項目背景

目前，寶武炭材新型炭材料制造基地主要建設分布于華東、華南、華中、西北等多個(gè)地區。為實(shí)現多基地協(xié)同的智能制造，需要將各基地資產(chǎn)、信息、物流、安全環(huán)保、人力資源等各項資源集中管控，實(shí)現以上?？偛繛楹诵牡慕y一指揮和集中決策，同時(shí)輻射全國多基地的信息流、知識流、物流，產(chǎn)生協(xié)同效應。為響應上海市提出“從上海輻射全國”的建設一總部多基地智能運營(yíng)平臺，有助于充分發(fā)揮總部人才、信息和資源優(yōu)勢，實(shí)現多基地制造流程優(yōu)化、關(guān)鍵運營(yíng)指標對標分析和決策支持、關(guān)鍵設備虛擬遠程運維等，提升管控運營(yíng)效率和智能決策。公司關(guān)鍵裝備的數控化率達到100%，擁有較完整的自主建設的信息系統架構、自主集成信息系統體系。公司以全球新一輪制造業(yè)變革和《中國制造2025》為主導戰略，全面實(shí)施自主創(chuàng )新、自主集成、創(chuàng )新驅動(dòng)，推動(dòng)智能制造核心技術(shù)研究及應用，在新型炭材料生產(chǎn)工藝、生產(chǎn)裝備等方面打破國外日美壟斷，致力于通過(guò)新型炭材料生產(chǎn)線(xiàn)的建設實(shí)現公司由傳統煤化工制造向多基地協(xié)同的炭材料智能制造轉變。

為了實(shí)現多基地管控，需要智能制造系統的支持，而隨著(zhù)智能制造系統和現場(chǎng)工控系統的融合，工控信息安全是重要的安全支撐與保障。有別于傳統工業(yè)信息安全被動(dòng)和事后防御的解決方案，以態(tài)勢感知為核心的縱深防御解決方案重點(diǎn)監測工控網(wǎng)絡(luò )的運行日志和流量，主動(dòng)發(fā)現可能的安全攻擊或異常操作。

基于縱深防御的安全解決方案融合工廠(chǎng)安全、網(wǎng)絡(luò )安全、系統安全等三個(gè)方面的安全措施，基于多層次防護的“縱深防御”理念，遵循“評估——實(shí)施——持續監控”的工業(yè)信息安全整體提升路線(xiàn)，布局面向新材料的全公司多基地范圍的工控安全評估及加固工作，提升工控安全態(tài)勢感知、安全防護和應急處置能力，在外部世界的威脅和工控網(wǎng)絡(luò )之間建立盡可能多層次的保護。

項目計劃分成三期進(jìn)行實(shí)施，第一期項目選取寶山基地4套現場(chǎng)工控系統部署典型的縱深防御解決方案的安全模塊。第二期計劃分兩步進(jìn)行驗證與實(shí)施，第一步先選定一個(gè)分基地接入到總部的工控安全態(tài)勢感知平臺，驗證多基地接入的技術(shù)可行性；第二步覆蓋兩個(gè)基地剩下的套現場(chǎng)工控系統，并配合現場(chǎng)工控系統的集控改造，實(shí)現工控安全態(tài)勢的集中監控。第三期推廣到其它的基地。

目標與原則

為響應習總書(shū)記提出的“全天候全方位感知網(wǎng)絡(luò )安全態(tài)勢，增強網(wǎng)絡(luò )安全防御能力和威懾能力”，建設網(wǎng)絡(luò )安全態(tài)勢感知平臺，特別是針對關(guān)鍵的智能制造企業(yè)的網(wǎng)絡(luò )安全態(tài)勢感知能力，有助于充分發(fā)揮工業(yè)信息安全運營(yíng)平臺集中安全監控的優(yōu)勢，實(shí)現智能制造生產(chǎn)過(guò)程安全流程優(yōu)化、關(guān)鍵安全運營(yíng)指標對標分析和決策支持、關(guān)鍵設備安全防護等。

1.實(shí)現的技術(shù)目標如下：

（1）針對選定的現場(chǎng)工控系統，從整體上實(shí)現工控資產(chǎn)的自動(dòng)識別和網(wǎng)絡(luò )拓撲的自動(dòng)生成，實(shí)現工控網(wǎng)絡(luò )的可視化。

（2）進(jìn)行集中的工控安全監控，及時(shí)發(fā)現違規操作、資產(chǎn)非法接入和資產(chǎn)面臨的風(fēng)險，進(jìn)行威脅預警和攻擊檢測，實(shí)現安全態(tài)勢的可感知和可管理。

（3）通過(guò)部署基于白名單機制的惡意軟件防護系統實(shí)現端點(diǎn)的安全防護，基于白名單對不可信的應用或進(jìn)程進(jìn)行阻止，可以有效防范未知惡意軟件在目標機的惡意執行。

（4）提供工業(yè)網(wǎng)絡(luò )安全域的隔離與防護，針對選定的四套典型現場(chǎng)工控系統提供不同控制域間的隔離。

（5）在IT和OT邊界提供綜合的安全防護能力，實(shí)現訪(fǎng)問(wèn)控制、IPS/IDS和網(wǎng)絡(luò )防病毒功能。

2.項目的經(jīng)濟目標如下：

（1）部署基于態(tài)勢感知的工控安全防護系統后，可以避免炭材料加工產(chǎn)線(xiàn)控制系統受到攻擊，降低因此造成的經(jīng)濟損失，從而防范安全和環(huán)保事故。同時(shí)，可以形成公司內部標準的工控安全實(shí)踐，在其它的新材料生產(chǎn)基地進(jìn)行推廣。

（2）通過(guò)實(shí)施基于工控安全態(tài)勢感知的縱深防御解決方案，探索在新材料領(lǐng)域里面的工控安全防護與安全監測，形成行業(yè)的示范效應，在新材料、鋼鐵、石油石化和化工等行業(yè)領(lǐng)域進(jìn)行推廣，培養良好的安全意識，并提供可復制的最佳安全實(shí)踐。

（3）同時(shí)建設相應的工控安全行業(yè)標準和技術(shù)專(zhuān)利。

項目實(shí)施與介紹

1.場(chǎng)景特征

（1）行業(yè)特點(diǎn)分析

隨著(zhù)中國制造2025全面推進(jìn)，工業(yè)數字化、網(wǎng)絡(luò )化、智能化加快發(fā)展，我國工控系統存在的安全漏洞不斷增多，面臨著(zhù)安全威脅加速滲透、攻擊手段復雜多樣等新挑戰。近年來(lái)，工業(yè)信息安全事件頻繁爆發(fā)。從2010年 “震網(wǎng)”病毒爆發(fā)到2017年WannaCry、Petya勒索病毒連續爆發(fā)等，冶金、能源、電力、天然氣、通信、交通、制藥等眾多工業(yè)領(lǐng)域不斷遭受安全攻擊。

炭材料行業(yè)具備如下特點(diǎn)：

• 炭材料智能制造行業(yè)是個(gè)高危行業(yè)，安全穩定運行是根本要求；

• 該行業(yè)工控系統的安全水平較低，防護不夠，提升空間大；

• 隨著(zhù)智能制造的演進(jìn)，系統融合與互聯(lián)互通成為趨勢，信息安全至關(guān)重要。

（2）實(shí)施場(chǎng)景特點(diǎn)分析

建設一總部多基地智能運營(yíng)平臺本身就是工業(yè)互聯(lián)網(wǎng)的一種體現和落地探索過(guò)程，實(shí)現異地隔閡消除，實(shí)現虛擬和現實(shí)連接，實(shí)現現場(chǎng)數字設備和云端分析及應用互聯(lián)；通過(guò)數據的采集、可視化、分析和對標實(shí)現以數據驅動(dòng)業(yè)務(wù)模式的轉變。在公司多基地智能運營(yíng)工廠(chǎng)的建設進(jìn)程中，各基地將有更多工業(yè)控制系統、數字化或智能設備接入到工業(yè)互聯(lián)網(wǎng)，而自動(dòng)化系統的自身安全、數據接入與采集的安全、云端傳輸、存儲、分析，整體網(wǎng)絡(luò )架構的穩定與安全以及端到端的安全、高效是必須面對的課題。同樣面對日益猖獗的網(wǎng)絡(luò )攻擊、威脅和挑戰，若公司的網(wǎng)絡(luò )安全體系不足，無(wú)論是物理上或是邏輯上，網(wǎng)絡(luò )病毒或黑客都有可能侵入至工業(yè)控制系統或數字設備，影響生產(chǎn)甚至造成重大安全環(huán)保事故，同樣生產(chǎn)經(jīng)驗數據的外泄也是需要避免的。隨著(zhù)IT與OT的深度融合，在兩化融合的前提下，如何提高系統的安全性、提高數據自身的保密性成為重要的課題；目前公司在工業(yè)互聯(lián)網(wǎng)安全方面的防御體系非常薄弱，從制度、人才、軟硬件體系架構和安全偵測等方面提升安全能力已經(jīng)成為公司迫在眉睫的事情。

實(shí)施場(chǎng)景的特點(diǎn)如下：

• 寶武炭材現有多個(gè)生產(chǎn)基地、分布在全國各個(gè)地方，異地管理存在巨大的挑戰；

• 由于新材料行業(yè)發(fā)展勢頭良好，后面有改造及擴大生產(chǎn)的需求，實(shí)施的工控安全防護系統需要具備可擴展性；

• 由現有的工控系統在不同的時(shí)期建成，有多個(gè)廠(chǎng)家提供的多個(gè)品牌的系統，需要兼容多種工控系統（FOXBORO、AB、西門(mén)子、浙大中控等）；

• 新舊系統并存，包括有操作系統為XP等的老系統，安全改造難度較大。

（3）工控網(wǎng)絡(luò )安全現狀

目前寶武炭材網(wǎng)絡(luò )主要分為生產(chǎn)網(wǎng)、管理網(wǎng)及國際網(wǎng)（Internet）三部分，現場(chǎng)工控設備主要是現場(chǎng)工控系統?，F有工控網(wǎng)絡(luò )具備一定的防病毒能力（如在部分現場(chǎng)工控系統的工程師站、操作員站的PC主機和數據采集機部署傳統殺毒軟件等）；本部基地與其他基地采用專(zhuān)線(xiàn)遠程連接，有商用級IT防火墻部署。生產(chǎn)網(wǎng)中有一定的商用級普通IT防火墻部署。

2.需求分析

（1）安全痛點(diǎn)

目前寶武炭材工業(yè)網(wǎng)絡(luò )安全的主要痛點(diǎn)有以下幾方面：

• 未使用專(zhuān)門(mén)的工業(yè)網(wǎng)絡(luò )防火墻或網(wǎng)關(guān)網(wǎng)閘設備?，F有的防火墻是商用IT級別的，對各類(lèi)工業(yè)級通信協(xié)議的支持有缺陷。

• 工控網(wǎng)絡(luò )中的操作（工程師）站主機設備使用的是單機版的防病毒軟件，無(wú)法對工控網(wǎng)絡(luò )中主機的安全狀況進(jìn)行集中統一管理，無(wú)法及時(shí)更新相關(guān)病毒庫，一旦發(fā)生系統威脅，無(wú)法及時(shí)捕捉到。

• 子公司生產(chǎn)工業(yè)網(wǎng)絡(luò )建設相對薄弱，沒(méi)有形成有效的安全防護機制。

• 目前的工業(yè)網(wǎng)絡(luò )安全防御機制重病毒、輕入侵，沒(méi)有強有力的縱深防御機制來(lái)保障整個(gè)工控網(wǎng)絡(luò )的安全性。

• 使用傳統的防病毒軟件及硬件防火墻無(wú)法對工控系統網(wǎng)絡(luò )進(jìn)行工業(yè)級的安全防護，特別對于生產(chǎn)現場(chǎng)的PLC系統、現場(chǎng)工控系統及智能機器人、智能傳感器等設備需要有專(zhuān)門(mén)針對性的基于勢態(tài)感知的安全策略部署來(lái)保障整個(gè)工控系統安全、高效、穩定的運行。

• 缺乏一個(gè)一體化的工控系統運維平臺，能夠適用于多生產(chǎn)基地的統一評估、統一部署、統一監控、統一維護整個(gè)工控系統的安全，以支持智慧工廠(chǎng)安全運營(yíng)。

（2）安全難點(diǎn)

由于炭材料生產(chǎn)網(wǎng)的系統涉及多個(gè)廠(chǎng)家的產(chǎn)品，同時(shí)上位機大部分是比較老的操作系統（如Windows XP），對于Windows XP操作系統，微軟已經(jīng)不再支持更新，因此存在較多安全風(fēng)險，實(shí)施復雜度較高。

（3）實(shí)際解決的問(wèn)題

基于目前在工控安全方面存在的痛點(diǎn)和難點(diǎn)，本次項目方案的對應策略和達到的效果及突破性包括：

• 針對寶武炭材多生產(chǎn)基地和異地分布的難點(diǎn)，部署的基于工控態(tài)勢感知的工業(yè)防護解決方案基于分布式體系架構，可以支持多級部署，同時(shí)具備跨地域連接的特點(diǎn)。因此能夠滿(mǎn)足多基地集中管控的要求。

• 工控安全態(tài)勢感知系統基于中央管控平臺和具備邊緣計算能力的探針相結合的架構，支持標準的接口，整個(gè)系統具有良好的彈性，易于擴展到不同的生產(chǎn)裝置；

• 針對多廠(chǎng)家和多品牌的系統，采用標準的采集代理和端點(diǎn)防護軟件，通過(guò)適配測試與調優(yōu)，達到滿(mǎn)足良好的品牌兼容和向后兼容特性。

• 針對舊系統安全改造困難的情況，采用專(zhuān)門(mén)防護的機制，同時(shí)進(jìn)行集中的統一管理。

效益分析

基于工控態(tài)勢感知平臺的縱深防御解決方案具有很好的示范效應，將來(lái)為行業(yè)內安全實(shí)施探索出比較好的提升路徑，為各工業(yè)企業(yè)實(shí)施安全防護提供經(jīng)驗與借鑒?；谠摴た貞B(tài)勢感知平臺的安全解決方案很好地解決了所面臨的安全問(wèn)題，提高了工業(yè)控制系統的安全性，贏(yíng)得了公司各層面的信任，為工業(yè)控制系統的業(yè)務(wù)生產(chǎn)獲得了極大的競爭優(yōu)勢，同時(shí)增強了公司作為安全、可靠和可信賴(lài)合作伙伴的品牌形象。

信息安全產(chǎn)業(yè)是一個(gè)急速發(fā)展變化的產(chǎn)業(yè)，信息安全的內涵和外延也會(huì )不斷的更新，但是安全態(tài)勢感知的理念在整個(gè)信息安全產(chǎn)品結構中的頂層地位始終不會(huì )改變。工控安全態(tài)勢感知在狹義上定義為工控信息系統安全的集中管理，包括集中的運行狀態(tài)監控、事件采集分析、安全策略下發(fā)；在廣義上定位為所有工控資源甚至是業(yè)務(wù)系統進(jìn)行集中的安全管理，包括對工控資源的運行監控、事件采集分析，還包括風(fēng)險管理與安全運維等內容。

工業(yè)安全態(tài)勢感知平臺的建設可以極大的降低智能制造企業(yè)在安全方面可能造成的損失，以寶山基地的智能制造工廠(chǎng)，假設一套炭材加工產(chǎn)線(xiàn)控制系統受到攻擊，裝置恢復正常生產(chǎn)至少要120小時(shí)，造成的經(jīng)濟損失可達500萬(wàn)，控制系統是生產(chǎn)的核心，控制系統異常甚至可能造成安全環(huán)保事故，后果不堪設想。