第七章-理论知识

工控安全企业实践ICSSecurity&ProtectionCONTENTS目录1.工控安全企业实践概述长扬科技公司介绍2.长扬科技钢铁厂安全防护解决方案3.01工控安全企业实践概述ICSSecurity&Protection企业的实践探索为工控系统安全防护提供了宝贵的经验和解决方案，帮助其他企业更好地应对网络安全挑战，推动整个行业的安全发展。02通过具体案例展示，企业实践能够为同行业或相关行业提供可借鉴的模式，促进工控安全防护技术的普及和应用。03工业控制系统作为工业生产的核心，其安全问题不仅影响企业运营，还可能危及国家基础设施安全。随着数字化转型，工控系统与互联网的连接更加紧密，使得网络安全风险显著增加。01工控系统面临的挑战企业实践的价值实践的示范作用工控安全的重要性工控安全防护的复杂性工控系统通常包含多种设备和软件，防护需要考虑物理安全、网络安全、设备安全等多个方面，企业实践需要综合运用多种技术和管理手段。0102企业实践的多样性不同行业的企业根据自身特点和需求，采取了不同的安全防护措施和策略，形成了多样化的实践模式。03实践中的挑战与机遇企业在实践过程中面临着技术更新、成本控制、人员培训等挑战，同时也获得了提升企业竞争力、保障生产安全等机遇。企业实践的现状02长扬科技公司介绍ICSSecurity&Protection长扬科技是一家专注于工业互联网安全、工控网络安全和工业生产安全视觉AI的国家高新技术企业，拥有国资背景和市场化运作模式，技术研发人员占公司总人数的75%以上。公司概况公司开创“智能工业安全大脑”理念，自主研发近百款产品，构建完整安全保障体系，产品广泛应用于多行业，满足安全法规要求。技术创新与产品长扬科技积极参与150余项标准制定，旗下研究院专注信创产品打造和协议漏洞研究，为国家机构提供支持，获得多项荣誉。行业影响力长扬科技简介长扬科技工业防火墙是一款适用于工业控制网络的网络安全保护产品，具备网络安全自我感知能力，能识别工控网络中已知的安全威胁，并根据用户定义的安全策略，对工控网络中的网络通信行为进行细粒度的控制。产品概述01工业防火墙具备已知工控威胁检测、工控行为和协议规则自学习、黑白名单访问控制、工控协议深度检测、传统的状态检测包过滤、系统自身安全性和安全审计及响应等功能。主要功能02工业防火墙具有灵活的部署能力、丰富的工业应用协议深度防护、传输实时性保障、工业级硬件设计和bypass设计以及人性化易用界面设计等特点。产品特点03长扬科技工业防火墙产品介绍03长扬科技钢铁厂安全防护解决方案ICSSecurity&Protection行业背景建设目标钢铁厂作为工业领域的关键支柱，其内部的生产系统高度依赖工业互联网技术，从原料采购、生产流程控制到成品运输，各个环节都与网络紧密相连，面临着前所未有的网络安全威胁。需求分析钢铁厂在安全需求的驱动上存在明显不足，现有IT系统、OT系统以及物联网系统，从设计、研发，到部署、运维的各个环节，均未充分考量安全因素，导致系统存在诸多安全隐患。按照国际和工控行业相关网络安全防护的标准要求，全面评估钢铁企业生产控制技术发展，设计与建设纵深立体的网络安全防护体系，辅助建立网络安全监测、通报预警与联动处置机制。项目概述钢铁厂现有生产工艺钢铁厂的生产工艺包括炼铁、炼钢、连铸、轧制等多个环节，每个环节都有其特定的工艺流程和设备需求，这些工艺流程和设备的安全防护至关重要。01钢铁厂的安全隔离情况钢铁厂信息化系统按业务职能由ITZone、OTSub-Zones、5GZone和SmartZone等四个不同的网络和数据中心区域组成，分为孤立的区域和非隔离区。02组网拓扑钢铁厂的IT网络和OT网络拓扑结构复杂，涉及多个系统和设备，需要进行详细的网络安全防护设计。03现状与需求分析01设计思想遵照国际IEC62443标准及钢铁行业相关安全标准要求，结合钢铁厂的隔离区域划分及需求分析，设计构建钢铁厂网络安全防护技术体系，并帮助用户完善安全管理体系建设。02设计原则方案遵循先进性、实用性、可靠性、标准化、规范化、兼容性、开放性和扩充性等原则，确保新建立的系统能够适应今后技术发展变化和业务发展变化的需要。03总体描述方案针对钢铁厂实际需求，通过设计建设一套稳定、先进、高效、可靠的网络安全监测防护体系，集中展现钢铁厂的整体安全态势，提升整体安全监管水平和防御能力。方案总体设计OT网络基础安全防护工业监测审计系统工控主机卫士防勒索软件入侵检测系统USB存储介质安全检测平台工业防火墙安全运维管理平台OT网络基础安全防护设计包括划分安全域、通信网络防护、区域边界防护、计算环境防护和管理中心建设等方面。工业监测审计系统通过在车间级汇聚交换机旁路部署，实现操作审计、行为审计和异常流量告警，具备事前预警、事中决策和事后追溯功能。工控主机卫士是专门为工控上位机打造的终端安全防护产品，具备应用程序白名单防护、移动存储介质白名单保护、白名单管理、特定对象完整性保护和安全事件审计等功能。防勒索软件通过在OT网络中的服务器中部署，实现对勒索病毒的预防，且与数据备份恢复系统联动，一旦发现勒索病毒对关键信息加密，可通过备份恢复系统对关键数据进行恢复。入侵检测系统部署在生产管理层，进行蠕虫、木马等恶意攻击方式检测及告警，具备全面的入侵检测、内网行为检测、专业的恶意代码检测告警等功能。USB存储介质安全检测平台部署在钢铁厂车间控制室，具备强悍的病毒查杀能力和轻量级客户端，可兼容工业控制系统中各种低配硬件终端。工业防火墙在炼铁、炼钢、连铸、连轧等工艺段/车间连接数据采集网网络边界串行部署，实现不同安全域间的边界安全隔离。安全运维管理平台在生产网中建立安全管理中心，接管系统内资产日常运维管理权限，提供用户管理、授权管理、认证管理和运维审计等功能。方案详细设计顾秋亮与蛟龙号顾秋亮，中国船舶重工集团公司第七O二研究所水下工程研究开发部职工，蛟龙号载人潜水器首席装配钳工技师。他的装配精度达到了“丝”级标准。蛟龙号在深海高压、复杂环境下作业，对设备稳定性、密封性要求极高。顾秋亮凭借高超装配技艺，保障了潜水器各部件紧密配合，稳定运行。深海探测工