工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)技術(shù)要求

工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)技術(shù)要求本文件規(guī)定了工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)的功能要求、系統(tǒng)管理要求和性能要求。本文件適用于工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)的設(shè)計、開發(fā)和測試。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款，其中，注日期的引用文件僅該日期對應(yīng)的版本適用于本文件：不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T20279信息安全技術(shù)網(wǎng)絡(luò)和終端隔離產(chǎn)品安全技術(shù)要求GB/T32919信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南GB/T42021-2022工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡(luò)架構(gòu)3術(shù)語和定義GB/T20279、GB/T25069、GB/T32919和GB/T42021-2022界定的以及下列術(shù)語和定義適用于本文工業(yè)互聯(lián)網(wǎng)industrialInternet新一代信息通信技術(shù)與工業(yè)經(jīng)濟(jì)深度融合的新型基礎(chǔ)設(shè)施、應(yīng)用模式和工業(yè)生態(tài)，通過對人、機(jī)、物、系統(tǒng)等的全面連接，構(gòu)建起覆蓋全產(chǎn)業(yè)鏈、全價值鏈的全新制造和服務(wù)體系[來源：GB/T42021-2022,3.1]工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)industrialInternetsecurityisolationandinformationferry位于工業(yè)互聯(lián)網(wǎng)不同安全域之間，在工業(yè)互聯(lián)網(wǎng)絡(luò)上實現(xiàn)安全域安全隔離與信息交換的產(chǎn)品。下列縮略語適用于本文件。CPU中央處理器(Centr文件傳輸協(xié)議(FileTransferProtocol)超文本傳輸協(xié)議(HyperTextTransferProtocol)2網(wǎng)際互連協(xié)議(InternetProtocol)媒體存取控制(MediaAccessControl)MQTT消息隊列遙測傳輸協(xié)議(MessageQucuingTelemotryTransport)MSTP多生成樹協(xié)議(MultipleSpanningTreeProtocol)NFS網(wǎng)絡(luò)文件系統(tǒng)(NetworkFileSystem)OPC對象鏈接與嵌入的過程控制(0LEforProcessControl)PLC可編程邏輯控制器(ProgrammableLogicController)簡單郵件傳輸協(xié)議(SimpleMailTransferProtocol)生成樹協(xié)議(Spanning傳輸控制協(xié)議(TransmissionControlProtocol)用戶數(shù)據(jù)報協(xié)議(UserDatagramProtocol)5工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)描述工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)通常部署在工業(yè)互聯(lián)網(wǎng)不同安全域之間，保護(hù)工業(yè)互聯(lián)網(wǎng)平臺或網(wǎng)絡(luò)中的資產(chǎn)。如圖1所示，工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)通常由兩個獨立處理單元和一個專用隔離模塊組成。其中，兩個處理單元分別連接不同的安全域，同時經(jīng)隔離模塊實現(xiàn)數(shù)據(jù)擺渡，專用隔離部件可以是采用包含電子開關(guān)并固化信息擺渡控制邏輯的專用隔離芯片構(gòu)成的隔離交換板卡，也可以是經(jīng)過安全加固并運行專用信息傳輸邏輯控制程序的主機(jī)。專用隔離部件是兩個安全域之間唯一的可信物理通道。工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)用于連接兩個不同的安全域，實現(xiàn)工業(yè)互聯(lián)網(wǎng)的兩個安全域之間的訪問控制、協(xié)議轉(zhuǎn)換、內(nèi)容過濾和信息交換等功能。間的訪問控制、協(xié)議轉(zhuǎn)換、內(nèi)容過濾和信息交換等功能。隔離模塊圖1工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)功能橫塊示意圖6.1.1工業(yè)通信協(xié)議支持協(xié)議讀寫方向控制等。工業(yè)數(shù)據(jù)采集協(xié)議支持工業(yè)數(shù)據(jù)采集協(xié)議支持要求包括：a)應(yīng)支持常見工控協(xié)議實時數(shù)據(jù)的點位級采集：b)應(yīng)支持通過代理組件采集0PCDA數(shù)據(jù)源：o)應(yīng)支持通過專用采集驅(qū)動采集常見PLC內(nèi)外部寄存器數(shù)據(jù)實時數(shù)據(jù)：d)應(yīng)支持采集ModbusTCP協(xié)議常見功能碼數(shù)據(jù)的實時數(shù)據(jù)：應(yīng)支持多種轉(zhuǎn)發(fā)協(xié)議與監(jiān)控平臺互聯(lián)互通，如ModbusTCP、0PCU和狀態(tài)(可進(jìn)行數(shù)據(jù)量批次設(shè)置)對外發(fā)送到監(jiān)控平臺的功能。6.1.2通用數(shù)據(jù)傳輸協(xié)議支持通用數(shù)據(jù)傳輸協(xié)議支持要求包括：a)應(yīng)支持超文本傳輸協(xié)議HTTP協(xié)議深度解析與控制，如；信息獲取，傳輸文件，傳輸實體文件，搜索，獲取報文頭部等操作b)應(yīng)支持文件傳輸協(xié)議FTP協(xié)議深度解析與控制，如；認(rèn)證安全機(jī)制，目錄調(diào)整，主被動傳輸模式，創(chuàng)建目錄，刪除目錄，收集文件信息詳細(xì)目錄，上傳文件，文件重命名等操作；c)應(yīng)支持SMB/CIFS、FTP、FTPS、NFS等多種通信協(xié)議進(jìn)行文件交換，支持文件內(nèi)容、類型過濾，支持重名處理機(jī)制，支持目錄內(nèi)子目錄同步；d)應(yīng)支持郵件傳輸協(xié)議SMTP、郵件接受協(xié)議POP3的深度解析與控制，如身份認(rèn)證，發(fā)送者地址郵件附件，獲取郵件，刪除某一郵件等操作，測試連接是否成功等；e)應(yīng)支持?jǐn)?shù)據(jù)庫協(xié)議在操作過程中深度解析與控制，如查詢，插入，刪除，更新，創(chuàng)庫，刪庫數(shù)據(jù)庫級別設(shè)置等應(yīng)用動作深度控制f)應(yīng)支持國內(nèi)外常用的各種類型數(shù)據(jù)庫的同步，支持同構(gòu)、異構(gòu)數(shù)據(jù)庫之間的同步，同步數(shù)據(jù)可具體設(shè)置到字段級別6.1.3協(xié)議隔離不同安全域之間傳輸?shù)男畔⒘鲬?yīng)執(zhí)行網(wǎng)絡(luò)層協(xié)議剝離，以非TCP/IP的私有協(xié)議格式傳輸。6.2斷網(wǎng)續(xù)傳應(yīng)具有在網(wǎng)絡(luò)離線時緩存數(shù)據(jù)的功能，并在恢復(fù)網(wǎng)絡(luò)后能夠?qū)⒕彺鏀?shù)據(jù)上構(gòu)到監(jiān)控平臺時支持歷史數(shù)據(jù)可用存儲空間控制和歷史數(shù)據(jù)發(fā)布周期設(shè)置，支持續(xù)傳模式選擇：全部或變化。6.3多通道采集與轉(zhuǎn)發(fā)多通道采集與轉(zhuǎn)發(fā)要求包括a)數(shù)據(jù)采集應(yīng)支持多通道，通道可掛載多種設(shè)備的采集模式：b)數(shù)據(jù)轉(zhuǎn)發(fā)服務(wù)應(yīng)提供同時將數(shù)據(jù)上傳到多個監(jiān)控平臺的能力。46.4在線監(jiān)測應(yīng)支持監(jiān)測設(shè)備在線情況功能，同時支持在線檢測時對采集通道和轉(zhuǎn)發(fā)通道報文的監(jiān)控功能，支持在線監(jiān)控時觀察采集數(shù)據(jù)的變化情況，設(shè)備授權(quán)情況等功能。6.5訪問控制6.5.1基于白名單的訪問控制應(yīng)配置和應(yīng)用基于白名單的訪問控制策略，默認(rèn)禁止白名單之外的網(wǎng)絡(luò)訪問。6.5.2網(wǎng)絡(luò)層訪問控制網(wǎng)絡(luò)層訪問控制要求包括：a)應(yīng)基于源IP地址、目的IP地址、源端口號、目的端口號、傳輸協(xié)議等要求，進(jìn)行訪問控制；b)應(yīng)支持開啟STP協(xié)議、MSTP生成樹協(xié)議，防止網(wǎng)絡(luò)形成環(huán)路。6.5.3IP地址/MAO地址綁定應(yīng)支持自動或手工綁定通信接口對端設(shè)備的接口IP地址和MAC地址，當(dāng)通信接口對端設(shè)備的IP地址和MAC地址與綁定列表不符時阻止通信6.5.4應(yīng)用層訪問控制應(yīng)用層訪問控制要求包括：a)應(yīng)識別和控制HTTP、FTP、TELNET等應(yīng)用層協(xié)議的訪問；b)應(yīng)至少支持兩種工業(yè)應(yīng)用協(xié)議的訪問控制。兩個處理單元之間應(yīng)采用專用的隔離部件，并確保兩個處理單元不能同時與專用隔離部件物理連通。6.7殘余信息保護(hù)應(yīng)保證分配的資源中不包含之前連接活動中所產(chǎn)生的任何信息內(nèi)容。在與安全有關(guān)的操作被允許執(zhí)行之前，應(yīng)確保通過安全功能策略的檢查。6.9抗拒絕服務(wù)攻擊應(yīng)具備一定的抗拒絕服務(wù)攻擊能力，如SYNFlood攻擊、UDPFlood攻擊、IOMPFlood攻擊、TearDrop6.10雙機(jī)熱備應(yīng)具備雙機(jī)熱備的能力7系統(tǒng)管理要求7.1標(biāo)識和鑒別7.1.1唯一性標(biāo)識5應(yīng)保證所有用戶、設(shè)備、系統(tǒng)都具有唯一的標(biāo)識7.1.2管理員屬性定義應(yīng)為每個管理員規(guī)定與之相關(guān)的安全屬性，如管理員標(biāo)識、鑒別信息、隸屬組、權(quán)限等，并提供使用默認(rèn)值對創(chuàng)建的每個管理員的屬性進(jìn)行初始化的功能。7.1.3管理員角色應(yīng)區(qū)分管理員角色，能劃分為系統(tǒng)管理員、安全操作員和安全審計員，且三類管理員角色權(quán)限相互7.1.4基本鑒別應(yīng)保證任何用戶在執(zhí)行安全功能前都要進(jìn)行身份鑒別。若其采用網(wǎng)絡(luò)遠(yuǎn)程方式管理，還應(yīng)對可管理的IP、MAC地址進(jìn)行限制。應(yīng)能向管理角色提供除口令身份鑒別機(jī)制以外的其他身份鑒別機(jī)制(如證書、智能IC卡、指紋等鑒7.1.6超時鎖定或注銷當(dāng)已通過身份鑒別的管理角色空閑操作的時間超過規(guī)定值，在該管理角色需要執(zhí)行管理功能前，應(yīng)對該管理角色的身份重新進(jìn)行鑒別。7.1.7鑒別失敗處理應(yīng)為管理員登錄設(shè)定一個授權(quán)管理員可修改的鑒別嘗試閥值，當(dāng)管理員的不成功登錄嘗試超過閾值系統(tǒng)應(yīng)通過技術(shù)手段阻止管理員的進(jìn)一步鑒別請求。7.2安全管理7.2.1接口及管理安全接口及管理安全要求包括：a)應(yīng)支持業(yè)務(wù)接口和管理接口應(yīng)采用不同的網(wǎng)絡(luò)接口；b)管理接口及管理界面應(yīng)不存在己知的中、高風(fēng)險安全漏洞。7.2.2管理信息傳輸安全當(dāng)需要通過網(wǎng)絡(luò)進(jìn)行管理時，應(yīng)能對管理信息進(jìn)行保密傳輸。7.2.3安全狀態(tài)監(jiān)測安全狀態(tài)監(jiān)測要求包括：a)對系統(tǒng)中的CPU、內(nèi)存、存儲空間等系統(tǒng)資源使用狀態(tài)進(jìn)行監(jiān)測：b)對系統(tǒng)的主要功能模塊運行狀態(tài)進(jìn)行監(jiān)測7.3數(shù)據(jù)完整性6應(yīng)對儲存于設(shè)備中的鑒別數(shù)據(jù)和信息傳輸策略等關(guān)鍵數(shù)據(jù)采取完整性保護(hù)措施，避免被慕改。7.4日志審計管理日志審計管理要求包括：a)應(yīng)生成訪問控制策略匹配的訪問請求，包括允許及禁止的訪問請求b)應(yīng)識別及抵御的各類攻擊行為。c)日志內(nèi)容應(yīng)包括日期、時間、源目的MAC地址、源目的IP地址、源目的端口號、協(xié)議類型；d)日志內(nèi)容應(yīng)包括工業(yè)協(xié)議的操作類型、操作對象、操作值等相關(guān)參數(shù)；e)日志內(nèi)容應(yīng)包括攻擊事件的類型及描述7.4.1系統(tǒng)日志生成系統(tǒng)日志生成要求包括：a)身份鑒別，包括成功和失敗；b)因鑒別失敗次數(shù)超過閥值而采取的禁止進(jìn)一步嘗試的措施；c)訪問控制策略的增加、刪除、修改；d管理員的增加、刪除、修改：f)超過保存時限的審計記錄和自身審計日志的自動刪除g)審計日志和審計記錄的備份與恢復(fù)；h)存儲空間達(dá)到閥值報警：i)其他事件。7.4.2系統(tǒng)日志內(nèi)容系統(tǒng)日志內(nèi)容至少應(yīng)包括日期、時間、事件主體、事件客體、事件描述等。7.4.3審計日志管理審計日志管理要求包括a)應(yīng)只允許投權(quán)管理員能夠?qū)徲嬋罩具M(jìn)行讀取、存檔、導(dǎo)出、刪除和清空等操作；b)