基于商用密碼的內(nèi)生安全工控系統(tǒng)

1、基于商用密碼的內(nèi)生安全工控系統(tǒng)技術(shù)創(chuàng)新，變革未來01 工控系統(tǒng)安全可信技術(shù)體系工業(yè)網(wǎng)絡(luò)安全威脅態(tài)勢2010年伊朗核電站“震 網(wǎng)”事件核電站 延期運(yùn)行2012年中東石油部門“火焰”事件網(wǎng)絡(luò)癱瘓 數(shù)據(jù)被盜2015年烏克蘭電力系統(tǒng)“黑暗力量”事件電廠系統(tǒng) 自動斷電網(wǎng)絡(luò)滲透情報(bào)竊取2019年委內(nèi)瑞拉大停電事件隨著工業(yè)互聯(lián)網(wǎng)、云計(jì)算等技術(shù)出現(xiàn)，工業(yè)控制系統(tǒng)已逐步從封閉隔離系統(tǒng)演進(jìn)為開 放交互系統(tǒng)，引入了極大的信息安全隱患。電網(wǎng)被攻擊 控制系統(tǒng)癱瘓工控系統(tǒng)安全直接影響產(chǎn)業(yè)安全以PLC/DCS為代表的工業(yè)控制系統(tǒng)，是能源、化工、冶金等領(lǐng)域重大工程和裝備的大腦，是實(shí)現(xiàn)制造業(yè) 數(shù)字化、網(wǎng)絡(luò)化、智能化的關(guān)鍵設(shè)備，

2、是產(chǎn)業(yè)安全的基礎(chǔ)。中華人民共和國密碼法要求使用商用密碼對關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行保護(hù)。依據(jù)中華人民共和國網(wǎng)絡(luò)安全法，國家互聯(lián)網(wǎng)信息辦公室會同工信部、公安部、國家認(rèn)證認(rèn)可監(jiān)督管 理委員會等部門制定了網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄（第一批），PLC名列其中。工控系統(tǒng)安全威脅過程控制器PLC燈C電子眼直流伺服驅(qū)動接近 傳感器現(xiàn)場總線HMI變頻驅(qū)動 I/OI/O壓力 傳感器壓力 調(diào)節(jié)器現(xiàn)場總線溫度傳 感器電磁閥伺服閥互聯(lián)網(wǎng)OPC客戶端/服務(wù)器 工作站打印機(jī)控制 服務(wù)器歷史數(shù)據(jù)工程 師站HMI路由器路由器路 由器沿用IT領(lǐng)域的思路，采用防火墻、補(bǔ)丁等手 段，在阻止、隔離和脆弱性分析基礎(chǔ)上進(jìn)行 安全加固。

3、APT先進(jìn)可持 續(xù)攻擊然而這種被動的防御方法，已很難抵擋迅猛 發(fā)展的網(wǎng)絡(luò)攻擊技術(shù)及手段。各種新的和未 知威脅更加劇了這種現(xiàn)象。一旦入侵攻擊突破傳統(tǒng)被動防御，將嚴(yán)重威 脅到工業(yè)控制系統(tǒng)的安全運(yùn)行，甚至造成重 特大事故。需要基于內(nèi)生安全技術(shù)建立涵蓋控制設(shè)備安全、網(wǎng)絡(luò)通信安全、業(yè)務(wù)流程作業(yè)安全的 工控系統(tǒng)主動防御體系工業(yè)網(wǎng)絡(luò)安全思考與應(yīng)對和利時(shí)致力于以“自主可控、安全可信”為業(yè)務(wù)特點(diǎn)，實(shí)現(xiàn)技術(shù)和供應(yīng)鏈的自主可控,產(chǎn)品和服務(wù)的安全可信,圍繞“智能控制、智慧管理”的業(yè)務(wù)核心，積極打造控制的智能化和生產(chǎn)管理的智慧化。智能控制智慧管理安全可信自主可控和利時(shí)安全可信技術(shù)體系基于內(nèi)生安全可信，在可信策略（Tru

4、sted policy）的指導(dǎo)下，針對工 業(yè)控制中的實(shí)時(shí)控制行為和業(yè)務(wù)流程作 業(yè)，實(shí)現(xiàn)貫穿設(shè)計(jì)、運(yùn)行、服務(wù)全生命 周期的防御（Defense）、檢測（Detection）、響應(yīng)（Response）、預(yù)測（Prediction）的主動安全防御循 環(huán)。工控系統(tǒng)安全可信關(guān)鍵技術(shù)基于商密的雙向身份認(rèn)證基于商密的數(shù)字簽名020105基于商密的訪問控制基于商密的通信加解密基于商密的可信計(jì)算度量0403安全可信控制器0102安全可信上位機(jī)03安全可信管理平臺工控系統(tǒng)實(shí)時(shí)性、可靠性、分布式、嵌入式、輕量化應(yīng)用優(yōu)化02 工控系統(tǒng)商密技術(shù)方案工業(yè)控制系統(tǒng)商密應(yīng)用方案工控系統(tǒng)商密應(yīng)用組件商密算法庫 (SM2/SM3

5、/ SM4/SM9)算法軟件 算法IP核算法芯片雙向證書認(rèn)證增強(qiáng)身份鑒別通信鏈路加密可信計(jì)算度量數(shù)據(jù)存儲保護(hù)安全可信工業(yè)控制系統(tǒng)安全可信PLC安全可信SCADA安全可信DCS安全可信工業(yè)主機(jī)指令完整性驗(yàn)證關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)應(yīng)用工業(yè)控制系統(tǒng)商密應(yīng)用方案密碼安全服務(wù)平臺工業(yè)互聯(lián)網(wǎng)商密應(yīng)用方案通過基于商密算法的內(nèi) 生安全主動免疫防護(hù)技 術(shù)，與外圍防護(hù)措施相 結(jié)合，構(gòu)建滿足等保 2.0三級要求的安全可 信工業(yè)互聯(lián)網(wǎng)平臺。平臺通過安全資源池/安 全組件/服務(wù)等形式，提 供商密應(yīng)用組件，形成 覆蓋“端、邊、云”的 安全防護(hù)體系。智能制造 SaaS應(yīng)用應(yīng) 用 層工業(yè)PaaS快速模建工具應(yīng)用開發(fā)工具微服務(wù)開

6、放接口（RESTful API）模型管理分析服務(wù)開放運(yùn)營數(shù)據(jù)管理數(shù)據(jù)基礎(chǔ)設(shè)施 核心基礎(chǔ)服務(wù)通用PaaSPaaS基礎(chǔ)環(huán)境IaaS公有云/私有云/混合云（服務(wù)器|儲存|網(wǎng)絡(luò)|虛擬化）平 臺 層邊 緣 層邊緣服務(wù) 器、接入 網(wǎng)關(guān)現(xiàn) 場 層現(xiàn)場控制 設(shè)備、智 能傳感器統(tǒng)一安全管理 與安全運(yùn)維安全管理態(tài)勢感知應(yīng)急響應(yīng)安全審計(jì)實(shí)時(shí)監(jiān)控PKI/CA可信接入管理統(tǒng)一身份認(rèn)證統(tǒng)一權(quán)限管理應(yīng)用安全：身份認(rèn)證、權(quán)限管理、 終端接入、加密通信、安全存儲微服務(wù)安全: API Server授權(quán)、安全 通信、web防護(hù)、安全接口規(guī)范數(shù)據(jù)安全：安全存儲、訪問控制、 數(shù)據(jù)隔離、剩余信息保護(hù)、數(shù)據(jù)銷 毀安全資源池：WAF/堡壘機(jī)

7、/漏洞掃 描/數(shù)據(jù)庫審計(jì)/防DDos/虛機(jī)安全/ 容器安全基礎(chǔ)硬件設(shè)施與網(wǎng)絡(luò)安全現(xiàn)場工控系統(tǒng)安全：邊界隔離、主 機(jī)加固、白名單、可信防護(hù)、檢測 審計(jì)邊緣設(shè)備與數(shù)據(jù)安全：身份認(rèn)證/數(shù) 據(jù)網(wǎng)關(guān)接入安全可信PLC控制系統(tǒng)數(shù)據(jù)服務(wù)器安全管理中心安全操作員站（可信主機(jī)防護(hù)）安全可信PLC主控安全可信PLC主控安全操作員站（可信主機(jī)防護(hù)）安全工程師站（可信主機(jī)防護(hù)）控制器：內(nèi)生雙體系架構(gòu)，安全可信主動防護(hù)上位機(jī)：雙因子認(rèn)證檢驗(yàn)，實(shí)現(xiàn)人員操作訪問控制通訊：高實(shí)時(shí)通信加解密，保障對外信息交換安全基于商密算法，采用國產(chǎn)化設(shè)計(jì)，通過雙體系可信計(jì)算架構(gòu)實(shí)現(xiàn)主動防護(hù)，滿足國家關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)需求遠(yuǎn)程I/O遠(yuǎn)程

8、I/O安全可信PLC控制系統(tǒng)可信計(jì)算環(huán)境輕量級可信計(jì)算3.0技術(shù)框架靜態(tài)啟動與全生命周期動態(tài)運(yùn)行可信驗(yàn)證填補(bǔ)可信計(jì)算在工業(yè)嵌入式控制領(lǐng)域應(yīng)用空白可信網(wǎng)絡(luò)連接雙向證書認(rèn)證高實(shí)時(shí)通信加解密取得Achilles II級認(rèn)證的首款國產(chǎn)大型PLC多維度安全技術(shù)集成強(qiáng)制訪問控制 雙因素身份認(rèn)證 關(guān)鍵數(shù)據(jù)區(qū)保護(hù)安全可信PLC控制系統(tǒng)可信芯片：國產(chǎn)TCM密碼芯片提供SM系列 商密算法，支持可信計(jì)算與通信加解密可信度量：基于雙核CPU，對系統(tǒng)運(yùn)行進(jìn) 行全生命周期的無擾度量和動態(tài)監(jiān)管可信策略：安全可信控制器配合可信管理 平臺，實(shí)現(xiàn)安全策略配置與度量結(jié)果呈現(xiàn)基于商密的全生命周期可信度量基于商密算法，在啟動階段構(gòu)建可

9、信鏈；在運(yùn)行過程中進(jìn)行全生命周期動態(tài)度量啟動時(shí)靜態(tài)度量雙體系可信鏈傳遞啟動程序與文件度量運(yùn)行時(shí)動態(tài)度量輕量級環(huán)境度量任務(wù)四元組度量業(yè)務(wù)行為度量全生命周期可信防護(hù)03 典型應(yīng)用實(shí)踐基于商密的智能城軌平臺安全防護(hù)某地鐵項(xiàng)目基于工業(yè)互 聯(lián)網(wǎng)的智能城軌綜合業(yè) 務(wù)平臺，創(chuàng)新應(yīng)用同時(shí) 面臨著眾多網(wǎng)絡(luò)安全問 題，包括：平臺安全問題應(yīng)用安全問題數(shù)據(jù)安全問題通信安全問題訪問安全問題安全管理問題PKI/CA系統(tǒng)密鑰管理證書管理 商密算法X.509平臺安全措施可信度量身份鑒別通信加密安全存儲 IaaS/PaaS/SaaS層可信度量：基于SM3進(jìn)行系統(tǒng)啟動時(shí)靜態(tài)度量與 運(yùn)行時(shí)動態(tài)度量，實(shí)現(xiàn)從IaaS層到PaaS層的可

10、信 鏈傳遞，創(chuàng)建可信受控平臺運(yùn)行環(huán)境身份認(rèn)證與訪問控制：基于SM2/3與證書管理機(jī) 制，實(shí)現(xiàn)安全增強(qiáng)的身份鑒別和訪問控制通信加解密：基于SM2/3/4，實(shí)現(xiàn)重要通信數(shù)據(jù) 的加密傳輸，通過輕量級高實(shí)時(shí)通信加解密支持 HTTPS/MQTT/OPC UA等通信協(xié)議存儲加解密：基于SM3/4，實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)內(nèi)容批量存儲加解密能力基于商密的智能城軌平臺安全防護(hù)12345基于商密算法的可信計(jì)算構(gòu)建主動免疫內(nèi)生安全機(jī)制，實(shí) 現(xiàn)了從IaaS層、PaaS層到SaaS層的全生命周期可信度量基于商密算法的統(tǒng)一身份認(rèn)證與訪問控制服務(wù)，支撐了平 臺、應(yīng)用和數(shù)據(jù)的訪問安全基于商密算法的通信與存儲過程加解密，保證了數(shù)據(jù)在傳 輸和存儲過程中的安全合規(guī)滿足等保2.0三級與城軌行業(yè)標(biāo)準(zhǔn)，基于商密算法建立 了“一個(gè)中心三重防護(hù)”的完整安全體系在工業(yè)互聯(lián)網(wǎng)各層級全面應(yīng)用商密算法，實(shí)現(xiàn)了端邊云一體化防護(hù)、安全防護(hù)與城軌業(yè)務(wù)的深度融合應(yīng)用情況基于商密的智能城軌平臺安全防護(hù)商密技術(shù)賦能工業(yè)網(wǎng)絡(luò)安全商密技術(shù)應(yīng)用01商密技術(shù)賦能工業(yè)網(wǎng)絡(luò)安全自動化控制分布式控制系統(tǒng)DCS可編程邏輯控制器PLC綜合監(jiān)控系統(tǒng)SCADA遠(yuǎn)程終端