工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)技術(shù)要求本文件規(guī)定了工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)的功能要求、系統(tǒng)管理要求和性能要求。本文件適用于工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)的設(shè)計(jì)、開(kāi)發(fā)和測(cè)試。2規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款，其中，注日期的引用文件僅該日期對(duì)應(yīng)的版本適用于本文件：不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T20279信息安全技術(shù)網(wǎng)絡(luò)和終端隔離產(chǎn)品安全技術(shù)要求GB/T32919信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南GB/T42021-2022工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡(luò)架構(gòu)3術(shù)語(yǔ)和定義GB/T20279、GB/T25069、GB/T32919和GB/T42021-2022界定的以及下列術(shù)語(yǔ)和定義適用于本文工業(yè)互聯(lián)網(wǎng)industrialInternet新一代信息通信技術(shù)與工業(yè)經(jīng)濟(jì)深度融合的新型基礎(chǔ)設(shè)施、應(yīng)用模式和工業(yè)生態(tài)，通過(guò)對(duì)人、機(jī)、物、系統(tǒng)等的全面連接，構(gòu)建起覆蓋全產(chǎn)業(yè)鏈、全價(jià)值鏈的全新制造和服務(wù)體系[來(lái)源：GB/T42021-2022,3.1]工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)industrialInternetsecurityisolationandinformationferry位于工業(yè)互聯(lián)網(wǎng)不同安全域之間，在工業(yè)互聯(lián)網(wǎng)絡(luò)上實(shí)現(xiàn)安全域安全隔離與信息交換的產(chǎn)品。下列縮略語(yǔ)適用于本文件。CPU中央處理器(Centr文件傳輸協(xié)議(FileTransferProtocol)超文本傳輸協(xié)議(HyperTextTransferProtocol)2網(wǎng)際互連協(xié)議(InternetProtocol)媒體存取控制(MediaAccessControl)MQTT消息隊(duì)列遙測(cè)傳輸協(xié)議(MessageQucuingTelemotryTransport)MSTP多生成樹(shù)協(xié)議(MultipleSpanningTreeProtocol)NFS網(wǎng)絡(luò)文件系統(tǒng)(NetworkFileSystem)OPC對(duì)象鏈接與嵌入的過(guò)程控制(0LEforProcessControl)PLC可編程邏輯控制器(ProgrammableLogicController)簡(jiǎn)單郵件傳輸協(xié)議(SimpleMailTransferProtocol)生成樹(shù)協(xié)議(Spanning傳輸控制協(xié)議(TransmissionControlProtocol)用戶數(shù)據(jù)報(bào)協(xié)議(UserDatagramProtocol)5工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)描述工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)通常部署在工業(yè)互聯(lián)網(wǎng)不同安全域之間，保護(hù)工業(yè)互聯(lián)網(wǎng)平臺(tái)或網(wǎng)絡(luò)中的資產(chǎn)。如圖1所示，工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)通常由兩個(gè)獨(dú)立處理單元和一個(gè)專用隔離模塊組成。其中，兩個(gè)處理單元分別連接不同的安全域，同時(shí)經(jīng)隔離模塊實(shí)現(xiàn)數(shù)據(jù)擺渡，專用隔離部件可以是采用包含電子開(kāi)關(guān)并固化信息擺渡控制邏輯的專用隔離芯片構(gòu)成的隔離交換板卡，也可以是經(jīng)過(guò)安全加固并運(yùn)行專用信息傳輸邏輯控制程序的主機(jī)。專用隔離部件是兩個(gè)安全域之間唯一的可信物理通道。工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)用于連接兩個(gè)不同的安全域，實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)的兩個(gè)安全域之間的訪問(wèn)控制、協(xié)議轉(zhuǎn)換、內(nèi)容過(guò)濾和信息交換等功能。間的訪問(wèn)控制、協(xié)議轉(zhuǎn)換、內(nèi)容過(guò)濾和信息交換等功能。隔離模塊圖1工業(yè)互聯(lián)網(wǎng)安全隔離與信息交換系統(tǒng)功能橫塊示意圖6.1.1工業(yè)通信協(xié)議支持協(xié)議讀寫(xiě)方向控制等。工業(yè)數(shù)據(jù)采集協(xié)議支持工業(yè)數(shù)據(jù)采集協(xié)議支持要求包括：a)應(yīng)支持常見(jiàn)工控協(xié)議實(shí)時(shí)數(shù)據(jù)的點(diǎn)位級(jí)采集：b)應(yīng)支持通過(guò)代理組件采集0PCDA數(shù)據(jù)源：o)應(yīng)支持通過(guò)專用采集驅(qū)動(dòng)采集常見(jiàn)PLC內(nèi)外部寄存器數(shù)據(jù)實(shí)時(shí)數(shù)據(jù)：d)應(yīng)支持采集ModbusTCP協(xié)議常見(jiàn)功能碼數(shù)據(jù)的實(shí)時(shí)數(shù)據(jù)：應(yīng)支持多種轉(zhuǎn)發(fā)協(xié)議與監(jiān)控平臺(tái)互聯(lián)互通，如ModbusTCP、0PCU和狀態(tài)(可進(jìn)行數(shù)據(jù)量批次設(shè)置)對(duì)外發(fā)送到監(jiān)控平臺(tái)的功能。6.1.2通用數(shù)據(jù)傳輸協(xié)議支持通用數(shù)據(jù)傳輸協(xié)議支持要求包括：a)應(yīng)支持超文本傳輸協(xié)議HTTP協(xié)議深度解析與控制，如；信息獲取，傳輸文件，傳輸實(shí)體文件，搜索，獲取報(bào)文頭部等操作b)應(yīng)支持文件傳輸協(xié)議FTP協(xié)議深度解析與控制，如；認(rèn)證安全機(jī)制，目錄調(diào)整，主被動(dòng)傳輸模式，創(chuàng)建目錄，刪除目錄，收集文件信息詳細(xì)目錄，上傳文件，文件重命名等操作；c)應(yīng)支持SMB/CIFS、FTP、FTPS、NFS等多種通信協(xié)議進(jìn)行文件交換，支持文件內(nèi)容、類型過(guò)濾，支持重名處理機(jī)制，支持目錄內(nèi)子目錄同步；d)應(yīng)支持郵件傳輸協(xié)議SMTP、郵件接受協(xié)議POP3的深度解析與控制，如身份認(rèn)證，發(fā)送者地址郵件附件，獲取郵件，刪除某一郵件等操作，測(cè)試連接是否成功等；e)應(yīng)支持?jǐn)?shù)據(jù)庫(kù)協(xié)議在操作過(guò)程中深度解析與控制，如查詢，插入，刪除，更新，創(chuàng)庫(kù)，刪庫(kù)數(shù)據(jù)庫(kù)級(jí)別設(shè)置等應(yīng)用動(dòng)作深度控制f)應(yīng)支持國(guó)內(nèi)外常用的各種類型數(shù)據(jù)庫(kù)的同步，支持同構(gòu)、異構(gòu)數(shù)據(jù)庫(kù)之間的同步，同步數(shù)據(jù)可具體設(shè)置到字段級(jí)別6.1.3協(xié)議隔離不同安全域之間傳輸?shù)男畔⒘鲬?yīng)執(zhí)行網(wǎng)絡(luò)層協(xié)議剝離，以非TCP/IP的私有協(xié)議格式傳輸。6.2斷網(wǎng)續(xù)傳應(yīng)具有在網(wǎng)絡(luò)離線時(shí)緩存數(shù)據(jù)的功能，并在恢復(fù)網(wǎng)絡(luò)后能夠?qū)⒕彺鏀?shù)據(jù)上構(gòu)到監(jiān)控平臺(tái)時(shí)支持歷史數(shù)據(jù)可用存儲(chǔ)空間控制和歷史數(shù)據(jù)發(fā)布周期設(shè)置，支持續(xù)傳模式選擇：全部或變化。6.3多通道采集與轉(zhuǎn)發(fā)多通道采集與轉(zhuǎn)發(fā)要求包括a)數(shù)據(jù)采集應(yīng)支持多通道，通道可掛載多種設(shè)備的采集模式：b)數(shù)據(jù)轉(zhuǎn)發(fā)服務(wù)應(yīng)提供同時(shí)將數(shù)據(jù)上傳到多個(gè)監(jiān)控平臺(tái)的能力。46.4在線監(jiān)測(cè)應(yīng)支持監(jiān)測(cè)設(shè)備在線情況功能，同時(shí)支持在線檢測(cè)時(shí)對(duì)采集通道和轉(zhuǎn)發(fā)通道報(bào)文的監(jiān)控功能，支持在線監(jiān)控時(shí)觀察采集數(shù)據(jù)的變化情況，設(shè)備授權(quán)情況等功能。6.5訪問(wèn)控制6.5.1基于白名單的訪問(wèn)控制應(yīng)配置和應(yīng)用基于白名單的訪問(wèn)控制策略，默認(rèn)禁止白名單之外的網(wǎng)絡(luò)訪問(wèn)。6.5.2網(wǎng)絡(luò)層訪問(wèn)控制網(wǎng)絡(luò)層訪問(wèn)控制要求包括：a)應(yīng)基于源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)、傳輸協(xié)議等要求，進(jìn)行訪問(wèn)控制；b)應(yīng)支持開(kāi)啟STP協(xié)議、MSTP生成樹(shù)協(xié)議，防止網(wǎng)絡(luò)形成環(huán)路。6.5.3IP地址/MAO地址綁定應(yīng)支持自動(dòng)或手工綁定通信接口對(duì)端設(shè)備的接口IP地址和MAC地址，當(dāng)通信接口對(duì)端設(shè)備的IP地址和MAC地址與綁定列表不符時(shí)阻止通信6.5.4應(yīng)用層訪問(wèn)控制應(yīng)用層訪問(wèn)控制要求包括：a)應(yīng)識(shí)別和控制HTTP、FTP、TELNET等應(yīng)用層協(xié)議的訪問(wèn)；b)應(yīng)至少支持兩種工業(yè)應(yīng)用協(xié)議的訪問(wèn)控制。兩個(gè)處理單元之間應(yīng)采用專用的隔離部件，并確保兩個(gè)處理單元不能同時(shí)與專用隔離部件物理連通。6.7殘余信息保護(hù)應(yīng)保證分配的資源中不包含之前連接活動(dòng)中所產(chǎn)生的任何信息內(nèi)容。在與安全有關(guān)的操作被允許執(zhí)行之前，應(yīng)確保通過(guò)安全功能策略的檢查。6.9抗拒絕服務(wù)攻擊應(yīng)具備一定的抗拒絕服務(wù)攻擊能力，如SYNFlood攻擊、UDPFlood攻擊、IOMPFlood攻擊、TearDrop6.10雙機(jī)熱備應(yīng)具備雙機(jī)熱備的能力7系統(tǒng)管理要求7.1標(biāo)識(shí)和鑒別7.1.1唯一性標(biāo)識(shí)5應(yīng)保證所有用戶、設(shè)備、系統(tǒng)都具有唯一的標(biāo)識(shí)7.1.2管理員屬性定義應(yīng)為每個(gè)管理員規(guī)定與之相關(guān)的安全屬性，如管理員標(biāo)識(shí)、鑒別信息、隸屬組、權(quán)限等，并提供使用默認(rèn)值對(duì)創(chuàng)建的每個(gè)管理員的屬性進(jìn)行初始化的功能。7.1.3管理員角色應(yīng)區(qū)分管理員角色，能劃分為系統(tǒng)管理員、安全操作員和安全審計(jì)員，且三類管理員角色權(quán)限相互7.1.4基本鑒別應(yīng)保證任何用戶在執(zhí)行安全功能前都要進(jìn)行身份鑒別。若其采用網(wǎng)絡(luò)遠(yuǎn)程方式管理，還應(yīng)對(duì)可管理的IP、MAC地址進(jìn)行限制。應(yīng)能向管理角色提供除口令身份鑒別機(jī)制以外的其他身份鑒別機(jī)制(如證書(shū)、智能IC卡、指紋等鑒7.1.6超時(shí)鎖定或注銷當(dāng)已通過(guò)身份鑒別的管理角色空閑操作的時(shí)間超過(guò)規(guī)定值，在該管理角色需要執(zhí)行管理功能前，應(yīng)對(duì)該管理角色的身份重新進(jìn)行鑒別。7.1.7鑒別失敗處理應(yīng)為管理員登錄設(shè)定一個(gè)授權(quán)管理員可修改的鑒別嘗試閥值，當(dāng)管理員的不成功登錄嘗試超過(guò)閾值系統(tǒng)應(yīng)通過(guò)技術(shù)手段阻止管理員的進(jìn)一步鑒別請(qǐng)求。7.2安全管理7.2.1接口及管理安全接口及管理安全要求包括：a)應(yīng)支持業(yè)務(wù)接口和管理接口應(yīng)采用不同的網(wǎng)絡(luò)接口；b)管理接口及管理界面應(yīng)不存在己知的中、高風(fēng)險(xiǎn)安全漏洞。7.2.2管理信息傳輸安全當(dāng)需要通過(guò)網(wǎng)絡(luò)進(jìn)行管理時(shí)，應(yīng)能對(duì)管理信息進(jìn)行保密傳輸。7.2.3安全狀態(tài)監(jiān)測(cè)安全狀態(tài)監(jiān)測(cè)要求包括：a)對(duì)系統(tǒng)中的CPU、內(nèi)存、存儲(chǔ)空間等系統(tǒng)資源使用狀態(tài)進(jìn)行監(jiān)測(cè)：b)對(duì)系統(tǒng)的主要功能模塊運(yùn)行狀態(tài)進(jìn)行監(jiān)測(cè)7.3數(shù)據(jù)完整性6應(yīng)對(duì)儲(chǔ)存于設(shè)備中的鑒別數(shù)據(jù)和信息傳輸策略等關(guān)鍵數(shù)據(jù)采取完整性保護(hù)措施，避免被慕改。7.4日志審計(jì)管理日志審計(jì)管理要求包括：a)應(yīng)生成訪問(wèn)控制策略匹配的訪問(wèn)請(qǐng)求，包括允許及禁止的訪問(wèn)請(qǐng)求b)應(yīng)識(shí)別及抵御的各類攻擊行為。c)日志內(nèi)容應(yīng)包括日期、時(shí)間、源目的MAC地址、源目的IP地址、源目的端口號(hào)、協(xié)議類型；d)日志內(nèi)容應(yīng)包括工業(yè)協(xié)議的操作類型、操作對(duì)象、操作值等相關(guān)參數(shù)；e)日志內(nèi)容應(yīng)包括攻擊事件的類型及描述7.4.1系統(tǒng)日志生成系統(tǒng)日志生成要求包括：a)身份鑒別，包括成功和失敗；b)因鑒別失敗次數(shù)超過(guò)閥值而采取的禁止進(jìn)一步嘗試的措施；c)訪問(wèn)控制策略的增加、刪除、修改；d管理員的增加、刪除、修改：f)超過(guò)保存時(shí)限的審計(jì)記錄和自身審計(jì)日志的自動(dòng)刪除g)審計(jì)日志和審計(jì)記錄的備份與恢復(fù)；h)存儲(chǔ)空間達(dá)到閥值報(bào)警：i)其他事件。7.4.2系統(tǒng)日志內(nèi)容系統(tǒng)日志內(nèi)容至少應(yīng)包括日期、時(shí)間、事件主體、事件客體、事件描述等。7.4.3審計(jì)日志管理審計(jì)日志管理要求包括a)應(yīng)只允許投權(quán)管理員能夠?qū)徲?jì)日志進(jìn)行讀取、存檔、導(dǎo)出、刪除和清空等操作；b)