船舶網(wǎng)絡(luò)韌性-E26UR-E26標(biāo)準(zhǔn)保護(hù)、檢測(cè)措施落地技術(shù)對(duì)應(yīng)表章節(jié)保護(hù)措施技術(shù)措施涉及產(chǎn)品形態(tài)4.2.1安全區(qū)域網(wǎng)絡(luò)訪問(wèn)控制、協(xié)議過(guò)濾工業(yè)防火墻、工業(yè)網(wǎng)閘4.2.2網(wǎng)絡(luò)防護(hù)措施協(xié)議深度解析、流量控制、攻擊防范工業(yè)防火墻、監(jiān)測(cè)審計(jì)4.2.3反病毒，反惡意軟件，反垃圾郵件和惡意代碼防護(hù)應(yīng)用白名單、特征匹配、驅(qū)動(dòng)接管工控主機(jī)衛(wèi)士、USB保護(hù)裝置4.2.4訪問(wèn)控制網(wǎng)絡(luò)白名單、非法外聯(lián)、介質(zhì)管控、強(qiáng)防工控主機(jī)衛(wèi)士、介質(zhì)安檢站4.2.5無(wú)線通信無(wú)線準(zhǔn)入、訪問(wèn)控制、身份鑒別無(wú)線準(zhǔn)入控制系統(tǒng)4.2.6不可信網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)控制和通信隧道通信、傳輸加密、身份鑒別虛擬專用網(wǎng)絡(luò)VPN4.2.7移動(dòng)和便攜設(shè)備的使用網(wǎng)絡(luò)準(zhǔn)入、身份鑒別、行為管控網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)4.3.1網(wǎng)絡(luò)運(yùn)行監(jiān)測(cè)流量分析、準(zhǔn)入控制網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)、入侵檢測(cè)系統(tǒng)4.3.2CBS和網(wǎng)絡(luò)的診斷功能流量分析入侵檢測(cè)系統(tǒng)綜合船橋系統(tǒng)E26安全合規(guī)方案綜合船橋系統(tǒng)E26安全合規(guī)方案工業(yè)防火墻工控主機(jī)衛(wèi)士工控安全監(jiān)測(cè)與審計(jì)系統(tǒng)/IDSUSB綜合保護(hù)裝置移動(dòng)介質(zhì)安檢站無(wú)線/網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)工業(yè)互聯(lián)防火墻（VPN）圖例保護(hù)：安全區(qū)域條款號(hào)控制項(xiàng)詳細(xì)要求4.2.1安全區(qū)域一個(gè)安全區(qū)域可以包含多個(gè)CBS和網(wǎng)絡(luò)，所有的CBS和網(wǎng)絡(luò)都應(yīng)符合本UR和URE27中給出的安全要求絡(luò)一個(gè)安全區(qū)域的網(wǎng)絡(luò)應(yīng)在邏輯上或物理上與其他區(qū)域或網(wǎng)絡(luò)分隔開(kāi)提供所需安全系統(tǒng)的CBS應(yīng)歸入單獨(dú)的安全區(qū)域，并應(yīng)與其他安全區(qū)域在物理上進(jìn)行分隔航行和通信系統(tǒng)不得與機(jī)械、貨物系統(tǒng)處于同一安全區(qū)域無(wú)線設(shè)備應(yīng)置于專用安全區(qū)域本UR適用范圍之外的其他OT系統(tǒng)或CBS應(yīng)與本UR所要求的安全區(qū)域進(jìn)行物理分隔?；蛘?，如果這些OT系統(tǒng)滿足安全區(qū)域的相同要求，則這些OT系統(tǒng)可以是該安全區(qū)域的一部分應(yīng)當(dāng)能夠在不影響安全區(qū)內(nèi)CBS主要功能的情況下，手動(dòng)隔離一個(gè)安全區(qū)在安全控制策略的定義中，允許訪問(wèn)或在操作網(wǎng)絡(luò)的功能應(yīng)與技術(shù)程序和角色相關(guān)聯(lián)橫向分區(qū)、縱向分層工業(yè)防火墻工業(yè)互聯(lián)防火墻按照“橫向分區(qū)”、“縱向分層”的網(wǎng)絡(luò)劃分原則，“先邊界安全加固、后深入內(nèi)部防護(hù)”的防護(hù)思路，構(gòu)建安全可靠的網(wǎng)絡(luò)安全結(jié)構(gòu)；將船舶CBS系統(tǒng)每個(gè)業(yè)務(wù)分別作為一個(gè)安全區(qū)進(jìn)行管理。對(duì)于重要區(qū)域的每個(gè)層級(jí)分別進(jìn)行安全區(qū)域管控。保護(hù)：網(wǎng)絡(luò)防護(hù)措施條款號(hào)控制項(xiàng)詳細(xì)要求4.2.2網(wǎng)絡(luò)防護(hù)措施連接本UR適用CBS的網(wǎng)絡(luò)應(yīng)由防火墻或第4.2.1節(jié)規(guī)定的同等手段加以保護(hù)。網(wǎng)絡(luò)還應(yīng)受到保護(hù)，防止發(fā)生過(guò)高的數(shù)據(jù)流量和其他可能損害網(wǎng)絡(luò)資源服務(wù)質(zhì)量的事件本UR適用的CBS應(yīng)按照“最小功能”原則實(shí)現(xiàn)功能，如配置只提供必要能力，防止或限制非必要功能的使用，禁用或禁止不必要的功能、端口、協(xié)議和服務(wù)網(wǎng)絡(luò)設(shè)計(jì)應(yīng)包括限制數(shù)據(jù)流量的方法，以通過(guò)滿足預(yù)期的網(wǎng)絡(luò)數(shù)據(jù)流，并將拒絕服務(wù)（DoS）和網(wǎng)絡(luò)風(fēng)暴/高流量的風(fēng)險(xiǎn)降至最低。數(shù)據(jù)流量的估計(jì)應(yīng)至少考慮網(wǎng)絡(luò)容量、預(yù)期應(yīng)用的數(shù)據(jù)速度要求和數(shù)據(jù)格式訪問(wèn)權(quán)限管理保障重要業(yè)務(wù)應(yīng)用保證重要業(yè)務(wù)網(wǎng)絡(luò)帶寬降低泄密風(fēng)險(xiǎn)可信任的設(shè)備和流量接入抵御入侵攻擊禁止非必要應(yīng)用限速訪問(wèn)控制入侵攻擊防范最小權(quán)限防火墻網(wǎng)絡(luò)流量船舶CBS網(wǎng)絡(luò)安全防護(hù)的特殊要求傳統(tǒng)IT系統(tǒng)船舶控制系統(tǒng)對(duì)安全產(chǎn)品的要求性能非實(shí)時(shí)；高吞吐量；緊急交互不太重要；高延遲和抖動(dòng)是可以接受的。實(shí)時(shí)；適度的吞吐量；緊急交互的響應(yīng)是關(guān)鍵；

高延遲和/或抖動(dòng)是不能接受的。高實(shí)時(shí)性可用性可重新啟動(dòng)；

可容忍缺陷。重新啟動(dòng)是事故；

中斷必須有計(jì)劃和前預(yù)定時(shí)間；不能影響船舶CBS系統(tǒng)的正常運(yùn)行。FailOpen可靠性設(shè)計(jì)訪問(wèn)控制可以實(shí)施限制的訪問(wèn)控制。應(yīng)嚴(yán)格控制對(duì)船舶CBS的訪問(wèn)。只有可信任的設(shè)備可以接入網(wǎng)絡(luò)只有可信任的流量可以在網(wǎng)絡(luò)傳輸操作系統(tǒng)系統(tǒng)被設(shè)計(jì)為使用典型的操作系統(tǒng)；采用自動(dòng)部署工具使得升級(jí)非常簡(jiǎn)單。專有的操作系統(tǒng)，往往沒(méi)有內(nèi)置的安全功能；軟件變更必須小心進(jìn)行。不能進(jìn)行自動(dòng)化的補(bǔ)丁更新網(wǎng)絡(luò)通信標(biāo)準(zhǔn)通信協(xié)議，如HTTP、FTP。網(wǎng)絡(luò)開(kāi)放，通常與互聯(lián)網(wǎng)連接。許多專有的和標(biāo)準(zhǔn)的通訊協(xié)議；

網(wǎng)絡(luò)封閉，通常與互聯(lián)網(wǎng)無(wú)連接。支持船舶控制協(xié)議深度解析和管控不能依賴于頻繁更新規(guī)則庫(kù)生命周期3-5年的生存期。8-15年的生存期。8-15年的生存期物理環(huán)境例如：工作溫度：0~45℃例如：工作溫度：-40~75℃防鹽霧：三防漆抗振動(dòng)：M12加固型網(wǎng)絡(luò)接口抗電磁干擾：EMC4級(jí)A例如：工作溫度：-40~75℃防鹽霧：三防漆抗振動(dòng)：M12加固型網(wǎng)絡(luò)接口抗電磁干擾：EMC4級(jí)A需要一種基于主動(dòng)防御的網(wǎng)絡(luò)安全防護(hù)技術(shù)理念。適用于船舶CBS系統(tǒng)的工業(yè)防火墻白環(huán)境防護(hù)理念-國(guó)內(nèi)最早提出，運(yùn)行環(huán)境+行為邏輯雙重約束只有可信任的設(shè)備可以接入網(wǎng)絡(luò)，只有可信任的流量可以在網(wǎng)絡(luò)上傳輸。首次踏入業(yè)務(wù)行為邏輯的檢測(cè)基于無(wú)監(jiān)督學(xué)習(xí)的異常檢測(cè)與防護(hù)技術(shù)面臨問(wèn)題：（1）漏報(bào)誤報(bào)嚴(yán)重；（2）頻繁更新特征庫(kù)。無(wú)監(jiān)督學(xué)習(xí)技術(shù)中的隨機(jī)切割森林算法，作為異常檢測(cè)的解決方案可以處理非常高維的實(shí)時(shí)流數(shù)據(jù)，具有較高的準(zhǔn)確率和魯棒性。不會(huì)受限于傳統(tǒng)攻擊的特征，可自適應(yīng)工業(yè)客戶業(yè)務(wù)數(shù)據(jù)環(huán)境的不斷變化，進(jìn)而實(shí)現(xiàn)業(yè)務(wù)模型動(dòng)態(tài)建立，最終與工業(yè)客戶業(yè)務(wù)系統(tǒng)深度融合，將潛在威脅識(shí)別出來(lái)并可以阻止新的“零日”攻擊或APT攻擊?；诳蓴U(kuò)展標(biāo)記語(yǔ)言的伏羲工業(yè)協(xié)議深度解析引擎面臨問(wèn)題：（1）工業(yè)協(xié)議數(shù)量多；（2）私有協(xié)議無(wú)規(guī)約格式；（3）新協(xié)議適配慢。利用可擴(kuò)展標(biāo)記語(yǔ)言技術(shù)，開(kāi)發(fā)了面向未知協(xié)議描述和自動(dòng)化深度解析的“伏羲工業(yè)協(xié)議深度解析引擎”。方便快捷的實(shí)現(xiàn)工業(yè)私有協(xié)議功能碼級(jí)及值域級(jí)的協(xié)議解析和業(yè)務(wù)安全防護(hù)，新協(xié)議適配工作量降低90%。工業(yè)協(xié)議白名單-國(guó)內(nèi)最多的工業(yè)協(xié)議深度解析11365種知名端口協(xié)議的識(shí)別，國(guó)內(nèi)最多48種工業(yè)協(xié)議的深度解析，比第二名六方云多28種ModbusTCP/RTU、S7、OPCDA/UA常見(jiàn)的工業(yè)協(xié)議值域級(jí)細(xì)粒度的訪問(wèn)控制自定義工業(yè)協(xié)議解析引擎，自主開(kāi)發(fā)快速適配新的工業(yè)協(xié)議多維度的攻擊檢測(cè)與防護(hù)能力豐富的網(wǎng)絡(luò)功能-滿足船舶CBS網(wǎng)絡(luò)部署需求多種高可靠性功能-全方位保障船舶業(yè)務(wù)連續(xù)不間斷運(yùn)行1、端口聚合：把多條物理鏈路，聚合成一條邏輯鏈路可在提高可靠性的同時(shí)，提高傳輸帶寬。2、雙機(jī)熱備：支持主備和主主模式，雙機(jī)熱備，解決系統(tǒng)級(jí)高可靠性問(wèn)題。3、全電口bypass：工業(yè)防火墻整個(gè)工作過(guò)程，業(yè)務(wù)流量都能正常轉(zhuǎn)發(fā)，保障工業(yè)現(xiàn)場(chǎng)的業(yè)務(wù)不中斷。4、全球首個(gè)硬件級(jí)配置寫(xiě)保護(hù)：工業(yè)防火墻屬于關(guān)鍵安全設(shè)備，學(xué)習(xí)PLC，采用硬件級(jí)安全鎖，達(dá)到物理級(jí)保護(hù)安全策略不被篡改?？梢暱匆?jiàn)船舶CBS網(wǎng)絡(luò)鏈路黑管中流量組成，看透網(wǎng)絡(luò)性能迷霧，建立全視角流量地圖，從不同維度分析船舶CBS流量。深度解析船舶CBS流量的內(nèi)容，知悉協(xié)議傳輸指令和通信信息，滿足船舶CBS網(wǎng)絡(luò)全量審計(jì)。感知CBS網(wǎng)絡(luò)異常指令信息，感知CBS網(wǎng)絡(luò)通信異常，感知流量異常，感知入侵攻擊，觸發(fā)及時(shí)告警。船舶CBS網(wǎng)絡(luò)流量全流量無(wú)損存儲(chǔ)，數(shù)據(jù)包解碼，在線回溯全報(bào)文，實(shí)現(xiàn)全量憑據(jù)提取。多節(jié)點(diǎn)對(duì)比協(xié)議性能、單協(xié)議在多節(jié)點(diǎn)的變化趨勢(shì)，逐級(jí)鉆取，在線分析故障根因，快速解決性能問(wèn)題。全視角流量地圖異常流量感知網(wǎng)絡(luò)質(zhì)量KPI分析報(bào)文分析與下載可知可感可溯可析可界定可佐證業(yè)務(wù)故障快速定位原因，界定職責(zé)范圍。界定原因?yàn)榭焖俳鉀Q故障先決因素。流量回溯分析提供歷史時(shí)間點(diǎn)全流量，并進(jìn)行報(bào)文分析和文件還原，提供證據(jù)改進(jìn)或自證。邊界入侵檢測(cè)與安全審計(jì)異常流量感知，OT&IT融合10種安全能力檢測(cè)融合10種安全能力檢測(cè)，對(duì)工業(yè)流量、網(wǎng)絡(luò)流量、互聯(lián)網(wǎng)流量進(jìn)行全面檢測(cè)、分析、響應(yīng)：建立威脅可視化及分析能力，進(jìn)而起到預(yù)測(cè)、預(yù)防，并及時(shí)告警。工控協(xié)議指令監(jiān)測(cè)工業(yè)入侵檢測(cè)網(wǎng)絡(luò)入侵檢測(cè)病毒傳輸檢測(cè)異常報(bào)文檢測(cè)DDOS攻擊檢測(cè)威脅情報(bào)聯(lián)動(dòng)暴力破解檢測(cè)弱密碼檢測(cè)掃描行為檢測(cè)保護(hù)：反病毒，反惡意軟件，反垃圾郵件和惡意代碼防護(hù)條款號(hào)控制項(xiàng)詳細(xì)要求4.2.3反病毒，反惡意軟件，反垃圾郵件和惡意代碼防護(hù)應(yīng)對(duì)本UR適用的CBS進(jìn)行惡意軟件防護(hù)。具有操作系統(tǒng)的CBS可使用工業(yè)標(biāo)準(zhǔn)防病毒和反惡意軟件，操作系統(tǒng)應(yīng)保持最新?tīng)顟B(tài)，并安裝、維護(hù)定期更新防病毒和防惡意軟件，除非此類軟件的安裝影響到CBS的功能和服務(wù)水平（如實(shí)現(xiàn)實(shí)時(shí)任務(wù)的Ⅱ類和Ⅲ類CBS）。對(duì)于無(wú)法安裝防病毒、防惡意軟件的CBS，應(yīng)采用操作程序、物理保障措施或廠商推薦的方式進(jìn)行惡意軟件防護(hù)。反病毒：Ⅲ類和Ⅱ類CBS優(yōu)先選擇白名單機(jī)制產(chǎn)品Ⅲ類和Ⅱ類CBS優(yōu)先選用白名單機(jī)制產(chǎn)品白名單機(jī)制不需要升級(jí)庫(kù)和補(bǔ)丁抵御已知、未知病毒運(yùn)行占用資源少依賴基線不會(huì)誤攔截白名單機(jī)制產(chǎn)品黑名單機(jī)制需頻繁病毒庫(kù)只能防范已知病毒運(yùn)行占用大量資源存在一定誤殺概率殺毒軟件產(chǎn)品反病毒：基于運(yùn)行環(huán)境構(gòu)建業(yè)務(wù)基線，抵御病毒及惡意代碼建立計(jì)算環(huán)境“白名單”基于控制系統(tǒng)上位機(jī)、操作員站等設(shè)備的運(yùn)行環(huán)境，掃描建立可執(zhí)行程序白名單，阻斷病毒運(yùn)行白名單可以抵御高級(jí)內(nèi)存注入攻擊，識(shí)別內(nèi)存違規(guī)、可疑進(jìn)程并發(fā)出警報(bào)白名單庫(kù)部署后根據(jù)業(yè)務(wù)系統(tǒng)變化作少量變更，不需聯(lián)網(wǎng)獲取數(shù)據(jù)業(yè)務(wù)、進(jìn)程均位于白名單內(nèi)，不會(huì)被隔離刪除，并可保持系統(tǒng)以最佳性能運(yùn)行可執(zhí)行禁止執(zhí)行USB保護(hù)裝置構(gòu)建嵌入式設(shè)備病毒防范能力嵌入式設(shè)備（非通用計(jì)算平臺(tái)）①②③④物理封堵USB接口（鑰匙可打開(kāi)）安全U盤經(jīng)安檢站查毒后，生成無(wú)毒標(biāo)記存在無(wú)毒標(biāo)記的安全U盤，方可被USB保護(hù)裝置識(shí)別USB保護(hù)裝置識(shí)別將U盤數(shù)據(jù)加載到嵌入式系統(tǒng)中，完成數(shù)據(jù)同步工業(yè)級(jí)鍵盤鼠標(biāo)方便運(yùn)維移動(dòng)介質(zhì)安檢站4G物聯(lián)網(wǎng)自動(dòng)更新病毒庫(kù)USBtypeA3.0雙病毒引擎動(dòng)態(tài)更新全金屬機(jī)身穩(wěn)固可靠高敏電容觸控屏極簡(jiǎn)操控安全鎖具設(shè)計(jì)防拆解RJ45電口整機(jī)電源開(kāi)關(guān)USB綜合保護(hù)裝置特制安全U盤保護(hù)：訪問(wèn)控制-網(wǎng)絡(luò)接入點(diǎn)的物理訪問(wèn)控制條款號(hào)控制項(xiàng)詳細(xì)要求4.2.4訪問(wèn)控制.3網(wǎng)絡(luò)接入點(diǎn)的物理訪問(wèn)控制連接Ⅱ類和/或Ⅲ類CBS的船載網(wǎng)絡(luò)的接入點(diǎn)除非在監(jiān)督下或根據(jù)文件規(guī)定的程序(如維護(hù))進(jìn)行連接，否則應(yīng)在物理上和/或邏輯上進(jìn)行隔離。如訪客有臨時(shí)連接的需求(如打印文件)，應(yīng)使用與所有船載網(wǎng)絡(luò)或其他網(wǎng)絡(luò)(如訪客專用接入網(wǎng)絡(luò)或訪客娛樂(lè)活動(dòng)專用網(wǎng)絡(luò))隔離的獨(dú)立計(jì)算機(jī)。保護(hù)：以主機(jī)網(wǎng)絡(luò)隔離和跨區(qū)檢測(cè)實(shí)現(xiàn)綜合訪問(wèn)控制網(wǎng)絡(luò)隔離跨區(qū)檢測(cè)通過(guò)主機(jī)Agent網(wǎng)絡(luò)白名單技術(shù)，在Ⅲ類和Ⅱ類CBS中部署，根據(jù)業(yè)務(wù)需要建立Ⅲ類和Ⅱ類CBS內(nèi)部的訪問(wèn)關(guān)系，限制未授權(quán)接入點(diǎn)連接Ⅲ類和Ⅱ類CBS通過(guò)主機(jī)Agent違規(guī)外聯(lián)和跨區(qū)互聯(lián)檢測(cè)技術(shù)，發(fā)現(xiàn)跨區(qū)及互聯(lián)網(wǎng)連接行為，及時(shí)發(fā)現(xiàn)并告警隔離、檢測(cè)結(jié)合實(shí)現(xiàn)訪問(wèn)控制及違規(guī)監(jiān)測(cè)保護(hù)：網(wǎng)絡(luò)接入點(diǎn)的物理訪問(wèn)控制-主機(jī)網(wǎng)絡(luò)隔離設(shè)置船載主機(jī)的網(wǎng)絡(luò)連接規(guī)則列表，禁止非授權(quán)的網(wǎng)絡(luò)連接確保終端的網(wǎng)絡(luò)連接安全可信、阻斷病毒木馬的擴(kuò)散路徑支持自動(dòng)枚舉操作系統(tǒng)出站及入站網(wǎng)絡(luò)端口、協(xié)議、IP地址等連接狀態(tài)支持手動(dòng)添加出站及入站規(guī)則，支持定義規(guī)則名稱、程序路徑、協(xié)議類型、本地端口、遠(yuǎn)端端口、本地IP、遠(yuǎn)端IP以及允許或阻止策略保護(hù)：網(wǎng)絡(luò)接入點(diǎn)的物理訪問(wèn)控制-跨區(qū)檢測(cè)基于自定義ip地址和域名對(duì)違反規(guī)則的對(duì)外連接進(jìn)行監(jiān)測(cè)記錄并對(duì)非法的網(wǎng)絡(luò)連接進(jìn)行告警通過(guò)定期檢測(cè)網(wǎng)絡(luò)聯(lián)通性來(lái)判斷非法連接互聯(lián)網(wǎng)或跨區(qū)互聯(lián)的行為。工業(yè)場(chǎng)景非法外聯(lián)（跨區(qū)互聯(lián)）的幾種類型保護(hù)：訪問(wèn)控制-可移動(dòng)介質(zhì)控制條款號(hào)控制項(xiàng)詳細(xì)要求4.2.4訪問(wèn)控制.4可移動(dòng)介質(zhì)控制應(yīng)制定可移動(dòng)介質(zhì)的使用策略，程序規(guī)定將文件上傳到船舶系統(tǒng)或從船舶系統(tǒng)下載數(shù)據(jù)之前進(jìn)行掃描，通過(guò)數(shù)字簽名和/或水印檢查可移動(dòng)介質(zhì)是否存在惡意軟件和/或驗(yàn)證軟件合法性。參見(jiàn)4.2.7。介質(zhì)管控組合方案可強(qiáng)制執(zhí)行移動(dòng)介質(zhì)的病毒查殺動(dòng)作雙病毒引擎查毒無(wú)毒生成標(biāo)記帶毒無(wú)標(biāo)記生成①移動(dòng)介質(zhì)安檢站查毒②存儲(chǔ)介質(zhì)殺毒標(biāo)記生成③介質(zhì)權(quán)限校驗(yàn)④殺毒標(biāo)記驗(yàn)證“三位一體”介質(zhì)管控過(guò)程USB保護(hù)裝置/Agent+安全U盤+安檢站的組合，可強(qiáng)制執(zhí)行接入CBS的移動(dòng)介質(zhì)的病毒查殺，確保可移動(dòng)介質(zhì)控制殺毒標(biāo)記被寫(xiě)入安全U盤隱藏分區(qū)中，不可刪除、不可篡改向安全U盤中寫(xiě)入數(shù)據(jù)，殺毒標(biāo)記會(huì)被自動(dòng)清空主機(jī)衛(wèi)士可配置普通U盤、注冊(cè)U盤、讀權(quán)限、寫(xiě)權(quán)限、殺毒標(biāo)記驗(yàn)證等多級(jí)管控權(quán)限保護(hù)：訪問(wèn)控制-證書(shū)管理?xiàng)l款號(hào)控制項(xiàng)詳細(xì)要求4.2.4訪問(wèn)控制.5證書(shū)管理CBS和相關(guān)信息應(yīng)使用文件系統(tǒng)、網(wǎng)絡(luò)、應(yīng)用程序或數(shù)據(jù)庫(kù)特定的訪問(wèn)控制列表(ACL)進(jìn)行保護(hù)。船上和岸上人員的賬戶應(yīng)根據(jù)賬戶持有人的角色和責(zé)任，限制激活的時(shí)期，不再需要時(shí)予以注銷。船載CBS應(yīng)提供適應(yīng)其安全區(qū)域策略的訪問(wèn)控制，但不會(huì)對(duì)其主要功能目標(biāo)產(chǎn)生不利影響。需要強(qiáng)訪問(wèn)控制的CBS可能需要使用強(qiáng)加密密鑰或多因素身份驗(yàn)證來(lái)防護(hù)。允許完全訪問(wèn)系統(tǒng)配置和所有數(shù)據(jù)的管理員權(quán)限，只應(yīng)授予經(jīng)過(guò)適當(dāng)培訓(xùn)并在公司或船上承擔(dān)一部分角色，需要使用這些權(quán)限登錄系統(tǒng)的人員。當(dāng)相關(guān)人員不在船上后，管理員權(quán)限應(yīng)刪除。在任何情況下，管理員權(quán)限的使用應(yīng)始終限于功能需要。保護(hù)：訪問(wèn)控制-證書(shū)管理人員身份鑒別進(jìn)程訪問(wèn)控制人員具有主觀能動(dòng)性，通過(guò)增加身份鑒別措施，限制人員訪問(wèn)設(shè)備、系統(tǒng)的權(quán)限，實(shí)現(xiàn)安全管控進(jìn)程能訪問(wèn)系統(tǒng)資源（數(shù)據(jù)資源、網(wǎng)絡(luò)資源），限定進(jìn)程的數(shù)據(jù)資源和網(wǎng)絡(luò)資源權(quán)限，實(shí)現(xiàn)安全管控限制主體（人員、進(jìn)程）對(duì)資源的訪問(wèn)權(quán)限，實(shí)現(xiàn)證書(shū)管理雙因子認(rèn)證機(jī)制實(shí)現(xiàn)強(qiáng)身份鑒別及身份資源管理一臺(tái)主機(jī)上的一個(gè)用戶只能被一個(gè)USBKey綁定一個(gè)USBKey可以在多臺(tái)計(jì)算機(jī)上綁定在雙因子認(rèn)證登錄后拔掉USBKey，操作系統(tǒng)會(huì)進(jìn)入鎖屏狀態(tài)①用戶請(qǐng)求訪問(wèn)②接入U(xiǎn)SBKey③輸入認(rèn)證密碼④成功登錄操作系統(tǒng)雙因子USBKey綁定設(shè)備或系統(tǒng)用戶，實(shí)現(xiàn)CBS的強(qiáng)身份鑒別機(jī)制，同時(shí)滿足多因子認(rèn)證要求雙因子USBKey的分發(fā)和回收，實(shí)現(xiàn)管理權(quán)限的有效管控，維護(hù)最小系統(tǒng)訪問(wèn)權(quán)限列表授權(quán)用戶非授權(quán)用戶授權(quán)用戶登錄成功下發(fā)綁定策略工控主機(jī)衛(wèi)士USBKey登錄系統(tǒng)過(guò)程強(qiáng)制訪問(wèn)控制機(jī)制構(gòu)建資源管控能力基于業(yè)務(wù)需要或管理運(yùn)維需要，建立、維護(hù)CBS系統(tǒng)數(shù)據(jù)資源的訪問(wèn)控制列表非授權(quán)訪問(wèn)控制列表內(nèi)主體，無(wú)法訪問(wèn)CBS重要數(shù)據(jù)資源用戶、進(jìn)程主體文件、存儲(chǔ)設(shè)備、數(shù)據(jù)客體強(qiáng)制訪問(wèn)控制模型強(qiáng)制訪問(wèn)控制機(jī)制保護(hù)CBS資源不被篡改、泄露、損毀強(qiáng)制訪問(wèn)控制機(jī)制構(gòu)建資源管控能力核心規(guī)則是“不上讀、不下寫(xiě)”，控制信息只能由低到高流動(dòng)，滿足對(duì)數(shù)據(jù)的保密性要求BLP模型核心規(guī)則是“不下讀、不上寫(xiě)”控制信息只能由高到低流動(dòng)，滿足數(shù)據(jù)的可靠性要求Biba模型強(qiáng)制訪問(wèn)控制功能融合了BLP和Biba模型首先對(duì)主體(用戶)和客體（文件、程序）進(jìn)行安全級(jí)別定義，然后對(duì)不同安全級(jí)別的主客體制定讀寫(xiě)的基本訪問(wèn)控制策略保護(hù)：訪問(wèn)控制-最小權(quán)限策略條款號(hào)控制項(xiàng)詳細(xì)要求4.2.4訪問(wèn)控制.6最小權(quán)限策略任何允許訪問(wèn)本UR適用的CBS和網(wǎng)絡(luò)的用戶、程序或進(jìn)程應(yīng)僅擁有實(shí)現(xiàn)其功能必須的最小權(quán)限。能夠訪問(wèn)船上系統(tǒng)和網(wǎng)絡(luò)的進(jìn)程，其操作權(quán)限應(yīng)不高于完成預(yù)定任務(wù)所需的權(quán)限級(jí)別。所有新帳戶或進(jìn)程的默認(rèn)權(quán)限配置應(yīng)設(shè)置為盡可能低。在任何可能的情況下，應(yīng)僅限在需要的時(shí)候提升權(quán)限，例如只使用即將到期的權(quán)限和一次性使用的憑證。應(yīng)避免權(quán)限隨著時(shí)間的推移而積累，如通過(guò)定期審計(jì)用戶和進(jìn)程帳戶。白名單技術(shù)能限制進(jìn)程、應(yīng)用的最小化資源權(quán)限針對(duì)白名單程序資源調(diào)用做最小化控制，包括系統(tǒng)進(jìn)程、注冊(cè)表、可執(zhí)行文件、系統(tǒng)腳本、外設(shè)資源、網(wǎng)絡(luò)端口等資源最小化資源控制最大化提升攻擊成本和難度，將“好人辦壞事”所造成的后果控制在最小范圍內(nèi)ApplicationWhitelisting系統(tǒng)進(jìn)程注冊(cè)表可執(zhí)行文件系統(tǒng)腳本外設(shè)資源網(wǎng)絡(luò)端口系統(tǒng)資源最小化鎖定四重鎖定構(gòu)建具備病毒防范能力的最小業(yè)務(wù)基線系統(tǒng)鎖定鎖定工業(yè)主機(jī)運(yùn)行環(huán)境和資源符合基線策略的環(huán)境和資源允許訪問(wèn)阻止注入、溢出等攻擊鎖定工業(yè)主機(jī)的網(wǎng)絡(luò)環(huán)境；只允許與特定服務(wù)器進(jìn)行通信控制惡意代碼的傳播、擴(kuò)散網(wǎng)絡(luò)鎖定鎖定外接輸入設(shè)備的使用；提供安全的文件擺渡避免引入惡意程序外設(shè)鎖定鎖定工業(yè)主機(jī)應(yīng)用程序的運(yùn)行只有白名單的程序才可以運(yùn)行避免惡意代碼、非法程序的運(yùn)行應(yīng)用鎖定ApplicationWhitelisting保護(hù)：無(wú)線通信條款號(hào)控制項(xiàng)詳細(xì)要求4.2.5無(wú)線通信網(wǎng)絡(luò)事件不傳播到其他控制系統(tǒng)只有授權(quán)用戶才能訪問(wèn)無(wú)線網(wǎng)絡(luò)只有授權(quán)進(jìn)程和設(shè)備才使用無(wú)線網(wǎng)絡(luò)通信不能操作或公開(kāi)在無(wú)線網(wǎng)絡(luò)中傳輸?shù)男畔⒘骺亍⑿袨楣芾?、網(wǎng)絡(luò)安全、VPN隧道、無(wú)線AC等多合一支持七層的ACL網(wǎng)絡(luò)訪問(wèn)控制轉(zhuǎn)發(fā)與控制平面分離的軟件核心，效率極高支持RIP、OSPF、BGP、PBR等豐富的路由協(xié)議支持CAPWAP管理協(xié)議支持AC/AP跨三層和穿越NAT組網(wǎng)010203040506支持AP無(wú)線功率、信道和速率自動(dòng)調(diào)整支持Portal、短信、卡券、訪客等多種實(shí)用的認(rèn)證接入方式0708基于網(wǎng)絡(luò)安全和行為管理的多功能無(wú)線接入控制器保護(hù)：不可信網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)控制和通信

條款號(hào)控制項(xiàng)詳細(xì)要求4.2.6應(yīng)對(duì)本UR適用的CBS進(jìn)行保護(hù)，防止未授權(quán)訪問(wèn)和不可信網(wǎng)絡(luò)的威脅。應(yīng)提供用戶手冊(cè)，以控制對(duì)船載IT和OT系統(tǒng)的遠(yuǎn)程訪問(wèn)。并應(yīng)明確識(shí)別角色和功能權(quán)限。對(duì)于本UR適用的CBS，不應(yīng)暴露任何IP地址給非可信網(wǎng)絡(luò)。不能從不受信的網(wǎng)絡(luò)將數(shù)據(jù)包直接路由到安全區(qū)域。

與不可信網(wǎng)絡(luò)或通過(guò)不可信網(wǎng)絡(luò)進(jìn)行通信需要具有終端身份認(rèn)證、完整性保護(hù)、身份認(rèn)證和網(wǎng)絡(luò)或傳輸層加密的安全連接(如隧道)。應(yīng)確保有閱讀權(quán)限授權(quán)限制信息的保密性。保護(hù)：不可信網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)控制和通信-建立可信訪問(wèn)方式VPN的基本原理是利用隧道（Tunnel）技術(shù)，對(duì)傳輸報(bào)文進(jìn)行封裝，利用VPN骨干網(wǎng)建立專用數(shù)據(jù)傳輸通道，實(shí)現(xiàn)報(bào)文的安全傳輸。隧道技術(shù)使用一種協(xié)議封裝另外一種協(xié)議報(bào)文（通常是IP報(bào)文），而封裝后的報(bào)文也可以再次被其他封裝協(xié)議所封裝。對(duì)用戶來(lái)說(shuō)，隧道是其所在網(wǎng)絡(luò)的邏輯延伸，在使用效果上與實(shí)際物理鏈路相同。VPN隧道原始報(bào)文解封裝后報(bào)文封裝后的報(bào)文VPN可以在不改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)的情況下，建立虛擬專用連接，實(shí)現(xiàn)安全、可靠的遠(yuǎn)程訪問(wèn)連接。虛擬專用網(wǎng)絡(luò)VPN：保護(hù)和控制來(lái)自不可信網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)數(shù)據(jù)加密——對(duì)通過(guò)隧道的數(shù)據(jù)進(jìn)行封裝和加密，保障數(shù)據(jù)安全身份認(rèn)證——提供多重身份驗(yàn)證，保障登入者身份，包括不僅限于口令、密碼技術(shù)、生物技術(shù)等權(quán)限管控——根據(jù)UR的權(quán)限劃分，給用戶細(xì)粒度訪問(wèn)控制管控，指定用戶只分配權(quán)限內(nèi)資源暴露收斂——只有VPN的端口對(duì)外提供服務(wù)，UR可信環(huán)境中的端口不對(duì)外暴露VPN隧道VPN隧道客戶端對(duì)端網(wǎng)絡(luò)UR可信網(wǎng)絡(luò)保護(hù)：移動(dòng)和便攜設(shè)備的使用

條款號(hào)控制項(xiàng)詳細(xì)要求4.2.7只有當(dāng)進(jìn)行船舶操縱或運(yùn)維時(shí)，才允許使用移動(dòng)或便攜式設(shè)備與本UR適用的CBS和網(wǎng)絡(luò)相連接，其它情況應(yīng)物理或邏輯阻斷。船舶操縱使用的移動(dòng)和便攜設(shè)備應(yīng)記錄在清單上。在使用移動(dòng)、便攜設(shè)備進(jìn)行維護(hù)時(shí)，應(yīng)在清單中描述維護(hù)其信息。CBS所配備的移動(dòng)和便攜設(shè)備的連接端口信息應(yīng)包含在清單中，包括用于維護(hù)的連接端口。針對(duì).3中提到的物理可訪問(wèn)的計(jì)算機(jī)和獨(dú)立計(jì)算機(jī)以外的網(wǎng)絡(luò)端口應(yīng)禁止可移動(dòng)介質(zhì)的使用。

對(duì)于用于船員操作或供應(yīng)商維護(hù)的移動(dòng)和便攜式設(shè)備的連接端口，應(yīng)采取措施防止預(yù)定設(shè)備以外的連接。有關(guān)連接端口的信息應(yīng)包含在清單中。保護(hù)：移動(dòng)和便攜設(shè)備的使用-對(duì)入網(wǎng)的設(shè)備進(jìn)行強(qiáng)校驗(yàn)移動(dòng)和便攜設(shè)備入網(wǎng)管控方案關(guān)鍵在于三個(gè)點(diǎn)：可信“白設(shè)備”清單、準(zhǔn)入認(rèn)證、網(wǎng)絡(luò)行為管控。借助網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)，可以控制經(jīng)過(guò)授權(quán)的、合法、安全、值得信任的終端設(shè)備接入網(wǎng)絡(luò)，而未經(jīng)授權(quán)的終端不能接入，同時(shí)提供細(xì)粒度的使用控制和審計(jì)能力802.1X版本號(hào)名稱廠家終端類型MAC準(zhǔn)入認(rèn)證PortalMAC“白設(shè)備”行為控制協(xié)議/端口讀寫(xiě)下載入網(wǎng)位置網(wǎng)絡(luò)準(zhǔn)入NAC：移動(dòng)和便攜設(shè)備的使用管控和審計(jì)資產(chǎn)管控——錄入U(xiǎn)R上的移動(dòng)和便攜設(shè)備指紋，形成入網(wǎng)“白設(shè)備”清單，拒絕清單以外的設(shè)備入網(wǎng)網(wǎng)絡(luò)準(zhǔn)入——針對(duì)入網(wǎng)的設(shè)備可以配置入網(wǎng)控制策略，控制設(shè)備使用的設(shè)備類型、操作行為、入網(wǎng)位置（接入點(diǎn)位置）、協(xié)議、端口等端口掃描——配置端口白名單，定期全網(wǎng)掃描網(wǎng)絡(luò)環(huán)境，及時(shí)發(fā)現(xiàn)非法開(kāi)啟的端口，和物理或邏輯阻塞的端口監(jiān)測(cè)與審計(jì)——移動(dòng)和便攜設(shè)備入網(wǎng)后，監(jiān)測(cè)與審計(jì)其在網(wǎng)絡(luò)內(nèi)的行為網(wǎng)絡(luò)隔離——接入有線網(wǎng)絡(luò)的設(shè)備不可接入無(wú)線網(wǎng)絡(luò)，接入無(wú)線網(wǎng)絡(luò)后不可再接入有線網(wǎng)絡(luò)，實(shí)現(xiàn)“單歸屬”“白設(shè)備”清單443端口不可讀寫(xiě)檢測(cè)：網(wǎng)絡(luò)運(yùn)行監(jiān)測(cè)條款號(hào)控制項(xiàng)詳細(xì)要求4.3.1本UR適用的網(wǎng)絡(luò)應(yīng)持續(xù)監(jiān)測(cè)，并在發(fā)生故障或能力退化時(shí)報(bào)警監(jiān)測(cè)和防護(hù)過(guò)量流量監(jiān)測(cè)網(wǎng)絡(luò)連接監(jiān)測(cè)和記錄設(shè)備管理活動(dòng)監(jiān)測(cè)或防護(hù)非授權(quán)設(shè)備連接IDS應(yīng)該是被動(dòng)而不是主動(dòng)防護(hù)，主動(dòng)防護(hù)可能影響CBS性能檢測(cè)：網(wǎng)絡(luò)運(yùn)行監(jiān)測(cè)流控、行為管理、網(wǎng)絡(luò)安全、VPN隧道、無(wú)線AC等多合一支持七層的ACL網(wǎng)絡(luò)訪問(wèn)控制轉(zhuǎn)發(fā)與控制平面分離的軟件核心，效率極高支持RIP、OSPF、BGP、PBR等豐富的路由協(xié)議支持CAPWAP管理協(xié)議支持AC/AP跨三層和穿越NAT組網(wǎng)支持AP無(wú)線功率、信道和速率自動(dòng)調(diào)整支持Portal、短信、卡券、訪客等多種實(shí)用的認(rèn)證接入方式網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)可限制非授權(quán)設(shè)備接入工控協(xié)議規(guī)約檢測(cè)對(duì)不符合其規(guī)約規(guī)定的工控協(xié)議報(bào)文進(jìn)行檢測(cè)和告警，例如：SiemensS7、ModbusTCP、OPC、DNP3、IEC104、MMS、CIP、853等。關(guān)鍵事件監(jiān)測(cè)對(duì)工控系統(tǒng)的工程師站組態(tài)變更、操控指令變更、PLC下裝、負(fù)載變更等關(guān)鍵事件進(jìn)行實(shí)時(shí)監(jiān)控，并對(duì)異常關(guān)鍵事件進(jìn)行告警。入侵攻擊檢測(cè)通過(guò)分析網(wǎng)絡(luò)流量，檢測(cè)入侵攻擊行為，包括針對(duì)工業(yè)協(xié)議發(fā)起的攻擊、緩沖區(qū)溢出攻擊、木馬、蠕蟲(chóng)等，并實(shí)時(shí)地上報(bào)告警，保護(hù)企業(yè)工控系統(tǒng)和網(wǎng)絡(luò)架構(gòu)免受侵害。異常流量監(jiān)測(cè)可監(jiān)控業(yè)務(wù)中設(shè)備的網(wǎng)絡(luò)流量是否正常，對(duì)于流入流出流量異常的情況及時(shí)發(fā)現(xiàn)并告警。設(shè)備無(wú)流量監(jiān)測(cè)監(jiān)測(cè)某設(shè)備IP在一段時(shí)間內(nèi)的收發(fā)流量，無(wú)流量時(shí)間達(dá)到閾值則進(jìn)行實(shí)時(shí)報(bào)警，以便及時(shí)發(fā)現(xiàn)無(wú)法提供服務(wù)的工控設(shè)備。未知設(shè)備接入監(jiān)測(cè)對(duì)系統(tǒng)內(nèi)未知的設(shè)備接入進(jìn)行實(shí)時(shí)告警，迅速發(fā)現(xiàn)系統(tǒng)中存在的非法接入，在已確認(rèn)資產(chǎn)以外的設(shè)備則產(chǎn)生未