IEC最新發(fā)布IEC62443-3-2,解決工業(yè)自動化和控制系統(tǒng)的網(wǎng)絡(luò)安全問題

7月8日消息，對于如何保護(hù)工業(yè)自動化和控制系統(tǒng)（IACS）而言，沒有簡單的秘訣，這是有充分理由的。這是因為安全性是風(fēng)險管理的問題。每個IACS都會根據(jù)其所面臨的威脅，這些威脅的可能性，系統(tǒng)中的固有漏洞以及如果要破壞系統(tǒng)的后果給組織帶來不同的風(fēng)險。此外，擁有和運(yùn)營IACS的每個組織對風(fēng)險的承受能力也不同。IEC最新發(fā)布IEC62443-3-2，以規(guī)范工業(yè)自動化系統(tǒng)、包括SIS系統(tǒng)的信息安全設(shè)計。

工業(yè)自動化和控制系統(tǒng)的網(wǎng)絡(luò)安全

在工業(yè)行業(yè)大多數(shù)工廠都無法應(yīng)對網(wǎng)絡(luò)安全威脅。根據(jù)最近的IEC技術(shù)報告，其中一個關(guān)鍵問題是，這些工廠防范網(wǎng)絡(luò)威脅僅僅只能從IT（信息技術(shù)）的角度來構(gòu)建安全系統(tǒng)。負(fù)責(zé)安全的部門通常會忽略能源、制造、醫(yī)療保健或運(yùn)輸?shù)刃袠I(yè)中，系統(tǒng)連接現(xiàn)場設(shè)備的增長加速了曾經(jīng)是IT和運(yùn)營技術(shù)（OT）各個領(lǐng)域的融合。從網(wǎng)絡(luò)安全角度來看，挑戰(zhàn)在于，與業(yè)務(wù)系統(tǒng)不同，工業(yè)自動化和控制系統(tǒng)（IACS）實際上旨在簡化從不同網(wǎng)絡(luò)的訪問。這是因為工業(yè)環(huán)境必須應(yīng)對各種風(fēng)險。

IT安全同等地集中于保護(hù)數(shù)據(jù)的機(jī)密性、完整性和可用性，即所謂的“ C-I-A三合會”。但是，在OT領(lǐng)域，可用性至關(guān)重要。OT環(huán)境的優(yōu)先重點是健康和安全以及保護(hù)環(huán)境。在緊急情況下，為了能夠保護(hù)人員或最大程度地減少自然災(zāi)害的影響，因此至關(guān)重要的是，操作員必須及時獲得準(zhǔn)確的信息，并能夠迅速采取適當(dāng)?shù)拇胧?，例如切?a target="_blank">電源或停止運(yùn)行某些設(shè)備。

用于監(jiān)視工業(yè)設(shè)施中的電網(wǎng)以及工廠和機(jī)械的自動化系統(tǒng)通常依靠“默默無聞的安全性”，這反映了根深蒂固的心態(tài)，即由于沒人知道或關(guān)心其通信系統(tǒng)或數(shù)據(jù)，所以他們不需要保護(hù)它。但是，如今自動化系統(tǒng)現(xiàn)在可以擁有廣泛的通信網(wǎng)絡(luò)，越來越多的通信網(wǎng)絡(luò)直接或間接地到達(dá)數(shù)千個設(shè)施，而日益增加的威脅（故意的和無意的）則可能對人和設(shè)備造成嚴(yán)重傷害。

因此，對于這些流程工業(yè)自動化系統(tǒng)，適當(dāng)和有效的安全措施的改進(jìn)變得非常困難。例如，在IT領(lǐng)域，入侵檢測和防御系統(tǒng)（IDPS）處于防御惡意軟件的第一線。IDPS通常是竊聽網(wǎng)絡(luò)流量的軟件應(yīng)用程序。根據(jù)其配置方式，IDPS可以執(zhí)行從舉報入侵到采取旨在防止或減輕違規(guī)影響的措施之類的一切。 自動化系統(tǒng)面臨的挑戰(zhàn)是如何區(qū)分正常數(shù)據(jù)和可能造成危害的潛在入侵?jǐn)?shù)據(jù)。

國際標(biāo)準(zhǔn)基于全球最佳實踐為許多挑戰(zhàn)提供了解決方案。例如，IEC 62443旨在保持OT系統(tǒng)運(yùn)行。它可以應(yīng)用于任何工業(yè)環(huán)境，包括關(guān)鍵的基礎(chǔ)設(shè)施，例如電力公司、石油化工廠、核電廠，以及衛(wèi)生和運(yùn)輸領(lǐng)域。

康吉森主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品解決方案

主機(jī)安全防護(hù)系統(tǒng)是康吉森自主研發(fā)的一款針對工業(yè)主機(jī)（如操作員站、工程師站、MES服務(wù)器等）的主動防護(hù)系統(tǒng)。它結(jié)合工業(yè)控制系統(tǒng)業(yè)務(wù)連續(xù)性、可靠性、穩(wěn)定性的要求，以及工業(yè)控制系統(tǒng)軟件和設(shè)備更新頻率、通信和數(shù)據(jù)的特點，采用基于“白名單”的防護(hù)機(jī)制，有效阻止病毒木馬、惡意程序?qū)た刂鳈C(jī)的入侵和破壞；對工控主機(jī)系統(tǒng)薄弱環(huán)節(jié)進(jìn)行安全加固，提升工業(yè)主機(jī)自身防御能力；對接入工控主機(jī)的移存儲設(shè)備使用進(jìn)行權(quán)限管控和操作審計，徹底杜絕工控主機(jī)內(nèi)、外的安全隱患。

康吉森主機(jī)安全防護(hù)系統(tǒng)已在多領(lǐng)域的工控主機(jī)上進(jìn)行了部署與應(yīng)用，其防護(hù)效果與兼容性也得到各用戶單位的高度認(rèn)可。目前已應(yīng)用的行業(yè)包括：核工業(yè)、汽車制造、石油石化、煤炭化工、軌道交通、電力發(fā)電、市政、煙草等。

康吉森主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品架構(gòu)主要分為內(nèi)核層、服務(wù)層、管理與展示層三部分。

圖1 主機(jī)安全防護(hù)系統(tǒng)產(chǎn)品架構(gòu)

內(nèi)核層：通過系統(tǒng)內(nèi)核驅(qū)動，完成白名單策略匹配、外設(shè)控制、告警消息處理、軟件實時跟蹤、自身防護(hù)等操作請求及安全策略的執(zhí)行、分析、處理。

服務(wù)層：該層作為內(nèi)核層與展示層的支撐橋梁，保存了系統(tǒng)內(nèi)核層數(shù)據(jù)和告警等信息，同時為前端展示提供數(shù)據(jù)訪問接口。

管理與展示層：提供友好操作管理界面，為管理人員提供統(tǒng)一的策略配置、告警展示、日志管理及平臺管理等。

責(zé)任編輯：gt