工控安全基礎(chǔ)以及典型行業(yè)場景內(nèi)容提綱01典型工業(yè)業(yè)務(wù)場景與需求特點(diǎn)02工控安全/工業(yè)互聯(lián)網(wǎng)安全基礎(chǔ)場景-工業(yè)生產(chǎn)網(wǎng)絡(luò)已披露的工控漏洞部署在工業(yè)企業(yè)內(nèi)部的，用以實(shí)現(xiàn)生產(chǎn)現(xiàn)場各類生產(chǎn)設(shè)備、傳感器、執(zhí)行器、工控機(jī)等互聯(lián)，以及工業(yè)數(shù)據(jù)采集、工業(yè)操控與維護(hù)的網(wǎng)絡(luò)。與企業(yè)信息網(wǎng)（辦公網(wǎng)）相對應(yīng)特點(diǎn)可靠性：生產(chǎn)網(wǎng)絡(luò)是不允許中斷的，必須保證7*24小時的可靠性。因此，生產(chǎn)網(wǎng)絡(luò)通常采用嚴(yán)格的冗余以實(shí)現(xiàn)高可靠。高性能：特指性能和特性能夠滿足前端網(wǎng)絡(luò)的要求。例如：低時延、高帶寬、無丟包、抗惡劣環(huán)境等。安全性：為了保證絕對的安全性，生產(chǎn)網(wǎng)絡(luò)通常要求和其它網(wǎng)絡(luò)隔離?？赡苁墙^對的物理隔離，也可能是邏輯隔離，嚴(yán)格受限訪問。工業(yè)生產(chǎn)網(wǎng)-《工業(yè)互聯(lián)網(wǎng)園區(qū)網(wǎng)絡(luò)白皮書》工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟工業(yè)控制領(lǐng)域重要概念術(shù)語已披露的工控漏洞工業(yè)控制系統(tǒng)ICSDCS-集散控制系DistributedControlsystrmPLC-可編程邏輯控制器ProgrammableLogicControllerSCADA-數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)SupervisoryControlAndDataAcquisitionRTU-遠(yuǎn)程終端單元RemoteTerminalUnit工控協(xié)議Modbus，OPC、S7、Profinet、IEC60870-5-104、CIP、DNP3。?！，F(xiàn)場總線vs工業(yè)以太網(wǎng)組態(tài)軟件，MES，歷史數(shù)據(jù)庫；工程師站，操作員站；上位機(jī)，下位機(jī)工控廠商國外：西門子，施耐德，GE，霍尼，AB，橫河，歐姆龍，三菱。。。國產(chǎn)：和利時，浙大中控，上海新華。。。HMIPLCsRTUsSCADA歷史數(shù)據(jù)庫IT防火墻OAMES工業(yè)控制領(lǐng)域重要概念術(shù)語（續(xù)）工業(yè)控制系統(tǒng)

IndustrialControlSystem工業(yè)控制系統(tǒng)（ICS）是一個通用術(shù)語，它包括多種工業(yè)生產(chǎn)中使用的控制系統(tǒng)，包括監(jiān)控和數(shù)據(jù)采集系統(tǒng)（SCADA），分布式控制系統(tǒng)（DCS），和其他較小的控制系統(tǒng)，如可編程邏輯控制器（PLC），現(xiàn)已廣泛應(yīng)用在工業(yè)部門和關(guān)鍵基礎(chǔ)設(shè)施中。分布式控制系統(tǒng)

DistributedControlSystem以計(jì)算機(jī)為基礎(chǔ)，在系統(tǒng)內(nèi)部（單位內(nèi)部）對生產(chǎn)過程進(jìn)行分布控制、集中管理的系統(tǒng)。注：DCS系統(tǒng)一般包括現(xiàn)場控制級、控制管理級兩個層次，現(xiàn)場控制級主要是對單個子過程進(jìn)行控制，控制管理級主要是對多個分散的子過程進(jìn)行數(shù)據(jù)采集、集中顯示、統(tǒng)一調(diào)度和管理。數(shù)據(jù)采集和監(jiān)控系統(tǒng)

SupervisoryControlandDataAcquisitionSystem在工業(yè)生產(chǎn)控制過程中，對大規(guī)模遠(yuǎn)距離地理分布的資產(chǎn)和設(shè)備在廣域網(wǎng)環(huán)境下進(jìn)行集中式數(shù)據(jù)采集與監(jiān)控管理的控制系統(tǒng)。注：它以計(jì)算機(jī)為基礎(chǔ)、對遠(yuǎn)程分布運(yùn)行設(shè)備進(jìn)行監(jiān)控調(diào)度，其主要功能包括數(shù)據(jù)采集、參數(shù)測量和調(diào)節(jié)、信號報(bào)警等。SCADA系統(tǒng)一般由設(shè)在控制中心的主終端控制單元（MTU）、通信線路和設(shè)備、遠(yuǎn)程終端單位（RTU）等組成。可編程邏輯控制器

ProgrammableLogicController一種用于工業(yè)環(huán)境的數(shù)字式操作的電子系統(tǒng)，這種系統(tǒng)用可編程的存儲器作面向用戶指令的內(nèi)部寄存器，完成規(guī)定的功能，如邏輯、順序、定時、計(jì)數(shù)、運(yùn)算等，通過數(shù)字或模擬的輸入/輸出，控制各種類型的機(jī)械或過程。注：PLC主要執(zhí)行各類運(yùn)算、順序控制、定時等指令，用于控制工業(yè)生產(chǎn)裝備的動作，是工業(yè)控制系統(tǒng)的基礎(chǔ)單元。遠(yuǎn)程終端單元(RemoteTerminalUnit簡稱RTU）RTU負(fù)責(zé)對現(xiàn)場信號、工業(yè)設(shè)備的監(jiān)測和控制，是構(gòu)成企業(yè)綜合自動化系統(tǒng)的核心裝置，通常由信號模塊、微處理器、通訊設(shè)備、電源及外殼等組成，由微處理器控制，并支持網(wǎng)絡(luò)系統(tǒng)。它通過自身的軟件(或智能軟件)系統(tǒng)，可理想地實(shí)現(xiàn)企業(yè)中央監(jiān)控與調(diào)度系統(tǒng)對生產(chǎn)現(xiàn)場一次儀表的遙測、遙控、遙信和遙調(diào)等功能。典型工業(yè)控制設(shè)備PLCPLCRTU工控機(jī)觸摸屏PLCCNC工業(yè)機(jī)器人控制柜各類控制系統(tǒng)行業(yè)應(yīng)用分布應(yīng)用行業(yè)過程控制核電火電石化化工冶金水泥離散控制智能制造軍工制造市政煙草煤炭軌交自動化城鐵國鐵電網(wǎng)自動化電網(wǎng)調(diào)度變電、配電用電采集普遍使用DCS和SIS普遍使用SCADA、PLC、數(shù)控系統(tǒng)（CNC、DNC）、工業(yè)機(jī)器人（Robot）信號系統(tǒng)和綜合監(jiān)控（ISCS）電力監(jiān)控專用系統(tǒng)工業(yè)控制網(wǎng)絡(luò)經(jīng)典模型（普渡分層模型）已披露的工控漏洞企業(yè)資源層/L4生產(chǎn)管理層/L3過程監(jiān)控層/L2現(xiàn)場控制層/L1現(xiàn)場設(shè)備層/L0操作員站生產(chǎn)線操作員站生產(chǎn)線實(shí)時數(shù)據(jù)庫工程師站HMI工藝MES打印機(jī)ERPHROAINTERNET控制器/PLC控制器/PLCPLC可編程控制器

RTU遠(yuǎn)程終端

DCS分布式控制器

IED智能電子設(shè)備

SCADA數(shù)據(jù)采集監(jiān)控系統(tǒng)ICS工業(yè)控制系統(tǒng)工控網(wǎng)絡(luò)與IT網(wǎng)絡(luò)的5大核心差異全封閉性：網(wǎng)絡(luò)封閉/應(yīng)用封閉，特別是向半封閉開放的過程中面臨的高風(fēng)險(xiǎn)。意味著安全產(chǎn)品需要識別防護(hù)私有的流量、威脅、脆弱性等高可用性：業(yè)務(wù)連續(xù)性，可用性>保密性，重啟、打補(bǔ)丁等都是高危行為，意味著安全產(chǎn)品穩(wěn)定性的高、生命周期長（5~10+）、以及運(yùn)維的思維轉(zhuǎn)變（先通再控）等高實(shí)時性：交互實(shí)時性高，意味著安全產(chǎn)品時延敏感高規(guī)律性：業(yè)務(wù)穩(wěn)定，意味著終端、網(wǎng)絡(luò)環(huán)境穩(wěn)定有規(guī)律性，容易建立基線模型高差異性：行業(yè)場景、安全要求、運(yùn)維能力差異較大，碎片化比傳統(tǒng)信息場景更為突出全封閉性高可用性高實(shí)時性高規(guī)律性高差異性12345工控網(wǎng)絡(luò)特點(diǎn)與安全風(fēng)險(xiǎn)控制系統(tǒng)普遍存在漏洞。一旦部署很難升級。硬件無法擴(kuò)展。CPU、內(nèi)存、硬盤等資源低配，無法安裝成熟的安全防護(hù)軟件，與新的應(yīng)用軟件兼容性差。軟件不升級或無法升級。系統(tǒng)老舊（WinNT/XP/7），系統(tǒng)不升級，不打安全補(bǔ)丁，漏洞百出，帶毒運(yùn)行。遠(yuǎn)程運(yùn)維風(fēng)險(xiǎn)無法感知。廠商通過預(yù)留端口對高端設(shè)備運(yùn)維帶來的風(fēng)險(xiǎn)無法感知，更無法防護(hù)。安全運(yùn)維缺失。缺乏必要的安全防護(hù)手段和管理制度，既無法做到事前防范，也無法進(jìn)行事后追溯。安全設(shè)計(jì)缺失。工控系統(tǒng)與工控網(wǎng)絡(luò)被設(shè)計(jì)工作在封閉環(huán)境，未考慮安全防護(hù)措施。穩(wěn)定大于安全。穩(wěn)定連續(xù)生產(chǎn)的優(yōu)先級通常高于網(wǎng)絡(luò)安全防護(hù)要求，不能因?yàn)榘踩珜?dǎo)致停工停產(chǎn)。定制化部署。普遍采用定制化的軟硬件平臺，以滿足特定工藝流程的要求。自主性差。高端控制系統(tǒng)普遍采用進(jìn)口設(shè)備，缺少技術(shù)管理能力。運(yùn)維人員缺失。嚴(yán)重缺乏具備IT和安全技能的運(yùn)維人員。工業(yè)網(wǎng)絡(luò)的特點(diǎn)，生產(chǎn)安全大于網(wǎng)絡(luò)安全工業(yè)網(wǎng)絡(luò)軟硬件普遍存在基礎(chǔ)脆弱性，配置與管理水平嚴(yán)重落后工控網(wǎng)絡(luò)安全理念（白名單為主導(dǎo)）白名單（特權(quán)）黑名單（安檢）大部分人都是可信的大部分人都是不可信的如：工業(yè)主機(jī)采用進(jìn)程、簽名等白名單機(jī)制；工業(yè)防火墻采用IP、資產(chǎn)、工業(yè)協(xié)議白名單等工控網(wǎng)絡(luò)安全基礎(chǔ)能力—工業(yè)資產(chǎn)識別PLC、DCS工業(yè)以太網(wǎng)工業(yè)控制系統(tǒng)工業(yè)主機(jī)工控機(jī)SCADA工業(yè)網(wǎng)關(guān)工業(yè)網(wǎng)關(guān)工業(yè)交換機(jī)工業(yè)路由器工業(yè)數(shù)采裝置數(shù)采網(wǎng)關(guān)DTURTU視頻監(jiān)控工業(yè)控制設(shè)備數(shù)控系統(tǒng)機(jī)器人工業(yè)執(zhí)行器及傳感器伺服裝置變頻器儀表傳感器與常見IT資產(chǎn)區(qū)別：工業(yè)資產(chǎn)類型的不同工業(yè)資產(chǎn)識別方法的不同工控網(wǎng)絡(luò)安全基礎(chǔ)能力—工業(yè)協(xié)議識別S7Comm（S7Communication）是西門子專有的協(xié)議，是西門子S7通訊協(xié)議簇里的一種。TPKT（應(yīng)用程數(shù)據(jù)傳輸協(xié)議，ISOtransportservicesontopoftheTCP

(TPKT)）COTP（ISO8073/X.224COTPConnection-OrientedTransportProtocol）工業(yè)協(xié)議相對IT協(xié)議，類似地方方言VS普通話工業(yè)協(xié)議大概有100多種，大部分為私有協(xié)議，常見的有幾十種典型工業(yè)協(xié)議解析（S7Comm協(xié)議）：應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層1234756Modbus協(xié)議無定義主/從傳輸摸下RTU或ASCII物理接口定義RS485/RS232兩線制或四線制工控網(wǎng)絡(luò)安全運(yùn)維方式學(xué)習(xí)模式自動學(xué)習(xí)策略，包括終端策略、防護(hù)策略、監(jiān)測策略旁路模式，對業(yè)務(wù)不做任何處理檢驗(yàn)?zāi)Ｊ酵ㄟ^告警方式來進(jìn)行策略學(xué)習(xí)效果的測試和驗(yàn)證不符合白名單安全策略的會產(chǎn)生告警日志，但不會被阻斷防護(hù)模式安全策略正式生效對非策略定義行為進(jìn)行阻斷，并記錄日志和進(jìn)行告警。工業(yè)安全策略“三段式”運(yùn)行模式，穩(wěn)妥漸進(jìn)實(shí)現(xiàn)防護(hù)目標(biāo)工業(yè)互聯(lián)網(wǎng)功能框架產(chǎn)業(yè)層企業(yè)層邊緣層設(shè)備層智能機(jī)器成套設(shè)備儀器儀表SCADA/DCSMESERPSCMPLMCAX企業(yè)1企業(yè)2企業(yè)2工業(yè)安全運(yùn)營管理國家骨干網(wǎng)企業(yè)/園區(qū)網(wǎng)生產(chǎn)控制網(wǎng)二級節(jié)點(diǎn)國家頂級節(jié)點(diǎn)標(biāo)識解析中間件標(biāo)識數(shù)據(jù)采集設(shè)備工業(yè)互聯(lián)網(wǎng)平臺（行業(yè)級）工業(yè)互聯(lián)網(wǎng)平臺（企業(yè)級）邊緣計(jì)算系統(tǒng)云邊協(xié)同云邊協(xié)同平臺間協(xié)同企業(yè)外網(wǎng)企業(yè)內(nèi)網(wǎng)企業(yè)節(jié)點(diǎn)標(biāo)識注冊標(biāo)識解析業(yè)務(wù)管理(生產(chǎn)線/車間)(現(xiàn)場)平臺-核心網(wǎng)絡(luò)-基礎(chǔ)安全-保障工控網(wǎng)絡(luò)安全防護(hù)指令安全審計(jì)控制協(xié)議安全機(jī)制網(wǎng)絡(luò)安全控制安全設(shè)備安全控制軟件安全加固漏洞修復(fù)身份鑒別與訪問控制固件安全增強(qiáng)接入認(rèn)證授權(quán)通信和傳輸保護(hù)邊界隔離代碼安全用戶授權(quán)和管理網(wǎng)絡(luò)安全應(yīng)用安全數(shù)據(jù)安全虛擬化安全數(shù)據(jù)備份恢復(fù)數(shù)據(jù)防泄漏數(shù)據(jù)加密網(wǎng)絡(luò)攻擊防護(hù)通信和傳輸保護(hù)邊界隔離安全管理應(yīng)急處置告警管理態(tài)勢感知PLC/CNC風(fēng)險(xiǎn)識別工業(yè)資產(chǎn)探測流量分析應(yīng)急處置態(tài)勢分析預(yù)警通報(bào)應(yīng)用安全網(wǎng)絡(luò)安全數(shù)據(jù)安全平臺防護(hù)工業(yè)互聯(lián)網(wǎng)安全監(jiān)管設(shè)計(jì)協(xié)同制造協(xié)同供應(yīng)鏈協(xié)同健康預(yù)測能耗優(yōu)化個性化定制視覺質(zhì)檢參數(shù)調(diào)整AGV調(diào)度數(shù)據(jù)采集協(xié)議轉(zhuǎn)換數(shù)據(jù)預(yù)處理工業(yè)互聯(lián)網(wǎng)安全體系框架工控安全工業(yè)互聯(lián)網(wǎng)安全-工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟《工業(yè)互聯(lián)網(wǎng)體系架構(gòu)》三大功能體系網(wǎng)絡(luò)是基礎(chǔ)平臺是核心安全是保障工業(yè)互聯(lián)網(wǎng)安全參考框架

工業(yè)互聯(lián)網(wǎng)安全相比于傳統(tǒng)的工控安全，其范圍、復(fù)雜性、風(fēng)險(xiǎn)度和安全帶來的影響要大的多，工控安全相關(guān)政策指南不能完全適用于工業(yè)互聯(lián)網(wǎng)安全。內(nèi)容提綱01典型工業(yè)業(yè)務(wù)場景與需求特點(diǎn)02工控安全/工業(yè)互聯(lián)網(wǎng)安全基礎(chǔ)典型工業(yè)行業(yè)場景與需求分析石油石化電力生產(chǎn)軌道交通煙草生產(chǎn)煤炭生產(chǎn)水務(wù)燃?xì)庵悄苤圃熹撹F冶煉軍工生產(chǎn)石油石化-行業(yè)概述勘探開發(fā)煉化銷售油氣調(diào)控運(yùn)輸工程裝備勘探研究院設(shè)計(jì)院油井計(jì)量站采油廠采氣廠石化公司煉化公司成品油銷售公司加油站油庫管道公司管網(wǎng)公司運(yùn)輸公司設(shè)備公司工程建設(shè)公司鉆探公司一、采油：油井區(qū)（海洋油生產(chǎn)、陸地油生產(chǎn)）油田采油網(wǎng)絡(luò)控制系統(tǒng)海上石油平臺綜合監(jiān)控系統(tǒng)油田綜合信息化系統(tǒng)二、輸油：原油、成品油管道輸油（氣）管道監(jiān)控系統(tǒng)三、煉儲油：煉油廠、油庫區(qū)煉油廠油庫區(qū)監(jiān)控管理煉油過程監(jiān)控管理石油石化-主要生產(chǎn)系統(tǒng)石油石化-油氣生產(chǎn)SCADA監(jiān)控系統(tǒng)?作業(yè)區(qū)對無人值守井、站實(shí)施統(tǒng)一監(jiān)控：SCADA系統(tǒng)建在作業(yè)區(qū)，無人值守井、站、管道由作業(yè)區(qū)集中監(jiān)控；有人值守站廠自設(shè)監(jiān)控系統(tǒng)。作業(yè)區(qū)對所轄生產(chǎn)單元實(shí)施統(tǒng)一監(jiān)視管理。?大型中心站廠集中監(jiān)控：SCADA系統(tǒng)建在大型中心站廠，在中心站廠對下轄所有井、站、管道進(jìn)行集中監(jiān)控。作業(yè)區(qū)對下轄生產(chǎn)單元實(shí)施統(tǒng)一集中監(jiān)視管理。對于井、站安全風(fēng)險(xiǎn)較高的“三高”氣田及井、站數(shù)量相對較少的油氣田，宜采用模式一。石油石化-《中國石化工業(yè)儀表控制系統(tǒng)安全防護(hù)實(shí)施規(guī)定》1、梳理工控資產(chǎn)2、安全策略3、日志審計(jì)4、過程監(jiān)控5、物理安全6、備份恢復(fù)梳理工控資產(chǎn)和系統(tǒng)邊界，排查網(wǎng)絡(luò)連接點(diǎn)，連接點(diǎn)處應(yīng)部署工業(yè)防火墻、網(wǎng)閘類設(shè)備開啟日志服務(wù)并配置獨(dú)立日志服務(wù)器，包括MAC、源IP、協(xié)議、目的IP、時間、處理結(jié)果等，保存不低于6個月。禁止非授權(quán)人員進(jìn)入生產(chǎn)區(qū)域，特別是機(jī)房、服務(wù)器、操作站等核心工業(yè)控制系統(tǒng)所在區(qū)域。禁止從石油內(nèi)網(wǎng)遠(yuǎn)程管理工控邊界隔離設(shè)備，防護(hù)策略要采用白名單機(jī)制，嚴(yán)格限制訪問IP。服務(wù)器、工程師站、操作員站、歷史站采用最小化安裝原則，核查操作登錄日志進(jìn)行記錄。做好網(wǎng)絡(luò)設(shè)備、安全設(shè)備的配置備份，做好關(guān)鍵業(yè)務(wù)數(shù)據(jù)備份，確保完整性、可用性。7、外設(shè)管控禁止移動設(shè)備進(jìn)入控制網(wǎng)，對授權(quán)移動設(shè)備采用查殺病毒等防護(hù)措施。石油石化-中石油《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全框架》石油石化-典型油氣開采工控場景介紹按照組織結(jié)構(gòu)層級分為：井/間/站---作業(yè)區(qū)--采油廠---油田公司---集團(tuán)公司五層架構(gòu)。油氣開采的生產(chǎn)數(shù)據(jù)通過井口RTU傳輸SCADA系統(tǒng)作業(yè)區(qū)通過SCADA匯總井口RTU生產(chǎn)數(shù)據(jù)采油廠將各個作業(yè)區(qū)的SCADA系統(tǒng)數(shù)據(jù)匯總到SCADA服務(wù)器上油田公司辦公網(wǎng)通過辦公核心連接各個采油廠生產(chǎn)網(wǎng)集團(tuán)公司通過廣域網(wǎng)連接各個油田公司辦公網(wǎng)集團(tuán)公司層油田公司層作業(yè)區(qū)層現(xiàn)場設(shè)備層采油廠層石油石化-典型油氣開采場景安全風(fēng)險(xiǎn)及需求各個工作站應(yīng)具備主機(jī)安全防護(hù)措施作業(yè)區(qū)工控系統(tǒng)網(wǎng)絡(luò)內(nèi)部應(yīng)具備工業(yè)異常行為監(jiān)測手段油田公司到各個采油廠、各個采油廠到不同作業(yè)區(qū)之間缺乏工控邊界安全防護(hù)手段油田公司辦公網(wǎng)到生產(chǎn)網(wǎng)之間應(yīng)進(jìn)行兩網(wǎng)隔離石油石化-典型采油采氣工控安全方案5、終端綜合管控：在作業(yè)區(qū)各操作站部署工業(yè)主機(jī)防護(hù)系統(tǒng)實(shí)現(xiàn)對外設(shè)進(jìn)行嚴(yán)格的訪問控制、狀態(tài)監(jiān)控、進(jìn)程監(jiān)控、病毒防護(hù)、基于白名單機(jī)制的應(yīng)用程序管控；6、安全監(jiān)測預(yù)警：在采油廠部署工業(yè)安全管理系統(tǒng)采集工控安全設(shè)備數(shù)據(jù)，對工控安全設(shè)備統(tǒng)一管理；油田公司部署工業(yè)安全態(tài)勢感知平臺，對各采油廠的工控安全事件進(jìn)行綜合安全分析、預(yù)警和態(tài)勢呈現(xiàn)。1、安全威脅檢測：部署工業(yè)安全檢查工具，對上下位機(jī)操作系統(tǒng)和應(yīng)用軟件進(jìn)行符合性安全檢查。2、網(wǎng)絡(luò)邊界防護(hù)：在采油廠與油田公司辦公網(wǎng)核心交換機(jī)之間部署工業(yè)網(wǎng)閘實(shí)現(xiàn)物理隔離；在采油廠SCADA服務(wù)器域作業(yè)區(qū)SCADA系統(tǒng)之間部署工業(yè)防火墻阻斷病毒傳播、黑客攻擊等行為，限制違法操作；3、內(nèi)部網(wǎng)絡(luò)監(jiān)測：在作業(yè)區(qū)SCADA系統(tǒng)、采油廠生產(chǎn)網(wǎng)核心分別旁路部署工業(yè)監(jiān)測審計(jì)系統(tǒng)準(zhǔn)確監(jiān)測網(wǎng)絡(luò)異常流量，及時發(fā)現(xiàn)潛在的網(wǎng)絡(luò)攻擊和異常行為并在第一時間告警；4、主機(jī)安全加固：對作業(yè)區(qū)各操作站主機(jī)進(jìn)行安全加固，結(jié)合油氣田業(yè)務(wù)需求和相關(guān)信息安全標(biāo)準(zhǔn)規(guī)范制定各類主機(jī)資產(chǎn)安全配置基線；L4L3L2L1L0常減壓裝置DCS系統(tǒng)歷史數(shù)據(jù)庫MESERPWebOA石油石化廣域網(wǎng)DCS機(jī)柜數(shù)采服務(wù)器DCS告警交換機(jī)辦公終端交換機(jī)APC應(yīng)用站OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)SIS機(jī)柜常減壓裝置SIS系統(tǒng)DCS機(jī)柜SIS機(jī)柜重整加氫裝置DCS系統(tǒng)重整加氫裝置SIS系統(tǒng)操作員站工程師站PLC現(xiàn)場計(jì)量設(shè)備數(shù)采網(wǎng)關(guān)數(shù)采網(wǎng)關(guān)關(guān)系數(shù)據(jù)庫現(xiàn)場儀器、儀表等DCS控制系統(tǒng)、PLC控制器等OPC服務(wù)器、APC服務(wù)器、實(shí)時數(shù)據(jù)庫、操作員站、工程師站等MES、數(shù)采服務(wù)器、歷史數(shù)據(jù)庫、APC應(yīng)用站等OA系統(tǒng)、ERP系統(tǒng)、WEB服務(wù)器等L4

企業(yè)管理層L3

操作管理層L1

現(xiàn)場控制層L0

現(xiàn)場設(shè)備層L2

過程監(jiān)控層石油石化-典型煉化工控場景介紹石油石化-典型煉化工控安全風(fēng)險(xiǎn)及需求USB等移動介質(zhì)造成的病毒傳播、數(shù)據(jù)泄露本地、第三方運(yùn)維人員操作風(fēng)險(xiǎn)數(shù)采網(wǎng)關(guān)雙網(wǎng)卡結(jié)構(gòu)，無法阻斷入侵行為操作員站、工程師站惡意代碼MES、OPC、ODS等服務(wù)器自身漏洞服務(wù)器自身漏洞惡意代碼入侵運(yùn)維操作風(fēng)險(xiǎn)移動介質(zhì)風(fēng)險(xiǎn)網(wǎng)絡(luò)邊界風(fēng)險(xiǎn)L4L3L2L1L0常減壓裝置DCS系統(tǒng)歷史數(shù)據(jù)庫MESERPWebOA石油石化廣域網(wǎng)DCS機(jī)柜數(shù)采服務(wù)器DCS告警交換機(jī)辦公終端交換機(jī)APC應(yīng)用站OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)SIS機(jī)柜常減壓裝置SIS系統(tǒng)DCS機(jī)柜SIS機(jī)柜重整加氫裝置DCS系統(tǒng)重整加氫裝置SIS系統(tǒng)操作員站工程師站PLC現(xiàn)場計(jì)量設(shè)備數(shù)采網(wǎng)關(guān)數(shù)采網(wǎng)關(guān)關(guān)系數(shù)據(jù)庫APC先控系統(tǒng)防護(hù)病毒、惡意代碼入侵移動介質(zhì)感染、泄密服務(wù)器自身漏洞數(shù)采網(wǎng)關(guān)與上層雙網(wǎng)卡配置，無法阻止病毒傳播石油石化-典型煉化工控安全方案工業(yè)防火墻工業(yè)防火墻、工業(yè)安全監(jiān)測系統(tǒng)、工業(yè)主機(jī)安全防護(hù)系統(tǒng)工業(yè)網(wǎng)閘、主機(jī)安全防護(hù)系統(tǒng)、工業(yè)漏洞掃描系統(tǒng)、日志審計(jì)（工業(yè)版）、工業(yè)安全態(tài)勢感知與管理平臺傳統(tǒng)IT網(wǎng)絡(luò)的安全防護(hù)L4

企業(yè)管理層L3

操作管理層L1

現(xiàn)場控制層L2

過程監(jiān)控層L4L3L2L1L0常減壓裝置DCS系統(tǒng)歷史數(shù)據(jù)庫MESERPWebOA石油石化廣域網(wǎng)DCS機(jī)柜數(shù)采服務(wù)器DCS告警交換機(jī)辦公終端交換機(jī)APC應(yīng)用站OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)OPC服務(wù)器操作員站DCS操作室交換機(jī)APC服務(wù)器OPC服務(wù)器工程師站SIS交換機(jī)SIS操作員站SIS工程師站DCS機(jī)柜間交換機(jī)SIS交換機(jī)SIS機(jī)柜常減壓裝置SIS系統(tǒng)DCS機(jī)柜SIS機(jī)柜重整加氫裝置DCS系統(tǒng)重整加氫裝置SIS系統(tǒng)操作員站工程師站PLC現(xiàn)場計(jì)量設(shè)備數(shù)采網(wǎng)關(guān)數(shù)采網(wǎng)關(guān)關(guān)系數(shù)據(jù)庫工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻工業(yè)安全監(jiān)測系統(tǒng)工業(yè)安全監(jiān)測系統(tǒng)工業(yè)防火墻工業(yè)防火墻工業(yè)安全態(tài)勢感知與管理平臺工業(yè)安全監(jiān)測系統(tǒng)工業(yè)網(wǎng)閘工業(yè)主機(jī)安全防護(hù)控制中心工業(yè)安全檢查工具工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻日志審計(jì)（工業(yè)版）日志上傳，策略下發(fā)日志上傳，設(shè)備管理日志上傳，策略下發(fā)電力-業(yè)務(wù)類型通訊服務(wù)器發(fā)電用電輸電變電配電RTURTURTU數(shù)據(jù)采集和傳輸應(yīng)用服務(wù)器電網(wǎng)調(diào)度電力-能源局36號文綜合防護(hù)是結(jié)合國家信息安全等級保護(hù)工作的相關(guān)要求對電力監(jiān)控系統(tǒng)從主機(jī)、網(wǎng)絡(luò)設(shè)備、惡意代碼防范、應(yīng)用安全控制、審計(jì)、備份及容災(zāi)等多個層面進(jìn)行信息安全防護(hù)的過程。入侵檢測主機(jī)與網(wǎng)絡(luò)設(shè)備加固應(yīng)用安全控制安全審計(jì)專用安全產(chǎn)品的管理備份與容災(zāi)惡意代碼防范設(shè)備選型及漏洞整改電力–安全分區(qū)原則電力-調(diào)度業(yè)務(wù)系統(tǒng)序號業(yè)務(wù)系統(tǒng)控制區(qū)非控制區(qū)管理信息大區(qū)1基礎(chǔ)平臺基礎(chǔ)平臺基礎(chǔ)平臺基礎(chǔ)平臺2實(shí)時監(jiān)控與預(yù)警類應(yīng)用電網(wǎng)穩(wěn)定監(jiān)控、動態(tài)監(jiān)視與分析、自動發(fā)電控制、自動電壓控制、運(yùn)行分析與評價、在線安全穩(wěn)定分析、網(wǎng)絡(luò)分析、繼電保護(hù)定值在線校核、輔助檢測、調(diào)度運(yùn)行輔助決策、水電及新能源監(jiān)測分析

3調(diào)度計(jì)劃類應(yīng)用

數(shù)據(jù)申報(bào)與信息發(fā)布、預(yù)測、檢修計(jì)劃、短期交易管理、發(fā)電計(jì)劃、電能量計(jì)算、計(jì)劃分析與評估、水電及新能源調(diào)度

4安全校核類應(yīng)用

靜態(tài)安全校核、暫態(tài)穩(wěn)定校核、調(diào)度輔助決策、穩(wěn)定裕度評估

5其他應(yīng)用

調(diào)度員培訓(xùn)模擬等

6調(diào)度管理類應(yīng)用

調(diào)度生產(chǎn)運(yùn)行、綜合分析與評估、調(diào)度機(jī)構(gòu)外業(yè)務(wù)協(xié)同、信息展示與發(fā)布、內(nèi)部綜合管理、基礎(chǔ)信息維護(hù)和管理、專業(yè)管理

序號業(yè)務(wù)系統(tǒng)控制區(qū)非控制區(qū)管理信息大區(qū)1能量管理電網(wǎng)和設(shè)備監(jiān)控AGC、AVC、安全分析等

WEB發(fā)布2廣域相量測量系統(tǒng)動態(tài)數(shù)據(jù)采集、實(shí)時數(shù)據(jù)處理、分析等

3安全自動控制系統(tǒng)穩(wěn)定分析、決策生成和下方

4通信監(jiān)控系統(tǒng)通信監(jiān)控信息采集、監(jiān)視

5繼電保護(hù)繼電保護(hù)遠(yuǎn)方修改定值、遠(yuǎn)方投退等控制功能

6故障錄波信息管理系統(tǒng)

故障錄波信息管理模塊

7電力設(shè)備在線監(jiān)測

信息采集、處理信息采集、處理8實(shí)時和次日電力市場運(yùn)營系統(tǒng)在線安全穩(wěn)定校核交易、結(jié)算、考核、內(nèi)網(wǎng)報(bào)價外網(wǎng)報(bào)價、公眾信息發(fā)布9調(diào)度員培訓(xùn)模擬系統(tǒng)

調(diào)度員培訓(xùn)模擬

10水電調(diào)度自動化系統(tǒng)

水情信息采集、處理

11電能量計(jì)量系統(tǒng)

電能量采集、處理

12電網(wǎng)動態(tài)監(jiān)控系統(tǒng)在線監(jiān)控、穩(wěn)定計(jì)算等

13電力市場監(jiān)管信息系統(tǒng)接口

向電力市場監(jiān)管系統(tǒng)發(fā)布有關(guān)信息14調(diào)度生產(chǎn)管理系統(tǒng)

數(shù)據(jù)統(tǒng)計(jì)、分析、報(bào)表、管理流程15雷電監(jiān)測系統(tǒng)

采集、處理16氣象、衛(wèi)星云圖系統(tǒng)

接收、處理17視頻監(jiān)控系統(tǒng)

接收、處理18調(diào)度信息發(fā)布

WEB服務(wù)19辦公自動化

MIS、OA20電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)實(shí)時子網(wǎng)非實(shí)時子網(wǎng)

主控系統(tǒng)機(jī)組控制系統(tǒng)-DCS數(shù)據(jù)采集系統(tǒng)-DAS爐膛安全保護(hù)監(jiān)控系統(tǒng)-BMS系統(tǒng)順序控制系統(tǒng)—SCS電液調(diào)節(jié)系統(tǒng)—DEH公用輔助系統(tǒng)輸煤系統(tǒng)化學(xué)水處理系統(tǒng)除灰、除渣、電除塵系統(tǒng)吹灰、定排系統(tǒng)電力-火電控制系統(tǒng)組成SIS接口機(jī)專用隔離裝置SIS接口機(jī)專用隔離裝置SIS工作站SIS工作站存儲服務(wù)器應(yīng)用服務(wù)器過程控制層/L1中央監(jiān)控層/L2安全I(xiàn)I區(qū)安全I(xiàn)區(qū)安全I(xiàn)II區(qū)SIS接口機(jī)專用隔離裝置工程師站接口機(jī)實(shí)時服務(wù)器DCS系統(tǒng)1#機(jī)組控制柜接口機(jī)操作員站2#機(jī)組控制柜接口機(jī)操作員站公用系統(tǒng)控制柜接口機(jī)操作員站輔控系統(tǒng)控制柜SIS接口機(jī)專用隔離裝置安全I(xiàn)區(qū)主機(jī)加固安全審計(jì)（提前確認(rèn)協(xié)議類型）入侵檢測機(jī)組DCS上位機(jī)與控制器之間不要部署防火墻數(shù)采通道普遍使用OPC，通道隔離，一般采用電力專用裝置。I區(qū)安全日志上傳，需要部署網(wǎng)絡(luò)隔離設(shè)備安全I(xiàn)I區(qū)接口機(jī)、工作站主機(jī)加固入侵威脅檢測工控協(xié)議審計(jì)SIS系統(tǒng)數(shù)據(jù)庫審計(jì)，需要確認(rèn)數(shù)據(jù)庫類型（合規(guī)）日志審計(jì)（合規(guī)）工控漏掃（合規(guī)）運(yùn)維操作審計(jì)（合規(guī)）集中管理電力-燃煤火電安全需求及機(jī)會點(diǎn)非我司業(yè)務(wù)范圍橫向隔離縱向加密SIS接口機(jī)專用隔離裝置SIS接口機(jī)專用隔離裝置SIS工作站SIS工作站存儲服務(wù)器應(yīng)用服務(wù)器過程控制層/L1中央監(jiān)控層/L2安全I(xiàn)I區(qū)安全I(xiàn)區(qū)安全I(xiàn)II區(qū)SIS接口機(jī)專用隔離裝置工程師站操作員站接口機(jī)實(shí)時服務(wù)器DCS系統(tǒng)1#機(jī)組控制柜操作員站接口機(jī)操作員站2#機(jī)組控制柜接口機(jī)操作員站公用系統(tǒng)控制柜接口機(jī)操作員站輔控系統(tǒng)控制柜SIS接口機(jī)專用隔離裝置安全域一安全域二安全域三安全域四安全域五電力-燃煤火電廠安全部署方案電力-燃煤火電廠安全核心能力SIS接口機(jī)專用隔離裝置SIS接口機(jī)SIS工作站SIS工作站存儲服務(wù)器應(yīng)用服務(wù)器過程控制層/L1中央監(jiān)控層/L2安全I(xiàn)I區(qū)安全I(xiàn)區(qū)安全I(xiàn)II區(qū)SIS接口機(jī)工程師站操作員站接口機(jī)實(shí)時服務(wù)器DCS系統(tǒng)1#機(jī)組控制柜操作員站接口機(jī)操作員站2#機(jī)組控制柜接口機(jī)操作員站公用系統(tǒng)控制柜接口機(jī)操作員站輔控系統(tǒng)控制柜SIS接口機(jī)安全域一安全域二安全域三安全域四安全域五資產(chǎn)監(jiān)測資產(chǎn)發(fā)現(xiàn)與管理資產(chǎn)網(wǎng)絡(luò)圖異常資產(chǎn)接入監(jiān)測資產(chǎn)違規(guī)外聯(lián)監(jiān)測網(wǎng)絡(luò)威脅監(jiān)測工控協(xié)議深度包解析工控協(xié)議白名單工控關(guān)鍵操作監(jiān)測基線監(jiān)測流量數(shù)據(jù)采集威脅數(shù)據(jù)采集資產(chǎn)數(shù)據(jù)采集運(yùn)行異常數(shù)據(jù)采集關(guān)鍵操作數(shù)據(jù)采集日志審計(jì)主機(jī)日志采集網(wǎng)絡(luò)設(shè)備日志采集安全產(chǎn)品日志采集網(wǎng)絡(luò)威脅監(jiān)測IDS威脅監(jiān)測病毒監(jiān)測基于威脅情報(bào)的

網(wǎng)絡(luò)攻擊監(jiān)測數(shù)據(jù)采集脆弱性監(jiān)測脆弱性發(fā)現(xiàn)與管理網(wǎng)絡(luò)監(jiān)測可視化實(shí)時監(jiān)控協(xié)議實(shí)時流量接口流量監(jiān)控實(shí)時會話監(jiān)控主機(jī)防護(hù)主機(jī)加固主機(jī)防病毒外設(shè)管控電力-水電控制系統(tǒng)結(jié)構(gòu)GPS以太網(wǎng)現(xiàn)地控制單元電站主控層遠(yuǎn)程調(diào)度中心ABB南瑞水電中水科電力-水電LCU功能定位PLC交流采樣通訊管理機(jī)同期單元觸摸屏雙供電裝置機(jī)組LCU機(jī)組的順序控制數(shù)據(jù)采集事件順序記錄（SOE）輸出控制功能水機(jī)保護(hù)功能就地顯示控制操作交流數(shù)據(jù)采集為機(jī)組出力提供可靠數(shù)據(jù)智能設(shè)備的通信處理如：勵磁系統(tǒng)、調(diào)速器系統(tǒng)、溫度采集、轉(zhuǎn)速測控、保護(hù)裝置、交流采樣、同期裝置完成機(jī)組同期并網(wǎng)功能，具備快速調(diào)節(jié)、快速并網(wǎng)、硬件閉鎖。包含手、自動同期功能為PLC、自動化元件提供可靠工作電源、冗余配置，寬限輸入，隔離輸出電力-水電LCU組成機(jī)組LCU屏組屏模式

機(jī)組LCU1屏

機(jī)組LCU2屏序號名稱型號數(shù)量備注1屏體2260*800*6002

2PLCPremium1擴(kuò)展模式3人機(jī)界面MT800014通信管理機(jī)EDCS-79601

5雙供電裝置EDCS-DPS2

6同期裝置EDCS-81D01

7交流采樣裝置EDCS-81A01

8交換機(jī)赫斯曼1主設(shè)備配置表雙供電裝置通信管理機(jī)人機(jī)界面PLC主機(jī)架交換機(jī)雙供電裝置PLC擴(kuò)展機(jī)架同期裝置交流采樣裝置電力-風(fēng)電業(yè)務(wù)系統(tǒng)電力-風(fēng)電風(fēng)機(jī)控制系統(tǒng)及控制網(wǎng)絡(luò)圖片來源：SIEMENS,全集成自動化在風(fēng)電行業(yè)的應(yīng)用高速環(huán)形工業(yè)以太網(wǎng)高速環(huán)型冗余光纖以太網(wǎng)是系統(tǒng)的數(shù)據(jù)高速公路，將機(jī)組的實(shí)時數(shù)據(jù)送至上位機(jī)界面；遠(yuǎn)程上位機(jī)操作員站上位機(jī)操作員站是風(fēng)電廠的運(yùn)行監(jiān)視核心，并具備完善的機(jī)組狀態(tài)監(jiān)視、參數(shù)報(bào)警，實(shí)時/歷史數(shù)據(jù)的記錄顯示等功能，操作員在控制室內(nèi)實(shí)現(xiàn)對風(fēng)場所有機(jī)組的運(yùn)行監(jiān)視及操作?，F(xiàn)場風(fēng)力發(fā)電組控制單元現(xiàn)場風(fēng)力發(fā)電機(jī)組控制單元是每臺風(fēng)機(jī)控制的核心，實(shí)現(xiàn)機(jī)組的參數(shù)監(jiān)視、自動發(fā)電控制和設(shè)備保護(hù)等功能；每臺風(fēng)力發(fā)電機(jī)組配有就地HMI人機(jī)接口以實(shí)現(xiàn)就地操作、調(diào)試和維護(hù)機(jī)組；電力-風(fēng)力發(fā)電主要控制單元電力-光伏電站的基本機(jī)構(gòu)

光伏陣列將太陽能轉(zhuǎn)變成直流電能，經(jīng)逆變器的直流柜和交流逆變后，根據(jù)光伏電站接入電網(wǎng)技術(shù)規(guī)定光伏電站容量確定光伏電站接入電網(wǎng)的電壓等級，由變壓器升壓后，接入中壓或高壓電網(wǎng)。

軌道交通-行業(yè)場景分類城市軌道交通系統(tǒng)：指服務(wù)于城市客運(yùn)交通，具有固定線路、鋪設(shè)固定軌道、配備運(yùn)輸車輛以及服務(wù)設(shè)施等的公共交通設(shè)施。城市軌道交通系統(tǒng)通常以電力為動力，以輪軌運(yùn)行方式為特征。城市軌道交通地鐵輕軌獨(dú)軌磁懸浮停車場車輛段車站調(diào)度中心軌道電力通訊列車城市軌道交通構(gòu)成軌道交通-業(yè)務(wù)系統(tǒng)綜合監(jiān)控系統(tǒng)(ISCS)信號系統(tǒng)（CBTC）自動售檢票系統(tǒng)(AFC)/清分中心(ACC)通信系統(tǒng)（含PIS、CCTV)指揮中心TCC/NOCC軌道交通-綜合監(jiān)控系統(tǒng)ISCS介紹ISCS（綜合監(jiān)控系統(tǒng)）實(shí)現(xiàn)統(tǒng)一指揮運(yùn)行管理城市軌道交通各專業(yè)系統(tǒng)之間需要信息互通、資源共享，以提高各系統(tǒng)的協(xié)調(diào)配合能力。綜合監(jiān)控系統(tǒng)是一個功能強(qiáng)大的、開放的、模塊化的、可擴(kuò)展的分布式控制系統(tǒng)，集成和互聯(lián)了多個子系統(tǒng)，利用各專業(yè)和各系統(tǒng)提供的信息，準(zhǔn)確有效地完成復(fù)雜的多系統(tǒng)聯(lián)合運(yùn)作，尤其是在發(fā)生緊急情況時，提供一鍵操作實(shí)現(xiàn)乘客疏散等工作。減少人工操作造成錯誤的可能性，將緊急情況所造成的不利影響控制在最小范圍之內(nèi)，達(dá)到保證人民生命、財(cái)產(chǎn)安全的目的。綜合監(jiān)控系統(tǒng)信息共享平臺環(huán)境設(shè)備監(jiān)控BAS火災(zāi)自動報(bào)警FAS電力監(jiān)控PSCADA閉路電視CCTV防淹門FG屏蔽門PSD時鐘系統(tǒng)CLK乘客信息系統(tǒng)PIS信號SIG自動售檢票AFC集中監(jiān)控信息共享協(xié)調(diào)互動實(shí)現(xiàn)功能門禁ACS廣播PA軌道交通-面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)-邊界安全缺少為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力不能對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，不能實(shí)現(xiàn)對應(yīng)用層協(xié)議命令級的控制未在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，缺乏訪問控制功能信號系統(tǒng)與其他系統(tǒng)之間存在互聯(lián)接口，但缺乏可靠的技術(shù)隔離手段進(jìn)行區(qū)域隔離對信號系統(tǒng)的主機(jī)、服務(wù)器等資產(chǎn)信息掌握不足，比如設(shè)備類型、

品牌型號、軟件系統(tǒng)、設(shè)備屬性等，很難采取有針對性的防御措施缺乏對非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)行為的發(fā)現(xiàn)能力缺少工控系統(tǒng)安全態(tài)勢感知能力，從資產(chǎn)、脆弱性、威脅等多個視角全面分析工控系統(tǒng)安全態(tài)勢系統(tǒng)的安全風(fēng)險(xiǎn)狀態(tài)不了解，有隱患的資產(chǎn)看不清，被攻擊的資產(chǎn)難以發(fā)現(xiàn)，攻擊后果未能第一時間感知軌道交通-面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)-行為安全地鐵線路系統(tǒng)內(nèi)采用傳統(tǒng)網(wǎng)絡(luò)防病毒軟件，由于使用限制無法實(shí)時更新特征庫和殺毒引擎，對新型惡意代碼的防范能力薄弱無法對重要程序的完整性進(jìn)行檢測，并在檢測到完整性受到破壞后不具有恢復(fù)能力未采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息以及重要業(yè)務(wù)數(shù)據(jù)傳輸與存儲的保密性部分主機(jī)和服務(wù)器使用通用型操作系統(tǒng)，由于環(huán)境限制，無法實(shí)時更新操作系統(tǒng)補(bǔ)丁，操作系統(tǒng)漏洞給CBTC系統(tǒng)的安全、穩(wěn)定運(yùn)行帶來威脅軌道交通-面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)-主機(jī)安全信息安全制度信息安全制度不完善，在制度執(zhí)行過程中普遍存在不到位或不嚴(yán)格的情況介質(zhì)管理在日常運(yùn)行維護(hù)過程中普遍存在諸如介質(zhì)未采用有效的手段進(jìn)行管理和防護(hù)，容易造成病毒入侵和敏感信息泄露的風(fēng)險(xiǎn)第三方人員管理地鐵系統(tǒng)的部署、策略配置等主要依賴廠商或系統(tǒng)集成商，對第三方人員缺乏嚴(yán)格的管控制度，容易造成敏感信息泄密或誤操作的風(fēng)險(xiǎn)應(yīng)急預(yù)案安全防護(hù)應(yīng)急預(yù)案存在事故預(yù)想不全面、內(nèi)容不完整、相關(guān)要求缺乏可操作性等問題，缺少演練、培訓(xùn)和更新的相關(guān)內(nèi)容，無法在真正的事故中及時響應(yīng)和恢復(fù)系統(tǒng)，致使最終影響企業(yè)生產(chǎn)安全意識培訓(xùn)工控系統(tǒng)網(wǎng)絡(luò)安全培訓(xùn)缺乏，大多數(shù)運(yùn)營公司并未開展過針對軌道交通工業(yè)網(wǎng)絡(luò)安全的專項(xiàng)教育和培訓(xùn)。工控網(wǎng)絡(luò)安全的意識相對比較薄弱，對系統(tǒng)性的信息安全了解不夠軌道交通-面臨的管理和運(yùn)維安全風(fēng)險(xiǎn)安全區(qū)域邊界工業(yè)防火墻（含IPS、AV、Anti-DDoS、失陷主機(jī)檢測等）、智慧防火墻工業(yè)安全監(jiān)測、工業(yè)審計(jì)、工業(yè)入侵檢測訪問控制、無線入侵防御（WIPS)安全計(jì)算環(huán)境工業(yè)主機(jī)安全防護(hù)（含白名單、外設(shè)管理、主機(jī)加固、漏洞防護(hù)等）外設(shè)管理、準(zhǔn)入/準(zhǔn)出安全管理中心工業(yè)安全集中管理和分析系統(tǒng)IMAS堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描三權(quán)分立軌道交通-綜合監(jiān)控系統(tǒng)方案整體拓?fù)鋱D煙草-體系結(jié)構(gòu)國家煙草專賣局（總公司）33家省級煙草公司451家地市煙草公司56家復(fù)烤廠19家工業(yè)公司94家卷煙廠144家煙機(jī)、印刷、輔料等企業(yè)南通、珠海、昆明、雙維四家醋纖公司國家煙草專賣局（總公司）省局（商業(yè)公司）（33）中煙（工業(yè)公司）（19）地市局煙草局451卷煙、復(fù)烤、煙機(jī)、印刷及輔料292絲葉生產(chǎn)類工業(yè)控制系統(tǒng)對煙絲、煙葉或其他輔料進(jìn)行一套完整流程化的加工。在絲葉生產(chǎn)類工業(yè)控制系統(tǒng)中，現(xiàn)場控制設(shè)備分段完成整套生產(chǎn)流程各工藝段控制，整套集控系統(tǒng)嚴(yán)格依照預(yù)先設(shè)計(jì)流程進(jìn)行一定順序操作，任何一個工藝段加工質(zhì)量都決定著整個絲葉生產(chǎn)的成品質(zhì)量。絲葉生產(chǎn)類工業(yè)控制系統(tǒng)的現(xiàn)場控制層網(wǎng)絡(luò)和監(jiān)督控制層網(wǎng)絡(luò)在物理上嚴(yán)格分離，監(jiān)督控制層網(wǎng)絡(luò)采用普通以太網(wǎng)，主要用于連接中控、現(xiàn)場等操作終端設(shè)備，自動化控制網(wǎng)絡(luò)主干網(wǎng)采用工業(yè)環(huán)網(wǎng)，主要連接PLC、SCADA服務(wù)器等設(shè)備，電源和光纖冗余設(shè)計(jì)，保證主干網(wǎng)絡(luò)的通訊穩(wěn)定可靠。煙草-制絲，絲葉生產(chǎn)類工業(yè)控制系統(tǒng)獨(dú)立控制類工控系統(tǒng)通過現(xiàn)場各自獨(dú)立進(jìn)行生產(chǎn)工作的卷包機(jī)、數(shù)字機(jī)床等設(shè)備獨(dú)立完成加工工作，并由其他輔助類輸送設(shè)備、組裝設(shè)備完成車間內(nèi)運(yùn)輸、組裝。其中煙機(jī)公司現(xiàn)場設(shè)備為數(shù)控機(jī)床、卷煙廠卷包車間現(xiàn)場設(shè)備主要為卷煙機(jī)、包裝機(jī)等。獨(dú)立控制類工控系統(tǒng)網(wǎng)絡(luò)采用普通以太網(wǎng)，各生產(chǎn)設(shè)備獨(dú)立接入。監(jiān)督控制層由SCADA服務(wù)器、EAM服務(wù)器、CAM服務(wù)器和操作站組成，監(jiān)督控制層設(shè)備實(shí)時匯集各個機(jī)臺的生產(chǎn)數(shù)據(jù)，實(shí)現(xiàn)車間生產(chǎn)過程的集中監(jiān)視。煙草-卷包，獨(dú)立控制類工業(yè)控制系統(tǒng)在物流控制類工控系統(tǒng)主要任務(wù)是通過物流管理系統(tǒng)、調(diào)度控制系統(tǒng)等幾類業(yè)務(wù)應(yīng)用系統(tǒng)完成對于原料、成品的輸運(yùn)工作。物流控制類工控系統(tǒng)監(jiān)督控制層包括了操作員站、工程師站、物流管理系統(tǒng)終端、調(diào)度控制系統(tǒng)終端以及物流管理系統(tǒng)服務(wù)器、調(diào)度控制系統(tǒng)服務(wù)器等，現(xiàn)場控制層設(shè)備包括輸送機(jī)、堆垛機(jī)以及顯示生產(chǎn)信息的LED屏，以及現(xiàn)場的無線運(yùn)輸小車。物流類工控系統(tǒng)現(xiàn)場控制設(shè)備直接接入各個儲存庫中的主要交換機(jī)，各庫交換機(jī)分別接入監(jiān)督控制層，與監(jiān)督控制層物流管理系統(tǒng)、調(diào)度控制系統(tǒng)協(xié)同完成整套物流輸運(yùn)工作。煙草-物流，物流控制類工業(yè)控制系統(tǒng)動力控制類工控系統(tǒng)主要工作是為各企業(yè)其他生產(chǎn)車間提供能源動力。主要業(yè)務(wù)流程是由操作員站進(jìn)行動力能源車間壓空系統(tǒng)、真空系統(tǒng)、鍋爐系統(tǒng)、變配電系統(tǒng)、空調(diào)制冷系統(tǒng)、恒壓供水系統(tǒng)和污水處理系統(tǒng)等子系統(tǒng)的實(shí)時監(jiān)測，并對一些輔助類子系統(tǒng)進(jìn)行控制。動力控制類工控系統(tǒng)的監(jiān)督控制層網(wǎng)絡(luò)采用普通以太網(wǎng)，主要實(shí)現(xiàn)對現(xiàn)場控制層設(shè)備的生產(chǎn)過程實(shí)時監(jiān)控、故障報(bào)警和手自動控制、趨勢分析等功能。動力控制類工控系統(tǒng)的現(xiàn)場控制設(shè)備主要由變配電、壓空、空調(diào)、鍋爐等獨(dú)立子系統(tǒng)組成。煙草-動能，動力控制類工業(yè)控制系統(tǒng)煙草-行業(yè)工控安全標(biāo)準(zhǔn)規(guī)范待發(fā)布煙草-工業(yè)安全現(xiàn)狀一、網(wǎng)絡(luò)架構(gòu)混亂部分卷煙廠和商煙物流配送中心的辦公網(wǎng)絡(luò)和生產(chǎn)網(wǎng)絡(luò)交織在一起，缺乏網(wǎng)絡(luò)層面的梳理、區(qū)域間的隔離措施，造成近年來勒索病毒在煙草生產(chǎn)網(wǎng)絡(luò)橫行，帶來很大的經(jīng)濟(jì)損失二、自動化控制系統(tǒng)的脆弱性國外品牌設(shè)備：目前在煙草行業(yè)絕大部分工控系統(tǒng)采用的都是國外品牌，如果存在后門，即使已經(jīng)實(shí)施了非常好的安全策略，攻擊者也可能通過供應(yīng)商的后門找到攻擊向量，對煙草企業(yè)是非常打的安全隱患。目前在CVE、CNVD等服務(wù)平臺上可以查詢到大量控制系統(tǒng)的漏洞。工業(yè)協(xié)議缺乏安全認(rèn)證機(jī)制：

許多工控協(xié)議開發(fā)之初沒有考慮任何安全機(jī)制，如ModBus，OPCDA等。攻擊者利用任何客戶端都可以使用這些無安全機(jī)制的協(xié)議讀寫取服務(wù)端數(shù)據(jù)、且這些數(shù)據(jù)在傳輸過程中能被輕易的監(jiān)聽、修改等。工業(yè)應(yīng)用軟件缺陷：某些工控應(yīng)用軟件采用動態(tài)端口設(shè)計(jì)，與某些服務(wù)的端口沖突；應(yīng)用軟件通訊使用明文傳輸，安全性很差。三、工業(yè)終端的管理混亂煙草企業(yè)的工業(yè)控制系統(tǒng)使用周期都很長，同時管理混亂。工業(yè)主機(jī)操作系統(tǒng)版本老舊，且不打補(bǔ)丁，造成存在大量的安全漏洞；由于與工業(yè)應(yīng)用軟件兼容性問題，工業(yè)主機(jī)很少安裝防護(hù)軟件，造成大部分主機(jī)都是帶毒運(yùn)行；為了工作便利，移動介質(zhì)在主機(jī)上隨意插拔。煙草-工控安全建設(shè)優(yōu)先級建議針對工控網(wǎng)絡(luò)的風(fēng)險(xiǎn)評估

通過風(fēng)險(xiǎn)評估確定風(fēng)險(xiǎn)和安全缺失項(xiàng)，并根據(jù)當(dāng)前的安全形勢和行業(yè)要求確定整改優(yōu)先順序。同時對發(fā)現(xiàn)的未知資產(chǎn)或已經(jīng)被惡意程序攻擊（木馬后門）的資產(chǎn)進(jìn)行問題確認(rèn)和處置。兩網(wǎng)隔離防護(hù)建設(shè)

根據(jù)《煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)網(wǎng)絡(luò)互聯(lián)安全規(guī)范》（YCT494-2014）優(yōu)先進(jìn)行生產(chǎn)網(wǎng)和管理網(wǎng)的邏輯隔離和訪問控制，可根據(jù)兩網(wǎng)接口實(shí)際流量協(xié)議，通過部署傳統(tǒng)多功能安全網(wǎng)關(guān)/工業(yè)防火墻/工業(yè)隔離網(wǎng)閘進(jìn)行邊界檢測和防護(hù)。工控網(wǎng)絡(luò)異常監(jiān)測審計(jì)

鑒于生產(chǎn)網(wǎng)的特性，優(yōu)先針對生產(chǎn)網(wǎng)進(jìn)行異常流量、入侵攻擊的檢測和監(jiān)控，為攻擊、故障定位處置提供分析呈現(xiàn)的原始依據(jù)。煙草-工控安全建設(shè)優(yōu)先級建議生產(chǎn)網(wǎng)安全域邊界檢測和防護(hù)

針對生產(chǎn)網(wǎng)內(nèi)確認(rèn)的安全域，通過在域邊界部署工業(yè)防火墻，進(jìn)行基本的安全域邊界邏輯隔離和訪問控制，實(shí)現(xiàn)基本的工控域防護(hù)和降低安全事件爆發(fā)時影響范圍。生產(chǎn)網(wǎng)內(nèi)部安全建設(shè)

通過在工程師站、操作員站部署終端安全管理系統(tǒng)，關(guān)鍵PLC前端部署導(dǎo)軌式工業(yè)防火墻、無線入侵防御系統(tǒng)、中控室部署數(shù)據(jù)庫審計(jì)等安全措施，實(shí)現(xiàn)生產(chǎn)網(wǎng)內(nèi)部的安全檢測、防護(hù)、審計(jì)。生產(chǎn)網(wǎng)安全管理統(tǒng)一呈現(xiàn)

通過在生產(chǎn)執(zhí)行層部署工業(yè)控制信息安全管理系統(tǒng)，對煙草生產(chǎn)中各車間工控系統(tǒng)進(jìn)行可用性、性能和服務(wù)水平的統(tǒng)一監(jiān)控管理。包括各類主機(jī)、服務(wù)器、現(xiàn)場控制設(shè)備、以及各類網(wǎng)絡(luò)設(shè)備、安全設(shè)備的配置及事件分析、審計(jì)、預(yù)警與響應(yīng)，風(fēng)險(xiǎn)及態(tài)勢的度量與評估，對整個系統(tǒng)面向業(yè)務(wù)進(jìn)行主動化、智能化安全管理，保障煙草工業(yè)控制系統(tǒng)整體持續(xù)安全運(yùn)營。煙草-兩網(wǎng)隔離依據(jù)《煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)網(wǎng)絡(luò)互聯(lián)安全規(guī)范》（YCT494-2014）進(jìn)行安全建設(shè)包括身份鑒別、訪問控制、網(wǎng)絡(luò)互聯(lián)控制、惡意行為防范、安全審計(jì)、支撐操作系統(tǒng)安全，加強(qiáng)接口數(shù)量控制和安全管理。工業(yè)防火墻L4L3L2L1L0工程師站A線工程師站B線歷史數(shù)據(jù)庫操作員站HMICAMMES系統(tǒng)ERPWebOAINTERNET控制器/PLC控制器/PLC數(shù)據(jù)采集服務(wù)器安全管理中心安全域二安全域三安全域一工業(yè)網(wǎng)閘智慧防火墻VPN煙草-商煙物流配送中心工控安全解決方案安全區(qū)域邊界工業(yè)防火墻（含IPS、AV、Anti-DDoS、失陷主機(jī)檢測等）工業(yè)安全監(jiān)測、工業(yè)審計(jì)、工業(yè)入侵檢測邊界防御安全計(jì)算環(huán)境工業(yè)主機(jī)安全防護(hù)（含白名單、外設(shè)管理、主機(jī)加固、漏洞防護(hù)等）外設(shè)管理、準(zhǔn)入/準(zhǔn)出數(shù)據(jù)庫審計(jì)網(wǎng)絡(luò)加固安全管理中心工業(yè)安全集中管理和分析系統(tǒng)IMAS堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描三權(quán)分立集中監(jiān)控?zé)煵?工煙卷煙廠工控安全解決方案安全區(qū)域邊界工業(yè)防火墻（含IPS、AV、Anti-DDoS、失陷主機(jī)檢測等）工業(yè)安全監(jiān)測、工業(yè)審計(jì)、工業(yè)入侵檢測邊界防御安全計(jì)算環(huán)境工業(yè)主機(jī)安全防護(hù)（含白名單、外設(shè)管理、主機(jī)加固、漏洞防護(hù)等）外設(shè)管理、準(zhǔn)入/準(zhǔn)出數(shù)據(jù)庫審計(jì)數(shù)據(jù)備份恢復(fù)系統(tǒng)網(wǎng)絡(luò)加固安全管理中心工業(yè)安全集中管理和分析系統(tǒng)IMAS堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描三權(quán)分立集中監(jiān)控工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)主機(jī)防護(hù)控制中心工業(yè)主機(jī)防護(hù)控制中心工業(yè)主機(jī)防護(hù)控制中心工業(yè)主機(jī)防護(hù)控制中心工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)安全監(jiān)測工業(yè)安全監(jiān)測工業(yè)安全監(jiān)測工業(yè)安全態(tài)勢感知和管理平臺IMAS堡壘機(jī)日志審計(jì)全網(wǎng)主機(jī)日志上傳策略下發(fā)日志上傳工業(yè)安全漏掃工業(yè)生產(chǎn)場景的特殊性和工控網(wǎng)絡(luò)普遍存在的基礎(chǔ)脆弱性，使得安全防護(hù)手段和安全運(yùn)維能力嚴(yán)重不足。煤炭生產(chǎn)流程介紹煤炭挖掘皮帶運(yùn)送產(chǎn)生原煤成品煤煤炭開采煤炭提升選煤洗煤掘進(jìn)采煤運(yùn)輸提升原煤選洗成品裝備運(yùn)輸裝運(yùn)通風(fēng)排水供電供壓安監(jiān)壓力防火降塵輔控系統(tǒng)煤炭綜合自動化系統(tǒng)典型井工礦工控場景介紹現(xiàn)場控制層主井絞車房副井絞車房地面工業(yè)控制光纖環(huán)網(wǎng)瓦斯泵站風(fēng)機(jī)房地面變電所井下工業(yè)控制光纖環(huán)網(wǎng)皮帶機(jī)頭硐室中央變電所采區(qū)變電所辦公電腦辦公電腦辦公電腦OA、ERP服務(wù)器視頻服務(wù)器WEB服務(wù)器MES服務(wù)庫服務(wù)器MES服務(wù)庫服務(wù)器人員定位上傳服務(wù)器安全監(jiān)控上傳服務(wù)器磁盤陣列視頻服務(wù)器MESWEB服務(wù)器綜合自動化WEB服務(wù)器生產(chǎn)管理層企業(yè)資源層磁盤陣列生產(chǎn)監(jiān)控層解碼服務(wù)器采集服務(wù)器實(shí)時數(shù)據(jù)庫服務(wù)器采集服務(wù)器歷史數(shù)據(jù)庫服務(wù)器視頻服務(wù)器分站防爆控制器綜保報(bào)警器變頻電機(jī)攝像機(jī)甲烷/風(fēng)速傳感調(diào)度電話攝像機(jī)斷路器甲烷傳感攝像機(jī)液位/流量計(jì)攝像機(jī)斷路器攝像機(jī)電視墻調(diào)度指揮電話打印機(jī)PLC電力綜保PLC現(xiàn)場設(shè)備層操作員站工程師站防爆電器設(shè)備、人體傳感器、攝像機(jī)、廣播等地面PLC控制器、電力綜保、通信分站調(diào)度控制中心、操作員站、工程師站等生產(chǎn)執(zhí)行系統(tǒng)、調(diào)度管理系統(tǒng)、人員車輛定位系統(tǒng)、安全監(jiān)控系統(tǒng)等OA系統(tǒng)、ERP系統(tǒng)、CRM等L4

企業(yè)資源層L3

生產(chǎn)管理層L1

現(xiàn)場控制層L0

現(xiàn)場設(shè)備層L2

生產(chǎn)監(jiān)控層典型井工礦場景工控安全風(fēng)險(xiǎn)及需求現(xiàn)場控制層主井絞車房副井絞車房地面工業(yè)控制光纖環(huán)網(wǎng)瓦斯泵站風(fēng)機(jī)房地面變電所井下工業(yè)控制光纖環(huán)網(wǎng)皮帶機(jī)頭硐室中央變電所采區(qū)變電所辦公電腦辦公電腦辦公電腦OA、ERP服務(wù)器視頻服務(wù)器WEB服務(wù)器MES服務(wù)庫服務(wù)器MES服務(wù)庫服務(wù)器人員定位上傳服務(wù)器安全監(jiān)控上傳服務(wù)器磁盤陣列視頻服務(wù)器MESWEB服務(wù)器綜合自動化WEB服務(wù)器生產(chǎn)管理層企業(yè)資源層磁盤陣列生產(chǎn)監(jiān)控層解碼服務(wù)器采集服務(wù)器實(shí)時數(shù)據(jù)庫服務(wù)器采集服務(wù)器歷史數(shù)據(jù)庫服務(wù)器視頻服務(wù)器分站防爆控制器綜保報(bào)警器變頻電機(jī)攝像機(jī)甲烷/風(fēng)速傳感調(diào)度電話攝像機(jī)斷路器甲烷傳感攝像機(jī)液位/流量計(jì)攝像機(jī)斷路器攝像機(jī)電視墻調(diào)度指揮電話打印機(jī)PLC電力綜保PLC現(xiàn)場設(shè)備層操作員站工程師站信息網(wǎng)和生產(chǎn)網(wǎng)間缺少安全隔離，威脅極易傳播組態(tài)軟件PLC等自身存在漏洞，易被漏洞利用調(diào)度或運(yùn)維人員在使用Ｕ盤進(jìn)行日常維護(hù)，存在攜帶病毒進(jìn)系統(tǒng)的風(fēng)險(xiǎn)部分主機(jī)未關(guān)閉3389端口，存在被攻擊者惡意利用的可能簡單授權(quán)即可對關(guān)鍵工控設(shè)備操作，違規(guī)操作風(fēng)險(xiǎn)主機(jī)操作系統(tǒng)漏洞，無法抵御0-day等威脅缺乏整體信息安全規(guī)劃；缺乏工控安全管理制度、應(yīng)急處置預(yù)案等管理制度缺乏對違規(guī)、越權(quán)操作盡心更有效審計(jì)和管控措施；授權(quán)審計(jì)第三方開發(fā)，安全性無法保證；PLC多為國外產(chǎn)品，高危漏洞較多。組態(tài)軟件漏洞1主機(jī)操作系統(tǒng)陳舊，系統(tǒng)補(bǔ)丁幾乎未更新過，無法防御0day、勒索病毒。終端安全病毒、惡意代碼入侵，缺乏有效手段檢測異常行為惡意代碼入侵邊界安全缺少各區(qū)域各系統(tǒng)間的隔離手段，邊界模糊；4終端存在移動介質(zhì)感染、泄密的風(fēng)險(xiǎn)。37主機(jī)安全562市政-自來水生產(chǎn)監(jiān)控管理：水池水位、管道壓力、液位、流量、水質(zhì)、設(shè)備啟停監(jiān)控?cái)?shù)據(jù)統(tǒng)計(jì)：監(jiān)測數(shù)據(jù)統(tǒng)計(jì)、異常統(tǒng)計(jì)、故障統(tǒng)計(jì)、報(bào)警統(tǒng)計(jì)智慧水務(wù)系統(tǒng)組成：水廠監(jiān)控系統(tǒng)、管網(wǎng)壓力監(jiān)控系統(tǒng)、消防栓遠(yuǎn)程監(jiān)控系統(tǒng)、取水栓遠(yuǎn)程監(jiān)控系統(tǒng)、遠(yuǎn)程超標(biāo)系統(tǒng)、泵站監(jiān)控系統(tǒng)、二次供水系統(tǒng)、水源井監(jiān)控系統(tǒng)、三維管線GIS系統(tǒng)等通信形式多樣化，包括了GPRS通訊、NB-IOT、RS458、衛(wèi)星通信、有線的光纖、專網(wǎng)等市政-水廠系統(tǒng)設(shè)備構(gòu)成供水公司生產(chǎn)調(diào)度系統(tǒng)在設(shè)備構(gòu)成上可分為調(diào)度中心、通信網(wǎng)絡(luò)、遠(yuǎn)程測控設(shè)備和計(jì)量測量設(shè)備四大部分調(diào)度中心：控制主機(jī)、服務(wù)器、數(shù)據(jù)庫軟件、供水調(diào)度軟件等遠(yuǎn)程測控設(shè)備：水測控終端、取水/加壓泵、管網(wǎng)監(jiān)測、遠(yuǎn)程抄表等計(jì)量測量設(shè)備：水位計(jì)、壓力變送器、流量計(jì)、水質(zhì)傳感器、水泵等市政-水廠調(diào)度系統(tǒng)結(jié)構(gòu)一般城市供水生產(chǎn)調(diào)度系統(tǒng)分為兩級：水務(wù)調(diào)度中心及水廠分控中心。建立在自來水公司辦公區(qū)內(nèi)，對水源井、取水泵站、水廠、供水管網(wǎng)、加壓泵站進(jìn)行統(tǒng)一監(jiān)測；并根據(jù)用水狀況，調(diào)度各水廠、泵站的出水供給水務(wù)調(diào)度中心建立在各水廠內(nèi)，針對所轄取水泵站、水源井和水廠內(nèi)部進(jìn)行實(shí)時監(jiān)測和管理水廠分控中心市政-污水處理一級處理（采用物理方法，主要通過格柵攔截、沉淀等手段去除廢水中大塊懸浮物和砂粒等物質(zhì)。）調(diào)節(jié)池、格柵、沉沙池、初次沉淀池二級處理（采用生化方法，主要通過微生物的生命運(yùn)動等手段來去除廢水中的懸浮性，溶解性有機(jī)物以及氮、磷等）例如好氧活性污泥法、生物膜法、自然凈化設(shè)施三級處理（深度清理，是進(jìn)一步去除二級處理未能去除的污染物，如磷、氮及生物難以降解的有機(jī)污染物、無機(jī)污染物、病原體等）混凝、過濾、臭氧、膜處理“兩網(wǎng)連接”帶來的風(fēng)險(xiǎn)，網(wǎng)絡(luò)結(jié)構(gòu)合理性現(xiàn)場與遠(yuǎn)程運(yùn)維帶來的風(fēng)險(xiǎn)無線通訊帶來的風(fēng)險(xiǎn)軟件、硬件、協(xié)議的風(fēng)險(xiǎn)移動介質(zhì)使用不規(guī)范市政-水務(wù)工控安全風(fēng)險(xiǎn)總結(jié)市政-燃?xì)廨斔头趴账骞苎b置安全放散裝置安全切斷閥安全切斷閥加臭裝置市政-燃?xì)鈭鼍芭c傳輸工藝天燃?xì)猓ǔ鞘腥細(xì)廨斉湎到y(tǒng)）：一般由接受站(或門站)、輸配管網(wǎng)、儲氣設(shè)施、調(diào)壓設(shè)施以及運(yùn)行管理設(shè)施和監(jiān)控系統(tǒng)等共同組成。傳輸工藝：長管線→城市天燃?xì)廨斉洹邮照荆ㄩT站）→輸配管網(wǎng)（高壓/次高壓/中壓/低壓）→調(diào)壓室/儲配站→用戶市政-城市燃?xì)廨斉湎到y(tǒng)市政-燃?xì)夤た鼐W(wǎng)絡(luò)架構(gòu)與需求工控網(wǎng)邊界風(fēng)險(xiǎn)，工控網(wǎng)絡(luò)分輸站與調(diào)控中心的數(shù)據(jù)交互使用的是Modbus協(xié)議。操作系統(tǒng)漏洞，工作站存在大量病毒，影響正常生產(chǎn)運(yùn)營。通信協(xié)議存在漏洞。在分輸站與調(diào)控中心邊界部署工業(yè)防火墻，實(shí)現(xiàn)避免跨區(qū)域跨網(wǎng)段攻擊，入侵防御功能，避免病毒大面積傳播感染；在工作站、上位機(jī)、服務(wù)器部署工業(yè)主機(jī)安全防護(hù)系統(tǒng)，對操作系統(tǒng)進(jìn)行安全加固，對外設(shè)端口進(jìn)行管控；安全管理：集中管理工控安全設(shè)備，實(shí)現(xiàn)維護(hù)；滿足了政府監(jiān)管部門及集團(tuán)主管部門合規(guī)要求；安全需求工控方案制造-大類概述離散制造：創(chuàng)造；組裝；對各個部件處理來制造一件商品。流程制造：生產(chǎn)的產(chǎn)品是源于原料和配方電子電器、家電、汽車及配件、機(jī)械設(shè)備等（按“個”賣）鋼鐵、有色金屬、化肥、石化、造紙、化工等（按“斤”賣）離散制造流程制造制造-行業(yè)分布制造業(yè)電子類其他類雷達(dá)工業(yè)、通信設(shè)備工業(yè)、電子計(jì)算機(jī)工業(yè)、家用視聽設(shè)備工業(yè)、電子測量儀器工業(yè)、電子元件工業(yè)、電子器件工業(yè)、電子信息機(jī)電產(chǎn)品工業(yè)、電子信息產(chǎn)品專用材料工業(yè)行業(yè)鐵道及電車道用機(jī)車和車輛及動車組、工礦有軌專用車輛、鐵路機(jī)車車輛配件及零件、鐵路專用設(shè)備及器材和配件、汽車、改裝汽車、電車、汽車車身及掛車、機(jī)動車零部件及配件、摩托車整車、摩托車零部件及配件建筑用工程機(jī)械、建筑材料生產(chǎn)專用機(jī)械、冶金專用設(shè)備、煉油及化工生產(chǎn)專用設(shè)備、食品飲料及煙草工業(yè)專用設(shè)備、印刷專用設(shè)備、農(nóng)林牧漁專用機(jī)械、醫(yī)療儀器設(shè)備及器械、環(huán)境污染防治專用設(shè)備儀器儀表及文化、辦公用機(jī)械、專用儀器儀表文化、辦公用機(jī)械、工業(yè)自動控制系統(tǒng)與儀器儀表裝置機(jī)械設(shè)備交通運(yùn)輸安全管理中心安全域劃分：將工控網(wǎng)絡(luò)細(xì)分為安全域一、安全域二、安全域三、安全管理中心等多個區(qū)域，為縱深安全防御體系建設(shè)打下基礎(chǔ)。安全通信網(wǎng)絡(luò)：搭建合理的網(wǎng)絡(luò)架構(gòu)，完善身份認(rèn)證、訪問控制、數(shù)據(jù)加密傳輸。安全區(qū)域邊界：實(shí)現(xiàn)工控網(wǎng)絡(luò)內(nèi)部安全域及工控網(wǎng)絡(luò)與非工控網(wǎng)絡(luò)的隔離與策略控制。安全計(jì)算環(huán)境：對工控系統(tǒng)工業(yè)主機(jī)、工業(yè)應(yīng)用軟件、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等計(jì)算環(huán)境進(jìn)行安全防護(hù)。安全管理中心：實(shí)現(xiàn)對整個工控系統(tǒng)網(wǎng)絡(luò)設(shè)備的集中管控與威脅展示。工控安全服務(wù)：對工控網(wǎng)絡(luò)進(jìn)行等保咨詢、安全運(yùn)營、漏洞挖掘。ERPMES集中式控制服務(wù)器/HMI本地監(jiān)控服務(wù)器/HMI本地監(jiān)控服務(wù)器/HMI控制器（PLC/DCS/RTU）傳感器/執(zhí)行器L3生產(chǎn)管理層L4企業(yè)資源層L2過程監(jiān)控層L1現(xiàn)場控制層L0現(xiàn)場設(shè)備層安全域一安全域二安全域三典型制造業(yè)、水務(wù)、燃?xì)夤た叵到y(tǒng)安全方案企業(yè)資源層/L4生產(chǎn)管理層/L3過程監(jiān)控層/L2現(xiàn)場控制層/L1現(xiàn)場設(shè)備層/L0工程師站產(chǎn)線1工程師站產(chǎn)線N歷史數(shù)據(jù)庫操作員站HMICAMMES系統(tǒng)ERPWebOAINTERNET控制器/PLC控制器/PLC工業(yè)集中管理和分析系統(tǒng)IMAS全網(wǎng)主機(jī)日志集中管理日志上傳防火墻日志集中管理日志上傳工業(yè)主機(jī)防護(hù)控制中心策略下發(fā)日志上傳工業(yè)主機(jī)安全防護(hù)工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)安全監(jiān)測數(shù)據(jù)采集服務(wù)器工業(yè)網(wǎng)閘WIPS安全管理中心工業(yè)安全監(jiān)測數(shù)據(jù)庫審計(jì)工業(yè)安全漏掃堡壘機(jī)管理中心防火墻工業(yè)防火墻安全區(qū)域邊界工業(yè)網(wǎng)閘工業(yè)防火墻（含IPS、AV、Anti-DDoS、失陷主機(jī)檢測等）、智慧防火墻工業(yè)安全監(jiān)測、工業(yè)審計(jì)、工業(yè)入侵檢測訪問控制、無線入侵防御（WIPS)安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)規(guī)劃、安全域劃分、鏈路冗余、雙機(jī)、Bypass、流控(QoS)VPN安全計(jì)算環(huán)境工業(yè)主機(jī)安全防護(hù)（含白名單、外設(shè)管理、主機(jī)加固、漏洞防護(hù)等）外設(shè)管理、準(zhǔn)入/準(zhǔn)出數(shù)據(jù)庫審計(jì)數(shù)據(jù)備份恢復(fù)系統(tǒng)安全管理中心工業(yè)安全集中管理和分析系統(tǒng)IMAS堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描三權(quán)分立安全域二安全域三安全域一工業(yè)防火墻工業(yè)主機(jī)安全防護(hù)工業(yè)網(wǎng)閘智慧防火墻工業(yè)集中管理和分析系統(tǒng)IMAS圖示說明VPNAPAP日志審計(jì)智慧防火墻工業(yè)防火墻典型制造業(yè)、水務(wù)、燃?xì)夤た匕踩桨镐撹F-行業(yè)概述鋼鐵工業(yè)生產(chǎn)工藝流程中國主要鋼鐵工業(yè)中心鋼鐵工業(yè)：生產(chǎn)鐵、鋼、鋼材、純鐵和鐵合金的工業(yè)，是世界所有工業(yè)化國家的最關(guān)鍵基礎(chǔ)重工業(yè)。生產(chǎn)工藝流程：煉焦（焦?fàn)t）→煉鐵（高爐）→煉鋼（轉(zhuǎn)爐or電爐）→連鑄→熱軋→冷軋→產(chǎn)品（板材/線材/型鋼/管鋼）鋼鐵-企業(yè)信息化層結(jié)構(gòu)一級和二級與包括整個生產(chǎn)線的過程控制和單體設(shè)備基礎(chǔ)自動化，是整個鋼鐵企業(yè)信息化的基礎(chǔ)。三級系統(tǒng)是進(jìn)行生產(chǎn)作業(yè)的計(jì)劃、執(zhí)行與監(jiān)控以及生產(chǎn)實(shí)時數(shù)據(jù)的采集和管理。四級針對鋼鐵企業(yè)業(yè)務(wù)層面的管理，以ERP為核心應(yīng)用，通過信息系統(tǒng)把先進(jìn)的管理理念和方法固化下來，對企業(yè)的內(nèi)、外部供應(yīng)鏈進(jìn)行系統(tǒng)、高新的整合和管理。五級在整個鋼鐵企業(yè)IT層次模型的最高層，大量業(yè)務(wù)數(shù)據(jù)進(jìn)行挖掘、分析，得出分析建議，為企業(yè)管理層的科學(xué)決策提供堅(jiān)實(shí)的基礎(chǔ)。生產(chǎn)基礎(chǔ)自動化系統(tǒng)生產(chǎn)監(jiān)控系統(tǒng)生產(chǎn)執(zhí)行系統(tǒng)生產(chǎn)管控與支撐系統(tǒng)企業(yè)計(jì)算與數(shù)據(jù)中心12345鋼鐵-工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與需求分析生產(chǎn)數(shù)據(jù)安全防護(hù)數(shù)據(jù)庫、歷史服務(wù)器重要生產(chǎn)數(shù)據(jù)丟失與勒索加密計(jì)算環(huán)境安全防護(hù)操作員站、工程師站、工控機(jī)、服務(wù)器各種病毒、惡意代碼工控邊界安全防護(hù)生產(chǎn)網(wǎng)與辦公網(wǎng)邊界攻擊，煉鐵、煉鋼、熱軋、冷軋產(chǎn)線區(qū)域邊界攻擊工控網(wǎng)絡(luò)流量監(jiān)測工控網(wǎng)絡(luò)傳輸流量進(jìn)行實(shí)時監(jiān)測資產(chǎn)、漏洞、威脅，安全審計(jì)，事后追溯通信網(wǎng)絡(luò)安全防護(hù)煉鐵/煉鋼/熱軋/冷軋產(chǎn)線生產(chǎn)工控網(wǎng)絡(luò)需要保障實(shí)時性、穩(wěn)定性、安全性安全集中管理中心所有工控網(wǎng)絡(luò)安全設(shè)備，工業(yè)以太網(wǎng)設(shè)備，工業(yè)控制系統(tǒng)無集中統(tǒng)一管理病毒惡意代碼入侵生產(chǎn)工藝重?cái)?shù)據(jù)丟失、勒索加密邊界跨區(qū)域跨網(wǎng)段攻擊工控資產(chǎn)、漏洞、威脅生產(chǎn)網(wǎng)實(shí)時性、穩(wěn)定性安全集中統(tǒng)一管理、分析、態(tài)勢原廠遠(yuǎn)程運(yùn)維與升級移動介質(zhì)與無線WiFi企業(yè)資源層/L4生產(chǎn)管理層/L3過程監(jiān)控層/L2現(xiàn)場控制層/L1現(xiàn)場設(shè)備層/L0工程師站產(chǎn)線1工程師站產(chǎn)線N歷史數(shù)據(jù)庫操作員站HMICAMMES系統(tǒng)ERPWebOAINTERNET控制器/PLC控制器/PLC工業(yè)集中管理和分析系統(tǒng)IMAS全網(wǎng)主機(jī)日志集中管理日志上傳防火墻日志集中管理日志上傳工業(yè)主機(jī)防護(hù)控制中心策略下發(fā)日志上傳工業(yè)主機(jī)安全防護(hù)工業(yè)防火墻工業(yè)安全監(jiān)測工業(yè)安全監(jiān)測數(shù)據(jù)采集服務(wù)器工業(yè)網(wǎng)閘WIPS安全管理中心工業(yè)安全監(jiān)測數(shù)據(jù)庫審計(jì)工業(yè)安全漏掃堡壘機(jī)管理中心防火墻工業(yè)防火墻安全區(qū)域邊界工業(yè)網(wǎng)閘工業(yè)防火墻（含IPS、AV、Anti-DDoS、失陷主機(jī)檢測等）、智慧防火墻工業(yè)安全監(jiān)測、工業(yè)審計(jì)、工業(yè)入侵檢測訪問控制、無線入侵防御（WIPS)安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)規(guī)劃、安全域劃分、鏈路冗余、雙機(jī)、Bypass、流控(QoS)VPN安全計(jì)算環(huán)境工業(yè)主機(jī)安全防護(hù)（含白名單、外設(shè)管理、主機(jī)加固、漏洞防護(hù)等）外設(shè)管理、準(zhǔn)入/準(zhǔn)出數(shù)據(jù)庫審計(jì)數(shù)據(jù)備份恢復(fù)系統(tǒng)安全管理中心工業(yè)安全集中管理和分析系統(tǒng)IMAS堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描三權(quán)分立安全域二安全域三安全域一工業(yè)防火墻工業(yè)主機(jī)安全防護(hù)工業(yè)網(wǎng)閘智慧防火墻工業(yè)集中管理和分析系統(tǒng)IMAS圖示說明VPNAPAP日志審計(jì)智慧防火墻工業(yè)防火墻鋼鐵-等級保護(hù)方案軍工智能制造發(fā)展趨勢借助智能制造與數(shù)字化網(wǎng)絡(luò)技術(shù)，推動產(chǎn)品、技術(shù)與服務(wù)創(chuàng)新與升級。對外強(qiáng)化產(chǎn)業(yè)鏈協(xié)同、充分發(fā)揮產(chǎn)業(yè)核心企業(yè)帶動作用，打造產(chǎn)業(yè)整體優(yōu)勢。對