工控安全产品在煤矿应用解决方案.doc

工控安全产品在煤矿应用解工控安全产品在煤矿应用解 决方案决方案 20152015 年年 0606 月月 5 5 日日 软件项目方案书软件项目方案书 修修 订订 记记 录录 类别 类别 A 增加 M 修改 D 删除 版本版本日期日期制定制定类别类别批准批准 描述 注明修改的条款或描述 注明修改的条款或 页 页 1 02015 06 5A 软件项目方案书软件项目方案书 1 1 项目背景项目背景 1 1 1 引言 1 1 2 煤炭自动化系统简介 2 1 3 煤炭工控系统信息安全现状及风险 2 2 2 煤炭行业工控安全解决方案煤炭行业工控安全解决方案 3 2 1 工控安全解决方案简介 3 2 1 1 工控安全思路简介 3 2 1 2 工控安全产品简介 4 2 2 工控安全煤炭行业系统架构 8 2 2 1 总体系统架构图 8 2 2 2 总体系统架构说明 8 2 2 3 各子系统架构说明 以选煤厂控制子系统为例 9 软件项目方案书软件项目方案书 第 1 页 共 10 页 1 1 项目背景项目背景 1 1 引言引言 煤炭矿井综合自动化系统是指在工业生产 管理 经营过程中 通过信息基础设 施 在集成平台上 实现煤炭信息的采集 信息的传输 信息的处理以及信息的综合 利用等 将先进和自动控制 通讯 信息技术和现代化管理技术结合 将企业的生产 过程控制 运行与管理作为一个整体进行控制与管理 以实现煤炭企业优化运行 控 制和管理 而煤炭自动化系统作为整个矿井安全生产监控系统信息的集成 需要一个 快速 安全 可靠的网络平台为大量的信息流动提供支撑 同时要有一个安全生产信 息应用系统为矿井安全保价护航 而煤炭综合自动化系统中的工业控制系统 以下简称工控系统 是煤炭基础设施 的重要组成部分 也是煤炭中基础设施的核心 有着可用性和实时性要求高 系统生 命周期长的特点 因为我国关于工业安全领域的相关研究还处于起步阶段 防护能力 和应急处置能力低 大部分煤矿基本没有任何防护理念和安全措施 且我国工控系统 大量使用国外产品 关键系统的安全性受制于人 煤炭行业的安全存在一定的难度 特别是近年来工控系统安全事件频发 比如 震网 火焰 毒区 等 APT 攻击的出 现 充分反映出煤炭工控系统信息安全所面临 一旦工业控制系统信息安全出现漏洞 将对煤炭企业正常的生产运行和经济安全造成重大隐患 软件项目方案书软件项目方案书 第 2 页 共 10 页 1 2 煤炭自动化系统简介煤炭自动化系统简介 煤炭系统总体结构分为管理层 信息层 控制层 设备层三层结构 各子系统主 体传输平台为工业以太网 其中管理层为矿地面局域网系统 控制称以工业以太环网 为数据传输平台 主要由整个监控中心设备及环网组层 设备层多采用现场总线 保 证了现场子系统的实时性和可靠性 主要由个自动化子系统设备组层 在管理层 通过矿局域网系统 在各台计算机上 可以在统一的界面下根据权限 和登记查看全矿的所有信息 将本部门的信息向管理网公布 实现全矿安全生产的信 息化管理 如视频监控系统 大屏控制系统等 控制层是在工业以太环网上接入操作站 工程师站上 通过综合自动化软件平台 向设备层的控制器发送控制指令 并实现对整个子系统设备的集中控制 如 井下中 央变电所排水系统 通风控制系统等 或对所有设备和环境参数的检测 如瓦斯检测 系统 辅助运输信息等 设备层主要包括设备操作台 PLC 控制箱 开关柜 传感器 执行器 行程开关 等现场设备 是具体控制设备的执行者 1 3 煤炭工控系统信息安全现状及风险煤炭工控系统信息安全现状及风险 煤炭和其他行业的工控主站系统一般处于相对封闭的专用网络 通过专用隔离装 软件项目方案书软件项目方案书 第 3 页 共 10 页 置与外界交互 随着 两化 信息化与工业化 的深度融合 工控系统正越来越多的 使用通用协议 通用操作系统 通用硬件和软件 由于以太网 无线设备无处不在 整个煤炭控制系统都可以和远程终端进行互连 病毒 木马 蠕虫等信息网络安全问 题直接延伸到工控系统 煤炭工控系统几个重要环节面临的信息安全风险如下 1 在数据采集环节 煤炭工控系统终端设备一般长时间运行在自然条件恶劣的地 下 不仅容易出现物理安全问题 而且受限于设备自身的计算资源 终端设备 难以全面应用各种信息安全防护技术 易遭受仿冒 窃听和篡改等攻击 2 在数据传输环节 绝大部分工控系统都采用国际标准的专有通信协议进行传 输 此类协议绝大部分缺乏有效的身份鉴别和访问控制机制 并以明文方式 进行传输 导致重要的控制命令 参数设置等信息面临被窃听 篡改的风险 3 在数据处理环节 工控系统更多采用标准化的工控机或嵌入式系统 以及通用 的数据处理技术和协议 包括 Modbus S7 NDP3 等 这些协议和技术从设 计阶段主要考虑实时性和可用性 基本没有考虑安全因素 导致无法进行一般 意义上的安全修补 对工控系统造成日益严重的威胁 2 2 煤炭行业工控安全解决方案煤炭行业工控安全解决方案 2 1 工控安全解决方案简介工控安全解决方案简介 2 1 1 工控安全思路简介工控安全思路简介 公司没有简单照搬传统 IT 安全思维 而是以工控系统安全的视角 针对工控系 统对可靠性 稳定性 业务连续性的严格要求 以及工控系统软件和设备更新不频繁 通信和数据较为特定的特点 提出了建立工控系统安全生产与运行的 可信网络白环 境 以及 软件应用白名单 概念 进而构筑工业控制系统的网络安全 白环境 只有可信任的设备 才能接入控制网络 只有可信任的消息 才能在网络上传输 只有可信任的软件 才允许被执行 本设计思路无需大量改造现有工控网络和频繁升级工控系统 技术可靠实用 可 落地性强 其主要优点包括 软件项目方案书软件项目方案书 第 4 页 共 10 页 杜绝终端后门隐患杜绝终端后门隐患 工控安全产品能够帮助涉密单位 关系国计民生的大型工控企业对工控网络工作 站 服务器进行安全防护和安全加固 杜绝安全后门隐患 响应国家信息安全国产化 政策及号召 解决主机安全问题 减少安全生产事故解决主机安全问题 减少安全生产事故 工控安全产品具备先进白名单防护技术 能够有效抵御病毒 木马 恶意软件 零日攻击 高级持久威胁 APT 攻击对工控网络工作站 服务器的攻击与破坏行为 真 正帮助企业发现工控网络攻击 解决安全问题 使企业的安全投入物有所值 提高工控系统稳定性 减少系统停车时间提高工控系统稳定性 减少系统停车时间 工控安全产品能够有效检测到操作员针对工作站 服务器的违规 异常操作并加 以阻止 进而避免工控系统的意外停车事故 同时 基于白名单技术的解决方案无需 对工控网络结构进行改造 避免频繁升级工控系统 减少系统维护停车时间 方案的拓扑图如下 2 1 2 工控安全产品简介工控安全产品简介 1 可信边界网关简介 可信边界网关简介 公司可信边界网关主要为保护工业控制网与管理信息网之间的边界而设计 支持 对 OPC 等数采协议的深度解析 阻止来自管理信息网的安全威胁 保护数据采集系统 软件项目方案书软件项目方案书 第 5 页 共 10 页 的安全 可信边界网关基于业界领先的软 硬件体系架构 其工控协议深度包解析技 术不仅对二层三层网络协议进行解析 更进一步解析到工控网络包的应用层 对 OPC 等协议进行深度分析 防止应用层协议被篡改或破坏 利用可信边界网关可以建立可信任的数采通信的模型 采用黑白名单互补的安全 策略 过滤一切非法访问 保证只有可信任的设备才可以接入工控网络 只有可信任 的流量才可以在网间传输 为控制网与管理信息网的连接提供安全保障 其主要优势包括 支持私有协议的开发平台接口支持私有协议的开发平台接口 可信边界网关提供 SDK 开放的平台接口可以方便客户自行扩展支持私有协议 以及做定制化的二次开发 高性能匹配算法高性能匹配算法 工控系统对实时性要求异常苛刻 可信边界网关具备先进的硬件设计 采用专用 MIPS 多核处理器 为低延时 高吞吐的数据处理提供了坚实的基础保障 其中深度数 据包解析引擎在实现稳定可靠的数据包深度解析的同时 可以做到低延迟 保证了工 控系统的实时性要求 可信边界网关结合软硬件加速能力 即使在开启深度报文检测 DPI 的情况下也可实现 30000PPS 的吞吐量 高可靠的软硬件一体化架构高可靠的软硬件一体化架构 可信边界网关集成硬件加密引擎 为数据采集系统的数据传输提供了高性能的保 证 另外 通过对可信网关和后台管理系统之间的所有数据交换进行加密 确保了整 个系统的安全性和可靠性 同时硬件物料精心选型 并且从电路设计 结构设计 系 统冗余 时延 可靠性 环境要求等方面严格要求 保证硬件的可靠性 自主可控的智能工控安全操作系统自主可控的智能工控安全操作系统 可信边界网关在专用工业级 高性能网络安全硬件平台基础上 构筑了自主知识 产权的智能工控安全操作系统 此操作系统对流经可信网关的数据流做深度的协议解 析和匹配 并对数据流做智能调度转发 以及对工控网络流量包的应用层内容做深度 检查 为安全功能的扩展提供了坚实的基础保障 工控可信边界网关在传统网关功能的基础上 专门针对工控环境提供了工控协议 的管控 基于白名单的访问控制策略 智能学习规则 规则测试模式 日志本地缓存 软件项目方案书软件项目方案书 第 6 页 共 10 页 等 化繁为简的使用体验化繁为简的使用体验 可信边界网关以提高工业控制网络的日常安全管理 信息统计数据的易读性和可 操作性为设计核心 降低操作复杂度 避免误操作 系统充分利用人工智能技术 大 幅度简化分析 管理 控制流程 并提供简单易学的用户界面 方便管理人员日常操 作管理 管理系统支持实时可视化呈现工控网络链路的连通性和服务状态 提供多类 历史监控数据对比分析 系统日志 配置日志 流量日志 攻击日志 访问日志等类 型日志的查询与备份 2 可信区域网关简介 可信区域网关简介 可信区域网关主要保护工业控制网络不同安全区域间的安全 支持多种工控协议 阻止来自安全区域外的威胁 抑制安全域中的病毒 木马向其它区域传播扩散 基于 业界领先的软 硬件体系架构 其工控协议深度包解析技术不仅对二层三层网络协议 进行解析 更进一步解析到工控网络包的应用层 对 Modbus DNP3 IEC104 Profinet 等进行深度分析 防止应用层协议被篡改或破坏 利用可信区域网关可以建立可信任的工控网络区域间通信模型 采用黑白名单互 补的安全策略 过滤一切非法访问 保证只有可信任的设备才可以接入工控网络 只 有可信任的流量才可以在网间传输 为控制网 生产网内部各区域的连接提供安全保 障 可信区域网关为控制网内部各区域间数据访问提供工控协议深度解析 工控指令 访问控制 日志审计等综合安全功能 可信网关采用了高性能 高稳定性的多核硬件 架构 为用户提供高效 稳定的安全保障 其主要优势包括 实时精准的工控协议实时精准的工控协议指令级控制指令级控制 可信边界网关搭载了深度数据包解析引擎 可对工控协议做到实时和精准的识别 为解决针对工控网络的安全问题提供了技术基础保障 支持对 OPC 等数采协议进行快 速有针对性的捕获与深度解析 可以对 OPC 等工控协议做到指令级控制 如 OPC 协 议只读 支持私有协议的开发平台接口支持私有协议的开发平台接口 可信边界网关提供 SDK 开放的平台接口可以方便客户自行扩展支持私有协议 软件项目方案书软件项目方案书 第 7 页 共 10 页 以及做定制化的二次开发 高性能匹配算法高性能匹配算法 工控系统对实时性要求异常苛刻 可信区域网关具备先进的硬件设计 采用专用 MIPS 多核处理器 为低延时 高吞吐的数据处理提供了坚实的基础保障 其中深度数 据包解析引擎在实现稳定可靠的数据包深度解析的同时 可以做到低延迟 保证了工 控系统的实时性要求 可信区域网关结合软硬件加速能力 设备满配策略条件下时延 小于 50us 3 可信安全卫士简介 可信安全卫士简介 随着工业 4 0 及两化融合的趋势到来 传统的工业控制系统网络安全问题已成为企 业及国家安全面临的严峻挑战 鉴于工业应用的特殊性 作为工控系统重要组成部分 的工作站 服务器等主机终端难以采用传统的杀毒软件等 黑名单 防护方式应对层 出不穷的操作系统漏洞 计算机后门程序 病毒 木马 数据扫描 密钥数据块攻击 黑客攻击等多元化的风险及威胁 采用更加安全 可靠 方便的技术对其进行安全加 固已经迫在眉睫 可信卫士基于 白名单 主动防御技术的主机安全防护软件 解决了工控系统主 机病毒感染 恶意脚本执行 操作系统内核漏洞隐患 应用程序缓冲区溢出攻击等问 题 能够与威努特可信区域网关 可信边界网关等共同构建可控 可靠 可管理的工 控网络 白环境 纵深安全防御体系 其主要优势包括 有效防止零日攻击 有效防止零日攻击 APT 攻击攻击 基于 软可信 技术 与 白名单 技术相结合 不依赖于攻击样本采集及攻击 特征的提取 能够有效的防御零日攻击 APT 攻击等传统杀毒软件无能为力的攻击方 式 保护主机终端的持续安全 极致简单 易管理维护 适合工控环境极致简单 易管理维护 适合工控环境 操作极致简单 不需频繁更新威胁特征库来保持对新威胁的防护能力 避免了升 级可能造成的系统兼容性风险 易于现场管理维护 尤其适合在工业控制系统中使用 系统资源需求量小 亦适合老旧设备系统资源需求量小 亦适合老旧设备 不像传统反病毒软件或 IDS IPS 设备依赖于一个急剧增长的特征库 可信卫士根 软件项目方案书软件项目方案书 第 8 页 共 10 页 据每个客户的具体生产环境建立一个小规模的白名单 对系统资源占用量小 亦适用 于工控环境中老旧设备 2 2 工控安全煤炭行业系统架构工控安全煤炭行业系统架构 2 2 1 总体系统架构图总体系统架构图 2 2 2 总体系统架构说明总体系统架构说明 可信边界网关 方案在信息层和控制层 控制层和设备层之间架设可信边界网关 并在每一个控 制系统中部署可信边界网关 包括大卷皮带控制系统 通风机控制系统等 主要用于监视和控制在信息层与控制层 控制层