工业控制系统安全保护机制有哪些

工业控制系统安全保护机制主要包括：

• 物理及环境安全防护

  物理及环境安全是工控系统的安全基础。为保护工业控制系统的物理及环境安全， 《工业控制系统信息安全防护指南》要求如下：

  • 对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。

  • 拆除或封闭工业主机上不必要的USB 、光驱、无线等接口。若确需使用，通过主机外设安全管理技术手段实施严格访问控制。

• 安全边界保护

  为确保有安全风险的区域隔离及安全控制管理，工业企业应将工业控制系统划分为若干安全域。一般来说，工业控制系统的开发、测试和生产应分别提供独立环境，避免把开发、测试环境中的安全风险引入生产系统。

  工业企业针对不同的安全域实现安全隔离及防护。其中，安全隔离类型分为物理隔离、网络逻辑隔离等方式。常见的工业控制边界安全防护设备包括工业防火墙、工业网闸、单向隔离设备及企业定制的边界安全防护网关等。工业企业按照实际情况，在不同安全区域边界之间部署边界安全防护设备，实现安全访问控制，阻断非法网络访问。

• 身份认证与访问控制

  身份认证与访问控制是工业控制系统的安全基础。目前，常见的认证技术手段有口令密码、USB-Key、智能卡、人脸、指纹、虹膜等。为防范口令撞库攻击及敏感认证信息泄露影响，不同系统和网络环境下禁止使用相同的身份认证证书信息，减小身份信息暴露后对系统和网络的影响。

  对于工业控制设备、SCADA 软件、工业通信设备等设定不同强度的登录账户及密码，并进行定期更新，避免使用默认口令或弱口令。针对内部威胁，工业企业的安全权限管理应遵循最小特权原则，对工业控制系统中的系统账户权限分配最小化，避免权限过多，防止特权滥用。

• 远程访问安全

  远程访问为工业企业的管理及维护提供方便，但与此同时也引入网络安全问题，威胁者可以利用远程访问的安全缺陷入侵工控系统。《工业控制系统信息安全防护指南》要求如下：

  • 原则上严格禁止工业控制系统面向互联网开通HTTP 、FTP 、Telnet 等高风险通用网络服务。

  • 确需远程访问的，采用数据单向访问控制等策略进行安全加固，对访问时限进行控制，并采用加标锁定策略。

  • 确需远程维护的，采用虚拟专用网络(VPN)等远程接入方式进行。

  • 保留工业控制系统的相关访问日志，并对操作过程进行安全审计。

• 工控系统安全加固

  工控系统安全加固通过安全配置策略、身份认证增强、强制访问控制、程序白名单控制等多种技术措施，对工程师站、SCADA 服务器、实时数据库等工控组件进行安全增强保护， 减少系统攻击面。

• 工控安全审计

  工业企业部署安全审计设备，通过审计系统保留工业控制系统设备、应用等访问日志，并定期进行备份，通过审计人员账户、访问时间、操作内容等日志信息，追踪定位非授权访问行为。