某電子製造企業的安全解決方案

來自 搜狐網 的圖片

某電子製造企業的安全解決方案某電子製造企業的製造基地既有自己的工廠又有眾多的外協工廠，且外協工廠分布式在全世界多個國家。目前該企業通過自建私有雲方式實現「雲上辦公」和「生產管理系統上雲」，企業各園區之間採用企業專網進行通信，生產基地和外協廠基本上通過租借的專網進行通信，部分供應商採用 TLS VPN 進行通信，廠區內部還根據不同的應用場景採用不同的通信方式，除了有線通信之外，還有WiFi 和 eLTE 等無線通信方式，工廠和外協工廠之間通過該企業的私有雲平台實現生產協同。

由於企業的製造智能化和管理 IT 化的水平比較高，其製造業務的面臨安全挑戰非常大。因此製造業務部門在基於公司通用的 IT 安全部署和安全管理之上，提出製造基地獨立的安全防護體系和安全管理機制。採取管理約束和技術保證雙管齊下的策略，根據生產實際述求，基於先改造 IT 後增強 OT 的安全實施理念，提出了被動的靜態防禦和主動防禦相結合的安全部署方式，通過嚴格的安全隔離和訪問控制機制等傳統的靜態防禦手段，為生產基地構建獨立的網絡安全防護圍牆；在此基礎上，引入主動防禦的安全工具，通過先進的安全防禦工具，來彌補攻防的不對稱問題，提高防攻擊的反應能力和預警能力。生產基地在此基礎上，還結合主機安全加固、反病毒機制和定期的安全測試檢查等措施，有效地應對了多次安全攻擊事件，例如在勒索病毒和 ARP 攻擊等針對基地的攻擊事件中，能夠做到及時預警和快速反應。

目錄

典型安全問題

該企業在設計生產園區的安全防護體系時，充分考慮到以下安全問題：

1) 不同業務平面需要進行網絡輯隔離，防止網絡安全事件發生時，存在風險快速橫向擴展導致大面積業務癱瘓風險。

2) 由於歷史原因，車間的工控系統自身防護能力非常弱，包括工控協議本身沒有考慮安全設計，計算機 OS 老舊，軟件升級和補丁更新緩慢，且很多設備並不適合安裝殺毒軟件。

3) 生產管理應用系統需要向外協工廠和廠內辦公網絡開放，存在黑客從外網直接攻擊生產管理系統的風險，也存在辦公區設備被病毒感染，而蔓延到生產管理系統的風險。

4) 生產網絡的邊界管理需要強健，避免像有些企業那樣，只採用簡單的 ACL隔離，車間生產設備採用分配固定 IP 地址，且用戶可以無限制次數地直接訪問這些生產設備等等。

5) 面對高級持續威脅和 WannaCry 等這種新型病毒，傳統單點和靜態防護常常束手無策，等到攻擊事件爆發時才制定相應安全措施。

3.安全解決方案

針對上述安全問題，製造基地採取了如下的安全部署策略：

1) 多層次的安全隔離措施

在企業的大專網中，劃分一個生產專網，將辦公網絡和生產網絡區分開，在生產網絡中再進一步劃分若干個子網；生產區根據設備和業務特點，劃分不同安全區域，每個區域對應一個網絡子網。通過嚴格的安全隔離措施，來彌補工控系統自身防護能力弱的問題。

2) 嚴格的網絡訪問控制

每個子網分配私有 IP 地址段，子網之間通信需要通過網關進行訪問控制；設備接入生產大專網時，採用設備和用戶雙因子鑒權機制，設備需要先通過雲的合規性和殺毒檢測，各生產子網的訪問權限由雲平台統一管理，實現全局訪問監控。

3) 部署智能的主動防禦系統

通過安全態勢系統、安全策略智能管理和網絡誘捕系統，「三位一體」構建主動防禦體系，提高了對未知的威脅感知能力和安全響應能力。