汽車(chē)是現(xiàn)代工業(yè)技術(shù)集大成者，也是公認(rèn)的最能體現(xiàn)國(guó)家制造實(shí)力的重要標(biāo)志之一。在產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型大趨勢(shì)下，工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)攻擊事件頻發(fā)，制造業(yè)成為網(wǎng)絡(luò)犯罪團(tuán)伙熱衷的攻擊目標(biāo)，汽車(chē)制造企業(yè)作為高價(jià)值的制造企業(yè)部門(mén)，成為極具誘惑力的攻擊目標(biāo)。在汽車(chē)制造復(fù)雜的工藝流程中，任一環(huán)節(jié)遭受網(wǎng)絡(luò)攻擊停擺后，都可能導(dǎo)致生產(chǎn)制造節(jié)拍紊亂、汽車(chē)制造工廠(chǎng)停產(chǎn)，進(jìn)而直接造成經(jīng)濟(jì)損失，因此需加快汽車(chē)制造行業(yè)工控安全建設(shè)，保障汽車(chē)制造行業(yè)工控系統(tǒng)安全穩(wěn)定運(yùn)行。

汽車(chē)制造控制系統(tǒng)是具有高度自動(dòng)化、智能化和網(wǎng)絡(luò)化的生產(chǎn)線(xiàn)控制和管理系統(tǒng)，通過(guò)將信息管理系統(tǒng)、MES系統(tǒng)、生產(chǎn)線(xiàn)自動(dòng)化控制系統(tǒng)、物流倉(cāng)儲(chǔ)系統(tǒng)等的互聯(lián)互通，信息共享，可實(shí)現(xiàn)生產(chǎn)管理集中管控，并形成企業(yè)信息管理和生產(chǎn)管理的統(tǒng)一。

需求分析

• 標(biāo)準(zhǔn)合規(guī)性需求

汽車(chē)制造行業(yè)要加快完成工控安全防護(hù)體系的建設(shè)工作，使之符合《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2019）《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》及汽車(chē)制造行業(yè)工控安全相關(guān)要求。

• 業(yè)務(wù)安全性需求

從汽車(chē)制造行業(yè)MES層、生產(chǎn)線(xiàn)等2個(gè)層面進(jìn)行需求分析：

生產(chǎn)線(xiàn)

汽車(chē)制造行業(yè)的工控系統(tǒng)種類(lèi)較多，如沖壓系統(tǒng)、焊接系統(tǒng)、涂裝系統(tǒng)、零部件組裝系統(tǒng)、總裝系統(tǒng)等。這些系統(tǒng)在建設(shè)初期主要考慮易用性和快速部署，因此存在數(shù)據(jù)流向不清晰、隔離措施不完善、隔離強(qiáng)度不達(dá)標(biāo)等問(wèn)題，容易引發(fā)各跨網(wǎng)交換非授權(quán)訪(fǎng)問(wèn)風(fēng)險(xiǎn)以及系統(tǒng)間病毒橫向傳播風(fēng)險(xiǎn)。

各工控系統(tǒng)的上位機(jī)、服務(wù)器等主機(jī)，可能存在系統(tǒng)及工控應(yīng)用漏洞、管理員不允許打補(bǔ)丁、身份鑒別過(guò)于單一等情況；同時(shí)主機(jī)無(wú)針對(duì)已知、未知病毒的防護(hù)措施，容易發(fā)生誤操作、非法攻擊、勒索病毒感染等安全事件。

各工控系統(tǒng)內(nèi)部缺少對(duì)工業(yè)流量監(jiān)測(cè)審計(jì)的手段，無(wú)法針對(duì)工控系統(tǒng)協(xié)議層面存在的惡意攻擊、異常流量進(jìn)行審計(jì)，更無(wú)法對(duì)工控指令攻擊和控制參數(shù)篡改進(jìn)行實(shí)時(shí)監(jiān)測(cè)和告警，極易產(chǎn)生網(wǎng)絡(luò)入侵事件，最終導(dǎo)致安全生產(chǎn)事故的發(fā)生。

MES層

MES層中運(yùn)行著MES系統(tǒng)等重要業(yè)務(wù)系統(tǒng)。辦公網(wǎng)層運(yùn)行ERP、OA等系統(tǒng)，同時(shí)連接互聯(lián)網(wǎng)。因此需加強(qiáng)邊界安全、入侵檢測(cè)、日志審計(jì)、終端保護(hù)、運(yùn)維審計(jì)、態(tài)勢(shì)分析等防護(hù)能力。

解決方案

針對(duì)汽車(chē)制造企業(yè)的網(wǎng)絡(luò)架構(gòu)特點(diǎn)及相關(guān)標(biāo)準(zhǔn)規(guī)范要求，進(jìn)行分層、分區(qū)、劃域，各層次、區(qū)域之間采用合理的安全防護(hù)措施。

汽車(chē)制造業(yè)工控安全防護(hù)拓?fù)涫疽鈭D

• 生產(chǎn)線(xiàn)

分別在各生產(chǎn)線(xiàn)及生產(chǎn)線(xiàn)分流程到廠(chǎng)區(qū)生產(chǎn)網(wǎng)邊界部署工業(yè)防火墻，實(shí)現(xiàn)精準(zhǔn)按域防護(hù)。

采用工業(yè)應(yīng)用審計(jì)系統(tǒng)對(duì)工控網(wǎng)絡(luò)中的全流量通信、操作行為、異常行為等進(jìn)行審計(jì)及預(yù)警；通過(guò)部署入侵檢測(cè)系統(tǒng)實(shí)時(shí)監(jiān)測(cè)工控網(wǎng)絡(luò)異常流量，對(duì)異常的、入侵行為的數(shù)據(jù)進(jìn)行檢測(cè)和報(bào)警。

在集中控制室及各裝置的操作員站、工程師站、服務(wù)器等部署工控主機(jī)衛(wèi)士軟件。

• MES層

分別在MES到辦公網(wǎng)邊界部署工業(yè)網(wǎng)閘，提升外聯(lián)安全接入?yún)^(qū)隔離強(qiáng)度，實(shí)現(xiàn)接近于物理隔離的高安全隔離目標(biāo)。

在MES層操作員站、工程師站、服務(wù)器等部署工控主機(jī)衛(wèi)士軟件，以白名單方式阻止非法進(jìn)程運(yùn)行及非法USB等外設(shè)接入，防止工業(yè)主機(jī)被破壞。

• 安全管理中心

建設(shè)汽車(chē)制造企業(yè)安全管理中心，實(shí)現(xiàn)終端保護(hù)、運(yùn)維安全管控、日志審計(jì)、安全管理平臺(tái)、態(tài)勢(shì)感知等系統(tǒng)。在集團(tuán)也需要建設(shè)態(tài)勢(shì)感知系統(tǒng)與MES層安全管理中心聯(lián)動(dòng)。對(duì)工業(yè)生產(chǎn)全景進(jìn)行安全態(tài)勢(shì)感知、分析、預(yù)警及準(zhǔn)入控制，并對(duì)異常報(bào)警行為形成工單分配給人工進(jìn)行干預(yù)處理，同時(shí)與相應(yīng)防護(hù)設(shè)備進(jìn)行協(xié)同防御。

方案價(jià)值

• 滿(mǎn)足標(biāo)準(zhǔn)合規(guī)性要求

符合《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》 (GBT22239-2019)、《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》等汽車(chē)制造企業(yè)工控安全相關(guān)政策、標(biāo)準(zhǔn)及監(jiān)管要求。'

• 構(gòu)建汽車(chē)制造企業(yè)體系化安全

通過(guò)強(qiáng)化汽車(chē)制造企業(yè)區(qū)域內(nèi)網(wǎng)絡(luò)、主機(jī)及數(shù)據(jù)的安全防護(hù)，極大增強(qiáng)了汽車(chē)制造企業(yè)的整體安全防護(hù)能力，確保強(qiáng)化汽車(chē)制造企業(yè)生產(chǎn)可持續(xù)運(yùn)營(yíng)，構(gòu)建邊界安全、物聯(lián)設(shè)備安全的縱深防護(hù)體系。

• 提升汽車(chē)制造企業(yè)生產(chǎn)安全性

深度融合有汽車(chē)制造企業(yè)工控設(shè)施，降低汽車(chē)制造企業(yè)的安全運(yùn)營(yíng)風(fēng)險(xiǎn)，提高安全運(yùn)維效率，為汽車(chē)制造企業(yè)智能化、智慧化建設(shè)提供可靠的安全保障。

• 促進(jìn)汽車(chē)制造企業(yè)智能化發(fā)展

通過(guò)建設(shè)汽車(chē)制造企業(yè)工控安全防護(hù)體系，可解決汽車(chē)制造企業(yè)智能化建設(shè)過(guò)程中帶來(lái)的信息安全風(fēng)險(xiǎn)，保障汽車(chē)制造企業(yè)工控設(shè)施、智能化系統(tǒng)安全及設(shè)備可靠運(yùn)轉(zhuǎn)的目標(biāo)。