1、工控安全產品在煤礦應用解工控安全產品在煤礦應用解決方案決方案20152015 年年 0606 月月 5 5 日日 軟件項目方案書軟件項目方案書修修 訂訂 記記 錄錄 類別：類別：A 增加 M 修改 D 刪除版本版本日期日期制定制定類別類別批準批準描述（注明修改的條款或描述（注明修改的條款或頁）頁）1.02015-06-5A 軟件項目方案書軟件項目方案書1.1.項目背景項目背景 .11.1 引言.11.2 煤炭自動化系統簡介.21.3 煤炭工控系統信息安全現狀及風險.22.2.煤炭行業工控安全解決方案煤炭行業工控安全解決方案 .32.1 工控安全解決方案簡介.32.1.1 工控安全思路簡介.32

2、.1.2 工控安全產品簡介.42.2 工控安全煤炭行業系統架構.82.2.1 總體系統架構圖.82.2.2 總體系統架構說明.82.2.3 各子系統架構說明（以選煤廠控制子系統為例）.9 軟件項目方案書軟件項目方案書第 1 頁 / 共 10 頁1.1. 項目背景項目背景1.1 引言引言煤炭礦井綜合自動化系統是指在工業生產、管理、經營過程中，通過信息基礎設施，在集成平臺上，實現煤炭信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進和自動控制、通訊、信息技術和現代化管理技術結合，將企業的生產過程控制、運行與管理作為一個整體進行控制與管理，以實現煤炭企業優化運行、控制和管理。而煤炭自動化

3、系統作為整個礦井安全生產監控系統信息的集成，需要一個快速、安全、可靠的網絡平臺為大量的信息流動提供支撐，同時要有一個安全生產信息應用系統為礦井安全保價護航。而煤炭綜合自動化系統中的工業控制系統（以下簡稱工控系統）是煤炭基礎設施的重要組成部分，也是煤炭中基礎設施的核心，有著可用性和實時性要求高，系統生命周期長的特點，因為我國關于工業安全領域的相關研究還處于起步階段，防護能力和應急處置能力低，大部分煤礦基本沒有任何防護理念和安全措施。且我國工控系統大量使用國外產品，關鍵系統的安全性受制于人，煤炭行業的安全存在一定的難度。特別是近年來工控系統安全事件頻發，比如“震網” “火焰” “毒區”等 APT

4、攻擊的出現，充分反映出煤炭工控系統信息安全所面臨，一旦工業控制系統信息安全出現漏洞，將對煤炭企業正常的生產運行和經濟安全造成重大隱患。 軟件項目方案書軟件項目方案書第 2 頁 / 共 10 頁1.2 煤炭自動化系統簡介煤炭自動化系統簡介煤炭系統總體結構分為管理層（信息層） 、控制層、設備層三層結構，各子系統主體傳輸平臺為工業以太網。其中管理層為礦地面局域網系統；控制稱以工業以太環網為數據傳輸平臺，主要由整個監控中心設備及環網組層；設備層多采用現場總線，保證了現場子系統的實時性和可靠性，主要由個自動化子系統設備組層。在管理層，通過礦局域網系統，在各臺計算機上，可以在統一的界面下根據權限和登記查看

5、全礦的所有信息，將本部門的信息向管理網公布，實現全礦安全生產的信息化管理。如視頻監控系統、大屏控制系統等控制層是在工業以太環網上接入操作站、工程師站上，通過綜合自動化軟件平臺向設備層的控制器發送控制指令，并實現對整個子系統設備的集中控制。如：井下中央變電所排水系統、通風控制系統等，或對所有設備和環境參數的檢測。如瓦斯檢測系統、輔助運輸信息等。設備層主要包括設備操作臺、PLC 控制箱、開關柜、傳感器、執行器、行程開關等現場設備，是具體控制設備的執行者。1.3 煤炭工控系統信息安全現狀及風險煤炭工控系統信息安全現狀及風險煤炭和其他行業的工控主站系統一般處于相對封閉的專用網絡，通過專用隔離裝 軟件項

6、目方案書軟件項目方案書第 3 頁 / 共 10 頁置與外界交互。隨著“兩化” （信息化與工業化）的深度融合，工控系統正越來越多的使用通用協議、通用操作系統、通用硬件和軟件。由于以太網、無線設備無處不在，整個煤炭控制系統都可以和遠程終端進行互連，病毒、木馬、蠕蟲等信息網絡安全問題直接延伸到工控系統。煤炭工控系統幾個重要環節面臨的信息安全風險如下。1) 在數據采集環節，煤炭工控系統終端設備一般長時間運行在自然條件惡劣的地下，不僅容易出現物理安全問題，而且受限于設備自身的計算資源 終端設備難以全面應用各種信息安全防護技術，易遭受仿冒、竊聽和篡改等攻擊。2) 在數據傳輸環節， 絕大部分工控系統都采用國

7、際標準的專有通信協議進行傳輸， 此類協議絕大部分缺乏有效的身份鑒別和訪問控制機制，并以明文方式進行傳輸，導致重要的控制命令、參數設置等信息面臨被竊聽、篡改的風險。3) 在數據處理環節，工控系統更多采用標準化的工控機或嵌入式系統，以及通用的數據處理技術和協議，包括 Modbus，S7、NDP3 等，這些協議和技術從設計階段主要考慮實時性和可用性，基本沒有考慮安全因素，導致無法進行一般意義上的安全修補，對工控系統造成日益嚴重的威脅。2.2. 煤炭行業工控安全解決方案煤炭行業工控安全解決方案2.1 工控安全解決方案簡介工控安全解決方案簡介2.1.1 工控安全思路簡介工控安全思路簡介公司沒有簡單照搬傳

8、統 IT 安全思維，而是以工控系統安全的視角，針對工控系統對可靠性、穩定性、業務連續性的嚴格要求，以及工控系統軟件和設備更新不頻繁，通信和數據較為特定的特點，提出了建立工控系統安全生產與運行的“可信網絡白環境”以及“軟件應用白名單”概念，進而構筑工業控制系統的網絡安全“白環境”： 只有可信任的設備，才能接入控制網絡； 只有可信任的消息，才能在網絡上傳輸； 只有可信任的軟件，才允許被執行；本設計思路無需大量改造現有工控網絡和頻繁升級工控系統，技術可靠實用，可落地性強。其主要優點包括： 軟件項目方案書軟件項目方案書第 4 頁 / 共 10 頁 杜絕終端后門隱患杜絕終端后門隱患工控安全產品能夠幫助涉

9、密單位、關系國計民生的大型工控企業對工控網絡工作站、服務器進行安全防護和安全加固，杜絕安全后門隱患，響應國家信息安全國產化政策及號召。 解決主機安全問題，減少安全生產事故解決主機安全問題，減少安全生產事故工控安全產品具備先進白名單防護技術，能夠有效抵御病毒、木馬、惡意軟件、零日攻擊、高級持久威脅(APT)攻擊對工控網絡工作站、服務器的攻擊與破壞行為，真正幫助企業發現工控網絡攻擊，解決安全問題，使企業的安全投入物有所值。 提高工控系統穩定性，減少系統停車時間提高工控系統穩定性，減少系統停車時間工控安全產品能夠有效檢測到操作員針對工作站、服務器的違規、異常操作并加以阻止，進而避免工控系統的意外停車

10、事故。同時，基于白名單技術的解決方案無需對工控網絡結構進行改造，避免頻繁升級工控系統，減少系統維護停車時間。方案的拓撲圖如下：2.1.2 工控安全產品簡介工控安全產品簡介1)可信邊界網關簡介：可信邊界網關簡介：公司可信邊界網關主要為保護工業控制網與管理信息網之間的邊界而設計，支持對 OPC 等數采協議的深度解析，阻止來自管理信息網的安全威脅，保護數據采集系統 軟件項目方案書軟件項目方案書第 5 頁 / 共 10 頁的安全。可信邊界網關基于業界領先的軟、硬件體系架構，其工控協議深度包解析技術不僅對二層三層網絡協議進行解析，更進一步解析到工控網絡包的應用層，對 OPC等協議進行深度分析，防止應用層

11、協議被篡改或破壞。利用可信邊界網關可以建立可信任的數采通信的模型，采用黑白名單互補的安全策略，過濾一切非法訪問，保證只有可信任的設備才可以接入工控網絡，只有可信任的流量才可以在網間傳輸。為控制網與管理信息網的連接提供安全保障。其主要優勢包括： 支持私有協議的開發平臺接口支持私有協議的開發平臺接口可信邊界網關提供 SDK，開放的平臺接口可以方便客戶自行擴展支持私有協議，以及做定制化的二次開發。 高性能匹配算法高性能匹配算法工控系統對實時性要求異常苛刻，可信邊界網關具備先進的硬件設計，采用專用MIPS 多核處理器，為低延時、高吞吐的數據處理提供了堅實的基礎保障。其中深度數據包解析引擎在實現穩定可靠

12、的數據包深度解析的同時，可以做到低延遲，保證了工控系統的實時性要求。可信邊界網關結合軟硬件加速能力，即使在開啟深度報文檢測（DPI）的情況下也可實現 30000PPS 的吞吐量。 高可靠的軟硬件一體化架構高可靠的軟硬件一體化架構可信邊界網關集成硬件加密引擎，為數據采集系統的數據傳輸提供了高性能的保證。另外，通過對可信網關和后臺管理系統之間的所有數據交換進行加密，確保了整個系統的安全性和可靠性。同時硬件物料精心選型，并且從電路設計、結構設計、系統冗余、時延、可靠性、環境要求等方面嚴格要求，保證硬件的可靠性。 自主可控的智能工控安全操作系統自主可控的智能工控安全操作系統可信邊界網關在專用工業級、高

13、性能網絡安全硬件平臺基礎上，構筑了自主知識產權的智能工控安全操作系統，此操作系統對流經可信網關的數據流做深度的協議解析和匹配，并對數據流做智能調度轉發，以及對工控網絡流量包的應用層內容做深度檢查，為安全功能的擴展提供了堅實的基礎保障。工控可信邊界網關在傳統網關功能的基礎上，專門針對工控環境提供了工控協議的管控、基于白名單的訪問控制策略、智能學習規則、規則測試模式、日志本地緩存 軟件項目方案書軟件項目方案書第 6 頁 / 共 10 頁等。 化繁為簡的使用體驗化繁為簡的使用體驗可信邊界網關以提高工業控制網絡的日常安全管理、信息統計數據的易讀性和可操作性為設計核心，降低操作復雜度，避免誤操作。系統充

14、分利用人工智能技術，大幅度簡化分析、管理、控制流程，并提供簡單易學的用戶界面，方便管理人員日常操作管理。管理系統支持實時可視化呈現工控網絡鏈路的連通性和服務狀態，提供多類歷史監控數據對比分析，系統日志、配置日志、流量日志、攻擊日志、訪問日志等類型日志的查詢與備份。2)可信區域網關簡介：可信區域網關簡介：可信區域網關主要保護工業控制網絡不同安全區域間的安全，支持多種工控協議，阻止來自安全區域外的威脅，抑制安全域中的病毒、木馬向其它區域傳播擴散。基于業界領先的軟、硬件體系架構，其工控協議深度包解析技術不僅對二層三層網絡協議進行解析，更進一步解析到工控網絡包的應用層，對Modbus、DNP3、IEC

15、104、Profinet 等進行深度分析，防止應用層協議被篡改或破壞。利用可信區域網關可以建立可信任的工控網絡區域間通信模型，采用黑白名單互補的安全策略，過濾一切非法訪問，保證只有可信任的設備才可以接入工控網絡，只有可信任的流量才可以在網間傳輸。為控制網、生產網內部各區域的連接提供安全保障。可信區域網關為控制網內部各區域間數據訪問提供工控協議深度解析、工控指令訪問控制、日志審計等綜合安全功能。可信網關采用了高性能、高穩定性的多核硬件架構，為用戶提供高效、穩定的安全保障。其主要優勢包括： 實時精準的工控協議實時精準的工控協議指令級控制指令級控制可信邊界網關搭載了深度數據包解析引擎，可對工控協議做

16、到實時和精準的識別，為解決針對工控網絡的安全問題提供了技術基礎保障，支持對 OPC 等數采協議進行快速有針對性的捕獲與深度解析。可以對 OPC 等工控協議做到指令級控制，如：OPC 協議只讀。 支持私有協議的開發平臺接口支持私有協議的開發平臺接口可信邊界網關提供 SDK，開放的平臺接口可以方便客戶自行擴展支持私有協議， 軟件項目方案書軟件項目方案書第 7 頁 / 共 10 頁以及做定制化的二次開發。 高性能匹配算法高性能匹配算法工控系統對實時性要求異常苛刻，可信區域網關具備先進的硬件設計，采用專用MIPS 多核處理器，為低延時、高吞吐的數據處理提供了堅實的基礎保障。其中深度數據包解析引擎在實現

17、穩定可靠的數據包深度解析的同時，可以做到低延遲，保證了工控系統的實時性要求。可信區域網關結合軟硬件加速能力，設備滿配策略條件下時延小于 50us。3)可信安全衛士簡介：可信安全衛士簡介：隨著工業 4.0 及兩化融合的趨勢到來，傳統的工業控制系統網絡安全問題已成為企業及國家安全面臨的嚴峻挑戰。鑒于工業應用的特殊性，作為工控系統重要組成部分的工作站、服務器等主機終端難以采用傳統的殺毒軟件等“黑名單”防護方式應對層出不窮的操作系統漏洞、計算機后門程序、病毒、木馬、數據掃描、密鑰數據塊攻擊、黑客攻擊等多元化的風險及威脅，采用更加安全、可靠、方便的技術對其進行安全加固已經迫在眉睫。可信衛士基于“白名單”

18、主動防御技術的主機安全防護軟件，解決了工控系統主機病毒感染、惡意腳本執行、操作系統內核漏洞隱患、應用程序緩沖區溢出攻擊等問題，能夠與威努特可信區域網關、可信邊界網關等共同構建可控、可靠、可管理的工控網絡“白環境”縱深安全防御體系。其主要優勢包括： 有效防止零日攻擊、有效防止零日攻擊、APT 攻擊攻擊基于 “軟可信”技術，與“白名單“技術相結合，不依賴于攻擊樣本采集及攻擊特征的提取，能夠有效的防御零日攻擊、APT 攻擊等傳統殺毒軟件無能為力的攻擊方式，保護主機終端的持續安全。極致簡單，易管理維護，適合工控環境極致簡單，易管理維護，適合工控環境 操作極致簡單，不需頻繁更新威脅特征庫來保持對新威脅的

19、防護能力，避免了升級可能造成的系統兼容性風險，易于現場管理維護，尤其適合在工業控制系統中使用。 系統資源需求量小，亦適合老舊設備系統資源需求量小，亦適合老舊設備不像傳統反病毒軟件或 IDS/IPS 設備依賴于一個急劇增長的特征庫，可信衛士根 軟件項目方案書軟件項目方案書第 8 頁 / 共 10 頁據每個客戶的具體生產環境建立一個小規模的白名單，對系統資源占用量小，亦適用于工控環境中老舊設備。 2.2 工控安全煤炭行業系統架構工控安全煤炭行業系統架構2.2.1 總體系統架構圖總體系統架構圖2.2.2 總體系統架構說明總體系統架構說明 可信邊界網關：方案在信息層和控制層，控制層和設備層之間架設可信邊界網關。并在每一個控制系統中部署可信邊界網關，包括大卷皮帶控制系統、通風機控制系統等。主要用于監視和控制在信息層與控制層、控制層與設備層之間，