1　数控机床网络安全防护实施

数控系统作为数控设备的“大脑”成为工业控制系统的重要组成部分，正面临工业病毒和网络攻击，网络与信息安全问题日益凸显。为帮助企业加强数控机床安全防护上的短板，本章针对以上数控机床安全风险提出安全防护实施思路，如图1所示，数控机床网络安全体系的构建需从安全基线管理、网络边界防护措施部署和数控机床内生安全等方面进行考虑，来保证数控机床及网络的保密性、可用性和完整性。

来源：中国信息通信研究院

图1 数控机床网络安全防护示意图

（1）开展数控机床网络安全基线管理

根据生产环境场景建立数控机床网络安全基线。一方面，明确数控机床网络安全基线具体内容，建立安全基线更新机制。企业梳理自身数控机床应用场景及技术特点，根据安全基线实施安全防护，包括消除弱密码、安全配置加固、去除不必要的介质接口等。另一方面，开展数控机床网络安全风险评估和漏洞管理。定期对数控机床网络架构、管理主机、控制协议等开展全方位安全评估，发现安全风险隐患，一旦发现安全漏洞，及时选择安全补丁或升级组件。

（2）加强数控网络边界防护

分析数控网络的组网特点，根据IEC62443-3-3等标准中的网络区域划分原则，将数控网络划分为合理安全区域，采用分层分域，纵深防御的策略进行网络安全防护，如图2所示。一方面，对企业信息系统与DNC系统进行分层、分域，建立安全缓冲区，生产网络与管理网络、研发网络连接采用网闸、光闸进行强隔离；生产网络进行内部的分区分域，区域间应采用工业防火墙实现逻辑隔离，并建立白名单，实现基于白名单的访问控制。另一方面，采用数据防泄漏、深度协议数据包解析等边界安全防护技术针对数据采集和交换过程中的数据泄露、病毒入侵以及异常行为进行告警，并对各类安全威胁进行监控，从而为数控网络提供全方位的监测、过滤、报警和阻断能力。

来源：北京神州绿盟科技有限公司

图2 数控机床网络边界安全防护示例

（3）加强数控主机安全防护

通过安装工业主机端点侧安全监测、防护软件，对数控主机进行有效防护，包括操作系统加固、病毒防护、恶意行为监测等。一方面，针对数控网络中DNC、MES、PDM、CAM、CAPP等服务器及终端主机部署安全防护软件，从端点侧加强针对勒索病毒等安全防护，防止病毒传播、对恶意代码进行有效地消除。另一方面，通过对数控主机文件、目录、进程、注册表和服务的强制访问控制，如图3所示。采用“三权分立”的管理机制，有效制约和分散原有系统管理员的权限，并结合文件和服务的完整性检测、防缓冲区溢出等功能，将普通操作系统透明提升为安全操作系统，增强数控主机的安全性。

来源：北京神州绿盟科技有限公司

图3 数控机床主机安全防护实施示例

（4）完善数控机床网络资产管理和安全监测审计

建设数控机床网络资产管理机制，开展安全监测和审计，及时发现异常资产及网络安全威胁。一是梳理数控机床生产环境的网络资产，建立资产台账，定期探测梳理资产现状及数据流转和处理节点，识别和发现异常资产，对未知设备接入等异常行为及时发现并处置。二是采用入侵检测、全流量检测、安全审计等方式监测数控机床生产环境，发现恶意行为和恶意代码，对数控机床生产环境行为进行审计，协助事后分析取证溯源。三是通过态势感知等技术手段，汇集流量侧、端点侧、日志侧等数据，进行关联分析和深度安全监测、研判和应急响应，并实现数控机床网络安全集中管理。

（5）可信计算技术提高数控机床内生安全

面对数控机床联网开放、互通互联可能带来的安全威胁，可以通过可信计算技术实现数控机床的内生安全。一方面，数控机床在主机层面支持“硬件级部件（安全芯片或安全固件）”作为系统信任根，建立从系统到应用的信任链，实现从设备加电到应用加载过程的安全启动和运行，从根本上解决工业互联网可信、可控、可靠等方面的问题。另一方面，在系统运行过程中，实时监视数控系统内关键进程、模块、可执行代码、关键数据结构等，对进程的资源访问行为进行实时度量和控制，依据动态的可信性对发生变化的度量对象依据策略采取报警、终止运行、更新度量预期值等措施，从而确保数控系统运行状态的可信。

（6）打造数控机床安全综合防护体系

针对数控机床所面临未知网络威胁的持续性、组合性、跨域性和定向性等特点，逐一应对解决传统被动防护难以应对利用逻辑缺陷的攻击等问题。一方面，对数控机床安全关键技术的联合攻关和创新，打造集事前预警、事中感知防御、事后审查等功能于一体的“数控机床安全增强防护设备”体系。实现防护思路由被动“封堵查杀”到主动免疫防御的转变，建立了云、边、端的内生安全防护架构，确保设备、系统、网络的可靠性、稳定性，有效提升制造企业生产网络的整体安全性。另一方面，建设覆盖设备、主机、网络、数据的数控机床综合防护体系，建立事前身份认证、加密，事中感知、防御，事后审计、追溯等多路径闭环的安全防护体系，提升数控机床领域的整体安全能力。

2　数控机床网络安全发展建议

近年来，数控机床联网运行已成为趋势，同时也暴露出很多安全问题。基于所梳理的数控机床安全现状与安全风险，我们对数控机床网络安全提出如下建议：

（1）推进数控机床相关安全标准规范制定

目前针对数控机床网络安全标准和技术规范储备不足，需推动出台数控机床相关网络安全防护要求、安全评估评测规范、密码应用等相关安全标准规范。一方面，面向数控机床边界防护、入侵防范、安全审计等安全需求，制定亟需数控机床内生安全及评估测试等行业标准和企业标准，强化数控机床在设计、开发、实施、运行维护等全生命周期过程的网络安全规范要求，为企业产品安全开发、第三方机构测试认证、设备部署运行提供可参考的依据。另一方面，研制数控系统密码应用技术要求及测评要求等标准，规范和评估数控系统密码应用的设计、实现和使用；鼓励安全设备制造商积极参与标准研制与贯标试点工作，以标准规范指导数控机床网络安全防护部署。

（2）提升数控机床网络安全综合技术防护能力

数控机床作为工业控制系统的重要组成部分，网络安全防护依然依赖传统“外挂式”安全措施，需产业各方加强数控机床安全技术研究，提升网络安全综合防护能力。一方面，建立数控机床多重安全防护的纵深防御体系框架，采取事前身份认证、加密、预警、漏扫、评估机制，事中防御攻击机制，事后审计、追溯等，以提升数控网络的整体安全。另一方面，加强数控机床内生安全能力建设，通过自主可控加可信计算的总体思路，用主动免疫的思想对网络空间尤其是数控机床等设施领域的安全防护思路进行研究和探索，基于国产密码算法构建内生安全能力。

（3）开展数控机床网络安全评估评测

目前，数控设备的远程维护需要通过互联网进行，存在的漏洞容易被攻击者利用进行恶意攻击，导致数控设备直接面临互联网中的安全风险。应建立数控机床网络安全评估评测体系，开展数控机床网络安全评估评测。一方面，围绕数控机床系统固件安全、网络安全、应用安全、数据安全、接入安全等要求，建立数控机床网络安全测试评估体系，建立安全能力评估模型。另一方面，针对数控机床抗渗透能力、恶意代码防范、抗DDoS能力、漏洞隐患情况等漏洞隐患防护能力等进行安全能力分析研究和攻击防护测试，推动数控机床安全检测认证和设备能力提升。

（4）推动数控机床相关安全产品应用及市场发展

目前国内使用的主流数控设备，其核心系统大部分是国外厂家产品，特别是高端数控机床控制系统和数控机床整体联网解决方案。因此，应加快对数控机床核心关键技术攻关，推动相关安全产品和服务的开发应用。一方面，鼓励国内重点企业、科研机构、高校等加强合作，推动研制具备访问控制、数据安全防护、病毒防护与分析、NC文件语义分析与审计、链路加密、智能预警等能力的数控机床安全增强防护设备。另一方面，围绕数控机床安全产品的功能、性能及安全性等设计安全认证级别，开展数控机床相关安全产品及服务分类分级管理，为不同部门、行业企业提供安全级别选择，遴选达标安全产品目录清单，推动数控机床安全产品市场发展。

摘自《数控机床网络安全研究报告（2023年）》

来源：中国信息通信研究院和北京神州绿盟科技有限公司

摘自《自动化博览》2024年3月刊