工业互联网安全防护技术 课件 项目四 工业互联网设备安全

项目四工业互联网设备安全

学习目标理解完成理解掌握理解对设备造成影响的因素与安全措施12理解设备软件安全的内容、存在的威胁以及防护措施掌握设备统计与识别方法与实施过程34完成各章节任务实践内容目录页4.1设备硬件安全4.2设备软件安全4.3设备安全管控4.1设备硬件安全【任务目标】1.了解对设备运行造成影响的环境因素。2.理解安全芯片对设备安全的作用。3.了解设备安全标识的概念，掌握对设备进行标识的方式以及安全标识的作用。4.完成门禁卡复制过程，了解门禁卡标识的内容，理解保障门禁卡标识安全的方式。4.1设备硬件安全【知识图谱】4.1设备硬件安全：【知识准备】区域划分根据安全需求将设施划分为不同的物理安全区域，针对不同等级的区域制定差异化的访问权限策略。授权管理利用门禁卡、指纹识别等身份验证系统，确保只有经过授权的人员才能访问特定的敏感区域或设备。监控和审计安装监控设备覆盖关键区域，完整保留访问记录和监控数据，为日后的安全审查和事件追溯提供依据。一、使用环境安全：物理访问控制方法4.1设备硬件安全：【知识准备】一、使用环境安全：常见物理访问控制措施技术手段门禁系统：身份验证与权限管理访问记录：审计追踪与日志留存人力与物理手段安全巡逻：定时巡查与应急响应物理屏障：围墙、栅栏与防护设施访客管理：登记制度与陪同访问4.1设备硬件安全：【知识准备】一、使用环境安全：防雷击关键措施避雷针系统通过安装接闪器，主动引导雷电流安全入地，避免直击雷对建筑物的破坏。等电位连接将建筑物内的金属构件、设备外壳等进行电气连接，防止电位差引发的电击和损坏。电涌保护器（SPD）在电源和信号线路中安装SPD，有效吸收浪涌能量，保护精密电子设备免受冲击。屏蔽与接地构建良好的电磁屏蔽环境，并配合低阻抗接地网，减少电磁干扰并分散雷电流。4.1设备硬件安全：【知识准备】一、使用环境安全：火灾预防与控制措施探测预警安装烟雾、热、气体探测器，实现火灾的早期发现。隔离阻断通过防火门、防火墙和防火材料，阻止火势蔓延。灭火系统配置自动喷水、气体灭火系统及各类灭火器，用于火灾发生时的应急处置。4.1设备硬件安全：【知识准备】一、使用环境安全：防水与防潮综合方案建筑防护基础选用高强度防水材料，从源头阻隔科学设置防水层与排水坡度，优化系统关键接缝处做好专业密封处理环境温湿控制地面铺设防潮层，物理隔离地下潮气建立独立隔离区域，减少外部干扰部署智能通风系统，保持空气流通干燥关键设备防护设备外壳采用防水封装，配备专用防水柜安装高精度漏水检测传感器配置自动应急排水设备，确保万无一失4.1设备硬件安全：【知识准备】一、使用环境安全：电子设备静电防护措施设备与环境控制安装静电消除设备，中和空间电荷铺设防静电工作台、地垫及地板材料环境湿度控制在40%-60%之间人员操作规范作业时必须佩戴防静电手腕带并接地穿着防静电无尘服、鞋套进入工作区接触敏感器件时佩戴防静电手套4.1设备硬件安全：【知识准备】一、使用环境安全：机房环境温湿度精准控制监测与记录安装高精度温湿度传感器，并使用数据记录仪持续记录数据，便于后续的趋势分析与回溯。主动调节通过精密空调系统控制温度，联动湿度调节器自动执行加湿或除湿操作，维持环境参数稳定。被动防护采用高性能隔热材料和良好的密封处理，构建物理屏障，最大程度减少外界环境波动对室内的影响。4.1设备硬件安全：【知识准备】一、使用环境安全：环境与设备防尘策略源头控制采用密封结构、防尘门窗，并在洁净区域使用正压系统，防止外部灰尘进入。空气净化安装高效空气过滤系统（如HEPA过滤器）和空气净化器，持续净化室内空气。设备保护为关键设备使用防尘罩或密封外壳，并建立定期清洁制度，确保设备洁净。4.1设备硬件安全：【知识准备】一、使用环境安全：电磁干扰防护技术物理屏蔽构建屏蔽室，使用屏蔽电缆和材料，阻挡电磁波的传播。接地与隔离建立良好的接地系统，并将敏感电路与高噪声电路分隔开。主动抑制在电路中使用铁氧体磁珠等抑制元件，并控制电磁环境，减少干扰源。4.1设备硬件安全：【知识准备】一、使用环境安全：电力供应保障措施UPS不间断供电系统安装UPS系统，为关键设备提供备用电源，防止电力中断导致设备停机或数据丢失，确保业务连续性。应急发电机组支持配置专业应急发电机，为关键设施提供长期电力支持，确保在市政电网长时间断电情况下，核心业务仍能正常运行。冗余电力线路设计采用双路市电接入与冗余电源架构设计，消除单点故障风险，确保电力供应的高可靠性和连续性。实时监控与智能报警部署智能电力监控系统，7x24小时实时监测电压、电流等参数，一旦发现异常立即触发多级报警机制。4.1设备硬件安全：【知识准备】二、安全芯片：可信平台模块(TPM)核心功能概览密钥全生命周期管理生成、存储与管理硬件级安全密钥，防止软件层窃取数据加密与解密提供硬件加速的加密运算，保护敏感数据存储与传输系统启动完整性验证测量并记录启动过程，防止恶意软件篡改引导程序身份认证与远程证明基于硬件唯一标识，实现可信的用户与设备身份验证标准实施流程01.硬件选型与配置选择符合TCG标准的TPM2.0芯片并配置BIOS02.初始化与配置执行TPM清除、创建所有者授权及SRK密钥03.安全应用开发部署基于TSS架构开发应用，集成加密与认证逻辑04.启动完整性验证开启安全启动(SecureBoot)与测量启动(MeasuredBoot)05.密钥与数据管理实施透明加密，确保密钥存储与使用的安全性06.身份验证与证明部署远程证明机制，建立设备间的信任基础4.1设备硬件安全：【知识准备】二、安全芯片：安全元件(SE)核心安全特性防篡改与加密引擎集成硬件级防篡改设计，内置高性能加密引擎，确保数据处理安全。受保护存储区域提供独立的、高安全等级的存储区域，用于存放密钥、证书等敏感资产。隔离执行环境(TEE)拥有隔离的安全操作环境，确保关键业务逻辑在可信环境中执行。关键应用场景移动支付安全安全存储支付凭证与密钥，保障NFC支付、扫码支付等交易流程的绝对安全。身份认证与授权作为数字身份的载体，安全存储数字证书，实现高强度的用户身份鉴别。IoT与版权管理保障物联网设备通信链路安全，以及实现数字内容的版权保护与合规分发。4.1设备硬件安全：【知识准备】三、安全标识主要标识方式序列号(SerialNumber)MAC物理地址RFID电子标签QR二维码标识统一资源标识符(UID)核心作用与价值全生命周期设备管理生产与物流追踪溯源跨系统互操作性保障接入身份与安全保障数据关联与资产管理典型应用场景智能制造与工业控制供应链透明化管理智能设备预测性维护工业互联网安全防护企业固定资产盘点4.1设备硬件安全：【任务实践】一、实践概述实践名称门禁卡复制实验实践内容获取门禁卡唯一标识，识别门禁卡身份，对门禁卡进行复制，实现门禁卡的身份复制。实践过程01环境搭建环境搭建与配置02状态查看门禁设备状态查看03信息查看门禁卡信息查看04门禁发卡门禁卡发卡操作05卡片复制完成卡片复制4.1设备硬件安全：【任务实践】一、实践概述：实践工具清单海康威视门禁设备包含电源适配器，核心控制硬件门禁发卡器及软件含USB连接线及配套发卡管理软件智能卡配匙机含USB连接线及制卡写卡软件实验计算机运行管理软件与配置参数的终端可重复读写IC卡数量：两张，用于测试发卡与开门功能网络连接线用于设备联网与数据传输的标准网线4.1设备硬件安全：【任务实践】二、实践步骤：环境配置01.配置计算机设置IP地址（如00），确保与门禁系统网络通信畅通。02.连接门禁设备接通门禁设备电源，使用网线连接计算机与门禁控制板。03.连接USB外设将发卡器与配匙机通过USB数据线连接到计算机主机。4.1设备硬件安全：【任务实践】二、实践步骤：门禁设备状态查看1.访问管理页面打开浏览器，在地址栏输入门禁设备的管理IP地址（例如：4），进入设备管理界面。2.登录系统使用默认管理员账号（admin）和密码（Admin@123）进行登录，确保账号权限正确。3.查看状态登录成功后，检查实时监控画面是否正常，并确认人员管理列表初始状态为空。4.1设备硬件安全：【任务实践】二、实践步骤：门禁卡信息查看01.打开配匙机软件运行“CopyKEYManager”程序，确保软件与配匙机硬件成功连接，准备进行卡片操作。02.解码卡片K1将卡片K1放置于读卡区，点击“一键解码”，获取其唯一标识UID（如991F3289）及扇区数据。03.解码卡片K2重复解码操作获取卡片K2的UID（如3A9FD124），确认两张卡片的UID信息完全不同。4.1设备硬件安全：【任务实践】二、实践步骤：门禁卡发卡（一）01.打开发卡软件运行电脑上的“iVMS-4200”客户端软件，准备进行设备管理操作。02.添加门禁设备进入“维护与管理”->“设备管理”，通过手动添加或搜索在线设备的方式，将门禁设备添加到软件中。03.创建设备分组基于已添加的设备创建逻辑分组，对不同区域的门禁设备进行分类管理，提升管理效率。4.1设备硬件安全：【任务实践】二、实践步骤：门禁卡发卡（二）01进入人员管理在软件首页点击“人员管理”模块，进入人员信息配置界面。02添加人员信息填写人员基本信息（如姓名），并点击“添加卡片”按钮准备录入。03读取卡片信息将卡片K1放置在发卡器上，配置类型后读取信息并完成绑定添加。04配置访问权限创建权限组，关联人员与门禁点，将最终的权限策略下发到门禁设备。05测试卡片实测验证：K1卡片可成功开门，未授权的K2卡片则无法开门。4.1设备硬件安全：【任务实践】二、实践步骤：卡片复制01读取源卡信息将已授权的卡片K1放置在配匙机上，进行“一键解码”，获取其完整数据。02写入目标卡将空白卡片K2放置在配匙机上，点击“写入”按钮，将K1的所有信息复制到K2中。03验证复制结果对复制后的K2卡片再次解码，确认其UID和扇区信息与K1完全一致。4.1设备硬件安全：【任务实践】二、实践步骤：结果验证复制前状态门禁权限缺失K2卡片未被授权，尝试刷卡时门禁系统无响应，无法打开门锁。复制后状态权限完全匹配K2卡片拥有与K1完全相同的权限，可以成功开门，且门禁系统显示刷卡人为同一人。4.2设备软件安全【任务目标】1.了解工业互联网设备软件安全包括的内容。2.理解工业互联网设备软件安全存在的威胁及威胁的防护措施。3.完成对智能设备平台的欺骗攻击时间操作，理解数据加密传输与完整性验证对软件传输安全的重要作用。4.2设备软件安全【知识图谱】4.2设备软件安全：【知识准备】一、固件安全主要威胁(Threats)恶意固件植入通过注入恶意代码或伪造更新源进行攻击固件篡改面临物理接触篡改与远程非授权修改风险固件漏洞利用针对已知漏洞及零日漏洞的利用攻击固件更新风险更新包被篡改或传输过程被劫持核心防护措施(Protections)签名验证与传输安全实施固件数字签名与验证，采用安全传输协议物理防护与安全启动加强物理访问控制，强制开启SecureBoot机制漏洞扫描与补丁管理定期进行漏洞扫描，建立严格的安全补丁管理流程更新包加密与校验确保更新包本身加密存储，并进行完整性校验4.2设备软件安全：【知识准备】二、操作系统安全主要安全威胁(Threats)核心防护措施(Solutions)权限提升风险本地与远程的未授权访问与提权攻击最小权限原则与MFA实施强密码策略，启用多因素认证机制系统漏洞与配置缺陷未修复的软件漏洞及不安全的默认配置系统加固与补丁更新定期进行安全加固，开启补丁自动更新恶意软件感染病毒、蠕虫、勒索软件等恶意程序入侵防病毒与应用白名单部署终端防护软件，限制未知应用运行拒绝服务攻击(DoS/DDoS)资源耗尽攻击，导致服务不可用防火墙与流量限制部署IPS入侵防御系统，实施流量清洗4.2设备软件安全：【知识准备】三、应用软件安全主要安全威胁(Threats)软件漏洞缓冲区溢出、SQL注入、跨站脚本(XSS)等常见代码缺陷权限与身份验证缺陷弱密码策略、会话管理不当导致的越权访问风险数据泄露风险传输过程或存储介质中的敏感数据未加密，日志泄露第三方组件依赖风险使用包含已知漏洞的开源库或第三方SDK核心防护措施(Protections)安全开发与审计实施严格输入验证，遵循安全编码规范，定期进行代码审计身份与访问管理强制强密码策略，部署多因素认证(MFA)，管理安全会话数据全生命周期保护对传输和存储数据进行高强度加密，实施最小权限访问控制依赖管理与扫描建立依赖清单(BillofMaterials)，定期进行自动化漏洞扫描4.2设备软件安全：【知识准备】四、通信安全主要安全威胁中间人攻击(MITM)窃听、篡改数据、冒充身份未加密数据传输敏感信息在网络中裸奔，极易泄露重放攻击(ReplayAttack)攻击者截获并重复发送有效请求会话劫持(SessionHijacking)窃取会话标识，冒充合法用户操作核心防护措施加密通信与双向认证使用TLS/SSL协议，部署PKI体系端到端加密(E2EE)确保数据仅在发送方和接收方可见防重放机制引入时间戳和唯一标识符(Nonce)安全会话管理定期刷新会话ID，设置合理超时时间4.2设备软件安全：【任务实践】一、实践概述实践名称智能设备系统的欺骗攻击实验实践内容搭建实验环境，分析PLC与HMI通信过程，实现欺骗攻击并展示效果。实践过程01启动平台02抓取流量03分析漏洞04实施攻击4.2设备软件安全：【任务实践】一、实践概述：实践工具清单智能设备平台包含HMI人机界面、PLC控制器、变频器及工业交换机，模拟真实工控环境。网络连接设备配备USB转串口线及工业级网线，确保物理层与数据链路层的稳定连接。攻击与分析环境基于KaliLinux系统构建渗透测试平台，提供安全研究与漏洞验证的基础环境。软件包与协议分析集成专业攻击工具包，并使用Wireshark进行全流量网络协议抓包与深度分析。4.2设备软件安全：【任务实践】二、实践步骤：启动实践环境01.启动智能设备平台确保平台内HMI、PLC、变频器等所有设备正确连接并开机，建立基础通信链路。02.认知工控系统结构熟悉并识别平台中的各个组件，理解其在工业控制系统中的角色和连接关系，形成环境认知。4.2设备软件安全：【任务实践】二、实践步骤：抓取流量、获取信息抓取网络流量工具选择：使用Wireshark专业抓包工具数据源：工业交换机流量镜像端口目标对象：获取HMI与PLC之间的通信数据分析通信协议协议类型：S7COMM-PLUS安全机制：采用TLS加密，数据无法直接破解底层架构：基于COTP协议传输，上层封装TLS4.2设备软件安全：【任务实践】二、实践步骤：分析并获取通信漏洞绝对寻址导致加密失效当通信变量通过绝对寻址而非变量名引用时，TLS加密被取消，协议降级为S7COMM-PLUSV3。协议版本降级漏洞协商时若响应MessageSessionPreLegitimated错误状态，协议会进一步降级为V2/V1版本。低版本协议兼容性PLC兼容无完整性校验的S7COMM协议，可直接建立连接并读写寄存器数据。4.2设备软件安全：【任务实践】二、实践步骤：实现欺骗攻击01.ARP欺骗攻击者通过ARP欺骗，将HMI的流量导向自己，成为中间人。02.协议降级与HMI建立连接，利用漏洞将通信协议版本降至V2以下，降低安全性。03.直连PLC使用S7COMM协议直接与PLC建立独立连接，获取底层控制权。04.数据劫持读取PLC状态并静态返回给HMI，使其显示“假数据”，掩盖真实操作。05.发送指令向PLC发送真实控制指令（如修改电机转速），改变系统实际运行状态。4.2设备软件安全：【任务实践】二、实践步骤：攻击程序执行环境准备与依赖安装在KaliLinux环境中，需提前安装网络嗅探与工业协议解析库：pipinstallscapypipinstallpython-snap7脚本启动命令与参数命令语法：pythonPLC_HMI_ATTACKER.py[攻击IP][PLCIP][HMIIP][网口][新转速][超时]#攻击示例pythonPLC_HMI_ATTACKER.py88eth020104.2设备软件安全：【任务实践】二、实践步骤：攻击效果展示01攻击前(正常状态)HMI与PLC通信正常，数据实时同步。转速设定：100r/minHMI显示与实际转速一致02攻击中(异常状态)HMI画面冻结，数据停留在100r/min。实际转速被篡改至20r/min变频器面板显示真实数值03攻击后(恢复状态)撤销攻击后，HMI重新连接PLC。画面刷新，显示真实转速20r/min。系统恢复正常显示4.2设备软件安全：【任务实践】实验总结与启示漏洞根源分析工业协议在设计时为了追求兼容性和传输效率，往往保留了大量不安全的设计逻辑，并对旧版本协议提供了广泛支持，这为攻击者留下了可乘之机。攻击隐蔽性欺骗攻击（Spoofing）能制造“一切正常”的假象，使监控系统无法及时发现异常。这种高隐蔽性使得攻击在被察觉前可能已造成严重破坏，危害性极大。安全防护建议禁用或严格限制不安全的旧版本协议。实施网络分段，限制设备间直接通信。对关键操作和数据进行完整性校验与双向认证。4.3设备安全管控【任务目标】1.熟悉设备统计与识别方法及实施过程。2.理解设备运行管控中对设备管控的各个功能及起到的作用。3.完成使用主机安全防护软件与管理管理端实现对设备安全管控的任务实践，掌握软件安装与平台管控操作过程。4.3设备软件安全【知识图谱】4.3设备软件安全：【知识准备】一、设备统计与识别：设备统计与识别的五种核心方法物理排查定义：人工现场检查设备信息获取全面成本高、效率低被动发现定义：分析网络流量获取信息对系统影响小信息不完整，难识别不活跃设备主动探测定义：主动扫描网络设备可发现休眠设备可能影响工业系统稳定性系统对接定义：与业务/控制系统接口对接信息完整，可动态维护异构系统接入困难主机探针识别定义：通过主机探针获取信息可识别控制层设备需安装探针软件4.3设备软件安全：【知识准备】一、设备统计与识别：设备统计与识别的六步实施过程（一）01绘制网络拓扑图输入要素企业网络架构资料、调研问卷结果实施工具问卷、会议访谈、资产管理平台核心产出车间级网络拓扑图，掌握核心设备信息02部署采集设备输入要素已绘制的车间级网络拓扑图实施工具工业入侵检测系统、安全监测审计系统核心产出初步资产数据（IP、MAC、区域、OS等）03标记交换机设备输入要素未知设备数据、拓扑图、交换机账号密码实施工具网络设备管理平台核心产出识别交换机下联设备，形成初步设备拓扑4.3设备软件安全：【知识准备】一、设备统计与识别：设备统计与识别的六步实施过程（二）04.资产主动探测扫描输入信息：子网网段、端口范围、协议信息实施工具：专用探测工具、资产管理平台输出成果：补充完善设备拓扑，发现休眠及被动未识别设备05.补齐设备信息输入信息：初步设备拓扑、未知设备清单实施工具：管理平台数据比对、现场人工排查确认输出成果：构建完整的设备拓扑图，形成清晰的资产态势感知06.资产动态监控核心目标：实现设备全生命周期纳管，保持台账鲜活度关键措施：准入系统管控新增资产，活跃度分析优化存量输出成果：动态更新的资产台账，持续优化的管理机制4.3设备软件安全：【知识准备】二、设备运行管控：可见与可控设备巡察采集OT设备的硬件、系统、配置、状态及通信等全方位遥测指标，实现对设备的全面可见。外设管控对USB、光驱、无线网卡等外设进行读、写、禁用等多维度管控，防范外设滥用导致的数据泄露。基线核查依据等保及行业标准，对各类操作系统进行合规性检查，降低安全风险，满足合规要求。审计回溯监控并记录用户的所有操作行为（登录、文件访问、命令执行等），为事后审计和安全分析提供依据。4.3设备软件安全：【知识准备】二、设备运行管控：防御与隔离终端阻断通过禁用网卡、防火墙拦截等方式，实现工业网络的微隔离，阻止恶意代码横向扩散。进程监控通过进程白名单，监控并拦截未知或恶意进程的运行，防止病毒木马执行。关键文件防护对关键系统文件和目录进行保护，防止其被非法篡改，确保系统完整性。白名单机制建立进程、网络、端口的组合白名单，是工业环境下防范未知威胁的最有效手段之一。4.3设备软件安全：【知识准备】二、设备运行管控：可视化与管理业务可视化构建设备画像和通信拓扑，从宏观和微观视角清晰展示业务逻辑和通信关系，为安全决策提供依据。策略管理通过统一的管理平台，对所有安全策略（白名单、基线、USB管控等）进行集中配置、下发和优化。风险管理全方位统计设备的开放端口、软件漏洞、基线合规等风险情况，实现对设备全生命周期风险的量化管理。4.3设备软件安全：【任务实践】一、实践概述实践名称主机安全防护与管控实验实践内容安装主机安全防护软件，通过管理端查看主机信息，实现对外设的管控。实践流程步骤连接网络安装软件配置软件管理端监控USB管控测试4.3设备软件安全：【任务实践】一、实践概述：实践工具清单主机安全防护软件与管理端包含客户端防护软件及集中管理控制台，用于策略下发与状态监控。待安装软件的PC终端准备1台或多台PC作为测试靶机，用于部署客户端并验证防护效果。测试用U盘(2个)用于测试外设管控功能，验证U盘接入、数据读写控制及审计功能。网络连接设备交换机（可选，视PC数量而定）及若干网线，用于组建封闭实验网络。4.3设备软件安全：【任务实践】二、实践步骤：连接实验网络单台PC场景PC可直接通过网线连接至主机防护软件的管理端。适用于简单的单机测试环境，配置过程最为直接。多台PC场景将所有PC和管理端都连接到同一台交换机上，确保它们处于同一局域网内，能够互相通信。这是构建小型实验网络的标准方式。4.3设备软件安全：【任务实践】二、实践步骤：安装主机安全防护软件01运行安装程序双击运行主机安全防护软件的安装程序（如AD-ESS_Setup_CN）。02接受许可协议在“许可证协议”页面，阅读并点击“我接受”以继续安装流程。03选择安装目录选择软件的安装目录，通常可直接使用默认路径，点击“下一步”。04执行安装操作确认快捷方式创建位置后，点击“安装”按钮开始部署软件。05完成与自动运行等待进度条完成，点击“完成”。软件将在后台自动静默运行。安全提示安装成功后无需额外操作，系统将实时监控安全状态。4.3设备软件安全：【任务实践】二、实践步骤：配置主机安全防护软件1.运行配置程序打开软件的安装目录，运行配置程序（如AD-ESS），准备进行初始化设置。2.登录系统在“登录系统”页面，输入默认的用户名和密码，完成系统登录操作。3.配置服务器IP找到“上报服务器IP地址”选项，准确填入管理端的IP地址，确保网络连通。4.确认应用配置保持其他配置