当前，随着工业信息化的快速发展，“两化融合、工业互联网”等国家战略的启动，云计算、大数据、人工智能、物联网等新一代信息技术和制造技术的加速融合，工业控制系统从原来的封闭独立向开放发展，从单机向互联互通，从自动化向智能化发展。然而，在工业企业获得巨大发展动力的环境背景下，也产生了大量的安全风险，工业控制安全面临严峻挑战。
做好工控系统的安全防护方案，不仅要对工控系统及相关网络有深入的了解，还要对其承载的业务有足够的了解。但从现状来看，工控安全人员与业务运营、系统运行的联系有待加强，所掌握的数据不够准确，对工控系统网络安全需求的定位不够清晰，导致所实施的安全防护策略对系统运行的影响不是正面的，或者所使用的相关网络安全技术针对性不够，没有真正起到防护作用。针对这种情况，安盟信息等相关企业进行了不懈而深入的研究和探索，逐渐形成了完整的认知体系和解决方案。
工业控制系统的特殊性
工业控制系统以“可用性”为第一安全需求，而传统IT网络安全以“保密性”为第一安全需求。在信息安全的三个属性中，传统安全的优先级是机密性、完整性和可用性，而工业控制系统的优先级是可用性、完整性和机密性。
首先，工控系统对实时性、无延时、无网络中断的要求很高。鉴于这种差异，工业控制安全解决方案和工业控制安全产品都应该考虑工业控制系统的这一特点:
从工控安全产品来看，需要在软硬件设计上达到更高的可靠性，比如硬件要求无风扇设计和宽温宽压设计，比如支持旁路功能的工业防火墙。
就安全解决方案而言，工业控制安全解决方案的体系和框架应着眼于工业控制系统的高可用性，最大程度地保护工业控制系统的安全，避免与工业控制系统发生冲突，让工业生产始终保持绿色。
工业控制系统的风险和要求
在分析工业控制系统特殊性的同时，安盟信息等相关企业也将研究重点放在工业控制网络上。这方面工控环网、调度网、信息管理网、视频网、第三方边界都是互联的，很多网络都是互联的。大区域的生产企业，数据流不清晰，隔离措施不完善，隔离强度不够等。，并且在网络层面存在跨地区、跨网络的非授权访问风险，以及病毒横向传播风险。
同时，工控主机系统的漏洞很少打补丁，补丁不敢下载，身份认证方式单一。工控主机未部署针对已知和未知病毒的防护措施，工控主机环境存在误操作、非法攻击、勒索病毒感染等风险。加强工控主机和病毒免疫迫在眉睫。
不仅如此，在当前的生产网络中，各种安全威胁不断涌入工业控制系统。大多数生产企业缺乏对工业流量的监控和审计手段，无法对工业控制系统协议层的恶意攻击和异常流量进行审计，无法对工业控制命令攻击和控制参数篡改进行实时监控和报警，使网络入侵长期伴随，最终导致安全生产事故的发生。
在工控管理层面，工业企业缺乏工控安全管理体系，没有建立安全管理体系，各项管理制度不完善，甚至没有安全管理人员，极大地制约了生产企业的快速发展。
安盟的信息工业控制安全解决方案防御概念:一个中心，两个分离，三个边界。
基于上述背景和需求，安盟的信息工业控制安全解决方案防御理念从“一个中心”、“两个分离”、“三个边界”三点入手。
安盟信息工业控制安全解决方案的防御理念
什么是“一个中心”
所谓“一个中心”，就是由于工控系统的脆弱性明显，用户资产底数不清，安全状况不明，缺乏风险预警。再者，由于安全防护难、用户不敢尝试、措施落实等原因，工控系统的信息安全管理存在严重的“鼠患”。既要抓住“老鼠”，又不能破坏“瓷器”。在这种情况下，坚持综合安全管理尤为重要。
对此，安盟信息提出的解决方案是以企业安全生产为中心，通过安全管理中心/安全态势管理中心保障企业生产的稳定运行，实现工业生产全景的安全态势感知、分析、预警和门禁。此外，还需要对异常报警行为形成工单并赋给人工进行干预，同时配合相应的防护设备进行防御。
一个中心:坚持一个中心，让安全赋能生产，促进生产，保障生产。
什么是“两分离”
所谓“两分离”，就是在工控网络管理中，存在工控业务流和安全管理数据流，工控系统的运行和网络安全管理必然会发生冲突。这种情况是由工控系统和业务流程的特点造成的。在一些工业客户中，生产网络单向上传数据到管理网络，管理网络不发送数据，所以部署在管理网络的安全管理中心，无法收集日志和管理生产网络的安全设备。第二，工控系统建设之初，并没有过多考虑网络安全的需求。一些生产系统在并发性、性能和安全性方面存在一定的瓶颈。后期安全的介入，无论是运维还是数据上传，都必然会对工控系统产生影响。工业控制侧重于业务系统的稳定，安全和业务在和谐的状态下平衡互补。
对此，安盟信息给出的解决方案是实现业务数据流和安全管理保护数据流分离，互不干扰；收集和分析网络安全设备的运行状态、安全风险和流量日志。同时，方案要适合生产系统的分布特点，突破生产系统的地域限制，如对各单位DCS系统的安全设备进行集中管理和维护。
分离:楚河-韩杰+互不干涉，业务与安全数据分离。
什么是“三个界限”
工业控制系统的三个主要边界是生产网络与第三方的边界，生产网络与管理网络和主机的边界。说到“三个边界”，首先要从工控系统面临的外部压力说起。工业控制系统作为国家关键基础设施的重要组成部分，已经成为黑客、黑产和极端势力的重要目标。随着生产企业数字化、网络化、智能化的发展，网络安全隐患和风险骤然加剧。许多信息系统相互隔离，朝着全连接数据交换和系统互联的方向发展，给工业生产的智能化带来了新的安全挑战和风险。
基于这样的挑战和风险，我们应该认识到工业控制系统中存在着几个边界，比如信息化、调度中心、企业内部边界。外部边界如管理层、主管部门和其他第三方监理单位等。
从现状来看，很多企业的工控系统内外边界不准确，业务流程不清晰，导致边界安全防护没有真正起到防护作用，都会影响生产经营的连续性。针对这种情况，安盟信息提出从“境外作战”和“境内守备”两方面制定解决方案。“外面熙熙攘攘”就是找出所有网络边界使之清晰，采用单向、双向、双单向的差异化隔离技术。同时，在实现内部隔离的基础上，还是要注重内部隔离；“安妮”指的是主机安全问题的首要解决方案。同时可以部署安盟华宇机甲卫士进行3合1防护，实现软件和进程的白名单防护。
三、边境:忙外+忙内，构筑边境安全防御体系。
总之，工控三界保护是工控安全最重要的措施，应坚持“单向而非双向”、“双向而非双向”的原则，即根据实际业务流程需求，即如果业务数据交换需求可以通过单向光闸完成，则优先采用该方案，如与第三方外联、信息OPC采集等。
不仅如此，如果单向不能满足业务需求，可以使用两套单通道平台完成正反向数据交换，两个独立通道互不干扰，即工控系统和办公互联可以选择这种方案。最后选择一般的双向交换，即域内交换或进程间隔离。
综上所述，工控安全强调与工控系统安全的融合。工控安全是一个大的安全范畴，是支撑工控系统全生命周期高可用性的关键。它由控制系统安全、安全防护设备、业务生产过程安全、功能安全、工业控制网络安全和信息安全组成。解决方案需要将工控安全与工业生产深度融合，以保障工控系统可用性为重点，综合运用功能安全、信息安全等技术手段和防护措施。
随着工业企业的发展，传统的IT安全设备或单一的技术手段已经不能保证工业控制系统的安全稳定运行。只有建立工控顶层安全体系，从自控、密码赋能、协议安全等顶层设计入手。，才能从根本上解决工业控制系统的网络安全隐患。凭借在新一代边界安全、工业互联网安全、商用密码应用、数据安全等领域的深刻理解和深厚经验，安盟多维度强化工业控制安全防护能力，推动中国数字经济进入全面发展新时代，助力中国工业产业高质量发展！
