珞安科技某汽车制造企业典型案例入选首届安全可信优秀解决方案

为落实《网络安全法》、国家等级保护制度和《关键信息基础设施安全保护条例》，进一步促进可信计算产业生态快速发展，展示中关村可信计算产业联盟（以下简称“可信联盟”）成员单位在主动免疫可信计算核心技术上取得突破，加快安全可信产品和服务的推广应用，可信联盟举办首届安全可信解决方案等评优活动。珞安科技申报的《某汽车制造企业工控主机安全加固防护解决方案》经过专家评选和网络票选的层层比拼，成功入选2022年度首届安全可信优秀解决方案评优名单。

为确保本次评优活动的严谨性和专业性，可信联盟通过组织5场专家评审会、1场媒体评审会和网络投票活动，最终评选出40个安全可信解决方案。

 

珞安科技的《某汽车制造企业工控主机安全加固防护解决方案》，以纵深防御的防护理念为核心，结合汽车制造行业工业控制系统网络的业务特点，参考《信息安全技术网络安全等级保护》《工业控制系统安全防护指南》等相关技术要求，为企业用户构建以工业控制网络、设备、数据、控制、应用为目标防护对象的立体安全防护思路。充分体现珞安科技在理念创新、技术领先、产品可靠等方面优势，受到专家、媒体和评审的一致认可成功入选。方案具体内容如下：

 

• 项目背景

1、项目背景

伴随工业4.0的兴起、工业互联网的诞生和我国“中国制造2025”战略的提出，新一代信息技术在工业领域广泛应用，IT系统与OT系统进行了深度融合，推动了生产制造模式的变革、产业的组织创新以及产业结构升级。

 

某汽车制造企业集全系列商用车、乘用车及动力总成研产销和服务于一体，按照国家、部委、企业等相关法规政策要求对生产网络进行建设，满足企业对生产网络安全多层次、全方位、细粒度、高可靠、易扩展、易管理等安全需求，实现生产网络安全的全面防护和动态监控，提升安全防护能力，改善网络安全现状，提高生产效率，打造一个“全生态链、全产业链、全价值链”的综合性汽车服务平台。

 

2. 项目简介

本项目主要针对该企业的汽车制造生产控制系统的安全防护措施建设和工业车间控制系统网络安全防护，包括各产品生产车间的焊接、涂装、冲压、总装等工艺PLC系统组成。

 

3. 项目目标

本项目在深刻了解该企业工业控制系统具体需求和安全威胁基础上，按照国家和国际工控系统相关安全标准要求，充分发挥工业控制系统安全防护产品和服务优势，为工业控制系统提供全方位、多层次的深度防护，为用户打造纵深防御的一体化工控系统安全防御体系，全面提升行业工业控制系统的自身免疫能力，确保行业基础设施和重要生产设施的安全运行。

 

二、方案内容

本方案结合汽车制造业工业控制系统的实际安全需求和等级保护2.0的新要求，针对该客户的需求与网络安全现状，依据相关政策、法规和标准，对安全管理中心、边界隔离防护、通信网络防护、数据安全防护，实现事前预警、事中防范和事后取证等安全能力进行保障。

 

1. 顶层设计架构

珞安科技参考《信息安全技术网络安全等级保护》《工业控制系统安全防护指南》等相关技术要求，以纵深防御的防护理念为核心，结合汽车制造行业工业控制系统网络的业务特点，构建以工业控制网络、设备、数据、控制、应用为目标防护对象的立体安全防护思路。珞安科技参考《信息安全技术网络安全等级保护》《工业控制系统安全防护指南》等相关技术要求，以纵深防御的防护理念为核心，结合汽车制造行业工业控制系统网络的业务特点，构建以工业控制网络、设备、数据、控制、应用为目标防护对象的立体安全防护思路。

图1  设计思路

方案中的安全技术防护和安全管理防护是工业控制系统纵深防御的核心内容，是保障工业控制系统安全运营的两翼，缺少其中任何一个，都无法确保系统的安全。

在安全技术方向，方案遵从P2DR模型，并主要从威胁防护、监测感知、处置恢复三个维度开展安全技术防护工作。

在安全管理方向，主要从汽车制造行业工业控制系统的全生命周期安全风险管理、企业安全建设目标、系统安全建设策略三个方面展开安全管理工作。

 

2. 安全互联架构

图2  整体网络架构

 

边界安全防护

通过在过程管理域核心交换机与各生产车间之间串接部署工业防火墙，有效检测和防御来自工控系统内外部的网络攻击，同时针对工控系统的工业协议进行指令级安全过滤，通过机器自学习的方式建立可信业务模型，形成业务白名单规则，防止过程管理域向工艺车间生产控制系统发送恶意操作指令，实现未知攻击的有效拦截，满足边界安全防护的技术要求。

 

入侵行为检测

在过程管理域核心交换机旁路接入入侵检测系统，及时发现内网中利用网络针对服务器、操作站进行端口扫描、嗅探、伪装、SQL注入等主流网络攻击进行实时报警和定位，将告警信息上传给态势预警平台进行安全分析和集中决策。

 

网络行为审计

在过程管理域核心交换机旁路部署工控网络审计系统，通过对工业协议深度解析，实时记录操作过程中的人员、指令、荷载、目标设备、时间、动作等一系列操作关键信息，通过可信业务模型针对违规操作、误操作、非法设备接入等进行及时发现、审计和告警，实现事后取证，帮助还原具体时间段的操作细节。

 

操作系统安全加固

在生产监控系统的服务器、工程师站操作员站分别部署主机加固系统，针对使用人员实现双因素认证，通过技术手段规避管理方面执行不到位的风险；针对操作系统主机策略进行基线配置，密码策略、日志策略、审核策略等统一配置，提高操作系统的安全等级；通过主机PE文件、SCADA程序文件的指纹提取，构建主机防护可信任的白名单防护规则，有效抵御已知攻击和未知威胁；通过安全标记实现强制访问；同时针对外设进行统一管控，杜绝不明U盘违规接入，配合安全U盘实现安全的数据摆渡。满足等级保护三级安全计算环境的计算要求。

 

日志集中采集与分析

通过对过程管理域与各工艺车间的网络设备、安全设备、操作站、Windows、Linux、Unix、数据库、SCADA的运行状态信息、告警信息进行集中采集、分类、过滤、范式与合并，对网络全局的日志安全事件进行自动联系分析，根据系统默认或自定义规则识别网络威胁和负责的攻击模式，从而确定事件的真实性、进行事件分级并进行有效的响应 。通过对日志内容的深度分析，对采集到的日志数据进行动态分析，将网络非法访问、数据违规操作、系统进程异常、设备故障等高危安全事件，从海量日志数据中提取出来，并通过内置告警规则采用桌面屏幕、邮件、短信、SYSLOG、SNMP等方式通知管理员及时处理。

 

运维审计与管控

在过程管理域部署运维安全审计系统，实现系统账号、权限的集中管控和审计，通过对登录人员的身份识别，按需分配操作权限，实现安全管理的同时，实现精准的操作审计，帮助用户规避越权访问、误操作、账号过期未清除、策略无法落地等管理方面的安全风险。

 

集中安全管理

为了实现各防护设备和软件的协调联动，需要在过程管理域部署集中安全管理平台，对各场站和过程管理域的工控防护设备和软件进行集中管理，提供统一的策略配置接口，总览各设备和软件的运行状态、事件记录和威胁日志等关键信息。各安全防护设备和软件由集中管理装置统一控制、配置和管理，统一部署安全策略，并监测工控网络的通信流量与安全事件，对工控网络内的安全威胁进行分析，消除安全孤岛，从整体视角进行安全事件分析、安全攻击溯源等，重点解决安全防护设备各自运维而导致的信息不畅和事件处置效率低下等问题。

 

态势感知与威胁预警

通过态势感知与预警平台能够实现针对汽车生产系统全局风险的感知，如工控资产分类与统计、资产存在的漏洞等级与数量统计，同时依据国内外最新通报的安全事件和威胁信息，通过内置威胁感知引擎和外部威胁情报的支持，利用现场安全设备的告警日志、网络流量异常状态、主机安全状态分析，针对潜在的风险进行高级动态分析和定位，提供网络安全应急处置策略和建议，同时，为使用方提供威胁预警能力，基于少量的异常行为和特征信息预测当前将要出现的网络攻击和威胁，为决策指挥人员提供技术依据和支撑，便于有针对制定安全防范措施和预案。

 

三、具体应用场景和应用模式

系统整体可采用分布式架构，支持单级或多级应用部署（厂区级、分公司级、集团级）满足不同层级的用户应用场景。支持全方位工控安全数据采集，主要包括来自工控主机、工控网络设备、工控网络安全设备、工控数据库软件的威胁事件、操作日志，以及关键位置的工控流量数据采集。

 

本套方案可以广泛应用于智能制造、石油石化、天然气、电力、水利、铁路、轨道交通、城市市政以及其他与国计民生紧密相关领域的工业控制系统，提供可定制化和可扩展的安全解决方案。并通过对安全大数据的深度挖掘，借助AI智能技术，充分利用资产管理、流量分析、威胁感知、关联分析、风险评估、可视化等技术和功能，实现整体安全防护能力和运营能力的提升。

 

四、方案亮点

原有的网络安全监测主要依靠网络流量进行采集和展示，且流量源有限，协议解析能力有限，对危险的识别也有限，并且各自成体系，无法形成统一的网络安全管理系统，造成网络安全监测“死角”的存在，无法做到事前预测、事中防御、事后追溯的效果。

 

本方案集成了工控环境下白名单、黑名单、IP/MAC地址绑定、异常流量等常用的安全策略，辅以自定义的安全策略，能调用工业防火墙、工控安全审计、主机加固等安全产品实现对工控网络APT攻击、异常行为和非法数据包等多种威胁进行多方式保护，对发现的威胁进行告警和阻断，保护工业控制网络安全，有效的提高网络的安全性。

 

以工控资产及业务为核心，以安全事件管理为关键流程，采用安全域划分的思想，建立一套实时的风险模型，实现对各类资产和业务的信息采集、关联分析、日志审计、事件监控、流量分析、网络攻击防范、态势感知、安全预警和快速响应，做到“集中监控、统一管理、全面分析、快速响应”。

 

通过扩展安全数据源、增强协议解析能力，增加AI安全大数据分析和挖掘，训练出更适合当地系统的安全分析、预测、决策模型，并以快速定位、易理解、易管理的展示形式，形成一套完整的汽车制造企业安全防护和态势感知系统。

 

五、客户价值

优化了网络安全管理模式，减轻网络安全运维人员的网络安全现状检查及分析的工作；同时，按照近年各行业事故数量和经济损失统计估算，本成果推广应用预期可对网络安全风险进行有效规避，减少经济损失。

 

 

本方案既做好了安全风险把控，又节省了人力物力，节约了工作成本，减少经济损失，提升了经济效益。增强了对工控系统信息安全的全局掌控能力，提升了网络安全防护管理和运营水平，实现了国家、行业和企业对网络安全的要求。

 

六、结语

此次入选安全可信解决方案名单，是业界对珞安科技创新能力和产品实力的高度认可。未来，珞安科技将继续紧跟技术发展趋势，加大研发力度，在现有产品和解决方案的基础上，结合可信计算技术架构进行积累和创新，打造更多“好用、易用、耐用”的差异化安全可信产品和解决方案，切实保障工业企业生产安全与稳定，牢筑工业网络空间安全基座。