工业网络监测背景.pdfVIP

工业网络监测背景

随着科技和信息化的发展，数字化经济转型之路如火如荼地开展，

基于工业互联网的新技术、新模式和新业态取得了空前进步，但与此

同时，工业信息安全形势日趋严峻，安全风险持续攀升。

传统的网络安全产品无法适用于工业控制网络，原因有很多，诸

如：工控网络不可采取牺牲可用性的安全监测手段；工控网络无法接

受“漏报”和“误报”；传统安全产品无法识别众多私有协议；工控

网络内的产品升级的频次普遍偏低，需要频繁升级的安全产品难以适

用。

面对此类安全风险，工业互联网安全监测与检测技术的应用尤为

重要，在当今时代如何对工业互联网安全开展监测，如何搭建监测平

台，使用怎样的监测技术都值得我们探究。

监测技术

充分利用现有网络与信息安全技术手段和接口，对接监管部门平

台、工业互联网平台企业和工业企业相关基础数据资源平台、流量采

集/解析平台、网络安全技术平台的安全监测能力（如企业安全态势

感知系统等），结合工业环境和机构监管机制，使用工业协议解析、

异常行为检测、日志数据采集分析、蜜罐诱捕等技术能力。

1.工业协议深度解析技术

工业控制系统之间，上机位和下机位之间基于总线或以太网通过

工业协议进行指令和数据交互。少部分工控协议为公开协议，例如：

MMS、GOOSE、IEC103、IEC104、TCP、Ethernet/IP等；但大部分工

控协议为私有协议，例如西门子S7、浙江中控、北京和利时等所使

用的的工业协议等。要检查指令和数据交互的合规性，实现安全监测

与分析，需要对工业协议进行精准的DPI深度报文解析，通过解析工

业协议，提取功能码、数据等协议关键字段，覆盖主流工业协议，从

而发现网络流量中存在的安全问题。

2.异常行为检测技术

针对工控系统的网络攻击和违规操作等需要通过基于工控网络

的网络通信来完成，通过在工控网络的核心节点监听网络流量，可以

实时发现网络中的异常通信，从而找到异常行为源头、及时响应处置，

避免生产事故发生。工业协议异常行为检测以工业协议深度解析为基

础，应支持对数据包特征、工控指令等行为进行检测，及时发现安全

事件。

3.日志数据采集分析技术

工业企业的生产环境包括大量设备，如DCS、PLC、SCADA、RTU、

工程师站、操作员站、OPC服务器、工业数据库、网络设备、安全设

备等，上述设备在运行过程中会产生相应的日志，这些日志全面、详

细记录工控业务中的操作行为，安全监测技术将对工控网络日志数据

进行安全存储，并根据行业相关要求进行日志留存及分析。

4.蜜罐诱捕技术

随着工业互联网的发展，攻击方式和途径都日渐增多，传统的安

全防御更显被动。因此产生了蜜罐诱捕技术，通过布置一些作为诱饵

的主机、网络服务或者信息，诱使攻击方实施攻击，从而可以对攻击

行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意

图和动机，能够让防御方清晰地了解所面对的安全威胁，并通过技术

和管理手段来增强实际系统的安全防护能力。

工业互联网资产、基础资源发现、识别和管理能力，工业互联网

安全信息汇聚、管理和监测分析能力，大数据和态势分析能力，搭建

工业互联网安全监测技术平台，并具备极速感知、威胁探测、应急处

置、统计报表、定位溯源和态势感知分析等功能。