“新基建”与工业互联网安全的春天.doc

“新基建”与工业互联网安全的春天（北京国基华电科技有限公司）建国以来，级别最高最严重的“新冠”疫情正在影响着人们的生活和一切，而新基建异常的火热。新基建全称为“新型基础设施建设”，它包含7大领域：5G基建、特高压、高铁轨道交通、新能源汽车充电桩、大数据中心、人工智能和工业互联网。这7大发力于科技端的基础设施建设，同时涉及诸多产业链提速发展，必将为国家经济增长提供新动力。一、工业互联网的机会工业互联网是智能制造发展的基础，可以提供共性的基础设施和能力。2018年5月31日，工信部发布工业互联网发展行动计划（2018-2020年）。发展目标为到2020年底，初步建成工业互联网基础设施和产业体系。进入到2020年，工业互联网和5G、AI等一同被纳入“新基建”重点领域，新基建的加速推进将促进工业互联网的进一步发展。工业互联网作为新一代信息技术与制造业深度融合的产物，对工业未来发展会产生革命性的影响。疫情肆虐全国甚至全球，工业互联网企业发挥自身特色，新技术新服务在医疗设施建设、医疗物资对接、疫情信息防控、复产复工等方面发挥了应有的效果。工业互联网平台的高效、快速响应也向社会展示了“互联互通、资源共享、智能协同”的价值。国内工业互联网的发展还将在5G加速落地的进程中受益。5G高连接速率、超低网络延时、海量终端接入、高可靠性等特征非常匹配工业互联网建设，越来越多的工业应用场景，在5G的技术支撑下变得可行。2019年11月19日工信部推出“5G+工业互联网”512工程推进方案。发展目标为到2022年，突破一批面向工业互联网特定需求的5G关键技术，“5G+工业互联网”的产业支撑能力显著提升。工业互联网也将成为5G的重要应用场景。5G与工业互联网的融合，可以与既有的研发设计系统、生产控制系统及服务管理系统等相结合，还可全面推动5G与垂直行业的研发设计、生产制造、管理服务等生产流程的深刻变革，实现制造业从单点、局部的信息技术应用向数字化、网络化和智能化转变。工业互联网走向“人-机-物”全面互联，极大扩展了网络空间的边界和功能，也打破了工业控制系统传统的封闭格局，使工业互联网控制层、设备层、网络层、平台层、数据层等安全问题大量暴露出来，线上线下安全风险交织叠加放大，安全形势更为复杂。二、工业互联网安全需求与应对面对工业互联网安全的新特征与新需求，北京国基华电科技有限公司（简称国基华电）在工控安全领域不断创新完善，构建全新的身份信任体系，提升威胁检测预警能力、风险防范能力、态势感知能力、攻防对抗能力、蜜罐诱捕溯源、应急响应能力。国基华电自主研发生产的国基华电主机加固V3.0、N-GAP8000安全隔离网闸、GJsec-SIDS/V2.0入侵检测、GJsec-LAS/V3.0日志审计系统、GJsec-OAS/V3.0堡垒机、GJsec-USG1000防火墙系列、GJsec-ICS/V2.0工业网络审计系统、GJ-NxSOC工控网络安全管理平台、结合漏洞扫描协同工作的资产风险管理系统、GJsec-SCA/V2.0配置核查、GJsec-POT3000蜜罐诱捕预警系统等产品，依托公司多年在能源行业专注优良的影响，已服务众多现场，同时也广泛应用于煤炭、石油、钢铁、港口、军队、公检法等各行业，运行良好并获得好评。三、工业互联网信息安全产品（一）国基华电主机加固V3.0核心防护系统根据等级保护GB/T 20272-2006信息安全技术-操作系统安全技术要求规定，同时响应能源行业文件要求，通过对主体和客体进行标记，主体不能随意更改权限，在很大程度上使非法访问受到限制，增加了访问控制的力度。国基华电主机加固V3.0为主辅机生产系统工控终端提供生命周期的安全管理，通过对文件的扫描建立白名单；通过对注册表的扫描，来检查系统的基线配置情况，提供一键配置基线的功能；支持基于数字签名的强身份认证，提供进程保护，防止重要进程被意外终止；有效防护恶意代码，提供网络访问控制功能，对端口外设管控，提供对网络数据流量的双向过滤；具有主机IPS功能，能够识别入侵行为或违法安全策略的操作，并自动做出阻断、报警等响应，确保终端的行为始终在受控信任范围内、实现对工控主机全面的安全防护，并保障工作站、服务器的可用性、可靠性和可信性。（二）工业日志审计系统按等级保护、ISO27001等规定中要求记录的相关日志作为数据源，根据不同的维度对采集的相应日志进行可视化统计，实现合规分析，并按法规文件要求留存6个月以上。GJSec-LAS/V3.0日志审计系统能够实时采集生产系统内各种安全设备、网络设备、主机、操作系统、业务系统等日志信息，协助用户进行安全分析及合规审计，及时、有效地发现安全事件及审计违规。该产品实现从生产系统内各种设备资产操作行为的产生、采集、综合分析与审计、到事件数据存储、备份整个审计日志的生命周期管理，通过集中化的审计日志管理系统，协助客户解决网络中日志分散、种类繁多、数量巨大的问题，提升安全运营效率。同时在生产系统全局上实现对全网资产日志数据的实时摘要监控，如事件总数、事件EPS趋势图、告警类型、告警数仪表盘等，使用户通过日志数据整体态势了解全网资产情况。（三）国基华电工业网闸国基华电严格遵照国家设计规范标准，针对工业控制领域信息化的特点与要求，开发生产N-GAP8000系列网闸。该产品利用网络隔离与访问控制技术，其安全、固化的操作系统，采用嵌入式LINUX系统内核，内、外网关取消所有网络功能，隔离工业生产网中的管理层与生产控制层，对重点数据提供高安全隔离的保护。N-GAP8000工业网闸支持 OPC、Modbus、S7、DNP3、IEC等工控协议，同时具有可定制的应用层解析功能，支持应用层特殊标记识别，满足不同应用环境需求等工业协议进行深度解析，保障生产系统的安全有序进行。（四）国基华电工业入侵检测系统越来越多的工业设备实现了智能化和网络化，通过工业控制系统网络传输成为实现针对工业控制系统网络攻击的主要方式。同时随着控制系统各种安全漏洞不断被发现，入侵者的技巧和破坏能力不断提高，且在实施入侵或攻击时往往同时采取多种入侵的手段，以保证入侵的成功几率。这些威胁对企业造成巨大的损失，我们需要利用入侵检测技术，实时监控网络资源，精确识别各种入侵攻击，防止入侵造成危害。在检测到入侵攻击时，能够及时报警，动态防御，减少入侵带来的损失。国基华电GJsec-SIDS/V3.0内置先进、可靠的工业协议威胁检测机制，能够在网络传输时给予及时报警，能够协助操作员识别安全威胁，防止网络攻击和敏感信息外泄等安全事件的发生。支持Modbus/TCP，Modbus/RTU，Modbus/ASCII，IEC 101/102/103/104，DNP3.0,CDT,DLT 645/1997，DLT 645/2007，Profinet，S7，FINS，EIP等主流工业控制系统通讯协议的深度解析。支持不少于3000条针对工业控制系统通讯协议的检测规则和入侵行为检测。 国基华电工业网络安全审计系统根据等级保护GB/T20271-2006信息安全技术-信息系统通用安全技术要求规定,同时根据国能安全【201536号国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知,国家发改委令2016年第92号电力监控系统安全防护规定等文件的要求,为保证企业业务操作数据不会被伪造的工业以太网报文、各种病毒木马、利用工控漏洞入侵、恶意违规操作等异常行为所破坏,保证业务操作的安全性和实时性，国基华电自主生产GJsec-ISC/V2.0工控网络安全审计系统。该产品可以提供直观的，包含网络告警信息的网络拓扑图，生成以时间为周期的系统网络安全分析报告，并给出相应的防御策略和事件溯源的报文源码，使用户在了解网络拓扑的同时获知网络告警分布，轻松掌握网络运行状况。电力、能源、冶金、石油、化工等各类过程自动化控制系统的一个鲜明特点就是系统的生产过程是基于复杂的数学模型，即变量之间存在一定的关联关系，这就要求我们在对数据的合规性、有效性等监测的同时，也能够对业务模型中数据的关联性做出相应的监测，国基华电工控网络安全审计系统充分考虑到各数据之间可能存在的关联系，针对工控网络敏感指令数据进行记录和异常检测，监测中心通过对网络通信数据流的深度解析还原后，可以对网络中传输的信息进行还原，支持对URL、脚本、文档、可执行文件等内容放入安全监测沙箱进行安全分析，通过提取其运行过程中的进程行为、网络行为、文件行为等动态行为等利用机器学习等智能分析手段，实现威胁分析及检测、上报，提升生产系统的威胁检测预警能力、减少风险。（五）控安全统一管理平台工控安全统一管理平台（GJsec-Nsoc1000）是面向工业互联网安全防护的综合管理系统，针对工控安全场景下，将控制系统内相关安全设备集中管理、集中监视等需求设计研发生产的工控安全管理类产品。产品整合工业防火墙、工业网闸、工业安全审计、日志审计、堡垒机等产品的统一管理、运行监视、安全日志统一审计等功能，可通过一个平台实现对全网工控安全设备的数据感知和策略管理，简化工控安全业务管理流程，增强工控安全数据的互联互通，保障工控安全设备的有效利用和安全功能的最大化。该产品具备强大的安全信息采集、分析和展现能力，可提供适应工业互联网环境安全监控和防护的综合研判管理功能。工控安全统一管理平台集工控安全监控、安全信息分析展现、工控异常告警、总体安全评估以及工控安全运维支撑多种能力于一身，为工业互联网用户安全运行保障提供了一站式的管理和监控。四、工业互联网的行业解决方案（一）电力行业对于工业互联网为代表的电网、发电生产控制系统要求极为严格，保障电网SCADA生产系统和发电DCS控制系统的网络空间安全至关重要。发电厂普遍采用高度自动化的生产技术装备和高度信息化的运营管理手段。与此同时，严峻的网络安全风险也如影随形。一旦遭受攻击，将带来巨大危害直接威胁到国民经济的发展和社会安定。国基华电通过十多年在电力能源行业的深耕细作，完善了能源互联网工控安全解决方案。通过建立边缘侧下沉、全场景覆盖、全业务保障、全时空响应、全能力重构的安全防护体系来加强电力物联网的建设。（二）其他行业国基华电在石油石化、钢铁、煤炭、港口行业同行业用户实现深度合作，深挖行业需求，打造具有本行业特点的工控网络安全产品和解决方案，能够更好的为各行业用户服务。国基华电专注网络安全领域10多年，将厚积薄发，持续深耕智慧大数据与工业互联网安全市场。同时将积极参与“新基建”，努力为国家的的工业互联网安全发展保驾护航、贡献力量。