工業(yè)4.0是德國人提出的概念，認為制造業(yè)未來只能通過智能化的生產(chǎn)創(chuàng)造價值，而美國則提出工業(yè)互聯(lián)網(wǎng)，以通用電氣（GE）為代表，注重通過機器互聯(lián)、軟件及大數(shù)據(jù)分析，提升生產(chǎn)效率，創(chuàng)造數(shù)字工業(yè)的未來。兩化融合，管控一體化等推進，將傳統(tǒng)的工控孤島與辦公網(wǎng)、互聯(lián)網(wǎng)進行連接，而工控系統(tǒng)應用傳統(tǒng)總線協(xié)議，欠缺對安全性的考慮，導致安全漏洞、隱患嚴重。工控安全事件頻發(fā)。

據(jù)權威工業(yè)安全事件信息庫RISI統(tǒng)計，截止到2011年10月，全球已發(fā)生200余起針對工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開發(fā)標準與互聯(lián)網(wǎng)技術的廣泛使用，使針對工業(yè)控制系統(tǒng)（ICS）的病毒、木馬等攻擊行為大幅度增長，結果導致整體控制系統(tǒng)的故障，甚至惡性安全事故，對人員、設備和環(huán)境造成嚴重的后果。比如伊朗核電站的震網(wǎng)病毒事件，給全球工業(yè)界控制系統(tǒng)的信息安全問題敲響了警鐘。工控系統(tǒng)信息安全的需求變得更加迫切。

我國工控領域的安全可靠性問題突出，工控系統(tǒng)的復雜化、IT化和通用化加劇了系統(tǒng)的安全隱患，潛在的更大威脅是我國工控產(chǎn)業(yè)綜合競爭力不強，嵌入式軟件、總線協(xié)議、工控軟件等核心技術受制于國外，缺乏自主的通信安全、信息安全、安全可靠性測試等標準。工信部發(fā)布《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》，要求加強與國計民生緊密相關的多個重點領域內(nèi)工業(yè)控制系統(tǒng)信息安全管理。事實告訴我們，只有做到居安思危、未雨綢繆，才能保證工業(yè)控制系統(tǒng)健康穩(wěn)定地運行。

安全產(chǎn)品現(xiàn)狀

工業(yè)防火墻、工業(yè)安全網(wǎng)關產(chǎn)品大多使用X86架構，在商業(yè)安全產(chǎn)品中屬低端產(chǎn)品，吞吐量在100M級別，不能勝任1000M網(wǎng)絡容量，當網(wǎng)絡負載大時工業(yè)防火墻成為網(wǎng)絡瓶頸。

工業(yè)防火墻相關產(chǎn)品只在協(xié)議級別檢測，不檢測傳輸?shù)臄?shù)據(jù)內(nèi)容。

網(wǎng)絡設備僅采用口令進行認證，訪問控制不充分，用戶、數(shù)據(jù)與設備的認證不標準，或不存在。

安全策略與規(guī)則用明文傳輸，傳輸時不認證身份，策略下發(fā)后也不檢查完整性等。

東土工控安全解決方案

安全分區(qū)

不同工藝段進行獨立分區(qū)。確保工段間不會相互影響

基本原則：

獨立性原則： 即保證控制系統(tǒng)獨立性，不同工段進行獨立分區(qū)。確保工段間不會存在相互影響。

適應性原則： 區(qū)域劃分按照技術及管理體系進行規(guī)劃，確保同一類型技術處于相同分區(qū)內(nèi)，方便技術規(guī)劃及管理。

可行性原則： 確保可按照區(qū)域規(guī)劃執(zhí)行具體的安全策略。

主機安全

主機安全防護策略包括：

建立主機白名單庫： 工控安全衛(wèi)士掃描本地磁盤所有可執(zhí)行文件，包括exe/dll/com等，生成數(shù)字簽名，根據(jù)簽名創(chuàng)建主機應用白名單。

阻止非法程序執(zhí)行：采用應用白名單防護機制，阻止白名單外的任何程序執(zhí)行，可有效阻止病毒、木馬、“0-day”漏洞的感染和被利用。

主機加固： 從操作系統(tǒng)、注冊表、內(nèi)存空間的完整性及本地安全策略等方面對站控、服務器進行安全加固，防止操作系統(tǒng)被惡意篡改。

移動存儲介質授權：采用安全U盤或其它移動介質，根據(jù)需求控制安全移動存儲介質的“禁用、只讀、讀寫”權限。

用戶審計：通過安全審計平臺對事件產(chǎn)生日志、告警進行全面記錄，包括管理員、應用程序名稱及違反安全策略的行為或誤操作等

通信安全

零丟包技術是滿足工業(yè)自動化網(wǎng)絡數(shù)據(jù)傳輸完整性的關鍵技術。工業(yè)測量與控制中的數(shù)據(jù)傳輸完整性要求工業(yè)以太網(wǎng)交換機在環(huán)網(wǎng)鏈路中斷、電磁干擾、高低溫、高濕度、振動等惡劣工業(yè)環(huán)境條件下，仍然能保證報文不丟包，即保證數(shù)據(jù)傳輸交換的安全性。東土解決方案支持HSR/PRP （IEC62439-6）以實現(xiàn)網(wǎng)絡穩(wěn)定可靠零丟包零倒換。

另外，東土產(chǎn)品還支持：

寬范圍的工作溫度 -40℃～+85℃

工業(yè)四級電磁兼容性，抗電磁干擾適應工業(yè)現(xiàn)場環(huán)境

多種防護等級IP40/IP65/IP67可選，防塵防水

防潮濕、防鹽霧、防霉菌

無風扇散熱方式，自然冷卻

綠色低功耗

長MTBF

通過權威機構測試

在軟件安全特性上，東土產(chǎn)品能夠做到：

建立業(yè)務白名單：運用“白名單”機制，智能學習正常工業(yè)通信記錄，建立業(yè)務安全通信模型。

工業(yè)協(xié)議報文深度解析過濾：對OPC/S7-TCP/IECE-104/Modbus TCP等工業(yè)主流協(xié)議報文深度解析。

安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術，保證數(shù)據(jù)傳輸過程的保密性。

通訊審計：對工業(yè)協(xié)議規(guī)約異常、數(shù)據(jù)異常、數(shù)值變化加速度等不符合白名單的異常行為進行實時監(jiān)測、告警。

管理安全

身份驗證：運用802.1X技術配合TACACS+、RADIUS功能， 驗證通過才允許用戶進行訪問；

配置管理：在網(wǎng)絡中部署配置管理平臺，用于配置、管理、監(jiān)測網(wǎng)絡中所有的交換機、防火墻，并接收來自網(wǎng)絡報警信息。

審計及告警：對用戶行為、事件進行記錄，非法、越權操作進行告警。

安全加密傳輸：通過SFTP、SNMPv3、SSH、HTTPS、IPsec VPN等安全技術，保證管理數(shù)據(jù)傳輸過程的安全保密性。

安全態(tài)勢分析平臺

智能感知： 在辦公網(wǎng)部署安全管理平臺，主動或被動的感知工控設備狀態(tài)，掌握全局態(tài)勢，實現(xiàn)對整個生產(chǎn)網(wǎng)絡的實時監(jiān)控，及時發(fā)現(xiàn)病毒、非法入侵以及各類威脅并迅速解決，為現(xiàn)場故障的及時排查、分析提供可靠的依據(jù)。

數(shù)據(jù)分析： 通過智能庫以及大數(shù)據(jù)平臺，進行數(shù)據(jù)分析與挖掘。

智能決策： 生成趨勢分析并提供預警，統(tǒng)計并展示工控安全實時狀態(tài)，結合輿情進行分析提供建議決策支持。