新闻资讯 News information

等保2.0之工控安全一纸禅

发布时间:2019-04-10

近日,朋友圈被“等级保护将步入一个新的阶段,等级保护2.0标准有望在4月出台“的消息刷屏,笔者作为工控网络安全领域的工作者,对等保2.0的发布亦是望眼欲穿,本次的官宣,被普遍认为“第二只靴子”终于要落地了。

image001.jpg

image002.jpg

等保2.0标准是一系列文件,最基本的应包含如下三个文件,经了解,如4月发布,以下三个标准会同期发布:

《信息安全技术网络安全等级保护安全设计技术要求》

《信息安全技术网络安全等级保护基本要求》

《信息安全技术网络安全等级保护测评要求》

一般提及等保2.0标准,多代指《信息安全技术网络安全等级保护基本要求》,简称《基本要求》

image003.jpg

众所周知,与“等保1.0”相比,“等保2.0”扩大了保护对象的范围、丰富了保护方法、增加了技术标准,其中工业控制系统也在等级保护的对象中,并将风险评估、安全监测、通报预警、数据防护、应急处置、自主可控等工作措施全部纳入等保制度,这也将充分调动评测机构、服务机构、科研院所等共同推动整个等保制度的落实,在阅读《基本要求》过程中,笔者对于标准中部分要求在工业控制系统领域的应用、实施总结了些思考,与大家探讨。

等级保护两次被《中国人民共和国网络安全法》(下称:《网络安全法》)“点名”,第一次明确国家实行网络安全等级保护制度,第二次就明确了关键信息基础设施要在网络安全等级保护制度的基础上,实行重点保护。官方材料“关键信息基础设施的安全保护等级不低于第三级”的论断也符合网络安全从业者的基本判断。能源、交通、水利、金融、公共服务作为关键信息基础设施的主力军,在其生产网络开展安全建设势在必行

image005.jpg


对于企业组织、人员的要求

无论是《网络安全法》还是《基本要求》均要求企业设置专门安全管理机构和安全管理负责人。建议组织形式上应按三级开展架构设置,以总经理或分管副总牵头的决策层,以IT或生产主管为主的监督指导层,以专职和兼职的技术人员任职的执行层。在人员管理上从录用、离岗、培训教育等方面开展工作,要求在岗人员能力满足、保密协议已签、离岗人员权限清零;调离手续严格,外部人员全程陪同、最小权限、调离保密协议已签。做到企业网络安全方针策略明确,安全要求下达通畅、安全问题上送无阻,安全管理制度流程健全、监督严格,安全管理、技术措施执行到位。

image006.jpg

对安全方案、技术产品的选择

在介绍本部分之前,我们花一点时间再介绍一下当前《基本要求》,近期依然看到不少文章还在用旧版本做解读和引用。如上文所述,《基本要求》在整体架构上有两次大幅修订,用下表对比一下这两次变化。(以第三级安全要求为例)

image007.jpg

从上表中不难看出,《基本要求》编制专家组在文档整体架构描述逻辑上一直在寻求工控安全业务和网络安全技术相融合、协调,最终选定的方案在笔者看来具备良好的可阅读性和可操作性,也同时解决了设计要求和基本要求脱节的问题,早在GB/T25070-2010 《信息安全技术信息系统等级保护安全设计技术要求》中就已经提出“一个中心、三重防护”即:

“……通过第三级的安全计算环境、安全区域边界、安全通信网络以及安全管理中心的设计加以实现。”

网络安全最高频词汇“纵深防御”在基本要求标准上终于落地。

可信机制成为优选项

1.png

2000年初,可信的概念就在中国落地发芽,经过近20年的积累、发展终于在《基本要求》中明确体现。尤其是在恶意代码防护要求中提到的主动免疫可信验证机制在工业控制系统安全领域非常适合,已经成为工控安全病毒防护的主流技术选择,AWL(ApplicationWhiteListing)经过近几年工控安全产业实践,基于应用程序启动控制的“白名单”技术由于其资源占用小、兼容性好、可抵御“0day”,尤其是不存在升级且规避了杀毒软件误杀的问题已经被广泛接受和应用。公安部计算机信息系统必威体育2018质量监督检验中心对应AWL的检测标准“文件加载执行控制”已经有40家企业通过检测,几乎是所有工控安全从业厂商不二的选择。面对越来越复杂难缠的恶意程序,如载体为“脚本”、“宏”,传播通过“远程溢出”等方式,对于企业业主来说市面产品过于“琳琅满目”,不少产品还停留在针对exe、bat、dll文件甚至进程级的控制,面对越来越高级的病毒传播方式显得束手无策,自身都漏洞百出。考察一款AWL产品是要特别注意以下三点:

1、AWL产品支持的PE文件类型种类是否丰富。

2、AWL产品自身强壮性是否可靠。

3、AWL产品工程实施是否具备可行性。(上来就安装程序而不做先期查毒清毒工作,对工业主机病毒防护简直是灾难)

除了工业主机恶意代码防范采用可信机制,目前工业防火墙、工业流量监测审计等产品也都普遍采用“白名单”机制,可信思想的核心机制“认证”、“度量”在工业控制系统的特殊环境下得到了充分的发挥和应用。

边界明确要求单向隔离

2.png

相信大部分业主看到这条要求,第一反应就是不可能,“生产网和办公网还混在一起呢”、“生产网里面还有视频呢”、“生产网给办公网送数据,两边通信还是TCP协议呢”、“办公网和生产网还共用一个三层核心呢”种种种种……。笔者在看到这条要求的时候,站在网安从业者角度我认为没错,确实物理上保证了不会有恶意流量从边界进入生产网,但站在业主角度,业务完整性和安全性确实难以两全。基于此建议如下:

1、着手开始“两改”工作,一是逐步开始双网改造,如生产控制网和视频网的分离,暂时做不到物理隔离的,就先做到逻辑隔离如划分vLan;二是生产办公隔离措施两边的应用做单向通信改造,如UDP。

2、在“两改”完成前,利用防火墙或双向隔离网闸完成安全隔离,安全策略要严格,通常在隔离措施两边的通信不会是多对多,ACL要仔细设置;隔离措施应能检测工业控制协议并阻断,在生产和办公之间通常不会有控制协议,最多会出现数采协议如OPC。

3、在边界处部署基于流量的恶意代码检测和漏洞利用监测措施。

4、对于新建网络,初期就应在网络架构设计和应用的选取上就考虑此问题。电力生产企业是非常好的范例,所有电力生产企业的生产控制大区和管理信息大区之间必须实施专用正反向隔离装置,效果良好。

设立安全管理中心

3.png

在GB/T22239—2008中,在技术要求部分没有明确要求设置管理中心,在其“管理要求—>系统运维管理下—>监控管理和安全管理中心c)应建立安全管理中心,对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。”,然而这里的安全管理中心与当前《基本要求》的安全管理中心从内涵和外延上都有显著差异,当前的安全管理中心一是承担着对现网安全设备、安全软件策略管理、告警收集、日志分析的基础任务,二是承担对当前网络开展脆弱性评估、威胁行为识别、设备状态采集、安全事件溯源、安全指数量化等进阶任务。

在工控网络下,工控网络通常物理范围较大,厂房较多,对于安全设备仅提供就地管理显然不合适,更不要说SCADA一类的工控系统了,安全管理中心大幅提高了运维管理效率,同时更关键的一点也充当了安全管理员的“眼睛”,网络安全的价值不再是“Nonews is good news”,价值通过可视化的角度以丰富的样式、统计、分析得以展现。

时下,“网络安全态势感知”是圈里最时髦的词,《基本要求》对于安全管理中心的强调刚好为整体态势感知提供了基础条件。尤其对生产企业集团层面,基于生产侧的安全管理中心构建的中心级平台既能对集团生产网络安全做宏观掌控,亦能对具体企业做安全建设指导,在安全管理上实现闭环。

强调基于业务需求“最小化”

4.png

最小化权限是网络安全策略设计的一般概念和常规措施,无论是业务人员、IT运维管理人员此类的实体用户,还是操作系统用户、数据库用户此类的虚拟主体,在为其分配操作权限、范围边界时都要按照“所需即所得”的原则来处理。这里收缩权限、框定范围并不是对实体用户或虚拟主体的完全不信任,而是在最小化权限下一旦出现事故,其范围、程度也是最小的,是一种典型风险控制的机制。

在这里对“最小化”做一点延伸,目前公认的工控安全防护技术路线“白名单”也是在做一种“最小化”,通过对工控业务的学习建立最小化行为模型,这个模型越逼近真实业务轮廓,安全防护、异常检测的效果就越好。在工业控制系统环境下,业务相对清晰,允许用技术语言描述业务行为,无论是权限管理上的最小化还是基于业务的“白名单”都是为生产提供“充分必要”的安全保障。

必威体育2018拥有ISCCC信息安全服务风险评估资质,是信息安全等级保护安全建设服务机构和公安部工控等保工具箱研制单位,根据对国家等级保护规范的深度解析,研发了覆盖工控安全的5大类20款自主可控必威体育2018,可为开展等保2.0检查工作提供有力支撑,促使检查评估工作高效执行。同时,为工业用户提供工控安全咨询、安全评估、安全建设、安全应急、安全培训、安全检查的全生命周期工控安全服务,帮助用户通过评测获得等保测评报告。

等保2.0的发布势必会释放不少处于观望的市场空间,如何更好的为生产企业提供更优秀的解决方案与产品是我们必须要回答的问题。工控安全无论是市场还是技术都还有很大的成长空间,对于关键信息基础设施的安全保护是网安人的责任与荣耀,希望借本文抛砖引玉,共同推进工控安全市场与技术的蓬勃发展。


必威体育2018官方二维码

扫一扫关注我们必威体育2018官方网站 来了解我们更多资讯

地址:北京市海淀区上地三街9号嘉华大厦F座901室
邮箱:support@winicssec.com
微信公众号:winicssec_bj
4000-680-620 24小时服务热线
Copyright ? 2016 Winicssec All Rights Reserved 版权所有 京ICP备14062383号-1