工業(yè)4.0是德國人提出的概念，認為制造業(yè)未來只能通過智能化的生產(chǎn)創(chuàng)造價值，而美國則提出工業(yè)互聯(lián)網(wǎng)，以通用電氣（GE）為代表，注重通過機器互聯(lián)、軟件及大數(shù)據(jù)分析，提升生產(chǎn)效率，創(chuàng)造數(shù)字工業(yè)的未來。兩化融合，管控一體化等推進，將傳統(tǒng)的工控孤島與辦公網(wǎng)、互聯(lián)網(wǎng)進行連接，而工控系統(tǒng)應用傳統(tǒng)總線協(xié)議，欠缺對安全性的考慮，導致安全漏洞、隱患嚴重。工控安全事件頻發(fā)。
據(jù)權(quán)威工業(yè)安全事件信息庫RISI統(tǒng)計，截止到2011年10月，全球已發(fā)生200余起針對工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開發(fā)標準與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長，結(jié)果導致整體控制系統(tǒng)的故障，甚至惡性安全事故，對人員、設備和環(huán)境造成嚴重的后果。比如伊朗核電站的震網(wǎng)病毒事件，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切。
我國工控領(lǐng)域的安全可靠性問題突出，工控系統(tǒng)的復雜化、IT化和通用化加劇了系統(tǒng)的安全隱患，潛在的更大威脅是我國工控產(chǎn)業(yè)綜合競爭力不強，嵌入式軟件、總線協(xié)議、工控軟件等核心技術(shù)受制于國外，缺乏自主的通信安全、信息安全、安全可靠性測試等標準。工信部發(fā)布《關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知》，要求加強與國計民生緊密相關(guān)的多個重點領(lǐng)域內(nèi)工業(yè)控制系統(tǒng)信息安全管理。事實告訴我們，只有做到居安思危、未雨綢繆，才能保證工業(yè)控制系統(tǒng)健康穩(wěn)定地運行。
安全產(chǎn)品現(xiàn)狀
- 工業(yè)防火墻、工業(yè)安全網(wǎng)關(guān)產(chǎn)品大多使用X86架構(gòu)，在商業(yè)安全產(chǎn)品中屬低端產(chǎn)品，吞吐量在100M級別，不能勝任1000M網(wǎng)絡容量，當網(wǎng)絡負載大時工業(yè)防火墻成為網(wǎng)絡瓶頸。
- 工業(yè)防火墻相關(guān)產(chǎn)品只在協(xié)議級別檢測，不檢測傳輸?shù)臄?shù)據(jù)內(nèi)容。
- 網(wǎng)絡設備僅采用口令進行認證，訪問控制不充分，用戶、數(shù)據(jù)與設備的認證不標準，或不存在。
- 安全策略與規(guī)則用明文傳輸，傳輸時不認證身份，策略下發(fā)后也不檢查完整性等。
東土工控安全解決方案
安全分區(qū)
不同工藝段進行獨立分區(qū)。確保工段間不會相互影響
基本原則：
- 獨立性原則: 即保證控制系統(tǒng)獨立性，不同工段進行獨立分區(qū)。確保工段間不會存在相互影響。
- 適應性原則: 區(qū)域劃分按照技術(shù)及管理體系進行規(guī)劃，確保同一類型技術(shù)處于相同分區(qū)內(nèi)，方便技術(shù)規(guī)劃及管理。
- 可行性原則: 確保可按照區(qū)域規(guī)劃執(zhí)行具體的安全策略。
主機安全
主機安全防護策略包括：
建立主機白名單庫: 工控安全衛(wèi)士掃描本地磁盤所有可執(zhí)行文件，包括exe/dll/com等，生成數(shù)字簽名，根據(jù)簽名創(chuàng)建主機應用白名單。
阻止非法程序執(zhí)行：采用應用白名單防護機制，阻止白名單外的任何程序執(zhí)行，可有效阻止病毒、木馬、“0-day”漏洞的感染和被利用。
主機加固： 從操作系統(tǒng)、注冊表、內(nèi)存空間的完整性及本地安全策略等方面對站控、服務器進行安全加固，防止操作系統(tǒng)被惡意篡改。
移動存儲介質(zhì)授權(quán)：采用安全U盤或其它移動介質(zhì)，根據(jù)需求控制安全移動存儲介質(zhì)的“禁用、只讀、讀寫”權(quán)限。
用戶審計：通過安全審計平臺對事件產(chǎn)生日志、告警進行全面記錄，包括管理員、應用程序名稱及違反安全策略的行為或誤操作等
建立主機白名單庫: 工控安全衛(wèi)士掃描本地磁盤所有可執(zhí)行文件，包括exe/dll/com等，生成數(shù)字簽名，根據(jù)簽名創(chuàng)建主機應用白名單。
阻止非法程序執(zhí)行：采用應用白名單防護機制，阻止白名單外的任何程序執(zhí)行，可有效阻止病毒、木馬、“0-day”漏洞的感染和被利用。
主機加固： 從操作系統(tǒng)、注冊表、內(nèi)存空間的完整性及本地安全策略等方面對站控、服務器進行安全加固，防止操作系統(tǒng)被惡意篡改。
移動存儲介質(zhì)授權(quán)：采用安全U盤或其它移動介質(zhì)，根據(jù)需求控制安全移動存儲介質(zhì)的“禁用、只讀、讀寫”權(quán)限。
用戶審計：通過安全審計平臺對事件產(chǎn)生日志、告警進行全面記錄，包括管理員、應用程序名稱及違反安全策略的行為或誤操作等
通信安全
零丟包技術(shù)是滿足工業(yè)自動化網(wǎng)絡數(shù)據(jù)傳輸完整性的關(guān)鍵技術(shù)。工業(yè)測量與控制中的數(shù)據(jù)傳輸完整性要求工業(yè)以太網(wǎng)交換機在環(huán)網(wǎng)鏈路中斷、電磁干擾、高低溫、高濕度、振動等惡劣工業(yè)環(huán)境條件下，仍然能保證報文不丟包，即保證數(shù)據(jù)傳輸交換的安全性。東土解決方案支持HSR/PRP （IEC62439-6）以實現(xiàn)網(wǎng)絡穩(wěn)定可靠零丟包零倒換。
另外，東土產(chǎn)品還支持：
- 寬范圍的工作溫度 -40℃～+85℃
- 工業(yè)四級電磁兼容性，抗電磁干擾適應工業(yè)現(xiàn)場環(huán)境
- 多種防護等級IP40/IP65/IP67可選，防塵防水
- 防潮濕、防鹽霧、防霉菌
- 無風扇散熱方式，自然冷卻
- 綠色低功耗
- 長MTBF
- 通過權(quán)威機構(gòu)測試
在軟件安全特性上，東土產(chǎn)品能夠做到：
- 建立業(yè)務白名單：運用“白名單”機制，智能學習正常工業(yè)通信記錄，建立業(yè)務安全通信模型。
- 工業(yè)協(xié)議報文深度解析過濾：對OPC/S7-TCP/IECE-104/Modbus TCP等工業(yè)主流協(xié)議報文深度解析。
- 安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證數(shù)據(jù)傳輸過程的保密性。
- 通訊審計：對工業(yè)協(xié)議規(guī)約異常、數(shù)據(jù)異常、數(shù)值變化加速度等不符合白名單的異常行為進行實時監(jiān)測、告警。
管理安全
- 身份驗證：運用802.1X技術(shù)配合TACACS+、RADIUS功能， 驗證通過才允許用戶進行訪問；
- 配置管理：在網(wǎng)絡中部署配置管理平臺，用于配置、管理、監(jiān)測網(wǎng)絡中所有的交換機、防火墻，并接收來自網(wǎng)絡報警信息。
- 審計及告警：對用戶行為、事件進行記錄，非法、越權(quán)操作進行告警。
- 安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術(shù)，保證管理數(shù)據(jù)傳輸過程的安全保密性。
安全態(tài)勢分析平臺
- 智能感知: 在辦公網(wǎng)部署安全管理平臺，主動或被動的感知工控設備狀態(tài)，掌握全局態(tài)勢，實現(xiàn)對整個生產(chǎn)網(wǎng)絡的實時監(jiān)控，及時發(fā)現(xiàn)病毒、非法入侵以及各類威脅并迅速解決，為現(xiàn)場故障的及時排查、分析提供可靠的依據(jù)。
- 數(shù)據(jù)分析: 通過智能庫以及大數(shù)據(jù)平臺，進行數(shù)據(jù)分析與挖掘。
- 智能決策: 生成趨勢分析并提供預警，統(tǒng)計并展示工控安全實時狀態(tài)，結(jié)合輿情進行分析提供建議決策支持。
