方案架構(gòu)
嚴(yán)格的網(wǎng)絡(luò)邊界防護(hù)
將信號系統(tǒng)劃分為獨(dú)立的安全域，不同安全域之間通過添加防火墻實(shí)現(xiàn)邏輯隔離，只允許信號系統(tǒng)和其他互聯(lián)系統(tǒng)正常業(yè)務(wù)的連接和數(shù)據(jù)能夠通過該網(wǎng)絡(luò)邊界，其他非法連接和數(shù)據(jù)均被禁止。通過在信號系統(tǒng)與外網(wǎng)系統(tǒng)邊界部署協(xié)議隔離設(shè)備，實(shí)現(xiàn)外部系統(tǒng)與信號系統(tǒng)之間的安全隔離，基于白名單方式設(shè)置通訊規(guī)則，其他非法連接和數(shù)據(jù)均被禁止，提高系統(tǒng)安全性。實(shí)時(shí)的入侵檢測防護(hù)
在SCADA控制系統(tǒng)內(nèi)部部署工業(yè)入侵檢測系統(tǒng)，對信號系統(tǒng)的安全網(wǎng)、非安全網(wǎng)和維護(hù)網(wǎng)的網(wǎng)絡(luò)等若干關(guān)鍵點(diǎn)收集信息，并分析這些信息，查看網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。網(wǎng)絡(luò)入侵檢測是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對網(wǎng)絡(luò)進(jìn)行監(jiān)測，從而提供對內(nèi)部攻擊、外部攻擊、病毒木馬攻擊等行為實(shí)時(shí)保護(hù)。全面的安全審計(jì)防護(hù)
在SCADA控制系統(tǒng)內(nèi)部部署日志審計(jì)系統(tǒng)，對網(wǎng)絡(luò)中的監(jiān)控系統(tǒng)、信號系統(tǒng)等行為進(jìn)行審計(jì)，以保證觸發(fā)審計(jì)系統(tǒng)的事件存儲在審計(jì)系統(tǒng)內(nèi)，并且能夠根據(jù)存儲的記錄和操作者的權(quán)限進(jìn)行查詢、統(tǒng)計(jì)、管理、維護(hù)等操作，并且能夠在必要時(shí)從記錄中抽取所需要的資料。細(xì)粒度的安全運(yùn)維管控
在SCADA控制系統(tǒng)內(nèi)部部署運(yùn)維安全審計(jì)系統(tǒng)（堡壘主機(jī)）全面禁止廠家通過互聯(lián)網(wǎng)遠(yuǎn)程運(yùn)維，通過運(yùn)維管控平臺集中運(yùn)維SCADA系統(tǒng)內(nèi)的網(wǎng)絡(luò)設(shè)備和服務(wù)器設(shè)備，并對運(yùn)維人實(shí)名認(rèn)證，對運(yùn)維過程能實(shí)時(shí)監(jiān)控、實(shí)時(shí)阻斷、全面審計(jì)，實(shí)現(xiàn)對SCADA系統(tǒng)運(yùn)維過程全面管控，符合等保、二次安防等方面的要求。統(tǒng)一的安全管理平臺
在控制中心部署安全管理平臺，實(shí)現(xiàn)對信號控制系統(tǒng)部署的所有的安全防護(hù)設(shè)備進(jìn)行統(tǒng)一管理和維護(hù)，統(tǒng)一的安全策略配置與實(shí)施、統(tǒng)一的日志存儲與審計(jì)，提高全面的安全態(tài)勢感知能力；監(jiān)測信號系統(tǒng)網(wǎng)絡(luò)的通信流量與安全事件，對信號系統(tǒng)網(wǎng)絡(luò)內(nèi)的安全威脅進(jìn)行分析，從整體視角進(jìn)行安全事件分析、安全攻擊溯源等，重點(diǎn)解決安全防護(hù)設(shè)備各自運(yùn)維而導(dǎo)致的信息不暢和事件處置效率低下等問題。