天融信：以 IPDRR 安全技术架构，打造钢铁行业控制系统最佳实践

近年我国钢铁产量逐年呈阶梯式增长，但多数中小型钢铁企业均以粗钢为主要生产物，产品同质化严重，造成产能过剩。出于优化钢铁产业结构、打造数字化钢铁生产系统、节能减排以及发展特种用钢等多方面原因，多数中小型以粗钢为生产核心的老旧企业被整合关闭，钢铁行业呈集团化、数字化发展。

钢铁行业有哪些业务场景？

钢铁生产的流程包含离散制造与流程制造两种体系，涉及工艺类型众多。不同工艺间具有较强的逻辑关系，并且生产过程还包含热加工类工艺，业务整体连续性要求极高，其主要业务场景如下：

矿采：获得铁矿石

选矿：将铁矿石破碎、磁选成铁精粉

烧结：将铁精粉烧结成具有一定强度、粒度的烧结矿

冶炼：将烧结矿运送至高炉，热风、焦炭使烧结矿还原成铁水，并脱硫

炼钢：在转炉内高压氧气将铁水脱磷、去除夹杂，变成钢水

精炼：进一步脱磷、去除夹杂，提高纯净度

连铸：热状态下将钢水铸成具有一定形状的连铸坯

轧钢：将连铸坯轧制成用户要求的各种型号的钢材，如板材、线材、管材等

数字化转型环境下，钢铁行业发展现状是怎样的？

随着国家数字化转型的加速，钢铁行业也在逐年向“数字钢铁”稳步推进。信息系统的应用替代传统人工，起到了强化钢铁企业生产管控水平、规范内部管理、提高运作效率、增产降耗的作用。钢铁企业基本形成了由过程控制系统、过程监控系统、生产管理系统构建的生产架构，完成了烧结、炼钢、精炼、轧钢等生产环节的信息化和自动化改革，实现了数据采集精确化、生产流程连续化、应用系统集成化。

钢铁行业在工业控制系统信息安全方面有哪些风险？

工业控制系统漏洞繁多以及工业协议风险问题

当前钢铁行业自动控制设备和应用系统多数采用西门子等欧美自动化品牌，同时又存在着设备服役周期过长导致高危漏洞过多，应用升级导致控制系统不兼容等多种不可调和矛盾。另外，控制设备的访问控制策略过于简单，甚至不具备访问控制功能，入侵者很容易利用认证缺失的问题进行攻击。

出于可用性和实时性考虑，工业协议设计中在保密性和安全性方面相对薄弱。诸如Modbus等工业协议存在明文传输的问题，极易被入侵者通过劫持手段进行恶意破坏。

高耦合性业务需求导致的边界模糊问题

由于钢铁生产工艺连续性较强，工业生产现场存在不同控制系统共用控制器和交换设备的情况。网络安全分区分域原则与应用系统业务逻辑上的矛盾，导致边界模糊、边界防护不足。此外，随着越来越多的工业设备接入网络，也增加了入侵者利用木马蠕虫或设备自身漏洞进行攻击的风险。

行为监测能力缺失

随着云计算、物联网等新技术在钢铁企业的普及应用，攻击者通过跳板机对工业控制系统进行恶意破坏的事件屡见不鲜，同时内部违规操作和误操作等事故也时有发生。安全管理制度的缺失导致工作人员缺乏网络安全意识，钢铁企业也普遍缺少针对内外部威胁的检测响应能力。

应如何应对钢铁行业的工业信息安全风险？

目前工业控制系统信息安全防护方案仍然局限于被动的单点防御方式，很难应对日益严峻的工业信息安全形势。天融信结合多年工业信息安全研究和项目实践，在传统被动防护基础上推出了集风险识别(Identification)-安全防御(Protection)-安全检测(Detection)-安全响应(Response)- 安全恢复（Recovery）的IPDRR安全技术架构。架构基于风险识别与安全保护的系统安全加固方法以及基于传统网络与工业控制系统融合、安全联动的系统实时检测与响应机制，遵循以“白名单为主，黑名单为辅”的黑白结合方式并加以深度分析的技术原则，全面保障钢铁行业网络安全、数据安全、应用安全以及主机安全。

天融信基于IPDRR架构的钢铁行业工业信息安全防御闭环

>>>风险识别(Identification)：对钢铁企业网络结构、网络流量、资产和数据面临的安全风险进行识别和确认。明确其生产网络中的接入资产类别、网络结构、通信行为、主机行为等，确认其中存在的脆弱性以及可能遭受攻击的可能性，落实切实可行的安全架构，并为防御、检测提供有效的数据支撑。

>>>安全防御(Protection)：基于风险识别能力的支撑，构建以行为管控为基础的基础防御能力。对通信过程中的指令、数据地址、数值内容构建以白名单技术为核心手段、黑名单技术为辅助验证手段的访问控制能力，并在必要节点采用加密认证手段，落实数据传输过程中的完整性与保密性。在主机防护层面，以最小化原则落实系统管理、应用程序管理、进程和服务管控以及接口管控、移动存储介质管控，同时起到限制恶意代码执行的作用。对于工业数据，则按照业务重要性进行分类分级，以标签方式将用户与数据进行关联，针对数据地址实行访问控制。并对数据产生、传输、应用、共享、存储、销毁的全生命周期管控。

>>>安全检测(Detection)：基于风险识别能力的支撑，采用基于天融信“四维一体”的工业协议深度检测技术，实时监测越权操作行为。同时，深度结合钢铁行业生产控制过程，在越权、越线检测外，构建基于数据变化率的检测能力，有效面对控制领域中基于合法路径、合法行为的非法攻击过程。

>>>事件响应(Response)：面对已经发生的网络安全事件和已知威胁，整合安全识别、安全防御和安全检测三大安全模块，并结合以大数据为核心的安全分析能力，构建安全运营系统。安全运营系统通过三大安全模块的信息收集和资源整合，分析钢铁企业网络安全态势，与其他安全模块策略联动，并具备安全监测、风险评估、事件追踪、和响应恢复能力。

>>>安全恢复（Recovery）：在安全事件后，为最大限度降低事件对于生产过程的影响，对生产数据进行备份恢复，并通过安全服务，消除攻击过程中残留的恶意脚本、僵尸主机，对安全事件处置进行闭环，并有效防范后续的攻击过程。

基于多年钢铁行业控制系统信息安全技术积累和实践经验，天融信结合钢铁工业现场风险以及业务需求，打造基于IPDRR安全技术架构的主动防御能力，以识别、防御、检测、响应、恢复五大安全模块之间协同配合、智能联动，形成钢铁行业控制系统信息安全能力闭环，为钢铁行业数字化转型提供坚实的网络安全保障。