近年來在巨大利益的驅(qū)使下，DCS生產(chǎn)控制系統(tǒng)已成為被研究和攻擊的重點(diǎn)目標(biāo)。由于當(dāng)前DCS控制系統(tǒng)與多廠商多設(shè)備對接，且系統(tǒng)設(shè)備分布在各個區(qū)域，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，現(xiàn)有的防護(hù)措施難以應(yīng)對越來越復(fù)雜的攻擊行為。某軍工類集團(tuán)公司儀表計量檢測中心兩條生產(chǎn)線的DCS控制系統(tǒng)，目前均未采取安全防護(hù)措施，急需全面提升DCS生產(chǎn)控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)等級。

安恒信息結(jié)合客戶集團(tuán)公司的網(wǎng)絡(luò)安全現(xiàn)狀，確定安全建設(shè)需求，提出了加強(qiáng)“監(jiān)測預(yù)警系統(tǒng)”、“應(yīng)急響應(yīng)手段”、“工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺”、“信息系統(tǒng)等級保護(hù)建設(shè)”的綜合防護(hù)方案，全面提升集團(tuán)的工控網(wǎng)絡(luò)安全保護(hù)及整網(wǎng)安全能力，并為集團(tuán)建立了一個完善的信息安全預(yù)防、監(jiān)測、防御和響應(yīng)的縱深防御的安全體系。??

根據(jù)集團(tuán)網(wǎng)絡(luò)安全所面臨的風(fēng)險及特點(diǎn)，以保障集團(tuán)生產(chǎn)線安全穩(wěn)定運(yùn)行為核心，本項目主要達(dá)成以下幾方面目標(biāo)：

管理人員對目前生產(chǎn)內(nèi)網(wǎng)所存在風(fēng)險能夠精確掌握。

新上線安全設(shè)備及軟件與現(xiàn)有生產(chǎn)環(huán)境兼容，在不影響正常業(yè)務(wù)的情況下，全面保障集團(tuán)生產(chǎn)運(yùn)行。

對生產(chǎn)網(wǎng)（車間接入）和辦公網(wǎng)邊界進(jìn)行隔離，確保辦公網(wǎng)對生產(chǎn)網(wǎng)訪問的安全性。

技術(shù)人員對生產(chǎn)網(wǎng)中入侵、異常行為能夠及時發(fā)現(xiàn)，對現(xiàn)場設(shè)備進(jìn)行深度防護(hù)。

管理人員、技術(shù)人員對整個工控系統(tǒng)各類設(shè)備運(yùn)行狀況、安全狀況能實現(xiàn)統(tǒng)一管理。

依據(jù)等保2.0最新要求和集團(tuán)工業(yè)控制系統(tǒng)安全防護(hù)策略，方案整體拓?fù)鋱D如下：

根據(jù)前期客戶交流，本次項目方案整體按照等保要求，從建立分區(qū)分域控制體系，構(gòu)建縱深防御體系兩個方面出發(fā)，全面建設(shè)集團(tuán)儀表計量檢測中心兩條生產(chǎn)線DCS控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系，在滿足合規(guī)要求的同時，達(dá)到整體網(wǎng)絡(luò)安全態(tài)勢可視的目標(biāo)。

方案在總體架構(gòu)上按照區(qū)域邊界保護(hù)思路進(jìn)行，將儀表計量檢測中心工控系統(tǒng)和外部系統(tǒng)從結(jié)構(gòu)上劃分為不同的安全區(qū)域，以安全區(qū)域為單位進(jìn)行安全防御技術(shù)措施的建設(shè)，從而構(gòu)成了分域的安全控制體系。

技術(shù)方面，首先建設(shè)集團(tuán)工控系統(tǒng)安全管理中心，從安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境三個維度進(jìn)行安全技術(shù)和措施的設(shè)計，保證業(yè)務(wù)應(yīng)用的可用性、完整性和保密性保護(hù)；其次，聯(lián)動安全設(shè)備。在充分考慮各種技術(shù)的組合和功能的互補(bǔ)性后，對確認(rèn)的重大威脅或攻擊進(jìn)行聯(lián)動防護(hù)，為DCS控制系統(tǒng)提供多重安全措施的綜合防護(hù)能力，從外到內(nèi)形成縱深的安全防御體系，保障系統(tǒng)整體的安全保護(hù)能力。

根據(jù)等保2.0合規(guī)要求，項目方案采用分級的辦法，對于同一安全等級系統(tǒng)采取強(qiáng)度一致的安全措施，并采取統(tǒng)一的防護(hù)策略，使各安全措施在作用和功能上相互補(bǔ)充，形成動態(tài)的防護(hù)體系。

通過基于安全大數(shù)據(jù)分析的企業(yè)級工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺建設(shè)，實現(xiàn)以威脅情報中心為信息源，主動掌握攻擊方最新活動軌跡及攻擊手段的能力。平臺可全程跟蹤安全事件及漏洞，將被動挨打轉(zhuǎn)化為主動出擊；依托強(qiáng)大的安全大數(shù)據(jù)處理能力，對公司全網(wǎng)進(jìn)行快速排查與分析，第一時間掌握企業(yè)安全態(tài)勢，做到全局把控，避免出現(xiàn)攻擊事件突發(fā)情況，從企業(yè)內(nèi)部解決安全隱患。

企業(yè)希望在進(jìn)行工控安全綜合防護(hù)能力建設(shè)的同時能滿足等保合規(guī)要求，因此項目方案中應(yīng)用的工控安全防護(hù)體系、機(jī)制和關(guān)鍵技術(shù)對標(biāo)了等保2.0中工業(yè)控制系統(tǒng)安全擴(kuò)展要求，并結(jié)合企業(yè)實際工業(yè)網(wǎng)絡(luò)情況進(jìn)行建設(shè)，既提升了對重要工業(yè)控制系統(tǒng)的防護(hù)能力又滿足了企業(yè)合規(guī)需求。

“一張卡片看清風(fēng)險，一頁報告看清始末”，本項目中建設(shè)的工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺，能為企業(yè)安全運(yùn)維人員展示企業(yè)基本信息以及發(fā)生的安全事件和處置的狀態(tài)、以及系統(tǒng)和資產(chǎn)的安全狀態(tài)、企業(yè)面臨的安全風(fēng)險等等，方便安全運(yùn)維人員及時掌握整個企業(yè)的安全狀況；

一鍵生成安全運(yùn)營及分析報告可解放安全運(yùn)維人員以往需要人工編寫分析運(yùn)營報告的工作量，大大提升工作效率；

當(dāng)發(fā)生安全事件時，運(yùn)維人員可以從平臺上獲取詳細(xì)的安全事件分析溯源取證信息及專家處置建議指導(dǎo)，節(jié)省分析研判時間，獲得更多響應(yīng)處置時間。