技术分享 | 制造业工业控制系统主机防护探讨

一、概述
我国制造业可分为三种类型，一类是轻纺工业，诸如食品、饮料、烟草、造纸、纺织等等。一类是以资源加工为主，比如石油、化工、化纤、医药、黑色金属等。一类则是以机械、电子制造为代表，最具代表性的就是装备、重工制造，不限于机床、专用设备、交通运输工具、机械设备、仪器仪表等。随着我国国力的增长，制造业获得了长足的发展，并已成为国家未来发展主要支撑领域。制造业是我国国力强盛的最主要特征，其必将成为我国“工业互联网”的重要基础，制造业的发展程度直接影响我国强国梦的实现。



二、风险分析
虽然我国制造业近几年获得了较大发展，但是整体水平较发达国家还是有较大差距，制造企业自身也面临一系列发展瓶颈和不足，主要包括：

内部因素：

1、规模不断扩大，网络不断更新。横向延伸、DNC网络越来越庞大，产线不断扩容，覆盖面积越来越广，网络安全面临挑战。纵向扩展、服务器体量越来越大，总体终端数量越来越多，以一个中型的汽车制造企业为例，其操作终端可多达400~500台左右，占了办公终端的近十分之一。如何确保主机终端安全可控面临巨大挑战；

2、随着市场需求多样化，生产分工越来越精细化、功能性控制器（PLC、机床功能板卡等）程多样化，设计端对DNC服务器及产线的干预（本地监控站甚至机床本身）越来越多，未知风险愈来愈难以掌控；



3、随着国家“工业互联网”建设推进，作为“数据采集基础”中的基础-“企业中各种服务器和管理终端设备”，往往存在大量未知风险，面临被淘汰、虚拟化趋势。但企业、行业工业APP、工业云PaaS平台建设缓慢，很长一段时间内，现有设备仍是生产主力，主要依赖对象。寻求既可满足生产实际需求，也可保障设备自身安全的方案，是每个企业面临的首要问题。



外部因素：

2017年，是我国工控安全的转折点，这一年“勒索病毒-永恒之蓝”肆虐，波及制造业（比如著名的台积电事件）、油气中下游产业链，医疗、海关、政府办公等等行业，被业内人士称为“网络的512地震”。勒索病毒主要感染对象为操作主机，因此未来一段时间勒索病毒仍是制造业面临的主要威胁。

三、国家政策导向
2016年5月13日，国务院就已颁发《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）文件，推出关于深化制造业与互联网融合发展的指导意见，进一步强调制造业是国民经济的主体，是实施“互联网+”行动的主战场，明确提出“提高工业信息系统安全水平”建设任务。

2016年11月，工信部信软司发布《工业和信息化部关于印发信息化和工业化融合发展规划（2016-2020年）的通知》·

可见我国在制造业已加大力度，打造工业强国不遗余力，及时解决制造业目前所面临的问题，对于“工业互联网”安全生态环境至关重要。基础安全是互联的前提，终端安全是根本。

四、解决方案
从制造业本身特点来看，除了网络的必要防护之外（比如边界隔离、入侵检测、网络审计等），其最核心的应当是主机安全防护了，毕竟人的因素才是最根本的。由于生产网络庞大，操作节点众多且分散，任何一个节点遭到攻击都会造成网络的局部、甚至全网瘫痪。从对企业实际情况的调研来看，无论操作员站、工程师站、服务器等都面临一些共性问题，为了解决问题，需要从以下几个方面去解决：

1)  调整网络结构，设置数据中转及操作专属设备（或被称为DMZ区），规范访问路径、限制操作行为，禁止非授权对终端主机的访问和操作；



2） 对办公网主机进行安全加固和补丁修补，预防再次中毒的危险；利用“白名单技术”对生产网工控主机，建立主机安全运行环境；



某车间产线主机防护部署示意图

1、①号位置进行主机加固，封堵不必要的通讯端口，例如139、445等，同时依据相关技术要求，建立主机安全基线。办公网主机由于其特殊性，存在大量的网络操作和访问，随时会产生大量新的程序和文件，不适用主机白名单防护；

2、②号位置，由于其系统及操作相对固定，不会频繁更新和升级，适合主机白名单防护机制；

3、③号位置，其操作系统固定，系统及软件更新不频繁，适合主机白名单机制防护。但是考虑到现场经常有就地组态更新，这里主要有两种情况：一是如果是技术参数调整不会影响主机安全卫士的运行，且主机卫士也不会进行拦截。二是如果进行组态更新，涉及到整个文件后缀名发生变化，或者增加新的文件（白名单中不存在的），则可以通过统一管理平台将该台主机白名单暂时放开即可；

4、由于现场操作的存在，一定要保证专用调试工具的安全，这可以通过工具管理实现，参考工控安全管理规范；

5、与主机卫士配套使用的还有安全授权U盘，专业维护工具也可安装白名单软件，对应安全授权U盘，实现数据安全摆渡。

部署工控主机卫士对系统内主机进行防护，主机卫士采用“白名单”管理技术，通过对数据采集和分析，其内置智能学习模块会自动生成工业控制软件正常行为的白名单，与现网中的实时传输数据进行比较、匹配、判断。如果发现其用户节点的行为不符合白名单中的行为特征，其主机安全防护系统将会对此行为进行阻断或告警，以此避免主机网络受到未知漏洞威胁，同时还可以有效地阻止操作人员异常操作带来的危害。

在控制网区域控制室各操作员站，工程师站，服务器部署工控主机卫士对主机注册表，操作系统，以及运行在主机上的工控软件进行保护，拒绝任何未经授权的安装、修改、卸载、删除操作，从而做到斩断病毒、恶意代码的运行传播，起到加固控制网主机的作用。

在采用智能主动防御基础上，融合主机加固功能，满足GB/T 20272-2006《信息安全技术 操作系统安全技术要求》对操作系统安全技术要求。它不用更改操作系统就可以安装，操作方便。同时在操作系统的基础安全功能之上提供安全保护层，通过截取系统调用来实现对文件系统的访问控制，提高操作系统的安全性。它具有完整的用户身份鉴别、访问权限控制、外设控制、完整性校验、日志审计的功能，并且采用集中式管理，克服了分布式系统在管理上的诸多问题。

3） 利用统一管理平台，对主机进行双因子认证、外设监管、非法外联监控、软体防火墙告警、主机流量、多种日志审计、存储和管理等。



五、可解决问题
主要包括：

1)  主机操作系统纯净，不适合频繁升级、打补丁的问题；

2)  目前国内还没有一款针对工业主机的专用杀毒软件，即使有也存在一定安全隐患，比如病毒库升级问题；

3)  由于特殊使用环境，主机应用软件存在一定漏洞，但又不敢轻易打补丁，白名单技术，固化主机运行环境，解决主机升级、打补丁烦恼；

4) 绝大部分主机缺少必要的安全策略和管理规划，主机安全卫士融合主机加固技术，解决安全基线建设不足问题。

六、总结
现阶段在工控主机安全防护软件的选择上，无论是国家政策上还是用户体验上，白名单软件逐渐取得了优势，主机安全防护一直是信息安全防护的重中之重，威努特一直倾尽全力为打造一款适合国内工控主机安全防护的软件而不懈努力。2018年，勒索病毒变种再次爆发，部分制造企业分别受到不同程度的攻击和感染，威努特主机安全卫士可有效抵御勒索病毒及变种病毒的攻击，同时也在不断完善自身产品性能，专注于为企业开发、定制适用于企业实际环境的安全防护定制软件，与企业携手共建“工业互联网”基础安全。

更多阅读：
【邀请函】威努特华东区渠道合作伙伴招募会&技术认证培训会邀请
《威努特工控安全行业资讯第二十期》
技术分享 | 确保企业安全设备自身的安全性

【虚位以待】威努特2019年春季招募令
技术分享 | 工业协议自定义协议解码简介

---

威努特工控安全

专注工控·捍卫安全