-
-
-
wuyuxi_876 | 当前状态：在线
总积分：244 2024年可用积分：0
注册时间： 2011-01-05
最后登录时间： 2019-06-28
-
-
工业网络安全解决方案Tofino
wuyuxi_876 发表于 2011/1/10 15:28:47 2166 查看 0 回复 [上一主题] [下一主题]
手机阅读
一、 TOFINO产品概述
1.1工业网络安全新警示
过去十年间，世界范围内的过程控制系统（DCS/PLC/PCS等）及SCADA系统广泛采用信息技术，Windows，Ethernet，现场总线技术，OPC等技术的应用使工业设备接口越来越开放，企业信息化让控制系统及SCADA系统等不再与外界隔离。但是，越来越多的案例表明，来自商业网络、因特网、移动U盘、维修人员笔记本接入以及其它因素导致的网络安全问题正逐渐在控制系统及SCADA系统中扩散，直接影响了工业稳定生产及人身安全。
2010年10月，肆虐伊朗国内的“超级工厂病毒”Stuxnet病毒已经造成伊朗布什尔核电站推迟发电，并对伊朗国内工业造成大面积影响。
2006年10月一部被感染的笔记本电脑(维修用的),让黑客入侵访问了在美国宾夕法尼亚州的哈里斯堡水处理厂的计算机系统。
2005年8月13日美国佳士拿汽车工厂的控制系统通过维修人员的笔记本电脑感染病毒，虽然已安装了IT防火墙，病毒就在几秒钟之内从一个车间感染到另一个车间，从而最终导致停工。
2003年1月，Slammer蠕虫病毒入侵大量工厂网络，直到防火墙将其截获，人们依然认为系统是安全的。
以上事件给我们工业控制系统网络安全带来新警示：
◆控制系统网络是可以被攻击的：
◆控制系统网络需要有病毒及黑客入侵防护；
◆需要实施一个纵深防御策略来保证控制系统的稳定运行；
1.2要保证工业网络的安全运行必须达到的两个目标
（1）即使在工业网络单点出现问题，也能保证装置或工厂的安全稳定运行
对于现代计算机网络，我们认为最可怕的是病毒的急速扩散，它会瞬间令整个网络瘫痪，该防护目标在于当工业网络的某个局部存在病毒感染或者其它不安全因素时，不会向其它设备或网络扩散，从而保证装置或工厂的安全稳定运行。
（2）能够及时准确的确认故障点，并解决问题
怎样能够及时发现网络中存在的感染及其它问题，准确找到故障的发生点，是维护控制网络安全的前提。
1.3 ANSI/ISA-99区域防护概念解析
目前国内针对工业网络的防护标准尚不成形，公安部会同有关部门也在制定计算机信息系统安全等级的划分标准和安全等级保护的具体办法，在国际上，美国在2007年颁布的Chemical Facility Anti-Terrorism Standards (CFATS)标准（该标准由美国国土安全部颁布）以及2008年颁布的US Chemical Anti-Terrorism Act（美国化学反恐怖主义法）针对化工设备安全做了强制要求，目前，石油，水处理以及制造业都还没有必须按照以上立法规定作业，但是为了避免重大的风险，基本都遵守ANSI/ISA-99 Standards的要求进行规划。
国际行业标准ANSI/ISA-99指出以下工业网络的安全要点：
|
要点名称 |
要点描述 |
达到目标 |
|
区域划分 |
具备相同功能和安全要求的设备在同一区域内 |
安全等级分区 |
|
管道建立 |
实现区域间执行管道通信 |
易于控制 |
|
通信管控 |
通过控制区域间管道中通信管理控制来实现设备保护 |
数据通信可控 |
想要满足这一安全要求，Tofino是一种经济高效的方式。Tofino能够用来分离信息系统网络与过程系统网络，分隔不同供应商的控制系统，并隔离关键系统与非关键系统，保护控制系统底层边缘设备（例如控制器等）。
1.4一个完整的Tofino安全解决方案包含三部分
Tofino安全模块（TSA）——硬件设计遵循增强型工业环境要求，应用于受保护的区域或控制器等关键设备之前，设计使用寿命27年。下图为Tofino安全模块硬件的两种选型。
Tofino可装载安全软插件(LSM)——专为TSA设计的安全软插件，并根据系统需求提供各种定制安全服务，如工业通信防火墙、事件与报警管理，OPC/Modbus TCP通信深度检查、安全设备资产管理、VPN加密等。LSM可以直接装载到Tofino安全模块中。
Tofino中央管理平台（CMP）——窗口化的中央管理平台系统及数据库，用于Tofino安全模块的配置、组态和管理