汽車是現(xiàn)代工業(yè)技術(shù)集大成者，也是公認(rèn)的最能體現(xiàn)國家制造實力的重要標(biāo)志之一。在產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型大趨勢下，工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)攻擊事件頻發(fā)，制造業(yè)成為網(wǎng)絡(luò)犯罪團(tuán)伙熱衷的攻擊目標(biāo)，汽車制造企業(yè)作為高價值的制造企業(yè)部門，成為極具誘惑力的攻擊目標(biāo)。在汽車制造復(fù)雜的工藝流程中，任一環(huán)節(jié)遭受網(wǎng)絡(luò)攻擊停擺后，都可能導(dǎo)致生產(chǎn)制造節(jié)拍紊亂、汽車制造工廠停產(chǎn)，進(jìn)而直接造成經(jīng)濟(jì)損失，因此需加快汽車制造行業(yè)工控安全建設(shè)，保障汽車制造行業(yè)工控系統(tǒng)安全穩(wěn)定運行。

汽車制造控制系統(tǒng)是具有高度自動化、智能化和網(wǎng)絡(luò)化的生產(chǎn)線控制和管理系統(tǒng)，通過將信息管理系統(tǒng)、MES系統(tǒng)、生產(chǎn)線自動化控制系統(tǒng)、物流倉儲系統(tǒng)等的互聯(lián)互通，信息共享，可實現(xiàn)生產(chǎn)管理集中管控，并形成企業(yè)信息管理和生產(chǎn)管理的統(tǒng)一。

需求分析

• 標(biāo)準(zhǔn)合規(guī)性需求

汽車制造行業(yè)要加快完成工控安全防護(hù)體系的建設(shè)工作，使之符合《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239-2019）《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》及汽車制造行業(yè)工控安全相關(guān)要求。

• 業(yè)務(wù)安全性需求

從汽車制造行業(yè)MES層、生產(chǎn)線等2個層面進(jìn)行需求分析：

生產(chǎn)線

汽車制造行業(yè)的工控系統(tǒng)種類較多，如沖壓系統(tǒng)、焊接系統(tǒng)、涂裝系統(tǒng)、零部件組裝系統(tǒng)、總裝系統(tǒng)等。這些系統(tǒng)在建設(shè)初期主要考慮易用性和快速部署，因此存在數(shù)據(jù)流向不清晰、隔離措施不完善、隔離強度不達(dá)標(biāo)等問題，容易引發(fā)各跨網(wǎng)交換非授權(quán)訪問風(fēng)險以及系統(tǒng)間病毒橫向傳播風(fēng)險。

各工控系統(tǒng)的上位機、服務(wù)器等主機，可能存在系統(tǒng)及工控應(yīng)用漏洞、管理員不允許打補丁、身份鑒別過于單一等情況；同時主機無針對已知、未知病毒的防護(hù)措施，容易發(fā)生誤操作、非法攻擊、勒索病毒感染等安全事件。

各工控系統(tǒng)內(nèi)部缺少對工業(yè)流量監(jiān)測審計的手段，無法針對工控系統(tǒng)協(xié)議層面存在的惡意攻擊、異常流量進(jìn)行審計，更無法對工控指令攻擊和控制參數(shù)篡改進(jìn)行實時監(jiān)測和告警，極易產(chǎn)生網(wǎng)絡(luò)入侵事件，最終導(dǎo)致安全生產(chǎn)事故的發(fā)生。

MES層

MES層中運行著MES系統(tǒng)等重要業(yè)務(wù)系統(tǒng)。辦公網(wǎng)層運行ERP、OA等系統(tǒng)，同時連接互聯(lián)網(wǎng)。因此需加強邊界安全、入侵檢測、日志審計、終端保護(hù)、運維審計、態(tài)勢分析等防護(hù)能力。

解決方案

針對汽車制造企業(yè)的網(wǎng)絡(luò)架構(gòu)特點及相關(guān)標(biāo)準(zhǔn)規(guī)范要求，進(jìn)行分層、分區(qū)、劃域，各層次、區(qū)域之間采用合理的安全防護(hù)措施。

汽車制造業(yè)工控安全防護(hù)拓?fù)涫疽鈭D

• 生產(chǎn)線

分別在各生產(chǎn)線及生產(chǎn)線分流程到廠區(qū)生產(chǎn)網(wǎng)邊界部署工業(yè)防火墻，實現(xiàn)精準(zhǔn)按域防護(hù)。

采用工業(yè)應(yīng)用審計系統(tǒng)對工控網(wǎng)絡(luò)中的全流量通信、操作行為、異常行為等進(jìn)行審計及預(yù)警；通過部署入侵檢測系統(tǒng)實時監(jiān)測工控網(wǎng)絡(luò)異常流量，對異常的、入侵行為的數(shù)據(jù)進(jìn)行檢測和報警。

在集中控制室及各裝置的操作員站、工程師站、服務(wù)器等部署工控主機衛(wèi)士軟件。

• MES層

分別在MES到辦公網(wǎng)邊界部署工業(yè)網(wǎng)閘，提升外聯(lián)安全接入?yún)^(qū)隔離強度，實現(xiàn)接近于物理隔離的高安全隔離目標(biāo)。

在MES層操作員站、工程師站、服務(wù)器等部署工控主機衛(wèi)士軟件，以白名單方式阻止非法進(jìn)程運行及非法USB等外設(shè)接入，防止工業(yè)主機被破壞。

• 安全管理中心

建設(shè)汽車制造企業(yè)安全管理中心，實現(xiàn)終端保護(hù)、運維安全管控、日志審計、安全管理平臺、態(tài)勢感知等系統(tǒng)。在集團(tuán)也需要建設(shè)態(tài)勢感知系統(tǒng)與MES層安全管理中心聯(lián)動。對工業(yè)生產(chǎn)全景進(jìn)行安全態(tài)勢感知、分析、預(yù)警及準(zhǔn)入控制，并對異常報警行為形成工單分配給人工進(jìn)行干預(yù)處理，同時與相應(yīng)防護(hù)設(shè)備進(jìn)行協(xié)同防御。

方案價值

• 滿足標(biāo)準(zhǔn)合規(guī)性要求

符合《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》 (GBT22239-2019)、《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》等汽車制造企業(yè)工控安全相關(guān)政策、標(biāo)準(zhǔn)及監(jiān)管要求。'

• 構(gòu)建汽車制造企業(yè)體系化安全

通過強化汽車制造企業(yè)區(qū)域內(nèi)網(wǎng)絡(luò)、主機及數(shù)據(jù)的安全防護(hù)，極大增強了汽車制造企業(yè)的整體安全防護(hù)能力，確保強化汽車制造企業(yè)生產(chǎn)可持續(xù)運營，構(gòu)建邊界安全、物聯(lián)設(shè)備安全的縱深防護(hù)體系。

• 提升汽車制造企業(yè)生產(chǎn)安全性

深度融合有汽車制造企業(yè)工控設(shè)施，降低汽車制造企業(yè)的安全運營風(fēng)險，提高安全運維效率，為汽車制造企業(yè)智能化、智慧化建設(shè)提供可靠的安全保障。

• 促進(jìn)汽車制造企業(yè)智能化發(fā)展

通過建設(shè)汽車制造企業(yè)工控安全防護(hù)體系，可解決汽車制造企業(yè)智能化建設(shè)過程中帶來的信息安全風(fēng)險，保障汽車制造企業(yè)工控設(shè)施、智能化系統(tǒng)安全及設(shè)備可靠運轉(zhuǎn)的目標(biāo)。