近年来，国家烟草专卖局凭据行业信息宁静建设实际情况和需要，一方面通过宣布信息宁静相关行业尺度规范为行业单元信息宁静建设提供指导和统一要求，另一方面通过每年度一次全面信息宁静检查和专项信息宁静检查，面向全行业“以查促建、以查促管、以查促改、以查促防” 推动行业整体信息宁静建设水平的提高 。
在“两化”融合的行业生长需求下，现代工业控制系统的技术进步主要体现在两大方面：信息化与工业化的深度融合，为了提高烟草行业生产高效运行、生产管理效率，行业鼎力推进信息系统的集成化，集中化管理，工控网络与办公网、互联网的互联互通成为重要前提 。
近几年行业总局凭据行业特点陆续制订宣布了《烟草行业品级�；せ疽蟆贰ⅰ堆滩菪幸狄贫τ媚补娣丁贰ⅰ堆滩菪幸低缒不吖芾砑际豕娣丁贰ⅰ堆滩菪幸低缬胄畔⒛布觳樽圆橹改稀贰ⅰ堆滩莨ひ灯笠瞪牍芾硗缁チ补娣丁泛汀堆滩菪幸倒ひ悼刂葡低惩缒不呒际豕娣丁�，为行业的信息宁静规划、建设提供了依据与尺度 。
行业需求
宁静配置核查需求
烟草行业通过对宁静事件的分析，发现宁静事件主要由3个方面引起，宁静漏洞方面、宁静配置方面，以及异常事件等方面 。宁静配置通常都是由于人为的疏忽造成，主要包罗了账号、口令、授权、日志、IP通信等方面内容，反映了系统自身的宁静脆弱性 。由宁静配置的不足可能带来非常多的宁静隐患，因此对宁静配置进行有效的检查和加固成为整体宁静体系建设中的重要一环 。
同时凭据国家烟草局制定的《烟草行业信息宁静基线管理技术规范》作为烟草行业各单元信息宁静保障体系建设和管理事情的基线要求 。
工业控制系统宁静需求
烟草行业工业控制系统由于恒久缺乏宁静需求的推动，现有的工业自动化控制系统在设计、研发、部署、运维中没有充实考虑宁静问题，一旦被无意或恶意利用就会造成种种信息宁静事件 。整体工业控制系统宁静趋势不容乐观，行业工控宁静建设迫在眉睫 。
烟草行业工业控制系统宁静需求：
1、 车间内宁静域划分及宁静域访问控制需求；
2、 车间内未知资产、未知IP发现需求；
3、 上位机宁静防护需求；
4、 工控设备、工控协议宁静漏洞发现需求；
5、 无线通信宁静防护需求；
6、 统一监控管理需求；
7、 宁静配置检查需求；
8、 第三方运维宁静审计需求；
行业解决方案及优势
烟草行业“三全”检查评估系统解决方案
系统概述
烟草行业“三全”检查评估系统是凭据烟草行业信息宁静基线管理技术规范的要求，实现具有烟草行业特点的三全业务梳理、诊断等功效，具备宁静运维、巡检、检查的自动化实现 。
系统在研究烟草行业的基线宁静需求后，制定了针对行业信息系统中的网络设备、操作系统和数据库的宁静配置核查和功效测试规范，包罗各品牌路由器、通用操作系统、AIX主机系统、Windows主机系统，通用数据库、Oracle数据库等设备、系统的宁静配置规范和宁静功效测试规范 。
系统计谋库的研究内容主要包罗账号、口令、授权、日志、IP地址以及其它方面的内容 。这些内容涉及可能会影响设备或系统宁静性的方面，好比口令的庞大性，生存期、历史口令、口令修改、口令存放等方面的内容 。规范中的配置核查部门明确了设备的基本配置宁静要求，为在设备入网测试、工程验收和设备运行维护环节明确相关宁静要求提供指南 。
功效介绍
三全事情可视化：凭据行业总局三全要求对业务系统进行核查，并生成报表 。如下图所示，从系统须要达标率以嘉拷寮达标率进行数据统计 。而且凭据“三全”要求显示出宁静技术、宁静管理的详细指标统计 。
自界说填报： 凭据自身业务系统的特点进行自界说的填报年、月报表 。
三全事情自动检查：可实现三全事情的定期执行
KPI考核：上下级单元的级联，可实现上级单元对下级单元的达标率的检察、分析以及考核 。
部署模式
系统常见的部署方式依据客户的组织架构的差异主要有单级部署和级联部署两种方式 。而单级部署的结构上又可依据客户的网络的漫衍情况主要分为单点部署和漫衍式部署两种方式 。以下就分别对单级部署和级联部署分别介绍 。
单级部署：单级部署系统的组网模式比力简单，可以将其旁路部署在既有网络中 。管理员通过WEB页面登录系统下达核查任务，检查任务既可以远程执行也可以当地执行 。
多级部署：总部（如省级单元）部署一套系统，凭据各个地市的实际情况同样也部署一套系统 。实现对地市、省级单元的二级级联 。而各下属各分支机构为了实现对各自信息系统的宁静配置管理、“三全”事情统计，分别部署了各自的宁静配置核查系统 。总部与分支机构的宁静管理平台进行通信，实现总部对分支机构系统的检察和管理，如年度“三全”完成指标情况，横向地市与地市之间的“三全”指标完成度的对比情况 。
方案优势
- 提高宁静掌控
- 提高事情效率
- 降低管理成本
烟草行业工业控制系统宁静解决方案
本方案的整体思路主要依据行业网络宁静“分级分域、整体�；ぁ⒒し馈⒍芾怼钡淖芴寮颇� 。首先对整个工控系统进行全面风险评估掌握目前工控系统风险现状；通过管理网和生产网隔离确保生产网不会引入来自管理网风险，保证生产网界限宁静；在各车间内部工控系统进行一定手段的监测、防护，保证车间内部宁静；最后对整个工控系统进行统一宁静泛起，将各个防护点组成一个全面的防护体系，保障其整个工业控制系统宁静稳定运行 。
工业控制系统宁静防护模型
全面风险评估
所有工控宁静建设都应该是基于对自身工控宁静现状的精确掌握，本方案首先接纳工业无损检查评估的方式对整个工控系统进行全面风险评估 。主要内容包罗：工控设备宁静性评估、工控软件宁静性评估、种种操作站宁静性评估以及工控网络宁静性评估 。
工业控制系统不间断运行，任何意外�；收隙际性斐芍卮笏鹗� 。工控系统风险评估首先强调风险控制，从项目管理和技术实施的层面，必须做到零风险 。
工业无损检查评估
管理网和生产网隔离
管理网和生产网互联互通存在宁静风险，凭据国际国内的种种工控宁静相关尺度以及行业内部于2014年下发的《烟草工业企业生产网与管理网网络互联宁静规范》中，都对管理网和生产网互联宁静问题进行了着重关注 。
管理网和生产网互联接口宁静模型
针对这一问题，本解决方案在各车间工业控制系统生产网和管理网界限都应该部署工业防火墙进行管理网和生产网的逻辑隔离，对两网间数据交换进行宁静防护，确保生产网不会引入管理网所面临的风险 。
各车间内监测与防护
在管理网和生产网隔离中已经对生产执行层和各个车间生产网络进行了逻辑隔离，确保管理网风险不会引入各车间生产网 。在各车间内部针对行业工业控制系统各方面风险接纳对应的防护手段如下：
在操作员站、工程师站、HMI等种种操作站部署操作站宁静系统对主机的进程、软件、流量、U盘的使用等进行监控，防范主机非法访问网络其它节点；
部署工业异常监测系统，监测工控网络的相关业务异常和入侵行为，通过工控网络中的流量关系图形化展示梳理发现网络中的故障，泛起异常及时报警；
部署工业漏洞扫描系统，发现种种操作系统、组态软件、以及工业交换机、PLC等存在的漏洞，为车间内种种设备、软件提供完善的漏洞分析检测 。
在PLC前端部署工业防火墙，对PLC进行防护 。
在车间现场通过部署Wifi入侵检测设备，对烟草工业控制系统中的AGV小车等其他无线网络进行宁静防护 。
部署现场运维审计与管理系统防范现场运维带来的风险 。
工业异常监测
统一宁静泛起
对于管理人员，面对整个企业各个车间内繁多的种种工控网络设备、服务器、操作站以及宁静设备，如何高效管理，掌握各个点的风险现状，对整个工控系统宁静现状能够统一掌握，及时处置种种设备故障与威胁同样是工控宁静建设至关重要的一环 。
针对这一情况，通过在生产执行层部署工业控制信息宁静管理系统，对烟草生产中各车间工控系统进行可用性、性能和服务水平的统一监控管理 。包罗种种主机、服务器、现场控制设备、以及种种网络设备、宁静设备的配置及事件分析、审计、预警与响应，风险及态势的度量与评估，对整个系统面向业务进行主动化、智能化宁静管理，保障烟草工业控制系统整体连续宁静运营 。
部署方案
宁静措施部署图
烟草行业工业控制系统宁静防护优势
- 在烟草行业卷烟厂进行全面工控宁静建设的工控宁静厂商，完成了烟草行业工控宁静的破冰行动 。
- 提供了烟草行业工控宁静尺度调研、体例支持 。
- 工控产物进行了烟草行业生产线环境测试 。
- 在烟草行业工控宁静风险评估、咨询、解决方案、项目经验等方面具备领先优势 。
京公网安备11010802024551号