冶金工控系統主動防御技術體系WHITEPAPER民解放軍戰略支援部隊信息工程大學、中國自動化學會工控系統信息安全專業委員會、金科技部重點研發課題《工控系統安全主動防御機制及體系研究》，項目編號：PREFACE原本獨立、封閉的冶金工控系統逐漸與互聯網廣能減排等方面發揮了積極作用。然而，隨著越來洞等各類網絡安全威脅也隨之涌入冶金生產流邊界防護不足、安全管理薄弱、控制器存在安全漏洞等問題，易受外部入侵者或內部不法人員攻說明冶金行業面臨的網絡安全威脅并非空穴來風使得離心機大面積損毀，導致伊朗核計劃被迫延年[3]，中東一處石油和天然氣石化設施因受PREFACEKhouzestan鋼鐵廠遭受高級持續性威脅(ATP）攻故障引發了大火，最終鋼廠被迫停產，遭受重大為保障工控系統的安全穩定運行，各國相繼相關部門發布了《工控系統信息安全防護指南》在這種背景下，國內冶金行業企業迅速開展PREFACE控系統主要采用以邊界防護為主的被動防御方檢測設備部署在工控網絡中。然而，由于攻防信息不對稱性、不可避免的認知邏輯缺陷、防護方案與工控可用性需求的沖突等問題，被動防護難認為是解決工控安全問題的潛在方案。主動防御本白皮書針對冶金行業典型場景下工控系統估現有安全防護措施的有效性，明確在冶金行業背景下工控系統的安全防護需求，基于識別-響應(Response)等方面的理論技術，提出一套冶金工控系統的主動防御技術參考體系，提升冶金PREFACE本白皮書的意義在于構建冶金行業典型場景工控系統的主動防御技術體系，為工控系統的主動防護技術的應用提供模板。同時，基于主動防御技術體系，為自主可控的產品開發和集成、行一冶金工控安全防護需求及挑戰冶金工控系統主動防御技術體系近年來，我國冶金行業呈現出快速發展的趨勢。我國擁常用有色金屬產量，冶金產業發展水平居世界首位，未來我國圖1冶金行業與其他產業之間的關系異構多源的特征[14]，如何保證工藝流程安全高效生產是冶金行業面臨的重大難題。智能決策，最終解決異構設備接入、多源數據集成、數等一系列問題，為解決冶金企業自動化和智能化提供新思路我國冶金行業在經歷了部門級信息化(MIS)和企業級信息化(ERP)之后，已經基本完成基礎信息化。多數冶金企業構建了由一級PLC(可編程邏輯控制器)、二級PCS(過程控制系統)、三級MES(制造執行系統)、四級ERP(企業資源規劃)、五級金行業實現了基礎數據的標準化、基本業務的流程優化、生產-業務圖2冶金行業的信息化近年來，隨著工業化與信息化的深度融合，數字化、網冶金場景中數據采集、信息傳輸、生產控制等方面的需求有望通過“5G+工業互聯最后對金屬坯料進行一系列塑性變形和加工的軋制工藝，性能的控制，制造過程中的成分與板型控制、工藝技術優對應的控制系統特點也不一樣，下面以高爐本體控制系統和化、高速化等特點[22]。高爐本體的數據監測和過程控制主要包括：爐內狀態測量、查看、分析當前高爐運行狀況。高爐本體通過PLC編程實現風溫、風壓等物理量的及其附屬從站進行控制。輔助設備由稀油站、潤滑站、液壓站組動裝置之間通過Profibus-DP網絡等方式通信，實現集中控制。在統通常采用管理層、監控層、控制層、現場現場層主要由傳感器和執行器構成，對物理對象的冶金生產車間的現場，通過工業交換機與上層進行信息交互。其主要由PLC、上位圖3冶金工控網絡該層包含各個分裝置的工程師站及操作員站統組態的維護，并通過交換機匯聚各分區控內所有裝置的組態進行維護，查看網絡內各流向的角度來看，現場層數據由傳感器采集后傳輸至控其他數據格式將現場數據向上傳輸，經過防火墻過濾送作員站對數據進行簡單分析處理，將結果發送給管理層數和生產監控層就能進行正常生產，但在冶金行業中，為調度管理層是將生產過程控制層的數據進行自動關系數據庫，并針對冶金行業實際需求和特點，上述架構通過局域網實現數據的層級交互，基本要求。但是，由于冶金行業的連續生產需求，產線壽命往產流程的影響，大部分現場設備不會進行更新換代或版本升近年來，工控領域頻繁爆發的網絡攻擊事件，說明網絡擊者使用魚叉式釣魚郵件和社會工程手段，獲得鋼廠辦公網者利用該網絡，滲透到鋼鐵廠的生產網絡并發動攻擊。攻擊工控系統的控制組件和整個生產線被迫停止運轉，由于不是而給鋼廠帶來了嚴重破壞。2020年3月，鋼鐵制造商EVRAZ公司在北美分支機構，機構癱瘓，大多數工廠停止生產[25]。2022年，伊朗Khouzestan鋼鐵廠遭受到高級持獲得鋼廠辦公生產網絡的控制訪問權進而對鋼廠發動攻擊，導工控設備、協議和業務的安全漏洞使得冶金控統網絡安全風險呈現出攻擊來源復雜化、攻擊目的多樣工控協議、業務流程發起攻擊，進而影響正常生產過程冶金工控系統存在各類輸入形式，部分控制設證，攻擊者可構造特殊的攻擊載荷以觸發漏洞，修改設備限。在訪問控制方面，部分設備的訪問控制策略不完善，制功能，并且不對訪問行為做任何身份認證，部分設備被直接爆破，憑證保護程度不足則可能導致憑證泄露等問題制器安全。部分上位機軟件未設置讀取保護，攻擊者可通過逆向技主機設備直接接入控制環網，缺乏隔離保護；典型冶不能對進出網絡的信息內容進行審查和過濾，缺乏檢查、問內部網絡的能力；不同網段之間缺乏可靠的技術隔離手缺少有效的安全保護措施，難以阻止惡意攻擊傳播；缺少操作員站的系統備份等。若發生系統崩潰、勒索病毒感染等生前的穩定狀態。所以要加強工控系統備份和恢復能少完整性驗證機制，攻擊者截獲通信流量后，修改敏感參數或設備發起遠程入侵，同時，內部不法分子也可能常生產造成影響。當前冶金場景普遍缺少針對內部分冶金企業在企業網絡資產管理、安全策略管理理、日常操作等方面缺乏統一的技術手段和管理方缺少安全策略、管理制度，管理者、操作人員安全意能效益，對可能造成重大事故損失的安全威脅重視不足足，仍保留可能帶來安全風險的行為習慣。企業缺乏針綜上所述，冶金工控系統設備數量種類眾多、理難度大，其自身存在設備、協議、隔離、管理等各個層面聯網普及的趨勢下，工控系統的孤島保護不復存在，面對各威脅，冶金工控系統需要部署全面完善的防御體系，才能應為彌補安全漏洞，降低安全隱患影響，根據工業在重要的冶金控制場景(如高爐煉鐵、軋鋼等)中，對關鍵控制設備進行冗余配冶金流程任務復雜，需要控制的設備眾多。根如圖4所示，在冶金控制網-管理網以及管理網-外網之間采用邊界隔離防火墻，禁止系統集成商、設備供應商、第三方運維服務商等其他圖4現有安全防護手段在冶金工控系統的管理層、控制層之間設置具有特定導冶金企業對現場工作人員進行安全培訓。除了冶金企業會定期進行安全測試，或邀請第三方機構現有防護措施在一定程度上能夠減輕冶金工控系象；監控層、管理層的上位機多使用Windows操作系統，其自身漏洞也可能被攻擊者利用，僅通過安全衛士和殺毒軟件難以滿足冶沒有在控制層－監控層之間采取有效的防御冶金行業工控網絡規模較大、節點眾多，工控護體系中缺少對設備的脆弱性檢測，無法及時識別設備現有防御方案缺少入侵檢測機制，無法及時發現能等待設備出現故障造成損失后對攻擊做出反應。同時，種類眾多、流量數據大，需要安全審計網絡中的協議流量一旦攻擊者突破防御、攻擊成功，將對冶金缺少自動化周期數據備份，也沒有攻擊后的快速恢復方案現有防護策略在企業網絡資產管理、安全策略管志管理、日常操作等方面缺乏統一的技術手段和管理方法，也報警數據等歷史數據進行綜合分析統計，各項防御措施分散獨管理、安全分析，能融合攻擊模式、威脅影響度量、脆技術，識別設備本體的安全漏洞并構建漏洞數據庫；針對主分析，包括數據包檢查、流量審計、協議逆向等，提取加固能力。針對風險識別結果對設備本體及相應編譯固，如，部署基于可信計算的工控本體操作系統，實現工控署能夠深度解析工控協議的工業安全防火墻、安全網關等網邊界和網絡的安全；并能夠針對工控場景特有的安全威脅設置檢測能力。基于當前流量、業務運行情況、故障日志測生產流程狀況，基于攻擊行為指紋庫偵測并識別可疑路徑的跟蹤溯源；利用入侵檢測系統和安全審計系統，別審查，實時監控工控通信過程，甄別針對工控系統的相應的響應策略，支持自動化周期數據備份，制定攻擊后工控系統與企業其他系統之間應劃分為兩個區離手段；工控系統內部應根據業務特點劃分為不同的在工控系統內使用廣域網進行控制指令或生產數據交換的應手段實現身份認證、訪問控制和數據保密傳輸；應采用校應保證跨越邊界的訪問數據流通過邊界設備提供的受對非授權設備私自連接到內部網絡的行為進行檢查或限制；應在網絡邊界或區域之間根據訪問控制策略設置訪問允許通信外受控接口拒絕所有通信；應能根據會話狀態信應在關鍵網絡節點處檢測、防止或限制從外部發起的網絡節點處檢測、防止或限制從內部發起的網絡行為進行分析，實現對網絡攻擊特別是新型網絡應在網絡邊界、重要網絡節點進行安全審計，審計覆用戶行為和重要安全事件進行審計；審計記錄應包括事《國務院關于大力推進信息化發展和切實保障信息安全的若干意見》(國發《關于加強工控系統信息安全管理的通知》(工信部〔2《國務院關于深化制造業與互聯網融合發展的指導意見》(國《信息化和工業化融合發展規劃(2016GB/T30976.1-2014《工控GB/T30976.2-2014《工控GB/T33008.1-2016《工業自動化和控制系統網絡安全可編程序控GB/T33009.1-2016《工業自動化和控制系統網絡安全集散控制系統(DCS)第1GB/T33009.2-2016《工業自動化和控制系統網絡安全集散控制系統(DCS)第2GB/T33009.3-2016《工業自動化和控制系統網絡安全集散控制系統(DCS)第3GB/T33009.4-2016《工業自動化和控制系統網絡安全集散控制系統(DCS)第4GA/T695-2007《信息安全技術-網絡通訊安全審計-數據留存功能要求》及《安對于冶金行業工控系統信息安全建設，應當以適度風險為原則，從業務的角度出發，重點保護重要的業冶金工控系統設備種類眾多，系統結構復雜，在于方方面面。同時，隨著信息技術的發展和攻擊者能力的層出不窮，任何一套防御策略都無法完全覆蓋冶金場景的全部署防御策略時需要在防御效果與部署成本之間平衡折中，尋求高效的防護方法。另外，冶金工控系統的可用性、功能然是該行業首要考慮的因素，因此，在考慮網絡安全問題時，的安全防范問題，企業內部也缺少相關的安全政策與管理制來改善冶金行業的安全現狀是片面的，不改變管理觀念與管全產品很難完全覆蓋冶金行業工控系統所有的信息安全問題場景中運用到的安全技術不足，難以形成有效的保護。在部安全技術與管理制度結合推進，切實有效地保障冶金場景安全策略更需要有效監管，專業有效的管理才能充分發揮安全冶金工控系統一般分為五層，每層的功能和特不同區域間設置交互策略和安全保護措施，方便為實現對冶金工控系統的主動安全防護，需解務等方面存在的安全問題。由于冶金工控系統廣泛分圖5冶金工控系統不同漏洞類型的占比開的漏洞數據庫CVE顯示，冶金場景中常用的PLC型號施耐德M340漏洞數達85個，圖‘主流控制器存在的漏洞數量制器分為微型(如S7-200)、小型(如S7-300)和中、高性能要求的PLC(如S7-400)[40]。處理能力，可進行浮點數運算。在冶金場景中較為常見的是歐姆龍PLC根據IO點數與功能不同，可分為微型、小型、中型、大順序控制的引擎一起為單個單元提供高速順序控制以及高速按照內部代碼邏輯控制執行單元完成相應動作，并及議規定的流量格式發送給上位機，作為整個生產系統的重要的作用。這也要求控制器必須能夠長期穩定、可靠實時性、準確性的要求。因此，生產商在設計控制器時將要的生產標準，而在一定程度上忽略了安全性。同時早工業控制器中普遍存在威脅性較高的安全漏洞。冶金場表1控制器漏洞CVE-ID漏洞描述受影響產品型號漏洞評分漏洞類型證的攻擊者使用管理Web界面將HTML/入任何設備屬性，這可能使攻擊者可以顯webPatch2和更早版本的基于堆棧的緩沖區溢遠程攻擊者可以通過ABBAC500PLCBufferSomeFirmwaresof流量并重播可能導致工業閥門打開和關閉ACACL1\L2\L3FirmwareV30.FirmwareV14.00FirmwareACFirmwareFirmwareAC攻擊者可以根據先前的值預測該數字。這可能會使攻擊者欺騙或破壞TCP連接。Firmware0Firmware0缺少關鍵功能的身份關IP地址)的修改。FirmwareFirmwareFirmwareFirmwareFirmwareFirmwareAC包引起的拒絕服務條DkStandardEthernetFirmwareFirmwareFirmwareFirmwareFirmware特制數據包可能導致受影響的設備進入缺FirmwareFirmware包引起的拒絕服務條DkStandardEthernetFirmwareFirmwareFirmwareFirmwareFirmware特制數據包可能導致受影響的設備進入缺FirmwareFirmware在冶金場景中，控制器與其他設備通信時采用工控協議里的一種，其TCP/IP實現依賴于面向塊的ISO傳輸服務。S7協議被封裝在TPKT和圖7S7Comm協議格式被捕獲或監聽，攻擊者能夠輕易地從流量中提取出敏感數據，獲取設備信息。重放攻擊等手段篡改控制器數據，甚至直接命令控制器S7Comm-Plus目前是S7通訊協議簇中安全性最高的協議，在S7Comm協議基礎上添加了會話認證、程序加密等安全機制，建立通信前進行四次握手密鑰，利用復雜的加密算法對交互內容進行保護，該協議部署于S7-1200/1500系列利用其通信原理設計偽裝上位機對PLC進行攻擊，控制PLC的運行狀態，甚至發動Modbus協議是Modicon公司推出的全球執行功能碼定義的操作并向客戶機發送響應，或者在操作通信過程缺乏必要的認證步驟，攻擊者尋找一個合法地址議所有的數據均通過明文進行傳輸，包括寄存器的地址通常被放置在第六層，在TCP/IP模型中則位于應用層和傳輸層之TSL握手建立的安全通道中，而TSL所要求的身份認證來源于服務器生成的包括版本號、用戶名、有效性、簽名算法和公鑰的安全證書，這種保但是考慮到采用的驗證設備在工業控制系統中不具備普適性，在TCP協議之上，因此不具有解決某些TCP漏洞的能力，如TCPSYNFlood和TCP嵌入技術在過程控制方面的應用[44]。OPC規范從OLE/COM/DCOM的技術基使用開放OPC服務的設備后，可利用漏洞向該設備發送Payload以觸發DoS條件或遠程代碼執行攻擊。攻擊者可利用遠程代碼執行漏洞在網絡中有協議也在冶金場景有所應用。這些工控協議在設計時并絡的交互，因此安全機制薄弱。由于工控系統的開放性增強著前所未有的巨大考驗。來自外部網絡的攻擊者可以利用工表2工控協議漏洞每個業務可以分為多個功能模塊，每個功能模塊由多個軟的業務包括生產業務、通信業務、控制業務、調度業務、絡、應用軟件、服務器等軟硬件設備組成。由于系統軟件制器漏洞、通信協議漏洞的存在，使得業務不可避免的存根據其造成損失的來源是否存在人為因素，冶金行業種類型：人為威脅和非人為威脅。其中，人為威脅根據業意攻擊威脅和非惡意攻擊威脅；非人為威脅根據系統所受表3內外部威脅對工控系統業務的影響ARP重定向、投毒，協議攻擊，TCP會話劫持等進通過梳理現有的安全事件，網絡攻擊對業務可能產生損失、拒絕查看、拒絕控制、安全損失、視圖喪失、操縱表4業務脆弱性及其說明失黑客可能會通過中斷甚至破壞控制系統操作、設備和控制過程的可用性和完整性而導致生產力和收入損失。此技術可以是針對物理系統攻擊引攻擊者會采用拒絕控制的方式以暫時阻止操作員或工程師與過程控制進行交互。攻擊者可以通過拒絕過程控制訪問實現與控制裝置的暫時通信中斷或阻止操作員調整過程控制。受影響的過程在失去控制期間可能仍在攻擊者會使用拒絕查看以試圖破壞和阻止操作員對信息環境狀態的監狀態和報告消息來實現拒絕查看，其目的是阻止操作員注意到狀態的變化安全損失可以描述物理影響和威脅，或控制系統環境、設備或過程中久性視圖喪失。通過造成持續的上報消息可見性喪失，攻擊者可以有效地隱藏當前的操作狀態。這種視圖喪失不會影響攻擊者可以在工業環境中操縱物理過程控制，操縱控制的方法包括對設定值、標記或其他參數的更改。攻擊者可操縱控制系統設備或己方的設攻擊者可能試圖操縱上報給操作員或控制器的信息。這種操縱可能是告的狀態截然不同的狀態。如果視圖被篡改，操作員可能會被欺騙去做一些對系統有害的事情，例如操作員可能會發出錯誤的控制指令，導致系統為了謀取個人經濟利益或者為將來的攻擊行為做準備，攻擊者可能把竊取生產環境中的操作信息作為任務目標。這些操作信息可能包括設計文檔、生產計劃、運行數據或提供操作細節的類似工冶金工控系統主動防御技術體系是建立在基于時間的安全理論基礎之上的，包括protection(保護)、detection(檢測)、關的所有活動，無論是攻擊行為、防護行為對風險進行及時處置，并對處置過程中的經驗進行總結，從而保證防護、檢全策略的控制和指導下，綜合運用防護工具和檢測工具的略將系統調整到“最安全”和“風險最低”的狀態。該模要環節是風險評估，通過風險評估，掌握網絡安全面臨的處置措施，使得網絡安全水平呈現動態螺旋上升的趨勢3.2面向冶金工控系統的IPDR一體化工業協議私有化程度高，為滿足功能性、實時性要容性差；在業務方面，嵌入式計算環境實時性要求高從威脅源頭來看，工控系統不僅面臨來自信息域手段的疊加作用，因此防范難度更大。從現實案例來連續性的信息物理融合，通過信息側發起威脅，引發關的局部擾動，再運用這種擾動構造跨越效應，引起信息表5信息系統與工控系統安全防御區別長周期運行、實時更新可靈活更新、常規防病高度私有化、基礎功能標準化協議、完善的基實時性要求相對較低、信息側威脅和物理域威主要面臨來自信息側的面對信息物理融合帶來的各類威脅，防御人員需要和安全體系構建原則，綜合考慮功能安全和信息安全，構建面控系統安全防護要求，本白皮書提出“識別(Identification)-保護(Protection)-檢測圖8冶金行業主動防御技術體系IPDR成三大安全控制回路，實現具有自演化能力的工控系統威加固回路基于控制工程設計架構、運行機理、歷史記錄等信息統安全脆弱點，針對性地提出系統設備、控制行為和業務脅實時防護回路協同采集工控系統各層級安全數據，創新行特征，綜合分析系統狀態，研究多層級威脅跟蹤溯源機能力，“風險識別保護加固”的執行將進一步提高系統異全面識別冶金工控系統在設計、運行、服務等全生命等關鍵功能節點的自身脆弱性并進行脆弱性關聯分析響的角度，識別并總結控制工程全生命周期各階段中運行、服務等階段的全生命周期中的交互行為，對編譯器關聯系統內部功能結構與外部威脅信息，分控制與部件等層級的安全數據進行靜態威脅特征匹配與動態工控系統各層數據流信息，結合工控系統拓撲結構、系統動基于工控系統脆弱性與威脅事件關聯關系，結合網絡響應策略庫；結合專家知識與行業安全事件處置圖9主動防御技術總覽解析，分析固件中各代碼模塊的調用關系及代碼內容，從而發存在的漏洞及后門。固件可通過官網下載、硬件接口獲取等分析方法包括動態分析和靜態分析。通過靜態分析技術可以無法獲得固件在真實系統中的行為和交互、無法獲取固軟件逆向技術利用逆向工程技術對控制器配套過靜態調試或動態調試的方法測試軟件功能，推演軟件流量分析技術通過數據包分析軟件獲取控制器同上遭受網絡攻擊的風險，在設計工控協議時并未考慮到安全因素。放性增強，控制設備暴露在開放環境中的可能性越來越大，基于網絡流量的協議分析方法。該方法需要采集大量工報文數據集，依據報文間變化規律和相似性相同類型功能的報文時，報文的部分特征字段及格式具備基于程序分析的協議分析方法則以協議的上位機軟件件接收到報文之后，利用不同的程序段處理報文中的各項內內容與軟件中的不同程序段具有潛在的對應關系，由此可以異常結果來發現軟件漏洞。在工控協議分析中，模糊測試較于逆向分析方法，模糊測試分析自動化程度高，可脫離對業務進行有效控制和優化管理是工控系統的關鍵。然而，都是破壞或阻斷控制業務，造成設備損壞甚至人員傷亡。對分析法通過機理建模，給出控制業務的動態數往往很少進行更新和硬件迭代。對于攻擊者而言，控制器的使用利用的漏洞越多。而對于操作員而言，很多控制器的配置文像個黑盒。控制邏輯反演可重新恢復控制器中的控制業務邏否存在被篡改、插入惡意代碼、執行異常等風險，從而發現國密算法芯片和國產操作系統，參考目前PLC普遍暴露出的安全問題，重新設計安對現有協議進行加固，提升協議安全性能，是解決當前弱性的有效方法。常用的協議加固方法包括黑白建立包含內部可信設備及可信行為的白名單，只允許執行可信操作，拒絕名單之外的設備訪問和操作行為，強化動態分級加密技術將各類數據按照功能及敏感度進不同等級和成本的保護方案。加解密模塊利用實的流量進行過濾，同時記錄非法流量以便后續的威脅通過業務審計技術對冶金工控系統開展安全審計，進進行保護。通過工控安全審計系統采集場景中產生的實時流量及涉及的業務信息，構建冶金系統網絡通信模型，從業務要求測流量。同時可以通過獨立于審計對象的審計師對冶金工控系工控蜜罐模仿真實的工控設備行為，迷惑攻擊者于蜜罐數據的入侵檢測算法可以獲得很低的誤報獲新的攻擊。由于蜜罐設計的目的就是為了被入侵，因此如何結合工控系統的特性，并通過理解數據狀態的異常檢測一直是工控安全中的關鍵問題。深度包解包封裝過程中實際的應用情況，根據層次結構解封采集到基于TCP/IP的工控協議在控制網絡通信過程中有明確的包的動態序列會因為不同連接之間的相互干擾而呈現出一神經網絡因為對歷史序列具有選擇性記憶功能，能夠很好過長而造成梯度消失的問題。經過分析工控網絡通信數據與自然語言文本預測研究的相似性，選擇具有記憶性的預測模基于機器學習算法的入侵檢測系統是目前工控安全方維護其算法的安全性和魯棒性，需要設計一個針成算法。通過主動生成對抗樣本，可以進行工控系統冶金系統運行時會產生大量相關數據信息，這受到攻擊者攻擊篡改。可利用神經網絡在行為與時間相關的特擊模型，識別攻擊者注入的虛假數據。還可以在控制系統中壇、微博等平臺的數據進行監控和分析，冶金企業可以了解冶金環境中包含大量主機、控制器、路由器等有很強關聯。態勢感知技術通過多元數據融合技術識別感知技術可分為狀態提取、態勢評估、趨勢預測三部分，整體態勢做出判斷，并依據歷史記錄和當前情況進行預攻擊路徑等信息，后者通過分析惡意代碼內容、比對典型攻系統受到攻擊后，現場會遺留相關攻擊信息段保護攻擊痕跡，之后通過殘余數據獲取、日志分析等行狀態及行為記錄，經過分析鑒定，找到有價值的攻擊略，是根據冶金場景特點，針對各級可能發生的安全事件種安全防御策略能夠提供絕對的保護。提前制定安全應急動防御體系，安全保護范圍覆蓋了冶金場景中常被作為IPDR模型各個環節間相互支持，構成完整的安全防護系統。三大回路閉環反險深度耦合，單一信息網絡防御或物理系統保護難以為工過識別、保護、檢測、響應四項防護模塊聯動，統籌各的信息安全、功能安全、操作安全，協同優化冶金工控面向其設計防護系統的基本思路是圍繞“識別(Identification)-保護(Protection)-檢測(Detection)-響應(Response)”四個方面，形成一套完整的一體化IPDR主動防御技術等；深入分析冶金系統網絡結構、控制數據流特征等，建和規范，協助網絡安全管理人員及時識別網絡安全風險。按照冶金工控系統安全優先級或業務關鍵程度，邏輯劃分，實現基于邏輯安全區域的網絡安全風險隔離。采使其具有自主安全防護功能，防止非法卸載。基于識別利用安全加密、多重訪問控制、設備可信保護等技術對時根據工控系統本體在控制工程設計、運行、服務等階為，對編譯器、控制器、操作系統及數據采集與監控系更新；部署具備工控流量解析能力的安全網關、安全網關聯系統內部功能結構與外部威脅信息，分控制與部件等層級的安全數據，設計靜態威脅特征匹配與動工控系統運行、服務等階段的異常實時檢測。具體來講，融器學習、統計行為等分析方法將檢測發現的網絡攻擊數據、支持審計系統對冶金系統通信內容進行識別審查，實時監控構建基于網絡安全管理平臺分級部署協同管控系統脆弱性與主要攻擊事件之間的關聯關系，應策略庫；結合專家知識與行業安全事件處置規則，設計根據冶金行業工控系統規模及業務數據流特點，遵循度、技術管理并重、分層分區域建設、動態調整四大原則，并能對被非法篡改的組態程序進行恢復。采用基于白名單技務器，在同一網段內應當能夠實現集中管控或日志采集，防監控層采用態勢感知平臺，被動式的安全分析和漏擾工控生產環境；自動生成網絡拓撲，并支持基于網段的靈針對工控系統的各類掃描、探測、遠程連接、設備控制等行系統，用于工控網絡內工業實時流量采集與審計，實現網絡構，實現無協議數據單向擺渡。采用工業綜合安全管理有網絡安全設備上送數據進行統一處理和存儲，基于數圖10冶金場景工控系統主動防御技術部署圖表6防御技術及其功能控制器安全組態及其監視系統靈活的控制器安全防護模式：根據用戶需求配工業主機安全防護系統能夠對移動介質進行管控，如光驅、軟驅、U遠程/外部終端接入防護路工控網絡漏洞識別和管理弱密碼檢測、定時掃描、掃描報表功能、管理員權AAA認證、日志和告警、未知漏洞挖掘、資產管理等[1].李鴻培,忽朝儉,王曉鵬.工控系統的安全研究與實踐[R].北京:綠[3].M.Geiger,J.Bauer,M.MasuunderDoSattack,"IEEEAccess,vol.8,pp.19271-19285[5].深度剖析：伊朗鋼鐵廠入侵路徑推測及對鋼企數字化安全轉型啟示[OL].FreeBuf.COM,2022./articles/ics-arti/pdf/Endpoint_Security_Best_Practices_Final_Mar_2018.pdf.[7].S.Cariellietal.,"IoTSecurityMIIC,USA,2020./pdf/SMM_Description_and_Intended_Use_V1.2.pdf.[8].劉曉曼,杜霖,楊冬梅.2019年工業互聯網安全態勢簡析[J].保密科學技術,2019(12):27-31.[9].工業控制系統信息安全防護指南[R].工業和信息化部,2016.[11].工業信息安全標準化白皮書(2019版)[R].工業信息安全產業發展聯盟,20[12].2020-2024年中國冶金行業深度調研及投資前景預測報告[R].銳觀產業研究院,2019./chanye/201604/satdx12/a/408203956_465552.[15].王彥姣.智能自動化在金屬冶煉中的應用研究[J].世[17].李新創,施燦濤,趙峰.“工業4.0”與中國鋼鐵工業[J].鋼鐵,2[19].工業互聯網與鋼鐵行業融合應用參考指南[R].工業互聯網產業聯盟,中國鋼鐵工業協會,[20].王偉哲.PLC在鋼鐵冶金企業電氣自動化控制中的應用[J].科技風,202[21].趙明珠.鋼鐵冶金企業自動化儀表的有效運用[J].化[22].張志遠,劉競,高棋興.工控網絡安全設備在冶金行業(煉鋼)高爐的應用[J].自動化博覽,[23].王利山.淺析煉鐵高爐的自動控制系統[J].科技創新與應用,2016(10):87.[24].朱邦產.PLC和計算機控