《工业控制网络监测安全技术要求及测试评价方法》

1本文件适用于工业控制网络安全监测产品的设计、开发及测评等，同时也可为工业控制系统设下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注2注：注：用于监测和分析工业控制网络中的数据报文，发现违反安全策略的行为、异常操作、工业控制设备被攻注：注：部署于工业控制网络中以及工业控制系统或工业控制网络的边界处，用于实现工业控制网络监测功能的34注1：非通用类型的工业控制网络监测产品可实现对工业控制系统或工业基础设施中b）支持分析但不限于以下通用协议：PROFINET、EtherNet/IP、EtherCAT、ModbusTCP、d）宜支持分析（不少于1种）行业专用协议：电力能源（如IEC60870-5-104、IEC61850求头、参数、命令等应用负载的字段（协议语义）级，未知威胁检测应至少精确到载荷分567），a）应声明支持的软件运行环境，包括适配的操作系统版本、依赖基础组件、最低硬件资源配89b）监测识别输出的工业控制网络资产信息，其数据结构、字段定义、分类编码应符合GB/T别的用户登录。支持两种或两种以上身份鉴别方式，且其中至少一种鉴别技术应使用密码技术来实），定制监测策略时，一些敏感信息可能被涉及，应采取相应措施来保证敏感信息的保密性和完整行描述，还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效维护的证f）每一种与管理功能有关的安全相关事件，包括对安全功能所控制实体的安全特性进行的改开发者应对指导性文档中所标识的每个具有安全功能强度声明的安全机制进行安全功能强度分1）攻击设备向工控设备发送工业控制协议报文或FTP协议报文，终端间交互产生业务流1）被测设备能够实时获取全部数据包，数据完整，解析正确，对工业控制网络负荷无影1）在工控设备之间进行正常业务通信的条件下，通过攻击设备仿真向工控设备发送包含1）在工控设备之间进行正常业务通信的条件下，通过攻击设备仿真向工控设备发送包含1）打开控制台界面，检查产品是否允许管理员设置仅对被检测网段中指定的设备进行告1）产品至少为下述可审计事件产生安全日志：用户登录、用户退出、鉴别失败、设备重3）记录攻击报文发出时刻t1与被测产品输出对应安全事件时刻t2，计算时间间隔征的通用正常流量补足，使监测流量达到产品标称线速），且评价者应审查开发者交付的文档是否包含以下内容：在给用户方交付系统的各版本评价者应审查开发者是否提供了供系统用户使用的用户指南，并且此用户指南是否包括如下内-定-----------解析内容：五元组、等等强级对应的全部监测能力要求，并以未知威胁、高级可持续性威胁作为扩展性监测范围。对不适用√√√√√√√√√√√√√√√√-√-√-√-√√√√√√√√√√√√√√√√√√√√√√√-√-√-√√√√√√√√√-√√√√√-√√√-√-√-√-√-定------计----证-攻击者搜集入侵环境信息，摸排、锁定入侵入口。信息收集包含攻击者通过开源情报、社会工c）在工控系统软件的虚拟化部署情况下，工业控制网络安全监测产品也