強化工控安全防線 助力汽車制造企業安全高效發展

汽車是現代工業技術集大成者，也是公認的最能體現國家制造實力的重要標志之一。在產業數字化轉型大趨勢下，工業控制系統的網絡攻擊事件頻發，制造業成為網絡犯罪團伙熱衷的攻擊目標，汽車制造企業作為高價值的制造企業部門，成為極具誘惑力的攻擊目標。在汽車制造復雜的工藝流程中，任一環節遭受網絡攻擊停擺后，都可能導致生產制造節拍紊亂、汽車制造工廠停產，進而直接造成經濟損失，因此需加快汽車制造行業工控安全建設，保障汽車制造行業工控系統安全穩定運行。

汽車制造控制系統是具有高度自動化、智能化和網絡化的生產線控制和管理系統，通過將信息管理系統、MES系統、生產線自動化控制系統、物流倉儲系統等的互聯互通，信息共享，可實現生產管理集中管控，并形成企業信息管理和生產管理的統一。

需求分析

• 標準合規性需求

汽車制造行業要加快完成工控安全防護體系的建設工作，使之符合《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）《工業控制系統信息安全防護指南》及汽車制造行業工控安全相關要求。

• 業務安全性需求

從汽車制造行業MES層、生產線等2個層面進行需求分析：

生產線

汽車制造行業的工控系統種類較多，如沖壓系統、焊接系統、涂裝系統、零部件組裝系統、總裝系統等。這些系統在建設初期主要考慮易用性和快速部署，因此存在數據流向不清晰、隔離措施不完善、隔離強度不達標等問題，容易引發各跨網交換非授權訪問風險以及系統間病毒橫向傳播風險。

各工控系統的上位機、服務器等主機，可能存在系統及工控應用漏洞、管理員不允許打補丁、身份鑒別過于單一等情況；同時主機無針對已知、未知病毒的防護措施，容易發生誤操作、非法攻擊、勒索病毒感染等安全事件。

各工控系統內部缺少對工業流量監測審計的手段，無法針對工控系統協議層面存在的惡意攻擊、異常流量進行審計，更無法對工控指令攻擊和控制參數篡改進行實時監測和告警，極易產生網絡入侵事件，最終導致安全生產事故的發生。

MES層

MES層中運行著MES系統等重要業務系統。辦公網層運行ERP、OA等系統，同時連接互聯網。因此需加強邊界安全、入侵檢測、日志審計、終端保護、運維審計、態勢分析等防護能力。

解決方案

針對汽車制造企業的網絡架構特點及相關標準規范要求，進行分層、分區、劃域，各層次、區域之間采用合理的安全防護措施。

汽車制造業工控安全防護拓撲示意圖

• 生產線

分別在各生產線及生產線分流程到廠區生產網邊界部署工業防火墻，實現精準按域防護。

采用工業應用審計系統對工控網絡中的全流量通信、操作行為、異常行為等進行審計及預警；通過部署入侵檢測系統實時監測工控網絡異常流量，對異常的、入侵行為的數據進行檢測和報警。

在集中控制室及各裝置的操作員站、工程師站、服務器等部署工控主機衛士軟件。

• MES層

分別在MES到辦公網邊界部署工業網閘，提升外聯安全接入區隔離強度，實現接近于物理隔離的高安全隔離目標。

在MES層操作員站、工程師站、服務器等部署工控主機衛士軟件，以白名單方式阻止非法進程運行及非法USB等外設接入，防止工業主機被破壞。

• 安全管理中心

建設汽車制造企業安全管理中心，實現終端保護、運維安全管控、日志審計、安全管理平臺、態勢感知等系統。在集團也需要建設態勢感知系統與MES層安全管理中心聯動。對工業生產全景進行安全態勢感知、分析、預警及準入控制，并對異常報警行為形成工單分配給人工進行干預處理，同時與相應防護設備進行協同防御。

方案價值

• 滿足標準合規性要求

符合《信息安全技術網絡安全等級保護基本要求》 (GBT22239-2019)、《工業控制系統信息安全防護指南》等汽車制造企業工控安全相關政策、標準及監管要求。'

• 構建汽車制造企業體系化安全

通過強化汽車制造企業區域內網絡、主機及數據的安全防護，極大增強了汽車制造企業的整體安全防護能力，確保強化汽車制造企業生產可持續運營，構建邊界安全、物聯設備安全的縱深防護體系。

• 提升汽車制造企業生產安全性

深度融合有汽車制造企業工控設施，降低汽車制造企業的安全運營風險，提高安全運維效率，為汽車制造企業智能化、智慧化建設提供可靠的安全保障。

• 促進汽車制造企業智能化發展

通過建設汽車制造企業工控安全防護體系，可解決汽車制造企業智能化建設過程中帶來的信息安全風險，保障汽車制造企業工控設施、智能化系統安全及設備可靠運轉的目標。