任务4.3 工控网络通信安全防护

工控网络通信安全防护任务工控网络通信安全防护要求CONTENTS目录0102工控网络通信安全防护技术03工控检测审计系统实操04工控网络通信安全防护【任务背景】

工控网络通信安全防护是指针对工业控制系统中的网络通信环节所实施的一系列安全保护措施和策略。这些措施旨在确保工业控制系统的网络通信免受未经授权的访问、数据泄露、恶意软件感染、网络攻击等安全威胁，以保障工业生产的正常运行、设备的安全稳定运行以及敏感数据的安全传输。

工控网络通信安全防护的核心目标包括：保护工业资产：确保工业控制系统中的关键设备、数据、应用程序等资产免受损害或窃取。保障生产连续性：防止网络攻击导致生产中断或故障，确保生产流程的连续性和稳定性。数据保密性与完整性：确保敏感数据的机密性、完整性和可用性，防止数据泄露或被篡改。符合法规要求：遵守与工业控制系统安全相关的法律法规和行业标准，确保企业的合规性。工控网络通信安全防护【任务背景】

为了实现这些目标，工控网络通信安全防护通常包括以下几个方面：网络架构安全：设计合理的网络架构，实现网络分区、访问控制、安全隔离等，以降低安全风险。身份认证与访问控制：采用强密码策略、多因素认证等技术手段，确保只有授权用户才能访问工业控制系统。加密与传输安全：使用加密技术保护数据传输过程中的安全性，防止数据被窃听或篡改。漏洞管理：定期进行系统漏洞扫描和修复，及时应对新出现的安全威胁。安全监测与响应：部署安全监测设备或平台，实时监测网络异常行为，及时响应和处理安全事件。应急恢复计划：制定完善的应急恢复计划，确保在发生安全事件时能够迅速恢复系统正常运行。工控网络通信安全防护【任务简介】工控网络监测审计是在工业控制网络部署监测审计相关设备或平台，在不影响系统稳定运行的前提下对工业环境进行安全监测和审计，及时发现和预警系统漏洞、恶意软件、网络攻击、网络侵入等安全风险，并提供处置建议。本任务是掌握工控网络监测审计的基本概念、工作原理，并能够熟练进行设备的相关配置。【任务目标】

通过对工业流量审计的基本策略配置、审计设备的主要功能告警及功能的学习，能够进行工控设备的网络流量分析、回溯分析和实时监测审计，实现其在不同业务场景或系统场景中的应用。工控网络通信安全防护任务工控网络通信安全防护要求CONTENTS目录0102工控网络通信安全防护技术03工控检测审计系统实操04工控网络通信安全防护要求1.工控网络通信安全防护通用要求：

•梳理网络、不同业务网络划分不同区域并用VLAN等技术手段进行隔离；

•重要网络或业务系统通过部署工业防火墙或工业网闸进行隔离；

•网络及系统满足业务负载需求，关键设备冗余部署；

•核心关键数据通过零信任安全网关对传输进行加密。2.工控网络通信安全防护扩展要求：

•工控系统与办公网及其他外部网络之间应采用单向网/光闸（或工业网闸）等进行隔离；

•工控系统内部也要划分不同安全域，通过防火墙或工业网闸进行横向、纵向隔离；

•工控系统内数据应进行加密认证。工控网络通信安全防护任务工控网络通信安全防护要求CONTENTS目录0102工控网络通信安全防护技术03工控检测审计系统实操04工控网络监测审计系统工控网络监测审计系统是一种专门针对工业控制网络设计的网络安全产品，其主要功能如下：1.实时监测：实时监测工控网络的业务流量，包括各种工业控制协议（如IEC104、S7、DNP3、ModbusTCP、OPC等）的通信报文。实时检测网络中的入侵行为、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒等恶意软件的传播2.深度解析：对工业控制协议进行深度解析，实现指令级的通信记录。支持多种主流工控协议的识别与检测，包括OPC、Ethernet/IP、Modbus/TCP、IEC104、DNP3、Profinet、MMS、S7、GOOSE、SV等。工控网络监测审计系统3.安全审计：根据用户定义的审计策略，追踪工控网络安全事件，留存网络数据。提供白名单报警、关键操作监控、自定义报警等功能。对用户的操作行为进行细粒度审计，方便还原操作真相。4.异常检测与报警：建立安全检测模型，通过自定义规则或白名单规则，检测业务流量中不合规的工控网络行为。对不合规行为进行实时的告警和响应，包括TCP/IP异常检测、工控指令异常检测、工控关键事件检测、网络风暴检测、网络会话异常检测等。5.可视化与远程管理：提供可视化界面，展示网络状态、安全事件、统计信息等。支持基于SSL的远程管理，通过网络可以直接对系统进行管理和配置。采用加密技术传输配置管理信息，防止恶意攻击者窃取信息。工控网络监测审计系统工控网络监测审计系统的优势包括：全面防护：系统支持多种工控协议的深度解析和检测，提供全面的安全防护能力。实时响应：通过实时监测和报警功能，系统能够及时发现并响应网络中的安全威胁。易于管理：提供可视化界面和远程管理功能，方便用户进行配置和管理操作。高度可扩展性：系统支持自定义协议检测和开发接口，方便用户根据实际需求进行扩展和定制化开发。因此，工控网络监测审计系统广泛应用于各种工业控制系统，如SCADA、DCS、PCS、PLC等，以及石油石化、天然气、电力、智能制造、水利、铁路、城市轨道交通、城市市政等与国计民生紧密相关领域的系统和工程。工控网络通信安全防护相关技术1.加解密技术

加密技术是网络安全防护的一项重要安全保密措施，是最常用的安全保密手段,利用技术手段把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。加密技术包括两个元素：算法和密钥。工控网络通信安全防护相关技术2.认证技术身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。计算机网络世界中一切信息，包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。工控网络通信安全防护相关技术3.入侵检测系统工控网络入侵检测系统（IIDS）是专为工业领域设计的网络入侵检测类产品。它通过实时监测和分析工控网络流量，检测各类网络攻击，包括DOS/DDOS、僵尸网络、木马、蠕虫等，深度解析工业协议，结合协议安全规则识别异常行为和潜在威胁，实现安全管理和监控。主要防护功能如下：互联网边界和区域边界入侵防范，满足等级保护入侵防范技术要求。在关键网络节点处检测从外部和内部会发起的攻击行为。对网络行为进行分析，发现网络异常和攻击行为。记录攻击行为的攻击源IP、攻击类型、攻击目标、攻击时间，在发生攻击事件和异常流量时进行报警。工控网络通信安全防护相关技术4.恶意代码防护技术恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。最常见的恶意代码有计算机病毒（简称病毒）、特洛伊木马（简称木马）、计算机蠕虫（简称蠕虫）、后门、逻辑炸弹等。工控网络通信安全防护相关技术5.监测审计技术监测审计技术是一种基于环境的、动态、整体地洞悉安全风险的能力，从全局视角提升对安全威胁的发现、识别、理解分析、响应处置能力的一种方式。网络安全审计包括识别、记录、存储、分析与安全相关行为有关的信息。工控网络通信安全防护相关技术6.日志审计系统实时采集网络中不同厂商不同种类的安全设备、网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及审计违规。工控网络通信安全防护任务工控网络通信安全防护要求CONTENTS目录0102工控网络通信安全防护技术03工控检测审计系统实操04工控检测审计系统实操【实操任务】本任务通过对工业流量审计系统的配置，实现工业控制系统网络通信安全防护，本实验场景为智能制造行业中的实际业务环境，在整体网络拓扑中，挑选其中的一个上位机(wind