一、案例概述

杭州安恒信息技術(shù)股份有限公司為某大型汽車制造業(yè)企業(yè)（以下簡稱“企業(yè)”）提供安全咨詢服務(wù)，為企業(yè)設(shè)計并建設(shè)了集安全合規(guī)管理、安全運(yùn)營維護(hù)和安全服務(wù)賦能于一體的工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知與綜合管控服務(wù)平臺。

二、需求分析

（一）行業(yè)特點(diǎn)及問題痛點(diǎn)分析

隨著信息技術(shù)不斷發(fā)展和改革的不斷深入，工業(yè)網(wǎng)絡(luò)安全在政治、經(jīng)濟(jì)和社會穩(wěn)定中具有舉足輕重的重要意義，如何有效保障企業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施正常運(yùn)行和不受侵害、統(tǒng)籌企業(yè)安全資源，是亟待解決的現(xiàn)實(shí)問題。

（二）實(shí)施目標(biāo)

通過建設(shè)該平臺，實(shí)時掌握各生產(chǎn)基地重要工業(yè)系統(tǒng)的網(wǎng)絡(luò)安全態(tài)勢；及時通報預(yù)警重大網(wǎng)絡(luò)安全威脅；形成企業(yè)和下屬各生產(chǎn)基地協(xié)調(diào)聯(lián)動的網(wǎng)絡(luò)安全處置工作機(jī)制；建設(shè)跨地域、跨部門的應(yīng)急指揮協(xié)同機(jī)制。

（三）業(yè)務(wù)應(yīng)用場景分析

汽車制造企業(yè)工業(yè)網(wǎng)絡(luò)安全防御體系仍需完善，工業(yè)安全檢測和感知能力不足。同時，集團(tuán)工業(yè)網(wǎng)絡(luò)安全工作涉及面廣，需要建立統(tǒng)一的管理平臺對各生產(chǎn)基地的安全態(tài)勢進(jìn)行統(tǒng)籌管理、協(xié)同推進(jìn)。

（四）預(yù)計收益

通過該平臺的建設(shè)保障企業(yè)生產(chǎn)系統(tǒng)的穩(wěn)定運(yùn)行，減少因網(wǎng)絡(luò)安全事故造成大的經(jīng)濟(jì)損失，持續(xù)為企業(yè)創(chuàng)造經(jīng)濟(jì)價值。同時本項(xiàng)目的實(shí)施將顯著提升汽車制造企業(yè)工業(yè)安全防護(hù)水平，促進(jìn)企業(yè)控制技術(shù)發(fā)展，促進(jìn)集團(tuán)網(wǎng)絡(luò)安全發(fā)展和人才培養(yǎng)。

三、建設(shè)內(nèi)容

（一）主要內(nèi)容

1.建設(shè)集團(tuán)級工業(yè)安全感知能力

為實(shí)時掌握該汽車制造企業(yè)各生產(chǎn)基地工業(yè)安全情況及動態(tài)，在發(fā)生安全隱患時可以進(jìn)行快速、精準(zhǔn)預(yù)警，為工業(yè)安全保障工作提供有效支撐。

2.建立工業(yè)網(wǎng)絡(luò)安全信息預(yù)警和通報機(jī)制

當(dāng)發(fā)生網(wǎng)絡(luò)安全事件、漏洞、隱患、惡意木馬病毒時，有針對性地發(fā)出通報預(yù)警。

3.形成安全合規(guī)監(jiān)督檢查機(jī)制

通過建立企業(yè)工業(yè)安全檢查機(jī)制，借助線上監(jiān)測加線下檢查形成管理合力，摸底該汽車制造企業(yè)各生產(chǎn)基地的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全狀況。

4.建立應(yīng)急響應(yīng)協(xié)同管理體系

針對各類工業(yè)網(wǎng)絡(luò)安全應(yīng)急事件，制定一體化的應(yīng)急預(yù)案，建立多級協(xié)同應(yīng)急處置機(jī)制和流程；在事后提供日志分析、數(shù)據(jù)恢復(fù)、線索檢索、攻擊驗(yàn)證等技術(shù)手段。

（二）技術(shù)架構(gòu)

1.總體技術(shù)架構(gòu)

平臺總體架構(gòu)設(shè)計遵照“分層解耦、異構(gòu)兼容”的原則，分為安全引擎層、安全中臺層和安全應(yīng)用層。

圖1 平臺架構(gòu)圖

2.業(yè)務(wù)應(yīng)用層

應(yīng)用層由安全可視化、安全管理工具集和安全技術(shù)支撐工具集三個模塊構(gòu)成，將該汽車制造集團(tuán)、生產(chǎn)基地和安全支撐機(jī)構(gòu)聯(lián)合起來，共同治理工業(yè)網(wǎng)絡(luò)安全問題。

3.安全中臺層

安全數(shù)據(jù)中臺提供對工業(yè)安全數(shù)據(jù)的統(tǒng)一接入、處理和存儲，實(shí)現(xiàn)安全數(shù)據(jù)匯聚、管理和統(tǒng)一的數(shù)據(jù)服務(wù)?？蓪⒏鞣N安全能力服務(wù)化，形成安全服務(wù)目錄，實(shí)現(xiàn)安全資源的靈活調(diào)度，從而對基礎(chǔ)安全能力進(jìn)行統(tǒng)一管理。

4.安全引擎層

安全引擎層為平臺運(yùn)行提供必要的基礎(chǔ)安全能力和數(shù)據(jù)來源，包括工業(yè)網(wǎng)絡(luò)資產(chǎn)測繪引擎、工業(yè)威脅檢測識別引擎、工業(yè)網(wǎng)絡(luò)攻擊誘捕引擎、工業(yè)網(wǎng)絡(luò)防御引擎、工業(yè)威脅情報管理引擎等。

（三）主要功能

1.安全可視化

態(tài)勢感知模塊以可視化應(yīng)用的方式對該汽車制造集團(tuán)態(tài)勢進(jìn)行展示，組建兩網(wǎng)（工控網(wǎng)、管理信息網(wǎng)）融合態(tài)勢感知大屏。

圖2 兩網(wǎng)（工控網(wǎng)、管理信息網(wǎng)）融合態(tài)勢感知大屏

2.安全管理工具集

（1）安全門戶

安全門戶為該汽車制造集團(tuán)和生產(chǎn)基地用戶提供統(tǒng)一的業(yè)務(wù)服務(wù)，主要包括工作資訊和支撐保障兩項(xiàng)。

（2）合規(guī)管理

主要包括現(xiàn)場檢查、安全自查兩個部分，通過系統(tǒng)管理檢查工作，收集檢查數(shù)據(jù)，評價檢查結(jié)果。

（3）通報預(yù)警

當(dāng)監(jiān)測到工業(yè)系統(tǒng)存在重大風(fēng)險隱患，或產(chǎn)生重大安全事件時，通過平臺進(jìn)行通報，被通報的工業(yè)網(wǎng)系統(tǒng)、管理信息網(wǎng)系統(tǒng)按期反饋處置結(jié)果。

（4）協(xié)同應(yīng)急

協(xié)同應(yīng)急主要用于發(fā)生安全事件判斷風(fēng)險較高時，或在重要會議、重大活動期間，及時通報預(yù)警網(wǎng)絡(luò)安全隱患，對應(yīng)急指揮期間各職能部門、重要行業(yè)部門、技術(shù)支持單位進(jìn)行綜合指揮。

3.安全技術(shù)支撐工具集

（1）資產(chǎn)管理

資產(chǎn)管理可將所有業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)設(shè)備、工控設(shè)備、安全設(shè)備、服務(wù)器及其之上承載的操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)、接口方式、硬件屬性、使用維護(hù)人員等信息均作為資產(chǎn)管理的內(nèi)容，提供資產(chǎn)錄入、管理、變更等管理功能。

（2）安全監(jiān)測

通過對全流量審計行為、Web攻擊監(jiān)測行為、郵件攻擊監(jiān)測行為、勒索病毒行為的監(jiān)測，并結(jié)合工業(yè)網(wǎng)絡(luò)場景下的安全監(jiān)測能力，幫助該企業(yè)快速定位在工業(yè)網(wǎng)絡(luò)安全場景下的安全事件難題。

（3）安全分析

平臺提供了五大建模管理方式，主要包括規(guī)則建模、安全事件關(guān)聯(lián)建模、安全事件統(tǒng)計建模、威脅情報建模和AI學(xué)習(xí)建模，利用分析引擎進(jìn)行數(shù)據(jù)深入分析。同時，在內(nèi)置模型中還專門定義了基于工控場景下的威脅模型，進(jìn)一步提高在工控場景下的威脅感知能力。

（4）資產(chǎn)畫像

工業(yè)資產(chǎn)畫像以采集到的各種數(shù)據(jù)為依據(jù)，通過安全建模分析，提供可視化工業(yè)資產(chǎn)畫像，主要包括：資產(chǎn)基本信息、風(fēng)險信息、訪問關(guān)系、行為畫像等。

（5）追蹤溯源

在確定攻擊事件后，回溯所有攻擊相關(guān)的網(wǎng)絡(luò)數(shù)據(jù)包，對系統(tǒng)近期的所有行為進(jìn)行串聯(lián)，確定攻擊事件的整個事件周期，展示整個攻擊事件的所有攻擊路徑。

4.安全運(yùn)營

（1）安全工作臺

為該汽車制造企業(yè)網(wǎng)絡(luò)安全運(yùn)維人員提供安全事件處置工作界面，并為用戶提供代辦工單狀態(tài)工作臺，方便用戶快速進(jìn)行需要處理的安全工單。

（2）運(yùn)行報告

通過對安全態(tài)勢數(shù)據(jù)進(jìn)行周期性歸納總結(jié)、統(tǒng)計分析，形成全網(wǎng)安全態(tài)勢分析報告，幫助用戶管理全網(wǎng)安全態(tài)勢變化。

（3）安全自動化編排響應(yīng)（SOAR）

基于安全分析能力和應(yīng)用能力，通過劇本編排，對復(fù)雜的分析、處置流程進(jìn)行集成整合，實(shí)現(xiàn)從靜態(tài)事件響應(yīng)到動態(tài)工作流跟蹤的轉(zhuǎn)變。

四、應(yīng)用效果

（一）建立集約化工業(yè)互聯(lián)網(wǎng)安全公共服務(wù)體系

通過對企業(yè)資產(chǎn)梳理、安全隱患監(jiān)測、安全事件分析研判、應(yīng)急響應(yīng)支持、安全態(tài)勢感知服務(wù)、安全運(yùn)營服務(wù)等，提高企業(yè)提供網(wǎng)絡(luò)安全公共服務(wù)的能力。

（二）提升企業(yè)多方協(xié)同管理能力

結(jié)合對企業(yè)建立監(jiān)測、預(yù)警、多方協(xié)同管理機(jī)制，形成面向企業(yè)總部集團(tuán)-分公司-智能工廠三級長效協(xié)同工作機(jī)制，全面提升企業(yè)多方協(xié)同作戰(zhàn)能力。

（三）建立企業(yè)安全合規(guī)管理機(jī)制

以《網(wǎng)絡(luò)安全法》、相關(guān)行業(yè)標(biāo)準(zhǔn)等為依據(jù)，建立該汽車制造企業(yè)安全合規(guī)管理機(jī)制。

（四）建立數(shù)據(jù)信息共享機(jī)制

平臺實(shí)現(xiàn)該汽車制造企業(yè)總部集團(tuán)與分公司和各生產(chǎn)基地的數(shù)據(jù)信息共享機(jī)制，形成數(shù)據(jù)上傳、下達(dá)，縱向與各級單位平臺的數(shù)據(jù)貫通和業(yè)務(wù)協(xié)同。

五、案例亮點(diǎn)和創(chuàng)新點(diǎn)

（一）數(shù)字化、集約化和服務(wù)化的公共服務(wù)技術(shù)創(chuàng)新

幫助該汽車制造企業(yè)提高日常安全監(jiān)測預(yù)警、研判分析能力，以及響應(yīng)處置效率；幫助下屬各級單位提高安全防護(hù)意識，顯著提高安全防護(hù)水平。降低企業(yè)網(wǎng)絡(luò)安全部門的管理成本。

（二）工業(yè)網(wǎng)絡(luò)安全場景安全數(shù)據(jù)采集與融合分析技術(shù)創(chuàng)新

汽車制造企業(yè)工業(yè)網(wǎng)絡(luò)場景具有網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、業(yè)務(wù)系統(tǒng)和設(shè)備類型多的特點(diǎn)，因此需要將安全數(shù)據(jù)采集能力與大數(shù)據(jù)智能分析能力進(jìn)行深度融合，形成工業(yè)互聯(lián)網(wǎng)專有的威脅分析模型，滿足企業(yè)對安全分析與追蹤溯源能力的需求。

（三）基于閉環(huán)安全管理機(jī)制的多級協(xié)同響應(yīng)處置技術(shù)創(chuàng)新

平臺可將總部集團(tuán)、分公司、生產(chǎn)基地和安全支撐機(jī)構(gòu)打通，開展聯(lián)合協(xié)同響應(yīng)，有效提高應(yīng)急響應(yīng)速度與處置效率。