项目背景

目前，宝武炭材新型炭材料制造基地主要建设分布于华东、华南、华中、西北等多个地区。为实现多基地协同的智能制造，需要将各基地资产、信息、物流、安全环保、人力资源等各项资源集中管控，实现以上海总部为核心的统一指挥和集中决策，同时辐射全国多基地的信息流、知识流、物流，产生协同效应。为响应上海市提出“从上海辐射全国”的建设一总部多基地智能运营平台，有助于充分发挥总部人才、信息和资源优势，实现多基地制造流程优化、关键运营指标对标分析和决策支持、关键设备虚拟远程运维等，提升管控运营效率和智能决策。公司关键装备的数控化率达到100%，拥有较完整的自主建设的信息系统架构、自主集成信息系统体系。公司以全球新一轮制造业变革和《中国制造2025》为主导战略，全面实施自主创新、自主集成、创新驱动，推动智能制造核心技术研究及应用，在新型炭材料生产工艺、生产装备等方面打破国外日美垄断，致力于通过新型炭材料生产线的建设实现公司由传统煤化工制造向多基地协同的炭材料智能制造转变。

为了实现多基地管控，需要智能制造系统的支持，而随着智能制造系统和现场工控系统的融合，工控信息安全是重要的安全支撑与保障。有别于传统工业信息安全被动和事后防御的解决方案，以态势感知为核心的纵深防御解决方案重点监测工控网络的运行日志和流量，主动发现可能的安全攻击或异常操作。

基于纵深防御的安全解决方案融合工厂安全、网络安全、系统安全等三个方面的安全措施，基于多层次防护的“纵深防御”理念，遵循“评估——实施——持续监控”的工业信息安全整体提升路线，布局面向新材料的全公司多基地范围的工控安全评估及加固工作，提升工控安全态势感知、安全防护和应急处置能力，在外部世界的威胁和工控网络之间建立尽可能多层次的保护。

项目计划分成三期进行实施，第一期项目选取宝山基地4套现场工控系统部署典型的纵深防御解决方案的安全模块。第二期计划分两步进行验证与实施，第一步先选定一个分基地接入到总部的工控安全态势感知平台，验证多基地接入的技术可行性；第二步覆盖两个基地剩下的套现场工控系统，并配合现场工控系统的集控改造，实现工控安全态势的集中监控。第三期推广到其它的基地。

目标与原则

为响应习总书记提出的“全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力”，建设网络安全态势感知平台，特别是针对关键的智能制造企业的网络安全态势感知能力，有助于充分发挥工业信息安全运营平台集中安全监控的优势，实现智能制造生产过程安全流程优化、关键安全运营指标对标分析和决策支持、关键设备安全防护等。

1.实现的技术目标如下：

（1）针对选定的现场工控系统，从整体上实现工控资产的自动识别和网络拓扑的自动生成，实现工控网络的可视化。

（2）进行集中的工控安全监控，及时发现违规操作、资产非法接入和资产面临的风险，进行威胁预警和攻击检测，实现安全态势的可感知和可管理。

（3）通过部署基于白名单机制的恶意软件防护系统实现端点的安全防护，基于白名单对不可信的应用或进程进行阻止，可以有效防范未知恶意软件在目标机的恶意执行。

（4）提供工业网络安全域的隔离与防护，针对选定的四套典型现场工控系统提供不同控制域间的隔离。

（5）在IT和OT边界提供综合的安全防护能力，实现访问控制、IPS/IDS和网络防病毒功能。

2.项目的经济目标如下：

（1）部署基于态势感知的工控安全防护系统后，可以避免炭材料加工产线控制系统受到攻击，降低因此造成的经济损失，从而防范安全和环保事故。同时，可以形成公司内部标准的工控安全实践，在其它的新材料生产基地进行推广。

（2）通过实施基于工控安全态势感知的纵深防御解决方案，探索在新材料领域里面的工控安全防护与安全监测，形成行业的示范效应，在新材料、钢铁、石油石化和化工等行业领域进行推广，培养良好的安全意识，并提供可复制的最佳安全实践。

（3）同时建设相应的工控安全行业标准和技术专利。

项目实施与介绍

1.场景特征

（1）行业特点分析

随着中国制造2025全面推进，工业数字化、网络化、智能化加快发展，我国工控系统存在的安全漏洞不断增多，面临着安全威胁加速渗透、攻击手段复杂多样等新挑战。近年来，工业信息安全事件频繁爆发。从2010年 “震网”病毒爆发到2017年WannaCry、Petya勒索病毒连续爆发等，冶金、能源、电力、天然气、通信、交通、制药等众多工业领域不断遭受安全攻击。

炭材料行业具备如下特点：

• 炭材料智能制造行业是个高危行业，安全稳定运行是根本要求；

• 该行业工控系统的安全水平较低，防护不够，提升空间大；

• 随着智能制造的演进，系统融合与互联互通成为趋势，信息安全至关重要。

（2）实施场景特点分析

建设一总部多基地智能运营平台本身就是工业互联网的一种体现和落地探索过程，实现异地隔阂消除，实现虚拟和现实连接，实现现场数字设备和云端分析及应用互联；通过数据的采集、可视化、分析和对标实现以数据驱动业务模式的转变。在公司多基地智能运营工厂的建设进程中，各基地将有更多工业控制系统、数字化或智能设备接入到工业互联网，而自动化系统的自身安全、数据接入与采集的安全、云端传输、存储、分析，整体网络架构的稳定与安全以及端到端的安全、高效是必须面对的课题。同样面对日益猖獗的网络攻击、威胁和挑战，若公司的网络安全体系不足，无论是物理上或是逻辑上，网络病毒或黑客都有可能侵入至工业控制系统或数字设备，影响生产甚至造成重大安全环保事故，同样生产经验数据的外泄也是需要避免的。随着IT与OT的深度融合，在两化融合的前提下，如何提高系统的安全性、提高数据自身的保密性成为重要的课题；目前公司在工业互联网安全方面的防御体系非常薄弱，从制度、人才、软硬件体系架构和安全侦测等方面提升安全能力已经成为公司迫在眉睫的事情。

实施场景的特点如下：

• 宝武炭材现有多个生产基地、分布在全国各个地方，异地管理存在巨大的挑战；

• 由于新材料行业发展势头良好，后面有改造及扩大生产的需求，实施的工控安全防护系统需要具备可扩展性；

• 由现有的工控系统在不同的时期建成，有多个厂家提供的多个品牌的系统，需要兼容多种工控系统（FOXBORO、AB、西门子、浙大中控等）；

• 新旧系统并存，包括有操作系统为XP等的老系统，安全改造难度较大。

（3）工控网络安全现状

目前宝武炭材网络主要分为生产网、管理网及国际网（Internet）三部分，现场工控设备主要是现场工控系统。现有工控网络具备一定的防病毒能力（如在部分现场工控系统的工程师站、操作员站的PC主机和数据采集机部署传统杀毒软件等）；本部基地与其他基地采用专线远程连接，有商用级IT防火墙部署。生产网中有一定的商用级普通IT防火墙部署。

2.需求分析

（1）安全痛点

目前宝武炭材工业网络安全的主要痛点有以下几方面：

• 未使用专门的工业网络防火墙或网关网闸设备。现有的防火墙是商用IT级别的，对各类工业级通信协议的支持有缺陷。

• 工控网络中的操作（工程师）站主机设备使用的是单机版的防病毒软件，无法对工控网络中主机的安全状况进行集中统一管理，无法及时更新相关病毒库，一旦发生系统威胁，无法及时捕捉到。

• 子公司生产工业网络建设相对薄弱，没有形成有效的安全防护机制。

• 目前的工业网络安全防御机制重病毒、轻入侵，没有强有力的纵深防御机制来保障整个工控网络的安全性。

• 使用传统的防病毒软件及硬件防火墙无法对工控系统网络进行工业级的安全防护，特别对于生产现场的PLC系统、现场工控系统及智能机器人、智能传感器等设备需要有专门针对性的基于势态感知的安全策略部署来保障整个工控系统安全、高效、稳定的运行。

• 缺乏一个一体化的工控系统运维平台，能够适用于多生产基地的统一评估、统一部署、统一监控、统一维护整个工控系统的安全，以支持智慧工厂安全运营。

（2）安全难点

由于炭材料生产网的系统涉及多个厂家的产品，同时上位机大部分是比较老的操作系统（如Windows XP），对于Windows XP操作系统，微软已经不再支持更新，因此存在较多安全风险，实施复杂度较高。

（3）实际解决的问题

基于目前在工控安全方面存在的痛点和难点，本次项目方案的对应策略和达到的效果及突破性包括：

• 针对宝武炭材多生产基地和异地分布的难点，部署的基于工控态势感知的工业防护解决方案基于分布式体系架构，可以支持多级部署，同时具备跨地域连接的特点。因此能够满足多基地集中管控的要求。

• 工控安全态势感知系统基于中央管控平台和具备边缘计算能力的探针相结合的架构，支持标准的接口，整个系统具有良好的弹性，易于扩展到不同的生产装置；

• 针对多厂家和多品牌的系统，采用标准的采集代理和端点防护软件，通过适配测试与调优，达到满足良好的品牌兼容和向后兼容特性。

• 针对旧系统安全改造困难的情况，采用专门防护的机制，同时进行集中的统一管理。

效益分析

基于工控态势感知平台的纵深防御解决方案具有很好的示范效应，将来为行业内安全实施探索出比较好的提升路径，为各工业企业实施安全防护提供经验与借鉴。基于该工控态势感知平台的安全解决方案很好地解决了所面临的安全问题，提高了工业控制系统的安全性，赢得了公司各层面的信任，为工业控制系统的业务生产获得了极大的竞争优势，同时增强了公司作为安全、可靠和可信赖合作伙伴的品牌形象。

信息安全产业是一个急速发展变化的产业，信息安全的内涵和外延也会不断的更新，但是安全态势感知的理念在整个信息安全产品结构中的顶层地位始终不会改变。工控安全态势感知在狭义上定义为工控信息系统安全的集中管理，包括集中的运行状态监控、事件采集分析、安全策略下发；在广义上定位为所有工控资源甚至是业务系统进行集中的安全管理，包括对工控资源的运行监控、事件采集分析，还包括风险管理与安全运维等内容。

工业安全态势感知平台的建设可以极大的降低智能制造企业在安全方面可能造成的损失，以宝山基地的智能制造工厂，假设一套炭材加工产线控制系统受到攻击，装置恢复正常生产至少要120小时，造成的经济损失可达500万，控制系统是生产的核心，控制系统异常甚至可能造成安全环保事故，后果不堪设想。