DB43T 1346-2017 制造行業(yè)分布式數(shù)控(DNC)系統(tǒng)安全技術(shù)要求

ICS35.240.50L67DB43DB43/T1346—2017DNC）系統(tǒng)安全技術(shù)要求SecurityTechnicalRequirementsofDistributedNumericalControlSystemforManufacturingIndustry2017-12-14發(fā)布2018-02-15實(shí)施湖南省質(zhì)量技術(shù)監(jiān)督局發(fā)布I Ⅱ 2規(guī)范性引用文件 3.2數(shù)控機(jī)床numericalcontrol 3.4虛擬專用網(wǎng)絡(luò)virtualprivatenetwork 3.7遠(yuǎn)程訪問(wèn)remoteac 4DNC系統(tǒng)安全概述 4.1DNC系統(tǒng)基本組成 4.2DNC系統(tǒng)安全目標(biāo) 4.3DNC系統(tǒng)安全威脅 4.4DNC系統(tǒng)安全防護(hù)原則 5DNC系統(tǒng)安全技術(shù)要求 本標(biāo)準(zhǔn)按照GB/T1.1—2009給出制造行業(yè)分布式數(shù)控（DNC）系統(tǒng)安全技術(shù)要求網(wǎng)絡(luò)交換機(jī)安全技術(shù)要求（評(píng)估保證級(jí)3）GB/T33007—2016工業(yè)通信 指沒(méi)有任何作用卻會(huì)帶來(lái)危害的代碼，常見(jiàn)的惡意代碼有：病毒、蠕蟲、木馬、后門DNC系統(tǒng)的安全體系的目標(biāo)可以根據(jù)需求而有所不同無(wú)意或有意地泄漏口令等敏感信息，或不謹(jǐn)慎地配a）機(jī)房場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等b）機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的頂層或地下室，否則應(yīng)加強(qiáng)防水和防,b）需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活a）應(yīng)將機(jī)房設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不b）應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管a）應(yīng)將各類機(jī)柜、設(shè)施和設(shè)備等通過(guò)接地b）應(yīng)采取措施防止感應(yīng)雷，例如設(shè)置防雷保安器或過(guò)壓保護(hù)b）機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級(jí)的建c）應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域a）應(yīng)采取措施防止雨水通過(guò)機(jī)房窗戶、屋b）應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移c）應(yīng)安裝對(duì)水敏感的檢測(cè)儀表或元件，對(duì)機(jī)b）應(yīng)采用措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍b）應(yīng)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷電情況下的正常運(yùn)a）DNC系統(tǒng)網(wǎng)絡(luò)與互聯(lián)網(wǎng)之間，不能有采取設(shè)置防火墻、單向隔離等措施加以防護(hù)，并定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，不斷完善防范措b）原則上禁止通過(guò)互聯(lián)網(wǎng)對(duì)DNC系統(tǒng)進(jìn)行遠(yuǎn)程維護(hù)，確需遠(yuǎn)程維護(hù)的，應(yīng)采用虛擬專用網(wǎng)絡(luò)a）應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足b）應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高e）應(yīng)根據(jù)DNC系統(tǒng)各組成部分的職能、重要性和所涉及信息的重要程度等因素，劃分不同的子b）應(yīng)刪除多余或無(wú)效的訪問(wèn)控制規(guī)則，優(yōu)化訪問(wèn)控制列表，并保證訪問(wèn)控制規(guī)則數(shù)量最c）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪a）應(yīng)采用具備工業(yè)協(xié)議深度包檢測(cè)功能的審計(jì)設(shè)備對(duì)網(wǎng)d）系統(tǒng)應(yīng)設(shè)置足夠的審計(jì)記錄存儲(chǔ)容量，提供審計(jì)機(jī)制來(lái)減少e）當(dāng)分配審計(jì)記錄存儲(chǔ)值達(dá)到最大審計(jì)記錄存儲(chǔ)容量的配置比例 f）在審計(jì)事件的處理失敗時(shí)，系統(tǒng)應(yīng)警示人員和防止h）應(yīng)限制授權(quán)人員以只讀方式訪問(wèn)審計(jì)日志，避免日志信i）應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行安全審計(jì)，b）應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測(cè)從外部發(fā)起的網(wǎng)絡(luò)攻擊d）應(yīng)采取技術(shù)措施對(duì)網(wǎng)絡(luò)攻擊行為進(jìn)行分析，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊特別是未知新型網(wǎng)絡(luò)攻擊的檢c）應(yīng)建立防病毒和惡意軟件入侵管理機(jī)制，對(duì)系統(tǒng)及臨時(shí)接入的設(shè)備采取病毒查殺等安全預(yù)d）主要網(wǎng)絡(luò)設(shè)備應(yīng)采用強(qiáng)度高于用戶名+靜態(tài)口令的認(rèn)證機(jī)制實(shí)現(xiàn)用戶身份鑒別，宜采用a）應(yīng)對(duì)所有參與無(wú)線通信的用戶（設(shè)備）提供唯一b）應(yīng)能識(shí)別未經(jīng)授權(quán)的無(wú)線設(shè)備，報(bào)警并阻斷未經(jīng)授權(quán)試圖接入或干擾系統(tǒng)的c）應(yīng)禁止采用WEP等不安全的加密方式，推薦采用WPA2-PSK加密。c）應(yīng)防止所有用戶賬戶重復(fù)使用同一批口令，并加強(qiáng)用戶口令的最大和最小e）應(yīng)為系統(tǒng)的不同用戶分配不同的用戶名f）應(yīng)采用強(qiáng)度高于用戶名+靜態(tài)口令的認(rèn)證機(jī)制對(duì)管理用戶進(jìn)行身份鑒別，宜采用兩種或a）應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用g）應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)b）應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的,a）應(yīng)采用應(yīng)用程序白名單軟件進(jìn)行惡意代碼防范，只允許經(jīng)過(guò)企業(yè)自身授權(quán)和安全評(píng)估的軟b）防護(hù)軟件部署之前應(yīng)經(jīng)過(guò)離線環(huán)境充分要求適當(dāng)?shù)蔫b別；限制移動(dòng)代碼傳入/傳出控制系統(tǒng)；a）應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制未經(jīng)f）應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小e）采用用戶名+靜態(tài)口令方式認(rèn)證的，強(qiáng)制用戶在第一次登錄系統(tǒng)時(shí)修改分發(fā)的初始口g）對(duì)于代表關(guān)鍵服務(wù)或者服務(wù)器運(yùn)行的系統(tǒng)賬戶a）應(yīng)提供訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)系統(tǒng)、設(shè)備、文件及數(shù)據(jù)庫(kù)表等c）應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制d）應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)f）應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析c）應(yīng)保證重要業(yè)務(wù)數(shù)據(jù)所在的存儲(chǔ)空間被釋放或再分配給其它a）應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證輸入的數(shù)據(jù)格式或長(zhǎng)度符合c）應(yīng)定義分級(jí)的系統(tǒng)異常事件，并且根據(jù)異常事件的嚴(yán)重程度采用a）當(dāng)系統(tǒng)通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自b）應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)一個(gè)用戶同時(shí)登錄到系統(tǒng)中，一個(gè)用戶只允許同時(shí)在一個(gè)客戶端d）應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的b）應(yīng)檢測(cè)、記錄、報(bào)告、防止對(duì)數(shù)據(jù)的未經(jīng)授c）應(yīng)采用校驗(yàn)碼技術(shù)或加解密技術(shù)或同等安全性的技術(shù)手段保證重要數(shù)據(jù)在存儲(chǔ)過(guò)程中的完d）應(yīng)能檢測(cè)到系統(tǒng)重要數(shù)據(jù)在傳輸和存儲(chǔ)過(guò)程中完整性受到破壞，并及時(shí)采a）無(wú)論在信息存儲(chǔ)或傳輸時(shí)，應(yīng)采用加密或其它有效措施對(duì)數(shù)據(jù)提供b）當(dāng)信息穿過(guò)任何網(wǎng)絡(luò)邊界時(shí)，應(yīng)采取加密或其他有效措施保護(hù)其保b）應(yīng)在不影響正常設(shè)備使用的前提下，識(shí)別和定位關(guān)鍵文件，以及備份用戶級(jí)和系統(tǒng)級(jí)的信息e）應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避通過(guò)驗(yàn)證。若安全性不夠，應(yīng)使用其他手段；密碼應(yīng)設(shè)定有效期限，并定期戶口令的最大和最小有效期的使用，限制用戶口令的最大和最b）應(yīng)能夠針對(duì)重要操作行為生成安全相關(guān)審計(jì)記錄，審計(jì)內(nèi)容應(yīng)達(dá)到d）應(yīng)限制授權(quán)人員以只讀方式訪問(wèn)審計(jì)日志f）應(yīng)能夠?yàn)榧袑徲?jì)管理提供接口，將自身生a）應(yīng)支持授權(quán)用戶管理所有帳戶，包括添加、激活、修改、b）應(yīng)在一個(gè)可配置非活動(dòng)時(shí)間周期后自動(dòng)地，或由發(fā)起會(huì)話的用戶手動(dòng)終止遠(yuǎn)程會(huì)話；d）應(yīng)限制用戶或角色對(duì)系統(tǒng)內(nèi)重要配置文件進(jìn)行e）應(yīng)授權(quán)用戶或角色對(duì)所有人員用戶的訪b）應(yīng)遵循最小安裝的原則，僅安裝設(shè)備需要的組件和應(yīng)e）停機(jī)維護(hù)期間，應(yīng)能發(fā)現(xiàn)可能存在的漏洞，并在經(jīng)過(guò)充分測(cè)試b）對(duì)于采用網(wǎng)絡(luò)通訊的設(shè)備，應(yīng)保護(hù)防止對(duì)數(shù)據(jù)的未經(jīng)授權(quán)b）對(duì)于采用網(wǎng)絡(luò)通訊的設(shè)備，應(yīng)提供驗(yàn)證備份機(jī)制可靠性的求及時(shí)進(jìn)行整改，同時(shí)應(yīng)當(dāng)加強(qiáng)相關(guān)系統(tǒng)及設(shè)備的運(yùn)行管理和安b）應(yīng)優(yōu)先采用符合國(guó)家相關(guān)要求的自主、安全、可靠的工業(yè)設(shè)備及元e）工業(yè)設(shè)備應(yīng)提供能力，在允許代碼執(zhí)行之前h）工業(yè)設(shè)備應(yīng)提供對(duì)所有用戶是否執(zhí)行了某個(gè)行為進(jìn)行判b）工控安全防護(hù)設(shè)備應(yīng)采取技術(shù)措施保證自身安全，避免惡意攻擊導(dǎo)致防護(hù)失效；c）工控安全防護(hù)設(shè)備應(yīng)提供能力拒絕來(lái)d）工控安全防護(hù)設(shè)備應(yīng)提供標(biāo)識(shí)和認(rèn)證所有e）工控安全防護(hù)設(shè)備應(yīng)保護(hù)數(shù)據(jù)存儲(chǔ)和傳輸時(shí)不被f）工控安全防護(hù)設(shè)備應(yīng)采用基于用戶角色的權(quán)限管理機(jī)制，按照職責(zé)分離和最小特權(quán)來(lái)控制對(duì)g）工控安全防護(hù)設(shè)備應(yīng)提供必要的能力，明確禁止和/或限制對(duì)非必要的功能、端口、協(xié)議和/備份和存儲(chǔ)事件、配置變更、潛在的偵查行為和