日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

1、背景介紹

我國經過四十多年的改革開放，已躍升為世界汽車產銷第一大國，汽車產業成為國民經濟重要的支柱產業。在“十四五”時期，加快數字化發展，打造數字經濟新優勢，正在成為我國經濟增長的新引擎，汽車產業作為國民經濟重要的產業之一亟需實現數字化轉型。當下，國內汽車產業的數字化探索已經進入了攻堅期、深水區，伴隨著數字化的加速變革，我國汽車產業也將面臨前所未有的全價值鏈重構。因此車企的數字化轉型成功與否，不僅關乎企業自身的生存與發展，也決定著未來整個產業能否實現高質量發展。智能制造是貫徹落實《中國制造2025》的戰略部署，是兩化深度融合的主攻方向，也是增強我國制造業發展優勢的關鍵所在；大力發展智能制造是加快制造強國建設步伐、加速推動汽車產業由規模速度型向質量效益型轉變、實現數字化轉型的重要途徑。

“工業 4.0”時代的來臨、“互聯網+”的提出、以及“兩化融合”腳步的加快，汽車制造工業自動化與控制網絡也向著分布式、智能化的方向迅速發展，越來越多基于TCP/IP的通信協議和接口被采用，然而，在工控系統越來越開放的同時，也同步削弱了控制系統與外界的隔離和安全保護。因此，汽車制造企業在享受網絡互聯帶來的種種便利的同時，也面臨著各種各樣的安全威脅，包括病毒、木馬、黑客以及敵對勢力。

2020年6月，本田汽車發現遭受工業型勒索軟件攻擊，被迫關閉其位于美國、土耳其、印度和南美部分工廠，導致生產停頓、產量下降。部分生產系統中斷，該事件正在影響其全球范圍內的業務。

某汽車制造業企業新建工廠都實現了數字化的部署，但是在生產制造過程中面臨這運維過程缺乏有效管控手段、網絡區域沒有進行有效隔離，移動介質不恰當使用等問題，導致惡意代碼引入病毒在生產制造網絡中傳播，影響生產過程中網絡的質量或者導致關鍵的主機資源不可用，已經影響到了數字化車間正常生產活動的進行。

2、目標與原則

解決企業在生產運行中面臨的安全風險并滿足國家對企業工業企業網絡安全的要求。實現對數字化車間主要生產工藝過程沖、焊、涂、總、分揀車間所面臨網絡安全風險的有效識別，各個主要車間生產區域的網絡有效隔離，生產過程中有效的運維管理安全事件的快速響應。為了保障實施的安全、有效，在建設中重點考慮如何的建設原則：

?  “零修改、無擾動”原則：在安全建設的過程中，不會對生產控制系統的運行環境、配置、參數等進行修改，保證生產控制系統運行的可靠性、穩定性和實時性。

?  “適度安全”原則：沒有絕對的安全，安全和易用性是矛盾的，需要做到適度安全，找到安全和易用性的平衡點。

?  安全性原則：產品設計方案要能夠為汽車制造（主機廠）的信息安全提供指導、建設方向，必須保證其工控信息資源受控、合法、安全地使用。

?  可靠性原則：產品定制開發應在不影響生產控制系統功能和效率的前提下，做到穩定、可靠地不間斷運行。

?  動態調整原則：網絡安全問題不是靜態的，它總是隨著管理相關的組織策略、組織架構、信息系統和操作流程的改變而改變，因此必須要跟蹤信息系統的變化情況，調整安全保護措施。

?  可擴展性原則：定制開發的產品必須允許汽車制造（主機廠）增加新的安全組件與安全功能，必須保證生產控制系統安全性不斷增長的需要。

?  標準化原則：生產控制系統安全防護產品的安全規劃、安全建設、安全整改及建設的各個環節都必須符合國家關于信息安全的法律、法規和相關行業標準。

?  可管理性原則：生產控制系統安全防護產品必須可管理，做到分布式安全布控，集中式安全管理。

?  經濟適用原則，汽車制造（主機廠）工控安全解決方案的設計要從綜合成本的角度，針對系統的實際風險，提出對應的保護強度，并按照保護強度進行安全防護系統的設計和建設，從而有效控制成本，安全、經濟和適用的性價比合理。

?  統籌規劃、分步實施的原則：汽車制造（主機廠）工控安全防護產品的現場實施將做好統籌規劃工作，制訂總體方案，邊開發、邊服務的分步實施方針，避免因防護產品不能有效發揮作用而影響投資的效益。

?  技術管理并重原則：網絡安全問題從來就不是單純的技術問題，把防范黑客入侵和病毒感染理解為網絡安全問題的全部是片面的，僅僅通過部署安全產品很難完全覆蓋系統所有的網絡安全問題，因此必須要把技術措施和管理措施結合起來，更有效的保障信息系統的整體安全性，形成技術和管理兩個部分的解決方案。

?  成熟性原則：本方案設計采取的安全措施和產品，在技術上是成熟的，是被檢驗確實能夠解決安全問題并在很多項目中有成功應用的。

3、案例實施與應用情況

本次案例中我們將實現的技術結構模型進行了抽象，劃分為七層，由低到高分別是基礎設施層、安全防護層、數據采集層、數據存儲層、建模分析層、平臺功能層、大屏展示層。

技術結構模型圖

第一層：基礎設施層是工控集成廠商為汽車制造企業構建的重要信息系統，其中涉及到的產品有PLC、交換機、路由器、操作系統、數據庫、中間件和應用系統等軟硬件設備，基礎設施層是確保汽車制造企業正常開展業務工作的基礎；

第二層：安全防護層是在確保系統能夠正常完成業務工作的情況下運用多種技術手段、安全配置和安全產品保障網絡和系統運行的安全性，包括邊界防護和綜合防護，形成縱深防御體系；

第三層：數據采集層針對系統網絡中的各個安全控制節點，分別部署相應的探針，探針用于對各個安全控制節點的日志、數據、流量等信息進行統一收集并上傳；

第四層：數據存儲層將數據采集層中部署的探針所收集到的日志、事件、流量、syslog、snmp等數據統一收集后進行數據范式化再進行存儲，以此法構建一套當前工控系統網絡安全的范式化數據庫；

第五層：建模分析層將工控系統網絡安全范式化數據庫中的各種數據與互聯網中的威脅情報互相關聯并進行建模分析，通過對網絡、資產、日志、流量、業務數據等信息進行綜合分析后對當前的網絡情況進行判斷和預警；

第六層：平臺功能層被定義為工控安全預警平臺的人機交互界面，將建模分析層中所發現的網絡安全風險節點、異常事件、僵尸資產等情況，以圖表的形式統一進行展示，提供對平臺不同功能模塊的展示頁面，便于運維人員更好的查看與分析當前網絡環境中的弱點；

第七層：大屏展示層是在平臺功能上的升華，以大屏方式展示平臺功能。

汽車制造（主機廠）典型網絡拓撲圖

汽車制造（主機廠）整體網絡按照工控系統典型架構模型可以分為五層：分別為現場設備層、現場控制層、過程監控層、生產管理層和企業資源層。主要有四大生產車間：沖壓、焊裝、涂裝、總裝，部分車間可能存在多條生產線。

邊界防護：

在各生產業務系統間冗余部署工控防火墻，實現區域邊界的邏輯隔離防護和訪問控制；在生產網和企業網之間部署工業網閘，實現兩大區域邊界的強邏輯隔離防護和訪問控制。通過自學習的功能，對于流經邊界的通信行為進行分析，發現通信行為之間的關聯關系，形成基于行為上下文的安全管控。

在生產管理區的關鍵網絡節點處旁路部署1套工控入侵檢測，對MES系統網絡中存在的異常威脅、漏洞利用行為、惡意攻擊行為進行實時檢測。

針對主機和網絡設備的安全配置缺失問題，通過安全加固服務對主機和網絡設備進行安全配置的加固工作，此安全加固服務需在與系統集成廠商核實相應配置內容后，且在現場有廠商技術人員的情況下開展。防止安全策略實施后，導致生產業務系統的數據無法正常傳輸。

在生產現場和生產管理系統中的操作員站、工程師站以及通信站、服務器等工業主機上部署主機安全衛士客戶端，在網絡中部署1臺主機安全衛士服務器，實現對工業主機的安全防護。利用主機安全衛士機器自學習白名單建模技術，對工控系統應用程序、進程、服務以及外設接口進行管控，以及利用主機加固功能對重要文件、注冊表、進程進行加固保護，解決工業主機入侵檢測、惡意代碼防范能力不強的問題。

在生產線環網交換機旁路部署工控安全審計系統（輕量版），在車間環網交換機上旁路部署工控安全審計系統，對網絡內傳輸的流量進行字段級的解析，建立協議基線、流量基線、鏈路基線，對異常操作、非法入侵、惡意代碼執行等行為進行事中告警、事后審計。

在生產管理系統的交換機旁路部署1套日志審計系統，實現對網絡設備、安全設備、工控設備以及操作系統、數據庫、應用系統的日志信息進行集中收集與分析。解決網絡運行日志、操作系統運行日志、數據庫訪問日志、業務系統運行日志以及安全設備運行日志等日志信息未進行集中收集與分析問題。

針對資產漏洞情況未知的問題，可以通過現場安全評估服務，并借助工控漏洞掃描和工業網絡安全合規評估工具，對生產現場和生產管理區的資產進行脆弱性和威脅識別，并形成分析報告；也可以通過在生產管理區部署1套工控漏洞掃描工具和/或1套工業網絡安全合規評估工具，定期進行脆弱性檢查（對生產現場設備進行離線掃描，防止影響業務正常運行），包括漏洞、基線配置等，及時了解系統的薄弱環節和資產脆弱性，并有針對性地進行預防與加固。

劃分出獨立的安全設備管理區域，將生產現場和生產管理系統內的所有安全設備通過帶外管理口進行集中管控，生產現場和生產管理區的邊界部署防火墻進行邏輯隔離和訪問控制。在生產管理區內設置“安全管理中心”區域，對所有安全設備進行集中的系統管理操作、安全審計操作和安全管理操作。

在生產管理區的“安全管理中心”區域內部署運維安全管理系統（堡壘機）1臺，進行集中賬號管理、集中登錄認證、集中用戶授權和集中操作審計。實現對運維人員的操作行為審計，違規操作、非法訪問等行為的有效監督，為事后追溯提供依據。解決廠內運維行為無法監控問題以及訪問系統資源、操作記錄的過程中無法做到安全審計，導致事后無法追溯等問題。

在生產管理區的“安全管理中心”區域內部署1套安全管理平臺，對安全設備、網絡設備、主機設備的日志和告警進行歸一化采集和關聯分析，展現安全態勢和預警，全面提升安全防護效率和安全管理能力。在生產管理區的“安全管理中心”區域內部署1套工業安全預警平臺，建立工控安全的態勢感知和預警檢測。

該方案解決了汽車制造業智能工廠所面臨的安全風險的感知與防護，為汽車制造數字化工廠的運行提供有效的安全保障。落地方案中通過在各個車間接入側部署工業防火墻實現不同接入區之間的安全隔離，只允許限定的行為可以跨域區域邊界。通過對汽車制造主要過程中通信過程的監測結合汽車業務工藝過程關鍵業務通信內容的限定，實現對生產網絡中隱匿在通信過程中的安全威脅進行有效感知，通過聯動不同區域和邊界的安全策略實現對確定性業務過程的安全管控；通過主機與管理中心之間的安全聯動，在柔性制造環節中通過獲取變更后軟件的關鍵特征，更好了解決在生產線柔性制造過程中的動態適配與快速響應；通過工業態勢感知感知平臺對各類安全設備數據進行安全分析，感知潛在的安全風險或者及時對安全風險進行處置。

4、應用價值與效益

合規達標，風險可控：滿足國家、行業法律法規以及政策標準等合規方面的要求，將網絡安全風險降低到可控范圍內。趨勢預警，成果可視：通過威脅情報和態勢感知等新技術達到趨勢預警，網絡安全成果可在平臺進行展示。平穩運行，業務可靠：解決方案的部署方式對生產業務零影響，保障汽車制造企業生產控制系統平穩運行，生產業務可靠。縱深防御，安全可信：通過各類安全設備構建電力柵格狀立體縱深防線，實現汽車制造企業生產控制系統網絡安全的縱深防御、綜合防護，設備之間協同聯動、安全可信。