★陸晗北京安盟信息技術(shù)股份有限公司

1 項目概況

1.1 項目背景

網(wǎng)絡(luò )戰已成為高技術(shù)戰爭的重要作戰形式，工業(yè)控制系統作為國家基礎設施的重要組成部分，已成為網(wǎng)絡(luò )戰的重點(diǎn)攻擊目標。不同于傳統網(wǎng)絡(luò )攻擊僅對信息系統和數據造成破壞，工控系統控制現實(shí)物理設備，通過(guò)對工控網(wǎng)絡(luò )進(jìn)行攻擊，可以達成與傳統物理空間攻擊（甚至是火力打擊）的等效作用——斷能源、斷管網(wǎng)、設備損壞、放毒、爆炸等。國外工控產(chǎn)品及系統平臺產(chǎn)品中包含的零日（0day）漏洞與各類(lèi)后門(mén)程序，以及層出不窮的“工業(yè)控制系統攻擊武器”，都使得國家安全和社會(huì )穩定面臨巨大威脅。智能制造為工業(yè)發(fā)展帶來(lái)便利之時(shí)，也帶來(lái)了嚴峻風(fēng)險問(wèn)題。尤其是網(wǎng)絡(luò )安全和工業(yè)自動(dòng)化控制系統信息安全問(wèn)題引發(fā)的事故案例正快速增加，工控網(wǎng)絡(luò )邊界日益模糊。

某企業(yè)已完成了兩化融合和智能制造系統的初步建設，核心業(yè)務(wù)流程實(shí)現了縱向打通和橫向貫通。生產(chǎn)環(huán)境采用了典型的工控生產(chǎn)系統，主要劃分為企業(yè)辦公網(wǎng)、控制管理網(wǎng)、生產(chǎn)制造網(wǎng)、視頻網(wǎng)和無(wú)線(xiàn)網(wǎng)五個(gè)區域，各區域通過(guò)不同設備進(jìn)行網(wǎng)絡(luò )隔離，共同實(shí)現重型設備從零件生產(chǎn)、加工、組裝、出貨到管理的全流程自動(dòng)化、信息化和數字化。但企業(yè)對內部工控生產(chǎn)系統中流轉的數據缺乏可控性、安全性評估和保護手段。

1.2 項目簡(jiǎn)介

某企業(yè)是重裝設備的制造大廠(chǎng)，在全國乃至國際市場(chǎng)占據重要位置，尤其是其智能制造業(yè)務(wù)板塊關(guān)系到國計民生、經(jīng)濟命脈和城市運行。例如，其生產(chǎn)的產(chǎn)品涉及電力、水利甚至軍工等重要領(lǐng)域，裝備產(chǎn)品參數既是企業(yè)的敏感數據也是關(guān)系國家重要基礎設施的核心數據，如被竊取或破壞將對企業(yè)運營(yíng)、生產(chǎn)安全甚至國家安全帶來(lái)影響。另外，在智能制造業(yè)務(wù)板塊中，核心的生產(chǎn)設備、工控系統等（如數控機床、機器人、坐標測量機以及PLC可編程邏輯控制器等）國產(chǎn)化率較低，大都來(lái)自于國外品牌，技術(shù)受制于人的同時(shí)，數據安全風(fēng)險系數也較高。目前該企業(yè)工控生產(chǎn)系統的80%核心組件和工具產(chǎn)品均來(lái)自國外品牌，且在生產(chǎn)控制系統建設中，國外廠(chǎng)商參與實(shí)施的集成實(shí)現細節也不對其公布。因此，亟需密碼這一底層保障技術(shù)提升其裝備制造業(yè)務(wù)安全防護水平，建立基礎信任能力，進(jìn)行底層安全賦能，構造智能制造板塊的第一道防線(xiàn)，保障企業(yè)效益長(cháng)足穩定發(fā)展。

1.3 項目目標

本項目嚴格遵循網(wǎng)絡(luò )安全、數據安全和密碼應用相關(guān)法律法規及政策規范，依照等級保護、密碼測評等合規要求，進(jìn)行智能制造領(lǐng)域數據全生命周期管理及密碼應用建設。在該企業(yè)智能制造業(yè)務(wù)、數據安全現狀和密碼應用需求基礎上，搭建智能制造領(lǐng)域數據安全管理平臺，通過(guò)與企業(yè)自身智能制造典型應用場(chǎng)景耦合的功能設計，實(shí)現智能制造設備的安全防護、網(wǎng)絡(luò )邊緣側的安全接入與數據匯聚及網(wǎng)絡(luò )邊界數據通信強邏輯隔離，為企業(yè)構建覆蓋終端、通道及邊界的智能制造領(lǐng)域數據安全防護體系，全面提升體系化安全保障能力，有效促進(jìn)密碼技術(shù)與智能制造業(yè)務(wù)的融合，為企業(yè)整體安全保障體系建設貢獻力量。

2 項目實(shí)施

2.1 系統架構

智能制造領(lǐng)域數據安全管理平臺由七部分構成，如圖1所示，分別是機甲衛士、5G安全接入終端、安全隔離認證網(wǎng)關(guān)、VPN安全網(wǎng)關(guān)、密鑰管理系統、服務(wù)器密碼機及數據安全集中管理系統。

圖1 智能制造領(lǐng)域數據安全管理平臺建設總體架構圖

作為邊緣側安全產(chǎn)品，5G安全接入終端和機甲衛士分別完成各類(lèi)物聯(lián)網(wǎng)設備和一線(xiàn)數控機床等工控設備的安全加固和可信認證，并與安全邊界的VPN安全網(wǎng)關(guān)/安全隔離認證網(wǎng)關(guān)建立安全加密通道，通過(guò)密鑰管理系統和服務(wù)器密碼機實(shí)現密碼資源靈活調度及密鑰管理，“云-管-端-邊”多側協(xié)同、聯(lián)合實(shí)現企業(yè)工控系統工業(yè)設備安全防護、生產(chǎn)數據安全傳輸及業(yè)務(wù)系統安全管控。

2.2 系統部署

智能制造領(lǐng)域數據安全管理平臺以XX公司數據安全需求和密碼應用建設作為基礎，結合智能制造系統構建深入一線(xiàn)生產(chǎn)制造環(huán)節，覆蓋終端、通道及邊界的制造領(lǐng)域數據安全防護體系，如圖2所示。智能制造領(lǐng)域數據安全管理平臺根據各組成系統功能和部署位置，可劃分為端側防護設施、邊界防護設施、密碼資源與數據安全管理平臺三部分。

圖2 智能制造領(lǐng)域數據安全管理平臺部署圖

生產(chǎn)制造區域存在大量數控機床、測試機床和試驗設備等一線(xiàn)生產(chǎn)工控設備，在這些設備側部署機甲衛士。機甲衛士通過(guò)與安全隔離認證網(wǎng)關(guān)連接，實(shí)現一線(xiàn)生產(chǎn)工控設備的接口威脅阻斷、外部接入安全認證，以及重要生產(chǎn)數據、機床狀態(tài)數據的真實(shí)性和機密性保護?？刂乒芾砭W(wǎng)連接辦公網(wǎng)及生產(chǎn)制造網(wǎng)，是生產(chǎn)數據（如NC文件等）、策略指令、一線(xiàn)生產(chǎn)設備狀態(tài)數據等重要數據的匯聚中心，是上傳下達的重要媒介。因此，在控制管理網(wǎng)邊界部署安全隔離認證網(wǎng)關(guān)，提供終端安全接入、基于證書(shū)的身份認證和SSL/IPSec數據傳輸加密等功能，保證網(wǎng)絡(luò )通信管道及通信數據安全；部署集中管理系統和密鑰管理系統，作為安全防護平臺管理功能輸出模塊，提供密鑰管理、機床側接口安全管理及平臺側密碼設備的統一管控；通過(guò)調用服務(wù)器密碼機，實(shí)現NC文件、重要產(chǎn)品參數、指令及數控機床狀態(tài)數據的加密存儲，以及信源加密傳輸。在辦公網(wǎng)邊界部署安全隔離認證網(wǎng)關(guān)及VPN安全網(wǎng)關(guān)，解決互聯(lián)網(wǎng)威脅經(jīng)由辦公網(wǎng)破壞重裝制造系統的安全問(wèn)題。

無(wú)線(xiàn)網(wǎng)區域與辦公網(wǎng)直連，該區域覆蓋智能巡檢機器人、AGV小車(chē)等多種無(wú)線(xiàn)終端，在這些終端側部署5G安全接入終端，通過(guò)4G/5G無(wú)線(xiàn)與VPN安全網(wǎng)關(guān)/安全隔離認證網(wǎng)關(guān)連接，實(shí)現邊緣側設備的安全認證和高速加密組網(wǎng)，以及業(yè)務(wù)數據的機密性和完整性保護。視頻專(zhuān)網(wǎng)區域包含視頻監控、人臉識別、視頻數據采集等多種視頻終端，在這些終端側部署5G安全接入終端，通過(guò)4G/5G無(wú)線(xiàn)與VPN安全網(wǎng)關(guān)連接，實(shí)現邊緣側設備的安全認證和高速加密組網(wǎng)，以及視頻數據的機密性和完整性保護；在網(wǎng)絡(luò )邊界部署VPN安全網(wǎng)關(guān)，保障網(wǎng)域內和網(wǎng)域間的數據流轉安全。

2.3 詳細設計

2.3.1 機甲衛士

機甲衛士是針對生產(chǎn)制造裝備操作終端進(jìn)行從內到外全方位保護的自主可控安全產(chǎn)品。機甲衛士以安全管控為核心，秉承“自主可控、主動(dòng)預防、過(guò)程監控、行為審計”的設計理念，采用全方位信息隔離和監管技術(shù)，基于自主品牌的硬件平臺及密碼模塊，提供對數控機床串口、USB口及網(wǎng)口等通信端口的文件過(guò)濾、病毒查殺及在線(xiàn)狀態(tài)監測，支持數控機床通信傳輸過(guò)程中的指令及重要數據加密和傳輸鏈路加密。機甲衛士創(chuàng )新實(shí)現了數控機床系統從內到外信息交換過(guò)程的數據防護、安全監管和行為可追溯，在保證數控機床系統有效信息交換的前提下，最大限度地避免內部和外界對數控機床系統環(huán)境的侵犯。

系統部署在智能制造裝備前端，與機床設備一對一接入，對智能制造裝備的所有通信端口進(jìn)行全方位數據防護及在線(xiàn)狀態(tài)監測，識別非法接入制造裝備的設備，并進(jìn)行實(shí)時(shí)報警。系統支持集中管理各前端的配置及監控安全狀態(tài)。主要功能有：

（1）端口全方位防護：對數控機床設備的網(wǎng)口、串口和USB端口進(jìn)行全方位的安全防護，防止威脅數據進(jìn)入數控系統。

（2）網(wǎng)絡(luò )安全防護：支持OPCUA/DA、Modbus TCP、S7、IEC-61850、IEC-104、DNP3、Profinet等工業(yè)控制協(xié)議，支持智能制造裝備私有協(xié)議定制開(kāi)發(fā)。

（3）文件過(guò)濾：提供文件規則過(guò)濾功能，可對文件內容檢查，包括檢查NC文件指令及范圍、關(guān)鍵字等。

（4）病毒查殺：對移動(dòng)存儲類(lèi)設備進(jìn)行手動(dòng)或自動(dòng)的病毒查殺，支持指定目錄查殺和全盤(pán)查殺。

（5）集中管理：集中管理平臺可提供機床防護系統群管理功能，可以進(jìn)行批量管理及配置，簡(jiǎn)化操作。

2.3.2 5G安全接入終端

5G安全接入終端是一款符合國內4G/5G網(wǎng)絡(luò )規范的無(wú)線(xiàn)數據終端，可實(shí)現隨時(shí)隨地通過(guò)4G/5G網(wǎng)絡(luò )接入互聯(lián)網(wǎng)，滿(mǎn)足移動(dòng)網(wǎng)絡(luò )接入的需求。同時(shí)，還可以通過(guò)接入VPN服務(wù)器實(shí)現網(wǎng)絡(luò )的穿透。安全接入終端和VPN服務(wù)器之間的連接使用國密的IPSecVPN進(jìn)行加密，充分保證數據的安全性。在無(wú)線(xiàn)網(wǎng)絡(luò )環(huán)境下，可將生產(chǎn)制造的智能終端與安全接入終端進(jìn)行連接。安全接入終端啟動(dòng)可作為Wi-Fi熱點(diǎn)，單臺可支持10個(gè)Wi-Fi終端同時(shí)接入并共享移動(dòng)互聯(lián)網(wǎng)的網(wǎng)絡(luò )連接，并可橫向擴展。

安全接入終端基于通信網(wǎng)絡(luò )的高性能終端設備，創(chuàng )新應用密碼技術(shù)與網(wǎng)絡(luò )通信技術(shù)融合，為企業(yè)提供入網(wǎng)身份認證、安全組網(wǎng)、傳輸數據加密等高性能安全服務(wù)。安全接入終端支持IPSecVPN、SSLVPN等多種安全接入協(xié)議，支持SM1、SM2、SM3、SM4等多種國密算法，通過(guò)與安全接入網(wǎng)關(guān)的連接可實(shí)現基于國密體系的安全鏈路，充分保證XX企業(yè)無(wú)線(xiàn)網(wǎng)絡(luò )數據的安全性。

2.3.3 安全隔離認證網(wǎng)關(guān)

安全隔離認證網(wǎng)關(guān)部署于該企業(yè)的生產(chǎn)制造網(wǎng)、控制管理網(wǎng)及辦公網(wǎng)的網(wǎng)絡(luò )邊界，解決了工業(yè)網(wǎng)絡(luò )邊界安全及邊緣側終端設備的安全接入和數據安全傳輸問(wèn)題，實(shí)現了工業(yè)邊界的安全隔離、工控設備數據的安全可控及生產(chǎn)數據的安全交換。

安全隔離認證網(wǎng)關(guān)由VPN處理單元、內、外網(wǎng)處理單元與數據交換單元（專(zhuān)用隔離芯片）四部分組成。VPN處理單元負責邊緣側的身份認證、與采用國密算法的安全接入終端建立安全通道、數據安全加密和數據安全傳輸。內、外網(wǎng)處理單元是兩套專(zhuān)有的網(wǎng)絡(luò )安全控制設備，分別連接內外網(wǎng)絡(luò )。內、外網(wǎng)處理單元之間通過(guò)專(zhuān)用的隔離芯片進(jìn)行數據的擺渡傳輸，其過(guò)程類(lèi)似U盤(pán)拷貝。當專(zhuān)用隔離芯片與內網(wǎng)聯(lián)通時(shí)與外網(wǎng)電路是斷開(kāi)的，當隔離部件與外網(wǎng)聯(lián)通時(shí)與內網(wǎng)是斷開(kāi)的，在確保網(wǎng)絡(luò )隔離的前提下實(shí)現適度的數據交換。

2.3.4 密碼資源與管理平臺

密碼資源與管理平臺由集中管理系統、密鑰管理系統、服務(wù)器密碼機等產(chǎn)品組成，部署于該企業(yè)控制管理網(wǎng)中心機房。

集中管理系統通過(guò)集成5G安全接入終端、機甲衛士終端等產(chǎn)品的管理模塊，同時(shí)與安全隔離認證網(wǎng)關(guān)、VPN安全網(wǎng)關(guān)等密碼設備進(jìn)行對接適配，對企業(yè)智能制造系統中密碼應用的密碼設備進(jìn)行統一管理和集中控制。

密鑰管理系統參照相關(guān)管理規范標準進(jìn)行設計，對VPN等各類(lèi)密碼系統提供統一密鑰管理服務(wù)。密鑰管理包括對密鑰的生成、更新、存儲、分發(fā)、導入、導出、使用、備份、恢復、歸檔、銷(xiāo)毀等全生命周期進(jìn)行管理，滿(mǎn)足信息系統三級密碼應用要求。

服務(wù)器密碼機為生產(chǎn)制造環(huán)境中的DNC系統的重要NC文件、生產(chǎn)產(chǎn)品參數、MES系統的重要指令、數控機床狀態(tài)數據等重要數據提供數據加解密、簽名驗簽等服務(wù)。

為實(shí)現制造網(wǎng)絡(luò )中多個(gè)應用系統間的互信互認，平臺為各系統設備、用戶(hù)提供統一的身份認證服務(wù)。服務(wù)支持多用戶(hù)隔離機制，有效保證不同系統數據隔離。各生產(chǎn)車(chē)間可建立獨立的管理員賬號，以統一服務(wù)的方式為用戶(hù)提供身份認證服務(wù)，幫助整體系統實(shí)現統一用戶(hù)管理、統一應用管理、統一身份認證、統一授權管理和統一日志審計，解決應用系統用戶(hù)分散管理、獨立認證及多次登錄等問(wèn)題。

平臺支持基于組織機構和角色進(jìn)行統一授權管理，對智能制造設備采取訪(fǎng)問(wèn)控制措施，對操作用戶(hù)和應用系統對數據的訪(fǎng)問(wèn)操作權限進(jìn)行控制并審計，限制其使用數據資源能力，保障數據資源在合法范圍內得以使用和管理。在用戶(hù)訪(fǎng)問(wèn)的過(guò)程中，對環(huán)境、行為和身份進(jìn)行全程實(shí)時(shí)監測，一旦發(fā)現安全要求偏離基線(xiàn)，則快速調整用戶(hù)的訪(fǎng)問(wèn)權限，減少業(yè)務(wù)暴露面，降低安全風(fēng)險。

平臺提供數據庫結構化數據和文件等非結構化數據的加密存儲服務(wù)，保障智能制造環(huán)境中MES、PLM等系統存儲的重要數據安全。

2.3.5 數據安全集中管理平臺

數據安全集中管理平臺以“零信任”作為安全理念，基于密碼基因打造安全合規、統一管理、全面審計的數據全生命周期安全集中管理平臺，為用戶(hù)解決數據從生成、傳輸、存儲、處理、交換直至銷(xiāo)毀的數據全生命周期安全問(wèn)題。

數據安全集中管理平臺承擔了整個(gè)安全平臺的維護、配置和管理任務(wù)，包括設備狀態(tài)監測、用戶(hù)管理、角色管理、配置管理和日志管理。集中管理平臺聯(lián)動(dòng)密鑰管理系統可以對在線(xiàn)的密碼設備和密碼資源進(jìn)行靈活調度；也可以對系統的用戶(hù)和角色權限進(jìn)行配置；還可以查看平臺所有的操作日志以及對系統運行參數進(jìn)行配置。

平臺結合數據資產(chǎn)識別，發(fā)現需要保護的重要數據。采用信息摘要技術(shù)為重要數據提供信息摘要；融入數據使用、傳輸等流程，對重要數據的操作過(guò)程及其應用系統或用戶(hù)簽名，確保數據完整性操作審計的全面記錄和不可抵賴(lài)性，防止業(yè)務(wù)數據被人為惡意篡改，確保智能制造系統運行功能安全。

平臺對接MES、PLM等應用系統，記錄對用戶(hù)認證日志、授權日志、鑒權日志、系統操作日志等多類(lèi)日志，形成統一的行為審計管理體系。通過(guò)歸類(lèi)合并、關(guān)聯(lián)分析及圖表展示等方法，使管理員可以輕松識別人員異常訪(fǎng)問(wèn)行為和操作時(shí)間等，以及保證出現安全事件后可根據日志事后溯源。

3 案例亮點(diǎn)及創(chuàng )新性

在智能制造領(lǐng)域數據安全管理平臺中，安全隔離認證網(wǎng)關(guān)利用VPN安全傳輸技術(shù)，在保障工業(yè)邊界安全的基礎上，通過(guò)工控網(wǎng)絡(luò )的數據安全加密和數據安全傳輸，實(shí)現了泛在部署的多種類(lèi)終端的安全接入，提升了工控網(wǎng)絡(luò )、工控設備和工控數據的安全性。

4G/5G安全接入終端將密碼技術(shù)和4G/5G通信技術(shù)相融合，建立基于商用密碼算法的安全通信體系，支持4G、5G和有線(xiàn)網(wǎng)絡(luò )等多方式網(wǎng)絡(luò )接入，為邊緣側提供安全、可溯、低時(shí)延和高性能的終端防護能力。同時(shí)，與安全隔離認證網(wǎng)關(guān)聯(lián)合構建覆蓋終端、通道及邊界的安全防護體系，聯(lián)通邊緣側與中心端。

機甲衛士將密碼技術(shù)與機床終端防護技術(shù)融合，實(shí)現了將安全防護深入到生產(chǎn)制造的一線(xiàn)生產(chǎn)環(huán)節，重點(diǎn)解決了數控機床等企業(yè)重要資產(chǎn)自身安全防護和重要資產(chǎn)的核心生產(chǎn)參數機密性保護等問(wèn)題。

綜上所述，整體方案落實(shí)了國家“十四五智能制造發(fā)展規劃”等相關(guān)政策要求，基于工控安全、數據安全、5G等安全體系架構設計，相關(guān)產(chǎn)品融合工控安全檢測、商用密碼和異常點(diǎn)分析等技術(shù)。該方案面向企業(yè)智能制造生產(chǎn)應用場(chǎng)景，提供了融合網(wǎng)絡(luò )安全、數據安全和功能安全的安全解決方案，提升了該企業(yè)生產(chǎn)制造過(guò)程的整體安全水平，保障了企業(yè)的業(yè)務(wù)運營(yíng)、生產(chǎn)安全甚至相關(guān)國家重要項目安全。隨著(zhù)智能制造和兩化融合的深入發(fā)展，相關(guān)方案、案例也值得進(jìn)一步擴大應用和推廣，以增強我國智能制造的安全防御能力。

《自動(dòng)化博覽》2023年1月刊暨《工業(yè)控制系統信息安全專(zhuān)刊（第九輯）》