啟明星辰集團工控產(chǎn)品經(jīng)理 張曄

信息安全專(zhuān)家長(cháng)期以來(lái)的看法：人為因素是網(wǎng)絡(luò )安全問(wèn)題中最薄弱的一環(huán)，成功的攻擊和信息犯罪往往利用了人性的弱點(diǎn)。企業(yè)防火墻通常能夠阻止病毒和其他惡意軟件感染計算機，竊取重要數據信息，然而人為錯誤往往使這樣的努力白費。

啟明星辰集團工控產(chǎn)品經(jīng)理張曄表示，由運維人員做帶外運維管理而引起的安全事件已經(jīng)在各個(gè)行業(yè)發(fā)生過(guò)多起，特別是在工業(yè)控制領(lǐng)域頻有發(fā)生。因此，對帶外運維進(jìn)行有效地安全管理已經(jīng)到了非常緊迫的時(shí)候。國內針對帶內運維安全防范的市場(chǎng)關(guān)注度較高，但帶外運維安全防范卻很少有廠(chǎng)商顧及。啟明星辰針對這一領(lǐng)域專(zhuān)門(mén)研發(fā)了相關(guān)解決方案——“現場(chǎng)運維審計與管理系統”，把帶外運維安全管理提升到了一個(gè)新的高度。

日前，啟明星辰、網(wǎng)御星云共同召開(kāi)了這款專(zhuān)利創(chuàng )新產(chǎn)品“現場(chǎng)運維審計與管理系統”的發(fā)布會(huì )。在發(fā)布會(huì )上張曄介紹說(shuō)：“現場(chǎng)運維審計與管理系統研發(fā)的初衷是針對專(zhuān)網(wǎng)或者涉密網(wǎng)，也就是相對比較獨立的網(wǎng)絡(luò )的帶外運維安全管理?！?/p>

該系統經(jīng)過(guò)一年時(shí)間的潛心研發(fā)成功上市，填補了國內帶外運維管理安全防范市場(chǎng)的空白。系統由兩部分組成，一部分是管理平臺，用于工單創(chuàng )建，審計數據、配置數據、設備的管理；另一部分是移動(dòng)運維網(wǎng)關(guān)，用于運維設備與被運維設備之間的安全隔離和運維行為的審計。當運維管理人員到機房進(jìn)行帶外運維時(shí)，可通過(guò)運維管理平臺配發(fā)工單，工單下載到移動(dòng)運維網(wǎng)關(guān)后，運維人員攜帶移動(dòng)運維網(wǎng)關(guān)到機房進(jìn)行設備帶外運維。運維時(shí)，將便攜式的移動(dòng)運維網(wǎng)關(guān)串接在被運維設備與運維筆記本電腦之間，移動(dòng)運維網(wǎng)關(guān)就起到安全隔離、數據防泄漏以及對運維行為進(jìn)行審計的作用。

提升帶外運維管理安全

一般來(lái)說(shuō)，信息系統運行維護管理分為帶內管理（In-Band）和帶外管理(Out-Of-Band)。帶外管理是指通過(guò)不同的運維物理通道和業(yè)務(wù)網(wǎng)絡(luò )，分別傳送運維控制信息和業(yè)務(wù)數據信息。運維物理通道可以是以太網(wǎng)，也可以是串口線(xiàn)。運維網(wǎng)與業(yè)務(wù)網(wǎng)一定是完全獨立，互不影響的。

帶外管理大量應用于設備的初始配置、設備的升級和設備的故障維護中。運維人員運用管理設備（如筆記本）通過(guò)telnet、SSH、FTP等軟件對被運維設備進(jìn)行管理，一般情況下是在機房對設備點(diǎn)對點(diǎn)進(jìn)行運維。張曄指出，機房中的核心設備自身比較脆弱，由于服務(wù)器承載著(zhù)重要業(yè)務(wù)，一般都不會(huì )安裝殺毒軟件和及時(shí)打補丁。在做現場(chǎng)運維時(shí)，核心設備直接暴露在運維人員面前，沒(méi)有任何安全監控和防護措施。因此可能產(chǎn)生以下三方面的安全風(fēng)險：一是惡意代碼擴散風(fēng)險。運維人員的筆記本和移動(dòng)存儲介質(zhì)或者上傳數據如果存在惡意代碼，則很快會(huì )在信息系統的核心進(jìn)行擴散。這種安全威脅無(wú)防護、無(wú)監控，惡意代碼在神不知鬼不覺(jué)的情況下感染信息系統的心臟地帶，對整個(gè)信息系統的安全形成嚴重威脅。第二是運行維護缺乏審計。通過(guò)帶外管理方式對設備進(jìn)行維護是在一種無(wú)監控、無(wú)防護的情況下進(jìn)行的。有的單位會(huì )安排陪同人員，但陪同人員是否具備相應的運維知識？是否可以判斷識別運維風(fēng)險？是否可以記憶運維過(guò)程？這些都不具有客觀(guān)性。因此，帶外運維人員所有的操作是在一種無(wú)審計的情況下進(jìn)行的，一旦信息系統出現問(wèn)題，將無(wú)法追溯和問(wèn)責。第三是敏感數據泄露風(fēng)險。通過(guò)帶外進(jìn)行運維的設備，大多數是部署在機房中的關(guān)鍵設備，尤其是一些涉密行業(yè)、生產(chǎn)企業(yè)，信息系統中承載著(zhù)大量的敏感信息或涉密信息。通過(guò)帶外管理泄露信息悄無(wú)聲息，后果嚴重。

“帶外運維的安全風(fēng)險是需要依靠相應的技術(shù)措施來(lái)加以防范的，”張曄指出，“現場(chǎng)運維審計與管理系統針對帶外運維的安全風(fēng)險，給予了全面的解決?！?/p>

現場(chǎng)運維審計與管理系統綜合采用了安全隔離技術(shù)、數據擺渡技術(shù)、網(wǎng)絡(luò )行為審計技術(shù)等技術(shù)。針對不同的安全問(wèn)題，現場(chǎng)運維審計與管理系統設計了幾個(gè)功能：運維行為審計。移動(dòng)運維網(wǎng)關(guān)可以全程記錄現場(chǎng)運維人員對運維設備的操作行為，用于事前警示與事后定責；運維設備隔離。

移動(dòng)運維網(wǎng)關(guān)可以安全隔離運維設備與被運維設備，避免運維設備自身感染的惡意代碼擴散到脆弱的工業(yè)控制系統；運維數據管理?，F場(chǎng)運維審計與管理平臺對上傳、下載的數據進(jìn)行管理，避免上傳數據感染病毒，把下載的配置數據存儲備份。此系統可以廣泛應用于軍工、軍隊、電信運營(yíng)商、銀行、交通、涉密行業(yè)、央企重要生產(chǎn)企業(yè)等行業(yè)。張曄表示：“現場(chǎng)運維審計與管理系統可以面向各個(gè)行業(yè)進(jìn)行定制化設計，從而滿(mǎn)足不同行業(yè)對于帶外運維管理安全防范的不同需求?！?/p>

助力工業(yè)控制系統現場(chǎng)運維

工業(yè)控制系統信息安全風(fēng)險是IT系統風(fēng)險的延伸，張曄談到，解決工業(yè)控制系統安全風(fēng)險的方法有其自身的特點(diǎn)。在進(jìn)行工業(yè)控制系統信息安全防護時(shí)一定要兼顧其特殊性，如果引起工業(yè)控制系統失效，則會(huì )發(fā)生安全生產(chǎn)事故、導致意外停車(chē)。大量的統計數據表明，由線(xiàn)上運維引起的工業(yè)控制系統的安全風(fēng)險非常大。啟明星辰的此款產(chǎn)品不存在加裝防火墻的問(wèn)題，只需在進(jìn)行現場(chǎng)運維時(shí)連接一個(gè)移動(dòng)運維網(wǎng)關(guān)即可，應用簡(jiǎn)單，能夠有效地解決帶外管理可能引發(fā)的安全問(wèn)題，把風(fēng)險降到最低。

現場(chǎng)運維審計與管理系統可以廣泛應用于工業(yè)控制系統中的PLC、DCS、工業(yè)交換機、HMI、操作員站、工程師站、以及歷史數據庫、實(shí)時(shí)數據庫等系統的現場(chǎng)維護，能夠幫助用戶(hù)防止惡意代碼通過(guò)運維擴散到工控系統、防止運維過(guò)程中泄露生產(chǎn)工藝配方數據、防止運維操作不當造成生產(chǎn)事故，促進(jìn)現場(chǎng)運維管理制度的有效落實(shí)，提升安全管理績(jì)效。具體體現為：第一，解決現場(chǎng)運維管理與技術(shù)漏洞?，F場(chǎng)運維管理無(wú)論在管理上還是在技術(shù)上，都長(cháng)期存在監控不到的漏洞，通過(guò)此系統，不僅可以對運維人員進(jìn)行管理，還可以對運維行為進(jìn)行安全隔離和全程記錄。第二，落實(shí)國家和行業(yè)對現場(chǎng)運維的要求?，F場(chǎng)運維是工業(yè)控制系統產(chǎn)生風(fēng)險的主要原因之一，如何對工業(yè)控制系統現場(chǎng)運維人員進(jìn)行有效的安全管理，在技術(shù)上一直是個(gè)空白。同時(shí)，工信部協(xié)[2011]451號《關(guān)于加強工業(yè)控制系統信息安全管理的通知》也對現場(chǎng)運維安全提出了具體的要求。因此，現場(chǎng)運維審計與管理系統不僅可以解決運維安全管理上技術(shù)措施的空白，而且可以落實(shí)國家制度的要求。第三，落實(shí)IT系統對運維人員的管理要求。信息系統安全等級保護和涉密信息系統安全分級保護，都對現場(chǎng)運維管理提出了要求。但是如果沒(méi)有有效的現場(chǎng)運維安全管理技術(shù)，現場(chǎng)運維管理就不可能真正實(shí)現，對操作人員的人工審計也不客觀(guān)。借助現場(chǎng)運維審計與管理系統可以有效落實(shí)IT系統對運維分域的管理要求。第四，促進(jìn)行業(yè)現場(chǎng)運維管理規范的落地。運維人員在做現場(chǎng)維護時(shí)，在某些行業(yè)需要安排專(zhuān)人進(jìn)行監督，如此操作一方面不人性化，另一方面也不客觀(guān)。那么通過(guò)現場(chǎng)運維審計與管理系統，使現場(chǎng)運維管理可以有效地執行。

從整個(gè)安全防御體系來(lái)看，帶外管理安全雖然屬于比較小的安全范疇，但所帶來(lái)的安全威脅造成的損失卻是巨大的?，F場(chǎng)運維審計與管理系統的推出填補了國內帶外管理市場(chǎng)的空白，完善了安全管理的體系。張曄透露，目前此系統已經(jīng)在某些大型企業(yè)得到成功應用。啟明星辰、網(wǎng)御星云憑借專(zhuān)業(yè)的研發(fā)團隊，不僅成為了IT界信息安全防護的專(zhuān)業(yè)領(lǐng)軍企業(yè)，也致力成為工業(yè)控制系統信息安全領(lǐng)域的佼佼者。

現場(chǎng)運維審計與管理系統的功能展示

摘自《自動(dòng)化博覽》2015年7月刊