400-001-9776
近年來，國家煙草專賣局根據行業信息安全建設實際情況和需要，一方面通過發布信息安全相關行業標準規范為行業單位信息安全建設提供指導和統一要求，另一方面通過每年度一次全面信息安全檢查和專項信息安全檢查，面向全行業“以查促建、以查促管、以查促改、以查促防” 推動行業整體信息安全建設水平的提高。
在“兩化”融合的行業發展需求下，現代工業控制系統的技術進步主要表現在兩大方面：信息化與工業化的深度融合，為了提高煙草行業生產高效運行、生產管理效率，行業大力推進信息系統的集成化，集中化管理，工控網絡與辦公網、互聯網的互聯互通成為重要前提。
近幾年行業總局根據行業特點陸續制訂發布了《煙草行業等級保護基本要求》、《煙草行業移動應用安全規范》、《煙草行業網絡安全基線管理技術規范》、《煙草行業網絡與信息安全檢查自查指南》、《煙草工業企業生產網與管理網網絡互聯安全規范》和《煙草行業工業控制系統網絡安全基線技術規范》，為行業的信息安全規劃、建設提供了依據與標準。
行業需求
安全配置核查需求
煙草行業通過對安全事件的分析，發現安全事件主要由3個方面引起，安全漏洞方面、安全配置方面，以及異常事件等方面。安全配置通常都是由于人為的疏忽造成，主要包括了賬號、口令、授權、日志、IP通信等方面內容，反映了系統自身的安全脆弱性。由安全配置的不足可能帶來非常多的安全隱患，因此對安全配置進行有效的檢查和加固成為整體安全體系建設中的重要一環。
同時根據國家煙草局制定的《煙草行業信息安全基線管理技術規范》作為煙草行業各單位信息安全保障體系建設和管理工作的基線要求。
工業控制系統安全需求
煙草行業工業控制系統由于長期缺乏安全需求的推動，現有的工業自動化控制系統在設計、研發、部署、運維中沒有充分考慮安全問題，一旦被無意或惡意利用就會造成各種信息安全事件。整體工業控制系統安全趨勢不容樂觀，行業工控安全建設迫在眉睫。
煙草行業工業控制系統安全需求：
1、 車間內安全域劃分及安全域訪問控制需求；
2、 車間內未知資產、未知IP發現需求；
3、 上位機安全防護需求；
4、 工控設備、工控協議安全漏洞發現需求；
5、 無線通信安全防護需求；
6、 統一監控管理需求；
7、 安全配置檢查需求；
8、 第三方運維安全審計需求；
行業解決方案及優勢
煙草行業“三全”檢查評估系統解決方案
系統概述
煙草行業“三全”檢查評估系統是按照煙草行業信息安全基線管理技術規范的要求，實現具有煙草行業特點的三全業務梳理、診斷等功能，具備安全運維、巡檢、檢查的自動化實現。
系統在研究煙草行業的基線安全需求后，制定了針對行業信息系統中的網絡設備、操作系統和數據庫的安全配置核查和功能測試規范，包括各品牌路由器、通用操作系統、AIX主機系統、Windows主機系統，通用數據庫、Oracle數據庫等設備、系統的安全配置規范和安全功能測試規范。
系統策略庫的研究內容主要包括賬號、口令、授權、日志、IP地址以及其它方面的內容。這些內容涉及可能會影響設備或系統安全性的方面，比如口令的復雜性，生存期、歷史口令、口令修改、口令存放等方面的內容。規范中的配置核查部分明確了設備的基本配置安全要求，為在設備入網測試、工程驗收和設備運行維護環節明確相關安全要求提供指南。
功能介紹
三全工作可視化：按照行業總局三全要求對業務系統進行核查，并生成報表。如下圖所示，從系統必要達標率以及參考達標率進行數據統計。并且按照“三全”要求顯示出安全技術、安全管理的詳細指標統計。
自定義填報： 按照自身業務系統的特點進行自定義的填報年、月報表。
三全工作自動檢查：可實現三全工作的定期執行
KPI考核：上下級單位的級聯，可實現上級單位對下級單位的達標率的查看、分析以及考核。
部署模式
系統常見的部署方式依據客戶的組織架構的不同主要有單級部署和級聯部署兩種方式。而單級部署的結構上又可依據客戶的網絡的分布情況主要分為單點部署和分布式部署兩種方式。以下就分別對單級部署和級聯部署分別介紹。
單級部署：單級部署系統的組網模式比較簡單，可以將其旁路部署在既有網絡中。管理員通過WEB頁面登錄系統下達核查任務，檢查任務既可以遠程執行也可以本地執行。
多級部署：總部（如省級單位）部署一套系統，根據各個地市的實際情況同樣也部署一套系統。實現對地市、省級單位的二級級聯。而各下屬各分支機構為了實現對各自信息系統的安全配置管理、“三全”工作統計，分別部署了各自的安全配置核查系統。總部與分支機構的安全管理平臺進行通信，實現總部對分支機構系統的查看和管理，如年度“三全”完成指標情況，橫向地市與地市之間的“三全”指標完成度的對比情況。
方案優勢
- 提高安全掌控
- 提高工作效率
- 降低管理成本
煙草行業工業控制系統安全解決方案
本方案的整體思路主要依據行業網絡安全“分級分域、整體保護、積極預防、動態管理”的總體策略。首先對整個工控系統進行全面風險評估掌握目前工控系統風險現狀；通過管理網和生產網隔離確保生產網不會引入來自管理網風險，保證生產網邊界安全；在各車間內部工控系統進行一定手段的監測、防護，保證車間內部安全；最后對整個工控系統進行統一安全呈現，將各個防護點組成一個全面的防護體系，保障其整個工業控制系統安全穩定運行。
工業控制系統安全防護模型
全面風險評估
所有工控安全建設都應該是基于對自身工控安全現狀的精確掌握，本方案首先采用工業無損檢查評估的方式對整個工控系統進行全面風險評估。主要內容包括：工控設備安全性評估、工控軟件安全性評估、各類操作站安全性評估以及工控網絡安全性評估。
工業控制系統不間斷運行，任何意外停機故障都會造成重大損失。工控系統風險評估首先強調風險控制，從項目管理和技術實施的層面，必須做到零風險。
工業無損檢查評估
管理網和生產網隔離
管理網和生產網互聯互通存在安全風險，根據國際國內的各類工控安全相關標準以及行業內部于2014年下發的《煙草工業企業生產網與管理網網絡互聯安全規范》中，都對管理網和生產網互聯安全問題進行了著重關注。
管理網和生產網互聯接口安全模型
針對這一問題，本解決方案在各車間工業控制系統生產網和管理網邊界都應該部署工業防火墻進行管理網和生產網的邏輯隔離，對兩網間數據交換進行安全防護，確保生產網不會引入管理網所面臨的風險。
各車間內監測與防護
在管理網和生產網隔離中已經對生產執行層和各個車間生產網絡進行了邏輯隔離，確保管理網風險不會引入各車間生產網。在各車間內部針對行業工業控制系統各方面風險采取對應的防護手段如下：
在操作員站、工程師站、HMI等各類操作站部署操作站安全系統對主機的進程、軟件、流量、U盤的使用等進行監控，防范主機非法訪問網絡其它節點；
部署工業異常監測系統，監測工控網絡的相關業務異常和入侵行為，通過工控網絡中的流量關系圖形化展示梳理發現網絡中的故障，出現異常及時報警；
部署工業漏洞掃描系統，發現各類操作系統、組態軟件、以及工業交換機、PLC等存在的漏洞，為車間內各類設備、軟件提供完善的漏洞分析檢測。
在PLC前端部署工業防火墻，對PLC進行防護。
在車間現場通過部署Wifi入侵檢測設備，對煙草工業控制系統中的AGV小車等其他無線網絡進行安全防護。
部署現場運維審計與管理系統防范現場運維帶來的風險。
工業異常監測
統一安全呈現
對于管理人員，面對整個企業各個車間內繁多的各類工控網絡設備、服務器、操作站以及安全設備，如何高效管理，掌握各個點的風險現狀，對整個工控系統安全現狀能夠統一掌握，及時處理各類設備故障與威脅同樣是工控安全建設至關重要的一環。
針對這一情況，通過在生產執行層部署工業控制信息安全管理系統，對煙草生產中各車間工控系統進行可用性、性能和服務水平的統一監控管理。包括各類主機、服務器、現場控制設備、以及各類網絡設備、安全設備的配置及事件分析、審計、預警與響應，風險及態勢的度量與評估，對整個系統面向業務進行主動化、智能化安全管理，保障煙草工業控制系統整體持續安全運營。
部署方案
安全措施部署圖
煙草行業工業控制系統安全防護優勢
- 第一家在煙草行業卷煙廠進行全面工控安全建設的工控安全廠商，完成了煙草行業工控安全的破冰行動。
- 提供了煙草行業工控安全標準調研、編制支持。
- 工控產品進行了煙草行業生產線環境測試。
- 在煙草行業工控安全風險評估、咨詢、解決方案、項目經驗等方面具備領先優勢 。
