English日本語
项目配景需求
该项目是我司为主要编写单元的中国烟草总公司《烟草行业工业控制系统网络宁静技术规范》的示范项目，该卷烟厂在多年自动化建设过程中不停遇到由于信息宁静问题对工控系统正常运行发生影响，逐渐发现自身对于工控宁静的建设方面存在着一些亟需解决的问题 。在制丝、卷包、物流、动力这几个工控系统网络中针对于工控宁静的防护措施存在不足 。
通过本项目建设解决如下问题：
（1）完成了两个车间生产网和管理网间的宁静隔离，确保生产网制止遭受管理网风险；
（2）在生产网内部及时检测工控设备所存在的宁静漏洞，实时监测业务异常、入侵行为；
（3）对于现场控制设备进行宁静防护；
（4）对工控系统所有宁静设备、工控设备宁静状况统一进行宁静监控、管理，全方位，多条理对烟厂工控系统进行�；� 。
防护方案及涉及宁静产物
本方案的整体思路主要依据烟草行业网络宁静“分级分域、整体�；ぁ⒒し馈⒍芾怼钡淖芴寮颇� 。首先对某烟厂整个工控系统进行全面风险评估掌握目前工控系统风险现状；通过管理网和生产网隔离确保生产网不会引入来自管理网风险，保证生产网界限宁静；在各车间内部工控系统进行一定手段的监测、防护，保证车间内部宁静；最后对整个工控系统进行统一宁静泛起，将各个防护点组成一个全面的防护体系，保障其整个工业控制系统宁静稳定运行 。宁静措施部署位置如下图所示：
在烟厂各车间工业控制系统生产网和管理网界限部署工业防火墙进行管理网和生产网的逻辑隔离，对两网间数据交换进行宁静防护，确保生产网不会引入管理网所面临风险 。
除通用防火墙基本防护功效外，着重实现对MES系统与工控系统的OPC协议的动态端口防护及完整性检查、碎片检查等细粒度防护，并可以深度解析协议，做到深入item值的防护 。
在生产执行层部署工业控制信息宁静管理系统，对烟草生产中各车间工控系统进行可用性、性能和服务水平的统一监控管理 。包罗种种主机、服务器、现场控制设备、以及种种网络设备、宁静设备的配置及事件分析、审计、预警与响应，风险及态势的度量与评估，对整个系统面向业务进行主动化、智能化宁静管理，保障烟草工业控制系统整体连续宁静运营 。
实现对操作站、服务器、现场控制设备、工业交换机等设备性能的监测 。
凭据实际设备位置实现拓扑展示、并实时显示宁静状况的监测 。
在过程监控层主要交换机旁路部署工业异常监测系统，监测工控网络的相关业务异常和入侵行为，通过工控网络中的流量关系图形化展示梳理发现网络中的故障，泛起异常及时报警；
通过白名单的自学习实现从制丝集控系统的操作站到PLC的异常操作的发现 。
实现对工控网内从制丝集控上位机?I/O服务器?PLC等设备间网络流秩序连接关系的梳理 。
实现针对工控系统中存在的已知木马后门、蠕虫病毒的入侵行为以及网络扫描探测行为的检测 。
在生产环网一台主PLC与上联交换机之间前端部署工业防火墙，对PLC进行防护 。
本项目中防护方案中涉及宁静产物如下表：
产物名称 | 数量 |
工业防火墙 | 3台 |
工控异常监测系统 | 1台 |
工控信息宁静管理平台 | 1套 |
项目效果
某卷烟厂在本次工控宁静建设项目中，通过生产网和管理网隔离实现了对MES系统到某两个车间的访问控制，阻断来自管理网的非法行为；经过多项宁静防护措施后，能够有效的保障工控网中网络、主机应用、数据等各层面的多数宁静问题发生，降低公司生工业务中断的风险；通过统一宁静管理平台建设对某卷烟厂中各车间工控系统进行宁静性、可用性、性能和服务水平的统一监控管理减少可能潜在的风险隐患，减少信息系统故障、人员流失带来的经济损失 。
该烟厂工控宁静项目作为中国烟草公司的试点项目，具有很大的示范效果 。而且烟厂工控环境比力类似，所以该项目完全可以复制 。
Copyright ? 东森平台 版权所有 京ICP备05032414号 
京公网安备11010802024551号
