工控安全產(chǎn)品在煤礦應用解決方案

1、工控安全產(chǎn)品在煤礦應用解工控安全產(chǎn)品在煤礦應用解決方案決方案20152015 年年 0606 月月 5 5 日日 軟件項目方案書軟件項目方案書修修 訂訂 記記 錄錄 類別：類別：A 增加 M 修改 D 刪除版本版本日期日期制定制定類別類別批準批準描述（注明修改的條款或描述（注明修改的條款或頁）頁）1.02015-06-5A 軟件項目方案書軟件項目方案書1.1.項目背景項目背景 .11.1 引言.11.2 煤炭自動化系統(tǒng)簡介.21.3 煤炭工控系統(tǒng)信息安全現(xiàn)狀及風險.22.2.煤炭行業(yè)工控安全解決方案煤炭行業(yè)工控安全解決方案 .32.1 工控安全解決方案簡介.32.1.1 工控安全思路簡介.32

2、.1.2 工控安全產(chǎn)品簡介.42.2 工控安全煤炭行業(yè)系統(tǒng)架構.82.2.1 總體系統(tǒng)架構圖.82.2.2 總體系統(tǒng)架構說明.82.2.3 各子系統(tǒng)架構說明（以選煤廠控制子系統(tǒng)為例）.9 軟件項目方案書軟件項目方案書第 1 頁 / 共 10 頁1.1. 項目背景項目背景1.1 引言引言煤炭礦井綜合自動化系統(tǒng)是指在工業(yè)生產(chǎn)、管理、經(jīng)營過程中，通過信息基礎設施，在集成平臺上，實現(xiàn)煤炭信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進和自動控制、通訊、信息技術和現(xiàn)代化管理技術結合，將企業(yè)的生產(chǎn)過程控制、運行與管理作為一個整體進行控制與管理，以實現(xiàn)煤炭企業(yè)優(yōu)化運行、控制和管理。而煤炭自動化

3、系統(tǒng)作為整個礦井安全生產(chǎn)監(jiān)控系統(tǒng)信息的集成，需要一個快速、安全、可靠的網(wǎng)絡平臺為大量的信息流動提供支撐，同時要有一個安全生產(chǎn)信息應用系統(tǒng)為礦井安全保價護航。而煤炭綜合自動化系統(tǒng)中的工業(yè)控制系統(tǒng)（以下簡稱工控系統(tǒng)）是煤炭基礎設施的重要組成部分，也是煤炭中基礎設施的核心，有著可用性和實時性要求高，系統(tǒng)生命周期長的特點，因為我國關于工業(yè)安全領域的相關研究還處于起步階段，防護能力和應急處置能力低，大部分煤礦基本沒有任何防護理念和安全措施。且我國工控系統(tǒng)大量使用國外產(chǎn)品，關鍵系統(tǒng)的安全性受制于人，煤炭行業(yè)的安全存在一定的難度。特別是近年來工控系統(tǒng)安全事件頻發(fā)，比如“震網(wǎng)” “火焰” “毒區(qū)”等 APT

4、攻擊的出現(xiàn)，充分反映出煤炭工控系統(tǒng)信息安全所面臨，一旦工業(yè)控制系統(tǒng)信息安全出現(xiàn)漏洞，將對煤炭企業(yè)正常的生產(chǎn)運行和經(jīng)濟安全造成重大隱患。 軟件項目方案書軟件項目方案書第 2 頁 / 共 10 頁1.2 煤炭自動化系統(tǒng)簡介煤炭自動化系統(tǒng)簡介煤炭系統(tǒng)總體結構分為管理層（信息層） 、控制層、設備層三層結構，各子系統(tǒng)主體傳輸平臺為工業(yè)以太網(wǎng)。其中管理層為礦地面局域網(wǎng)系統(tǒng)；控制稱以工業(yè)以太環(huán)網(wǎng)為數(shù)據(jù)傳輸平臺，主要由整個監(jiān)控中心設備及環(huán)網(wǎng)組層；設備層多采用現(xiàn)場總線，保證了現(xiàn)場子系統(tǒng)的實時性和可靠性，主要由個自動化子系統(tǒng)設備組層。在管理層，通過礦局域網(wǎng)系統(tǒng)，在各臺計算機上，可以在統(tǒng)一的界面下根據(jù)權限和登記查看

5、全礦的所有信息，將本部門的信息向管理網(wǎng)公布，實現(xiàn)全礦安全生產(chǎn)的信息化管理。如視頻監(jiān)控系統(tǒng)、大屏控制系統(tǒng)等控制層是在工業(yè)以太環(huán)網(wǎng)上接入操作站、工程師站上，通過綜合自動化軟件平臺向設備層的控制器發(fā)送控制指令，并實現(xiàn)對整個子系統(tǒng)設備的集中控制。如：井下中央變電所排水系統(tǒng)、通風控制系統(tǒng)等，或對所有設備和環(huán)境參數(shù)的檢測。如瓦斯檢測系統(tǒng)、輔助運輸信息等。設備層主要包括設備操作臺、PLC 控制箱、開關柜、傳感器、執(zhí)行器、行程開關等現(xiàn)場設備，是具體控制設備的執(zhí)行者。1.3 煤炭工控系統(tǒng)信息安全現(xiàn)狀及風險煤炭工控系統(tǒng)信息安全現(xiàn)狀及風險煤炭和其他行業(yè)的工控主站系統(tǒng)一般處于相對封閉的專用網(wǎng)絡，通過專用隔離裝 軟件項

6、目方案書軟件項目方案書第 3 頁 / 共 10 頁置與外界交互。隨著“兩化” （信息化與工業(yè)化）的深度融合，工控系統(tǒng)正越來越多的使用通用協(xié)議、通用操作系統(tǒng)、通用硬件和軟件。由于以太網(wǎng)、無線設備無處不在，整個煤炭控制系統(tǒng)都可以和遠程終端進行互連，病毒、木馬、蠕蟲等信息網(wǎng)絡安全問題直接延伸到工控系統(tǒng)。煤炭工控系統(tǒng)幾個重要環(huán)節(jié)面臨的信息安全風險如下。1) 在數(shù)據(jù)采集環(huán)節(jié)，煤炭工控系統(tǒng)終端設備一般長時間運行在自然條件惡劣的地下，不僅容易出現(xiàn)物理安全問題，而且受限于設備自身的計算資源 終端設備難以全面應用各種信息安全防護技術，易遭受仿冒、竊聽和篡改等攻擊。2) 在數(shù)據(jù)傳輸環(huán)節(jié)， 絕大部分工控系統(tǒng)都采用國

7、際標準的專有通信協(xié)議進行傳輸， 此類協(xié)議絕大部分缺乏有效的身份鑒別和訪問控制機制，并以明文方式進行傳輸，導致重要的控制命令、參數(shù)設置等信息面臨被竊聽、篡改的風險。3) 在數(shù)據(jù)處理環(huán)節(jié)，工控系統(tǒng)更多采用標準化的工控機或嵌入式系統(tǒng)，以及通用的數(shù)據(jù)處理技術和協(xié)議，包括 Modbus，S7、NDP3 等，這些協(xié)議和技術從設計階段主要考慮實時性和可用性，基本沒有考慮安全因素，導致無法進行一般意義上的安全修補，對工控系統(tǒng)造成日益嚴重的威脅。2.2. 煤炭行業(yè)工控安全解決方案煤炭行業(yè)工控安全解決方案2.1 工控安全解決方案簡介工控安全解決方案簡介2.1.1 工控安全思路簡介工控安全思路簡介公司沒有簡單照搬傳

8、統(tǒng) IT 安全思維，而是以工控系統(tǒng)安全的視角，針對工控系統(tǒng)對可靠性、穩(wěn)定性、業(yè)務連續(xù)性的嚴格要求，以及工控系統(tǒng)軟件和設備更新不頻繁，通信和數(shù)據(jù)較為特定的特點，提出了建立工控系統(tǒng)安全生產(chǎn)與運行的“可信網(wǎng)絡白環(huán)境”以及“軟件應用白名單”概念，進而構筑工業(yè)控制系統(tǒng)的網(wǎng)絡安全“白環(huán)境”： 只有可信任的設備，才能接入控制網(wǎng)絡； 只有可信任的消息，才能在網(wǎng)絡上傳輸； 只有可信任的軟件，才允許被執(zhí)行；本設計思路無需大量改造現(xiàn)有工控網(wǎng)絡和頻繁升級工控系統(tǒng)，技術可靠實用，可落地性強。其主要優(yōu)點包括： 軟件項目方案書軟件項目方案書第 4 頁 / 共 10 頁 杜絕終端后門隱患杜絕終端后門隱患工控安全產(chǎn)品能夠幫助涉

9、密單位、關系國計民生的大型工控企業(yè)對工控網(wǎng)絡工作站、服務器進行安全防護和安全加固，杜絕安全后門隱患，響應國家信息安全國產(chǎn)化政策及號召。 解決主機安全問題，減少安全生產(chǎn)事故解決主機安全問題，減少安全生產(chǎn)事故工控安全產(chǎn)品具備先進白名單防護技術，能夠有效抵御病毒、木馬、惡意軟件、零日攻擊、高級持久威脅(APT)攻擊對工控網(wǎng)絡工作站、服務器的攻擊與破壞行為，真正幫助企業(yè)發(fā)現(xiàn)工控網(wǎng)絡攻擊，解決安全問題，使企業(yè)的安全投入物有所值。 提高工控系統(tǒng)穩(wěn)定性，減少系統(tǒng)停車時間提高工控系統(tǒng)穩(wěn)定性，減少系統(tǒng)停車時間工控安全產(chǎn)品能夠有效檢測到操作員針對工作站、服務器的違規(guī)、異常操作并加以阻止，進而避免工控系統(tǒng)的意外停車

10、事故。同時，基于白名單技術的解決方案無需對工控網(wǎng)絡結構進行改造，避免頻繁升級工控系統(tǒng)，減少系統(tǒng)維護停車時間。方案的拓撲圖如下：2.1.2 工控安全產(chǎn)品簡介工控安全產(chǎn)品簡介1)可信邊界網(wǎng)關簡介：可信邊界網(wǎng)關簡介：公司可信邊界網(wǎng)關主要為保護工業(yè)控制網(wǎng)與管理信息網(wǎng)之間的邊界而設計，支持對 OPC 等數(shù)采協(xié)議的深度解析，阻止來自管理信息網(wǎng)的安全威脅，保護數(shù)據(jù)采集系統(tǒng) 軟件項目方案書軟件項目方案書第 5 頁 / 共 10 頁的安全。可信邊界網(wǎng)關基于業(yè)界領先的軟、硬件體系架構，其工控協(xié)議深度包解析技術不僅對二層三層網(wǎng)絡協(xié)議進行解析，更進一步解析到工控網(wǎng)絡包的應用層，對 OPC等協(xié)議進行深度分析，防止應用層

11、協(xié)議被篡改或破壞。利用可信邊界網(wǎng)關可以建立可信任的數(shù)采通信的模型，采用黑白名單互補的安全策略，過濾一切非法訪問，保證只有可信任的設備才可以接入工控網(wǎng)絡，只有可信任的流量才可以在網(wǎng)間傳輸。為控制網(wǎng)與管理信息網(wǎng)的連接提供安全保障。其主要優(yōu)勢包括： 支持私有協(xié)議的開發(fā)平臺接口支持私有協(xié)議的開發(fā)平臺接口可信邊界網(wǎng)關提供 SDK，開放的平臺接口可以方便客戶自行擴展支持私有協(xié)議，以及做定制化的二次開發(fā)。 高性能匹配算法高性能匹配算法工控系統(tǒng)對實時性要求異?？量?，可信邊界網(wǎng)關具備先進的硬件設計，采用專用MIPS 多核處理器，為低延時、高吞吐的數(shù)據(jù)處理提供了堅實的基礎保障。其中深度數(shù)據(jù)包解析引擎在實現(xiàn)穩(wěn)定可靠

12、的數(shù)據(jù)包深度解析的同時，可以做到低延遲，保證了工控系統(tǒng)的實時性要求。可信邊界網(wǎng)關結合軟硬件加速能力，即使在開啟深度報文檢測（DPI）的情況下也可實現(xiàn) 30000PPS 的吞吐量。 高可靠的軟硬件一體化架構高可靠的軟硬件一體化架構可信邊界網(wǎng)關集成硬件加密引擎，為數(shù)據(jù)采集系統(tǒng)的數(shù)據(jù)傳輸提供了高性能的保證。另外，通過對可信網(wǎng)關和后臺管理系統(tǒng)之間的所有數(shù)據(jù)交換進行加密，確保了整個系統(tǒng)的安全性和可靠性。同時硬件物料精心選型，并且從電路設計、結構設計、系統(tǒng)冗余、時延、可靠性、環(huán)境要求等方面嚴格要求，保證硬件的可靠性。 自主可控的智能工控安全操作系統(tǒng)自主可控的智能工控安全操作系統(tǒng)可信邊界網(wǎng)關在專用工業(yè)級、高

13、性能網(wǎng)絡安全硬件平臺基礎上，構筑了自主知識產(chǎn)權的智能工控安全操作系統(tǒng)，此操作系統(tǒng)對流經(jīng)可信網(wǎng)關的數(shù)據(jù)流做深度的協(xié)議解析和匹配，并對數(shù)據(jù)流做智能調度轉發(fā)，以及對工控網(wǎng)絡流量包的應用層內容做深度檢查，為安全功能的擴展提供了堅實的基礎保障。工控可信邊界網(wǎng)關在傳統(tǒng)網(wǎng)關功能的基礎上，專門針對工控環(huán)境提供了工控協(xié)議的管控、基于白名單的訪問控制策略、智能學習規(guī)則、規(guī)則測試模式、日志本地緩存 軟件項目方案書軟件項目方案書第 6 頁 / 共 10 頁等。 化繁為簡的使用體驗化繁為簡的使用體驗可信邊界網(wǎng)關以提高工業(yè)控制網(wǎng)絡的日常安全管理、信息統(tǒng)計數(shù)據(jù)的易讀性和可操作性為設計核心，降低操作復雜度，避免誤操作。系統(tǒng)充

14、分利用人工智能技術，大幅度簡化分析、管理、控制流程，并提供簡單易學的用戶界面，方便管理人員日常操作管理。管理系統(tǒng)支持實時可視化呈現(xiàn)工控網(wǎng)絡鏈路的連通性和服務狀態(tài)，提供多類歷史監(jiān)控數(shù)據(jù)對比分析，系統(tǒng)日志、配置日志、流量日志、攻擊日志、訪問日志等類型日志的查詢與備份。2)可信區(qū)域網(wǎng)關簡介：可信區(qū)域網(wǎng)關簡介：可信區(qū)域網(wǎng)關主要保護工業(yè)控制網(wǎng)絡不同安全區(qū)域間的安全，支持多種工控協(xié)議，阻止來自安全區(qū)域外的威脅，抑制安全域中的病毒、木馬向其它區(qū)域傳播擴散?；跇I(yè)界領先的軟、硬件體系架構，其工控協(xié)議深度包解析技術不僅對二層三層網(wǎng)絡協(xié)議進行解析，更進一步解析到工控網(wǎng)絡包的應用層，對Modbus、DNP3、IEC

15、104、Profinet 等進行深度分析，防止應用層協(xié)議被篡改或破壞。利用可信區(qū)域網(wǎng)關可以建立可信任的工控網(wǎng)絡區(qū)域間通信模型，采用黑白名單互補的安全策略，過濾一切非法訪問，保證只有可信任的設備才可以接入工控網(wǎng)絡，只有可信任的流量才可以在網(wǎng)間傳輸。為控制網(wǎng)、生產(chǎn)網(wǎng)內部各區(qū)域的連接提供安全保障?？尚艆^(qū)域網(wǎng)關為控制網(wǎng)內部各區(qū)域間數(shù)據(jù)訪問提供工控協(xié)議深度解析、工控指令訪問控制、日志審計等綜合安全功能?？尚啪W(wǎng)關采用了高性能、高穩(wěn)定性的多核硬件架構，為用戶提供高效、穩(wěn)定的安全保障。其主要優(yōu)勢包括： 實時精準的工控協(xié)議實時精準的工控協(xié)議指令級控制指令級控制可信邊界網(wǎng)關搭載了深度數(shù)據(jù)包解析引擎，可對工控協(xié)議做

16、到實時和精準的識別，為解決針對工控網(wǎng)絡的安全問題提供了技術基礎保障，支持對 OPC 等數(shù)采協(xié)議進行快速有針對性的捕獲與深度解析?？梢詫?OPC 等工控協(xié)議做到指令級控制，如：OPC 協(xié)議只讀。 支持私有協(xié)議的開發(fā)平臺接口支持私有協(xié)議的開發(fā)平臺接口可信邊界網(wǎng)關提供 SDK，開放的平臺接口可以方便客戶自行擴展支持私有協(xié)議， 軟件項目方案書軟件項目方案書第 7 頁 / 共 10 頁以及做定制化的二次開發(fā)。 高性能匹配算法高性能匹配算法工控系統(tǒng)對實時性要求異?？量?，可信區(qū)域網(wǎng)關具備先進的硬件設計，采用專用MIPS 多核處理器，為低延時、高吞吐的數(shù)據(jù)處理提供了堅實的基礎保障。其中深度數(shù)據(jù)包解析引擎在實現(xiàn)

17、穩(wěn)定可靠的數(shù)據(jù)包深度解析的同時，可以做到低延遲，保證了工控系統(tǒng)的實時性要求?？尚艆^(qū)域網(wǎng)關結合軟硬件加速能力，設備滿配策略條件下時延小于 50us。3)可信安全衛(wèi)士簡介：可信安全衛(wèi)士簡介：隨著工業(yè) 4.0 及兩化融合的趨勢到來，傳統(tǒng)的工業(yè)控制系統(tǒng)網(wǎng)絡安全問題已成為企業(yè)及國家安全面臨的嚴峻挑戰(zhàn)。鑒于工業(yè)應用的特殊性，作為工控系統(tǒng)重要組成部分的工作站、服務器等主機終端難以采用傳統(tǒng)的殺毒軟件等“黑名單”防護方式應對層出不窮的操作系統(tǒng)漏洞、計算機后門程序、病毒、木馬、數(shù)據(jù)掃描、密鑰數(shù)據(jù)塊攻擊、黑客攻擊等多元化的風險及威脅，采用更加安全、可靠、方便的技術對其進行安全加固已經(jīng)迫在眉睫?？尚判l(wèi)士基于“白名單”

18、主動防御技術的主機安全防護軟件，解決了工控系統(tǒng)主機病毒感染、惡意腳本執(zhí)行、操作系統(tǒng)內核漏洞隱患、應用程序緩沖區(qū)溢出攻擊等問題，能夠與威努特可信區(qū)域網(wǎng)關、可信邊界網(wǎng)關等共同構建可控、可靠、可管理的工控網(wǎng)絡“白環(huán)境”縱深安全防御體系。其主要優(yōu)勢包括： 有效防止零日攻擊、有效防止零日攻擊、APT 攻擊攻擊基于 “軟可信”技術，與“白名單“技術相結合，不依賴于攻擊樣本采集及攻擊特征的提取，能夠有效的防御零日攻擊、APT 攻擊等傳統(tǒng)殺毒軟件無能為力的攻擊方式，保護主機終端的持續(xù)安全。極致簡單，易管理維護，適合工控環(huán)境極致簡單，易管理維護，適合工控環(huán)境 操作極致簡單，不需頻繁更新威脅特征庫來保持對新威脅的

19、防護能力，避免了升級可能造成的系統(tǒng)兼容性風險，易于現(xiàn)場管理維護，尤其適合在工業(yè)控制系統(tǒng)中使用。 系統(tǒng)資源需求量小，亦適合老舊設備系統(tǒng)資源需求量小，亦適合老舊設備不像傳統(tǒng)反病毒軟件或 IDS/IPS 設備依賴于一個急劇增長的特征庫，可信衛(wèi)士根 軟件項目方案書軟件項目方案書第 8 頁 / 共 10 頁據(jù)每個客戶的具體生產(chǎn)環(huán)境建立一個小規(guī)模的白名單，對系統(tǒng)資源占用量小，亦適用于工控環(huán)境中老舊設備。 2.2 工控安全煤炭行業(yè)系統(tǒng)架構工控安全煤炭行業(yè)系統(tǒng)架構2.2.1 總體系統(tǒng)架構圖總體系統(tǒng)架構圖2.2.2 總體系統(tǒng)架構說明總體系統(tǒng)架構說明 可信邊界網(wǎng)關：方案在信息層和控制層，控制層和設備層之間架設可信邊界網(wǎng)關。并在每一個控制系統(tǒng)中部署可信邊界網(wǎng)關，包括大卷皮帶控制系統(tǒng)、通風機控制系統(tǒng)等。主要用于監(jiān)視和控制在信息層與控制層、控制層與設備層之間，