專業(yè)守護無懼變革 以智能防御構建數字化網絡安全防線

進工業(yè)互聯(lián)網發(fā)展工信部：《工業(yè)互聯(lián)網創(chuàng)新發(fā)展行動計劃(2021-2023年)》發(fā)進工業(yè)互聯(lián)網發(fā)展工信部：《工業(yè)互聯(lián)網創(chuàng)新發(fā)展行動計劃(2021-2023年)》發(fā)展工業(yè)互聯(lián)網4次寫入政府工作報告流程優(yōu)化設備運行參數整，推動流程進員工效率提升改善操作人員間的人機交互產品聯(lián)網在生產和交付階段對產品進行全生命周期追蹤，品的運行環(huán)境和使用狀態(tài)數據加強工業(yè)互聯(lián)網l各行業(yè)龍頭企業(yè)紛紛開展工業(yè)互聯(lián)網應用l全國5G+工業(yè)互聯(lián)網項目超過1100個制造業(yè)車間聯(lián)網、設備、廠區(qū)絡連接遠程運維人、車輛；統(tǒng)維?FortinetInc.AllRightsReserved.23?FortinetInc.AllRightsReserved.3?Stuxnet破壞伊朗核計劃醫(yī)院藥物輸液泵被黑客攻擊德國鋼廠熔爐被毀MIRAI僵尸網絡影響默克公司因勒索軟件全球生產關閉(損失10億$)全球鋁生產商因勒索軟件而停產ns攻擊本田Tampa水處理廠黑客試圖操控化學劑量投毒MolsonCoors啤酒工廠網絡安全事件ACGO設備制造勒索軟件克蘭電201020131422015161720181920212022?紐約大壩閘門受損密歇根州紅綠燈被黑客攻擊汽車變速器和制動器控制烏克蘭電網巖機、球 在危害安全的惡意軟件ASCO零件因SolarWindsOrion勒索軟件停產供應鏈攻擊JBS美國肉食加工廠網絡襲擊停產美國殖民管道勒索軟件襲擊Conti軟件攻擊風電輪機制造商缺乏準入控制攻擊識別能力差惡意代碼識別能力差缺乏安全審計險環(huán)境安全風險未安裝終端安全產品樣本庫更新不及時缺少終端管理?FortinetInc.AllRightsReserved.4缺缺乏準入控制攻擊識別能力差惡意代碼識別能力差缺乏安全審計險環(huán)境安全風險未安裝終端安全產品樣本庫更新不及時缺少終端管理?FortinetInc.AllRightsReserved.4缺乏安全域隔離訪問控制管理弱協(xié)議識別少硬件魯棒性差管理風險責權利界定模糊缺乏專業(yè)安全人才運維依賴及缺乏管控未進行定期巡檢5?5?FortinetInc.AllRightsReserved.?IDC|5最佳實踐法最佳實踐IT/OT單獨組網OT通訊數據加密安全網絡邊界3OTSIEM組成的安全運營中心安全網絡運維55授權&認證安全計算環(huán)境4入侵防御IPS安全網絡通訊2劃分區(qū)域和管道網絡分段，微分段*對應<等保2.0>工業(yè)控制系統(tǒng)安全擴展要求(第三級)*比如“8.5.2”-對應安全網絡通訊(架構，傳輸，訪問控制)?FortinetInc.AllRightsReserved.6交換機vlanHMI1PLC被影響FortiSwitch交換機vlanHMI1Fortilink交換機vlanHMI1PLC被影響FortiSwitch交換機vlanHMI1Fortilink分段實例微分段之前防火墻vlanvlan201EWSEWS1微分段之后FortiGate防火墻不能寫入PLCvlanvlan201EWSEWS1微分段功能演示視頻：/ot_Demo_Day?ref=SEAHKEventSite?FortinetInc.AllRightsReserved.7§OpenADR§Profinet§SynchrophasorriStationElcom§EtherCAT§EtherNet/IP有設備在發(fā)送停機指令，防火墻策略對該命令已經進行策略阻止。IP執(zhí)行此基于意圖的應用控制OT專屬特性?2,000+OT協(xié)議的應用控制特征碼?對60+OT簽名的深度檢測(DPI)?細顆粒度的應用控制防火墻策略：放行，檢測，控制(阻斷)?OT協(xié)議異常檢測：違規(guī)端口傳輸，功能碼錯誤，功能碼攜帶異常數據OTOT協(xié)議和應用OT用控制有有設備在讀取數據，現有策略允許該行為，我們通過日志繼續(xù)監(jiān)測。?FortinetInc.AllRightsReserved.8?對于已知漏洞的保護?包含對OS及應用的保護?協(xié)議異常檢測?自定義IP豁免?自定義簽名?封包日志記錄?源IP隔離?FortinetInc.AllRightsReserved.9?FortinetInc.AllRightsReserved.求,問題及方案常見問題-移動設備，新進設備，維護設備的OT網動態(tài)接入-合規(guī)需求，設備接入認證日志、安全日志記錄-未認證設備被接入工控網-正常設備被接入錯誤的交換機端口&分配至錯誤的VLAN-周期性反復認證導致設備網絡連接周期性中斷-基于屬性(MAC地址,設備類型,設備位置,協(xié)議類型等)的動態(tài)VLAN劃分-OT人員易于掌握的設備準入方式?FortinetInc.AllRightsReserved.34tor策略，驗證MAC地址未知設備首次接入，劃入登陸VLAN34tor策略，驗證MAC地址未知設備首次接入，劃入登陸VLANassFortiAuthenticator+Fortigate+FortiSwitch聯(lián)動 1導入設備MAC地址列表新進設備2備55至生產VLAN4.2驗證失敗，設備被劃分至隔離VLAN返回動態(tài)VLAN屬性?FortinetInc.AllRightsReserved.常見問題OS登陸，工控軟件應用的登陸),供應商,維護人員等-單一認證(賬號&口令)-單次認證(OS操作系統(tǒng)&工控軟件)-多因素認證(基于用戶角色的認證和授權)-多重認證(基于OS和應用的認證和授權)-零信任訪問(基于安全狀態(tài)實時調整訪問策略)OT人員認證(多因素認證)OS系統(tǒng)的登陸認證，工控軟件的登陸認證界面Fortitoken動態(tài)令牌的多種類型?FortinetInc.AllRightsReserved.13RemoteAuth.Server (操作員權限)賬號，密碼口令認證結果12345678RemoteAuth.Server (操作員權限)賬號，密碼口令認證結果12345678OT人員認證后臺流程ADAD服務器(工程師權限)賬號，密碼口令，一次性OTP口令RESTAPI(HTTPS)HMI狀態(tài)，結果FortiAuthenticator證授權流程員登陸Windows進行操作員賬號密碼登陸FortitokenFortitoken手機應用或理令牌多因素認證Windows開HMI程序PLCHMI，需提權至管理員賬戶進行管理員賬號密碼登陸HMIHMI應用程序通過RESTAPI通過FortiAuthenticator完成認證INOTE:HMIapplicationmustbeabletomakeRESTAPIcallswithproperAPIkeymanagementmechanism.?FortinetInc.AllRightsReserved.TLS加密隧道TLS加密隧道TLS加密隧道公有云IaaS供應商云SaaSZTNA傳感器登記報道Fabric同步ZTNA隧道檢查FortiSASESIA終端證書認證EMSCA訪問按應用會話隔離TLS加密隧道TLS加密隧道TLS加密隧道公有云IaaS供應商云SaaSZTNA傳感器登記報道Fabric同步ZTNA隧道檢查FortiSASESIA終端證書認證EMSCA訪問按應用會話隔離工廠FortiGate邊界防火墻遠程用戶ZTNA零信任遠程訪問數數據中心NPNP7,CP9FortiGate-VMNSX-TFortiGate-VM企業(yè)總部?FortinetInc.AllRightsReserved企業(yè)總部FortiManagerFoFortiManager 主要執(zhí)法邊界HMI 主要執(zhí)法邊界互聯(lián)網/云 主要執(zhí)法邊界