工控网络安全运维规程

工控网络安全运维规程一、总则与核心原则1.1目的与适用范围本规程旨在建立一套科学、规范、高效的工业控制系统（ICS）网络安全运维管理体系，保障生产控制系统的连续性、稳定性和安全性，防范外部网络攻击与内部违规操作引发的安全生产事故。本规程适用于企业内所有涉及工业控制的网络环境、控制系统（包括但不限于DCS、SCADA、PLC、SIS等）、工程师站、操作员站、服务器及网络通信设备的安全运维管理。1.2核心安全原则工业控制系统网络安全运维遵循“安全分区、网络专用、横向隔离、纵向认证”的根本方针。在运维执行层面，必须坚持以下核心原则：1.可用性优先原则：与传统IT网络不同，工控网络运维的首要任务是保障生产连续性。任何安全配置变更、补丁下发或漏洞扫描均不能中断生产流程，必须经过严格的测试窗口期验证。2.最小权限原则：运维人员、系统账户及应用程序仅授予完成其特定任务所需的最小权限，严格限制超级管理员权限的使用。3.变更控制原则：所有针对工控网络架构、设备配置、安全策略的修改均须纳入变更管理流程，严禁未经审批的直接操作。4.纵深防御原则：在企业信息管理网与工业控制网之间、控制网内部各功能区域之间部署多重异构防护措施，避免单点故障导致全网失陷。二、组织架构与职责划分2.1工控安全运维组织架构企业应成立工控网络安全工作组，由主管生产的副总经理担任组长，统筹协调IT与OT（操作技术）部门的安全工作。下设工控安全运维团队，具体负责日常安全策略执行与设备运维。为避免职责不清，需严格界定IT与OT团队的边界。2.2岗位职责矩阵岗位角色核心安全职责技能要求工控安全主管审批安全策略；统筹重大安全事件响应；协调IT与OT部门资源；监督运维合规性。熟悉工控网络架构、信息安全管理体系（如IEC62443）、生产业务流程。安全运维工程师执行安全设备策略配置；开展日常巡检与日志审计；处置网络告警；实施漏洞修补与加固。熟练掌握工控协议（Modbus,OPC,S7等）；熟悉防火墙、IDS/IPS及工控审计设备配置。控制工程师配合安全运维团队进行控制器级安全配置（如PLC口令修改）；执行停机检修期间的安全加固。精通各类DCS/PLC系统编程与组态；熟悉现场总线及控制器底层逻辑。网络运维工程师维护工控交换机、路由器物理链路；执行网络拓扑变更；保障网络设备自身安全配置。熟悉工业以太网技术、VLAN划分、网络冗余协议（如PRP/HSR）。三、资产管理与风险评估3.1工控资产全生命周期管理工控网络安全的基石在于对资产的绝对掌控。运维团队需建立动态更新的工控安全资产管理库，资产管理需贯穿设备的采购、部署、运行、下线全生命周期。1.资产入库与基线扫描：新设备入网前，必须在离线测试环境进行安全性评估，记录硬件型号、固件版本、系统补丁、开放端口及默认账户清单，形成初始安全基线。2.动态台账维护：任何设备的IP地址变更、固件升级、控制逻辑组态修改，必须在24小时内同步更新至资产管理系统。台账信息必须精确到设备的物理位置、所属工艺区域及网络接入点。3.2资产分类与分级管控根据设备在生产流程中的重要性和受破坏后的影响程度，进行分级管控。资产等级定义与范围运维管控要求核心级(L1)直接参与生产控制的执行层，如PLC、SIS控制器、DCS主控单元。禁止直接接入互联网；物理访问需双人授权；逻辑访问仅限检修窗口期；禁止非必要的端口开放。重要级(L2)监控与操作层，如SCADA服务器、操作员站、工程师站、工控边界防火墙。强制部署终端防护软件；严格限制USB接口；实行强身份认证；定期进行漏洞扫描。一般级(L3)辅助生产系统，如车间电子看板、历史数据库、部分非关键网络设备。纳入统一网络准入控制；定期更新系统补丁；配置标准安全基线。3.3周期性风险评估运维团队每半年需组织一次深度的工控网络安全风险评估。评估应采用被动流量分析结合离线主动扫描的方式，严禁在生产运行期间使用高强度主动扫描工具。评估内容包括：网络架构合理性分析、工控协议脆弱性分析、明文密码传输检测及未授权设备接入排查。四、边界安全与网络隔离运维4.1边界隔离架构运维企业工业控制网与外部网络（企业IT网、互联网）之间必须实施严格的物理或逻辑隔离。1.工控防火墙策略配置规范：禁止使用“AnytoAny”宽泛规则。所有放行策略必须基于“白名单”机制，明确源IP、目的IP、协议类型（如TCP502用于Modbus）、源端口和目的端口。2.工控协议深度包检测（DPI）：针对Modbus、OPCDA、IEC104等常用工控协议，必须启用协议级深度过滤。例如，对于ModbusTCP通信，需配置功能码白名单（仅允许读操作功能码03、04，阻断写操作功能码05、06、0F等），并限制寄存器读写范围，防止越权操控。3.单向网闸运维：对于向企业生产管理系统（MES/ERP）单向传输数据的场景，必须定期验证单向网闸的物理单向性。严禁为了排障方便私接双网卡服务器或开启反向通信通道。4.2网络流量监控与审计在核心交换机处旁路部署工控网络审计系统，实现全天候流量监控。1.异常流量基线建立：通过一周以上的自学习，建立各工艺段的正常网络流量基线（包含日常通信速率、连接对数、周期性心跳包间隔）。2.告警策略调优：针对基线外流量（如新增IP连接、异常扫描行为、非工控协议流量注入）生成告警。运维人员需每周审查审计日志，对误报规则进行降噪处理，确保告警的有效性。3.工控入侵检测系统（ICS-IDS）特征库更新：每季度更新一次工控攻击特征库，重点防范针对西门子、施耐德、和利时等主流控制器的已知漏洞利用攻击。五、终端与主机安全运维5.1终端安全基线加固操作员站和工程师站是工控网络中最易受攻击的薄弱环节。运维团队需制定并执行严格的操作系统加固标准。1.账户与口令管理：禁用Guest账户及系统默认共享。密码长度不少于8位，需包含大小写字母、数字及特殊字符。实施账户锁定策略（连续5次输错锁定30分钟）。2.服务与端口关闭：禁用不必要的服务，如Telnet、FTP、SMBv1、远程桌面（非必要时关闭，必要时通过堡垒机跳转且限制源IP）。关闭高危端口如135、139、445、3389。3.补丁管理流程：严禁直接通过互联网或企业内网WSUS服务器向工控终端下发系统补丁。补丁更新必须遵循“厂商评估->离线测试环境验证->业务侧确认->停产检修窗口期部署”的标准流程。部署前必须进行完整系统备份。5.2防病毒与白名单管理传统IT防病毒软件的实时扫描和自动更新机制可能导致工控软件运行异常甚至系统卡死，因此工控终端推荐采用“应用白名单”技术。1.白名单部署策略：仅允许已知安全的进程（如DCS组态软件、HMI运行环境、必要系统进程）运行，阻断一切未知程序、脚本（如PowerShell、VBS）及勒索软件执行。2.白名单库维护：当生产系统升级或工艺组态发生变更引入新进程时，运维人员需通过离线分析提取新进程的哈希值，经审批后手动导入白名单库。严禁直接关闭白名单防护进行安装。3.病毒库更新方案：若采用工控专用防病毒软件，必须通过部署在隔离区内的独立防病毒私有服务器进行特征码更新。更新包需在IT侧下载并经过沙箱检测后，通过刻录光盘或专用安全U盘导入私有服务器，再下发至终端。5.3移动介质与外设管控1.物理封堵与逻辑禁用：工控终端在出厂或部署阶段，应在BIOS层面禁用未使用的USB接口。在操作系统层面，通过组策略或安全管控软件彻底阻断非认证U盘、移动硬盘的接入。2.安全U盘专管机制：因维护需要必须使用U盘的，需配置专用“安全U盘”。该U盘只能在与外界隔离的专用数据导入机上识别，且在插入工控终端前必须经过该导入机的病毒查杀与格式化沙箱化处理。使用过程需登记追溯。六、身份认证与访问控制运维6.1集中身份管理逐步推行工控系统的集中统一身份认证管理平台，打破各工控子系统独立管理账户形成的“信息孤岛”。1.账户生命周期同步：当运维人员岗位调离或离职时，人力资源系统触发工单，运维团队需在2小时内注销其在工控防火墙、堡垒机、各SCADA系统及操作员站上的所有账户权限。2.双因素认证（2FA）：对于跨越网络边界的远程访问（如专家远程诊断、跨厂区控制），必须强制启用双因素认证。除静态密码外，需结合动态令牌（OTP）或硬件证书（如USBKey）进行身份校验。6.2堡垒机与运维操作管控所有对工控网络设备、服务器、数据库的运维操作，必须通过工控安全堡垒机进行代理跳转。1.切断直接访问路径：配置网络访问控制列表（ACL），仅允许堡垒机的IP地址访问目标设备的SSH、RDP等管理端口，阻断任何人直接从操作员站或办公网直连设备管理端口。2.运维行为审计：堡垒机需开启全程录像与指令级审计。针对高危操作（如路由表修改、防火墙策略下发、控制器停机命令），应配置“拦截并触发审批”流程，审批通过后方可放行执行。严禁运维人员使用直通模式或绕过堡垒机操作。七、安全审计与日志管理7.1日志集中采集由于工控设备自身存储空间有限且日志易被篡改，必须建立集中的日志管理平台。1.采集范围：包括但不限于工控防火墙访问日志与告警、工控审计系统流量日志、堡垒机操作录像与指令日志、操作系统安全事件日志、数据库操作日志。2.协议标准化：通过Syslog、SNMPTrap等协议将异构设备日志统一发送至集中平台。对于不支持标准协议的老旧PLC，可通过采集其配套上位机的系统日志进行间接监控。3.日志防篡改保护：集中日志平台需配置WORM（一写多读）存储策略，确保日志在保存期内（建议至少180天）不可被修改或删除，为事后追溯提供法律级证据。7.2审计分析与闭环运维团队每日执行日志研判，重点排查以下异常行为：1.登录失败频率异常（如短时间多次登录失败后成功）。2.非工作时间段的特权账户操作。3.大量数据从控制网向管理网的异常外发。4.发现违规外联或未授权设备接入工控网络。对于审计中发现的违规行为，需在24小时内生成安全事件工单，追踪责任人并进行整改，形成“发现-通报-处置-复测”的闭环管理。八、应急响应与事件处置8.1应急响应分级与启动根据工控网络安全事件对生产业务的影响程度，建立分级响应机制。事件级别定义与典型场景响应时间处置权限层级一级(重大)发生勒索病毒大规模感染、核心控制器拒服、生产线全面停工或面临严重安全隐患。立即响应由工控安全主管直接指挥，联动生产调度、IT部门及外部专家。二级(重要)局部区域网络瘫痪、单一SCADA系统不可用、边界防火墙被穿透但未影响底层控制。15分钟内安全运维团队负责人指挥，采取隔离措施并准备切换备用系统。三级(一般)个别操作员站感染非传播性恶意代码、非核心网络设备故障、频繁出现误报告警。1小时内当班安全运维工程师处置，清除恶意代码并恢复网络。8.2标准应急响应流程1.事件识别与隔离：当确认发生网络安全事件时，首要任务是对受感染区域进行“物理断网”或“逻辑隔离”，切断横向传播路径。在断网前，需优先确保底层PLC/DCS的控制逻辑未受篡改，手动控制权限可用。2.影响评估与业务保全：运维人员立即赴现场，与工艺操作人员共同评估系统受损情况。若自动控制系统失效，需立即切换至手动操作模式，保障工艺参数在安全阈值内，必要时执行安全联锁停车（SIS动作）。3.证据保存与样本提取：在清除病毒或重启设备前，必须对内存镜像、系统日志、恶意样本进行留存打包，严禁直接格式化硬盘破坏现场。4.根因分析与系统恢复：基于提取的样本分析攻击路径，修补被利用的漏洞。系统恢复必须从已验证的“黄金镜像”或干净备份中恢复，严禁直接带毒运行。5.复盘与改进：事件平息后5个工作日内，出具详细的事故分析报告，评估现有防护策略的不足，制定并落实整改计划。九、备份与恢复管理9.1备份策略制定工控系统的备份必须贯彻“3-2-1”原则，即保留3份数据，存储在2种不同介质上，其中1份存放在异地或离线环境。1.备份内容层级：网络层：防火墙策略、路由器配置、交换机VLAN表。系统层：服务器操作系统镜像、数据库快照。应用层：HMI组态工程文件、SCADA数据库点位表。控制层：PLC/DCS主控卡固件、控制逻辑程序源码。2.备份频率与周期：数据库每日增量备份，每周全量备份。控制逻辑程序每次变更或大修后必须全量备份。网络设备配置每次变更后立即备份。3.离线介质管理：备份介质（如移动硬盘、磁带）必须存放在有物理门禁的异地安全柜中。严禁将备份介质长期插在生产网络的主机上。9.2恢复演练与验证仅有备份而未经验证的备份等于无效备份。运维团队每半年需组织一次灾难恢复演练。1.演练场景设定：模拟核心SCADA服务器崩溃、控制网络核心交换机硬件故障等场景。2.恢复验证标准：在独立的测试床上验证备份数据的完整性与可用性。记录从启动恢复到系统正常提供服务的时间（RTO），以及数据丢失的时间跨度（RPO）。验证恢复后的组态逻辑、通信参数是否与生产现场一致。十、供应链与外包运维管理10.1供应商准入与保密工控系统集成商、设备厂商及维保外包人员往往需要远程或现场接入工控网络，是极大的安全风险源。1.安全协议签署：所有涉及接触工控网络的外包人员，入场前必须签署《工控网络安全保密协议》及《运维行为规范承诺书》，明确违规操作的法律责任。2.工器具消毒：外包人员自带的笔记本电脑、编程器等工器具，在接入工控网络前，必须使用企业专用检测工具进行全面查杀，确认无病毒后方可入网。严禁使用未经登记的个人设备直接连接PLC。10.2外包作业过程监督1.远程接入管控：厂商远程诊断必须通过企业指定的VPN网关接入，并强制使用双因素认证。建立临时账户，设定精确到分钟的有效期（如仅在工作日8:00-17:00开放）。远程操作期间，企业内部运维人员必须在堡垒机端进行全程旁路监控。2.现场作业