讲解专家：电子六所衣然

一、工业控制系统基本概念

工业控制系统是对生产过程、工艺流程的监控和管理的集合；

工业控制系统是国家工业领域关键信息基础设施的核心系统；

工业控制系统五层架构：

现场设备层、现场控制层、过程监控层、生产管理层（MES层）、企业资源层（即L0-L4层）；

通常认为，以生产管理层为界，向上企业资源层是作为信息管理系统（可当作传统系统看待），向下是工业控制系统；

工业控制系统特点：

最注重系统的可用性，其次是完整性和保密性，即使是二级的工控系统，也需要冗余的结构；

性能需求：

实时性；适度的低吞吐量；低延迟和/或抖动是允许的；

从现场控制层到生产管理层实时性要求逐级放松；

通信：

许多专有的和标准的通讯协议；使用多种类型的传播媒介，包括专用的有线和无线（无线电和卫星）；网络是复杂的，有时需要控制工程师的专业知识；

人机交互：

对人和其他紧急交互的相应是关键；应严格控制对ICS的访问，但不应妨碍或干扰人机交互；

系统操作：

特定操作系统往往没有内置安全功能；软件变更必须小心进行，通常是由软件供应商操作；

eg：电厂DCS系统，操作员站要求7X24小时实时监控，不允许锁屏，身份鉴别的登录失败处理和超时锁定应该判定为不适用；

管理需求：

人身安全是最重要的，其次是过程保护；容错是必不可少的，即使是瞬间的停机也可能无法接受；主要的风险影响是不合规，环境影响，生命、设备或生产损失；

二、工控系统测评经验与分享

技术要求层级映射关系：

功能层次	技术要求
企业资源层	安全通用要求（物理环境、通信网络、计算环境、区域边界、管理中心）
生产管理层	安全通用要求（物理环境、通信网络、计算环境、区域边界、管理中心）安全扩展要求（通信网络、区域边界）
过程监控层	安全通用要求（物理环境、通信网络、计算环境、区域边界、管理中心）安全扩展要求（通信网络、区域边界）
现场控制层	安全通用要求（物理环境、通信网络、计算环境、区域边界、管理中心）安全扩展要求（物理环境、通信网络、计算环境、区域边界、管理中心）
现场设备层	安全通用要求（物理环境、通信网络、计算环境、区域边界、管理中心）安全扩展要求（物理环境、通信网络、计算环境、区域边界、管理中心）

针对性调研：

1. 对企业整体网络架构、系统网络拓扑分别进行调研；

2. 对安全物理环境的调研，尤其是室外物理机房、现场控制设备的物理位置及环境；

3. 对现场控制设备进行调研，如RTU、PLC、DPU等；（调研内容：品牌型号、物理位置、通讯方式、责任人）

4. 对工控系统的业务应用软件（包含逻辑编程软件、固件更新软件）的调研；

5. 对工控系统各层级设备间的通信协议进行调研，如MODBUS、OPC、RS-485、RS-232等；

测评指标选取：

1. 明确系统是否为管理信息类，如为管理信息类，则按照传统信息系统进行测试；

2. 若为生产类系统，需明确系统层级，系统处于L0-L3的哪一层或者哪几层；

3. 明确系统等级（S与A等级），通过备案表或定级报告进行确认，工控系统A的等级通常大于等于S的等级；

测评对象选择：

1. 安全物理环境：

系统机房、集控室、无人值守监控室等物理场所（室外控制设备物理环境）；

2. 安全通信网络：

交换机（非管理型二层交换机可以不作为测评对象进行抽选）、路由器等网络设备；防火墙、网闸、加密装置等安全设备；

3. 安全区域边界：

数传电台、无线网关等网络设备；网闸、防火墙、IDS、IPS、防病毒检测、安全审计等安全设备；

4. 安全计算环境：

服务器、操作终端；业务应用软件、实时/历史数据库软件、网络管理软件等；PLC遍成软件、DCS组态软件、SIS编程软件、通信配置软件、固件升级软件等；控制设备、智能仪表、机器人、带以太网通信的远程子站；磁盘阵列等存储设备；网络设备和安全设备等；

5. 安全管理中心：

安全运营中心、态势感知平台、审计系统等；

注意：抽选原则遵照28448，对于主备设备，均需要进行抽选，以验证主备的真实性；

DCS系统测评对象：

DCS系统由过程监控层、现场控制层和现场设备层构成：

过程监控层包括工程师站（ES）、历史站（HS）、操作员站（OS）等；

现场控制层包括DPU（有些厂家叫DCS控制器）；

现场设备层包括传感器、执行器、变送器、智能仪表等；

PLC系统测评对象：

PLC系统与DCS系统类似，同样由过程监控层、现场控制层和现场设备层构成：

过程监控层包括工程师站（ES）、操作员站（OS）等；

现场控制层包括PLC可编程逻辑控制器；（PLC的HMI人机交互界面、监控软件、PLC的遍成软件也是在测评范围之内）

现场设备层包括传感器、执行器、变送器、智能仪表等；

SCADA系统测评对象：

SCADA系统由过程监控层、现场控制层和现场设备层构成：

过程监控层包括工作站（OPS）、服务器（SR）等；（数据库软件）

现场控制层包括RTU和PLC等；（RTU\PLC编程软件、监控软件）

现场设备层包括传感器、执行器、变送器、智能仪表等；

工具验证测试：

1. 工具测试时机的选择：

停机、检修期进行工具验证；

非业务高峰期进行工具验证；

2. 工具测试对象的选择

若被测设备为主备冗余，选取备机进行工具测试；

若被测设备为冷备，选择备件进行工具测试；

3. 测试环境的模拟验证

若具有测试环境，则可以在测试环境中进行工具测试，模拟验证系统具有的安全问题；

4. 若条件不允许，则需企业出具攻击验证测试放弃声明；

现场控制设备测评：

目前好多设备都缺少身份鉴别、访问控制、安全审计等安全功能，都是以应用功能为前提进行设计的，在测评中需要关注：

1. 身份鉴别

测评实施关注控制设备上运行的程序及对应的数据集合是否有唯一性标识，以防止未经授权的修改；

2. 访问控制

测评实施关注控制设备收到操作命令后，能否检验下发操作命令的尚未程序或用户是否拥有执行该操作的权限；

3. 安全审计

测评实施关注控制设备是否采用实施审计跟踪技术，以确保及时捕获网络安全事件信息；

4. 数据完整性

测评实施关注控制设备设计文档或说明文档，确认是否在控制及操作指令远程传输时进行保证性保护；

5. 数据保密性

测评实施关注控制设备相关设计文档或说明文档，是否采用密码技术支持的保密性保护机制或采用物理保护机制，对控制设备内存储的有保密需要的数据、程序、配置信息等进行保密性保护；

（在进行此类测评对象的测评时，经常会在上位层、上位控制和管理设备上进行查看，注意不是查看其上位设备的安全功能；如果是以管理的形式进行保障，例如PLC编程专人负责，每次编程变更都有视频记录，需要核查管理情况的真实性）

六所测试经验分享：

结合对PLC产品测试的方法和结果，形成知识库，综合对PLC进行评判；

身份鉴别：

核查PLC上运行的程序及对应的数据集合与其上位控制设备或软件是否具有身份鉴别和唯一标识，如采用用户名和口令、数字证书的方式进行认证；

访问控制

核查监控软件和编程软件是否具有用户设定，若具有查看需要何种权限的用户才能对PLC进行控制与操作；

安全审计：

核查PLC编程如那件或监控软件的日志，确认是否包含控制器相关日志；亦或是核查固件升级软件，查看是否能够导出查看PLC自身的日志；

数据完整性和保密性：

1. 核查设计文档，判定PLC与其上位机和现场模块的通信采用何种通信协议，查看通信协议是否具有校验或保密机制；

2. 若条件允许，通过抓包分析工具和商用密码检测工具验证控制器通讯的完整性和保密性；

3. 若条件不允许，则与系统供应商进行技术交流，通过访谈或实验室验证形成知识库；

入侵防范：

1. 核查控制设备设计文档或说明文档，确定控制器需要启用的服务和业务端口情况；

2. 若条件允许，通过工控渗透工具集扫描查看是否启用高危的多余的端口以及工控安全漏洞的情况；

3. 若工具测试条件不允许，亦可查询CNVD和CNNVD，采用设备指纹和楼的那个指纹比对的方式发现漏洞，分析漏洞的风险等级；

测评机构能力建设：

1. 加强测评人员工控技术能力培训，增加工控专业人才的引进；

2. 增强测评机构工控实验环境建设和靶场的搭建；

3. 加强与工控厂商的沟通与技术交流；

【肥海豹】-网络安全等级保护（等保）-2020体系会-工控系统学习笔记相关推荐

等保浅尝-网络安全等级保护/等保2.0
一.等级保护是什么等保1.0,信息安全技术信息安全等级保护:等保2.0,信息安全技术网络安全等级保护网络安全等级保护是我国网络安全领域的基本国策.基本制度.等级保护标准在1.0时代标准的基础上 ...
网络安全等级保护2.0标准体系以及主要标准
等级保护2.0标准主要特点首先,我们来看看网络安全等级保护2.0的主要标准,如下图: 说起网络安全等级保护2.0标准的特点,马力副研究员表示,主要体现在以下三个方面: 一是,对象范围扩大.新标准将云 ...
聊聊网络安全等级保护“能力验证”：配置核查（Linux系统）
前言作为测评机构一定会知道每年会举行"能力验证"活动,申请认可和获准认可的合格评定机构通过参加能力验证活动(包括 CNAS 组织实施或承认的能力验证计划.测评机构间比对和测量审核 ...
一本英文书|让在华外资企业了解中国网络安全等级保护实施条例
前言:<中华人民共和国网络安全法>于2017年6月1日正式实施,这是中国网络安全领域的一部基础法律,为中国全面开展网络安全工作提供了重要的法律保障.<网络安全法>明确规定,中国 ...
二、网络安全等级保护制度的前世今生
一.开展网络安全等级保护工作的法律依据 1994年<计算机信息系统安全保护条例>(第147号)第九条明确规定,"计算机信息系统实行安全等级保护,安全等级的划分标准和安全等级保护的 ...
网络安全等保定级_信息安全技术网络安全等级保护定级指南发布，2020年11月1日正式实施！...
原标题:信息安全技术网络安全等级保护定级指南发布,2020年11月1日正式实施! 2019年5月13日,网络安全等级保护系列标准(基本要求.设计要求.测评要求)正式发布,并于2019年12月1日正式实 ...
医疗等保2.0｜新版测评标准对医疗行业网络安全等级保护提出了更高要求
更多专业文档请访问 www.itilzj.com 「编者按」: 等保不是安全建设的唯一目标但是必须达到的目标,等保2.0对医疗行业提出了更高的要求.获得可持续的安全保障是安全建设的重要目标,网络安 ...
我司工程师荣获2020年度网络安全等级保护测评体系建设工作表现突出个人
12月20日,2020中国网络安全等级保护和关键信息基础设施保护大会(以下简称大会)在南宁圆满召开.润成安全工程师麦卓群麦工,作为2020年度网络安全等级保护测评体系建设工作表现突出个人,在会上荣获表 ...
2020年网络安全等级保护执法典型案例汇总（截至2020年3月26日）
网络安全等级保护不仅是我国的基本国策,更是保障我国网络安全的重要举措,是各个单位都应高度重视,并持续投入改进的重要工作.随着社会各界网络安全等级保护工作的重视和了解程度的不断提高,等保测评不仅是各单位 ...

【肥海豹】-网络安全等级保护（等保）-2020体系会-工控系统学习笔记

一、工业控制系统基本概念

二、工控系统测评经验与分享

【肥海豹】-网络安全等级保护（等保）-2020体系会-工控系统学习笔记相关推荐

最新文章

热门文章