7月8日消息，對(duì)于如何保護(hù)工業(yè)自動(dòng)化和控制系統(tǒng)（IACS）而言，沒(méi)有簡(jiǎn)單的秘訣，這是有充分理由的。這是因?yàn)榘踩允秋L(fēng)險(xiǎn)管理的問(wèn)題。每個(gè)IACS都會(huì)根據(jù)其所面臨的威脅，這些威脅的可能性，系統(tǒng)中的固有漏洞以及如果要破壞系統(tǒng)的后果給組織帶來(lái)不同的風(fēng)險(xiǎn)。此外，擁有和運(yùn)營(yíng)IACS的每個(gè)組織對(duì)風(fēng)險(xiǎn)的承受能力也不同。IEC最新發(fā)布IEC62443-3-2，以規(guī)范工業(yè)自動(dòng)化系統(tǒng)、包括SIS系統(tǒng)的信息安全設(shè)計(jì)。

工業(yè)自動(dòng)化和控制系統(tǒng)的網(wǎng)絡(luò)安全

在工業(yè)行業(yè)大多數(shù)工廠都無(wú)法應(yīng)對(duì)網(wǎng)絡(luò)安全威脅。根據(jù)最近的IEC技術(shù)報(bào)告，其中一個(gè)關(guān)鍵問(wèn)題是，這些工廠防范網(wǎng)絡(luò)威脅僅僅只能從IT（信息技術(shù)）的角度來(lái)構(gòu)建安全系統(tǒng)。負(fù)責(zé)安全的部門(mén)通常會(huì)忽略能源、制造、醫(yī)療保健或運(yùn)輸?shù)刃袠I(yè)中，系統(tǒng)連接現(xiàn)場(chǎng)設(shè)備的增長(zhǎng)加速了曾經(jīng)是IT和運(yùn)營(yíng)技術(shù)（OT）各個(gè)領(lǐng)域的融合。從網(wǎng)絡(luò)安全角度來(lái)看，挑戰(zhàn)在于，與業(yè)務(wù)系統(tǒng)不同，工業(yè)自動(dòng)化和控制系統(tǒng)（IACS）實(shí)際上旨在簡(jiǎn)化從不同網(wǎng)絡(luò)的訪問(wèn)。這是因?yàn)楣I(yè)環(huán)境必須應(yīng)對(duì)各種風(fēng)險(xiǎn)。

IT安全同等地集中于保護(hù)數(shù)據(jù)的機(jī)密性、完整性和可用性，即所謂的“ C-I-A三合會(huì)”。但是，在OT領(lǐng)域，可用性至關(guān)重要。OT環(huán)境的優(yōu)先重點(diǎn)是健康和安全以及保護(hù)環(huán)境。在緊急情況下，為了能夠保護(hù)人員或最大程度地減少自然災(zāi)害的影響，因此至關(guān)重要的是，操作員必須及時(shí)獲得準(zhǔn)確的信息，并能夠迅速采取適當(dāng)?shù)拇胧?，例如切?a target="_blank">電源或停止運(yùn)行某些設(shè)備。

用于監(jiān)視工業(yè)設(shè)施中的電網(wǎng)以及工廠和機(jī)械的自動(dòng)化系統(tǒng)通常依靠“默默無(wú)聞的安全性”，這反映了根深蒂固的心態(tài)，即由于沒(méi)人知道或關(guān)心其通信系統(tǒng)或數(shù)據(jù)，所以他們不需要保護(hù)它。但是，如今自動(dòng)化系統(tǒng)現(xiàn)在可以擁有廣泛的通信網(wǎng)絡(luò)，越來(lái)越多的通信網(wǎng)絡(luò)直接或間接地到達(dá)數(shù)千個(gè)設(shè)施，而日益增加的威脅（故意的和無(wú)意的）則可能對(duì)人和設(shè)備造成嚴(yán)重傷害。

因此，對(duì)于這些流程工業(yè)自動(dòng)化系統(tǒng)，適當(dāng)和有效的安全措施的改進(jìn)變得非常困難。例如，在IT領(lǐng)域，入侵檢測(cè)和防御系統(tǒng)（IDPS）處于防御惡意軟件的第一線(xiàn)。IDPS通常是竊聽(tīng)網(wǎng)絡(luò)流量的軟件應(yīng)用程序。根據(jù)其配置方式，IDPS可以執(zhí)行從舉報(bào)入侵到采取旨在防止或減輕違規(guī)影響的措施之類(lèi)的一切。 自動(dòng)化系統(tǒng)面臨的挑戰(zhàn)是如何區(qū)分正常數(shù)據(jù)和可能造成危害的潛在入侵?jǐn)?shù)據(jù)。

國(guó)際標(biāo)準(zhǔn)基于全球最佳實(shí)踐為許多挑戰(zhàn)提供了解決方案。例如，IEC 62443旨在保持OT系統(tǒng)運(yùn)行。它可以應(yīng)用于任何工業(yè)環(huán)境，包括關(guān)鍵的基礎(chǔ)設(shè)施，例如電力公司、石油化工廠、核電廠，以及衛(wèi)生和運(yùn)輸領(lǐng)域。

康吉森主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品解決方案

主機(jī)安全防護(hù)系統(tǒng)是康吉森自主研發(fā)的一款針對(duì)工業(yè)主機(jī)（如操作員站、工程師站、MES服務(wù)器等）的主動(dòng)防護(hù)系統(tǒng)。它結(jié)合工業(yè)控制系統(tǒng)業(yè)務(wù)連續(xù)性、可靠性、穩(wěn)定性的要求，以及工業(yè)控制系統(tǒng)軟件和設(shè)備更新頻率、通信和數(shù)據(jù)的特點(diǎn)，采用基于“白名單”的防護(hù)機(jī)制，有效阻止病毒木馬、惡意程序?qū)た刂鳈C(jī)的入侵和破壞；對(duì)工控主機(jī)系統(tǒng)薄弱環(huán)節(jié)進(jìn)行安全加固，提升工業(yè)主機(jī)自身防御能力；對(duì)接入工控主機(jī)的移存儲(chǔ)設(shè)備使用進(jìn)行權(quán)限管控和操作審計(jì)，徹底杜絕工控主機(jī)內(nèi)、外的安全隱患。

康吉森主機(jī)安全防護(hù)系統(tǒng)已在多領(lǐng)域的工控主機(jī)上進(jìn)行了部署與應(yīng)用，其防護(hù)效果與兼容性也得到各用戶(hù)單位的高度認(rèn)可。目前已應(yīng)用的行業(yè)包括：核工業(yè)、汽車(chē)制造、石油石化、煤炭化工、軌道交通、電力發(fā)電、市政、煙草等。

康吉森主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品架構(gòu)主要分為內(nèi)核層、服務(wù)層、管理與展示層三部分。

圖1 主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品架構(gòu)

內(nèi)核層：通過(guò)系統(tǒng)內(nèi)核驅(qū)動(dòng)，完成白名單策略匹配、外設(shè)控制、告警消息處理、軟件實(shí)時(shí)跟蹤、自身防護(hù)等操作請(qǐng)求及安全策略的執(zhí)行、分析、處理。

服務(wù)層：該層作為內(nèi)核層與展示層的支撐橋梁，保存了系統(tǒng)內(nèi)核層數(shù)據(jù)和告警等信息，同時(shí)為前端展示提供數(shù)據(jù)訪問(wèn)接口。

管理與展示層：提供友好操作管理界面，為管理人員提供統(tǒng)一的策略配置、告警展示、日志管理及平臺(tái)管理等。

責(zé)任編輯：gt