(高清版)GBT 40218-2021 工業(yè)通信網(wǎng)絡(luò) 網(wǎng)絡(luò)和系統(tǒng)安全 工業(yè)自動化和控制系統(tǒng)信息安全技術(shù)

GB/T40218—2021/IEC/TR62443-3-1:2009工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全工業(yè)自動化和控制系統(tǒng)信息安全技術(shù)(IEC/TR62443-3-1:2009,Industrialcommunicationnetworks—industrialautomation國家標(biāo)準(zhǔn)化管理委員會國家市場監(jiān)督管理總局發(fā)布國家標(biāo)準(zhǔn)化管理委員會I本標(biāo)準(zhǔn)使用翻譯法等同采用IEC/TR62443-3-1:2009《工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全第3-1ⅡGB/T40218—2021/IEC/TR62443-3-1保護(hù)工業(yè)自動化和控制系統(tǒng)(IACS)的計(jì)算機(jī)環(huán)境免受惡意代碼入侵的需求在過去十年里越來越很多的電子安全技術(shù)和計(jì)算機(jī)入侵防范措施可能都適用于IACS環(huán)境。本標(biāo)準(zhǔn)列舉了幾類計(jì)算機(jī)本標(biāo)準(zhǔn)中給出的指南并不能確保IACS已經(jīng)達(dá)到最佳的計(jì)算機(jī)信息安全。但是，這些指南有助于1●鑒別和授權(quán)；●數(shù)據(jù)確認(rèn)；●監(jiān)視和檢測工具；●操作系統(tǒng)?！褚阎獑栴}和弱點(diǎn)；●建議和指南；2GB/T40218—2021/IEC/TR62443-3-1●信息源和參考材料。本標(biāo)準(zhǔn)旨在記錄適用于IACS環(huán)境的信息安全技術(shù)、工具和對抗措施的已知技術(shù)發(fā)展水平，明確定義目前可采用哪種技術(shù)，并定義了需要進(jìn)一步研究的領(lǐng)域。2規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。無。下列術(shù)語和定義適用于本文件。訪問授權(quán)accessauthority負(fù)責(zé)監(jiān)視和授予其他被授權(quán)實(shí)體訪問IACS及其關(guān)聯(lián)網(wǎng)絡(luò)權(quán)限的實(shí)體[3]。a)保護(hù)系統(tǒng)資源以防止未授權(quán)的訪問。b)系統(tǒng)資源使用的過程是根據(jù)安全策略規(guī)定的，并且根據(jù)該策略只允許被授權(quán)的實(shí)體(用戶、程系統(tǒng)屬性(包括其系統(tǒng)的所有資源),以確保一個系統(tǒng)實(shí)體的行動可追溯到該唯一的實(shí)體，并且該實(shí)特指實(shí)現(xiàn)諸如電子郵件和文件傳輸?shù)染W(wǎng)絡(luò)應(yīng)用的第7層協(xié)議[2]。非對稱密鑰算法asymmetrickeyalgorithm公共密鑰加密算法。3旨在建立傳輸，信息或發(fā)起方有效性的安全方法，核實(shí)接收特定信息的個人授權(quán)的方法的有接收或請求來自服務(wù)器端的服務(wù)或信息的設(shè)備或應(yīng)用。4GB/T40218—2021/IEC/TR62443-3-1成功利用IACS組件與/或連接到工業(yè)網(wǎng)絡(luò)的IT網(wǎng)絡(luò)組件中軟件、硬件或固件的脆弱性。數(shù)據(jù)鏈路層協(xié)議data-linklayerprotocol用于點(diǎn)對點(diǎn)數(shù)據(jù)通信、實(shí)施錯誤檢查、實(shí)現(xiàn)物理尋址以及實(shí)施媒體訪問控制的第2層協(xié)議2]解密decryption使用密碼算法和密鑰，把密文轉(zhuǎn)換成明文的過程(見3.1.2縱深防御defenseindepth提供多重安全保護(hù)，特別是在層次上，如果不能阻止攻擊就采取延緩策略。拒絕服務(wù)denialofservice;對授權(quán)訪問系統(tǒng)資源的阻止或者中斷，或者系統(tǒng)操作和功能的延緩3]。數(shù)字簽名digitalsignature數(shù)據(jù)加密變換的結(jié)果，正確完成時(shí)，提供數(shù)據(jù)源鑒別、數(shù)據(jù)完整性和簽名者防抵賴服務(wù)[1。明文轉(zhuǎn)換成密文的密碼變換，隱藏了數(shù)據(jù)的原始意義以阻止該數(shù)據(jù)被知道或者使用(見3.1.19)[3]。完整性integrity系統(tǒng)質(zhì)量，反映了操作系統(tǒng)的邏輯正確性和可靠性、實(shí)現(xiàn)保護(hù)機(jī)械裝置的軟件和硬件的邏輯完備捕獲和揭露報(bào)文內(nèi)容，或者基于報(bào)文目的地或來源地、傳輸?shù)念l率或時(shí)長以及其他通信屬性，使用通信量分析破壞通信系統(tǒng)的保密性。接口interface為邏輯信息流提供訪問模塊的邏輯入口點(diǎn)或出口點(diǎn)。5GB/T40218—2021/IEC/TR62443-3-1密鑰key密鑰分發(fā)keydistribution將密鑰和其他加密信息從一個擁有密鑰或生成密鑰的實(shí)體傳送給另一個將要使用此密鑰的公共密鑰和使用公共密鑰算法的私有密鑰3。在有限的地理區(qū)域(通常少于10km),用于連接計(jì)算機(jī)和其他智能設(shè)備的通信網(wǎng)絡(luò)[S]。延時(shí)latency從一個設(shè)備發(fā)送消息到另一個設(shè)備接收消息的時(shí)間間隔。在主動竊聽攻擊中，攻擊者攔截并有選擇地修改通信數(shù)據(jù)，以將自己偽裝為一個或多個實(shí)體進(jìn)入通信聯(lián)盟。網(wǎng)絡(luò)層協(xié)議networklayerprotocol第3層協(xié)議，在復(fù)雜網(wǎng)絡(luò)中實(shí)現(xiàn)消息路由[2]。防抵賴nonrepudiation用于鑒別身份或驗(yàn)證訪問權(quán)限的字符串(字母、數(shù)字和其他符號)1]。個人識別碼personalidentificationnumber;PIN物理層協(xié)議physicallayerprotocol在信道上傳輸原始物理(電磁)信號的第1層協(xié)議。6GB/T40218—2021/IEC/TR62443-3-1:2009在RFC1661中定義的協(xié)議，在串行點(diǎn)對點(diǎn)鏈路中傳輸網(wǎng)絡(luò)層數(shù)據(jù)包(IP包)的互聯(lián)網(wǎng)標(biāo)準(zhǔn)。這些公共密鑰(非對稱)加密算法publickey(asymmetric)cryptog7GB/T40218—2021/IEC/TR信息安全域securitydomain由單一可信權(quán)威組織授權(quán)的控制LAN或企業(yè)LAN的系統(tǒng)或子系統(tǒng)。信息安全服務(wù)securityservices服務(wù)器server給客戶端設(shè)備和應(yīng)用提供信息或服務(wù)的設(shè)備或者應(yīng)用3]。欺騙spoof偽裝成授權(quán)用戶執(zhí)行未授權(quán)的行為[3]。對稱密鑰symmetrickey用于私密(對稱)密鑰算法的單一密鑰。對稱密鑰算法symmetrickeyalgorithm系統(tǒng)軟件systemsoftware為特定的計(jì)算機(jī)系統(tǒng)或者計(jì)算機(jī)系統(tǒng)家族設(shè)計(jì)的特定軟件，用于輔助操作和維護(hù)計(jì)算機(jī)系統(tǒng)以及吞吐量throughput在不丟包的情況下，IT或IACS設(shè)備所能處理的脆弱性vulnerability系統(tǒng)設(shè)計(jì)、實(shí)現(xiàn)或操作和管理中存在的缺陷或弱點(diǎn)，可被利用來危害系統(tǒng)的完整性或信息安全廣域網(wǎng)wideareanetwork用于連接遠(yuǎn)距離(例如國內(nèi)或跨國)的計(jì)算機(jī)、網(wǎng)絡(luò)和其他設(shè)備的通信網(wǎng)絡(luò)[]89GB/T40218—2021/IEC/TR62443-3-1VDS:VirusDetectionSystem(VLAN:VirtualLocalAreaNetwork(虛擬局域網(wǎng))VPN:VirtualPrivateNetwork(虛擬專用網(wǎng))WAN:WideAreaNetwork(廣域網(wǎng))孤立網(wǎng)絡(luò)演變成基于標(biāo)準(zhǔn)的網(wǎng)絡(luò)，該網(wǎng)絡(luò)連接了企業(yè)其余部分——包括通常連接到互聯(lián)網(wǎng)的IT業(yè)務(wù)因此，現(xiàn)在知道誰被授權(quán)訪問電子IACS的信息，他們什么時(shí)候訪問信息和他們能夠訪問什么數(shù)本標(biāo)準(zhǔn)確定了若干類可用于保護(hù)IACS網(wǎng)絡(luò)的工具、對抗措施和技術(shù)。主要的種類見第5章～第及該應(yīng)用類型如何能更好地滿足IACS的環(huán)境和需求的論述?？v深防御中的訪問控制措施，以驗(yàn)證僅被授權(quán)人員和設(shè)備才能實(shí)際訪問IACS。第一步措施通常是對授權(quán)可以決定小到對應(yīng)用中的特定文件的訪問，大到對整個企業(yè)或IACS網(wǎng)絡(luò)的訪問。授權(quán)通常增加了企業(yè)各層和IACS計(jì)算中在架構(gòu)和管理上的挑戰(zhàn)。授權(quán)和鑒別是IACS訪問控制的基礎(chǔ)。它們是不同的概念卻經(jīng)常被混淆，因?yàn)閮烧咧g有幾種可能的因素決定個人、設(shè)備或系統(tǒng)的真實(shí)性。例如，測試可以是已知的某事(如PIN或密在IACS環(huán)境下的計(jì)算機(jī)系統(tǒng)通常依靠傳統(tǒng)的密碼鑒別?？刂葡到y(tǒng)供應(yīng)商通常提供的下面列出了幾類鑒別和授權(quán)技術(shù)。第9章IACS相關(guān)的操作系統(tǒng)中，也包括對授權(quán)問題的討論?；诮巧脑L問控制(RBAC)是一種得到很大關(guān)注的技術(shù)和工具，因?yàn)樗迷诎罅恐悄茉O(shè)備控制訪問IACS信息和網(wǎng)絡(luò)資源的傳統(tǒng)方法是對每個用戶建立特定的許可，該許可被配置到各智GB/T40218—2021/IEC/TR62443-3-1RBAC解決這個問題的方法是基于用戶的角色或崗位職責(zé)的訪問，而不是對個人定制的訪問。比訪問IACS中計(jì)算機(jī)系統(tǒng)對象的權(quán)限是基于用戶在組織中的角色。用戶與角色相關(guān)，角色與許可系統(tǒng)的潛力。然而，集中式RBAC增加了故障點(diǎn)，可能會影響IACS的可用性。使用RBAC的另一個一些新協(xié)議中已經(jīng)實(shí)現(xiàn)。其中的一個例子是用于過程控制的OLE四(OPC四)標(biāo)準(zhǔn)，已經(jīng)開發(fā)了對GB/T40218—2021/IEC/TR62443-3-1:2009僅有00～99這100種可能的值，而一個8位字符密碼有幾十億種可能的值。在一個12鍵的小鍵盤上多采用密碼碼，以一種簡單自然的模式，像1254或1478,很多計(jì)算機(jī)密碼者已植入微型無線相機(jī)或硬件鍵擊探測器的區(qū)域內(nèi)。網(wǎng)絡(luò)服務(wù)鑒別經(jīng)常使用明文(未加密)傳送密碼，在IACS環(huán)境特有的密碼問題是用戶回憶和登錄密碼的能力可能被瞬間的壓力所影響。在人們需工業(yè)自動化和控制系統(tǒng)裝置應(yīng)足夠復(fù)雜以實(shí)現(xiàn)高等級的密碼安全。IACS裝置需式(即非明文)傳送密碼的協(xié)議。將來的密碼使用方法可能是一種稱為RBA(基于角色鑒別)的通用方●[NIST03],[NIST04],[NIST07],[NIST07GB/T40218—2021/IEC/TR62443-3-1:2009●PPP-CHAP互聯(lián)網(wǎng)工程任務(wù)組(IETF)的RFC1994:PPP-CHAP允許遠(yuǎn)程客戶端通過串行或撥號鏈路連接服務(wù)器?？蛻舳藨?yīng)知道這個密碼，但CHAP使用一種挑戰(zhàn)/應(yīng)答●KerberosIETF的RFC1510:Kerberos是一種集中式服務(wù)器系統(tǒng)，為小型單一授權(quán)網(wǎng)絡(luò)而設(shè)●由于用戶不愿意挑戰(zhàn)用手工結(jié)合密碼的方式來計(jì)算合適的應(yīng)答，因此挑戰(zhàn)/應(yīng)答鑒別不能直接用于對用戶的鑒別。類似PPP-CHAP的協(xié)議通過直接接受用戶密碼●在理論上，挑戰(zhàn)/應(yīng)答鑒別的一個弱點(diǎn)是能為攻擊者提供了挑戰(zhàn)和應(yīng)答來進(jìn)行離線檢查。如果●用于網(wǎng)絡(luò)服務(wù)鑒別的挑戰(zhàn)/應(yīng)答鑒別最大的弱點(diǎn)存在于在某些形式的鑒別協(xié)商中允許“回退攻論哪種方式都存在暴露和危及系統(tǒng)的風(fēng)險(xiǎn)。分發(fā)方法在設(shè)計(jì)和執(zhí)行時(shí)需特別小心，避免成為●如果使用工作站讀取智能卡的PIN,倘若這臺GB/T40218—2021/IEC/TR62443-3-1:2009卡和讀卡器的成本或許會降低。隨后會把智能卡集成到標(biāo)準(zhǔn)的IT產(chǎn)品中，采用智能卡技術(shù)的信用卡宜從物理遠(yuǎn)景和對計(jì)算機(jī)系統(tǒng)的訪問兩個方面檢查智能卡在IACS環(huán)境下控制訪問的潛在使●所有生物設(shè)備都有類型I和類型Ⅱ錯誤(分別為拒絕有效生物圖像的概率和接受無效生物圖●據(jù)報(bào)道，生物掃描儀會隨時(shí)間“偏移”,需要不定期地重新校對。人類生物特征也會隨時(shí)間變●設(shè)備學(xué)習(xí)可能需要面對面的技術(shù)支持和驗(yàn)證，不像可以通過電話給出的密碼或由接待員發(fā)出膜掃描儀和拇指掃描儀認(rèn)可度很高。當(dāng)有多種生物鑒別技術(shù)可選擇時(shí)，生物鑒別設(shè)備的用戶生物識別越來越可靠，并且更多地集成到通用I●[Har2],第32頁～第34頁鑒別，即對設(shè)備的物理訪問表示有此權(quán)限；或者間接進(jìn)行鑒別，用ID或代表其位置的地址表示有此在當(dāng)前IACS環(huán)境中，只有一小部分網(wǎng)絡(luò)服務(wù)鑒別是基于位置的，用戶鑒別使用與某個位置直接GB/T40218—2021/IEC/TR62443-3-1:2009將用戶身份與可重用密碼相結(jié)合是對控制系統(tǒng)操作員和用戶進(jìn)行系統(tǒng)識別和授權(quán)最常見的形式，密碼是訪問工業(yè)自動化流程或控制器系統(tǒng)時(shí)最強(qiáng)或最弱的環(huán)節(jié)。靜態(tài)密碼(密碼在一段周期內(nèi)不GB/T40218—2021/IEC/TR62443-3-1使用新的更復(fù)雜的工具提高能力，如通過病毒在企業(yè)網(wǎng)絡(luò)中嵌入的鍵擊記錄程序，進(jìn)入控制系統(tǒng)局上的按鈕。這使得鑒別服務(wù)側(cè)的令牌設(shè)備進(jìn)入到下一個鑒別值。這個值和一個基本秘密進(jìn)行散列運(yùn)GB/T40218—2021/IEC/TR62443-3-1:2009鑒別技術(shù)廣泛使用在基于傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議(TCP/IP)的網(wǎng)絡(luò)中。然而，許多IACS環(huán)境GB/T40218—2021/IEC/TR62443-3-1:2009目前幾個小組正在研究控制系統(tǒng)信息安全的解決方案。IECTC57一直負(fù)責(zé)IEC60870-5和DNP3,這些協(xié)議在電力工業(yè)中應(yīng)用非常多。美國燃?xì)鈪f(xié)會正在完成規(guī)范AGA-12,該規(guī)范需要加密技控制系統(tǒng)LAN之間的防火墻。另外，最佳網(wǎng)絡(luò)信息安全實(shí)踐是在防火墻間a)包過濾：這類防火墻依據(jù)一組規(guī)則在轉(zhuǎn)發(fā)數(shù)據(jù)包前檢查每個數(shù)據(jù)包的地址信息。根據(jù)數(shù)據(jù)包IP源地址后，已建立的規(guī)則確定該數(shù)據(jù)包是否應(yīng)被丟棄或轉(zhuǎn)發(fā)。此方法有時(shí)也稱為靜態(tài)過程控制網(wǎng)絡(luò)與外界進(jìn)行通信的需求越來越迫切。典型的，如使用單向通信向外傳輸過程數(shù)據(jù)?！裣拗平邮?發(fā)送到過程控制網(wǎng)絡(luò)的數(shù)據(jù)；●記錄通過防火墻進(jìn)行的成功和不成功的信息交互；●使原來設(shè)計(jì)為不能交互的網(wǎng)絡(luò)可以交互(路由/NAT)。限制接收/發(fā)送到過程控制網(wǎng)絡(luò)的數(shù)據(jù)可配置成若干方式。更復(fù)雜的防火墻能夠通過以下組合進(jìn)●允許通信的端口；●允許通信的應(yīng)用。防火墻可部署在公司整體網(wǎng)絡(luò)的若干等級。防火墻是公司IT信息安全戰(zhàn)略的一部分，因而由主IACS環(huán)境使用的防火墻通常保護(hù)物理區(qū)域(即工廠或樓宇),但其使用應(yīng)考慮到基礎(chǔ)設(shè)施和數(shù)據(jù)建議使用公認(rèn)廠家的硬防火墻(即使用有限數(shù)量的型號)并且由●去除缺省密碼?！駥彶槿罩?；GB/T40218—2021/IEC/TR62443-3-1:2009●阻止入站數(shù)據(jù)包被設(shè)備上的應(yīng)用處理；●控制來自主機(jī)的出站網(wǎng)絡(luò)流量；●記錄的信息可用于網(wǎng)絡(luò)流量監(jiān)視和入侵檢測。種DoS攻擊?！窨赡茉黾涌刂葡到y(tǒng)的通信延時(shí)；●缺乏適用于工業(yè)應(yīng)用的過濾器規(guī)則集的設(shè)計(jì)經(jīng)驗(yàn)；●在廣為分散的典型SCADA系統(tǒng)環(huán)境中，管理基于主機(jī)的防火墻需要大量開銷。在它可能廣泛使用在IACS環(huán)境的關(guān)鍵任務(wù)設(shè)備上之前，該技術(shù)要求改進(jìn)集中管控和廣為分散的●基于主機(jī)的防火墻的集中管理和分布式管理的改進(jìn)；件，而且廠商可能會禁止在其工作站使用此類軟件。商業(yè)可用的防火墻不了解工業(yè)協(xié)議，如需要開發(fā)現(xiàn)場控制設(shè)備端的專用微防火墻?，F(xiàn)已提出用來保護(hù)關(guān)鍵可編程GB/T40218—2021/IEC/TR62443-3-1a)明文(用于加密)或密文(用于解密);包括三重?cái)?shù)字加密標(biāo)準(zhǔn)(3DES)和高級加密標(biāo)準(zhǔn)(AES)。AES通常設(shè)計(jì)為AES-128、AES-192或256來表示密鑰的位數(shù)。舊的數(shù)字加密標(biāo)準(zhǔn)正在被淘數(shù)倍塊長。改變密文分組的一位就隨機(jī)地改變了解密后的明文分組的50%。分組密碼典型地用作生b)密碼分組鏈模式(用于消息完整性),其中每個明文的級聯(lián)分組加密，與先前累積的加密組合，GB/T40218—2021/IEC/TR62443-3-1:2009統(tǒng)的地理區(qū)域大小增加而變得更困難，大范圍SCADA系統(tǒng)是最更密鑰可能會是昂貴和緩慢的，因此能夠遠(yuǎn)程改變密鑰就很有用。密鑰管理問題在公共密鑰加密(見最有效的保護(hù)措施是使用由可信任的加密認(rèn)證實(shí)驗(yàn)室認(rèn)可的完整加密系統(tǒng)。NIST/CSE加密模效。美國天然氣協(xié)會(AGA)報(bào)告12-1(見AGA12)包含了一個安全策略的例子。該學(xué)會是針對不同所有者的加密系統(tǒng)可能在不遠(yuǎn)的未來進(jìn)入市場。也可能出現(xiàn)聲稱其可使用普遍的公認(rèn)算法b)僅使用已認(rèn)證符合標(biāo)準(zhǔn)的單元。標(biāo)準(zhǔn)保證了加密系統(tǒng)經(jīng)過廣泛專家仔細(xì)研究其弱點(diǎn)，而非由——保護(hù)IACS消息不被重發(fā)和偽造；許多特性也適用于任何IACS?！馵NIST01],[NIST03],[NIST06],[GB/T40218—2021/IEC/TR62443-3-1:2009●[anon03],[anon07]GB/T40218—2021/IEC/TR62443-3-1當(dāng)提供了認(rèn)證的附加層(如通過公鑰基礎(chǔ)設(shè)施PKI或信任的認(rèn)證權(quán)威服務(wù)器),在設(shè)置用于數(shù)據(jù)通a)安全傳輸層協(xié)議(IETFTLS或信息安全套接字層IETFSSL);d)使用證書認(rèn)證機(jī)構(gòu)的Kerberos(三方握手)認(rèn)證。某些公鑰算法要求的處理需要非常強(qiáng)的中央處理單元(CPU),許多16位或更小的CPU不支持該算法。即使在非?？焖俚腃PU上，它也不能符合亞秒級時(shí)間關(guān)鍵通信的要求。其主要用于在分布式和Adleman(RSA四)公鑰約等于80位對稱密鑰。新的公鑰算法針對這些問題。相當(dāng)于80位對稱密鑰的橢圓曲線(EC)公鑰僅為160位。巨大的計(jì)算需求以及對于小系統(tǒng)要求的額外內(nèi)存是在IACS環(huán)境GB/T40218—2021/IEC/TR62443-3-1●授權(quán)給用戶訪問、讀取、修改、插入或刪除特定數(shù)據(jù)，或者執(zhí)行一定的程序；●給用戶、程序或過程訪問優(yōu)先權(quán)。[INFOSEC-99]技術(shù)上的其他分類，比如多協(xié)議標(biāo)簽轉(zhuǎn)換，幀中繼和異步傳輸模式，可能會被誤認(rèn)為VPN,因?yàn)樗鼈兡軌蚴箤Ｓ镁W(wǎng)絡(luò)在公共架構(gòu)上工作。但是，這些技術(shù)本質(zhì)上并不包含作為VPN所描述的這些主要組件。7.4.2此技術(shù)處理的信息安全脆弱性VPN允許專用網(wǎng)絡(luò)在公用網(wǎng)絡(luò)上執(zhí)行功能。VPN在網(wǎng)絡(luò)上能夠提供相同的信息安全類型，像裝甲車一樣，在物理邊界上用于安全地傳輸公司信息或者材料。其保護(hù)信息從“外部”世界的傳輸。對于IACS環(huán)境，外部世界典型地包括企業(yè)LAN用戶，這些用戶沒有操作控制中心的授權(quán)。VPN能夠提供以下服務(wù)：●通過鑒別，控制訪問受信網(wǎng)絡(luò)；●在未受信網(wǎng)絡(luò)上，維護(hù)受信數(shù)據(jù)的完整性；●記錄對傳輸監(jiān)視、分析和入侵檢測有用的信息。通常情況下，通過安全網(wǎng)關(guān)和主機(jī)來創(chuàng)建VPN連接有三種部署方式?！癜踩W(wǎng)關(guān)是一個中間系統(tǒng)，該系統(tǒng)使用VPN技術(shù)來保證兩個安全網(wǎng)關(guān)之間通信的安全性。安全網(wǎng)關(guān)也被常用來授權(quán)設(shè)備。安全網(wǎng)關(guān)的功能已經(jīng)在防火墻、路由器和交換機(jī)這些現(xiàn)有的網(wǎng)絡(luò)設(shè)備中實(shí)現(xiàn)。新的術(shù)語，比如VPN集線器和VPN網(wǎng)關(guān)，專用于處理大規(guī)模VPN通信的計(jì)算設(shè)備。●主機(jī)使用VPN技術(shù)來保證來自主機(jī)或者主機(jī)專用的通信。主機(jī)所使用的VPN技術(shù)要么包含在主機(jī)的本地操作系統(tǒng)中，要么添加到專門用于啟動VPN訪問的主機(jī)操作系統(tǒng)中。下面詳細(xì)描述了VPN部署的這三種分類：a)安全網(wǎng)關(guān)到安全網(wǎng)關(guān)(見圖2):VPN的這兩個端點(diǎn)是中間設(shè)備，該設(shè)備從一個可信任網(wǎng)絡(luò)傳輸?shù)搅硪粋€可信任網(wǎng)絡(luò)，同時(shí)依靠VPN技術(shù)保證不可信任傳輸網(wǎng)絡(luò)上的通信。這種類型的VPN通常被稱為點(diǎn)到點(diǎn)或者LAN到LAN的VPN。圖2安全網(wǎng)關(guān)到安全網(wǎng)關(guān)VPNb)主機(jī)到安全網(wǎng)關(guān)(見圖3):一端是主機(jī)計(jì)算設(shè)備，另一端是一個中間設(shè)備，該中間設(shè)備從主機(jī)傳輸?shù)桨踩W(wǎng)關(guān)之后的可信任網(wǎng)絡(luò)，同時(shí)依靠VPN技術(shù)保證不可信任網(wǎng)絡(luò)上的通信。這種類型的VPN通常被稱為遠(yuǎn)程訪問VPN。GB/T40218—2021/IEC/TR62443-3-1圖3主機(jī)到安全網(wǎng)關(guān)VPNc)主機(jī)到主機(jī)(見圖4):VPN通道上的每個端點(diǎn)都是主機(jī)計(jì)算設(shè)備。主機(jī)設(shè)備依靠主機(jī)上的VPN技術(shù)來保證不可信任網(wǎng)絡(luò)上的通信。圖4主機(jī)到主機(jī)網(wǎng)關(guān)VPN目前最常用的VPN技術(shù)類型是以下幾種：a)互聯(lián)網(wǎng)安全協(xié)議(IPsec):IPsec是由IETF定義的一套標(biāo)準(zhǔn)，用來控制公共網(wǎng)絡(luò)上數(shù)據(jù)的安全通信和確保所有IP單播應(yīng)用的信息安全。按照這套標(biāo)準(zhǔn)，多播應(yīng)用不能使用IPsec。然而，有一個IETF工作組專門關(guān)注使用IPsec的多播的信息安全。另外，多播和非基于IP的協(xié)議能通過IPsecVPN進(jìn)行傳輸，它們將這些協(xié)議封裝在單播應(yīng)用協(xié)議IP中，并且將這些傳輸復(fù)制到每一個需要的VPN接收設(shè)備中。例如，多播通信在加密和通過IPsec傳輸之前，可以通過將其封裝在一個適當(dāng)?shù)念^中從而從路由器傳輸?shù)铰酚善?。IPsec工具包含在現(xiàn)有的許多操作系統(tǒng)中。這個標(biāo)準(zhǔn)的目的是為了保證跨廠商平臺的互操作性。雖然，有供應(yīng)商互操作性的標(biāo)準(zhǔn)，然而，事實(shí)上卻是多廠商執(zhí)行互操作性的決定取決于最終用戶組織實(shí)施的具體測試。這個協(xié)議一直在不斷地增強(qiáng)以滿足市場的具體要求，例如，擴(kuò)展該協(xié)議以解決個別用戶鑒別和網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)設(shè)備的橫向性。這些擴(kuò)展通常取決于供應(yīng)商，可能會導(dǎo)致主要存在于主機(jī)和安全網(wǎng)關(guān)環(huán)境內(nèi)的互操作性問題。b)安全套接層(SSL):SSL為兩個通信主體提供安全通道，而這個通道對于通過他傳輸?shù)臄?shù)據(jù)是不可見的。IETF對SSL版本3協(xié)議做出輕微修改，創(chuàng)建出一個稱為傳輸層安全性(TLS)的新協(xié)議。SSL和TLS通?？梢曰Q使用。本標(biāo)準(zhǔn)一般使用SSL術(shù)語。SSL最常被用來保證HTTP通信的安全性。這個協(xié)議的實(shí)現(xiàn)被稱為HTTP安全協(xié)議(HTTPS)。然而，SSL并不只限于保證HTTP通信的安全性；它還可以被用于確保許多不同的應(yīng)用層應(yīng)用的安全為適合于絕大多數(shù)網(wǎng)絡(luò)操作系統(tǒng)，因?yàn)?，它們在嵌入Web瀏覽器的操作系統(tǒng)中包含了SSL的實(shí)現(xiàn)?！袢狈ACS協(xié)議在傳輸層加密機(jī)制的支持，這些協(xié)議諸如PROFInet,Ethernet/IP,FoundationFieldbusHSE,或者M(jìn)odbus/TCP。GB/T40218—2021/IEC/TR62443-3-1●缺乏針對工業(yè)應(yīng)用設(shè)計(jì)大規(guī)模VPN的經(jīng)驗(yàn)。大部分操作系統(tǒng)會有大量日志設(shè)置和日志文件維護(hù)工具。例如，MicrosoftWindows⑩2000有兩個包含在AdvancedServer2000ResourceKit中的工具：●Dumpel:Dumpel是一個命令行工具，被用來獲取系統(tǒng)進(jìn)程、安全、本地或遠(yuǎn)程系統(tǒng)的應(yīng)用幸運(yùn)的是有很多工具和程序能起到幫助作用。在Windows⑩2000高級服務(wù)器的資源工具包(Re-GB/T40218—2021/IEC/TR62443-3-1:2009VDS作為一個主動的代理，對上述分類的提示的非正常的活動進(jìn)行探測。VDS能夠探測并運(yùn)行VDS有三種模式來實(shí)施?！裎募蚕聿《緜鞑ィ弧褚蛱鼐W(wǎng)和郵件附件病毒。在IACS環(huán)境中，工作站和服務(wù)器通常是專用于與設(shè)備運(yùn)行有關(guān)的某些任務(wù)中的。包括了運(yùn)行程入侵檢測市場創(chuàng)造了一個新興的產(chǎn)品分類，稱為入侵防御。這些產(chǎn)品類似于傳統(tǒng)的NIDS和●基于行為的系統(tǒng)：這些產(chǎn)品認(rèn)為可以通過觀察系統(tǒng)或者用戶的正?；蛘哳A(yù)期行為的偏差來進(jìn)IDS作為主動監(jiān)視，類似于警衛(wèi)和視頻監(jiān)視網(wǎng)站辦公場所的方式。它可以避免計(jì)算機(jī)或計(jì)算機(jī)網(wǎng)●監(jiān)視進(jìn)出網(wǎng)絡(luò)的情況；●記錄對于通信監(jiān)視以及威脅分析有用的信息；有三種方式可以部署在所有的IDS分類中：a)NIDS:被動嗅探，是指通過子網(wǎng)中混雜端口的被動嗅探。此端口可以觀察到IDS連接的特定攻擊。這種技術(shù)是部署NIDS的主要方法。b)NIDS:內(nèi)聯(lián)部署，是指對于作用在計(jì)算機(jī)通信轉(zhuǎn)發(fā)路徑NIDS進(jìn)行內(nèi)聯(lián)部署。這個過程是指c)HIDS:入侵檢測系統(tǒng)安裝在每臺機(jī)器上，用于監(jiān)視和審計(jì)計(jì)算機(jī)上的行為，并將這些行為與NIDS擔(dān)負(fù)起了防御設(shè)備的作用，它可以監(jiān)視利用已知的網(wǎng)絡(luò)中計(jì)算機(jī)的脆弱性進(jìn)行威脅行為的網(wǎng)絡(luò)流量。NIDS可以通過提供針對這些脆弱性的攻擊報(bào)警和捕獲觸發(fā)報(bào)警的攻擊通信從而實(shí)現(xiàn)重要塊策略，以及對承載攻擊的傳輸控制協(xié)議(TCP)會話進(jìn)行重置。內(nèi)線部署的NIDS還獲得降低符合攻●監(jiān)視進(jìn)出計(jì)算機(jī)的通信；●執(zhí)行文件的完整性檢查；●監(jiān)視可疑的用戶或者應(yīng)用程序行為。最佳做法建議在有效的入侵檢測系統(tǒng)中部署主機(jī)以及網(wǎng)絡(luò)IDS。IDS只能保護(hù)網(wǎng)絡(luò)以及在其上安裝的工作站。在許多情況下，IDS不是在網(wǎng)絡(luò)內(nèi)的每一個子網(wǎng)或計(jì)算機(jī)上都安裝?？偝杀就ǔ３蔀樵诖笠?guī)模下部署IDS的限制因素●通過端口掃描或者由IDS阻止攻擊確定一個IDS;GB/T40218—2021/IEC/TR62443-3-1:2009●創(chuàng)建一個拒絕服務(wù)攻擊IDS;使用IDS的其他問題包括：●誤傷：一個IDS的應(yīng)答行為要求高精確度，以確保只有惡意活動被封鎖，并且合法通信獲得●在高帶寬網(wǎng)絡(luò)下一個NIDS的檢測能力可能會超過范圍?！袢狈?biāo)準(zhǔn)化測試程序會導(dǎo)致依賴于測試中使用的通信配置文件的IDS的性能差異較大。IDS技術(shù)可能會給人以錯誤的安全感。IDS應(yīng)被看作是更大的網(wǎng)絡(luò)安全方法的一個組成部分。部署IDS并不意味著執(zhí)行其他網(wǎng)絡(luò)安全的最佳做法就不需要了，例如實(shí)行準(zhǔn)入策略(防火墻),內(nèi)部網(wǎng)絡(luò)在IACS環(huán)境中，NIDS最經(jīng)常部署于PCN和帶有防火墻的企業(yè)局域網(wǎng)之間。HIDS最常用于使用通用的操作系統(tǒng)或者應(yīng)用程序的計(jì)算機(jī)上。正確配置IDS可以大大提高安全管理隊(duì)伍檢測攻擊進(jìn)●缺乏建立于PLCs,RTUs以及DCSs之上的基于控制器操作系統(tǒng)的典型HIDS產(chǎn)品。●HIDS產(chǎn)品與Windows或者UNIX的控制系統(tǒng)軟件不兼容。●在廣泛分散的系統(tǒng)中，例如典型的SCADA環(huán)境中管理IDS的潛在重大開銷?！裎磥淼难芯亢桶l(fā)展需要把重點(diǎn)放在主機(jī)入侵檢測/預(yù)防(HIDS)技術(shù)，這種技術(shù)無需耗費(fèi)服務(wù)細(xì)探討的案例就是在專用設(shè)備上運(yùn)行的代理沒有引進(jìn)顯著延時(shí)。大多數(shù)控制網(wǎng)絡(luò)流量之所以錄都是可以檢測到使用了HIDS的事件的例GB/T40218—2021/IEC/TR62443-3-1用于保護(hù)控制系統(tǒng)的IDS宜首先進(jìn)行初始化配置，使它們沒有傳入或傳出通信的應(yīng)答行為。只有個企業(yè)。脆弱性掃描可以識別出企業(yè)的不足，生成針對每個系統(tǒng)的安全報(bào)告或針對企業(yè)的安全統(tǒng)計(jì)，并對該易受攻擊的系統(tǒng)安裝補(bǔ)丁或改變安全配置。企業(yè)進(jìn)行這類掃描是為了降低企●驗(yàn)證在特定高危系統(tǒng)下的安全性：針對性掃描是指針對特定的高危主機(jī)或設(shè)備。在主機(jī)上檢測到的脆弱性是對各個危險(xiǎn)等級的評估以及各系統(tǒng)功能要求的權(quán)衡。為了實(shí)現(xiàn)功能最大化和安全嚴(yán)格性兩者之間的平衡，針對性掃描要求執(zhí)行掃描的安全管理員和維護(hù)系統(tǒng)的信息管理員都要具備高水平的技能和知識。設(shè)計(jì)針對性掃描就是為了加強(qiáng)高危系統(tǒng)的安全性，盡可能●脆弱性數(shù)據(jù)庫：包含脆弱性信息，該信息代表性地提到計(jì)算機(jī)應(yīng)急應(yīng)答小組(CGB/T40218—2021/IEC/TR62443-3-1:2009●安全策略的不足：可以在單獨(dú)的系統(tǒng)上被改變，但是與服務(wù)或應(yīng)用程序的配置和軟件缺陷無關(guān)。這些問題可以通過改變每個主機(jī)上的安全策略得到解決。這些不足包括主機(jī)審計(jì)的缺錯誤可以通過改正相應(yīng)軟件在每個主機(jī)上運(yùn)行的方式得到糾正。這類錯誤配置脆弱性的例子途徑就是安裝補(bǔ)丁文件或者安裝由供應(yīng)商發(fā)布的相關(guān)更新文件或者使用一種外部保護(hù)，如分組洗滌器，以阻止訪問脆弱性。常見的例子包括內(nèi)存攻擊如操作系統(tǒng)上的緩沖區(qū)溢出或攻擊●熟悉操作系統(tǒng)以及它的網(wǎng)絡(luò)組件；●很好地理解應(yīng)用程序以及環(huán)境的前提條件；●知道如何修補(bǔ)應(yīng)用程序和操作系統(tǒng)以及升級可能帶來的后果。GB/T40218—2021/IEC/TR62443-3-1:2009脆弱性數(shù)據(jù)庫和已經(jīng)發(fā)布的工業(yè)設(shè)備上的脆弱性是目前關(guān)于特定的IACS脆弱性的有限信息。信息的缺乏將進(jìn)一步限制在IT操作系統(tǒng)和應(yīng)用程序上掃描識別脆弱性的效力。然而，鑒于這種產(chǎn)業(yè)向標(biāo)準(zhǔn)IT操作系統(tǒng)和應(yīng)用程序轉(zhuǎn)移，并遠(yuǎn)離那些獨(dú)立的專用系統(tǒng)，掃描系統(tǒng)能夠幫助提高這些IT組件脆弱性掃描應(yīng)在已經(jīng)部署了標(biāo)準(zhǔn)的IT操作系統(tǒng)或應(yīng)用程序的系統(tǒng)控制環(huán)境中使用。此使用應(yīng)仔取證及分析工具通過分析原始網(wǎng)絡(luò)數(shù)據(jù)包被動收集關(guān)于網(wǎng)絡(luò)及相關(guān)的架構(gòu)、通信和用戶的信息。GB/T40218—2021/IEC/TR62443-3-1:2009信息為分析員做審查時(shí)，捕獲原始網(wǎng)絡(luò)數(shù)據(jù)包。這些工具將包域和包頭信息轉(zhuǎn)換為易讀格式和用來顯示網(wǎng)絡(luò)實(shí)時(shí)活動。定制過濾器可以經(jīng)過設(shè)置允許管理員基于協(xié)議類型、IP地址捕獲包和允許管理員去除和任務(wù)無關(guān)的信息。抓包工具可以用于排除網(wǎng)絡(luò)故障、檢測事件應(yīng)了抓包工具的功能因而被用于企業(yè)級網(wǎng)絡(luò)。網(wǎng)絡(luò)監(jiān)控程序以類似抓包軟件的原理工作。然●取證和分析工具(FAT):FAT功能類似于網(wǎng)絡(luò)監(jiān)控工具，因?yàn)閮烧叨继峁┢髽I(yè)級網(wǎng)絡(luò)的監(jiān)控、集中式網(wǎng)絡(luò)安全管理能力和擴(kuò)展報(bào)告能力。不同于前兩者的是，它可以用于防御而不只是網(wǎng)絡(luò)管理工具。網(wǎng)絡(luò)取證和分析程序監(jiān)測流量時(shí)，可以同時(shí)從網(wǎng)絡(luò)安全方面考慮正常的網(wǎng)絡(luò)基GB/T40218—2021/IEC/TR62443-3-1消息源中使用某種形式的試探或壓縮，要么在釋放攻擊的持久性之前需要大量共享內(nèi)存來緩沖數(shù)據(jù)。傳統(tǒng)IT協(xié)議的工作站的限制。它們必須很小心地使用可操作的IACS網(wǎng)絡(luò)。FAT需要適應(yīng)普通的IACS協(xié)議，例如OPC和現(xiàn)場總線協(xié)議。過濾和數(shù)據(jù)精簡工具也需要適應(yīng)FAT宜始終和激活的IDS串聯(lián)部署。針對IDS的配置邏輯也能被應(yīng)用到FAT。IDS所面臨的威脅環(huán)境將始終為有效部署FAT提供所需的數(shù)據(jù)子集。因此，系統(tǒng)管理員應(yīng)為FAT部署準(zhǔn)備使用FAT時(shí)，最難決策的是如何權(quán)衡數(shù)據(jù)量的大小及其來源。存留空間需要收集足夠的信息來當(dāng)收集并存儲關(guān)于IACS或其使用者的重要取證數(shù)據(jù)時(shí)，要確認(rèn)并復(fù)審這些收集的數(shù)據(jù)在隱私法或其他法律中是否有效。收集數(shù)據(jù)的多少是否被視為非法取決于行業(yè)、系統(tǒng)的使用以及當(dāng)時(shí)生效的GB/T40218—2021/IEC/TR62443-3-1:2009系統(tǒng)管理員通過HCM工具在中心管理資源，控制系統(tǒng)的存取并為網(wǎng)絡(luò)中的每臺主機(jī)設(shè)定通用的工業(yè)自動化和控制系統(tǒng)不會專門使用HCM工具，因?yàn)檫@些工具會受到策略的影響。大多數(shù)配置是通過IACS應(yīng)用程序根據(jù)功能需求而不是管理和安全策略來建立的。網(wǎng)絡(luò)中的HCM典型地受限于考慮在IT網(wǎng)絡(luò)管理中的關(guān)鍵性和安全策略，HCM工具和程序通常只應(yīng)用于普通的IT領(lǐng)域。由配置。用戶的訪問和約束通過IACS應(yīng)用程序能被設(shè)定到每一個操作員或工程師工作站，對每一個用ITHCM工具變化依賴于被管理的操作系統(tǒng)。主要為MicrosoftWindows產(chǎn)品使用動態(tài)目錄和第化的配置。大多數(shù)HCM任務(wù)在Linux和UNIX中通過使用指定的腳本和遠(yuǎn)程管理工具進(jìn)行管理?，F(xiàn)在最大的問題是在大多數(shù)網(wǎng)絡(luò)中，在IACS環(huán)境中使用HCM工具缺乏標(biāo)準(zhǔn)的軟件和硬件。假問。大多數(shù)IACS系統(tǒng)并不支持對操作系統(tǒng)和應(yīng)用程序進(jìn)行重大的和頻繁的改變，比如網(wǎng)絡(luò)服務(wù)器和GB/T40218—2021/IEC/TR62443-3-1:2009為了控制。因?yàn)閼?yīng)用程序是依賴于操作系統(tǒng)和部件的，所以控制應(yīng)用程序的需求驅(qū)動了主機(jī)的配置。盡管任務(wù)或規(guī)劃需要標(biāo)準(zhǔn)化，但是IACS經(jīng)營者和供應(yīng)商將首先評估當(dāng)前的管理任務(wù)和應(yīng)用軟件改變控制和增加安全策略。IACS經(jīng)營者和供應(yīng)商首先將在可能頒布的加強(qiáng)網(wǎng)絡(luò)完整性的策略上評估估管理主機(jī)配置和決定其用戶指定的HCM需求用的，在實(shí)際使用上有什么需求以及合法使用上的花費(fèi)。但是一旦IACS環(huán)境變得更加標(biāo)準(zhǔn)且需要更●在網(wǎng)絡(luò)上管理多個版本的企業(yè)應(yīng)用程序和軟件是非常復(fù)雜的。第一種ASM應(yīng)用程序是企業(yè)應(yīng)用程序套件，用來在網(wǎng)絡(luò)中部署大型軟件包。它可以用來管理操GB/T40218—2021/IEC/TR62443-3-1:2009第二種ASM應(yīng)用程序是第三方應(yīng)用程序，用來更新范圍非常有限的產(chǎn)品。補(bǔ)丁管理軟件是這種程序。這種ASM工具的實(shí)例包括Patchlink、MicrosoftWUS、以第三種非正規(guī)的ASM工具是大多數(shù)COTS軟件零售商的產(chǎn)品中都包含的更新程序組件。它們屬ASM工具目前在IACS網(wǎng)絡(luò)中的部署方式并不多。IACS應(yīng)用程序供應(yīng)商可能會使用ASM軟件隨著COTS操作系統(tǒng)和應(yīng)用程序正在集成到越來越多的IACS環(huán)境中，ASM工具也將被全面評考慮應(yīng)用程序的架構(gòu)和通信機(jī)制。這些工具可能會給IACS網(wǎng)絡(luò)帶來新的信息路徑或脆弱性，需對于正在獲取的更新程序數(shù)據(jù)，在IACS上采用之前也應(yīng)評估其是否完好。如果使用了已經(jīng)被損目前已經(jīng)在IACS環(huán)境中部署管理應(yīng)用更新程序的客戶端代理或模塊，因?yàn)樗麄儾粫绊慖ACSGB/T40218—2021/IEC/TR62443-3-1隨著IACS供應(yīng)商越來越重視補(bǔ)丁管理，可能會對用來部署安全更新程序的第三方應(yīng)用程序進(jìn)行隨著COTS軟件被部署到IACS網(wǎng)絡(luò)中，客戶端更新代理或模塊將更加普及。在補(bǔ)丁操作日益重在IACS設(shè)備中使用的軟件是決定控制系統(tǒng)整體安全性的重要因素。它作為訪問設(shè)備的中介來實(shí)第9章分析了IACS中所用的三種關(guān)鍵軟件組件的安全性：●服務(wù)器和工作站操作系統(tǒng)；●實(shí)時(shí)和嵌入操作系統(tǒng)；●網(wǎng)絡(luò)服務(wù)器和互聯(lián)網(wǎng)技術(shù)。操作系統(tǒng)(OS)是計(jì)算機(jī)上運(yùn)行的最重要的程序。每臺通用計(jì)算機(jī)都有一個操作系統(tǒng)執(zhí)行基本任網(wǎng)絡(luò)和因特網(wǎng)技術(shù)在IACS中正變得越來越重要，因?yàn)樗鼈兛梢詾榭刂剖乙酝獾挠脩舾皶r(shí)方便GB/T40218—2021/IEC/TR62443-3-1:2009●在沒有運(yùn)行應(yīng)用程序的情況下提供一個默認(rèn)的用戶界面；●為軟件開發(fā)提供一個應(yīng)用程序編程界面；●為計(jì)算機(jī)的硬件和外圍設(shè)備提供一個界面。在IACS環(huán)境中，SCADA主機(jī)、工廠計(jì)算機(jī)以9.2.4已知問題和弱點(diǎn)●一位對所有系統(tǒng)資源擁有全面訪問權(quán)限的管理員；●對自己工作所需的應(yīng)用程序和文件擁有全面訪問權(quán)限的普通用戶。用DAC的操作系統(tǒng)比較容易受到病毒和木馬攻擊?！襁h(yuǎn)程訪問網(wǎng)絡(luò)中的服務(wù)器。子郵件或運(yùn)行電子數(shù)據(jù)表不是很嚴(yán)重的問題。而在IACS環(huán)境中，操作人員經(jīng)常需要快速訪問系統(tǒng)和GB/T40218—2021/IEC/TR62443-3-1:2009第10章),因?yàn)獒槍刂浦行牡脑L問權(quán)限通常僅限于被授權(quán)人員?！窦訌?qiáng)進(jìn)程隔離：保護(hù)主內(nèi)存頁，以確保每個應(yīng)用程序都不會被其他應(yīng)用程序(甚至包括操作系●禁用所有不需要的服務(wù)；●更改供應(yīng)商所提供的默認(rèn)密碼。實(shí)時(shí)操作系統(tǒng)(RTOS)可以保證在規(guī)定的最大時(shí)間內(nèi)處理中斷，因而適合用于控制和其他時(shí)間關(guān)●內(nèi)存容量有限；●從一個只讀存儲器或閃存的設(shè)備載入程序；●沒有存儲數(shù)據(jù)和程序的磁盤；●處理器能力有限(在很多嵌入應(yīng)用中，8位和16位處理器仍然常見)?！裾埱笤O(shè)備傳輸數(shù)據(jù)(輪詢);GB/T40218—2021/IEC/TR62443-3-1:2009仔細(xì)分隔IACS應(yīng)用中的通信網(wǎng)絡(luò)非常重要，尤其是在采用TCP/IP傳輸機(jī)制的情況下。建議將在9.4中所探討的軟件本身不是為了解決安全脆弱性而設(shè)計(jì)的。介紹它的原因是它在IACS產(chǎn)品網(wǎng)絡(luò)服務(wù)器和瀏覽器客戶端都支持安全套接層(SSL),它為兩個組件之間的數(shù)據(jù)傳輸提供加密SCADA和歷史數(shù)據(jù)庫軟件供應(yīng)商一般將網(wǎng)絡(luò)服務(wù)器作為產(chǎn)品選件提供，以便位于控制室之外的GB/T40218—2021/IEC/TR62443-3-1:2009過去，因?yàn)镮ACS不連接到其他電子系統(tǒng)或網(wǎng)絡(luò)，因而在某種程度上是安全的。在加入了連接以保護(hù)IACS不受網(wǎng)絡(luò)攻擊的最佳安全措施是不采用任何網(wǎng)絡(luò)連接。如果采用很多IACS,尤其是小規(guī)模的IACS,并且不連接到其他系統(tǒng)(包括網(wǎng)絡(luò)),可能效果比較好。除非將IACS連接到網(wǎng)絡(luò)有很大應(yīng)嚴(yán)格限制從IACS進(jìn)行的網(wǎng)絡(luò)訪問操作，只允許執(zhí)行特定管理服務(wù)所必要的連接進(jìn)行操作。在創(chuàng)建這些連接的時(shí)候，需要安裝最新的安全功能。這些功能包括防御性很強(qiáng)的DMZ,經(jīng)過全面開發(fā)并上市物理安全控制是為了限制接觸IACS環(huán)境內(nèi)的任何信息資產(chǎn)而采取的任何主動或被動物理措施?！裨谖唇?jīng)授權(quán)的情況下實(shí)際進(jìn)入敏感區(qū)域；GB/T40218—2021/IEC/TR62443-3-1:2009記錄在案的針對IACS的攻擊行為中，有很大比例的攻擊涉及通過物理接觸設(shè)備來進(jìn)行破壞。在開發(fā)測量鑒別或記錄設(shè)備以及各種其他設(shè)備。它們本身不會專門控制或限制人員進(jìn)入一個實(shí)際場實(shí)例包括停車場監(jiān)控、便利店監(jiān)控或航空安檢用的攝像機(jī)。這些識別系統(tǒng)并不專門用來阻止●進(jìn)入限制系統(tǒng)：進(jìn)入限制系統(tǒng)可以采用組合設(shè)備來實(shí)際控制或防止無關(guān)人員接觸受保護(hù)的資●在未經(jīng)授權(quán)的情況下使用設(shè)備或信息資產(chǎn)；●觀察專有業(yè)務(wù)過程或活動；●泄漏危險(xiǎn)物。下明確識別和確定這些要求。部署物理安全控制功能涉及的范圍很廣，需要根據(jù)所需的保護(hù)類型來GB/T40218—2021/IEC/TR62443-3-1:2009●人員的保護(hù)：人員保護(hù)適用于避免IACS環(huán)境內(nèi)外的任何人或動物受到傷害或死亡的措施。實(shí)例包括防止接觸移動部件的柵欄門或門、將人體與移動部件分開的障礙物或者用來檢測是否備或其他信息資產(chǎn)周圍搭建若干主動和被動式實(shí)體障礙，可以組成這種物理安全系統(tǒng)的外圍●嘗試性或成功的擅自改動或闖入行為的證據(jù)不是未被發(fā)覺就是被忽視。宜每天對高度敏感的設(shè)備進(jìn)行檢查和審查，以確保物理安全控制功能滿足要求。很多實(shí)體攻擊在進(jìn)行之前都有幾物理安全計(jì)劃對于保護(hù)IACS環(huán)境非常重要。任何安全計(jì)劃都有一個潛在的關(guān)鍵弱點(diǎn)，亦即物理GB/T40218—2021/IEC/TR62443-3-1●在實(shí)現(xiàn)物理保護(hù)功能時(shí)，可以在信息資產(chǎn)周圍設(shè)置多個物理保護(hù)屏障。這些屏障應(yīng)根據(jù)具體●宜對相關(guān)設(shè)施采取保護(hù)措施，以保證外面的人難以看到內(nèi)部的商業(yè)活動，盡量不暴露建筑的●宜定期調(diào)查物理安全措施的結(jié)構(gòu)是否周全。●將交貨區(qū)和裝載區(qū)與所有關(guān)鍵系統(tǒng)隔離開。這些區(qū)域經(jīng)常會成為潛在危險(xiǎn)材料攻擊或破壞的工業(yè)領(lǐng)域有多種具體的物理安全監(jiān)管要求。宜全面研究這些問題，以GB/T40218—2021/IEC/TR62443-3-1:2009●書面工作介紹和員工責(zé)任：詳細(xì)說明企業(yè)內(nèi)雇員、承包商或其他工作人員與其信息資產(chǎn)的關(guān)公司職位期間相關(guān)的其他策略。這些策略對于達(dá)到如下效果也是必不可少的：降低困難情況公司策略的不當(dāng)交流或誤解。對于所有公司策略，都要首先形成書面文字并提供給所有工作●可接受的面試方法；●公司的雇用標(biāo)準(zhǔn)；●職位描述和工作職務(wù)；●可接受的信息資產(chǎn)使用方式；●差旅策略和報(bào)銷；GB/T40218—2021/IEC/TR62443-3-1:2009●媒體和文件管理；●安全規(guī)程和違規(guī)通知；●危害物的處置；●維護(hù)程序?！袢魏喂陀貌呗?、程序或背景檢查都不能幫助組織確定員工將來是否會對企業(yè)環(huán)境造成有害●相關(guān)法律通常會限制公司在招聘指定職位工作人員時(shí)可獲取的個人或背景信息。不過，如果有一些對應(yīng)條款和例外規(guī)定。在確定雇用過程中可獲取和使用的個人信息的范圍時(shí)，強(qiáng)烈建GB/T40218—2021/IEC/TR62443-3-1:2009CERT①是CERT協(xié)調(diào)中心(CERT/CC)的注冊商標(biāo)。此信息為標(biāo)準(zhǔn)的使用者提供方便，不會由IEC為商標(biāo)持有人或者任何其商品承擔(dān)責(zé)任。遵守此標(biāo)準(zhǔn)不ControlNetTM和EtherNet/IPTM是ControlNet國際公司的商標(biāo)。此信息為標(biāo)準(zhǔn)的使用者提供方便，不會由IEC為商標(biāo)持有人或者任何其商品承擔(dān)責(zé)任。遵守此標(biāo)準(zhǔn)不要求使用該商標(biāo)。使用該商CIPTM是ODVA(開放DeviceNet供應(yīng)商協(xié)會)的商標(biāo)。此信息為標(biāo)準(zhǔn)的使用者提供方便，不會由IEC為商標(biāo)持有人或者任何其商品承擔(dān)責(zé)任。遵守此標(biāo)準(zhǔn)不DebianLunux@apt-get是大眾利益軟件公司的注冊商標(biāo)。此信息為標(biāo)準(zhǔn)的使用者提供方便，不會EtherPeek①是WildPackets公司的注冊商標(biāo)。此信Ethereal?是Wireshark基金會的注冊商標(biāo)。此信息為標(biāo)準(zhǔn)的使用者提供[1]FederalInformationProcessingStandards(FIPS)PUB140-2forCryptographicModules,Section2,GlossaryofTermsandAcronyms,U.S.NationalInstituteofStandardsandTechnology</publications/fips/fips140-2/fips1[2]UsedwithpermissionoftheBritishColumbiaInstituteof[3]InternetSecurityGlossary([4]CNSSInstructionNo.4009,U.S.NationalInformationAssuranceGlossary,May2003,</Assets/pdf/cnssi_[5]SANSGlossaryofTermsusedinSecurityandIn/resources/glossary[6]SANSGlossaryofTermsusedinSecurityandIn/resources/glossary[60870-5]IEC60870-5(allparts)Telecontrol[17799]ISO/IEC1securitymanagement</>(/whs/directives/corres/te[802.1Q]IEEE802.1Q-VirtualLANs,IEEE,InstituteofElectricalandEl</1/pages/802[AGA]AmericanGasA[AGA-12]CryptographicProtectionofandTestPlan,September2005.<http://www[All]J.Allen,TheCERTGuidetoSystemand<http://www.awprofessio[And]NetworkScannersPINpointProblems(February</reviews/2002/0204bg[anon01]Advantech</vendors/pro[anon02]BattlingtheCyberMenace,Powe[anon03]CKMTechnolo[anon04]InterlinkNetRevolutionNewsletter,April28,</enews/042(.au/articles/ff/0c02e9ff.asp>,May17,2005.[anon06]SecurityUnconscious?<http://www.controlglobalGB/T40218—2021/IEC/TR62443-3-1[anon07]SSLVPNvs.IPsecVPN,ArrayNetworks,Inc.2004.[anon08]Thalese-Security,〈/vendors/products/html>,2005.[anon09]CommonVulnerabilities[anon10]DesigningSecureActiveXControlsMSfault.asp?url=/workshop/components/activex[anonl1](http://lina[anon12]<[anon13](http://windowsupdat[anon14]</products/swdel[anon15](/products/products_[anon16]</roi.ht[anon17]</qunetix/sdwhitepaper.pd[anon18]〈/Pr[anon19]〈http://www.managesoft.co.uk/solution[anon20]</smserver[anon21]</windows2000/techinfo/reski[anon22]</news/2005/0[anon23](/techinsider/2005/011[anon24]</white[anon25]</conf[anon26]</features/inde[anon27]</Files/41097/41097.pdf>[anon28]</Windows/Article/Ar[anon29]InformIT,Security,AccessControlSystems,Part2,VerifyingtheAutIdentity,2006.11.07,<rmit.co</network/connectivity/resources/doc_library/documents/pdf/</cgi-local/protocoldb/b[anon32]Kerberos,TheNetworkAuthenticationProtocol,MassachusettsInstituteofTechngy,</kerb[anon33]MicrosoftNext-</presspass/features/2002/jul02/0724palladiumwp.asp>[anon34]Nessus,<htt[anon35]NetworkMonitoringSystemDesignedtoDetectUnwanted</industrynews/2005/168.html>,September14,2005.[anon36]〈Nmap,/nmap/)[anon37]SchweitzerEngineeringLaboratories,Inc.,CorporateOverview[anon38]Secure-Sockets-Layer/Transport-Layer-SecurityResources,Open[anon39]SmartCardAlliance(/industry[anon40]VirtualPrivateNetworkConsortium/IPsecResources</news/view.asp?news_ID=264>,May[AW]Ashier,J.andWeiss,J.,SecuringyourControlS/articles/2004/238.html,2004.[Bhold]bholdCompanyWhitement,bholdcompany,Naarden,TheNethe[CG]Cranor,L.F.andGarfinkel,S.SecurityandPeopleCanUse.OReillyMedia,Inc.Sebastopol,CA</en/US/netsol/ns340/ns394/ns171/ns128/networking_solutions[Coh]Cohen,B.,VPNGatewayAppliances</testdrive/article.php/3501156>,April28,2005.[Cor]E.Correia,SoftwareDevelopmentTimes,December15Security</News/I[CR]M.Curtin,M.RanumInternetFirewalls</pubs[CY]Chen,Y.,andYang.Y.,PolicyManagementforNetwork-basedIntrusionPrevention,IEEENOMS,2004.[DM]DorothyE.DenningandPeterF.MacDoran,Locati(/～denning/infosec[DHvHC]Dzung,D.,Naedele,M.,VonHoff,T.,andCrevatin,M.,CommunicationSystems,ProceedingsoftheIEEE.InstituteofElectricalandElectronicsEngineersInc.2005.[Far]R.Farrow,Por</Resources/p[FKC]D.Ferraiolo,D.Kuhn,R.Chandramouli(2003),Role-BasedAccess[FS]J.Forristal,G.Shipley,NetworkComputing,NetworkComputingReview</1201/1201[Gar]SimsonGarfinkel,NetworkForen[GGM]Green,M.,Gallo,S.,andMiller,R[GJ]Gou,X.,Jin,W.,Multi-aNAT/FirewallinNextGenerationNetworks,ProceedingsoftmunicationNetworksandServicesDepartmentofComputerEngineeringandComputer[Harl]Harris,Shon,All-iMcGraw-Hill/Osborne,NewYork,NY,2005.[Har2]Harris,S.MikeMeyer'sCISSPCertificationPassport,ISBNHill/Osborne,Berkeley,CAMethodologyManual(OSSTM)</Sun,J.,Real-TimeEmulationofIntru-sionVictiminHoneyFarm,AWCC.2004.[IAONA]TheIAONAHandbookforNetworkSecurity-Draft/RFtionOpenNetworkingAssociation(IAONA),Magdeburg,Germany,2003.Forum</fra[Intel]IntelNetworkingTechnicalBriefs:VirtualLANs:FlexibleNetwo</network/connectivity/resources/doc_library/tech_brief/virtua<.au/～rjunee/sc_side_ch[KCS]Kim,H.,Choi,Y.,andSeo,D.,ImplementationofReal-timeManagementogy,2004.[KDO]C.King,C.Dalton,T.Osmanoglu,RSAPress,2001Deployment&.Operations,<〉SaveOrganizationsTitp:///articles/april01/cover.shtmlJHJcase_stu2006).[KP]Katzenbeisser,S.,PetProceedingsofSPIE,4675,2002,pp.50-5.[KW]N.King,E.Weiss,InformationSecurityMagazine,tp:///2002/feb/cov[LB]Ly,S.andBigdeli,A.,ExtendableandDynamicallywall,InternationalJournalofSoftwareEngineeringandKnowledge(2005)pp.363-371.[Loc]Lockhart,A.NetworkSecurityHacks,OReilly55,261.[M-E]DarrenMar-Elia,MonitoringandTroubleshootingtheRegistry—,October20</Content/3[Man]C.Mann,AWeb-onlyPrimeronPublic-KeyEncryption,TheAtlanticMtember2002</issues/2002/09/mann_g.htm>[Mix]Mix,S.,SupervisoryConEPRI,2003.[Mon]R.Monkman,EDNMagazine,October17,2002,Enhatp:///press/articles/17oct2002-Enhancing%20Embedded%20Security.pdf>[MvOV]Menezes,AlfredJ.,vanOorschot,PaulC.,anHandbookofAppliedCryptography,ISBN0849385237,CRCPress,<>Areadablediscussiononthedetailsandattacks,butthisbookNetworks,NationalInfrastructureSecurityCoordinationCentre,London,2005,<.uk/docs/re-20050223-00157.pdf>[NIST01]AESHomepage,</CryptoToolkit/aes/>[NIST02]AnIntroductiontoRoleBasedAccessControlcember1995),</rbac/NIST-ITL-RBAC-bulletin.html>[NIST03]NISTSP:800</publications/nistpubs/800-12/handbook.pdf></publications/nistpubs/800-76/sp800-76.pdf>[NIST05]Bace,Rebecca;Mell,Peter,NISTSP:(/publications/nistpubs/800-31/sp800-31.pdf)[NIST06]Baker,Elaine,etal,NISTSP:800-56,RecolishmentSchemesUsing</publications/nistpubs/800-56A/sp800-56A_May[NIST07]Baker,Elaine,etal,NISTSP:800-57RecommendationforKeyMan(/publications/nistpubs/800-57/SP800-57-Part1.pdf)(/publications/nistpubs/800-57/SP800-57-Part2.pdf)[NIST08