工控安全基础以及典型行业场景需求

工控安全基础以及典型行业场景内容提纲01典型工业业务场景与需求特点02工控安全/工业互联网安全基础场景-工业生产网络已披露的工控漏洞部署在工业企业内部的，用以实现生产现场各类生产设备、传感器、执行器、工控机等互联，以及工业数据采集、工业操控与维护的网络。与企业信息网（办公网）相对应特点可靠性：生产网络是不允许中断的，必须保证7*24小时的可靠性。因此，生产网络通常采用严格的冗余以实现高可靠。高性能：特指性能和特性能够满足前端网络的要求。例如：低时延、高带宽、无丢包、抗恶劣环境等。安全性：为了保证绝对的安全性，生产网络通常要求和其它网络隔离。可能是绝对的物理隔离，也可能是逻辑隔离，严格受限访问。工业生产网-《工业互联网园区网络白皮书》工业互联网产业联盟工业控制领域重要概念术语已披露的工控漏洞工业控制系统ICSDCS-集散控制系DistributedControlsystrmPLC-可编程逻辑控制器ProgrammableLogicControllerSCADA-数据采集与监视控制系统SupervisoryControlAndDataAcquisitionRTU-远程终端单元RemoteTerminalUnit工控协议Modbus，OPC、S7、Profinet、IEC60870-5-104、CIP、DNP3。。。现场总线vs工业以太网组态软件，MES，历史数据库；工程师站，操作员站；上位机，下位机工控厂商国外：西门子，施耐德，GE，霍尼，AB，横河，欧姆龙，三菱。。。国产：和利时，浙大中控，上海新华。。。HMIPLCsRTUsSCADA历史数据库IT防火墙OAMES工业控制领域重要概念术语（续）工业控制系统

IndustrialControlSystem工业控制系统（ICS）是一个通用术语，它包括多种工业生产中使用的控制系统，包括监控和数据采集系统（SCADA），分布式控制系统（DCS），和其他较小的控制系统，如可编程逻辑控制器（PLC），现已广泛应用在工业部门和关键基础设施中。分布式控制系统

DistributedControlSystem以计算机为基础，在系统内部（单位内部）对生产过程进行分布控制、集中管理的系统。注：DCS系统一般包括现场控制级、控制管理级两个层次，现场控制级主要是对单个子过程进行控制，控制管理级主要是对多个分散的子过程进行数据采集、集中显示、统一调度和管理。数据采集和监控系统

SupervisoryControlandDataAcquisitionSystem在工业生产控制过程中，对大规模远距离地理分布的资产和设备在广域网环境下进行集中式数据采集与监控管理的控制系统。注：它以计算机为基础、对远程分布运行设备进行监控调度，其主要功能包括数据采集、参数测量和调节、信号报警等。SCADA系统一般由设在控制中心的主终端控制单元（MTU）、通信线路和设备、远程终端单位（RTU）等组成。可编程逻辑控制器

ProgrammableLogicController一种用于工业环境的数字式操作的电子系统，这种系统用可编程的存储器作面向用户指令的内部寄存器，完成规定的功能，如逻辑、顺序、定时、计数、运算等，通过数字或模拟的输入/输出，控制各种类型的机械或过程。注：PLC主要执行各类运算、顺序控制、定时等指令，用于控制工业生产装备的动作，是工业控制系统的基础单元。远程终端单元(RemoteTerminalUnit简称RTU）RTU负责对现场信号、工业设备的监测和控制，是构成企业综合自动化系统的核心装置，通常由信号模块、微处理器、通讯设备、电源及外壳等组成，由微处理器控制，并支持网络系统。它通过自身的软件(或智能软件)系统，可理想地实现企业中央监控与调度系统对生产现场一次仪表的遥测、遥控、遥信和遥调等功能。典型工业控制设备PLCPLCRTU工控机触摸屏PLCCNC工业机器人控制柜各类控制系统行业应用分布应用行业过程控制核电火电石化化工冶金水泥离散控制智能制造军工制造市政烟草煤炭轨交自动化城铁国铁电网自动化电网调度变电、配电用电采集普遍使用DCS和SIS普遍使用SCADA、PLC、数控系统（CNC、DNC）、工业机器人（Robot）信号系统和综合监控（ISCS）电力监控专用系统工业控制网络经典模型（普渡分层模型）已披露的工控漏洞企业资源层/L4生产管理层/L3过程监控层/L2现场控制层/L1现场设备层/L0操作员站生产线操作员站生产线实时数据库工程师站HMI工艺MES打印机ERPHROAINTERNET控制器/PLC控制器/PLCPLC可编程控制器

RTU远程终端

DCS分布式控制器

IED智能电子设备

SCADA数据采集监控系统ICS工业控制系统工控网络与IT网络的5大核心差异全封闭性：网络封闭/应用封闭，特别是向半封闭开放的过程中面临的高风险。意味着安全产品需要识别防护私有的流量、威胁、脆弱性等高可用性：业务连续性，可用性>保密性，重启、打补丁等都是高危行为，意味着安全产品稳定性的高、生命周期长（5~10+）、以及运维的思维转变（先通再控）等高实时性：交互实时性高，意味着安全产品时延敏感高规律性：业务稳定，意味着终端、网络环境稳定有规律性，容易建立基线模型高差异性：行业场景、安全要求、运维能力差异较大，碎片化比传统信息场景更为突出全封闭性高可用性高实时性高规律性高差异性12345工控网络特点与安全风险控制系统普遍存在漏洞。一旦部署很难升级。硬件无法扩展。CPU、内存、硬盘等资源低配，无法安装成熟的安全防护软件，与新的应用软件兼容性差。软件不升级或无法升级。系统老旧（WinNT/XP/7），系统不升级，不打安全补丁，漏洞百出，带毒运行。远程运维风险无法感知。厂商通过预留端口对高端设备运维带来的风险无法感知，更无法防护。安全运维缺失。缺乏必要的安全防护手段和管理制度，既无法做到事前防范，也无法进行事后追溯。安全设计缺失。工控系统与工控网络被设计工作在封闭环境，未考虑安全防护措施。稳定大于安全。稳定连续生产的优先级通常高于网络安全防护要求，不能因为安全导致停工停产。定制化部署。普遍采用定制化的软硬件平台，以满足特定工艺流程的要求。自主性差。高端控制系统普遍采用进口设备，缺少技术管理能力。运维人员缺失。严重缺乏具备IT和安全技能的运维人员。工业网络的特点，生产安全大于网络安全工业网络软硬件普遍存在基础脆弱性，配置与管理水平严重落后工控网络安全理念（白名单为主导）白名单（特权）黑名单（安检）大部分人都是可信的大部分人都是不可信的如：工业主机采用进程、签名等白名单机制；工业防火墙采用IP、资产、工业协议白名单等工控网络安全基础能力—工业资产识别PLC、DCS工业以太网工业控制系统工业主机工控机SCADA工业网关工业网关工业交换机工业路由器工业数采装置数采网关DTURTU视频监控工业控制设备数控系统机器人工业执行器及传感器伺服装置变频器仪表传感器与常见IT资产区别：工业资产类型的不同工业资产识别方法的不同工控网络安全基础能力—工业协议识别S7Comm（S7Communication）是西门子专有的协议，是西门子S7通讯协议簇里的一种。TPKT（应用程数据传输协议，ISOtransportservicesontopoftheTCP

(TPKT)）COTP（ISO8073/X.224COTPConnection-OrientedTransportProtocol）工业协议相对IT协议，类似地方方言VS普通话工业协议大概有100多种，大部分为私有协议，常见的有几十种典型工业协议解析（S7Comm协议）：应用层表示层会话层传输层网络层数据链路层物理层1234756Modbus协议无定义主/从传输摸下RTU或ASCII物理接口定义RS485/RS232两线制或四线制工控网络安全运维方式学习模式自动学习策略，包括终端策略、防护策略、监测策略旁路模式，对业务不做任何处理检验模式通过告警方式来进行策略学习效果的测试和验证不符合白名单安全策略的会产生告警日志，但不会被阻断防护模式安全策略正式生效对非策略定义行为进行阻断，并记录日志和进行告警。工业安全策略“三段式”运行模式，稳妥渐进实现防护目标工业互联网功能框架产业层企业层边缘层设备层智能机器成套设备仪器仪表SCADA/DCSMESERPSCMPLMCAX企业1企业2企业2工业安全运营管理国家骨干网企业/园区网生产控制网二级节点国家顶级节点标识解析中间件标识数据采集设备工业互联网平台（行业级）工业互联网平台（企业级）边缘计算系统云边协同云边协同平台间协同企业外网企业内网企业节点标识注册标识解析业务管理(生产线/车间)(现场)平台-核心网络-基础安全-保障工控网络安全防护指令安全审计控制协议安全机制网络安全控制安全设备安全控制软件安全加固漏洞修复身份鉴别与访问控制固件安全增强接入认证授权通信和传输保护边界隔离代码安全用户授权和管理网络安全应用安全数据安全虚拟化安全数据备份恢复数据防泄漏数据加密网络攻击防护通信和传输保护边界隔离安全管理应急处置告警管理态势感知PLC/CNC风险识别工业资产探测流量分析应急处置态势分析预警通报应用安全网络安全数据安全平台防护工业互联网安全监管设计协同制造协同供应链协同健康预测能耗优化个性化定制视觉质检参数调整AGV调度数据采集协议转换数据预处理工业互联网安全体系框架工控安全工业互联网安全-工业互联网产业联盟《工业互联网体系架构》三大功能体系网络是基础平台是核心安全是保障工业互联网安全参考框架

工业互联网安全相比于传统的工控安全，其范围、复杂性、风险度和安全带来的影响要大的多，工控安全相关政策指南不能完全适用于工业互联网安全。内容提纲01典型工业业务场景与需求特点02工控安全/工业互联网安全基础典型工业行业场景与需求分析石油石化电力生产轨道交通烟草生产煤炭生产水务燃气智能制造钢铁冶炼军工生产石油石化-行业概述勘探开发炼化销售油气调控运输工程装备勘探研究院设计院油井计量站采油厂采气厂石化公司炼化公司成品油销售公司加油站油库管道公司管网公司运输公司设备公司工程建设公司钻探公司一、采油：油井区（海洋油生产、陆地油生产）油田采油网络控制系统海上石油平台综合监控系统油田综合信息化系统二、输油：原油、成品油管道输油（气）管道监控系统三、炼储油：炼油厂、油库区炼油厂油库区监控管理炼油过程监控管理石油石化-主要生产系统石油石化-油气生产SCADA监控系统►作业区对无人值守井、站实施统一监控：SCADA系统建在作业区，无人值守井、站、管道由作业区集中监控；有人值守站厂自设监控系统。作业区对所辖生产单元实施统一监视管理。►大型中心站厂集中监控：SCADA系统建在大型中心站厂，在中心站厂对下辖所有井、站、管道进行集中监控。作业区对下辖生产单元实施统一集中监视管理。对于井、站安全风险较高的“三高”气田及井、站数量相对较少的油气田，宜采用模式一。石油石化-《中国石化工业仪表控制系统安全防护实施规定》1、梳理工控资产2、安全策略3、日志审计4、过程监控5、物理安全6、备份恢复梳理工控资产和系统边界，排查网络连接点，连接点处应部署工业防火墙、网闸类设备开启日志服务并配置独立日志服务器，包括MAC、源IP、协议、目的IP、时间、处理结果等，保存不低于6个月。禁止非授权人员进入生产区域，特别是机房、服务器、操作站等核心工业控制系统所在区域。禁止从石油内网远程管理工控边界隔离设备，防护策略要采用白名单机制，严格限制访问IP。服务器、工程师站、操作员站、历史站采用最小化安装原则，核查操作登录日志进行记录。做好网络设备、安全设备的配置备份，做好关键业务数据备份，确保完整性、可用性。7、外设管控禁止移动设备进入控制网，对授权移动设备采用查杀病毒等防护措施。石油石化-中石油《工业控制系统网络安全框架》石油石化-典型油气开采工控场景介绍按照组织结构层级分为：井/间/站---作业区--采油厂---油田公司---集团公司五层架构。油气开采的生产数据通过井口RTU传输SCADA系统作业区通过SCADA汇总井口RTU生产数据采油厂将各个作业区的SCADA系统数据汇总到SCADA服务器上油田公司办公网通过办公核心连接各个采油厂生产网集团公司通过广域网连接各个油田公司办公网集团公司层油田公司层作业区层现场设备层采油厂层石油石化-典型油气开采场景安全风险及需求各个工作站应具备主机安全防护措施作业区工控系统网络内部应具备工业异常行为监测手段油田公司到各个采油厂、各个采油厂到不同作业区之间缺乏工控边界安全防护手段油田公司办公网到生产网之间应进行两网隔离石油石化-典型采油采气工控安全方案5、终端综合管控：在作业区各操作站部署工业主机防护系统实现对外设进行严格的访问控制、状态监控、进程监控、病毒防护、基于白名单机制的应用程序管控；6、安全监测预警：在采油厂部署工业安全管理系统采集工控安全设备数据，对工控安全设备统一管理；油田公司部署工业安全态势感知平台，对各采油厂的工控安全事件进行综合安全分析、预警和态势呈现。1、安全威胁检测：部署工业安全检查工具，对上下位机操作系统和应用软件进行符合性安全检查。2、网络边界防护：在采油厂与油田公司办公网核心交换机之间部署工业网闸实现物理隔离；在采油厂SCADA服务器域作业区SCADA系统之间部署工业防火墙阻断病毒传播、黑客攻击等行为，限制违法操作；3、内部网络监测：在作业区SCADA系统、采油厂生产网核心分别旁路部署工业监测审计系统准确监测网络异常流量，及时发现潜在的网络攻击和异常行为并在第一时间告警；4、主机安全加固：对作业区各操作站主机进行安全加固，结合油气田业务需求和相关信息安全标准规范制定各类主机资产安全配置基线；L4L3L2L1L0常减压装置DCS系统历史数据库MESERPWebOA石油石化广域网DCS机柜数采服务器DCS告警交换机办公终端交换机APC应用站OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机SIS机柜常减压装置SIS系统DCS机柜SIS机柜重整加氢装置DCS系统重整加氢装置SIS系统操作员站工程师站PLC现场计量设备数采网关数采网关关系数据库现场仪器、仪表等DCS控制系统、PLC控制器等OPC服务器、APC服务器、实时数据库、操作员站、工程师站等MES、数采服务器、历史数据库、APC应用站等OA系统、ERP系统、WEB服务器等L4

企业管理层L3

操作管理层L1

现场控制层L0

现场设备层L2

过程监控层石油石化-典型炼化工控场景介绍石油石化-典型炼化工控安全风险及需求USB等移动介质造成的病毒传播、数据泄露本地、第三方运维人员操作风险数采网关双网卡结构，无法阻断入侵行为操作员站、工程师站恶意代码MES、OPC、ODS等服务器自身漏洞服务器自身漏洞恶意代码入侵运维操作风险移动介质风险网络边界风险L4L3L2L1L0常减压装置DCS系统历史数据库MESERPWebOA石油石化广域网DCS机柜数采服务器DCS告警交换机办公终端交换机APC应用站OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机SIS机柜常减压装置SIS系统DCS机柜SIS机柜重整加氢装置DCS系统重整加氢装置SIS系统操作员站工程师站PLC现场计量设备数采网关数采网关关系数据库APC先控系统防护病毒、恶意代码入侵移动介质感染、泄密服务器自身漏洞数采网关与上层双网卡配置，无法阻止病毒传播石油石化-典型炼化工控安全方案工业防火墙工业防火墙、工业安全监测系统、工业主机安全防护系统工业网闸、主机安全防护系统、工业漏洞扫描系统、日志审计（工业版）、工业安全态势感知与管理平台传统IT网络的安全防护L4

企业管理层L3

操作管理层L1

现场控制层L2

过程监控层L4L3L2L1L0常减压装置DCS系统历史数据库MESERPWebOA石油石化广域网DCS机柜数采服务器DCS告警交换机办公终端交换机APC应用站OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机OPC服务器操作员站DCS操作室交换机APC服务器OPC服务器工程师站SIS交换机SIS操作员站SIS工程师站DCS机柜间交换机SIS交换机SIS机柜常减压装置SIS系统DCS机柜SIS机柜重整加氢装置DCS系统重整加氢装置SIS系统操作员站工程师站PLC现场计量设备数采网关数采网关关系数据库工业防火墙工业防火墙工业防火墙工业安全监测系统工业安全监测系统工业防火墙工业防火墙工业安全态势感知与管理平台工业安全监测系统工业网闸工业主机安全防护控制中心工业安全检查工具工业防火墙工业防火墙工业防火墙工业防火墙工业防火墙日志审计（工业版）日志上传，策略下发日志上传，设备管理日志上传，策略下发电力-业务类型通讯服务器发电用电输电变电配电RTURTURTU数据采集和传输应用服务器电网调度电力-能源局36号文综合防护是结合国家信息安全等级保护工作的相关要求对电力监控系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备份及容灾等多个层面进行信息安全防护的过程。入侵检测主机与网络设备加固应用安全控制安全审计专用安全产品的管理备份与容灾恶意代码防范设备选型及漏洞整改电力–安全分区原则电力-调度业务系统序号业务系统控制区非控制区管理信息大区1基础平台基础平台基础平台基础平台2实时监控与预警类应用电网稳定监控、动态监视与分析、自动发电控制、自动电压控制、运行分析与评价、在线安全稳定分析、网络分析、继电保护定值在线校核、辅助检测、调度运行辅助决策、水电及新能源监测分析

3调度计划类应用

数据申报与信息发布、预测、检修计划、短期交易管理、发电计划、电能量计算、计划分析与评估、水电及新能源调度

4安全校核类应用

静态安全校核、暂态稳定校核、调度辅助决策、稳定裕度评估

5其他应用

调度员培训模拟等

6调度管理类应用

调度生产运行、综合分析与评估、调度机构外业务协同、信息展示与发布、内部综合管理、基础信息维护和管理、专业管理

序号业务系统控制区非控制区管理信息大区1能量管理电网和设备监控AGC、AVC、安全分析等

WEB发布2广域相量测量系统动态数据采集、实时数据处理、分析等

3安全自动控制系统稳定分析、决策生成和下方

4通信监控系统通信监控信息采集、监视

5继电保护继电保护远方修改定值、远方投退等控制功能

6故障录波信息管理系统

故障录波信息管理模块

7电力设备在线监测

信息采集、处理信息采集、处理8实时和次日电力市场运营系统在线安全稳定校核交易、结算、考核、内网报价外网报价、公众信息发布9调度员培训模拟系统

调度员培训模拟

10水电调度自动化系统

水情信息采集、处理

11电能量计量系统

电能量采集、处理

12电网动态监控系统在线监控、稳定计算等

13电力市场监管信息系统接口

向电力市场监管系统发布有关信息14调度生产管理系统

数据统计、分析、报表、管理流程15雷电监测系统

采集、处理16气象、卫星云图系统

接收、处理17视频监控系统

接收、处理18调度信息发布

WEB服务19办公自动化

MIS、OA20电力调度数据网络实时子网非实时子网

主控系统机组控制系统-DCS数据采集系统-DAS炉膛安全保护监控系统-BMS系统顺序控制系统—SCS电液调节系统—DEH公用辅助系统输煤系统化学水处理系统除灰、除渣、电除尘系统吹灰、定排系统电力-火电控制系统组成SIS接口机专用隔离装置SIS接口机专用隔离装置SIS工作站SIS工作站存储服务器应用服务器过程控制层/L1中央监控层/L2安全II区安全I区安全III区SIS接口机专用隔离装置工程师站接口机实时服务器DCS系统1#机组控制柜接口机操作员站2#机组控制柜接口机操作员站公用系统控制柜接口机操作员站辅控系统控制柜SIS接口机专用隔离装置安全I区主机加固安全审计（提前确认协议类型）入侵检测机组DCS上位机与控制器之间不要部署防火墙数采通道普遍使用OPC，通道隔离，一般采用电力专用装置。I区安全日志上传，需要部署网络隔离设备安全II区接口机、工作站主机加固入侵威胁检测工控协议审计SIS系统数据库审计，需要确认数据库类型（合规）日志审计（合规）工控漏扫（合规）运维操作审计（合规）集中管理电力-燃煤火电安全需求及机会点非我司业务范围横向隔离纵向加密SIS接口机专用隔离装置SIS接口机专用隔离装置SIS工作站SIS工作站存储服务器应用服务器过程控制层/L1中央监控层/L2安全II区安全I区安全III区SIS接口机专用隔离装置工程师站操作员站接口机实时服务器DCS系统1#机组控制柜操作员站接口机操作员站2#机组控制柜接口机操作员站公用系统控制柜接口机操作员站辅控系统控制柜SIS接口机专用隔离装置安全域一安全域二安全域三安全域四安全域五电力-燃煤火电厂安全部署方案电力-燃煤火电厂安全核心能力SIS接口机专用隔离装置SIS接口机SIS工作站SIS工作站存储服务器应用服务器过程控制层/L1中央监控层/L2安全II区安全I区安全III区SIS接口机工程师站操作员站接口机实时服务器DCS系统1#机组控制柜操作员站接口机操作员站2#机组控制柜接口机操作员站公用系统控制柜接口机操作员站辅控系统控制柜SIS接口机安全域一安全域二安全域三安全域四安全域五资产监测资产发现与管理资产网络图异常资产接入监测资产违规外联监测网络威胁监测工控协议深度包解析工控协议白名单工控关键操作监测基线监测流量数据采集威胁数据采集资产数据采集运行异常数据采集关键操作数据采集日志审计主机日志采集网络设备日志采集安全产品日志采集网络威胁监测IDS威胁监测病毒监测基于威胁情报的

网络攻击监测数据采集脆弱性监测脆弱性发现与管理网络监测可视化实时监控协议实时流量接口流量监控实时会话监控主机防护主机加固主机防病毒外设管控电力-水电控制系统结构GPS以太网现地控制单元电站主控层远程调度中心ABB南瑞水电中水科电力-水电LCU功能定位PLC交流采样通讯管理机同期单元触摸屏双供电装置机组LCU机组的顺序控制数据采集事件顺序记录（SOE）输出控制功能水机保护功能就地显示控制操作交流数据采集为机组出力提供可靠数据智能设备的通信处理如：励磁系统、调速器系统、温度采集、转速测控、保护装置、交流采样、同期装置完成机组同期并网功能，具备快速调节、快速并网、硬件闭锁。包含手、自动同期功能为PLC、自动化元件提供可靠工作电源、冗余配置，宽限输入，隔离输出电力-水电LCU组成机组LCU屏组屏模式

机组LCU1屏

机组LCU2屏序号名称型号数量备注1屏体2260*800*6002

2PLCPremium1扩展模式3人机界面MT800014通信管理机EDCS-79601

5双供电装置EDCS-DPS2

6同期装置EDCS-81D01

7交流采样装置EDCS-81A01

8交换机赫斯曼1主设备配置表双供电装置通信管理机人机界面PLC主机架交换机双供电装置PLC扩展机架同期装置交流采样装置电力-风电业务系统电力-风电风机控制系统及控制网络图片来源：SIEMENS,全集成自动化在风电行业的应用高速环形工业以太网高速环型冗余光纤以太网是系统的数据高速公路，将机组的实时数据送至上位机界面；远程上位机操作员站上位机操作员站是风电厂的运行监视核心，并具备完善的机组状态监视、参数报警，实时/历史数据的记录显示等功能，操作员在控制室内实现对风场所有机组的运行监视及操作。现场风力发电组控制单元现场风力发电机组控制单元是每台风机控制的核心，实现机组的参数监视、自动发电控制和设备保护等功能；每台风力发电机组配有就地HMI人机接口以实现就地操作、调试和维护机组；电力-风力发电主要控制单元电力-光伏电站的基本机构

光伏阵列将太阳能转变成直流电能，经逆变器的直流柜和交流逆变后，根据光伏电站接入电网技术规定光伏电站容量确定光伏电站接入电网的电压等级，由变压器升压后，接入中压或高压电网。

轨道交通-行业场景分类城市轨道交通系统：指服务于城市客运交通，具有固定线路、铺设固定轨道、配备运输车辆以及服务设施等的公共交通设施。城市轨道交通系统通常以电力为动力，以轮轨运行方式为特征。城市轨道交通地铁轻轨独轨磁悬浮停车场车辆段车站调度中心轨道电力通讯列车城市轨道交通构成轨道交通-业务系统综合监控系统(ISCS)信号系统（CBTC）自动售检票系统(AFC)/清分中心(ACC)通信系统（含PIS、CCTV)指挥中心TCC/NOCC轨道交通-综合监控系统ISCS介绍ISCS（综合监控系统）实现统一指挥运行管理城市轨道交通各专业系统之间需要信息互通、资源共享，以提高各系统的协调配合能力。综合监控系统是一个功能强大的、开放的、模块化的、可扩展的分布式控制系统，集成和互联了多个子系统，利用各专业和各系统提供的信息，准确有效地完成复杂的多系统联合运作，尤其是在发生紧急情况时，提供一键操作实现乘客疏散等工作。减少人工操作造成错误的可能性，将紧急情况所造成的不利影响控制在最小范围之内，达到保证人民生命、财产安全的目的。综合监控系统信息共享平台环境设备监控BAS火灾自动报警FAS电力监控PSCADA闭路电视CCTV防淹门FG屏蔽门PSD时钟系统CLK乘客信息系统PIS信号SIG自动售检票AFC集中监控信息共享协调互动实现功能门禁ACS广播PA轨道交通-面临的网络安全风险-边界安全缺少为数据流提供明确的允许/拒绝访问的能力不能对进出网络的信息内容进行过滤，不能实现对应用层协议命令级的控制未在网络边界部署访问控制设备，缺乏访问控制功能信号系统与其他系统之间存在互联接口，但缺乏可靠的技术隔离手段进行区域隔离对信号系统的主机、服务器等资产信息掌握不足，比如设备类型、

品牌型号、软件系统、设备属性等，很难采取有针对性的防御措施缺乏对非授权设备私自联到内部网络行为的发现能力缺少工控系统安全态势感知能力，从资产、脆弱性、威胁等多个视角全面分析工控系统安全态势系统的安全风险状态不了解，有隐患的资产看不清，被攻击的资产难以发现，攻击后果未能第一时间感知轨道交通-面临的网络安全风险-行为安全地铁线路系统内采用传统网络防病毒软件，由于使用限制无法实时更新特征库和杀毒引擎，对新型恶意代码的防范能力薄弱无法对重要程序的完整性进行检测，并在检测到完整性受到破坏后不具有恢复能力未采用加密或其他有效措施实现系统管理数据、鉴别信息以及重要业务数据传输与存储的保密性部分主机和服务器使用通用型操作系统，由于环境限制，无法实时更新操作系统补丁，操作系统漏洞给CBTC系统的安全、稳定运行带来威胁轨道交通-面临的网络安全风险-主机安全信息安全制度信息安全制度不完善，在制度执行过程中普遍存在不到位或不严格的情况介质管理在日常运行维护过程中普遍存在诸如介质未采用有效的手段进行管理和防护，容易造成病毒入侵和敏感信息泄露的风险第三方人员管理地铁系统的部署、策略配置等主要依赖厂商或系统集成商，对第三方人员缺乏严格的管控制度，容易造成敏感信息泄密或误操作的风险应急预案安全防护应急预案存在事故预想不全面、内容不完整、相关要求缺乏可操作性等问题，缺少演练、培训和更新的相关内容，无法在真正的事故中及时响应和恢复系统，致使最终影响企业生产安全意识培训工控系统网络安全培训缺乏，大多数运营公司并未开展过针对轨道交通工业网络安全的专项教育和培训。工控网络安全的意识相对比较薄弱，对系统性的信息安全了解不够轨道交通-面临的管理和运维安全风险安全区域边界工业防火墙（含IPS、AV、Anti-DDoS、失陷主机检测等）、智慧防火墙工业安全监测、工业审计、工业入侵检测访问控制、无线入侵防御（WIPS)安全计算环境工业主机安全防护（含白名单、外设管理、主机加固、漏洞防护等）外设管理、准入/准出安全管理中心工业安全集中管理和分析系统IMAS堡垒机、日志审计系统、漏洞扫描三权分立轨道交通-综合监控系统方案整体拓扑图烟草-体系结构国家烟草专卖局（总公司）33家省级烟草公司451家地市烟草公司56家复烤厂19家工业公司94家卷烟厂144家烟机、印刷、辅料等企业南通、珠海、昆明、双维四家醋纤公司国家烟草专卖局（总公司）省局（商业公司）（33）中烟（工业公司）（19）地市局烟草局451卷烟、复烤、烟机、印刷及辅料292丝叶生产类工业控制系统对烟丝、烟叶或其他辅料进行一套完整流程化的加工。在丝叶生产类工业控制系统中，现场控制设备分段完成整套生产流程各工艺段控制，整套集控系统严格依照预先设计流程进行一定顺序操作，任何一个工艺段加工质量都决定着整个丝叶生产的成品质量。丝叶生产类工业控制系统的现场控制层网络和监督控制层网络在物理上严格分离，监督控制层网络采用普通以太网，主要用于连接中控、现场等操作终端设备，自动化控制网络主干网采用工业环网，主要连接PLC、SCADA服务器等设备，电源和光纤冗余设计，保证主干网络的通讯稳定可靠。烟草-制丝，丝叶生产类工业控制系统独立控制类工控系统通过现场各自独立进行生产工作的卷包机、数字机床等设备独立完成加工工作，并由其他辅助类输送设备、组装设备完成车间内运输、组装。其中烟机公司现场设备为数控机床、卷烟厂卷包车间现场设备主要为卷烟机、包装机等。独立控制类工控系统网络采用普通以太网，各生产设备独立接入。监督控制层由SCADA服务器、EAM服务器、CAM服务器和操作站组成，监督控制层设备实时汇集各个机台的生产数据，实现车间生产过程的集中监视。烟草-卷包，独立控制类工业控制系统在物流控制类工控系统主要任务是通过物流管理系统、调度控制系统等几类业务应用系统完成对于原料、成品的输运工作。物流控制类工控系统监督控制层包括了操作员站、工程师站、物流管理系统终端、调度控制系统终端以及物流管理系统服务器、调度控制系统服务器等，现场控制层设备包括输送机、堆垛机以及显示生产信息的LED屏，以及现场的无线运输小车。物流类工控系统现场控制设备直接接入各个储存库中的主要交换机，各库交换机分别接入监督控制层，与监督控制层物流管理系统、调度控制系统协同完成整套物流输运工作。烟草-物流，物流控制类工业控制系统动力控制类工控系统主要工作是为各企业其他生产车间提供能源动力。主要业务流程是由操作员站进行动力能源车间压空系统、真空系统、锅炉系统、变配电系统、空调制冷系统、恒压供水系统和污水处理系统等子系统的实时监测，并对一些辅助类子系统进行控制。动力控制类工控系统的监督控制层网络采用普通以太网，主要实现对现场控制层设备的生产过程实时监控、故障报警和手自动控制、趋势分析等功能。动力控制类工控系统的现场控制设备主要由变配电、压空、空调、锅炉等独立子系统组成。烟草-动能，动力控制类工业控制系统烟草-行业工控安全标准规范待发布烟草-工业安全现状一、网络架构混乱部分卷烟厂和商烟物流配送中心的办公网络和生产网络交织在一起，缺乏网络层面的梳理、区域间的隔离措施，造成近年来勒索病毒在烟草生产网络横行，带来很大的经济损失二、自动化控制系统的脆弱性国外品牌设备：目前在烟草行业绝大部分工控系统采用的都是国外品牌，如果存在后门，即使已经实施了非常好的安全策略，攻击者也可能通过供应商的后门找到攻击向量，对烟草企业是非常打的安全隐患。目前在CVE、CNVD等服务平台上可以查询到大量控制系统的漏洞。工业协议缺乏安全认证机制：

许多工控协议开发之初没有考虑任何安全机制，如ModBus，OPCDA等。攻击者利用任何客户端都可以使用这些无安全机制的协议读写取服务端数据、且这些数据在传输过程中能被轻易的监听、修改等。工业应用软件缺陷：某些工控应用软件采用动态端口设计，与某些服务的端口冲突；应用软件通讯使用明文传输，安全性很差。三、工业终端的管理混乱烟草企业的工业控制系统使用周期都很长，同时管理混乱。工业主机操作系统版本老旧，且不打补丁，造成存在大量的安全漏洞；由于与工业应用软件兼容性问题，工业主机很少安装防护软件，造成大部分主机都是带毒运行；为了工作便利，移动介质在主机上随意插拔。烟草-工控安全建设优先级建议针对工控网络的风险评估

通过风险评估确定风险和安全缺失项，并根据当前的安全形势和行业要求确定整改优先顺序。同时对发现的未知资产或已经被恶意程序攻击（木马后门）的资产进行问题确认和处置。两网隔离防护建设

根据《烟草工业企业生产网与管理网网络互联安全规范》（YCT494-2014）优先进行生产网和管理网的逻辑隔离和访问控制，可根据两网接口实际流量协议，通过部署传统多功能安全网关/工业防火墙/工业隔离网闸进行边界检测和防护。工控网络异常监测审计

鉴于生产网的特性，优先针对生产网进行异常流量、入侵攻击的检测和监控，为攻击、故障定位处置提供分析呈现的原始依据。烟草-工控安全建设优先级建议生产网安全域边界检测和防护

针对生产网内确认的安全域，通过在域边界部署工业防火墙，进行基本的安全域边界逻辑隔离和访问控制，实现基本的工控域防护和降低安全事件爆发时影响范围。生产网内部安全建设

通过在工程师站、操作员站部署终端安全管理系统，关键PLC前端部署导轨式工业防火墙、无线入侵防御系统、中控室部署数据库审计等安全措施，实现生产网内部的安全检测、防护、审计。生产网安全管理统一呈现

通过在生产执行层部署工业控制信息安全管理系统，对烟草生产中各车间工控系统进行可用性、性能和服务水平的统一监控管理。包括各类主机、服务器、现场控制设备、以及各类网络设备、安全设备的配置及事件分析、审计、预警与响应，风险及态势的度量与评估，对整个系统面向业务进行主动化、智能化安全管理，保障烟草工业控制系统整体持续安全运营。烟草-两网隔离依据《烟草工业企业生产网与管理网网络互联安全规范》（YCT494-2014）进行安全建设包括身份鉴别、访问控制、网络互联控制、恶意行为防范、安全审计、支撑操作系统安全，加强接口数量控制和安全管理。工业防火墙L4L3L2L1L0工程师站A线工程师站B线历史数据库操作员站HMICAMMES系统ERPWebOAINTERNET控制器/PLC控制器/PLC数据采集服务器安全管理中心安全域二安全域三安全域一工业网闸智慧防火墙VPN烟草-商烟物流配送中心工控安全解决方案安全区域边界工业防火墙（含IPS、AV、Anti-DDoS、失陷主机检测等）工业安全监测、工业审计、工业入侵检测边界防御安全计算环境工业主机安全防护（含白名单、外设管理、主机加固、漏洞防护等）外设管理、准入/准出数据库审计网络加固安全管理中心工业安全集中管理和分析系统IMAS堡垒机、日志审计系统、漏洞扫描三权分立集中监控烟草-工烟卷烟厂工控安全解决方案安全区域边界工业防火墙（含IPS、AV、Anti-DDoS、失陷主机检测等）工业安全监测、工业审计、工业入侵检测边界防御安全计算环境工业主机安全防护（含白名单、外设管理、主机加固、漏洞防护等）外设管理、准入/准出数据库审计数据备份恢复系统网络加固安全管理中心工业安全集中管理和分析系统IMAS堡垒机、日志审计系统、漏洞扫描三权分立集中监控工业防火墙工业安全监测工业主机防护控制中心工业主机防护控制中心工业主机防护控制中心工业主机防护控制中心工业防火墙工业安全监测工业防火墙工业安全监测工业防火墙工业安全监测工业防火墙工业防火墙工业防火墙工业防火墙工业安全监测工业安全监测工业安全监测工业安全监测工业安全态势感知和管理平台IMAS堡垒机日志审计全网主机日志上传策略下发日志上传工业安全漏扫工业生产场景的特殊性和工控网络普遍存在的基础脆弱性，使得安全防护手段和安全运维能力严重不足。煤炭生产流程介绍煤炭挖掘皮带运送产生原煤成品煤煤炭开采煤炭提升选煤洗煤掘进采煤运输提升原煤选洗成品装备运输装运通风排水供电供压安监压力防火降尘辅控系统煤炭综合自动化系统典型井工矿工控场景介绍现场控制层主井绞车房副井绞车房地面工业控制光纤环网瓦斯泵站风机房地面变电所井下工业控制光纤环网皮带机头硐室中央变电所采区变电所办公电脑办公电脑办公电脑OA、ERP服务器视频服务器WEB服务器MES服务库服务器MES服务库服务器人员定位上传服务器安全监控上传服务器磁盘阵列视频服务器MESWEB服务器综合自动化WEB服务器生产管理层企业资源层磁盘阵列生产监控层解码服务器采集服务器实时数据库服务器采集服务器历史数据库服务器视频服务器分站防爆控制器综保报警器变频电机摄像机甲烷/风速传感调度电话摄像机断路器甲烷传感摄像机液位/流量计摄像机断路器摄像机电视墙调度指挥电话打印机PLC电力综保PLC现场设备层操作员站工程师站防爆电器设备、人体传感器、摄像机、广播等地面PLC控制器、电力综保、通信分站调度控制中心、操作员站、工程师站等生产执行系统、调度管理系统、人员车辆定位系统、安全监控系统等OA系统、ERP系统、CRM等L4

企业资源层L3

生产管理层L1

现场控制层L0

现场设备层L2

生产监控层典型井工矿场景工控安全风险及需求现场控制层主井绞车房副井绞车房地面工业控制光纤环网瓦斯泵站风机房地面变电所井下工业控制光纤环网皮带机头硐室中央变电所采区变电所办公电脑办公电脑办公电脑OA、ERP服务器视频服务器WEB服务器MES服务库服务器MES服务库服务器人员定位上传服务器安全监控上传服务器磁盘阵列视频服务器MESWEB服务器综合自动化WEB服务器生产管理层企业资源层磁盘阵列生产监控层解码服务器采集服务器实时数据库服务器采集服务器历史数据库服务器视频服务器分站防爆控制器综保报警器变频电机摄像机甲烷/风速传感调度电话摄像机断路器甲烷传感摄像机液位/流量计摄像机断路器摄像机电视墙调度指挥电话打印机PLC电力综保PLC现场设备层操作员站工程师站信息网和生产网间缺少安全隔离，威胁极易传播组态软件PLC等自身存在漏洞，易被漏洞利用调度或运维人员在使用Ｕ盘进行日常维护，存在携带病毒进系统的风险部分主机未关闭3389端口，存在被攻击者恶意利用的可能简单授权即可对关键工控设备操作，违规操作风险主机操作系统漏洞，无法抵御0-day等威胁缺乏整体信息安全规划；缺乏工控安全管理制度、应急处置预案等管理制度缺乏对违规、越权操作尽心更有效审计和管控措施；授权审计第三方开发，安全性无法保证；PLC多为国外产品，高危漏洞较多。组态软件漏洞1主机操作系统陈旧，系统补丁几乎未更新过，无法防御0day、勒索病毒。终端安全病毒、恶意代码入侵，缺乏有效手段检测异常行为恶意代码入侵边界安全缺少各区域各系统间的隔离手段，边界模糊；4终端存在移动介质感染、泄密的风险。37主机安全562市政-自来水生产监控管理：水池水位、管道压力、液位、流量、水质、设备启停监控数据统计：监测数据统计、异常统计、故障统计、报警统计智慧水务系统组成：水厂监控系统、管网压力监控系统、消防栓远程监控系统、取水栓远程监控系统、远程超标系统、泵站监控系统、二次供水系统、水源井监控系统、三维管线GIS系统等通信形式多样化，包括了GPRS通讯、NB-IOT、RS458、卫星通信、有线的光纤、专网等市政-水厂系统设备构成供水公司生产调度系统在设备构成上可分为调度中心、通信网络、远程测控设备和计量测量设备四大部分调度中心：控制主机、服务器、数据库软件、供水调度软件等远程测控设备：水测控终端、取水/加压泵、管网监测、远程抄表等计量测量设备：水位计、压力变送器、流量计、水质传感器、水泵等市政-水厂调度系统结构一般城市供水生产调度系统分为两级：水务调度中心及水厂分控中心。建立在自来水公司办公区内，对水源井、取水泵站、水厂、供水管网、加压泵站进行统一监测；并根据用水状况，调度各水厂、泵站的出水供给水务调度中心建立在各水厂内，针对所辖取水泵站、水源井和水厂内部进行实时监测和管理水厂分控中心市政-污水处理一级处理（采用物理方法，主要通过格栅拦截、沉淀等手段去除废水中大块悬浮物和砂粒等物质。）调节池、格栅、沉沙池、初次沉淀池二级处理（采用生化方法，主要通过微生物的生命运动等手段来去除废水中的悬浮性，溶解性有机物以及氮、磷等）例如好氧活性污泥法、生物膜法、自然净化设施三级处理（深度清理，是进一步去除二级处理未能去除的污染物，如磷、氮及生物难以降解的有机污染物、无机污染物、病原体等）混凝、过滤、臭氧、膜处理“两网连接”带来的风险，网络结构合理性现场与远程运维带来的风险无线通讯带来的风险软件、硬件、协议的风险移动介质使用不规范市政-水务工控安全风险总结市政-燃气输送放空塔清管装置安全放散装置安全切断阀安全切断阀加臭装置市政-燃气场景与传输工艺天燃气（城市燃气输配系统）：一般由接受站(或门站)、输配管网、储气设施、调压设施以及运行管理设施和监控系统等共同组成。传输工艺：长管线→城市天燃气输配→接收站（门站）→输配管网（高压/次高压/中压/低压）→调压室/储配站→用户市政-城市燃气输配系统市政-燃气工控网络架构与需求工控网边界风险，工控网络分输站与调控中心的数据交互使用的是Modbus协议。操作系统漏洞，工作站存在大量病毒，影响正常生产运营。通信协议存在漏洞。在分输站与调控中心边界部署工业防火墙，实现避免跨区域跨网段攻击，入侵防御功能，避免病毒大面积传播感染；在工作站、上位机、服务器部署工业主机安全防护系统，对操作系统进行安全加固，对外设端口进行管控；安全管理：集中管理工控安全设备，实现维护；满足了政府监管部门及集团主管部门合规要求；安全需求工控方案制造-大类概述离散制造：创造；组装；对各个部件处理来制造一件商品。流程制造：生产的产品是源于原料和配方电子电器、家电、汽车及配件、机械设备等（按“个”卖）钢铁、有色金属、化肥、石化、造纸、化工等（按“斤”卖）离散制造流程制造制造-行业分布制造业电子类其他类雷达工业、通信设备工业、电子计算机工业、家用视听设备工业、电子测量仪器工业、电子元件工业、电子器件工业、电子信息机电产品工业、电子信息产品专用材料工业行业铁道及电车道用机车和车辆及动车组、工矿有轨专用车辆、铁路机车车辆配件及零件、铁路专用设备及器材和配件、汽车、改装汽车、电车、汽车车身及挂车、机动车零部件及配件、摩托车整车、摩托车零部件及配件建筑用工程机械、建筑材料生产专用机械、冶金专用设备、炼油及化工生产专用设备、食品饮料及烟草工业专用设备、印刷专用设备、农林牧渔专用机械、医疗仪器设备及器械、环境污染防治专用设备仪器仪表及文化、办公用机械、专用仪器仪表文化、办公用机械、工业自动控制系统与仪器仪表装置机械设备交通运输安全管理中心安全域划分：将工控网络细分为安全域一、安全域二、安全域三、安全管理中心等多个区域，为纵深安全防御体系建设打下基础。安全通信网络：搭建合理的网络架构，完善身份认证、访问控制、数据加密传输。安全区域边界：实现工控网络内部安全域及工控网络与非工控网络的隔离与策略控制。安全计算环境：对工控系统工业主机、工业应用软件、网络设备、安全设备等计算环境进行安全防护。安全管理中心：实现对整个工控系统网络设备的集中管控与威胁展示。工控安全服务：对工控网络进行等保咨询、安全运营、漏洞挖掘。ERPMES集中式控制服务器/HMI本地监控服务器/HMI本地监控服务器/HMI控制器（PLC/DCS/RTU）传感器/执行器L3生产管理层L4企业资源层L2过程监控层L1现场控制层L0现场设备层安全域一安全域二安全域三典型制造业、水务、燃气工控系统安全方案企业资源层/L4生产管理层/L3过程监控层/L2现场控制层/L1现场设备层/L0工程师站产线1工程师站产线N历史数据库操作员站HMICAMMES系统ERPWebOAINTERNET控制器/PLC控制器/PLC工业集中管理和分析系统IMAS全网主机日志集中管理日志上传防火墙日志集中管理日志上传工业主机防护控制中心策略下发日志上传工业主机安全防护工业防火墙工业安全监测工业安全监测数据采集服务器工业网闸WIPS安全管理中心工业安全监测数据库审计工业安全漏扫堡垒机管理中心防火墙工业防火墙安全区域边界工业网闸工业防火墙（含IPS、AV、Anti-DDoS、失陷主机检测等）、智慧防火墙工业安全监测、工业审计、工业入侵检测访问控制、无线入侵防御（WIPS)安全通信网络网络架构规划、安全域划分、链路冗余、双机、Bypass、流控(QoS)VPN安全计算环境工业主机安全防护（含白名单、外设管理、主机加固、漏洞防护等）外设管理、准入/准出数据库审计数据备份恢复系统安全管理中心工业安全集中管理和分析系统IMAS堡垒机、日志审计系统、漏洞扫描三权分立安全域二安全域三安全域一工业防火墙工业主机安全防护工业网闸智慧防火墙工业集中管理和分析系统IMAS图示说明VPNAPAP日志审计智慧防火墙工业防火墙典型制造业、水务、燃气工控安全方案钢铁-行业概述钢铁工业生产工艺流程中国主要钢铁工业中心钢铁工业：生产铁、钢、钢材、纯铁和铁合金的工业，是世界所有工业化国家的最关键基础重工业。生产工艺流程：炼焦（焦炉）→炼铁（高炉）→炼钢（转炉or电炉）→连铸→热轧→冷轧→产品（板材/线材/型钢/管钢）钢铁-企业信息化层结构一级和二级与包括整个生产线的过程控制和单体设备基础自动化，是整个钢铁企业信息化的基础。三级系统是进行生产作业的计划、执行与监控以及生产实时数据的采集和管理。四级针对钢铁企业业务层面的管理，以ERP为核心应用，通过信息系统把先进的管理理念和方法固化下来，对企业的内、外部供应链进行系统、高新的整合和管理。五级在整个钢铁企业IT层次模型的最高层，大量业务数据进行挖掘、分析，得出分析建议，为企业管理层的科学决策提供坚实的基础。生产基础自动化系统生产监控系统生产执行系统生产管控与支撑系统企业计算与数据中心12345钢铁-工控网络安全风险与需求分析生产数据安全防护数据库、历史服务器重要生产数据丢失与勒索加密计算环境安全防护操作员站、工程师站、工控机、服务器各种病毒、恶意代码工控边界安全防护生产网与办公网边界攻击，炼铁、炼钢、热轧、冷轧产线区域边界攻击工控网络流量监测工控网络传输流量进行实时监测资产、漏洞、威胁，安全审计，事后追溯通信网络安全防护炼铁/炼钢/热轧/冷轧产线生产工控网络需要保障实时性、稳定性、安全性安全集中管理中心所有工控网络安全设备，工业以太网设备，工业控制系统无集中统一管理病毒恶意代码入侵生产工艺重数据丢失、勒索加密边界跨区域跨网段攻击工控资产、漏洞、威胁生产网实时性、稳定性安全集中统一管理、分析、态势原厂远程运维与升级移动介质与无线WiFi企业资源层/L4生产管理层/L3过程监控层/L2现场控制层/L1现场设备层/L0工程师站产线1工程师站产线N历史数据库操作员站HMICAMMES系统ERPWebOAINTERNET控制器/PLC控制器/PLC工业集中管理和分析系统IMAS全网主机日志集中管理日志上传防火墙日志集中管理日志上传工业主机防护控制中心策略下发日志上传工业主机安全防护工业防火墙工业安全监测工业安全监测数据采集服务器工业网闸WIPS安全管理中心工业安全监测数据库审计工业安全漏扫堡垒机管理中心防火墙工业防火墙安全区域边界工业网闸工业防火墙（含IPS、AV、Anti-DDoS、失陷主机检测等）、智慧防火墙工业安全监测、工业审计、工业入侵检测访问控制、无线入侵防御（WIPS)安全通信网络网络架构规划、安全域划分、链路冗余、双机、Bypass、流控(QoS)VPN安全计算环境工业主机安全防护（含白名单、外设管理、主机加固、漏洞防护等）外设管理、准入/准出数据库审计数据备份恢复系统安全管理中心工业安全集中管理和分析系统IMAS堡垒机、日志审计系统、漏洞扫描三权分立安全域二安全域三安全域一工业防火墙工业主机安全防护工业网闸智慧防火墙工业集中管理和分析系统IMAS图示说明VPNAPAP日志审计智慧防火墙工业防火墙钢铁-等级保护方案军工智能制造发展趋势借助智能制造与数字化网络技术，推动产品、技术与服务创新与升级。对外强化产业链协同、充分发挥产业核心企业带动作用，打造产业整体优势。对