工业控制系统的信息安全等级保护工作.ppt

做好工业控制系统的做好工业控制系统的信息安全等级保护工作信息安全等级保护工作国家信息化专家咨询委员会委员 沈昌祥 院士党的十八大报告指出：世界仍然很不安宁。党的十八大报告指出：世界仍然很不安宁。，粮食安全、能源资源安全、网络安全等，粮食安全、能源资源安全、网络安全等全球性问题更加突出。全球性问题更加突出。党的十八大报告要求：建设下一代信息基础设党的十八大报告要求：建设下一代信息基础设施，发展现代信息技术产业体系，健全信息安施，发展现代信息技术产业体系，健全信息安全保障体系，推进信息网络技术广泛运用。全保障体系，推进信息网络技术广泛运用。高度关注海洋、太空、网络空间安全。高度关注海洋、太空、网络空间安全。3 3 2010年年“震网震网”病毒事件破坏了伊朗核病毒事件破坏了伊朗核设施，震惊全球，这标志着网络攻击从传设施，震惊全球，这标志着网络攻击从传统统“软攻击软攻击”升级为直接攻击电力、金融、升级为直接攻击电力、金融、交通、核设施等核心要害系统的交通、核设施等核心要害系统的“硬摧毁硬摧毁”，导致基础的工业控制系统破坏，对国，导致基础的工业控制系统破坏，对国家安全、社会稳定、经济发展、人民生活家安全、社会稳定、经济发展、人民生活安定带来严重损害安定带来严重损害4 4 2011年工信部发布了年工信部发布了关于加强工业控关于加强工业控制系统安全管理的通知制系统安全管理的通知，明确了重点领，明确了重点领域工业控制系统信息安全管理要求，对连域工业控制系统信息安全管理要求，对连接、组网、配置、设备选择与升级、数据、接、组网、配置、设备选择与升级、数据、应急等管理方面提出了明确要求应急等管理方面提出了明确要求5 5 信息安全等级保护是我国信息安全保障的信息安全等级保护是我国信息安全保障的基本制度，从基本制度，从技术技术和和管理管理两个方面进行安两个方面进行安全建设，做到可信、可控、可管，使工业全建设，做到可信、可控、可管，使工业控制系统具有抵御高强度连续攻击控制系统具有抵御高强度连续攻击（APT）的能力）的能力 一、工业控制系统安全需求一、工业控制系统安全需求7 7工业控制系统（工业控制系统（ICS）包括）包括:1、监控与数据采集（、监控与数据采集（SCADA）4、可编程逻辑控制器（、可编程逻辑控制器（PLC）2、分布式控制系统（、分布式控制系统（DCS）3、过程控制系统（、过程控制系统（PCS）5、应急管理系统（、应急管理系统（EMS）等）等8 8随着信息化不断深入，工控系统从封闭、随着信息化不断深入，工控系统从封闭、孤立的系统走向互联体系的孤立的系统走向互联体系的IT系统，采用系统，采用以太网、以太网、TCP/IP网及各种无线网网及各种无线网,控制协议控制协议迁移到应用层；采用标准商用操作系统、迁移到应用层；采用标准商用操作系统、中间件与各种通用软件，已变成开放、互中间件与各种通用软件，已变成开放、互联、通用和标准化的信息系统。因此，安联、通用和标准化的信息系统。因此，安全风险也等同于通用的信息系统全风险也等同于通用的信息系统9 9工控网络架构工控网络架构互联网互联网企业管理网企业管理网生产监控网生产监控网现场控制网现场控制网10101、实时性通信、实时性通信2、系统不允许重启、系统不允许重启3、人和控制过程安全、人和控制过程安全4、加入安全后，不影响控制流程、加入安全后，不影响控制流程5、通信协议多种多样、通信协议多种多样6、设备不易更换、设备不易更换7、设备生命周期为、设备生命周期为15-20年年特殊要求特殊要求:传统的传统的“封堵查杀封堵查杀”安全防护技术难以解决安全防护技术难以解决工控系统安全工控系统安全 二、信息安全等级保护二、信息安全等级保护适用于工业控制系统适用于工业控制系统1212工业控制系统网络架构是依托网络技术，工业控制系统网络架构是依托网络技术，将控制计算节点构建成为工业生产过程将控制计算节点构建成为工业生产过程控制的计算环境，是属于等级保护信息控制的计算环境，是属于等级保护信息系统范围系统范围1、将、将ICS按安全等级划分区域按安全等级划分区域国际标准化组织国际标准化组织ISA提出区域防护概念提出区域防护概念2、区域间通过唯一的管道通信、区域间通过唯一的管道通信3.、对区域间和区域内实施不同的安全策略、对区域间和区域内实施不同的安全策略 防止威胁在区域间交叉感染防止威胁在区域间交叉感染 遏制本区域内的入侵威胁遏制本区域内的入侵威胁1414按国家信息安全等级保护有关标准按国家信息安全等级保护有关标准和规定，确定定级对象：和规定，确定定级对象：一般先划分安全区域，可分为企业管理、一般先划分安全区域，可分为企业管理、生产监控和现场控制三个大区，每个安生产监控和现场控制三个大区，每个安全区内可按统一的生产业务流程、软硬全区内可按统一的生产业务流程、软硬件资源相对独立和管理责任明确三个条件资源相对独立和管理责任明确三个条件确定定级信息系统件确定定级信息系统再按其重要程度确定具体等级再按其重要程度确定具体等级1515用于冶金、化工、能源、交通、水利系统用于冶金、化工、能源、交通、水利系统领域的工业控制系统会涉及社会稳定和国领域的工业控制系统会涉及社会稳定和国家安全，多数系统属家安全，多数系统属3级以上，尤其是生级以上，尤其是生产监控现和现场控制系统含有大量的产监控现和现场控制系统含有大量的4级级系统系统 三、工业控制系统等级保护技术框架三、工业控制系统等级保护技术框架 针对计算资源（软硬件）构建保针对计算资源（软硬件）构建保护环境，以可信计算基（护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源为基础，层层扩充，对计算资源进行保护进行保护You canBe likeGod1、可信、可信You canBe likeGod2、可控、可控You canBe likeGod3、可管、可管 针对信息资源（数据及应用）构针对信息资源（数据及应用）构建业务流程控制链，以访问控制建业务流程控制链，以访问控制为核心，实行主体（用户）按策为核心，实行主体（用户）按策略规则访问客体（信息资源）略规则访问客体（信息资源）保证资源安全必须实行科学管理，保证资源安全必须实行科学管理，强调最小权限管理，尤其是高等强调最小权限管理，尤其是高等级系统实行三权分离管理体制，级系统实行三权分离管理体制，不许设超级用户不许设超级用户信息安全等级保护要做到信息安全等级保护要做到针对工业控制特点，按针对工业控制特点，按GB/17859要求，要求，构建在构建在 安全管理中心安全管理中心 支持下的支持下的 计算环境计算环境 区域边界区域边界 通信网络通信网络 三重防御体系是必要的，可行的三重防御体系是必要的，可行的具体设计可参照（具体设计可参照（GB/T25070-2010）1919 区域边界安全防护区域边界安全防护实实 现现通信网络安全互联通信网络安全互联 计算环境计算环境 可信免疫可信免疫2020安全管理中心支持下的计算环境、区域边界、安全管理中心支持下的计算环境、区域边界、通信网络三重防御多级互联技术框架：通信网络三重防御多级互联技术框架：2020边边界界防防护护系统系统 安全安全 审计审计安全管理中心安全管理中心 现场控制现场控制计算环境计算环境 生产监控生产监控计算环境计算环境 企业管理企业管理计算环境计算环境边边界界防防护护边边界界隔隔离离互联网互联网安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心二级二级一级一级21212121边边界界防防护护 现场控制现场控制计算环境计算环境 生产监控生产监控计算环境计算环境 企业管理企业管理计算环境计算环境边边界界防防护护边边界界隔隔离离互联网互联网 1）计算环境）计算环境 21212121系统系统 安全安全 审计审计安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心二级二级一级一级节点子系统通过在操作系统核心层、节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防系统层设置以了一个严密牢固的防护层，通过对用户行为的控制，可护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障恶意破坏提供支撑和保障安全保护环境为应用系统（如安全安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，使用安全保护环境所提供的安全机制，为应用提供符合三级要求的安全功能为应用提供符合三级要求的安全功能支持和安全服务支持和安全服务22222222 2）应用区域边界）应用区域边界 22222222系统系统 安全安全 审计审计安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心二级二级一级一级边边界界防防护护 现场控制现场控制计算环境计算环境 生产监控生产监控计算环境计算环境 企业管理企业管理计算环境计算环境边边界界防防护护边边界界隔隔离离互联网互联网区域边界子系统通过对进入和流出安全保护环境区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是三级信息系统的全策略的信息流经过边界，是三级信息系统的第第二道安全屏障二道安全屏障23232323 3）通信网络）通信网络 23232323系统系统 安全安全 审计审计安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心二级二级一级一级边边界界防防护护 现场控制现场控制计算环境计算环境 生产监控生产监控计算环境计算环境 企业管理企业管理计算环境计算环境边边界界防防护护边边界界隔隔离离互联网互联网通信网络子系统通过对通信数据包的保密性和通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是三级信息系统的安全得到了保障，是三级信息系统的外层安全外层安全屏障屏障 4）管理中心）管理中心 系统系统 安全安全 审计审计安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心安全管理中心二级二级一级一级边边界界防防护护 现场控制现场控制计算环境计算环境 生产监控生产监控计算环境计算环境 企业管理企业管理计算环境计算环境边边界界防防护护边边界界隔隔离离互联网互联网系统管理子系统负责对系统管理子系统负责对安全保护环境中的计算安全保护环境中的计算节点、安全区域边界、节点、安全区域边界、安全通信网络实施集中安全通信网络实施集中管理和维护，包括用户管理和维护，包括用户身份管理、资源管理、身份管理、资源管理、应急处理等，为三级信应急处理等，为三级信息系统的安全提供基础息系统的安全提供基础保障保障安全管理子系统是信息系统安全管理子系统是信息系统的的控制中枢控制中枢，主要实施标记，主要实施标记管理、授权管理及策略管理管理、授权管理及策略管理等。安全管理子系统通过制等。安全管理子系统通过制定相应的系统安全策略，并定相应的系统安全策略，并且强制节点子系统、区域边且强制节点子系统、区域边界子系统、通信网络子系统界子系统、通信网络子系统及节点子系统执行，从而实及节点子系统执行，从而实现了对整个信息系统的现了对整个信息系统的集中集中管理管理，为三级信息系统的安，为三级信息系统的安全提供了有力保障全提供了有力保障审计子系统是系统的审计子系统是系统的监督中监督中枢枢，安全审计员通过制定审，安全审计员通过制定审计策略，强制节点子系统、计策略，强制节点子系统、区域边界子系统、通信网络区域边界子系统、通信网络子系统、安全管理子系统、子系统、安全管理子系统、系统管理子系统执行，从而系统管理子系统执行，从而实现对整个信息系统的行为实现对整个信息系统的行为审计，确保用户无法抵赖违审计，确保用户无法抵赖违背系统安全策略的行为，同背系统安全策略的行为，同时为应急处理提供依据时为应急处理提供依据 四、坚持自主创新四、坚持自主创新,纵深防御纵深防御2626工控系统是定制的运行系统，其资源配工控系统是定制的运行系统，其资源配置和运行流程具唯一性和排它性特点，置和运行流程具唯一性和排它性特点，用防火墙、杀病毒、漏洞扫描不仅效果用防火墙、杀病毒、漏洞扫描不仅效果不好，而且今引起新的安全问题不好，而且今引起新的安全问题2727坚持自主创新，采用可信计算技术，使坚持自主创新，采用可信计算技术，使每个计算节点、通信节点都有可信保障每个计算节点、通信节点都有可信保障功能，那么，系统资源不会被篡改，处功能，那么，系统资源不会被篡改，处理流程不会被干扰破坏，使系统能按预理流程不会被干扰破坏，使系统能按预定的目标正确运行，定的目标正确运行，“震网震网”、“火焰火焰”等病毒攻击不查即杀等病毒攻击不查即杀2828坚持纵深防御，克服坚持纵深防御，克服“封堵查杀封堵查杀”被动局面被动局面1、加强信息系统整体防护，建设区域隔离、加强信息系统整体防护，建设区域隔离、系统控制的三重防护、多级互联体系结构系统控制的三重防护、多级互联体系结构2、重点做好操作人员使用的终端防护。把住、重点做好操作人员使用的终端防护。把住攻击发起的源头关，做到操作使用安全攻击发起的源头关，做到操作使用安全3、加强处理流程控制，防止内部攻击，提高、加强处理流程控制，防止内部攻击，提高计算节点自我免疫能力，减少封堵计算节点自我免疫能力，减少封堵29294、加强技术平台支持下的安全管理，基于安、加强技术平台支持下的安全管理，基于安全策略，与业务处理、监控及日常管理制度有全策略，与业务处理、监控及日常管理制度有机结合。机结合。5、加强系统层面安全机制，减少应用层面的、加强系统层面安全机制，减少应用层面的改动，梳理处理流程，制定控制策略，嵌入系改动，梳理处理流程，制定控制策略，嵌入系统内核，实现控制。统内核，实现控制。