案例背景

某汽車零部件制造商成立于2003年，經過十多年的發展，企業在汽車零部件相關領域取得了國內領先的技術地位，隨著集團信息化建設的不斷深入，其制造控制系統具備了高度自動化、智能化和網絡化的生產線控制和管理系統，廣泛應用了自動化總線技術、PLC、變頻器、機器人等汽車制造行業的自動化設備。生產網絡內各類資產互聯互通水平不斷提高的同時，核心資產的暴露面也逐漸增多，網絡安全風險也隨之增加。企業十分重視網絡安全建設工作，尤其是生產網絡的安全防護和監測預警體系建設。本項目案例依據等保2.0“一個中心，三重防護”要求，構建“識別(I)-防護(P)-檢測(D)-響應(R)”一體化汽車制造行業工控網絡安全保障體系，確保企業生產的連續性和合規性。

案例需求

汽車零部件制造控制系統面臨的安全問題如下：

（1）邊界模糊：生產和辦公區域缺乏有效的安全措施，導致邊界模糊，容易受到外部威脅。

（2）區域未隔離：生產線中的各子系統雖然進行了區域劃分，但由于邏輯互聯，缺乏有效的隔離和防護手段，增加了安全風險。

（3）主機系統安全配置不足：操作站、工程師站及相關服務器等主機系統未進行合理的安全配置，缺乏病毒和惡意代碼的防護機制，容易成為攻擊目標。

（4）威脅發現機制缺乏：缺乏合理的威脅發現和防護機制，無法及時告警和響應內部出現的風險，如操作不規范導致的安全風險。

（5）工控系統脆弱性：工控系統自身存在各類安全漏洞和后門，未進行常態化的安全檢查與風險評估，增加了脆弱性風險。

（6）安全設備管理不足：大量安全設備無法進行統一管控，缺乏統一收集、可視化分析以及及時發現復雜問題的能力。

方案概述

方案基于等保三級防護的標準要求進行安全建設，構建汽車制造行業“識別(I)-防護(P)-檢測(D)-響應(R)”網絡安全防護模型，在滿足不同業務系統、不同安全級別網絡間能夠進行數據實時交互的同時，做好生產網絡跨系統、跨區域邊界的訪問控制以及網絡內部非法設備接入、異常通信監測及處置等工作，形成安全閉環，確保生產網絡整體平穩運行。

方案部署

某汽車零部件生產企業工控網絡安全部署拓撲如下所示：

風險識別檢測

在生產大區部署工控漏洞掃描系統工具，對生產大區中的網絡設備、工控設備進行主機安全掃描、網站安全掃描、弱口令發現、基線配置核查，全面、快速、準確地發現被掃描網絡中的存活主機、網絡設備數據庫，準確識別其屬性。漏洞檢測能夠發現系統漏洞、工控設備漏洞、工控協議洞、Web漏洞等并提供解決方案。

區域隔離與網絡邊界防護

在生產網和辦公網縱向之間部署工控防火墻，并配置合理的訪問規則，可以控制不必要的跨層訪問，防止攻擊者通過上層網絡向下層網絡的滲透和攻擊，減少由于網絡互聯互通所帶來的安全風險。同時可以對不同層次之間的工業協議數據交換進行深度過濾，屏蔽非法操作，保障生產安全。

區域劃分與安全防護

可以在同一網絡層次中平行的工藝流程和業務子系統之間部署工控防火墻，將它們劃分成不同的安全區域，配置不同的訪問規則，屏蔽不同安全區域之間不必要的訪問，對不同安全區域之間的工業協議數據交換進行深度過濾，減少安全區域之間安全問題的擴散和影響。

在線監測及告警

在生產網交換機旁路部署工業審計系統，將控制網絡中的所有流通的數據信息通過鏡像端口傳輸至工控審計系統，對網絡行為進行綜合監控，對工控設備流量異常、非法設備接入、用戶違規操作、網絡掃描等行為進行綜合監控分析，對不合規行為進行告警。

終端防護

在生產大區終端設備、服務器，以及上位機部署工控衛士系統，防止設備非法外聯，保障企業核心數據安全；通過應用程序的黑白名單機制，阻止惡意代碼入侵系統及工控軟件；通過外設管控功能，實現對USB口、手機、光驅等相關外設設備的準入管理，杜絕數據外泄和感染病毒的風險，從基礎配置方面杜絕可能產生的安全隱患。

信息綜合分析與資產統一管理

在生產網部署工業安全管理平臺，基于大數據分析技術，對邊界隔離、網絡監測、主機防護等安全產品進行集中管控，對生產網中設備的日志、流量等信息進行綜合分析，有效聯動各類安全設備，實現精準的威脅識別，降低告警誤報率，提升安全事件處理效率，實現汽車制造企業安全可視化、自動化、智能化。

用戶收益

提升汽車制造行業工控網絡安全防護能力

通過部署工控安全產品，建立涵蓋汽車制造行業工控系統區域邊界、計算環境、通信網絡的安全防護框架。有效防止未經授權的訪問、惡意軟件傳播以及潛在的網絡攻擊并實時告警，減少安全事故的發生，科學合理的處置和輔助決策降低企業工控安全風險，維護系統穩定，避免網絡安全事故造成的經濟損失。

應急響應閉環高效應對網絡安全事件

方案采用的IPDR防護模型通過各階段的相互關聯和支持，形成一個閉環式的安全管理體系。相關階段的檢測、分析、研判等流程可以快速地對安全事件進行應急處置，使用工業安全管理平臺自動化安全策略功能或者腳本化工具，自動封禁IP，并實現終端安全產品、邊界防火墻等安全設備的聯動處理，更加快捷高效地應對網絡安全事件，保護企業自身的網絡安全。