背景介绍
随着“中国制造2025”的深度推进，信息技术在工业企业的生产经营中的应用越来越广泛。在大幅提升了生产效率的同时，一定程度上也增加了企业安全生产管理的难度。由于原本相对独立的工业控制系统越来越多地与企业管理网互联互通，而企业的管理网络本身又是一个相对开放的网络，这为信息系统的安全威胁向生产系统扩散提供了便利条件。与传统的企业信息系统不同，工业控制系统的信息安全直接影响到到生产安全。
现状分析
当前，我国智能制造呈现“数字化、智能化、网络化”的发展趋势，但是智能制造领域面临严峻的信息安全威胁。一方面，工业控制系统存在一定的漏洞和安全隐患。操作系统长期未升级、缺乏基本安全设置；生产系统与公用网络存在接口，相关安全机制存在严重安全隐患；野外设备普遍缺乏物理安全防护；远程无线通信系统缺乏接入认证和通信保密防护。另一方面，智能制造网络安全感知、防护体系几乎空白。我国目前的智能制造网络缺乏全网感知体系和终端设备监测手段，安全威胁能够长期潜伏不易发现，在攻击来临时无法察觉，在遭受攻击后无法追踪溯源。具体体现以下几个方面：
缺乏边界防护措施，系统易受攻击和感染
在一些智能生产环境中，工控系统往往与办公网络，与互联网直接连接，或者简单的VLAN逻辑隔离，不能做到有效的边界防护。
缺乏无线网络管控，无线网络易被利用
在智能工厂，大量使用无线网络，一些攻击者可以利用无线网络的脆弱性，实施攻击。
缺少网络准入管控手段，非法设备易接入
工控系统在日常生产运营和维护中，现场人员为了工作的便利，经常私自将笔记本、手机、ipad等设备接入到生产网络中，给系统带来隐患。
终端安全隐患突出
工业生产环境中移动介质使用的乱象，是病毒、木马、蠕虫等威胁进入生产系统的主要通经。再加上防病毒软件的安装不全面或者病毒库更新慢，难以保证工控系统不被攻击。
缺乏安全审计与威胁监测机制
由于缺乏完善的安全审计机制，对网络中存在的误操作、违规操作和远程运维操作以及病毒、木马等入侵行为无法感知与发现。
解决方案
（一）设计思路
我们针对以上工控系统的信息安全现状，提出如下的解决方案设计思路：
安全分区
根据工控系统业务的重要性、功能等因素划分不同安全区，在各安全区之间采取相应的防护措施。
“白名单”基线
从设备准入、通讯链路、协议、主机进程等方面构建白名单安全基线。
综合审计
建立多方面综合审计体系，包括设备接入审计、网络审计、操作审计及安全运维审计等。
态势感知
通过态势感知平台实时搜集，大数据关联分析，实时动态发现工控系统网络中的风险。
（二）安全设计
依据智能制造工控系统的典型架构，分为三层，即过程控制层（PCS）、制造执行层（MES）、资源管理层（ERP），对工控系统进行安全架构设计。
1边界防护
在制造执行层（MES）与资源管理层（ERP）和过程控制层（PCS）之间分别部署传统防火墙和工业防火墙，实现对不同层进行安全隔离与防护，减少安全事件在不同层级间“传染”现象发生。
2安全接入
在MES层部署网络准入控制设备，通过SNMP技术对交换机进行接管，实现对MES层管理系统和PCS层网络中私自接入网络设备（如笔记本、手机、ipad等）进行管控，从而解决因外接非法设备引起的网络安全问题。
3监测审计
在PCS层部署工控安全监测与审计管理系统。监测引擎通过获取交换机上的镜像流量进行分析、数据推送，管理系统对监测引擎进行管理，数据展现。从而实现对异常流量告警、记录、审计，为事后追溯、定位提供证据。
4终端防护
在PCS层部署终端安全管理系统，在操作员站、工程师站、接口机、MES操作站、MDC采集服务器等工业主机上安装工控安全卫士，构建白环境，实现对工业主机的进程白名单管理，移动存储介质管理，有效抵御未知病毒、木马、恶意程序等对工业主机的攻击，实现安全防护。
5安全运维
在ERP层路部署堡垒机，在运维终端时，进行集中登录认证、集中用户授权和集中操作审计。实现对运维人员的操作行为记录、审计，违规操作等行为的有效监督，为事后追溯提供依据。
6态势感知
在ERP层部署态势感知平台，对网络设备、安全设备进行统一管理，利用大数据关联分析，实时动态发现工控系统网络中的风险并预警，提升企业整体安全防护水平。
客户价值
满足合规性要求
符合网络安全法要求，满足等保2.0对工控系统的要求以及其他有关针对工控系统信息安全的政策、工作指南、标准等要求；
增强工控系统的安全性
保护工控系统免受病毒、木马、蠕虫等恶意代码以及黑客、敌对势力、国家组织等的恶意攻击；同时减少内部员工的误操作、违规操作等行为引起的善意攻击；
提升工控安全管理水平
通过态势感知平台，提升工作效率，节省运维人力，提升企业整体安全管理水平。