資產(chǎn)分模塊分享給不同的合作伙伴。安全隔離平臺(tái)不同用戶之間應(yīng)當(dāng)采取必要的措施實(shí)現(xiàn)充分隔離，防止蠕蟲(chóng)病毒等安全威脅通過(guò)平臺(tái)向不同用戶擴(kuò)散。平臺(tái)不同應(yīng)用之間也要采用嚴(yán)格的隔離措施，防止單個(gè)應(yīng)用的漏洞影響其他應(yīng)用甚至整個(gè)平臺(tái)的安全。 1) 代碼審計(jì) 基于大數(shù)據(jù)安全監(jiān)測(cè)技術(shù)，對(duì)平臺(tái)實(shí)施集中、實(shí)時(shí)的安全監(jiān)測(cè)，監(jiān)測(cè)內(nèi)容包括各種物理和虛擬資源的運(yùn)行狀態(tài)等。通過(guò)對(duì)系統(tǒng)運(yùn)行參數(shù)(如網(wǎng)絡(luò)流量、主機(jī)資源和存儲(chǔ)等)以及各類(lèi)日志進(jìn)行分析，確保工業(yè)互聯(lián)網(wǎng)平臺(tái)提供商可執(zhí)行故障管理、性能管理和自動(dòng)檢修管理，從而實(shí)現(xiàn)平臺(tái)運(yùn)行狀態(tài)的實(shí)時(shí)監(jiān)測(cè)。

19、補(bǔ)丁升級(jí) 鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)平臺(tái)搭建在眾多底層軟件和組件基礎(chǔ)之上。由于工業(yè)生產(chǎn)對(duì)于運(yùn)行連續(xù)性的要求較高，中斷平臺(tái)運(yùn)行進(jìn)行補(bǔ)丁升級(jí)的代價(jià)較大。因此平臺(tái)在設(shè)計(jì)之初就應(yīng)當(dāng)充分考慮如何對(duì)平臺(tái)進(jìn)行補(bǔ)丁升級(jí)的問(wèn)題。虛擬化安全 虛擬化是邊緣計(jì)算和云計(jì)算為基礎(chǔ)，為避免虛擬化出現(xiàn)安全問(wèn)題影響上層平臺(tái)安全，在平臺(tái)安全防護(hù)中要充分考慮虛擬化安全。虛擬化安全的核心是實(shí)現(xiàn)不同層次及不同用戶的有效隔離，其安全增強(qiáng)可以通過(guò)采用虛擬化加固等防護(hù)措施來(lái)實(shí)現(xiàn)，并增加惡意代碼檢測(cè)及防病毒安全體系。3.4.3 工業(yè)應(yīng)用安全鋼鐵行業(yè)工業(yè)應(yīng)用軟件是推進(jìn)智能化生產(chǎn)、網(wǎng)絡(luò)化協(xié)同、個(gè)性化定制、服務(wù)化延伸等方面的重要載體。對(duì)工業(yè)應(yīng)用程序而言，最

20、大的風(fēng)險(xiǎn)來(lái)自安全漏洞，包括開(kāi)發(fā)過(guò)程中編碼不符合安全規(guī)范而導(dǎo)致的軟件本身的漏洞以及由于使用不安全的第三方組件而引起的漏洞等。代碼審計(jì)指檢查源代碼中的缺點(diǎn)和錯(cuò)誤信息，分析并找到這些問(wèn)題引發(fā)的安全漏洞，并提供代碼修訂措施和建議。開(kāi)發(fā)過(guò)程中應(yīng)該進(jìn)行必要的代碼審計(jì)，發(fā)現(xiàn)代碼中存在的安全缺陷并給出相應(yīng)的修補(bǔ)建議。企業(yè)應(yīng)對(duì)工業(yè)應(yīng)用程序開(kāi)發(fā)者進(jìn)行軟件源代碼安全培訓(xùn)，包括：了解應(yīng)用程序安全開(kāi)發(fā)生命周期(SDL)的每個(gè)環(huán)節(jié)，如何對(duì)應(yīng)用程序進(jìn)行安全架構(gòu)設(shè)計(jì)，具備所使用編程語(yǔ)言的安全編碼常識(shí)，了解常見(jiàn)源代碼安全漏洞的產(chǎn)生機(jī)理、導(dǎo)致后果及防范措施，熟悉安全開(kāi)發(fā)標(biāo)準(zhǔn)，指導(dǎo)開(kāi)發(fā)人員進(jìn)行安全開(kāi)發(fā)，減少開(kāi)發(fā)者引入的漏洞和缺陷等

21、，從而提高工業(yè)應(yīng)用程序安全水平。漏洞發(fā)現(xiàn)漏洞發(fā)現(xiàn)是指基于漏洞數(shù)據(jù)庫(kù)，通過(guò)掃描等手段對(duì)指定工業(yè)應(yīng)用程序的安全脆弱性進(jìn)行檢測(cè)，發(fā)現(xiàn)可利用漏洞的一種安全檢測(cè)行為。在應(yīng)用程序上線前和運(yùn)行過(guò)程中，要定期對(duì)其進(jìn)行漏洞發(fā)現(xiàn)，及時(shí)發(fā)現(xiàn)漏洞并采取補(bǔ)救措施。審核測(cè)試對(duì)工業(yè)應(yīng)用程序進(jìn)行審核測(cè)試是為了發(fā)現(xiàn)功能和邏輯上的問(wèn)題。在上線前對(duì)其進(jìn)行必要的審核測(cè)試，有效避免信息泄漏、資源浪費(fèi)或其他影響應(yīng)用程序可用性的安全隱患。行為監(jiān)測(cè)和異常阻止對(duì)工業(yè)應(yīng)用程序進(jìn)行實(shí)時(shí)的行為監(jiān)測(cè)，通過(guò)靜態(tài)行為規(guī)則匹配或者機(jī)器學(xué)習(xí)的方法，發(fā)現(xiàn)異常行為，發(fā)出警告或者阻止 高危行為，從而降低影響。防篡改及身份授權(quán)工業(yè)互聯(lián)網(wǎng)中的控制軟件可歸納為數(shù)據(jù)采集軟

22、件、組態(tài)軟件、過(guò)程監(jiān)督與控制軟件、單元監(jiān)控軟件、過(guò)程仿真軟件、過(guò)程優(yōu)化軟件、專(zhuān)家系統(tǒng)、人工智能軟件等類(lèi)型。增加工業(yè)軟件防篡改功能，保障控制軟件安全的重要環(huán)節(jié)，對(duì)于控制軟件應(yīng)采取惡意代碼檢測(cè)、預(yù)防和恢復(fù)的控制措施。3.4.4 網(wǎng)絡(luò)安全鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)的發(fā)展使得工廠內(nèi)部網(wǎng)絡(luò)呈現(xiàn)出 IP 化、無(wú)線化、組網(wǎng)方式靈活化與全局化的特點(diǎn)，工廠外網(wǎng)呈現(xiàn)出信息網(wǎng)絡(luò)與控制網(wǎng)絡(luò)逐漸融合、企業(yè)專(zhuān)網(wǎng)與互聯(lián)網(wǎng)逐漸融合以及產(chǎn)品服務(wù)日益互聯(lián)網(wǎng)化的特點(diǎn)，是造成傳統(tǒng)互聯(lián)網(wǎng)中的網(wǎng)絡(luò)安全問(wèn)題開(kāi)始向工業(yè)互聯(lián)網(wǎng)蔓延，鋼鐵行業(yè)應(yīng)用過(guò)程中主要表現(xiàn)為以下幾個(gè)方面：工業(yè)互聯(lián)協(xié)議由專(zhuān)有協(xié)議向以太網(wǎng) /IP 協(xié) 議轉(zhuǎn)變，導(dǎo)致攻擊門(mén)檻極大降低；工廠

23、現(xiàn)有10M/100M工業(yè)以太網(wǎng)交換機(jī)性能較低；工廠網(wǎng)絡(luò)互聯(lián)、生產(chǎn)、運(yùn)營(yíng)逐漸由靜態(tài)轉(zhuǎn)變?yōu)閯?dòng)態(tài)，安全策略面臨嚴(yán)峻挑戰(zhàn)等。隨著工廠業(yè)務(wù)的拓展和新技術(shù)的不斷應(yīng)用，今后還會(huì)面臨5G/SDN等新技術(shù)引入、工廠內(nèi)外網(wǎng)互聯(lián)互通進(jìn)一步深化等帶來(lái)的安全風(fēng)險(xiǎn)。工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全防護(hù)應(yīng)面向工廠內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)及標(biāo)識(shí)解析系統(tǒng)等方面，具體包括融合網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化、邊界安全防護(hù)、接入認(rèn)證、通信內(nèi)容防護(hù)、通信設(shè)備防護(hù)、安全監(jiān)測(cè)審計(jì)等多種防護(hù)措施，構(gòu)筑立體化的網(wǎng)絡(luò)安全防護(hù)體系。優(yōu)化網(wǎng)絡(luò)架構(gòu)在網(wǎng)絡(luò)規(guī)劃階段，需設(shè)計(jì)合理的網(wǎng)絡(luò)結(jié)構(gòu)。一方面通過(guò)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)和標(biāo)識(shí)解析節(jié)點(diǎn)采用雙機(jī)熱備和負(fù)載均衡等技術(shù)，應(yīng)對(duì)業(yè)務(wù)高峰時(shí)期突發(fā)的大數(shù)據(jù)流量和意

24、外故障引發(fā)的業(yè)務(wù)連續(xù)性問(wèn)題，確保網(wǎng)絡(luò)長(zhǎng)期穩(wěn)定可靠運(yùn)行。另一方面通過(guò)合理的網(wǎng)絡(luò)結(jié)構(gòu)和設(shè)置提高網(wǎng)絡(luò)的靈活性和可擴(kuò)展性，為后續(xù)網(wǎng)絡(luò)擴(kuò)容做好準(zhǔn)備。網(wǎng)絡(luò)邊界安全根據(jù)工業(yè)互聯(lián)網(wǎng)中網(wǎng)絡(luò)設(shè)備和業(yè)務(wù)系統(tǒng)的重要程度將整個(gè)網(wǎng)絡(luò)劃分成不同的安全域，形成縱深防御體系。安全域是一個(gè)邏輯區(qū)域，同一安全域中的設(shè)備資產(chǎn)具有相同或相近的安全屬性，如安全級(jí)別、安全威脅、安全脆弱性等，同一安全域內(nèi)的系統(tǒng)相互信任。在安全域之間采用網(wǎng)絡(luò)邊界控制設(shè)備，以邏輯串接的方式進(jìn)行部署，對(duì)安全域邊界進(jìn)行監(jiān)視，識(shí)別邊界上的入侵行為并進(jìn)行有效阻斷。網(wǎng)絡(luò)接入認(rèn)證接入網(wǎng)絡(luò)的設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)應(yīng)該具有唯一性標(biāo)識(shí)，網(wǎng)絡(luò)應(yīng)對(duì)接入的設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)進(jìn)行身份認(rèn)證，

25、保證合法接入和合法連接，對(duì)非法設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)的接入行為進(jìn)行阻斷與告警，形成網(wǎng)絡(luò)可信接入機(jī)制。網(wǎng)絡(luò)接入認(rèn)證可采用基于數(shù)字證書(shū)的身份認(rèn)證等機(jī)制來(lái)實(shí)現(xiàn)。通信和傳輸保護(hù)通信和傳輸保護(hù)是指采用相關(guān)技術(shù)手段來(lái)保證通信過(guò)程中的機(jī)密性、完整性和有效性，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中被竊取或篡改，并保證合法用戶對(duì)信息和資源的有效使用。通過(guò)加密等方式保證非法竊取的網(wǎng)絡(luò)傳輸數(shù)據(jù)無(wú)法被非法用戶識(shí)別和提取有效信息。增加網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)采取校驗(yàn)機(jī)制，確保被篡改的信息能夠被接收方有效鑒別。應(yīng)確保接收方能夠接收到網(wǎng) 絡(luò)數(shù)據(jù)，并且能夠被合法用戶正常使用。網(wǎng)絡(luò)設(shè)備安全防護(hù)為了提高網(wǎng)絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)自身的安全性，保障其正常運(yùn)行，網(wǎng)

26、絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)需要采取一系列安全防護(hù)措施，對(duì)登錄網(wǎng)絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)進(jìn)行運(yùn)維的用戶進(jìn)行身份鑒別，并確保身份鑒別信息不易被破解與冒用；對(duì)遠(yuǎn)程登錄網(wǎng)絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)的源地址進(jìn)行限制；對(duì)網(wǎng)絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)的登錄過(guò)程采取完備的登錄失敗處理措施；啟用安全的登錄方式(如 SSH 或 HTTPS 等) 。安全監(jiān)測(cè)審計(jì)網(wǎng)絡(luò)安全監(jiān)測(cè)指通過(guò)漏洞掃描工具等方式探測(cè)網(wǎng)絡(luò)設(shè)備與標(biāo)識(shí)解析節(jié)點(diǎn)的漏洞情況，并及時(shí)提供預(yù)警信息。網(wǎng)絡(luò)安全審計(jì)指通過(guò)鏡像或代理等方式分析網(wǎng)絡(luò)與標(biāo)識(shí)解析系統(tǒng)中的流量，并記錄網(wǎng)絡(luò)與標(biāo)識(shí)解析系統(tǒng)中的系統(tǒng)活動(dòng)和用戶活動(dòng)等各類(lèi)操作行為以及設(shè)備運(yùn)行信息，發(fā)現(xiàn)系統(tǒng)中現(xiàn)有的和潛在的安全威脅，實(shí)時(shí)分析

27、網(wǎng)絡(luò)與標(biāo)識(shí)解析系統(tǒng)中發(fā)生的安全事件并告警。同時(shí)記錄內(nèi)部人員的錯(cuò)誤操作和越權(quán)操作，并進(jìn)行及時(shí)告警，減少內(nèi)部非惡意操作導(dǎo)致的安全隱患。數(shù)據(jù)安全鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)相關(guān)的數(shù)據(jù)按照其屬性或特征，可以分為四大類(lèi)：設(shè)備數(shù)據(jù)、業(yè)務(wù)系統(tǒng)數(shù)據(jù)、知識(shí)庫(kù)數(shù)據(jù)、用戶個(gè)人數(shù)據(jù)。根據(jù)數(shù)據(jù)敏感程度的不同，可將工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)和敏感數(shù)據(jù)三種。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)涉及數(shù)382 # ip -Z)3中南初一育tMK 干虻筌工理常立E 世，.上 中 F 拴力用轉(zhuǎn)浩臨IT T位L立也空現(xiàn)把憒世方W及累中皂挖據(jù)采集、傳輸、存儲(chǔ)、處理等各個(gè)環(huán)節(jié)。隨著工廠數(shù)據(jù)由少量、 單一、單向向大量、多維、雙向轉(zhuǎn)變，工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)體量不 斷增

28、大、種類(lèi)不斷增多、結(jié)構(gòu)日趨復(fù)雜，弁出現(xiàn)數(shù)據(jù)在工廠內(nèi) 部與外部網(wǎng)絡(luò)之間的雙向流動(dòng)共享。由此帶來(lái)的安全風(fēng)險(xiǎn)主要 包括數(shù)據(jù)泄露、非授權(quán)分析、用戶個(gè)人信息泄露等。對(duì)于鋼鐵 行業(yè)工業(yè)互聯(lián)網(wǎng)的數(shù)據(jù)安全防護(hù)，應(yīng)采取明示用途、數(shù)據(jù)加密、 訪問(wèn)控制、業(yè)務(wù)隔離、接入認(rèn)證、數(shù)據(jù)脫敏等多種防護(hù)措施， 覆蓋包括數(shù)據(jù)收集、傳輸、存儲(chǔ)、處理等在內(nèi)的全生命周期的 各個(gè)環(huán)節(jié)。3.5 鋼鐵行業(yè)OT層面安全建設(shè)方案隨著鋼鐵行業(yè)信息化的推進(jìn)，MES EMS的建設(shè)越來(lái)越多，原本相互獨(dú)立 DCS PLG儀器儀表、SCADA等控制子系統(tǒng)需要 通過(guò)網(wǎng)絡(luò)和信息系統(tǒng)連接在一起，這些子系統(tǒng)，負(fù)責(zé)完成對(duì)原 料供配、焦化、燒結(jié)、煉鐵、煉鋼、除塵、連鑄

29、等控制任務(wù)， 一旦受到惡性攻擊、病毒感染，就會(huì)導(dǎo)致工控系統(tǒng)的控制組件 和整個(gè)生產(chǎn)線被迫停止運(yùn)轉(zhuǎn)，甚至造成人員傷亡等嚴(yán)重后果。技術(shù)保障體系,VNUZLUJU逗MM時(shí)干說(shuō)自航一號(hào)】反m行叫福si酷郎4國(guó)圖3鋼鐵行業(yè)工業(yè)控制系統(tǒng)安全架構(gòu)圖 可 鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全主要采用分層隔離、縱深防御的 模型設(shè)計(jì)，整體架構(gòu)設(shè)計(jì)如上圖所示。鋼鐵行業(yè)工業(yè)控制系統(tǒng)分為五層結(jié)構(gòu)， L5 是企業(yè)問(wèn)的管理決策系統(tǒng)， L4 是面向整個(gè)企業(yè)內(nèi)部管理和計(jì)劃的 ERP 系統(tǒng)， L3是面向生產(chǎn)和執(zhí)行過(guò)程的 MES 系統(tǒng)， L2 是面向生產(chǎn)過(guò)程和控制的PCS(i程才制)系統(tǒng)，L1是生產(chǎn)設(shè)備控制系統(tǒng)?；跀?shù)據(jù)采集、設(shè)備控制的安全考慮，防護(hù)方案如下：邊界、區(qū)域及終端防護(hù)在 L2 與 L1 之間、 L1 內(nèi)部部署工業(yè)控制防火墻及網(wǎng)絡(luò)防毒墻進(jìn)行邊界和終端防護(hù)，通過(guò)工業(yè)協(xié)議的深度解析確保過(guò)程控制系統(tǒng)與現(xiàn)場(chǎng)控制設(shè)備之間、 HMI 和現(xiàn)場(chǎng)控制設(shè)備之間通訊與控制的合法性；通過(guò)“黑”、“白”名單相結(jié)合的防護(hù)機(jī)制，有效阻止網(wǎng)絡(luò)病毒、非法入侵、惡意控制等的威脅。集中審計(jì)和安全管控在 L2 層、 L1 層部署工控監(jiān)測(cè)審計(jì)終端，詳細(xì)記錄過(guò)程控制系統(tǒng)和 HMI 對(duì)現(xiàn)場(chǎng)控制設(shè)備的操作過(guò)程，實(shí)現(xiàn)對(duì)關(guān)鍵參數(shù)配置實(shí)時(shí)監(jiān)測(cè)與安全審計(jì)并進(jìn)行及時(shí)的預(yù)警響應(yīng)。