【正文】 LSMLOG100 Tofino 事件記錄可裝載模塊對您的安全事件提供了可靠的監(jiān)控功能和記錄功能，它是 一個(gè)專為工業(yè)控 制網(wǎng)絡(luò)設(shè)計(jì)的日志記錄系統(tǒng) 。不過，為了避免引起進(jìn)程干擾，它實(shí)現(xiàn)這一功能使用的并不是傳統(tǒng)的掃描技術(shù) 2 （ 2） Tofino 中央管理平臺軟件 CMP（ Central Management Platform）： 是一個(gè)基于 Windows 平臺的軟件，具備在線組態(tài)、在線監(jiān)控、 資產(chǎn)管理等多種功能，可以將全廠所有設(shè)備硬件都集中管理，對全廠控制網(wǎng)絡(luò)狀態(tài)一目了然。 （ 4）組態(tài) 管控局部網(wǎng)絡(luò)的通訊速率，防止網(wǎng)絡(luò)風(fēng)暴發(fā)生 ，避免所有操作站在同一時(shí)間出現(xiàn)數(shù)據(jù)堵塞或者黑屏 。 右圖為 Tofino 安全模塊 硬件圖片。 1 Tofino Argon Secure Asset Management LSM 資產(chǎn)管理插件 LSMSAM100 像雷達(dá)一樣， Tofino 的安全設(shè)備資產(chǎn)管理（ SAM）可裝載模塊可以追蹤每一個(gè)通過 Tofino 安全設(shè)備進(jìn)行通訊的設(shè)備。 更多技術(shù)了解訪問 MES/SCADA/DCS/PLC 工業(yè)控制網(wǎng)絡(luò)安全專家 Tofino OPC通訊防護(hù)配置清單（單個(gè) OPC連接） （ 1） Tofino TSA 硬件及插件 方案所需軟、硬件 功能 數(shù)量 Tofino安全模塊 FATSA220TX/TX 能夠提供安全系統(tǒng)的工業(yè)平臺，適宜溫度 40176。 更多技術(shù)了解訪問 MES/SCADA/DCS/PLC 工業(yè)控制網(wǎng)絡(luò)安全專家 Tofino 可裝載安全軟插件 (LSMFirewall)： 工業(yè)網(wǎng)絡(luò)交通警察 ， 提供防火墻及網(wǎng)絡(luò)交通控制功能的軟插件 內(nèi)置 50 多 個(gè)工業(yè) 專用 及 商業(yè) IT 通信協(xié)議 ， 預(yù)先定義超過 25 個(gè)控制器類型 （例如：西門子 S7300/S7400， Honeywell PKS C200/C300/），通過通訊協(xié)議指令級別的管控， 預(yù)先 組態(tài) 用于高級過濾和攻擊保護(hù) 的“ 特殊規(guī)則 ” 。 實(shí)時(shí)報(bào)警： 任何非法的（沒有被組態(tài)允許的）訪問，都會(huì)在 CMP 管理平臺產(chǎn)生實(shí)時(shí)報(bào)警信息 ，從而故障問題會(huì)在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決 一勞永逸： 工業(yè)級硬件設(shè)計(jì)，保證模塊的穩(wěn)定性； 特有的專有控制通訊協(xié)議檢查設(shè)計(jì)理念（白名單理念），告別了傳統(tǒng)防火墻的病毒庫升級等繁瑣工作 ，在防護(hù)的同時(shí) 也 不改變 控制網(wǎng)原有應(yīng)用軟件的操作模式 ，大大降低網(wǎng)絡(luò)維護(hù)量 。一旦安裝成功，安全 /技術(shù)人員即可毫不費(fèi)力地管理任何系統(tǒng)，以總攬公司大局的方式對網(wǎng)絡(luò)威脅作出反應(yīng)。使用 CMP，并裝載各種必要的 Loadable Security Modules (LSMs，可裝載安全軟件插件 )，就可以 實(shí)時(shí)在線 調(diào)整 Tofino 模塊，使之滿足所保護(hù) 區(qū)域及 設(shè)備的安全要求。 這些感染或攻擊的途徑可能來自： ◆來自上層 信息網(wǎng)對控制網(wǎng) 的攻擊或病毒感染； ◆工程師使用 U盤、光盤 導(dǎo)致的 病毒傳播 ； ◆設(shè)備 維修 時(shí) 筆記本電腦接入 而來； 總結(jié)以上列舉的種種問題，我們認(rèn)為要保證控制網(wǎng)絡(luò)的安全運(yùn)行必須達(dá)到兩個(gè)目標(biāo)： （ 1） 即使 在 控制網(wǎng) 單點(diǎn)出現(xiàn)問題，也能保證 裝置或工廠的安全穩(wěn)定運(yùn)行 對于現(xiàn)代計(jì)算機(jī)網(wǎng)絡(luò)，我們認(rèn)為最可怕的是病毒的急速擴(kuò)散，它會(huì) 瞬間令整個(gè)網(wǎng)絡(luò)癱瘓，該防護(hù)目標(biāo) 在 于 當(dāng)控制網(wǎng)絡(luò)的某個(gè)局部存在病毒感染或者其它不安全因素時(shí)， 不會(huì)向其它設(shè)備或網(wǎng)絡(luò)擴(kuò)散，從而保證裝置或工廠的安全穩(wěn)定運(yùn)行。 可以想像， 一套失控的 控制 系統(tǒng) 可能導(dǎo)致 的 后果是非常嚴(yán)重的。 這些 惡意代碼具有更強(qiáng)的傳播能力和破 壞性。 過程 控制系統(tǒng) 在近 十年的發(fā)展中呈 現(xiàn)出整體開放的趨勢 ， 計(jì)算機(jī)技術(shù)在工控領(lǐng)域的應(yīng)用 使得現(xiàn)代 DCS 操作站完全 是一種 PC+Windows 的模式 ， 控制系統(tǒng)網(wǎng)絡(luò) 也基本都向工業(yè)以太網(wǎng)結(jié)構(gòu)發(fā)展，開放性越來越強(qiáng)。 2021 年 8 月 13 日美國 佳士拿汽車工廠 的控制系統(tǒng)通過維修人員的筆記本電腦感染病毒，雖然 已安裝了 IT防火墻，病毒就在幾秒鐘之內(nèi)從一個(gè)車間感染到另一個(gè)車間 ，從而最終導(dǎo)致停工 。 更多技術(shù)了解訪問 MES/SCADA/DCS/PLC 工業(yè)控制網(wǎng)絡(luò)安全專家 1． 工業(yè)控制網(wǎng)絡(luò)安全概述 本 報(bào)告編制依據(jù) 《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》 、 《 信息安全技術(shù) 指南 》 以及國 際《 ANSI/ISA99 控制系統(tǒng)網(wǎng)絡(luò)安全指引》 面向 石化 企業(yè)信息化的特點(diǎn)，結(jié)合 MES 以及現(xiàn)場控制系統(tǒng)的實(shí)際應(yīng)用，針對控制網(wǎng)絡(luò)安全問題進(jìn)行分析與 闡述 ，并 提供 適合 企業(yè) 特點(diǎn)的安全 方案 。 通過專家對 大量 工業(yè)網(wǎng)絡(luò)安全 案例 的分析 證明，網(wǎng)絡(luò)攻擊頻發(fā)的原因正在于此 —— 不完善的網(wǎng)絡(luò) 安全 設(shè)計(jì) ， 配置不當(dāng)?shù)?防火墻以及 VPN tunnels、雙網(wǎng)卡服務(wù)器及網(wǎng)絡(luò) 共享 等 。 PC+Windows 的技術(shù)架構(gòu)現(xiàn)已成為控制系統(tǒng)操作站 (HMI)的主流，任何一個(gè)版本的 Windows 自發(fā)布以來都在不停的發(fā)布漏洞補(bǔ)丁， 為保證過 程控制系統(tǒng)相對的獨(dú)立性，現(xiàn)場工程師通常在系統(tǒng)開車后不會(huì)對 Windows 平臺打任何 補(bǔ)丁 ，更為重要的是打過補(bǔ)丁的操作系統(tǒng)沒有經(jīng)過制造商測試，存在安全運(yùn)行風(fēng)險(xiǎn)。 基于工控軟件與殺毒軟件的兼容性，在操作站（ HMI）上通常不安裝殺毒軟件（美國有因?yàn)榘惭b殺毒軟件導(dǎo)致安全系統(tǒng)運(yùn)行故障的案例），即使是有 防病毒產(chǎn)品 ，其基于病毒庫查殺的機(jī)制在工控領(lǐng)域使用 也有局限性，主要是對新病毒的處理總是滯后的，這導(dǎo)致每年都會(huì)大規(guī)模地爆發(fā)病毒，特別是新病毒。 更多技術(shù)了解訪問 MES/SCADA/DCS/PLC 工業(yè)控制網(wǎng)絡(luò)安全專家 石化企業(yè)隨著信息 化的不斷深入 ，大量 IT技術(shù)被引入，同時(shí)也包括各種 IT網(wǎng)絡(luò)安全技術(shù) ， 主要 有 IT商業(yè) 防火墻、 IDS、 VPN、防病毒等 ，這些技術(shù)目前也基本集中在工廠 MES 系統(tǒng)企業(yè)信息層面 。 更多技術(shù)了解訪問 MES/SCADA/DCS/PLC 工業(yè)控制網(wǎng)絡(luò)安全專家 來自國際 的行業(yè)標(biāo)準(zhǔn)，如 ANSI/ISA99 指出過程控制系統(tǒng)或 SCADA 控制網(wǎng)絡(luò) 的控制網(wǎng)絡(luò)安全要點(diǎn)： 要點(diǎn)名稱 要點(diǎn)描述 達(dá)到目標(biāo) 區(qū)域劃分 具備相同功能和安全要求的設(shè)備在同一區(qū)域內(nèi) 安全等級分區(qū) 管道建立 實(shí)現(xiàn)區(qū)域間執(zhí)行管道通信 易于控制 通信管控 通過控制 區(qū)域間管道中通信管理控制來實(shí)現(xiàn)設(shè)備保護(hù) 數(shù)據(jù)通信可控 想要滿足這一安全要求， Tofino 是一種經(jīng)濟(jì)高效的方式。 當(dāng)然，單個(gè) Tofino 模塊可以同時(shí) 裝載多個(gè) LSM，同時(shí)提供多重安全防護(hù)。 下圖為 Tofino 安全模塊 硬件的兩種選型 。 一個(gè)完整的 Tofino OPC 安全解決方案包含以下 六 部分： Tofino 安全模塊（ TSA）： 硬件 設(shè)計(jì) 遵循 增強(qiáng)型工業(yè)環(huán)境要求 ，應(yīng)用于受保護(hù)的 區(qū)域或 控 制器 等關(guān)鍵設(shè)備 之前 ，設(shè)計(jì)使用壽命 27年， 能夠提供安全系統(tǒng)的工業(yè)平臺，適宜溫度 40176。同樣也對 OPC 授權(quán)客戶端發(fā)往 OPC 服務(wù)器的 OPC 對象請求進(jìn)行檢查，以提高 OPC 服務(wù)的安全性。 1 Firewall插件 LSMFW100 提供防火墻及網(wǎng)絡(luò)交通控制功能的軟插件， 符合 ANSI/ 的網(wǎng)絡(luò)分段要求，達(dá)到區(qū)域隔離目標(biāo)。S 中央管理平臺軟件 無限點(diǎn) FACMP100 套 1 2 Tofino CMP User39。 資產(chǎn)管理插件（ LSMSecure Asset Management） 像雷達(dá)一樣， Tofino的安全設(shè)備資產(chǎn)管理（ SAM）可裝載模塊可以追蹤每一個(gè)通過 Tofino安全設(shè)備進(jìn)行通訊的設(shè)備。C，防護(hù)等級 IP20。s Guide CMP 用戶手冊 DOCUGCMP100 冊 1 3 Tofino CMP Software Installation Guide CMP 安裝指導(dǎo)手冊 DOCIGCMP100 冊 1 4 Tofino CMP Quick Start Guide CMP 速配手冊 DOCQSCMP100 冊 1