如何提高自动化控制系统安全及管理水平培训课件

如何提高自动化控制系统安全及管理水平如何提高自动化控制系统安全及管理水平1多重的安全威胁误操作未授权的操作未授权的访问拒绝服务攻击窃贼未授权的远程访问自然或人为灾害破坏活动蠕虫和病毒

多重的安全威胁误操作未授权的操作未授权的访问拒绝服务攻击窃贼2安全来自纵深式的防御3安全来自纵深式的防御33网络安全架构4推荐的架构不推荐的架构Enterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkSwitchwithVLANsPlant-wideNetworkEnterprise-wideNetworkFirewallBetterPlant-wideNetworkEnterprise-wideNetworkIDMZBestPlant-wideNetworkEnterprise-wideNetworkRouter(ZoneBasedFW)Good网络安全架构4推荐的架构不推荐的架构Enterprise-w42层到3层交换功能对应从简单到复杂网络应用高级安全功能从工厂到企业网络的集成技术产品高级的交换、路由及安全特性对自动控制

及IT部门提供通用的工具维护简便面向运维及IT应用面向自动控制的需求网络安全工具

-Stratix™系列交换机的优点2层到3层交换功能对应从简单到复杂网络应用技术产品高级的交换5网络安全工具

-Stratix5900™

含2层及3层安全功能路由器提供路由及2层及3层安全服务路由器

+防火墙虚拟私有网络(VPN)网络地址转换

(NAT)访问控制列表

(ACL)入侵防止系统

(IPS)端口:1GigabitWAN端口4FastEthernet端口工业标准,DIN导轨安装使用于厂级站点间连接、单元区域的防火墙及OEM设备的通讯集成New网络安全工具

-Stratix5900™含2层及3层安全67Enterprise-wideBusinessSystemsLevels4&5–DataCenterEnterpriseZoneLevel3-SiteOperationsIndustrialZonePhysicalorVirtualizedServersFactoryTalkApplicationServers&ServicesPlatformNetworkServices–e.g.DNS,AD,DHCP,AAARemoteAccessServer(RAS)CallManagerStorageArrayLevels0-2Cell/AreaZonesLevel3.5-IDMZRemoteSite#1LocalCell/AreaZone#1LocalOEMSkid/Machine#1Plant-wideSite-wideOperationSystemsSite-to-SiteConnectionStratix59001)Site-to-SiteConnectionStratix59003)OEMIntegrationStratix59002)Cell/AreaZoneFirewall网络安全工具

-Stratix5900™含2层及3层安全功能路由器7Enterprise-wideLevels4&5–7系统管理员可以管理用户帐户WindowsFactoryTalk用户组自定义用户组及角色Windows用户组计算机计算机组系统策略产品策略产品操作控制器安全控制器区域8应用层安全工具

-FactoryTalkSecurity系统管理员可以管理8应用层安全工具

-FactoryTal8用户帐户创建9“Fred”;usernameandPW用户帐户创建9“Fred”;usernamean9FactoryTalk系统安全策略10“Fred’s”PWexpiresin30daysFactoryTalk系统安全策略10“Fred’s”P10分配用户组或角色11“Fred”isanEngineer分配用户组或角色11“Fred”isanEnginee11分配产品权限12“Fred”canuseLogix5000分配产品权限12“Fred”canuseLogix5012分配角色或用户组的允许权限13EngineerscanModifyAOI’s分配角色或用户组的允许权限13EngineerscanM13资源分配到应用区域14Finally;“Fred”isanEngineerwhocanModifyAOI’sonallcontrollersin“Area2”资源分配到应用区域14Finally;“Fred”is14PC#21515PC#1Logix5000ProjectFactoryTalkServicesSecurityAuthoritySecurityAdministrationLogix5000ProjectFactoryTalkServicesSecurityAdministrationID=795D5EF-12...ID=A73R5CG–89...ID=795D5EF-12..SecurityAuthorityID=795D5EF-12…EtherNet/IPID’sMatchID’sDon’tMatch应用层安全工具

-FactoryTalkSecurityPC#21515PC#1Logix5000Proje在LogixControllers中使用FactoryTalkSecurity

安全认证号码(SAID)使用FactoryTalkServicesPlatformSR5和RSLogix5000V20(以及更高版本)配置Logix控制器时，在要求所有用户在访问控制器前必须通过一个FactoryTalk目录来认证权限安全认证号码存储在工程文件中–可以保护离线文件16当“SecurityAuthorityIDrequired”使能后…访问前需要登录…..…使用FactoryTalk目录服务来启用安全功能在LogixControllers中使用FactoryT16SAID备份使用FactoryTalk管理控制台,安全认证号码

可以被…加密来保护备份允许多个FactoryTalk目录使用同一个ID可以用来替换v20版停用的CPU加密功能TheSecurityAuthorityIdentifierlookslikethis17SAID备份使用FactoryTalk管理控制台,安全认17限制通讯卡槽Copyright©2011RockwellAutomation,Inc.Allrightsreserved.限制通讯卡槽Copyright©2011Rockwel1819数据访问控制用户可以设置外部数据访问权限：读/写

、只读及无权限在RSLogix5000及Logix控制器需要建立信任连接确保只能通过RSLogix5000修改标签属性谁能修改属性由FactoryTalkSecurity来控制用户还可以把标签定义为常数，常数不能被控制器逻辑程序修改。19数据访问控制用户可以设置外部数据访问权限：读/写、只读1920FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面20FactoryTalkViewSE安全Factor2021FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面对象21FactoryTalkViewSE安全Factor2122FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面对象项目应用22FactoryTalkViewSE安全Factor22ControlLogix®

实时修改监测ControlLogixV20或更高版本支持实时修改监测功能可以通过控制器修改日志获得监测信息可以通过事件日志生成活动报告可以监测到恶意修改可以选择发送信息到监测服务器23ControlLogix®实时修改监测ControlLog控制器实时修改监测每个

LogixPAC™开放一个修改监测数值当影响到控制器运行的行为被监测到时，这个值会自动改变该监测值可以通过RSLogix™5000和Studio5000LogixDesigner™访问,其它软件或应用可以通过Message指令访问可以组态什么事件被监测24控制器实时修改监测每个LogixPAC™开放一个修改监控制器实时修改监测监测值被记录到每个控制器的日志中，FactoryTalk®AssetCentre(Version4.1),可以从控制器日志中读取该监测值25Copyright©2011RockwellAutomation,Inc.Allrightsreserved.控制器实时修改监测监测值被记录到每个控制器的日志中，25Co25FactoryTalk®AssetCentre

监测功能26集中记录与控制系统的交互信息FactoryTalk®AssetCentre监测功能226Copyright©2009RockwellAutomation,Inc.Allrightsreserved.FactoryTalkAssetCentre软件具备一套针对资产集中管理工具，用于安全的集中管理您的自动化设备对控制系统的安全访问追踪用户操作提供备份及恢复操作的组态管理设备组态配置文件配置过程仪表管理设备整定可扩展的设计允许功能及设备数量的扩展提供从小型生产线到工厂范围的解决方案低入门费用（概念设计及证明测试）Copyright©2009RockwellAuto27版本控制/源文件控制集中存储文件、组态、程序、

SOPs,CAD,和其他文件自动的版本控制维护单一主文件关系当维护主文件时允许他人获得程序拷贝版本控制/源文件控制集中存储文件、组态、程序、SOPs28FactoryTalkAssetCentre容灾备份功能定期自动备份设备组态选择和特定备份版本比较差异

最新版本指定版本当差异监测到后自动创建新版本在事件数据库中自动生成差异报告并发送邮件FactoryTalkAssetCentre容灾备份功能定29容灾备份选项RockwellAutomation设备Logix5000设备以及SLC-500,PLC-5PanelViewPlus,Standard以及Enhanced变频器远程计算机文件或文件夹通用FTP设备文件或文件夹SiemensS7400和300系列控制器TCP/IP协议SiemensS5100系列TCP/IP协议

FanucRobotsRJ3和RJ3i控制器MotomanRobotsXRC和NX-100控制器ABBRobotsIRC5和S4C+robot控制器容灾备份选项RockwellAutomation设备Si30FactoryTalkAssetCentre监测及事件记录提供监测信息集中存储服务，如：FactoryTalk应用、RSLogix5,500&5000系列控制器。

监测及事件信息包含记录时间、当前时间、用户、设备、计算机以及操作信息实现系统集中诊断管理FactoryTalkAssetCentre监测及事件记31FactoryTalkAssetCentre

监测及改动报告通过FactoryTalkAssetCentre检索事件监测归档历史文件y定期或立即生成报告定期以Email形式发送报告Examples检索某一资产故障以前4个小时的修改记录检索上个月某个用户修改了什么文件检索上载任务失败的记录检索每个班次做过的数据强制及程序空行来改善厂级的安全32FactoryTalkAssetCentre监测及改动报32FactoryTalkAssetCentre仪表管理智能仪表组态(PDC)实现集中监测及组态多个仪表供应商的智能仪表设备，减少整体维护以及现场工作时间仪表整定可以通过整定计划、整定报告及整定追踪等功能高效的管理过程仪表。FactoryTalkAssetCentre仪表管理智能33Copyright©2009RockwellAutomation,Inc.Allrightsreserved.应用案例例子:某酿酒厂某个人修改了加油系统的时间。从原来的20分钟改为8个小时。公司没有任何关于什么时候修改的记录。.结果该修改造成了被加油系统的停机，造成了$101,000的损失.$15K从德国发来部件 + 2天收到$11K–安装人力 + 3天机械安装$75K–停机损失 解决方案这个酿酒厂采用了FactoryTalkAssetCentre用于控制系统修改检查。通过FactoryTalkAssetCentre,该厂建立了用户管理机制防止未授权的修改。FactoryTalkAssetCentre提供了检查记录功能，可以得到什么人在什么地点对控制系统作了什么修改的记录。Copyright©2009RockwellAuto34FactoryTalkAssetCentre部署架构MicrosoftSQLServer2005Standard或2008R2安装FactoryTalkAssetCentre数据库FactoryTalkAssetCentreServer管理系统操作FactoryTalk目录/安全通用RockwellAutomation安全管理FactoryTalkAssetCentreClient允许用户配置和使用系统，查看记录事件及执行其他相关任务FactoryTalkAssetCentreAgent执行特定类型任务的程序FactoryTalkAssetCentre部署架构Mi35如何提高自动化控制系统安全及管理水平如何提高自动化控制系统安全及管理水平36多重的安全威胁误操作未授权的操作未授权的访问拒绝服务攻击窃贼未授权的远程访问自然或人为灾害破坏活动蠕虫和病毒

多重的安全威胁误操作未授权的操作未授权的访问拒绝服务攻击窃贼37安全来自纵深式的防御38安全来自纵深式的防御338网络安全架构39推荐的架构不推荐的架构Enterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkPlant-wideNetworkEnterprise-wideNetworkPlant-wideNetworkEnterprise-wideNetworkSwitchwithVLANsPlant-wideNetworkEnterprise-wideNetworkFirewallBetterPlant-wideNetworkEnterprise-wideNetworkIDMZBestPlant-wideNetworkEnterprise-wideNetworkRouter(ZoneBasedFW)Good网络安全架构4推荐的架构不推荐的架构Enterprise-w392层到3层交换功能对应从简单到复杂网络应用高级安全功能从工厂到企业网络的集成技术产品高级的交换、路由及安全特性对自动控制

及IT部门提供通用的工具维护简便面向运维及IT应用面向自动控制的需求网络安全工具

-Stratix™系列交换机的优点2层到3层交换功能对应从简单到复杂网络应用技术产品高级的交换40网络安全工具

-Stratix5900™

含2层及3层安全功能路由器提供路由及2层及3层安全服务路由器

+防火墙虚拟私有网络(VPN)网络地址转换

(NAT)访问控制列表

(ACL)入侵防止系统

(IPS)端口:1GigabitWAN端口4FastEthernet端口工业标准,DIN导轨安装使用于厂级站点间连接、单元区域的防火墙及OEM设备的通讯集成New网络安全工具

-Stratix5900™含2层及3层安全4142Enterprise-wideBusinessSystemsLevels4&5–DataCenterEnterpriseZoneLevel3-SiteOperationsIndustrialZonePhysicalorVirtualizedServersFactoryTalkApplicationServers&ServicesPlatformNetworkServices–e.g.DNS,AD,DHCP,AAARemoteAccessServer(RAS)CallManagerStorageArrayLevels0-2Cell/AreaZonesLevel3.5-IDMZRemoteSite#1LocalCell/AreaZone#1LocalOEMSkid/Machine#1Plant-wideSite-wideOperationSystemsSite-to-SiteConnectionStratix59001)Site-to-SiteConnectionStratix59003)OEMIntegrationStratix59002)Cell/AreaZoneFirewall网络安全工具

-Stratix5900™含2层及3层安全功能路由器7Enterprise-wideLevels4&5–42系统管理员可以管理用户帐户WindowsFactoryTalk用户组自定义用户组及角色Windows用户组计算机计算机组系统策略产品策略产品操作控制器安全控制器区域43应用层安全工具

-FactoryTalkSecurity系统管理员可以管理8应用层安全工具

-FactoryTal43用户帐户创建44“Fred”;usernameandPW用户帐户创建9“Fred”;usernamean44FactoryTalk系统安全策略45“Fred’s”PWexpiresin30daysFactoryTalk系统安全策略10“Fred’s”P45分配用户组或角色46“Fred”isanEngineer分配用户组或角色11“Fred”isanEnginee46分配产品权限47“Fred”canuseLogix5000分配产品权限12“Fred”canuseLogix5047分配角色或用户组的允许权限48EngineerscanModifyAOI’s分配角色或用户组的允许权限13EngineerscanM48资源分配到应用区域49Finally;“Fred”isanEngineerwhocanModifyAOI’sonallcontrollersin“Area2”资源分配到应用区域14Finally;“Fred”is49PC#25050PC#1Logix5000ProjectFactoryTalkServicesSecurityAuthoritySecurityAdministrationLogix5000ProjectFactoryTalkServicesSecurityAdministrationID=795D5EF-12...ID=A73R5CG–89...ID=795D5EF-12..SecurityAuthorityID=795D5EF-12…EtherNet/IPID’sMatchID’sDon’tMatch应用层安全工具

-FactoryTalkSecurityPC#21515PC#1Logix5000Proje在LogixControllers中使用FactoryTalkSecurity

安全认证号码(SAID)使用FactoryTalkServicesPlatformSR5和RSLogix5000V20(以及更高版本)配置Logix控制器时，在要求所有用户在访问控制器前必须通过一个FactoryTalk目录来认证权限安全认证号码存储在工程文件中–可以保护离线文件51当“SecurityAuthorityIDrequired”使能后…访问前需要登录…..…使用FactoryTalk目录服务来启用安全功能在LogixControllers中使用FactoryT51SAID备份使用FactoryTalk管理控制台,安全认证号码

可以被…加密来保护备份允许多个FactoryTalk目录使用同一个ID可以用来替换v20版停用的CPU加密功能TheSecurityAuthorityIdentifierlookslikethis52SAID备份使用FactoryTalk管理控制台,安全认52限制通讯卡槽Copyright©2011RockwellAutomation,Inc.Allrightsreserved.限制通讯卡槽Copyright©2011Rockwel5354数据访问控制用户可以设置外部数据访问权限：读/写

、只读及无权限在RSLogix5000及Logix控制器需要建立信任连接确保只能通过RSLogix5000修改标签属性谁能修改属性由FactoryTalkSecurity来控制用户还可以把标签定义为常数，常数不能被控制器逻辑程序修改。19数据访问控制用户可以设置外部数据访问权限：读/写、只读5455FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面20FactoryTalkViewSE安全Factor5556FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面对象21FactoryTalkViewSE安全Factor5657FactoryTalkViewSE安全FactoryTalkViewSE安全可以被应用到:画面对象项目应用22FactoryTalkViewSE安全Factor57ControlLogix®

实时修改监测ControlLogixV20或更高版本支持实时修改监测功能可以通过控制器修改日志获得监测信息可以通过事件日志生成活动报告可以监测到恶意修改可以选择发送信息到监测服务器58ControlLogix®实时修改监测ControlLog控制器实时修改监测每个

LogixPAC™开放一个修改监测数值当影响到控制器运行的行为被监测到时，这个值会自动改变该监测值可以通过RSLogix™5000和Studio5000LogixDesigner™访问,其它软件或应用可以通过Message指令访问可以组态什么事件被监测59控制器实时修改监测每个LogixPAC™开放一个修改监控制器实时修改监测监测值被记录到每个控制器的日志中，FactoryTalk®AssetCentre(Version4.1),可以从控制器日志中读取该监测值60Copyright©2011RockwellAutomation,Inc.Allrightsreserved.控制器实时修改监测监测值被记录到每个控制器的日志中，25Co60FactoryTalk®AssetCentre

监测功能61集中记录与控制系统的交互信息FactoryTalk®AssetCentre监测功能261Copyright©2009RockwellAutomation,Inc.Allrightsreserved.FactoryTalkAssetCentre软件具备一套针对资产集中管理工具，用于安全的集中管理您的自动化设备对控制系统的安全访问追踪用户操作提供备份及恢复操作的组态管理设备组态配置文件配置过程仪表管理设备整定可扩展的设计允许功能及设备数量的扩展提供从小型生产线到工厂范围的解决方案低入门费用（概念设计及证明测试）Copyright©2009RockwellAuto62版本控制/源文件控制集中存储文件、组态、程序、

SOPs,CAD,和其他文件自动的版本控制维护单一主文件关系当维护主文件时允许他人获得程序拷贝版本控制/源文件控制集中存储文件、组态、程序、SOPs63FactoryTalkAssetCentre容灾备份功能定期自动备份设备组态选择和特定备份版本比较差异

最新版本指定版本当差异监测到后自动创建新版本在事件数据库中自动生成差异报告并发送邮件FactoryTalkAssetCentre容灾备份功能定64容灾备份选项RockwellAutomation设备Logix5000设备以及SLC-500,PLC-5PanelViewPlus,Standard以及Enhanced变频器远程计算机文件或文件夹通用FTP设备文件或文件夹SiemensS7400和300系列控制器TCP/IP协议SiemensS5100系列TCP/IP协议

FanucRobotsRJ3和RJ3i控制器MotomanRobotsXRC和NX-100控制器ABBRobotsIRC5和S4C+robot控制器容灾备份选项RockwellAut